Cloud- en datasoevereiniteit is op 14 oktober het thema van de tweede editie van de Dag van de Interoperabiliteit. In de aanloop naar het seminar blikt iBestuur vooruit met Reijer Passchier en Larissa Zegveld. Forum Standaardisatie ziet de toepassing van open standaarden afvlakt. Moeten we het dan gaan verplichten? 'Liever zie ik dat bestuurders zelf de handschoen oppakken en gaan sturen.'
Wie de standaarden bepaalt heeft de macht
Bestuurders hebben doorgaans weinig op met thema’s als standaarden of codes in de technologie. Toch ligt hier de sleutel om digitaal meer onafhankelijk te worden en macht naar je toe te trekken. Maar je moet wel bereid zijn hier tijd en aandacht aan te besteden en er consequent op te gaan sturen, zoals je als bestuurder ook op financiën stuurt.
Reijer Passchier, hoogleraar Digitalisering en de democratische rechtsstaat aan de Open Universiteit, kan niet genoeg benadrukken hoe belangrijk de keuze voor open standaarden is. ‘Standaarden zijn heel dwingend, want ze bepalen hoe formulieren eruit zien, maar ook hoe technologie geprogrammeerd is en hoeveel privacy mensen uiteindelijk genieten of hoe gebruikersvriendelijk producten zijn.’ Die regels, die standaarden, worden vastgelegd in een computercode die op dit moment in hoge mate wordt bepaald door enkele Big Tech bedrijven.
Het bepalen van standaarden is een hele belangrijke vorm van machtsuitoefening in onze samenleving
Reijer Passchier, hoogleraar Digitalisering en de democratische rechtsstaat aan de Open Universiteit
‘Dat betekent dat de regels dus niet vastgelegd worden door politici en ambtenaren in Den Haag of Brussel, zelfs niet in Washington, maar door enkele bestuurders, grootaandeelhouders en misschien wat computerprogrammeurs in Silicon Valley en Seattle. En we weten dat die maar in drie dingen geïnteresseerd zijn: winst, groei en macht.’
‘Het bepalen van standaarden is een hele belangrijke vorm van machtsuitoefening in onze samenleving’, stelt Passchier. Nederlandse bestuurders kunnen weer macht naar zich toetrekken met het toepassen van open standaarden die stroken met onze democratische rechtsstatelijke waarden.
Digitale verslaving
Dan komt wel de vraag: Ben je bereid om je hiervoor hard te maken? . En ben je bereid om te accepteren dat je te maken krijgt met onder andere een (tijdelijke) functionaliteitsvermindering? Microsoft en Google bieden gebruikersgemak, alles wordt je op een presenteerblaadje aangeboden, zegt Larissa Zegveld, voorzitter Forum Standaardisatie. Dit werkt als een verslaving. Er zijn alternatieven, maar die bieden nog niet altijd hetzelfde niveau. ‘Natuurlijk, ik hoor regelmatig dat bestuurders zich zorgen maken over de veiligheid en beschikbaarheid van hun data en dat ze meer digitaal soeverein willen zijn.Steeds vaker wordt daarbij gezegd: de vrijblijvendheid moet eraf en verplicht het maar.’
Ook op de iBestuur Conferentie was dat geluid te horen. De regel “Pas toe of leg uit” zou vooral een uitvlucht bieden om iets vooral maar niet te hoeven doen. De Wet digitale overheid, waarin een aantal standaarden verplicht werd, heeft nog weinig veranderd, zegt Zegveld. ‘Dus we kijken nu naar het spectrum toezicht en handhaving. Maar ook dat vinden we in Nederland dan weer lastig. Steeds meer bestuurders vinden dat de vrijblijvendheid eraf moet, maar als het verplicht wordt horen we “ja maar dan krijg ik mijn achterban niet mee”.’ Vanuit Forum Standaardisatie denken we uiteraard mee over instrumentaria voor toezicht en handhaving, maar persoonlijk vind ik het sterker als bestuurders zelf de handschoen oppakken en gaan sturen. Waarbij elkaar onderling aanspreken een passend mechanisme is als je het hebt over handhaving.
Wat is soevereiniteit je waard?
Het is niet makkelijk om je terug te trekken uit een public cloud van Microsoft of Amazon, begrijpt Passchier, want daar draaien allerlei applicaties en data in, geprogrammeerd en geordend volgens de standaarden van die specifieke cloud. ‘We hebben te maken met enorme zogenaamde vendor lock-ins. En vergeet niet, ook je personeel is gewend om met die cloud te werken. Je ICT'ers hebben allerlei Microsoft-certificaten waar ze trots op zijn. Ze hebben daar hun carrière op gebouwd. Dus als je als bestuurder wat anders wilt, dan zijn dat allemaal barrières die je moet overwinnen.’
