Wat digitale soevereiniteit werkelijk betekent
Zwitserland zegt ‘nein’ tegen AWS
De Zwitserse overheid overwoog Amazon Web Services in te zetten voor een cruciaal onderdeel van de nieuwe elektronische identiteit. Minister Beat Jans blokkeerde dat plan uiteindelijk. Interessant is niet alleen dát AWS buiten de deur bleef, maar vooral waarom. De casus laat zien dat digitale soevereiniteit veel verder gaat dan de vraag waar data wordt opgeslagen.
TEKST: Sander Hulsman & Rashid Niamat BEELD: ENVATO
De overeenkomst tussen Zwitserland en Nederland is opvallend. In Nederland werd de voorgenomen overname van cloudleverancier Solvinity door het Amerikaanse Kyndryl een politiek en juridisch dossier. In Zwitserland ontstond rond de elektronische identiteit een vergelijkbare discussie over de afhankelijkheid van Amerikaanse technologiebedrijven.
ITchannelPRO schreef begin september over die overeenkomst tussen beide dossiers: ‘Wat heeft Solvinity met Zwitserland te maken?’ Het antwoord ligt volgens het artikel in de groeiende aandacht voor digitale soevereiniteit en de vraag hoeveel afhankelijkheid van Amerikaanse leveranciers overheden acceptabel vinden.
De aanleiding daarvoor kwam uit Zwitserland. Het Zwitserse onderzoeksplatform Republik onthulde op 1 september dat het Bundesamt für Justiz en het Bundesamt für Informatik und Telekommunikation eerder dit jaar van plan waren een opdracht rond de infrastructuur van de Zwitserse E-ID aan AWS te gunnen. Minister van Justitie Beat Jans blokkeerde dat plan in februari.
Dat klinkt op het eerste gezicht als een zoveelste discussie over een Amerikaanse hyperscaler. Maar de technische en bestuurlijke details maken het verhaal interessanter.
Een nationale E-ID-infrastructuur moet permanent beschikbaar zijn
AWS zou niet de E-ID zelf beheren
Het is belangrijk om de Zwitserse situatie precies te beschrijven. AWS zou niet simpelweg de complete digitale identiteit van Zwitserse burgers gaan hosten. Het ging om extra capaciteit voor de zogenoemde Vertrauensinfrastruktur, de infrastructuur waarmee onder meer kan worden gecontroleerd of een E-ID geldig is en welke organisaties gemachtigd zijn om elektronische identiteiten te verifiëren. Onderdeel daarvan zijn het basisregister en het vertrouwensregister.
Die infrastructuur is voor de Zwitserse overheid geen willekeurig IT-systeem. De federale overheid stelt de E-ID beschikbaar en exploiteert de noodzakelijke vertrouwensinfrastructuur zelf. De registers zijn bovendien zo ontworpen dat er geen persoonsgegevens in worden opgeslagen waarmee gebruik van verschillende digitale bewijzen aan individuele profielen kan worden gekoppeld.
De aantrekkelijkheid van AWS zat volgens Republik vooral in één eigenschap: beschikbaarheid. Een nationale E-ID-infrastructuur moet permanent beschikbaar zijn. Als de eigen infrastructuur van de federale overheid uitvalt, is extra capaciteit bij een grote cloudprovider technisch een aantrekkelijke optie. Het probleem is dus niet dat de Zwitserse overheid geen cloud wil gebruiken. Het probleem ontstaat wanneer een kritieke publieke voorziening voor haar continuïteit afhankelijk wordt van een commerciële partij die buiten de eigen jurisdictie valt. Daarmee komen we bij de essentie van digitale soevereiniteit.
De Zwitserse regering heeft digitale soevereiniteit als een van de belangrijkste thema’s van de nationale digitale strategie benoemd
Soevereiniteit gaat niet alleen over data
Het debat over digitale soevereiniteit wordt regelmatig teruggebracht tot een simpele vraag: staat de data in Nederland of Europa? Dat is te beperkt. Een organisatie kan haar data fysiek in Europa opslaan en toch sterk afhankelijk zijn van een buitenlandse leverancier. Denk bijvoorbeeld aan de software, beheeromgeving, cryptografische technologie, supportorganisatie, licenties, personele toegang, contractvoorwaarden en juridische structuur achter die infrastructuur.
De relevante vraag is daarom niet alleen waar mijn data staat, maar ook wie onder welke voorwaarden bepaalt of mijn digitale dienstverlening blijft functioneren. Dat onderscheid is in Zwitserland inmiddels onderdeel van het officiële beleid. De Zwitserse regering heeft digitale soevereiniteit voor 2026 expliciet als een van de drie belangrijkste thema’s van de nationale digitale strategie benoemd. Het doel is onder meer om de digitale soevereiniteit en weerbaarheid van de federale overheid in crisissituaties te vergroten, zodat de staat handelings- en weerbaar blijft. Dat is een wezenlijk andere formulering dan alleen ‘onze data moet binnen de landsgrenzen blijven’.
