Van digitale ambitienaar concrete keuzes
Kwartaalupdate | nazomer 2026
De discussie over digitale soevereiniteit en weerbaarheid is de afgelopen maanden een nieuwe fase ingegaan. Waar de nadruk eerder vooral lag op het formuleren van beleid en het benoemen van strategische afhankelijkheden, verschuift de aandacht nu naar de uitvoering en naar de vraag wat daarvan daadwerkelijk kan worden gerealiseerd. Nederland werkt aan een soevereine overheidscloud, een routekaart voor digitale autonomie, eigen AI-capaciteit en een nieuwe digitale overheidsdienst. Tegelijkertijd worden bestaande afhankelijkheden opnieuw beoordeelden aanbestedingen ingetrokken.
TEKST: SANDER HULSMAN BEELD: ENVATO
Binnen de NDS blijkt dat ambities vanwege beperkte middelen moeten worden bijgesteld, want staatssecretaris Willemijn Aerdts liet op 22 september weten dat de Nederlandse Digitaliseringsstrategie (NDS) vanwege het ontbreken van extra middelen moet prioriteren. Activiteiten worden afgeschaald, uitgesteld of anders aangepakt. Voor de soevereine overheidscloud betekent dit concreet dat voorbereiding wel doorgaat, maar dat productie zonder aanvullende centrale middelen niet mogelijk is.
Van beleid naar infrastructuur
Een van de meest concrete ontwikkelingen is de voortgang van de soevereine overheidscloud. De NDS publiceerde eind augustus het ontwerp van de toekomstige clouddienst. Het ontwerp is bovendien al in een proof of concept (PoC) gerealiseerd. Daarmee is een belangrijke stap gezet van beleidsambitie naar een concreet technisch ontwerp.
Maar de stap van ontwerp naar productie blijkt aanzienlijk groter. De NDS kan de realisatie van de overheidscloud voorbereiden op basis van het architectuurontwerp en de PoC, maar heeft daarvoor geen extra centrale middelen beschikbaar. De komende periode wordt daarom ook gekeken naar samenwerking met de markt, het gezamenlijk inzetten van capaciteit binnen de overheid en mogelijke Europese financiering.
De Routekaart Digitale Autonomie van de NDS past in dezelfde beweging. Die moet digitale autonomie niet alleen als beleidsdoel beschrijven, maar vertalen naar concrete keuzes en handelingsperspectieven voor overheidsorganisaties.
Een concreet voorbeeld van die beweging is inmiddels te vinden bij de Belastingdienst, Douane en Toeslagen. Zij zetten de geplande migratie naar Microsoft 365 definitief stop en kiezen in plaats daarvan voor een on-premise omgeving waarin zoveel mogelijk gebruik wordt gemaakt van open source. Voor mail en agenda moet in 2027 een eigen voorziening worden gerealiseerd; later volgen Europese open-sourceoplossingen voor opslag en samenwerking. De aanpak volgt het advies om niet één oplossing van één leverancier als uitgangspunt te nemen, maar per functionaliteit naar alternatieven te kijken.
Digitale autonomie krijgt hierdoor een veel concretere invulling, want het is niet noodzakelijk om alles zelf te bouwen, maar afhankelijkheden per functionaliteit bewust te organiseren en alternatieven beschikbaar te houden. De komende periode zal daarom niet alleen draaien om de vraag welke digitale infrastructuur Nederland wil, maar ook om de vraag welke onderdelen prioriteit krijgen, wie ervoor betaalt en welke rol overheid en markt daarin krijgen.
Ook de modellen waarop publieke dienstverlening en besluitvorming in de toekomst kunnen draaien, worden onderdeel van het soevereiniteitsvraagstuk
Na cloud komt AI
Diezelfde vragen komen inmiddels terug bij kunstmatige intelligentie. TNO publiceerde op 1 september, in opdracht van het ministerie van BZK, een onderzoek naar open en Europese taalmodellen voor de Nederlandse overheid. Daarbij wordt expliciet gekeken naar de betekenis van open source en Europese alternatieven voor digitale onafhankelijkheid. TNO wijst er tegelijkertijd op dat begrippen als ‘open’, ‘open source’ en ‘Europees’ in de AI-markt niet eenduidig worden gebruikt.
De discussie gaat daarmee een stap verder dan de vraag waar overheidsdata en applicaties worden gehost. Ook de modellen waarop publieke dienstverlening en besluitvorming in de toekomst kunnen draaien, worden onderdeel van het soevereiniteitsvraagstuk.
Dat krijgt in Nederland bovendien een fysieke component. SURF maakte op 21 september bekend dat de AI-supercomputer van de Nederlandse AI-fabriek wordt ondergebracht bij Eurofiber in Groningen. De faciliteit moet vanaf 2027 worden opgebouwd en begin 2028 volledig operationeel zijn. Overheden, onderwijs, onderzoek en bedrijven krijgen toegang tot de rekenkracht.
De ontwikkeling laat zien dat digitale autonomie uiteindelijk niet alleen over software of regelgeving gaat. Ook toegang tot voldoende rekenkracht, datacenters en energie-infrastructuur wordt een strategische factor.
Eigen digitale capaciteit
Daarmee komt een derde ontwikkeling in beeld: de organisatie van de overheid zelf. De Nederlandse Digitale Dienst (NLDD) krijgt inmiddels concreet vorm. Digilab, Forum Standaardisatie en Bureau Architectuur worden samengebracht in de nieuwe dienst, die per 1 januari van start moet gaan. De organisatie werkt onder meer aan een private overheidscloud. Opvallend is ook dat het Bureau Forum Standaardisatie onderdeel wordt van de nieuwe dienst. Daarmee komen digitale expertise, architectuur en standaardisatie dichter bij elkaar.
