Van digitale afhankelijkheid naar bestuurbare digitale weerbaarheid
Kwartaalupdate zomer 2026
Digitale soevereiniteit was lange tijd vooral een strategisch begrip. Inmiddels krijgt het steeds concreter vorm in beleid, wetgeving en de manier waarop publieke organisaties hun digitale infrastructuur organiseren. De zomer van 2026 laat dat duidelijk zien. Het kabinet scherpt het Rijkscloudbeleid aan, toezichthouders roepen op tot meer digitale autonomie en binnen de Rijksoverheid wordt gewerkt aan een soevereine digitale werkomgeving. Tegelijkertijd zijn de nieuwe Nederlandse wetten voor cybersecurity en de weerbaarheid van kritieke entiteiten in werking getreden.
TEKST: SANDER HULSMAN BEELD: ENVATO
De rode draad is een verschuiving van afhankelijkheid naar bestuurbaarheid. Niet volledige onafhankelijkheid van technologie en leveranciers is het doel, maar voldoende regie om ook onder veranderende omstandigheden keuzes te kunnen maken.
Digitale soevereiniteit wordt concreet
Een van de belangrijkste ontwikkelingen deze zomer was de aanscherping van het Rijkscloudbeleid. Het kabinet maakte op 3 juli bekend dat Rijksorganisaties bij het gebruik van clouddiensten nadrukkelijker rekening moeten houden met geopolitieke risico’s en afhankelijkheden. Voor belangrijke diensten moeten organisaties een cloudstrategie en exit-mogelijkheden hebben. Voor kritieke overheidstaken wordt het gebruik van publieke clouddiensten van aanbieders die onder wetgeving buiten de EU of EER vallen bovendien verder beperkt.
Daarmee verandert de aard van het cloudvraagstuk. Cloud is niet langer alleen een kwestie van kosten, schaalbaarheid en informatiebeveiliging. Ook de vraag hoe gemakkelijk een organisatie kan overstappen wanneer omstandigheden veranderen wordt onderdeel van het beleid.
Digitale autonomie betekent niet dat de overheid alles zelf moet doen
Dat werd kort daarna onderstreept door vijf Nederlandse toezichthouders. ACM, AFM, AP, DNB en RDI publiceerden op 10 juli hun rapport De route naar digitale autonomie. Zij wijzen op de groeiende afhankelijkheid van een beperkt aantal technologiebedrijven en pleiten ervoor digitale autonomie nadrukkelijk mee te nemen bij IT-inkoop. Daarbij gaat het volgens de toezichthouders niet om volledige onafhankelijkheid, maar om keuzevrijheid, interoperabiliteit, open standaarden en de mogelijkheid om van leverancier te wisselen.
Dat is misschien wel de belangrijkste verschuiving in het debat. Digitale autonomie betekent niet dat de overheid alles zelf moet doen. Het betekent dat zij niet zó afhankelijk wordt dat zij niet meer kan kiezen.
Praktische uitwerking
Die gedachte wordt inmiddels ook praktisch uitgewerkt. Binnen de Rijksoverheid werken DICTU, SSC-ICT en DUO-ICT aan een soevereine digitale werkomgeving. Daarbij wordt gekeken naar onder meer samenwerking rond bestanden, mail en andere onderdelen van de digitale werkplek.
Ook de Belastingdienst heeft digitale autonomie expliciet tot prioriteit gemaakt, met onder andere meer eigen IT-beheer, uitbreiding van eigen infrastructuur en verdere inzet van open source.
In de onderwijs- en onderzoekssector zien we een vergelijkbare beweging. SURF publiceerde in juli een DPIA voor Nextcloud Enterprise, waarmee een open-source alternatief voor samenwerking en bestandsbeheer verder beschikbaar komt binnen de sector.
Deze ontwikkelingen maken duidelijk dat digitale soevereiniteit steeds minder draait om één specifieke technologie. Het gaat om de bestuurbaarheid van de hele digitale keten, te weten infrastructuur, software, data, leveranciers, kennis en de mogelijkheid om onderdelen daarvan te vervangen.
Van cybersecurity naar brede weerbaarheid
Tegelijkertijd wordt ook het begrip digitale weerbaarheid breder. Op 15 augustus traden de Nederlandse Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten (Wwke) in werking. Daarmee zijn de Europese NIS2- en CER-richtlijnen vertaald naar Nederlandse wetgeving. De nieuwe regels brengen verplichtingen met zich mee voor duizenden organisaties en leggen nadrukkelijker de verantwoordelijkheid voor continuïteit en weerbaarheid bij organisaties zelf. Daarmee verschuift de focus van uitsluitend cybersecurity naar de bredere vraag of een organisatie haar essentiële dienstverlening kan blijven uitvoeren wanneer systemen, leveranciers of infrastructuur worden verstoord.
