Open source is volwassen geworden. Nu de overheid nog.

Recentelijk verscheen een onderzoeksrapport naar open source communities, in opdracht van het Ministerie van Binnenlandse Zaken (BZK). Aanleiding voor dit rapport is de toenemende interesse naar het open source publiceren van code door de overheid. Het rapport beoogt antwoord te geven op “hoe de wereld van open source eruitziet en hoe met open source communities kan worden samengewerkt.” Helaas slaagt het rapport er niet in om deze vragen te beantwoorden op een manier die de werkelijkheid recht doet, door een combinatie van verouderde bronnen, een antropologische onderzoeksopzet met een te nationale focus en een smalle vraagstelling naar alleen de persoonlijke motivaties van ontwikkelaars in ‘de community’ (en niet de motivaties van bedrijven en andere organisaties) . Wie het rapport leest, zou tot de conclusie kunnen komen dat open source nog onvolwassen is en wordt ingegeven door een naïef idealisme van een community van hobbyende nerds. Dat beeld is erg onvolledig. En dat is kwalijk, want de overheid – waaronder ook de beweging van Common Ground in de gemeentelijke overheid – steunt zwaar op open source.

Een snel groeiende miljardenmarkt

Voordat we bekijken wat er wereldwijd gebeurt op open source gebied, is het instructief om naar de schaal te kijken. Uit een jaarlijks onderzoek onder 1500 commerciële codebases in diverse bedrijfstakken blijkt dat 100% hiervan open source componenten bevat en dat gemiddeld 75% van de code bestaat uit open source componenten. Het gebruik van open source componenten is daarbij de afgelopen 5 jaar 259% gegroeid. De codebases die worden ondersteund door de Linux Foundation (die diverse open source projecten ondersteunt) bevatten meer dan 1 miljard regels code. Wekelijks worden hier 12,5 miljoen regels code aan toegevoegd. De geschatte waarde om deze code te laten ontwikkelen is 6 miljard euro. De code onder beheer van de Apache foundation is zelfs 18 miljard waard.

Om een gevoel te krijgen op projectniveau: alleen al een relatief klein open source project als het Content Management Systeem Drupal, waarvan door gemeenten dankbaar gebruikt gemaakt wordt, vertegenwoordigt een waarde van 67 miljoen dollar. Rondom het Drupal project is bovendien weer een heel ecosysteem ontstaan van duizenden open source modules met extra functionaliteit, dat nog veel meer waarde vertegenwoordigt dan het kernproject zelf.

En welke organisaties zitten achter deze onstuimige groei? Dat zal velen verbazen. De top 3 bijdragers op Github (het platform waar de meeste open source code te vinden is) zijn respectievelijk Microsoft, Google en pas op nummer 3 Red Hat, dat vanaf het begin als open source bedrijf is gestart. Overigens is Red Hat recentelijk voor 34 miljard dollar is overgenomen (de twee na grootste tech acquisitie ooit). Conclusie: open source is vooral big business, en geen hobbyisme.

Het draait om ecosystemen, niet om communities

Een deel van het vertekende beeld in het rapport is terug te voeren op de vraagstelling over ‘communities’, wat een beeld oproept van een verzameling individuen die zich om verschillende motieven verenigen. Die individuen zijn niet onbelangrijk, maar het gesprek zou mijns inziens echter veel meer moeten gaan over ‘ecosystemen’, ofwel organisaties en de zakelijke motieven om op open source software in te zetten. Als we de verwachting hebben dat er spontaan hordes vrijwillige nerds op gaan staan die mee gaan helpen met het verbeteren van, zeg, het digitale intakeproces van de hondenbelasting, dan komen we van een koude kermis thuis. Om precies dezelfde redenen dat burgers zich ook niet met andere saaie overheidsactiviteiten bezighouden: de motivatie ontbreekt simpelweg. De CoronaMelder community, die het rapport uitvoerig aanhaalt, is wat dat betreft de uitzondering die de regel bevestigt, doordat dat nu eens wél een interessant overheidsproject was met bovendien een grote maatschappelijke relevantie.

Gelukkig is de overheid niet afhankelijk van vrijwilligerswerk als het op open source software aankomt. Laten we eens proberen te begrijpen wat de oorzaak is van de stormachtige groei van open source software in de afgelopen tien jaar, door te kijken naar de zakelijke meerwaarde van open source.