Dat is relevant voor het soevereiniteitsdebat. Digitale autonomie vraagt immers niet alleen om alternatieven voor technologie van derden, maar ook om voldoende kennis en regie binnen de overheid om die alternatieven te kunnen beoordelen, implementeren en beheren. Open standaarden en interoperabiliteit zijn daarbij minstens zo belangrijk als de locatie van een datacenter.
Het gaat niet alleen om de vraag welke technologie een organisatie gebruikt, maar ook om de manier waarop zij haar infrastructuur organiseert en inkoopt
Ook de inkoop verandert
Die regie raakt uiteindelijk aan een minder technisch, maar minstens zo belangrijk instrument: aanbesteding. De Europese Commissie presenteerde in september een voorstel voor nieuwe Europese aanbestedingsregels, waarin onder andere meer aandacht komt voor strategische Europese doelstellingen, weerbaarheid en innovatie.
Dat de manier waarop overheden IT inkopen aan het veranderen is, blijkt ook uit een opvallende Nederlandse casus. De Sociale Verzekeringsbank (SVB) heeft eind september een Europese aanbesteding voor de vernieuwing van haar IT-infrastructuur ingetrokken. Het traject had een geraamde waarde van maximaal 300 miljoen euro en was erop gericht een groot deel van de infrastructuur bij één leverancier onder te brengen, voor een periode van maximaal vijftien jaar.
De SVB noemt de veranderde geopolitieke situatie en nieuwe Europese en nationale regels voor ICT-inkoop als redenen om opnieuw naar de eisen te kijken. Eerder had het Adviescollege ICT-toetsing al gewezen op risico’s rond leveranciersafhankelijkheid, vendor lock-in, continuïteit en het behoud van kennis binnen de eigen organisatie. De SVB onderzoekt nu andere mogelijkheden om de infrastructuur te vernieuwen; in de eerste helft van 2027 moet duidelijk worden welke aanpak de voorkeur krijgt.
De casus maakt concreet wat digitale autonomie in de praktijk betekent. Het gaat niet alleen om de vraag welke technologie een organisatie gebruikt, maar ook om de manier waarop zij haar infrastructuur organiseert en inkoopt. Een contract met één leverancier kan efficiëntie en schaalvoordelen bieden, maar vergroot mogelijk ook de afhankelijkheid en verkleint de ruimte om later van koers te veranderen.
Inkoop wordt daarmee steeds meer onderdeel van het strategische digitale beleid. Digitale autonomie begint niet pas bij de techniek, maar al bij de vraag welke afhankelijkheden een organisatie bereid is aan te gaan.
Digitale soevereiniteit wordt niet langer alleen besproken als antwoord op afhankelijkheid. Nederland en Europa proberen die afhankelijkheid daadwerkelijk bestuurbaar te maken
Weerbaarheid wordt ketenopgave
Ook aan de weerbaarheidskant verschuift het accent van beleid naar uitvoering. Op 11 september werd het Single Reporting Platform van ENISA operationeel. Fabrikanten van producten met digitale elementen moeten vanaf die datum actief uitgebuite kwetsbaarheden en ernstige beveiligingsincidenten melden onder de Cyber Resilience Act. Via het Europese platform hoeft informatie één keer te worden aangeleverd en kan die met de relevante autoriteiten worden gedeeld.
De verantwoordelijkheid voor digitale veiligheid komt daarmee nadrukkelijker in de keten te liggen. Niet alleen de organisatie die een product gebruikt, maar ook de fabrikant krijgt een formele verantwoordelijkheid voor de veiligheid gedurende de levenscyclus van digitale producten.
Op lokaal niveau trekt de VNG dezelfde bredere lijn. De vernieuwde handreiking Weerbaarheid en Veerkracht koppelt digitale veiligheid expliciet aan fysieke veiligheid. Cyberaanvallen, sabotage en afhankelijkheden in de keten kunnen fysieke processen verstoren, terwijl fysieke incidenten op hun beurt gevolgen kunnen hebben voor digitale dienstverlening.
De Europese Rekenkamer kwam in september bovendien met een kritische analyse van de Europese samenwerking rond cyberincidenten. Ondanks investeringen van €1,4 miljard in cybersecurity constateert de Rekenkamer dat gebrekkige informatie-uitwisseling en onvoldoende coördinatie de gezamenlijke aanpak verzwakken.
Van afhankelijkheid naar handelingsvermogen
De ontwikkelingen van de afgelopen maanden wijzen daarmee in dezelfde richting. Digitale soevereiniteit wordt niet langer alleen besproken als antwoord op afhankelijkheid. Nederland en Europa proberen die afhankelijkheid daadwerkelijk bestuurbaar te maken: met eigen infrastructuur, alternatieve AI-capaciteit, open standaarden, nieuwe digitale overheidsorganisaties, strategischer inkoop en betere informatie-uitwisseling over cyberrisico’s.
Dat betekent niet dat digitale autonomie gelijkstaat aan volledige onafhankelijkheid. Daarvoor zijn de digitale ketens simpelweg te complex en internationaal verweven. De relevante vraag wordt steeds meer of organisaties voldoende handelingsvermogen hebben, want kunnen zij keuzes maken, kunnen zij overstappen en kunnen zij ingrijpen wanneer een afhankelijkheid een risico wordt? Precies daar lijkt de volgende fase van digitale soevereiniteit te beginnen. 