‘Het is daarmee eigenlijk werk dat je als bestuurder regelmatig verricht; veranderingen doorvoeren en daarbij keuzes maken, zegt Larissa Zegveld. Hoe belangrijk vind je digitale soevereiniteit en wat wil je inzetten om dat te bereiken? ‘Er daarbij kan gebruikgemaakt worden van alles wat al ontwikkeld is. Er zijn ook al veel experts en ondersteuning op dit gebied. Misschien moeten we dat laatste nog meer centraal organiseren. We hebben tijdens een werkbezoek in Londen gezien dat dat kan helpen, maar het is niet de hele oplossing. Het meest belangrijk is toch de bestuurlijke prioritering.’
Ben je bereid bent enige concessies te doen als het gaat gebruikersgemak ten gunste van de kwaliteit van de digitale dienstverlening én van de democratische waarde van de samenleving
Larissa Zegveld, voorzitter Forum Standaardisatie
Nederlandse Digitaliseringsstratgie
Naast meer soevereiniteit is ook het uitwisselen van gegevens een belangrijke motivatie om open standaarden toe te passen. Het is een van de belangrijke doelstellingen van de Nederlandse Digitaliseringsstrategie. Open standaarden zorgen ervoor dat verschillende systemen en databronnen dezelfde "taal" spreken, waardoor datasets eenvoudiger gecombineerd en hergebruikt kunnen worden in nieuwe toepassingen.
Larissa Zegveld is lid geworden van de NDS-raad. Ze is blij dat bestuurders na het wegvallen van Zsolt Szabó de handschoen hebben opgepakt om de NDS door te zetten. ‘Ik had eerlijk gezegd verwacht dat we een jaar terug zouden gaan in de tijd, maar dat is niet gebeurd.’ Het komt er nu op aan samen te investeren. ‘Dus bestuurder, ben je bereid om je eigen IT-plannen in te zetten voor het collectief? En ben je bereid bent enige concessies te doen als het gaat gebruikersgemak ten gunste van de kwaliteit van de digitale dienstverlening én van de democratische waarde van de samenleving.’
ICT als strategisch en rechtsstatelijk belang
Passchier is geen bestuurder of ICT’er, maar hij wil vanuit zijn discipline bestuurders wel een paar belangrijke principes meegeven: ‘Zie ICT niet langer als iets puur technisch, maar als iets van het allerhoogste strategische en rechtsstatelijk belang. En benader ICT vooral ook op multidisciplinaire wijze. Haal er strategen en juristen bij. Je moet mensen erbij hebben met kennis van semantiek en die snappen hoe de macht werkt.’
Lees ook:
14 oktober: Dag van de interoperabiliteit
De tweede editie van de Dag van de Interoperabiliteit staat in het teken van cloud- en datasoevereiniteit. Reijer Passchier en Maxim Februari verzorgen die dag een keynote. Ook kunt u diverse breakoutsessies volgen over initiatieven, actuele oplossingen en (aankomende) regelgeving op het gebied van cloud- en datasoevereiniteit. Aan het einde van de dag wordt de Goude API uitgereikt.
Plaats een reactie
U moet ingelogd zijn om een reactie te kunnen plaatsen.
De echte vraag, die Zegveld en Passchier opwerpen, is een leiderschapsvraag: Welke bestuurder heeft de moed om te sturen op de fundamenten van onze digitale toekomst in plaats van op de oppervlakkige functionaliteit van vandaag? DAT is de kern.
De discussie over digitale soevereiniteit is inderdaad geen technologisch probleem, maar een bestuurlijk en strategisch probleem met een technologische oplossing.
De techniek is er allang, wat ontbreekt is de sturing. Wereldwijd zijn er meer dan 600 normalisatieorganisaties die standaarden opstellen. Er is dus niet bepaald een gebrek aan standaarden, maar wel aan verstandige sturing op de toepassing en koppeling ervan. Frameworks zoals het International Data Spaces Reference Architecture Model (IDS-RAM) en de ETSI-standaard NGSI-LD zijn precies de instrumenten die nodig zijn om deze complexiteit te beheersen, net als de puur Nederlandse frameworks als www.ishare.eu en de FAIR Principles (https://www.lifes.institute/)."
Je doet namelijk altijd IETS met waarde toevoegen, waarvoor je een vorm van data nodig hebt (en dus techniek) en dat doe je binnen een notie van afspraken (compliance) en als je dat aan elkaar kunt uitleggen kun je alles. Als je elkaar niet begrijpt, hoe leg je dan de technische specificaties of terminologie uit die je gebruikt? Als je elkaar niet kunt plaatsen, hoe kun je dan je rol en verantwoordelijkheden verduidelijken? Als je elkaar niet kunt vinden, welke technische hulpmiddelen of platforms zet je dan in om iets werkend te krijgen? Hoe optimaliseer je interne systemen om de zichtbaarheid en vindbaarheid van je informatie te verbeteren?
