Digitale soevereiniteit nog onvoldoende verankerd in bestuurskamer

Dat blijkt uit onderzoek van het Capgemini Research Institute, getiteld Digital Sovereignty: From Policy Ambition to Executive Imperative. De urgentie is in Nederland groter dan gemiddeld wereldwijd. Van de Nederlandse organisaties geeft 89% aan te vrezen dat geopolitieke spanningen belangrijke bedrijfsactiviteiten kunnen verstoren, tegenover 76% wereldwijd. De grootste uitdaging ligt momenteel in het omzetten van ambitie naar concrete actie. Daarvoor heeft 77% van de Nederlandse organisaties inmiddels budget vrijgemaakt.

Onvoldoende zicht

Veel organisaties hebben onvoldoende zicht op de clouddiensten, software, cybersecurityoplossingen of AI-systemen waarvan hun belangrijkste processen afhankelijk zijn. Een eerste stap is daarom het in kaart brengen van processen die niet mogen uitvallen, de digitale afhankelijkheden die daarbij spelen en realistische alternatieven. Een duidelijke eigenaar op bestuursniveau kan hierbij helpen. Bijna de helft van de Nederlandse organisaties overweegt een Chief Sovereignty Officer aan te stellen, maar slechts 7% heeft deze functie op dit moment daadwerkelijk ingevuld.

Volgens het onderzoek draait digitale soevereiniteit vooral om de vraag of één externe leverancier een organisatie kan belemmeren om belangrijke processen voort te zetten. Wanneer een cruciale partner wegvalt, voorwaarden wijzigt of tijdelijk niet beschikbaar is, kan die partij uitgroeien tot een grote afhankelijkheid. Op dit vlak is nog ruimte voor verbetering in Nederland: slechts 16% van de organisaties heeft volledig zicht op de eigen digitale leveranciersketen.

AI vergroot de urgentie

De kwetsbaarheid beperkt zich niet tot cloudinfrastructuur of de fysieke locatie van data. Een meerderheid van de Nederlandse organisaties, 59%, beschouwt AI als een hoog risico voor de continuïteit van belangrijke bedrijfsprocessen. Dat komt doordat AI-afhankelijkheid verder reikt dan alleen de toegang tot een model. Ook data, rekenkracht, software, cybersecurity, intellectueel eigendom en de mogelijkheid om over te stappen naar een alternatief spelen daarbij een rol. Organisaties die al hun AI-toepassingen rond één model of één cloudleverancier bouwen, kunnen daarmee juist nieuwe afhankelijkheden creëren.

Het onderzoek pleit voor een praktische, risicogestuurde aanpak. Organisaties hoeven niet alle technologie zelf te bezitten of onder Nederlandse controle te brengen, maar moeten wel bepalen welke processen niet mogen uitvallen, welk risico daarbij acceptabel is en welke maatregelen nodig zijn om bij een verstoring te kunnen doorwerken. Dat kan betekenen dat organisaties kritieke processen extra beschermen, afhankelijkheden spreiden, een werkbare exitstrategie testen of een tweede locatie organiseren. Als internationale voorbeelden worden Estland en Luxemburg genoemd, die dit vanuit verschillende invalshoeken benaderen: Estland vanuit geopolitieke weerbaarheid en wendbaarheid, Luxemburg vanuit economische soevereiniteit, databeveiliging en hoogwaardige infrastructuur. Gemeenschappelijk uitgangspunt is dat wordt voorkomen dat één locatie, leverancier of verstoring de volledige dienstverlening raakt.

Meer informatie is te vinden in het rapport 'Digital Sovereignty: From Policy Ambition to Executive Imperative'.