Dat is een wezenlijk andere benadering van weerbaarheid. Een organisatie kan haar cybersecurity uitstekend op orde hebben en toch kwetsbaar zijn wanneer een cruciale leverancier uitvalt, een systeem niet kan worden vervangen of essentiële kennis slechts bij één externe partij aanwezig is.
Eigen kennis en beheer kunnen niet alleen afhankelijkheden verkleinen, maar ook het herstelvermogen vergroten
Juist daarom raken digitale soevereiniteit en weerbaarheid elkaar. Een exit-strategie voor een cloudleverancier is bijvoorbeeld niet alleen een soevereiniteitsmaatregel. Het is ook een maatregel voor continuïteit. Open standaarden vergroten niet alleen keuzevrijheid, maar kunnen ook de mogelijkheid versterken om bij verstoring over te stappen. Eigen kennis en beheer kunnen niet alleen afhankelijkheden verkleinen, maar ook het herstelvermogen vergroten.
Ook in de publieke infrastructuur wordt die bredere benadering zichtbaar. De Nederlandse waterschappen werken samen aan digitale weerbaarheid, onder meer door kennis, expertise en voorzieningen gezamenlijk te organiseren. De ontwikkeling is daarmee groter dan de implementatie van NIS2 of CER. Weerbaarheid wordt steeds meer gezien als het vermogen van een organisatie en haar keten om verstoringen op te vangen en de dienstverlening voort te zetten.
Europa kijkt naar dezelfde afhankelijkheden
Nederland staat hierin niet alleen. De Europese Commissie startte op 8 juli een consultatie over datasoevereiniteit en de risico’s van internationale datastromen. Daarmee onderzoekt de Commissie hoe Europese organisaties hun controle over data en digitale infrastructuur kunnen versterken in een wereld waarin technologie, regelgeving en geopolitiek steeds sterker met elkaar verbonden raken.
Ook bij AI wordt die discussie steeds strategischer. Het European AI Office publiceerde in juli de bevindingen van meer dan honderd experts over Europese concurrentiekracht, soevereiniteit en veiligheid rond frontier AI. De vraag is daarbij niet alleen hoe Europa AI gebruikt, maar ook hoeveel toegang, invloed en controle Europa heeft over de technologie die voor toekomstige publieke en economische dienstverlening van strategisch belang kan worden.
De Nederlandse ontwikkelingen passen daarmee in een bredere Europese beweging. Digitale soevereiniteit wordt steeds minder uitsluitend gekoppeld aan datalokalisatie. Cloud, AI, cybersecurity, open source, infrastructuur en kennis worden allemaal onderdeel van de strategische vraag over welke digitale capaciteiten Europa zelf voldoende controle moet houden om ook in veranderende omstandigheden handelingsvrij te blijven.
Van soeverein naar bestuurbaar
Daarmee ontstaat ook een nieuwe uitdaging. Naarmate het begrip digitale soevereiniteit belangrijker wordt, neemt het risico toe dat het begrip te gemakkelijk wordt gebruikt. Gartner waarschuwde daar eerder dit jaar voor in een afzonderlijke Analyst Take, getiteld Beware of Sovereignty Washing. Gartner wijst daarmee op het risico dat oplossingen als soeverein worden gepositioneerd terwijl onderliggende afhankelijkheden blijven bestaan.
Dat is een relevante waarschuwing voor de publieke sector. Een dienst kan bijvoorbeeld in Europa worden gehost en tegelijkertijd afhankelijk blijven van technologie, intellectueel eigendom, personeel of wetgeving van buiten Europa. Andersom hoeft het gebruik van commerciële technologie niet automatisch te betekenen dat een organisatie geen autonomie heeft, zolang zij over voldoende keuzevrijheid, kennis, interoperabiliteit en exit-mogelijkheden beschikt. De belangrijkste vraag is daarom niet of een technologie of leverancier zichzelf soeverein noemt. De belangrijkere vraag is welke afhankelijkheden er blijven bestaan, hoe groot de risico’s daarvan zijn en of de organisatie daadwerkelijk van koers kan veranderen wanneer dat nodig is.
Niet volledige digitale onafhankelijkheid, maar voldoende handelingsvermogen om opnieuw te kunnen kiezen
