Essay
Wees digitaal soeverein,gedraag je als een kat
We maken digitale soevereiniteit graag ingewikkelder dan nodig is. We praten over wetgeving, geopolitiek, cloudinfrastructuur, datacenters, dataopslag en over Europese en Amerikaanse regels. Dat is allemaal belangrijk, maar in de kern komt digitale soevereiniteit neer op drie vragen: ben ik in controle, kan ik vertrekken als ik dat wil en weet ik wie toegang heeft?
TEKST: BRENNO DE WINTER AI-ILLUSTRATIES: DE WINTER INFORMATION SOLUTIONS
Dat zijn precies de vragen die een kat zich stelt. Een kat laat zich niet zomaar ergens neerzetten. Hij wil weten waar hij is, wie hem vasthoudt en of hij weg kan als hij er genoeg van heeft. Probeer maar eens een kat stevig vast te houden terwijl je hem aait: de kans is groot dat hij daar een andere mening over heeft. Misschien kunnen we daar in de digitale wereld iets van leren.
Soevereiniteit is altijd in beweging
Om te begrijpen waarom digitale soevereiniteit ertoe doet, is het nuttig om even terug te kijken. Het begrip is namelijk nooit vaststaand geweest. Eeuwenlang draaide soevereiniteit vooral om grondgebied: dit is mijn land en binnen mijn grenzen bepaal ik wat er gebeurt. Jij hebt jouw land en daar bepaal jij. Zolang we elkaar niet binnenvallen, blijft het overzichtelijk.
Zo eenvoudig is de wereld niet gebleven. Macht verschoof, grenzen veranderden en samenlevingen merkten dat je soms juist sterker wordt door een deel van je zelfstandigheid gezamenlijk te organiseren. Na de Tweede Wereldoorlog werd dat in Europa heel concreet. Nederland is een klein land en kan alleen niet dezelfde bescherming bieden als samen met anderen.
Zo ontstonden onder andere de NAVO en de Europese Unie. We leverden een stukje zelfstandigheid in om samen sterker te staan, en dat is een belangrijk uitgangspunt voor digitale soevereiniteit. Soeverein zijn betekent niet dat je alles zelf doet, maar dat je bewust bepaalt waarvan je afhankelijk bent.
Het cloudparadijs
De cloud heeft ons de afgelopen jaren veel gemak gebracht. Je hoeft geen eigen servers meer te onderhouden, geen software op elke computer te installeren en geen infrastructuur zelf te beheren. Je neemt een dienst af en het werkt. Dat is aantrekkelijk voor de CEO, de CIO en de CISO, en zeker voor de gebruiker.
Maar gemak heeft een keerzijde: afhankelijkheid. We zijn digitale diensten gaan gebruiken alsof het neutrale voorzieningen zijn, alsof een cloudprovider slechts een technisch hulpmiddel levert dat los staat van de rest van de wereld. Dat is een misvatting.
Zodra je data, communicatie, applicaties en bedrijfsprocessen bij een andere partij staan, ben je van die partij afhankelijk. Dan gaat het niet alleen om de vraag of de technologie veilig is. Je moet ook weten wat er gebeurt als de omstandigheden veranderen. Wat als je leverancier de prijs fors verhoogt, een product aanpast of stopzet, of je account blokkeert? Wat als de wetgeving verandert? En wat als een geopolitiek conflict ervoor zorgt dat een dienst die vandaag vanzelfsprekend is, morgen niet meer beschikbaar is?
Onder al die vragen ligt één simpele vraag: kun je nog weg?
Data kent geen grenzen, wetgeving wel
De afgelopen jaren hebben we regelmatig gezien dat digitale soevereiniteit meer is dan een technisch onderwerp. De Europese Unie heeft een eigen juridische traditie en eigen opvattingen over privacy en grondrechten. De Verenigde Staten hebben andere wetgeving en andere uitgangspunten. Dat verschil wordt relevant zodra Europese organisaties Amerikaanse technologie gebruiken en hun gegevens in die omgeving terechtkomen.
De rechtszaken van Max Schrems hebben dat pijnlijk duidelijk gemaakt. Lange tijd leek het vanzelfsprekend dat Europese persoonsgegevens naar de Verenigde Staten konden worden overgebracht, maar zo eenvoudig bleek dat niet. En het probleem is niet alleen juridisch.
Digitale infrastructuur is inmiddels een onderdeel van geopolitieke macht. De oorlog in Oekraïne heeft laten zien hoe belangrijk digitale diensten en satelliettechnologie zijn voor militaire operaties. Organisaties als het Internationaal Strafhof zijn gaan nadenken over hun afhankelijkheid van grote technologiebedrijven. Ook bedrijven krijgen te maken met sancties, politieke druk en veranderende internationale verhoudingen.