Waarom zetten bedrijven in op open source?

Er zijn diverse overheidsspecifieke redenen om in te zetten op open source software, zoals transparantie van algoritmen en het idee dat publiek geld ook publieke code op moet leveren. Voor nu laten we deze argumenten even buiten beschouwing en onderzoeken we juist de harde zakelijke redenen waarom open source ook buiten de overheid zo’n vlucht heeft genomen. Het is daarbij interessant om niet alleen naar de motivaties te kijken voor hergebruik, maar ook naar de motivaties voor het zelf beschikbaar stellen van broncode. We beperken ons daarbij tot de hoofdlijnen.

Naast het hergebruik, kan ook het zelf vrijgeven van broncode waarde toevoegen voor een bedrijf.

Voor hergebruik is het belangrijkste argument simpelweg dat het veel tijd en geld uitspaart. Waarom zou je het wiel opnieuw uitvinden? Je bent echt niet de eerste die een website wil bouwen of een server wilt inrichten. Bijkomend voordeel is dat de code vaak al uitvoerig getest is in de praktijk in verschillende situaties, waardoor de open source bouwstenen een stuk robuuster, veiliger en betrouwbaarder zijn dan wanneer je als bedrijf vanaf nul zou beginnen. Merk op dat bij zakelijk gebruik van open source software de meeste waarde wordt toegevoegd door bouwstenen (zoals modules, frameworks, bibliotheken, etc.), waarmee vervolgens weer eigen software wordt ontwikkeld. De metafoor van legosteentjes dient zich aan. Uiteraard bestaat er ook kant-en-klare software (de playmobil metafoor), zoals OpenOffice, maar die levert vaak niet de grootste waarde voor bedrijven.

Naast het hergebruik, kan ook het zelf vrijgeven van broncode waarde toevoegen voor een bedrijf. De meerwaarde daarvan ligt wellicht iets minder voor de hand, maar de realisatie dat de meeste waarde in het lego-model zit en niet in het playmobil-model helpt hierbij. Het vrijgeven van je eigen lego-bouwstenen heeft als voordeel dat door breed gebruik deze bouwstenen veel beter (robuuster, veiliger, betrouwbaarder, …) worden. Dit is uiteraard ook in het belang van de organisatie die zelf code vrijgeeft. Ook is het gebruikelijk dat anderen verbeteringen doorvoeren aan je software. En als je een beetje geluk hebt, bouwt een ander dat extra bouwsteentje dat je zelf ook net nodig had.

Maar lopen bedrijven niet het risico dat ze daarmee hun concurrentievoordeel weggeven? Als iedereen je bouwstenen zo kan hergebruiken, dan kan iedereen toch ook je concurrent worden? Je ziet om die reden dat bedrijven altijd goed overwegen wat ze vrijgeven en wat niet. Een bedrijf als Google, om een voorbeeld te noemen, is in de kern een advertentiebedrijf. Echt concurrentiegevoelige software zoals het algoritme waarmee advertenties geserveerd worden, blijft een zwaarbewaakt bedrijfsgeheim. Google kon echter wél het risico nemen om software voor hun cloud infrastructuur als open source code vrij te geven, doordat Google door schaalvoordelen en netwerkeffecten een welhaast onneembare marktpositie heeft ingenomen. Het gaat bij dit soort projecten dus niet om alleen onbelangrijke projecten aan de rand van de organisatie, maar echt om de technische ruggengraat van organisaties.
Dat dit soort projecten een enorme waarde kunnen toevoegen voor hergebruikers, moge duidelijk zijn. De gemeente Stadskanaal kan nu ineens over dezelfde infrastructuur software beschikken die ervoor zorgt dat je op Google.com binnen milliseconden zoekresultaten op je scherm krijgt. En de state of the art kunstmatige intelligentie software van Google kan nu zelfs worden gebruikt door basisschoolleerlingen die leren programmeren. Hergebruik is doorgaans vele malen eenvoudiger dan zelf bouwen.

Hoe functioneren open source ecosystemen?

