Van der Ziel trekt de discussie nog breder. Voor hem draait digitale soevereiniteit uiteindelijk om vrijheid en onafhankelijkheid. In de context van digitale dienstverlening gaat het er volgens hem om dat anderen niet kunnen bepalen wat je uitzendt of je kunnen blokkeren.

Daarom zoekt hij ook actief naar alternatieven. Vanuit Cloud of the North ontstond het idee om kennis en ervaring te bundelen en samen te kijken naar een alternatief voor de dominante Amerikaanse cloudplatforms. Het initiatief groeide volgens Van der Ziel uit tot een brede community van ondernemers, juristen, technici en CTO’s.

Engelbert Pelster, Strategic Growth Executive & Ecosystem Lead bij DXC Technology, brengt vanuit de andere kant van de tafel een belangrijk perspectief in. Internationale technologie is een gegeven onderdeel van het huidige ecosysteem. De vraag is dus niet simpelweg of buitenlandse technologie wel of niet gebruikt mag worden, maar welke afhankelijkheden een organisatie bewust accepteert.

Risicoanalyse is pas begin

Een risicoanalyse is belangrijk, maar op zichzelf nog geen bewijs van resilience. “Je risicoanalyse is superbelangrijk”, zegt Meeter. Maar daarna moet er iets gebeuren. Een organisatie kan bijvoorbeeld meerdere back-ups van een database hebben. Als nooit is getest of die back-ups daadwerkelijk kunnen worden teruggezet, is niet aangetoond dat de oplossing werkt.

Dat principe geldt breder. Een continuïteitsplan dat alleen op papier bestaat, vertelt weinig over wat er tijdens een echte verstoring gebeurt. Oefenen maakt verborgen problemen zichtbaar. Stam vertelt over een brandoefening waarbij niet alleen naar de techniek werd gekeken, maar ook naar de organisatie. Juist tijdens zo’n oefening kwamen onverwachte zwakke plekken naar boven. Communicatie bleek bijvoorbeeld een probleem. Tijdens een incident grijpen mensen snel naar middelen die zij gewend zijn, ook wanneer die niet in de formele procedure staan.

Dat maakt oefenen waardevol. Niet omdat een organisatie daarmee kan bewijzen dat zij iedere calamiteit aankan, maar omdat een oefening laat zien welke aannames niet kloppen.

Vincent Thalen, CEO van Hardened, kijkt vanuit cybersecurity naar hetzelfde principe. Hij benadrukt het belang van een exit. Een organisatie moet namelijk niet alleen weten hoe zij met een leverancier werkt, maar ook hoe zij afscheid kan nemen wanneer dat noodzakelijk wordt. Vendor lock-in maakt een organisatie kwetsbaarder wanneer een leverancier niet meer past bij de gewenste continuïteit of strategische koers.

Compliance is nog geen resilience

Wet- en regelgeving speelt een steeds grotere rol bij digitale weerbaarheid. Voor organisaties betekent dat onder meer dat zij inzicht moeten krijgen in hun keten, risico’s moeten beoordelen en maatregelen moeten kunnen aantonen. Maar compliance en resilience zijn niet hetzelfde. Meeter wijst erop dat regelgeving uiteindelijk ook een vertaling is van maatschappelijke normen en waarden. Tegelijkertijd ervaren ondernemers die regelgeving in de praktijk als een forse hoeveelheid extra werk.

De interessante vraag is daarom wat er gebeurt ná het invullen van de compliance-checklist. Heeft de organisatie daadwerkelijk inzicht in haar afhankelijkheden? Zijn de belangrijkste maatregelen getest? Is duidelijk wat er gebeurt wanneer een leverancier uitvalt? En kan het bedrijf aantonen dat een alternatieve werkwijze ook echt functioneert? Wetgeving kan een aanleiding zijn om die vragen te stellen. Het antwoord moet vervolgens uit de organisatie zelf komen.

Weinig besef in boardroom

Daarmee komt de discussie uiteindelijk bij het bestuur terecht. Stam stelt de vraag expliciet: “Maar leeft het echt ook bij de board?” Zijn eigen antwoord is weinig geruststellend: volgens hem leeft het onderwerp daar nog beperkt.