Bart Pustjens (Deloitte) over kritieke afhankelijkheden, alternatieven en continuïteit
‘Digitale soevereiniteit gaat niet over alles Europees maken’
Digitale soevereiniteit staat steeds hoger op de agenda van bestuurders en toezichthouders. Maar wie denkt dat soevereiniteit betekent dat alle IT zo snel mogelijk naar Europese aanbieders moet, loopt volgens Bart Pustjens, Partner Engineering bij Deloitte en expert op het gebied van digitale soevereiniteit, vooruit op de werkelijkheid. De eerste vraag is niet waar systemen staan, maar waarvan een organisatie afhankelijk is en welk risico zij daarmee loopt.
TEKST: SANDER HULSMAN BEELD: Deloitte
Als je dat dan heel platslaat, dan gaat het eigenlijk over business continuity,” aldus Pustjens. De geopolitieke verhoudingen zijn veranderd en daarmee ook de manier waarop organisaties naar hun afhankelijkheid van technologie kijken. Vooral de veranderde relatie tussen Europa en de Verenigde Staten zorgt voor onzekerheid. Organisaties vragen zich af hoeveel controle zij werkelijk hebben als een cruciaal onderdeel van hun IT-landschap afhankelijk is van een Amerikaanse leverancier.
Toegenomen urgentie en afhankelijkheid
Volgens Pustjens is de urgentie niet nieuw, maar wel sterk toegenomen. De afhankelijkheid van Amerikaanse technologie is jarenlang logisch geweest, want hyperscalers bieden uitstekende diensten tegen scherpe prijzen. Maar juist die afhankelijkheid kan een strategisch risico worden, zeker nu de relatie tussen de VS en Europa aan het veranderen is.
Niet gaan roepen en doorslaan dat alles naar een Europese cloud zou moeten
Dat risico is bovendien niet alleen geopolitiek. Ook commercieel speelt het mee. “Op het moment dat je afhankelijk bent, gaat de prijs omhoog.” Aanstaande contractverlengingen zijn daarom natuurlijke momenten om opnieuw naar afhankelijkheden te kijken.
De discussie moet volgens Pustjens tegelijk niet doorslaan. “Dus ze moeten ook niet gaan roepen en doorslaan dat alles naar een Europese cloud zou moeten.” Digitale soevereiniteit is volgens Pustjens geen doel op zichzelf. Hij vergelijkt het met een soort verzekeringspremie: je accepteert dat het voorbereiden van alternatieven tijd en geld kost, omdat je daarmee toekomstige risico’s beheersbaar maakt.
Drie tot tien jaar
Hoelang zo’n traject duurt, hangt sterk af van de vraag die een organisatie probeert op te lossen. Volgens Pustjens staan organisaties nog aan het begin van die ontwikkeling. “Ik denk dat we in het eerste jaar zitten.” Dat betekent niet dat de transitie binnen een paar jaar is afgerond. Afhankelijk van de gekozen scope en de complexiteit van het IT-landschap kan zo’n traject volgens hem drie tot tien jaar duren.
Een organisatie moet daarom eerst bepalen waar zij soevereiniteit nodig heeft. Gaat het alleen om data, of ook om technologie en operationele processen? Hoe kritischer het systeem en hoe complexer de onderliggende keten, hoe langer de reis. Een applicatie die een organisatie zelf heeft gebouwd, is iets anders dan een complexe keten van tientallen systemen die bijvoorbeeld het betalingsverkeer van een bank ondersteunt.
Alternatief is noodzakelijk
Daar komt een praktische voorwaarde bij: er moet een alternatief zijn. “Ik kan mijn reis alleen maar beginnen als het alternatief er is. Als ik niet weet waar ik naartoe moet, dan wordt het heel ingewikkeld.” Een organisatie kan wel besluiten minder afhankelijk te willen zijn van een Amerikaanse hyperscaler, maar als een alternatief niet volwassen genoeg, beschikbaar of betaalbaar is, wordt de transitie een veel grotere opgave.
Digitale soevereiniteit moet worden verweven met de bestaande IT-roadmap
Dat verklaart ook waarom een grootschalige Europese migratie niet vanzelfsprekend is. Grote IT-transformaties duren sowieso altijd meerdere jaren. Digitale soevereiniteit moet daarom worden verweven met de bestaande IT-roadmap, in plaats van als een losstaand migratieprogramma te worden uitgevoerd.
Europa heeft nog achterstand
Als Europese alternatieven vandaag even goed, goedkoop en schaalbaar waren als de Amerikaanse aanbieders, zouden organisaties die volgens Pustjens al op grote schaal gebruiken. Amerikaanse cloudbedrijven zijn eerder begonnen, hebben enorme schaal opgebouwd en bieden honderden diensten aan. Europese aanbieders uit onder meer Duitsland en Frankrijk staan nog aan het begin van die ontwikkeling.
Dat betekent niet dat organisaties al die honderden diensten nodig hebben. Maar een Europees ecosysteem kan wel betekenen dat meerdere partijen gecombineerd moeten worden. Daarmee ontstaan extra kosten voor integratie, monitoring, security, identity and access management en contractmanagement. “Dus dan ga je meer werk moeten verzetten en dus veel meer kosten maken om dat ecosysteem bij elkaar te brengen.”
Schaal is daarbij essentieel. Meer gebruikers zorgen voor meer investeringen, meer kennis en uiteindelijk betere producten. Daarom moeten organisaties niet alleen kijken naar de prijs van vandaag, maar ook naar de markt die zij met hun keuzes helpen ontwikkelen.
