Digitale soevereiniteit begint met weten waarvan je afhankelijk bent

Juist die vraag raakt voor mij de kern van digitale soevereiniteit. Daarbij denk ik niet in de eerste plaats aan het vervangen van buitenlandse technologie of het onder Nederlandse controle brengen van alle data en systemen. Volledige onafhankelijkheid is voor de meeste organisaties niet realistisch en ook niet noodzakelijk. Het gaat erom dat je weet waarvan je afhankelijk bent en controle houdt om belangrijke processen voort te zetten en het vermogen hebben om zelfstandig te beslissen, handelen, overstappen en herstellen.

Dat wordt steeds urgenter. Geopolitieke spanningen, veranderende handelsverhoudingen en de snelle opkomst van AI laten zien dat technologie niet losstaat van politieke en economische ontwikkelingen. Wanneer een leverancier wegvalt, voorwaarden wijzigt of een dienst tijdelijk niet beschikbaar is, kan een technische afhankelijkheid plotseling een bestuurlijk probleem worden.

Veel urgentie, beperkte bestuurlijke verankering

Het bewustzijn groeit, maar bestuurlijke actie blijft achter. Zo vreest 89 procent van de Nederlandse organisaties dat geopolitieke spanningen belangrijke bedrijfsactiviteiten kunnen verstoren. Toch heeft slechts 23 procent digitale soevereiniteit structureel op bestuursniveau belegd. Daar ligt wat mij betreft de belangrijkste uitdaging. Zolang digitale soevereiniteit vooral als technisch dossier wordt behandeld, bestaat het risico dat organisaties investeren in losse maatregelen zonder fundamentele keuzes te maken. Technologie raakt niet alleen de IT-afdeling, maar de continuïteit van de hele organisatie. Daarmee is het ook een verantwoordelijkheid van het bestuur.

Voor publieke organisaties is dat extra relevant. Hun dienstverlening moet doorgaan, ook als een leverancier uitvalt of geopolitieke ontwikkelingen technologie onder druk zetten. Daarom moeten bestuurders vooral weten welke processen kritiek zijn en waarvan die afhankelijk zijn. Daarin zijn wendbaarheid, weerbaarheid en keuzevrijheid elementair.

Niet alleen de herkomst bepaalt het risico

De discussie over digitale soevereiniteit wordt regelmatig teruggebracht tot de vraag of een leverancier Nederlands, Europees of Amerikaans is. De herkomst van technologie kan relevant zijn, maar bepaalt niet als enige hoeveel risico een organisatie loopt. Ook een Europese oplossing kan een kwetsbare afhankelijkheid vormen als er geen werkbaar alternatief beschikbaar is. Andersom kan een niet-Europese leverancier onderdeel zijn van een verantwoorde strategie, mits een organisatie de juiste inzichten, controle en reële uitwijkmogelijkheden heeft.

De belangrijkste vraag is daarom: kan één externe partij de organisatie belemmeren om haar belangrijkste processen voort te zetten? Veel organisaties weten dat nog onvoldoende. Slechts 16 procent heeft volledig zicht op de eigen digitale leveranciersketen in de gehele digitale stack. Daardoor blijft vaak onduidelijk van welke technologie kritieke processen afhankelijk zijn en waar de grootste risico’s zitten.

Digitale soevereiniteit gaat over autonomie

Voor mij draait digitale soevereiniteit vooral om autonomie. Niet alles zelf willen doen, maar wel zelf in controle blijven. Dat vraagt om prioriteiten. Niet iedere applicatie of leverancier is even belangrijk. Het uitvallen van een ondersteunend systeem heeft een andere impact dan het wegvallen van een platform waarop primaire dienstverlening draait. Een exitstrategie is daarbij pas waardevol als deze ook is getest en zorgt voor operationele omkeerbaarheid. Een tweede leverancier noemen in een beleidsdocument betekent nog niet dat een organisatie kan overstappen. Data moeten overdraagbaar zijn, systemen moeten op elkaar aansluiten en medewerkers moeten weten wat zij bij een verstoring moeten doen.

Bijna de helft van de Nederlandse organisaties overweegt een Chief Sovereignty Officer aan te stellen, terwijl slechts 7 procent die functie al heeft ingevuld. Zo’n rol kan helpen om samenhang aan te brengen en vooral de besluitvorming te stroomlijnen, maar een nieuwe functietitel is geen oplossing op zichzelf. Digitale soevereiniteit moet onderdeel worden van bestaande besluitvorming over continuïteit, risico, inkoop, architectuur, cybersecurity en innovatie.

AI creëert nieuwe afhankelijkheden

De snelle opkomst van AI voegt een nieuwe laag toe. Van de Nederlandse organisaties beschouwt 59 procent AI als een hoog risico voor het voortzetten van belangrijke bedrijfsprocessen. Die afhankelijkheid gaat verder dan toegang tot een AI-model. AI-toepassingen zijn ook afhankelijk van data, rekencapaciteit, software, cybersecurity en intellectueel eigendom. Wie toepassingen volledig rond één model- of cloudleverancier bouwt, kan ongemerkt een nieuwe concentratie van risico creëren.

Bestuurders moeten bij investeringen in AI daarom niet alleen kijken naar functionaliteit, snelheid en productiviteit. Ook dataportabiliteit, intellectueel eigendom, leveranciersafhankelijkheid en uitwijkmogelijkheden horen aan de bestuurstafel thuis. Dat betekent niet dat organisaties innovatie moeten afremmen. Het betekent dat zij bewust moeten innoveren, zonder afhankelijkheden te creëren die later moeilijk te doorbreken zijn.

Begin bij wat niet mag uitvallen

Een praktische aanpak begint bij de processen die niet mogen uitvallen. Breng vervolgens de belangrijkste afhankelijkheden in kaart en bepaal welke risico's acceptabel zijn. Organisaties kunnen afhankelijkheden spreiden, kritieke processen extra beschermen of een exitstrategie voorbereiden.