Gartner: digitale soevereiniteit is nu 'executive concern'

Stoneman benadrukt dat de focus op soevereiniteit traditioneel te smal is geweest, waarbij men zich uitsluitend richtte op waar data wordt gehost (data residency). De huidige dynamiek eist echter een veel bredere, meer proactieve benadering.

De gevaarlijke passiviteit van het leiderschap

Ondanks de schijnbare urgentie, wijst Gartner op een zorgwekkende kloof tussen bewustzijn en actie op bestuursniveau. Uit onderzoek bleek dat slechts 26% van de ondervraagde leiders bereid is om leveranciersrelaties te herevalueren op basis van nieuwe geopolitieke aannames.

"Tot nu toe hebben we als het ware genoeg 'wedstrijden gewonnen' door alleen op de verdediging te letten," aldus Stoneman, die een voetbalanalogie gebruikt. "Maar net als bij modern voetbal, moet nu het hele team betrokken zijn bij de verdediging. De CISO bevindt zich in een unieke positie om deze kloof te overbruggen, maar de urgentie wordt door veel executives nog onderschat."

Gartner definieert soevereiniteit als: "Het vermogen om een beslissing te nemen en deze uit te voeren zonder de goedkeuring of toestemming van anderen, en de capaciteit om deze beslissing in de toekomst te handhaven." Dit gaat veel verder dan alleen het Cloud Act of de locatie van een datacentrum.

Soevereiniteitsrisico's zitten in de volledige tech stack

De analist waarschuwt dat Sovereign Cloud of Industry Cloud-oplossingen vaak onvolledige antwoorden zijn. Risico’s liggen op elke laag van de technologische architectuur:

• Digital Workplace: Productiviteitssoftware, samenwerkingstools en zelfs het onderliggende besturingssysteem.
• Digital Service Delivery: Mobiele apps, chatbots en identiteitsplatforms voor burgergerichte diensten.
• AI Stack: De modellen, de trainingsdata en de infrastructuur die de AI-assistenten ondersteunen.
• Netwerkinfrastructuur: De hardware en de beveiligingslaag.

"Een soevereine cloud dekt misschien de infrastructuur, maar niet de kernsystemen. Een Industry Cloud helpt bij ERP of CRM, maar biedt geen volledig overzicht van de rest van uw stapel," stelt Stoneman.

Actieplan: van theorie naar gerichte prioriteit

Om succesvol te zijn, moeten CISO’s een realistisch risicobeoordelingskader hanteren en de volgende stappen zetten:

• Verbreed de definitie: Ga verder dan data- en operationele soevereiniteit; breng de volledige diepte en breedte van alle technologieën in kaart.
• Identificeer specifieke risico’s: Gebruik een raamwerk als Tapestry (dat factoren zoals Technologisch, Politiek, Economisch, Sociaal en Wetgeving meeneemt) om risicoverklaringen op te stellen. Denk hierbij aan: de impact van tarieven en inflatie op licentiekosten (Economisch), of de risico’s van kwaadaardige code ingebracht via buitenlandse platforms (Technologisch).
• Prioriteer en communiceer: Beoordeel risico’s op basis van kritikaliteit (strategische impact, reputatieschade en verstoring van kerndiensten) en de capaciteit van de organisatie om het risico te managen.
• Benadruk de praktijk: Maak leiders duidelijk dat dit geen theoretische risico’s zijn. Stoneman noemt de tijdelijke gedwongen terugtrekking van Adobe uit Venezuela (2019) en de verstoring van Maxar’s observatiebeelden in Oekraïne (2024) als voorbeelden dat leveranciers uiteindelijk altijd kiezen voor naleving van de wetgeving in hun thuisland boven servicecontinuïteit voor de klant.

De afwegingen: van encryptie tot Open Source

De CISO moet de uitvoerende leiding concrete, afgewogen oplossingen presenteren:

• Risico Aanbevolen Actie De Afweging (Trade-Off)
• Lock-in bij buitenlandse hyperscalers (beperkte migratie) Verken Sovereign Cloud-oplossingen in geïsoleerde zones binnen de eigen jurisdictie. Hogere initiële kosten; vereist lokaal beheer.
• Toegang tot data via buitenlands recht (bv. US Cloud Act) Data-encryptie waarbij de organisatie zelf de sleutels in handen houdt. Dit lost het juridische risico op, maar vereist investeringen in sleutelbeheer.
• Economische impact (tarieven, inflatie op licenties) Overweeg Open Source, pas licentietypen aan (van abonnement naar perpetueel) of downgrade licenties. Open Source kan kosten besparen op licenties, maar vereist investeringen in training, change management en integratie.

Conclusie

De slotboodschap van Gartner is duidelijk: in een onzekere geopolitieke omgeving is een effectieve aanpak van digitale soevereiniteit noodzakelijk om te voorkomen dat overheden de controle verliezen over essentiële diensten. Het is tijd voor leiders om te stoppen met firefighting en een proactieve strategie te omarmen.