Je kunt zeggen dat dit uitzonderlijke situaties zijn, en dat klopt. Maar juist uitzonderlijke situaties laten zien waar je afhankelijkheden zitten.
Soevereiniteit is geen sticker op een product
Daarom moeten we oppassen voor wat je ‘sovereignty washing’ kunt noemen. Een datacenter staat in Europa, dus noemen we de oplossing Europees. De data staat op Europese bodem, dus heet de organisatie soeverein. Een leverancier belooft privacy serieus te nemen, dus gaan we ervan uit dat we de controle hebben.
Zo werkt het niet. Waar staat de data precies? Wie kan erbij? Onder welke wetgeving valt de leverancier? Wie beschikt over de sleutels? Kun je je gegevens in een bruikbaar formaat meenemen en hoe lang duurt een migratie? Kun je de dienst vervangen, en heb je de kennis en de mensen om dat ook echt te doen?
Een Europese server maakt je nog niet digitaal soeverein. Soevereiniteit gaat uiteindelijk over zeggenschap.
We hebben onszelf afhankelijk gemaakt
Het grootste probleem is misschien wel dat we onze eigen afhankelijkheid steeds minder goed zien. We hebben technologie zo eenvoudig gemaakt dat we haar niet meer hoeven te begrijpen. We huren alles als dienst: infrastructuur wordt infrastructure-as-a-service, software wordt software-as-a-service en uiteindelijk lijkt zelfs kennis een service te worden.
Dat is efficiënt, tot je iets wilt veranderen. Dan blijkt dat je niet alleen een technisch probleem hebt, maar ook een kennisprobleem. Kunnen je eigen mensen het systeem nog onderhouden? Begrijpen ze hoe het werkt? Kunnen ze een migratie uitvoeren of een alternatief beoordelen?
Wie werk uitbesteedt, geeft daarmee niet automatisch zijn soevereiniteit weg. Maar wie niet meer begrijpt wat er gebeurt, raakt zijn autonomie wel razendsnel kwijt. Organisaties moeten daarom niet alleen naar security en compliance kijken, maar ook naar hun eigen operationele vermogen.
Kun je het zelf nog? Het is een ongemakkelijke vraag, maar wel een belangrijke.
Digitale soevereiniteit begint bij risico’s begrijpen
Ik zie digitale soevereiniteit niet als een ideologisch streven waarbij alles Europees, open source of zelfgebouwd moet zijn. Dat maakt de werkelijkheid veel te simpel. Het gaat om risicomanagement. Eerst bepaal je waarvan je afhankelijk bent, daarna welke risico’s je acceptabel vindt en welke maatregelen je nodig hebt.
Daarbij spelen verschillende dimensies een rol: strategie, wetgeving, data, technologie, operationele kennis, security, de supply chain en zelfs duurzaamheid. Ook daar zit afhankelijkheid, want een datacenter bestaat niet alleen uit software en servers, maar hangt ook af van energie, grondstoffen, leveranciers en infrastructuur.
De Europese Commissie kijkt op een vergelijkbare manier naar digitale soevereiniteit en gebruikt verschillende doelstellingen om de mate van afhankelijkheid en autonomie te beoordelen. Dat maakt een discussie die vaak abstract blijft een stuk concreter. De interessante vraag is namelijk niet of je honderd procent soeverein bent, want dat is vrijwel niemand. De interessante vraag is waarover je controle wilt hebben en welke afhankelijkheden je bewust accepteert.
Toen moest ik naar mezelf kijken
Nadat ik mijn boek Soevereiniteit! Hoe dan? had geschreven, begon ik mezelf dezelfde vragen te stellen. Dat is het moment waarop het verhaal ongemakkelijk wordt, want het is makkelijk om anderen te vertellen dat ze hun afhankelijkheden moeten verminderen. Maar hoe zat het met mijn eigen werk?
Ik schrijf rapporten en boeken, geef presentaties en maak allerlei ander materiaal. Als ik eerlijk ben, deed ik dat grotendeels met dezelfde commerciële software waar zoveel organisaties afhankelijk van zijn. Dus stelde ik mezelf drie vragen:
- Ben ik in controle?
- Kan ik vertrekken als ik dat wil?
- Weet ik wie toegang heeft?
Het antwoord was niet overal even geruststellend. Daarom ben ik gaan kijken of het ook anders kon.
