Een meetlat is nuttig, maar hij is pas nuttig als die wordt gebruikt. In mei kwam de eerste die dat deed. Het IMG CIO-beraad zette een soevereiniteitsscan uit onder de leveranciers van de belangrijkste gemeentelijke ICT-diensten: 39 vragen over alle acht thema's, elk met een antwoordladder van SEAL-0 tot SEAL-4. Wij vulden die in voor het volledige portfolio van Centric Digitale Overheid en deelden de uitkomst met het CIO-beraad. Vanaf vandaag staat hij online.
Van meetlat naar meting
In april schreef ik dat soevereiniteit pas bruikbaar wordt als je haar kunt vergelijken en dat het EU Cloud Sovereignty Framework daarvoor de meetlat levert: acht thema's, per thema een SEAL-niveau van nul tot vier. In juli kwam het nieuwe cloudbeleid van Rijk en VNG. En op 16 september pleitte ik ervoor dat VNG diezelfde meetlat overneemt in haar handreiking Eisen aan gemeentelijke cloudvoorzieningen. Ik gaf in april al aan dat wij onze soevereiniteitssscan zouden publiceren. En dat doen we nu.
Hoe we hebben gemeten
Meten klinkt eenvoudiger dan het is. De vragenlijst van het CIO-beraad is een implementatie van het framework die op punten afwijkt van het origineel. Het framework kent één SEAL-niveau per thema, bepaald door alle bijdragende factoren in samenhang; de vragenlijst vraagt een score per deelvraag. Sommige antwoordladders veronderstellen bovendien een niet-EU-moederbedrijf met een Europese dochter. Dan past voor een volledig Nederlandse leverancier geen enkele optie precies.
Inmiddels is er een tweede implementatie: na die uitvraag publiceerde de Europese Commissie zelf een implementatieleidraad met rekensheet. Die is recenter, en wijkt weer af van de vragen van het CIO-beraad.
Welke volg je dan? Wij kozen het officiële framework als normatief anker, onderbouwd volgens zijn eigen definities. De vragen van het CIO-beraad houden we aan als leidraad, zodat onze antwoorden vergelijkbaar blijven met andere leveranciers. De onderwerpen uit de Europese leidraad nemen we mee. En bij elke vraag lezen we wat die betekent voor een SaaS-dienst voor de decentrale overheid. Zo kan iedereen onze keuzes controleren, ook wie het anders zou wegen.
'Elke organisatie worstelt met dezelfde vraag: wat mag je geloven van wat een leverancier over zijn eigen soevereiniteit zegt?'
Wat de scan laat zien
Op drie thema's is het beeld wat je van een Nederlands bedrijf mag verwachten. Strategisch (SOV-1) scoren alle diensten SEAL-4: Centric is volledig Nederlands eigendom, met uitsluitend Nederlandse uiteindelijk belanghebbenden en gefinancierd met eigen vermogen. Juridisch (SOV-2) geldt Nederlands recht voor elk contract, ligt al het intellectueel eigendom bij Centric en is er geen kanaal waarlangs een niet-EU-autoriteit ons tot toegang kan dwingen.
Operationeel (SOV-4) ontwikkelen en beheren we alle diensten met eigen mensen, met broncode en documentatie in eigen hand en een escrowregeling via de Stichting Softwarecontinuïteit Centric. Wie wil overstappen, naar ons of van ons weg, vindt een migratiepad.
Waar we lager scoren
Op de toeleveringsketen (SOV-5) staan we op SEAL-3. Wij vervaardigen geen hardware. Servers kopen we in en hosten we via colocatie in Nederland. Onze kritische contracten lopen met Europese entiteiten, maar die hebben zelf ketenafhankelijkheden waar wij geen greep op hebben. Dat geldt voor elke SaaS-leverancier. Het gaat er dan ook niet om zo hoog mogelijk te scoren, maar om zichtbaar te maken waar de afhankelijkheden zitten.
Ook op technologie (SOV-6) en data (SOV-3) staan we op SEAL-3. Een deel van onze diensten draait op Windows Server met Oracle of MS SQL, en enkele nog in Microsoft Azure of AWS. Bewezen platforms, versleuteld en binnen de EU, maar met afhankelijkheden van buiten de Unie. Voor 2028 willen we die diensten naar onze eigen soevereine cloud brengen.
Eén label per dienst
Acht thema's per dienst geven een gedetailleerd beeld, maar is minder handzaam voor een gesprek met beleidsmakers. Daarom vertalen we, net als in april, de gewogen totaalscore naar één soevereiniteitslabel van A tot E. Zes van onze diensten scoren label A, de overige label B. Voor een Nederlandse partij is dat een logisch vertrekpunt. Zeker geen eindpunt.
Wie volgt?
Het CIO-beraad vroeg deze scan namens gemeenten die hun leveranciers willen vergelijken. Elke organisatie worstelt met dezelfde vraag: wat mag je geloven van wat een leverancier over zijn eigen soevereiniteit zegt? Het antwoord van één leverancier lost dat niet op. Maar zwijgen lost het al helemaal niet op.
Daarom maken wij onze antwoorden openbaar. Niet omdat onze diensten volledig soeverein zijn, maar omdat gemeenten hun eigen afhankelijkheden pas zien als leveranciers transparant zijn. Het denken over soevereiniteit staat niet stil, dus we werken de scan bij zodra het framework of onze dienstverlening verandert.
Soevereiniteitsscan
Vraag hier de soevereiniteitsscan op. De meetlat ligt er. Eén meting is gedaan. Ik ben benieuwd wie
de volgende is.
Auteur kennisbijdrage: Willam van Weelden - Chief Portfolio & Innovatie Officer bij Centric.
Plaats een reactie
U moet ingelogd zijn om een reactie te kunnen plaatsen.