Open standaarden als fundament
Een belangrijke manier om te voorkomen dat een nieuwe afhankelijkheid ontstaat, is volgens Pustjens het gebruik van open standaarden. “Als je dit risico strategisch in de architectuur wilt oplossen, kies voor die open standaarden.”
Volume is belangrijk: hoe meer gebruikers hoe beter het wordt
Open standaarden moeten voorkomen dat een organisatie opnieuw afhankelijk wordt van één leverancier of technologie. Ze maken het bovendien veel makkelijker om in de toekomst van leverancier of technologie te wisselen.
Ook hier ligt versnippering op de loer, want als iedere organisatie een andere standaard kiest, ontstaat alsnog een gefragmenteerd landschap. Daarom moet niet alleen worden gekeken naar de technologie zelf, maar ook naar het aantal potentiële gebruikers en de invloed die organisaties gezamenlijk kunnen uitoefenen. Volume is belangrijk. “Hoe meer gebruikers hoe beter het wordt.”
Begin bij makkelijke migraties
Voor organisaties begint het werk met een inventarisatie van de belangrijkste afhankelijkheden. Waar is soevereiniteit nodig? Welke afhankelijkheden zijn er in de loop van de tijd? Welke alternatieven zijn beschikbaar en hoe wordt de transitie betaald?
Vervolgens kunnen organisaties beginnen met onderdelen die relatief eenvoudig te migreren zijn. Zo ontstaat ervaring die later kan worden toegepast op complexere systemen. Daarbij kunnen momenten die toch al op de IT-roadmap staan, worden benut: contractverlengingen, upgrades, vervanging van datacenters of andere investeringen.
Een volledige transitie van een groot IT-landschap kan jaren duren. Dat betekent volgens Pustjens niet dat organisaties moeten wachten. Juist het leggen van het fundament kost tijd. “Dus regel het fundament vandaag, daar heb je, als je het nodig hebt, in de toekomst baat bij.”
Niet alleen cloud
De discussie over digitale soevereiniteit gaat bovendien verder dan cloud en SaaS. Ook hardware vormt een afhankelijkheid. Smartphones, laptops en datacenters bevatten veel technologie die afkomstig is uit de Verenigde Staten of elders buiten Europa.
Nederland kan daarbij onmogelijk volledig zelfvoorzienend worden. Het doel is volgens Pustjens dan ook niet om alle buitenlandse technologie uit te bannen, maar om te voorkomen dat één leverancier, technologie of geopolitieke relatie de continuïteit van een organisatie bepaalt. Dat vraagt om een andere manier van architectuurdenken: niet alleen optimaliseren voor kosten en functionaliteit, maar ook voor de mogelijkheid om te kunnen overstappen.
Ook bij digitale identiteit speelt de vraag hoe je gebruikers meer regie geeft over hun gegevens en welke afhankelijkheden daarbij ontstaan. Een recent aangekondigd Nederlands initiatief is MyCheck, een samenwerking van onder andere ABN AMRO, Achmea, ASN Bank, Deloitte, KPN en Rabobank. MyCheck is een digitale wallet waarmee mensen zich online kunnen identificeren en persoonlijke gegevens veilig kunnen delen. De gebruiker bepaalt welke gegevens worden gedeeld. Bij een leeftijdscontrole hoeft bijvoorbeeld alleen te worden aangetoond dat iemand oud genoeg is. De initiatiefnemers willen MyCheck samen met burgers, het Nederlandse bedrijfsleven en de overheid tot een succes maken.
Markt moet in beweging komen
Grote organisaties kunnen met hun gezamenlijke volume invloed uitoefenen op de markt. De overheid kan die beweging versterken via bijvoorbeeld raamovereenkomsten en aanbestedingscriteria die verder gaan dan alleen de laagste prijs. Maar uiteindelijk is het ook een investeringsvraagstuk.
Meer controle over de eigen digitale continuïteit
Europa beschikt volgens Pustjens over talent en kennis, maar heeft een minder gunstig investeringsklimaat dan de Verenigde Staten. Meer Europese samenwerking, harmonisatie van wet- en regelgeving en samenwerking tussen sectoren kunnen helpen om voldoende schaal en investeringszekerheid te creëren.
Handelingsruimte
De kern blijft echter eenvoudig: digitale soevereiniteit betekent niet dat alles Europees moet worden. Het betekent dat organisaties weten welke afhankelijkheden kritiek zijn, welke risico’s daaruit voortkomen en welke alternatieven zij hebben.
Wie die keuzes vandaag maakt, koopt geen volledige onafhankelijkheid. Wel koopt hij handelingsruimte, en daarmee uiteindelijk meer controle over de eigen digitale continuïteit. 
en digitale soevereiniteit
Digitale soevereiniteit begint met inzicht in de afhankelijkheden die voor een organisatie kritisch zijn. Deloitte helpt organisaties deze afhankelijkheden en de bijbehorende risico’s in kaart te brengen, alternatieven te onderzoeken en keuzes te vertalen naar een concrete roadmap. Onze experts combineren kennis van technologie, cybersecurity, risk en geopolitiek. Daarnaast brengt Deloitte organisaties en marktpartijen bij elkaar om kennis te delen, samenwerking te versterken en investeringen te bundelen en bij te dragen aan de ontwikkeling van een sterker Europees digitaal ecosysteem.
Together makes progress.
Bart Pustjens
bpustjens@deloitte.nl
06 130 558 92
LinkedIn