'We kunnen nog niet zonder Big Tech'

Het klinkt eenvoudig: minder Microsoft, minder Amerikaanse cloud, meer controle over eigen gegevens. In de praktijk stuiten publieke organisaties al op de eerste vraag: waar zitten die afhankelijkheden eigenlijk? Dat bleek tijdens een debat over digitale soevereiniteit, georganiseerd rond twintig jaar Forum Standaardisatie. Over één ding was iedereen het eens: een radicale migratie is niet realistisch. Maar niets doen ook niet. ‘Laten we eerst afpellen welk vraagstuk we hebben’, zei Marjan Vogel, secretaris-directeur van Het Waterschapshuis.

Het risico zit in het veld

Het Waterschapshuis is de IT-regieorganisatie voor de 21 waterschappen. Toen de sector zich ging buigen over cloud en digitale weerbaarheid, begon het met een nuchtere analyse: wat draait er feitelijk in de cloud, en welke risico’s horen daarbij? De uitkomst verraste deels. Niet de kantooromgeving bleek het grootste probleem, maar de technologie in het veld. ‘Datgene waar een waterschap toe op aarde is: droge voeten, schoon water, voldoende water, speelt zich af in de sluizen, de gemalen, de rioolwaterzuiveringsinstallaties.’ Die installaties draaien op operationele technologie (OT). En juist daar zit de leveranciersafhankelijkheid diep. ‘Daar heb je langjarige contracten van twintig, dertig jaar.’ Daarom pleit Vogel ervoor eerst de risico’s in kaart te brengen, dan te bepalen welke publieke waarden beschermd moeten worden, en pas daarna een handelingsperspectief te kiezen. Dat perspectief kan migratie zijn. Maar het kan ook iets anders zijn. ‘Het kan zijn dat we zeggen: we gaan overstappen naar een andere leverancier’, zei Vogel. ‘Maar het kan ook zijn dat we het hebben over exit-scenario’s of over een back-up.’

Autonomie is geen keuzemenu

Ook in het onderwijs en onderzoek blijkt soevereiniteit geen kwestie van een alternatief inkopen. Wladimir Mufty van SURF wees erop dat afhankelijkheid zich uitstrekt van netwerken en beveiliging tot identitymanagement, applicaties en documentformaten. Zelfs een rijk aanbod aan alternatieven lost dat niet automatisch op. Mufty noemde het voorbeeld van twintig vooraf gecontracteerde leveranciers, met uitonderhandelde prijzen, privacy- en securityafspraken. ‘En dan worden er toch maar drie aangeklikt.’ Zijn conclusie: ‘Als we alleen gaan werken naar keuzevrijheid, zijn we er niet. Het gaat erom welke keuzes we maken.’

Volgens Mufty wordt autonomie bovendien te vaak behandeld als een onnodig vaag ideaal. ‘Open standaarden of diensten als eduroam of govroam zijn geen idealisme. Het is gewoon een supergoed product: betaalbaar, schaalbaar, met security en privacy.’ Zijn zorg is dat leveranciers het woord soeverein gebruiken zonder dat er iets meetbaars achter zit. Zijn oproep: Maak soevereiniteit meetbaar, en stel ambities op rondom open standaarden, interoperabiliteit, alternatieven en aantoonbare exitmogelijkheden.

Gemeenten: koersvast inkopen

Bij gemeenten ligt de nadruk op de inkooprelatie. Jacco Brouwer schetste een hard beeld: gemeenten zijn voor naar schatting 90 tot 95 procent van hun digitalisering afhankelijk van de markt. ‘Als we digitalisering onafhankelijk moeten organiseren, betekent dat dat we de markt met ons mee moeten laten veranderen’, zei hij. ’Zet het maatschappelijk belang leidend; een gezond verdienmodel is voorwaardelijk.’
Leveranciers willen volgens Brouwer wel meebewegen. Maar ze vragen om iets wat overheden niet altijd kunnen bieden: voorspelbaarheid. ‘Wees koersvast. Niet over twee jaar, als er een nieuwe geopolitieke wind waait, zeggen: ‘Het mag nu ook wel ergens anders.’

Een gevoelige opgave ligt bij SaaS. Gemeenten gebruiken volgens Brouwer gemiddeld 400 tot 500 applicaties, waarvan 50 tot 70 procent SaaS is. ‘Die zitten in onze kritieke bedrijfsprocessen en het verwerken van persoonsgegevens. Die gegevens worden vaak opgeslagen op Amerikaanse platformen.’ Brouwer wil daarom toe naar een principebesluit: verwerking en opslag van gevoelige gegevens niet langer op platformen die onder extraterritoriale wetgeving vallen. Maar hij relativeert meteen: ‘Lifecycle management bepaalt het tempo van een verandering. Dit kun je niet overnacht omzetten.’ Hij rekent op een periode van vijf tot acht jaar om het applicatielandschap stap voor stap soevereiner te maken.

Niet wachten op de grote knip

Die lange termijn is geen excuus om niets te doen. Integendeel: juist omdat een migratie jaren duurt, moeten organisaties nu weten waar ze kwetsbaar zijn. ‘Als we gaan bekijken wat momenten zijn waarop een systeem vervangen moet worden of een aanbesteding afloopt, dan moet je die pakken’, zei Vogel. ‘En dan moet je een plan klaar hebben liggen met alternatieven.’

Ook Brouwer waarschuwde voor passiviteit. Over de kosten van cloud bij gemeenten is volgens hem te weinig bekend. ‘We weten het niet’, zei hij over de totale uitgaven. ‘Maar ik denk dat het essentieel is om dat in kaart te brengen.’ Zijn waarschuwing is concreet:prijzen stijgen, kortingen verdwijnen en contracten worden periodiek opnieuw onderhandeld. ‘Als je dan geen maatregelen hebt getroffen en niet hebt geïnvesteerd, kan ik je een briefje geven: de prijzen worden verhoogd.’

Dit artikel is ook gepubliceerd in iBestuur Magazine #60 van oktober 2026