Je kunt open source software zien als een geheel aan bouwblokken die met elkaar samenwerken. Die bouwblokken bevinden zich op verschillende niveaus, van het niveau van servers tot aan de gebruikersinterface. Grote bouwblokken borduren vaak weer voort op kleinere bouwblokken. Dit alles gebeurt op een manier die zich beter laat kenmerken als een organisch groeiende markt waarbij elke marktkoopman zijn eigen beslissingen neemt dan de bouw van een kathedraal waarbij de blauwdruk vooraf is vastgesteld.

De standaardisatie van werkwijzen maakt het mogelijk om op grote schaal samen te werken tussen mensen die elkaar niet kennen.

Een belangrijk hulpmiddel om zonder grote nadruk op hiërarchie goed samen te werken vormt Github, een plek waar projecten hun broncode kunnen hosten (overigens is Github in 2018 overgekocht door Microsoft, ooit een fervent tegenstander van open source software; tijden veranderen). Github kun je zien als een ‘wijzigingen bijhouden’ functionaliteit in Word, waarbij iedereen beargumenteerd wijzigingsvoorstellen kan doen. Deze worden vervolgens al dan niet goedgekeurd door de eigenaren van een project. Deze de facto standaardisatie van werkwijzen maakt het mogelijk om op grote schaal samen te werken tussen mensen die elkaar niet kennen. Deze standaard werkwijze maakt het ook eenvoudiger om bouwblokken te hergebruiken: je kunt eenvoudig even onder de motorkap kijken als iets niet helemaal werkt zoals je had verwacht en een verbetering voorstellen als je zou willen dat een bouwblok nét even anders zou moeten werken.

Is er dan helemaal geen coördinatie meer nodig? Zeker wel. Een flink aantal organisaties ondersteunt open source ecosystemen en zorgt dat bouwblokken beter interoperabel en beter vermarkt worden, zoals de Linux Foundation, de Apache foundation en de Cloud Native Computing Foundation. Ook marktkooplui snappen dat het soms slim is om de handen ineen te slaan.

Het grootschalige hergebruik van bouwblokken is overigens niet louter rozengeur en maneschijn. Er zijn ook risico’s aan verbonden. Als er op laag niveau een beveiligingslek ontstaat in een veelgebruikte bouwsteen, dan levert dit over de hele wereld problemen op, zoals de heartbleed bug pijnlijk duidelijk maakte. In reactie hierop zijn er diverse niveaus security initiatieven zoals het Core Infrastructure Initiative gestart, die de beveiliging van essentiële projecten bewaakt. Onder meer de grote tech bedrijven, maar ook de Europese Unie dragen hier op grote schaal aan bij. Overigens geldt dit risico net zo goed (of zelfs meer) voor closed source bouwstenen die hergebruikt worden.

Wat betekent dit voor de Nederlandse overheid?

Terug naar het BZK rapport. Bestaat de community van zolderkamer programmeurs dan niet? Wel degelijk, maar de meeste open source bijdragen vinden gewoon plaats binnen werktijd. Geeft het rapport een goed inzicht “hoe de wereld van open source eruitziet”? Nee. Dit beeld kun je niet krijgen door internationale ontwikkelingen niet mee te nemen. Het overgrote deel van de in Nederland gebruikte open source broncode is tenslotte niet eens in Nederland geschreven.

Het beeld dat BZK-onderzoek naar open source communities neerzet is onvolledig. De gehele IT industrie rust op open source software. Ook commerciële software – in elke bedrijfstak – bestaat grotendeels uit open source software. Dat is niet voor niets. Dat is nodig voor de ontwikkelsnelheid, de wendbaarheid, de kosten en de acceptatie in de markt. Het is geen vraag of open source software volwassen is, of veilig of iets anders. De vraag is wanneer het grootste data-bedrijf van Nederland – de Nederlandse overheid – ontdekt dat ook zij strategische doelen heeft die beter gediend zijn met het hergebruiken én publiceren van open source software en daar naar handelt. Hoe dan? Dat is voer voor een volgend artikel.

Edo werkt als zelfstandig projectleider voor de digitale overheid. Hij was mede-initiatiefnemer en programmamanager van het overheidsbrede kennisnetwerk Gebruiker Centraal en werkte als communitymanager voor CoronaMelder. Momenteel werkt hij als projectleider voor Dimpact aan Common Ground projecten.
Dit artikel is tot stand gekomen mede dankzij Boris van Hoytema (Foundation for Public Code), Arjan Widlak (Stichting Kafkabrigade) en Martin de Bijl (Dimpact).