Digitale soevereiniteit en digitale autonomie

'Digitale soevereiniteit’ en ‘digitale autonomie’ worden vaak door elkaar gebruikt, maar beantwoorden feitelijk twee verschillende vragen. Soevereiniteit is een juridisch-bestuurlijk begrip: wie heeft het gezag, welke wetgeving is van toepassing, en hoe afdwingbaar is die wetgeving? Een systeem kan volledig binnen de EU functioneren en toch onderhevig zijn aan buitenlandse jurisdictie wanneer de leverancier onder een andere rechtsorde valt. Daarom wordt de Amerikaanse CLOUD Act vaak  genoemd in discussies over digitale soevereiniteit. De zorg is daarbij niet zozeer waar data fysiek staat, maar onder welke juridische bevoegdheden deze valt. Ook binnen Europa bestaan mechanismen voor grensoverschrijdende gegevensvorderingen, zoals de eEvidence-verordening, al verschillen doel, reikwijdte en juridische context wezenlijk van de CLOUD Act. 

Autonomie stelt een andere vraag: kan een organisatie zelfstandig blijven functioneren als de  omstandigheden veranderen? Dat is minder juridisch dan operationeel: het gaat om continuïteit en het vermogen om een plan B — en bij voorkeur plan C — te activeren wanneer bijvoorbeeld een  leverancier wegvalt of door geopolitieke spanningen de toegang tot technologie beperkt wordt. Autonomie draait om handelingsvrijheid: heb je alternatieven, zijn er opties, of zit je vast aan één partij?

Het onderscheid is meer dan academisch. Een organisatie kan juridisch volledig soeverein zijn en toch weinig autonomie hebben, omdat er in de praktijk maar één realistische leverancier is. Omgekeerd kan een organisatie autonoom zijn dankzij goede uitwijkmogelijkheden, terwijl de juridische soevereiniteit beperkt blijft. Beide dimensies zijn nodig voor een compleet beeld.

Urgentie en actie

Het intrekken van Microsoft-licenties bij functionarissen van het Internationaal Strafhof, maar ook recent het intrekken van de domeinnaam van het in Autistici/Inventati internetplatform werkte als een wake-upcall: afhankelijkheid van buitenlandse technologieleveranciers is niet slechts een hypothetisch risico. Nederland heeft die erkenning beleidsmatig verankerd. De Nederlandse Digitaliseringsstrategie (NDS, juli 2025) noemt 'cloud als digitaal fundament' als eerste prioriteit, met een verkenning, en nu ook de Proof of Concept realisatie, van een soevereine overheidscloud. De DOSA-agenda trekt dit breder dan de overheid, en het coalitieakkoord 2026-2030 maakt digitale autonomie in brede zin uitgangspunt van beleid. Geen van deze stukken pleit gelukkig voor volledige loskoppeling, wat niet alleen ongewenst maar ook onnodig is -  de teneur is telkens risicogebaseerd en gefaseerd.

Voor overheidsorganisaties is dit vraagstuk indringender dan voor de meeste sectoren. Uitvoeringsorganisaties als Logius, UWV, Belastingdienst en DUO beheren basisregistraties en persoonsgegevens op grote schaal; bij politie, OM en Defensie komen daar classificatieniveaus bij tot en met staatsgeheim vertrouwelijk en hoger. Daarnaast is er de politieke gevoeligheid: een storing bij een private onderneming is een zakelijk risico, bij een uitvoeringsorganisatie al snel een politieke kwestie met Kamervragen en veel publiciteit, waardoor objectieve, neutrale risico-inschatting paradoxaal lastiger wordt. Ten slotte zijn publieke diensten zelden losstaand (er wordt veel in zogenaamde ketens gewerkt) — een leverancierswissel raakt al snel een breder ecosysteem van afhankelijke processen.

Risico als vertrekpunt

De meest bruikbare denklijn in de beleidsstukken is dat risicomanagement het vertrekpunt moet zijn, niet een controle achteraf: eerst inventariseren welke risico's spelen, vervolgens kans en impact vaststellen, en pas daarna bepalen welke mate van soevereiniteit en autonomie noodzakelijk is. Wat als 'acceptabel risico' geldt, verschilt sterk per organisatie en dataset — een kwestie van risicobereidheid die expliciet gemaakt moet worden voordat sourcingbeslissingen verantwoord kunnen worden genomen.

Om dit hanteerbaar te maken, wordt Europees gewerkt met Sovereignty Effectiveness Assurance Levels (SEAL), lopend van niveau 0 (volledige controle door niet-EU-partijen) tot niveau 4 (volledige EU-controle). Door de technologische laag, de ontwikkelfase en het classificatieniveau van data te combineren, ontstaat een genuanceerder beeld dan het simpele "wel of niet in de cloud"-debat suggereert.

Geen eindpunt

Een terugkerende denkfout is dat digitale soevereiniteit een eindpunt is: ofwel je bent het, ofwel niet. In de praktijk is het technologielandschap eerder een continuüm — van volledig on-premise beheer tot volledige inzet van publieke cloudplatformen, met hybride tussenvormen. De vraag is niet óf de publieke cloud mag worden gebruikt, maar welke workloads, onder welke voorwaarden, passend zijn. Organisaties willen graag van de voordelen van (public) cloud gebruik blijven maken, zoals de schaalbaarheid, beschikbaarheid, veiligheid, flexibiliteit en innovatie.

Het Strategisch Leveranciersmanagement Rijk speelt hierin een coördinerende rol: het bewaakt of cloudleveranciers voldoen aan Europese wetgeving, en liet — samen met GreenbergTraurig — onderzoek doen naar soevereiniteitsrisico's van aanbiedingen zoals de AWS European Sovereign Cloud. Onafhankelijke toetsing is essentieel, juist omdat leveranciers zelf belang hebben bij een gunstige framing van hun claims.

Blijvend vraagstuk

Het meest fundamentele inzicht is dat digitale soevereiniteit en autonomie geen eenmalige beslissing zijn, maar een doorlopend proces van afwegen en bijstellen. Technologie verandert, geopolitieke verhoudingen verschuiven. Wat vandaag acceptabel is, kan dat over vijf jaar niet meer zijn.