Bouwen aan alternatieven
Het is daarom te eenvoudig om de beslissing van Jans te interpreteren als een algemeen Zwitsers ‘nein’ tegen Amerikaanse cloudbedrijven. Zwitserland gebruikt wel degelijk publieke cloudtechnologie en werkt aan een nieuwe Swiss Government Cloud. Die wordt tussen 2025 en 2032 opgebouwd als een hybride multi-cloudomgeving. Het model combineert eigen private-cloudcapaciteit met publieke clouddiensten van externe leveranciers.
Digitale soevereiniteit betekent niet dat een overheid alle technologie zelf moet bouwen
Daarnaast beschikt de federale overheid inmiddels over een Secure Private Cloud Bund, bedoeld voor toepassingen met de hoogste eisen op het gebied van veiligheid en beschikbaarheid. Deze omgeving wordt volledig binnen Zwitserland geëxploiteerd, in eigen datacenters en door veiligheids-gescreend personeel van de Confederatie.
Dat levert een belangrijk inzicht op. Digitale soevereiniteit betekent kennelijk niet dat een overheid alle technologie zelf moet bouwen. Het betekent eerder dat de overheid verschillende technische en organisatorische mogelijkheden beschikbaar moet hebben en voor de meest kritieke processen zelf voldoende controle moet behouden.
Raakt niet alleen Zwitserland
Daarmee ontstaat een paradox die niet alleen Zwitserland raakt. De cloud is juist populair omdat grote leveranciers enorme schaal, redundantie en beschikbaarheid kunnen leveren. Een nationale overheid kan onmogelijk voor iedere denkbare calamiteit dezelfde hoeveelheid infrastructuur aanhouden als een mondiale hyperscaler.
Tegelijkertijd creëert die schaal een nieuwe afhankelijkheid. Hoe meer systemen worden geconcentreerd bij een beperkt aantal leveranciers, hoe moeilijker het wordt om daarvan onafhankelijk te worden.
Dat probleem wordt in Zwitserland extra zichtbaar doordat de Swiss Government Cloud nog in ontwikkeling is. De federale overheid heeft in 2025 zelfs de bestaande raamcontracten voor publieke clouds tijdelijk willen verlengen om de overgang naar de nieuwe omgeving mogelijk te maken. Volgens de federale informatievoorziening wordt de Swiss Government Cloud vanaf 2027 beschikbaar voor de migratie van bestaande cloudtoepassingen.
De Zwitserse E-ID-casus laat daarmee iets zien wat in veel cloudstrategieën onderbelicht blijft: een exitstrategie is pas waardevol als er ook daadwerkelijk een realistisch alternatief bestaat.
Terug naar Solvinity
En daarmee komen we bij Nederland. De discussie rond de voorgenomen overname van Solvinity door het Amerikaanse Kyndryl draait in belangrijke mate om precies dezelfde onderliggende vraag: hoeveel controle houdt de Nederlandse overheid wanneer een leverancier van kritieke digitale dienstverlening van eigenaar verandert?
De Nederlandse overheid erkende in antwoorden aan de Tweede Kamer dat digitale autonomie een belangrijke ambitie is. Tegelijkertijd stelde het kabinet dat Nederland een open economie is en dat buitenlandse investeringen niet automatisch ongewenst zijn. Het uitgangspunt is daarom niet dat alle strategische bedrijven Nederlands moeten blijven, maar dat risico’s voor de nationale veiligheid moeten kunnen worden beoordeeld en gemitigeerd.
Digitale soevereiniteit betekent niet automatisch dat een bedrijf Nederlands moet zijn
Dat onderscheid is belangrijk. Digitale soevereiniteit betekent niet automatisch dat een bedrijf Nederlands moet zijn. Maar een verandering van zeggenschap kan wel gevolgen hebben voor de juridische, operationele en technische controle over dienstverlening.
In een ander Kamerstuk werd bijvoorbeeld expliciet gewezen op de mogelijke reikwijdte van Amerikaanse wetgeving zoals de CLOUD Act en FISA. De Nederlandse overheid schreef daarbij dat een Amerikaanse moedermaatschappij er in theorie toe kan leiden dat Amerikaanse autoriteiten onder bepaalde voorwaarden toegang kunnen krijgen tot gegevens die door een Nederlandse dochter worden verwerkt, ook wanneer die gegevens zich buiten de Verenigde Staten bevinden.
Tegelijkertijd werd vanuit de overheid vastgesteld dat bepaalde diensten vanwege hun complexiteit en afhankelijkheid niet zomaar op korte termijn naar een andere provider kunnen worden verplaatst. En precies daar raakt het Nederlandse dossier het Zwitserse.
