Digitale soevereiniteit in de publieke sector onder druk

Van efficiëntie naar afhankelijkheid

De afgelopen tien jaar heeft de overheid een enorme digitaliseringsslag gemaakt. Cloudplatformen boden precies wat nodig was: flexibiliteit, standaardisatie en toegang tot innovatieve diensten. Maar diezelfde keuze heeft geleid tot een verregaande concentratie van kritische ITvoorzieningen bij een beperkt aantal, veelal nietEuropese, aanbieders. Inmiddels draait 67% van de rijksbrede digitale werkplek, communicatie, documentopslag en identiteitsdiensten op Amerikaanse hyperscalers. Technisch functioneert dat uitstekend. Strategisch roept het vragen op. Want wat betekent die afhankelijkheid op het moment dat wetgeving buiten de EU direct kan doorwerken in Nederlandse systemen? Of wanneer geopolitieke spanningen leiden tot nieuwe handelsbeperkingen, sancties of juridische conflicten?

Digitale autonomie gaat daarmee niet langer over waar data staat, maar over wie uiteindelijk bepaalt wat ermee gebeurt.

Digitale soevereiniteit als continuïteitsvraagstuk

Waar het debat jarenlang werd gevoerd vanuit privacy en compliance, verschuift de focus nu richting bedrijfscontinuïteit en bestuurlijke wendbaarheid. Overheidsorganisaties moeten zich afvragen: kunnen we onze publieke taak blijven uitvoeren als de spelregels veranderen?

Dat raakt direct aan kernvragen voor ITarchitectuur en governance:

• Hebben we inzicht in onze kritieke afhankelijkheden?
• Kunnen we systemen migreren of loskoppelen als dat nodig is?
• Zijn exitscenario’s meer dan theoretische plannen op papier?

Digitale soevereiniteit blijkt daarmee geen binaire keuze tussen ‘wel of geen cloud’, maar een spectrum van risico’s dat actief gemanaged moet worden.

Geen alles-of-niets, maar risicogestuurd sturen

In plaats van te streven naar volledige technologische onafhankelijkheid, pleiten steeds meer experts voor een risicogestuurdebenadering. Niet elke applicatie of dataset is even kritisch. De kunst is om bewust te differentiëren.

Voor generieke ondersteuningstools kan een commerciële cloudoplossing prima volstaan. Voor kernprocessen, gevoelige data of systemen met een lange levensduur ligt dat anders. Daar is extra aandacht nodig voor transparantie, controle en alternatieven.

Dat vraagt om keuzes op meerdere niveaus:

• Architectuur: modulair ontwerpen, met duidelijke scheiding tussen data, logica en platform.
• Contractering: afspraken over datatoegang, audits, exitmogelijkheden en juridische zeggenschap.
• Governance: structurele betrokkenheid van bestuur bij strategische ITafhankelijkheden.

Digitale soevereiniteit wordt zo een vast onderdeel van besluitvorming, in plaats van een incidentele discussie bij aanbestedingen.

Exitstrategieën: van papieren belofte naar getest scenario

Een terugkerend pijnpunt is de exitstrategie. In veel gevallen bestaat die wel op papier, maar is nooit daadwerkelijk getest. In de praktijk blijkt migratie complexer, duurder en tijdrovender dan vooraf gedacht, zeker wanneer systemen diep verweven zijn geraakt met specifieke platformdiensten.

Een realistische exitstrategie betekent:

• Regelmatig testen of data en applicaties overdraagbaar zijn.
• Vermijden van onnodige vendor lockin door proprietary diensten.
• Investeren in kennis binnen de eigen organisatie, zodat afhankelijkheid niet alleen technisch maar ook organisatorisch wordt beperkt.

Zonder die maatregelen blijft soevereiniteit een theoretisch concept.

Bestuur aan zet

Wat deze discussie onderscheidt van eerdere ITdebatten, is dat de uiteindelijke verantwoordelijkheid steeds vaker bij het bestuur ligt. Digitale soevereiniteit raakt aan publieke waarden, rechtsstatelijkheid en nationale weerbaarheid. Dat zijn geen onderwerpen die uitsluitend in de ITkolom thuishoren.

Voor CIO’s en CISO’s betekent dit een andere rol: niet alleen technisch adviseren, maar ook strategische scenario’s inzichtelijk maken voor bestuurders. Wat zijn de consequenties van niets doen? Welke risico’s accepteren we bewust? En welke zijn onverenigbaar met onze publieke taak?

Vooruitkijken zonder illusies

De realiteit is dat de overheid niet zomaar afscheid kan nemen van bestaande cloudplatformen. Daarvoor zijn de afhankelijkheden te groot en de alternatieven nog onvoldoende volwassen. Maar niets doen is geen optie.

Digitale autonomie vraagt om een nuchtere, langjarige aanpak: investeren in governance, keuzes expliciet maken en soevereiniteit meenemen als vast criterium in IT-strategie. Niet uit wantrouwen, maar uit professioneel risicobesef.

Wie nu stuurt op inzicht en handelingsvrijheid, voorkomt later dat technologische keuzes politieke en maatschappelijke consequenties krijgen die niet meer te corrigeren zijn.

Het volledige artikel is hier te lezen: Digitale soevereiniteit in de publieke sector | EY - Nederland

Door: Esther Kreukniet van EY