OciDeck
Dat heeft uiteindelijk geleid tot OciDeck. Het idee erachter is eenvoudig: waarom zou de inhoud van een presentatie onlosmakelijk verbonden moeten zijn met het programma waarmee je die maakt? Een presentatie bestaat uit inhoud, en die kun je opslaan in een eenvoudig, leesbaar formaat zoals Markdown. De software bepaalt dan hoe die inhoud wordt weergegeven.
Dat lijkt een technisch detail, maar het is precies het soort detail dat voor digitale soevereiniteit telt. Als je informatie alleen binnen één programma en één bestandsformaat bruikbaar is, ben je van dat programma afhankelijk. Staat je informatie open, leesbaar en herbruikbaar opgeslagen, dan ontstaat er ruimte. Dan kun je veranderen, migreren en vertrekken.
OciDeck is voor mij daarom meer dan een alternatief voor PowerPoint. Het is een praktisch voorbeeld van hoe je de controle over je eigen informatie kunt terugpakken, en het hoeft helemaal niet saai te zijn.
Ik gebruik AI en vind het geweldig. Maar ik wil zelf bepalen hoe ik die technologie gebruik en welke rol mijn eigen data daarin speelt. Daarom heb ik OciDeck geschikt gemaakt voor verschillende talen: niet alleen de grote wereldtalen, maar ook talen die je niet in elk commercieel systeem tegenkomt. Zelfs Klingon, en natuurlijk Fries. Wie digitale soevereiniteit serieus neemt, mag er best plezier aan houden.
De vraag is niet of je alles zelf kunt
Als ik organisaties vertel dat ze naar hun digitale afhankelijkheden moeten kijken, hoor ik regelmatig: “Dat kan niet.” We kunnen niet zomaar uit een bepaalde cloudomgeving stappen, niet zomaar van softwareleverancier wisselen en niet alles zelf beheren. We hebben er de mensen niet voor. Soms klopt dat.
Maar ‘moeilijk’ en ‘onmogelijk’ zijn twee verschillende dingen. Het Internationaal Strafhof heeft laten zien dat je in korte tijd grote veranderingen kunt doorvoeren als daar een duidelijke aanleiding voor is. Ook overheden en bedrijven zijn erin geslaagd hun afhankelijkheden te verminderen.
De vraag is dus niet of je alles zelf moet doen, maar wat er gebeurt als je dat morgen wel moet kunnen. Heb je een plan en de kennis? Kun je bij je data en zijn je contracten daarop ingericht? Kun je je systemen migreren en heb je een alternatief? Of ontdek je pas als er iets misgaat dat je eigenlijk helemaal niet weg kunt?
Wees een beetje meer zoals een kat
Misschien moeten we digitale soevereiniteit daarom wat minder ingewikkeld maken. Een kat vraagt zich niet af welke Europese richtlijn op zijn mandje van toepassing is. Hij wil drie dingen weten: ben ik hier in controle, kan ik weg als ik dat wil en weet ik wie toegang heeft? Dat zijn voor een organisatie geen slechte vragen.
Digitale soevereiniteit betekent wat mij betreft niet dat we terug moeten naar de tijd waarin iedereen zijn eigen servers beheerde. Het betekent ook niet dat elke organisatie alles zelf moet bouwen. Het betekent dat je weet waarvan je afhankelijk bent, dat je die afhankelijkheid bewust accepteert en dat je, als het nodig is, een uitweg hebt.
De cloud hoeft dus niet het probleem te zijn, en een leverancier ook niet. Samenwerken is juist een van de redenen waarom technologie zo krachtig is geworden. Het probleem ontstaat wanneer gemak verandert in onzichtbare afhankelijkheid. Ik raad daarom elke organisatie aan om niet te beginnen met een ingewikkeld model of een rapport van honderd pagina’s, maar met drie vragen:
- Ben ik in controle?
- Kan ik vertrekken als ik dat wil?
- Weet ik wie toegang heeft?
Als je die vragen eerlijk kunt beantwoorden, weet je waar je staat. En als het antwoord op een van de drie “nee” is, weet je waar je moet beginnen. Net als een kat. 
Dit essay is gebaseerd op de keynote die Brenno de Winter hield tijdens de officiële lancering van YouSend, een nieuwe soevereine oplossing voor documentuitwisseling. De Winter is informatiebeveiligingsexpert, voormalig onderzoeksjournalist en auteur van het boek Soevereiniteit! Hoe dan?, waarin hij digitale afhankelijkheid centraal stelt, en de vraag hoe organisaties regie houden over hun data, systemen en besluitvorming.