Hoe verbeteren we onze interne netwerken en contactpunten? Wat is het lastigste bij het vinden van de juiste informatie of contactpersonen? Hoe bevorder je eigenlijk een cultuur van open communicatie en samenwerking?
IDS-RAM creëert een architectuur voor veilige, soevereine data-uitwisseling. Het stelt de regels vast wie data mag gebruiken, onder welke voorwaarden en zonder de data fysiek te verplaatsen naar een centrale hub. (er bestaat niet zoiets als 'een cloud', een cloud is het wolkje icoon in archimate dat je gebruikt om aan digibeten uit te leggen dat data 'ergens' staat) NGSI-LD biedt de semantische lijm. Het zorgt ervoor dat data uit verschillende systemen, die verschillende standaarden gebruiken, dezelfde 'taal' spreken. Het mapt de betekenis van data, zodat een 'patiënt' in systeem A hetzelfde betekent als een 'cliënt' in systeem B. Het werk van instituten, zoals LiFeS bewijst dat dit technisch haalbaar is. Ze tonen aan dat je een gigantisch data-ecosysteem kunt bouwen dat niet afhankelijk is van één enkele leverancier. iShare zorgt voor het Trust & Governance framework dat je weet wie nou Data Eigenaar, Data Leverancier of Data Consument is, hoe je ze herkent (identificatie) en wat ze dan mogen (autorisatie).
De puzzelstukjes liggen allang op tafel.
Wat dit iBestuur artikel wel goed stelt is de paradox tussen wens en daadkracht.
Bestuurders erkennen echt wel de dreiging van vendor lock-in en het verlies van controle over data. Ze spreken de taal van digitale soevereiniteit, alleen ... ze handelen er niet naar. Dit redt je niet met 'Wie Gaat d'rover?'. Zo blijft de "verslaving" aan het gebruikersgemak van Big Tech, zoals Zegveld het noemt, te sterk. De kortetermijnkosten van verandering (tijdelijk minder functionaliteit, weerstand van personeel, investeringen) wegen zwaarder dan het langetermijnrisico van afhankelijkheid. Ook Passchiers analyse is correct: standaarden zijn een vorm van macht. Door de keuze voor standaarden over te laten aan de markt—die gedomineerd wordt door enkele grote spelers—geven we die macht uit handen. Het argument "Pas toe of leg uit" is allang een zwaktebod geworden omdat de "uitleg" te vaak neerkomt op "het is te moeilijk" of "het product van leverancier X werkt nu eenmaal handiger." Je kunt hier omheen door te redereren vanuit de Data Governance en niet vanuit de content. Bestuurders hoeven echt geen code te begrijpen, maar ze moeten wel - eindelijk eens - op de principes gaan sturen, net zoals ze op financiën sturen zonder zelf accountant te zijn of op 'security by check in a box - in control verklaringen' zonder asset manager of cybersecurity expert te zijn. Zoals Passchier suggereert, moet ICT dus uit de technische hoek worden gehaald. Het is een strategisch en rechtsstatelijk fundament. Open standaarden zijn dus geen technisch detail; het zijn de grondwettelijke artikelen van onze digitale infrastructuur. Ze bepalen de vrijheid, veiligheid en autonomie van onze organisaties en samenleving. De échte macht zit in de betekenis van data en die vloeit voort uit de gebruikscontext. Als bestuurder moet u vragen: "Spreken onze systemen dezelfde taal? Is de betekenis van onze data eenduidig vastgelegd in een open model (zoals NGSI-LD) of is die opgesloten in de software van één leverancier?" Dit is een governance-vraag, geen IT-vraag. De meest effectieve manier om zo'n verandering af te dwingen is via de portemonnee. Neem de verplichte toepassing van open standaarden (zoals de 'comply or explain'-lijst van het Forum Standaardisatie) op als een harde eis in alle ICT-aanbestedingen. De bewijslast komt dan bij de markt te liggen om oplossingen te bieden die hieraan voldoen. Geen open standaarden? Geen contract. Pak daar ook meteen de eis voor datakwaliteit bewaking bij. Standaarden genoeg: ISO 8000, FAIR Principles ...
En ja, geen verandering zonder frictie. Er zal weerstand zijn van ICT'ers die hun Microsoft-certificaten koesteren of werken binnen een bloedgroepcultuur. Ja, een open source alternatief heeft misschien tijdelijk niet alle functionaliteiten van een gevestigd product. De vraag die een bestuurder moet stellen is: "Wat is soevereiniteit ons waard?" Is het de moeite waard om op de korte termijn concessies te doen voor strategische onafhankelijkheid op de lange termijn? Hij/zij zal sowieso wel moeten, want NIS2, EU Data Act etc eisen vooral ook van de Bestuurder ongekende transparantie.
De instrumenten zijn er echt wel, maar nu is het tijd voor bestuurders en architecten om ze ook concreet te gebruiken.