Het echte probleem is afhankelijkheid
De interessantste passage uit de Zwitserse discussie gaat daarom misschien niet eens over de CLOUD Act. Republik citeert deskundigen die wijzen op de afhankelijkheid van één commerciële leverancier. Wat gebeurt er als een leverancier zijn voorwaarden verandert, de dienstverlening beëindigt, de beschikbaarheid niet meer kan garanderen of als geopolitieke omstandigheden de relatie beïnvloeden? Republik wijst daarbij onder meer op contractuele bepalingen rond servicelevels, aansprakelijkheid, data-export en de relatief korte periode die beschikbaar zou zijn om gegevens na beëindiging van het contract weg te halen.
Of iedere afzonderlijke kritiek op dat contract uiteindelijk juridisch of technisch doorslaggevend is, is een aparte discussie. Het onderliggende principe is echter breed toepasbaar, want een systeem is niet soeverein als de eigenaar ervan alleen op papier kan besluiten om van leverancier te veranderen.
Als een migratie technisch maanden of jaren duurt, als applicaties sterk afhankelijk zijn van prioritaire diensten of als alternatieve capaciteit niet beschikbaar is, dan is de feitelijke keuzevrijheid beperkt. Dat is vendor lock-in, maar dan op het niveau van publieke infrastructuur.
Vier vragen die bestuurders zouden moeten stellen
De Zwitserse casus maakt het mogelijk om digitale soevereiniteit concreter te maken. Bij iedere kritieke cloud- of IT-dienst zouden minimaal vier vragen moeten worden gesteld.
- Jurisdictie
Onder welke wetgeving valt de leverancier en welke gevolgen heeft een verandering van eigenaar? - Operationele controle
Wie kan daadwerkelijk bij systemen, sleutels, configuraties en beheeromgevingen? - Continuïteit
Wat gebeurt er als de leverancier uitvalt, wordt afgesloten of om geopolitieke redenen niet langer kan leveren? - Exit
Hoe snel kan de overheid daadwerkelijk overstappen naar een andere omgeving, inclusief data, applicaties, configuratie en operationele kennis?
- Jurisdictie
De vierde vraag wordt daarbij vaak onderschat. Een contractuele exit-clausule is nog geen exitstrategie.
Zwitserland kiest niet voor simpel
Dat is misschien wel de belangrijkste les uit deze casus. Zwitserland heeft AWS niet nodig om zijn digitale transformatie te stoppen. Het land bouwt ondertussen verder aan cloudinfrastructuur, gebruikt verschillende vormen van cloud en werkt aan een model waarin publieke en private cloud naast elkaar bestaan.
De federale overheid heeft bovendien zelf aangegeven dat veiligheid en vertrouwen zwaarder wegen dan het oorspronkelijke tijdpad van de E-ID. De introductie is inmiddels verschoven naar het eerste halfjaar van 2027.
Op 3 september, twee dagen na de publicatie van Republik, besprak de Zwitserse regering digitale soevereiniteit en de E-ID opnieuw met vertegenwoordigers uit politiek, overheid, bedrijfsleven, wetenschap en maatschappelijke organisaties. De officiële boodschap was veelzeggend: security and trust come first. Daarmee is de AWS-discussie eigenlijk onderdeel van een veel groter vraagstuk.
Wat Nederland hiervan kan leren
Nederland hoeft het Zwitserse model niet te kopiëren. De bestuurlijke en economische omstandigheden verschillen daarvoor te veel. Maar de discussie rond Solvinity en die rond de Zwitserse E-ID laten wel zien dat digitale soevereiniteit niet langer een abstract geopolitiek begrip is.
Het gaat over concrete contracten. Over aanbestedingen. Over cloudarchitecturen. Over exit-mogelijkheden. Over eigendom en zeggenschap. En uiteindelijk over de vraag of een overheid in een crisissituatie nog zelfstandig kan handelen.
Digitale soevereiniteit is vooral een beleidsambitie op papier
Dat is ook de reden waarom de discussie over Solvinity zoveel verder gaat dan één overname. De Nederlandse overheid heeft inmiddels zelf aangegeven dat veiligheid van vertrouwelijke gegevens en continuïteit van dienstverlening niet in het gedrang mogen komen. Bij de beoordeling van de overname wordt daarom niet alleen naar de investering zelf gekeken, maar ook naar de operationele, juridische en contractuele gevolgen.
De Zwitserse beslissing rond AWS laat vervolgens zien hoe dezelfde vraag er in een ander land uitziet. Het gaat er niet om of Amerikaanse technologie per definitie onveilig is of Europese technologie per definitie soeverein.
De relevante vraag is veel praktischer, want als morgen de omstandigheden veranderen, kan de overheid dan nog steeds zelf bepalen hoe haar kritieke digitale infrastructuur functioneert? Als het antwoord daarop niet overtuigend ‘ja’ is, is digitale soevereiniteit vooral een beleidsambitie op papier. En juist daarom is de Zwitserse E-ID een interessante casus voor Nederland. 