Het is momenteel een van de meest besproken onderwerpen in privacy- en securityland: digitale soevereiniteit. Een aantal weken geleden dwong de Amerikaanse overheid Microsoft om gegevens van Nederlandse ambtenaren te overhandigen, en blokkeerde de staatssecretaris de overname van het Nederlandse Solvinity door een Amerikaans miljardenbedrijf. Waarom zijn we in Europa zo afhankelijk van Amerikaanse techreuzen? En hoe beschermen we onze kritieke digitale infrastructuur? In de vorige aflevering van PRISM de Podcast besprak Rogier Verdier dit actuele thema met consultants Ilyas Ilhyane en Jelle van Tol.
Wat is digitale soevereiniteit eigenlijk?
Hoewel de term 'digitale soevereiniteit' de laatste tijd overal opduikt, blijft het voor velen een abstract begrip. Jelle trapt af met de vraag wat de exacte achtergrond is van deze discussie.
Ilyas legt uit dat het in de kern draait om onafhankelijkheid:
"Bij digitale soevereiniteit denk ik aan de vraag in hoeverre je afhankelijk bent van derden om je eigen systemen te laten functioneren. Landen en organisaties moeten zichzelf afvragen: wie beheert onze data en hoe zorgen we dat we zelf de regie houden?"
Wanneer een organisatie of overheid geen controle heeft over waar haar gegevens worden opgeslagen of verwerkt, ontstaat er een fundamenteel probleem. Een concreet voorbeeld hiervan is het Internationaal Strafhof (ICC). Zij verloren plotseling de toegang tot hun Office-producten omdat de Amerikaanse overheid destijds besloot restricties op te leggen. Dit is het ultieme voorbeeld van een gebrek aan digitale soevereiniteit.
De geopolitieke tijdbom onder de AVG
De urgentie rondom dit onderwerp is in een stroomversnelling geraakt door geopolitieke verschuivingen in de Verenigde Staten en de herverkiezing van Donald Trump. Toen de VS openlijk dreigde om Groenland te annexeren, werd in Europa pijnlijk duidelijk dat we Amerika niet zomaar blindelings als betrouwbare bondgenoot kunnen beschouwen.
Dit heeft direct weerslag op de privacywetgeving (AVG). Om persoonsgegevens buiten de EU op te slaan, moet een land een gelijkwaardig beschermingsniveau bieden. Waar voorheen nog specifieke juridische 'checks and balances' bestonden om data-uitwisseling met de VS te legitimeren, zijn deze waarborgen inmiddels nagenoeg verdwenen. De toezichtscomités die toezicht moesten houden op misbruik door Amerikaanse inlichtingendiensten, zijn zo onderbezet dat ze geen rechtsgeldige besluiten meer kunnen nemen.
Het juridische verdict is helder: AVG-technisch gezien is het opslaan van Europese persoonsgegevens op Amerikaanse servers momenteel uiterst problematisch.
De actualiteit: Microsoft en de overname van Solvinity
Hoe reëel de risico's zijn, bleek onlangs uit twee grote nieuwsfeiten:
Het Microsoft-incident
De Amerikaanse overheid heeft via de Cloud Act Microsoft gedwongen om de namen van Nederlandse ambtenaren te overhandigen. Dit betrof ambtenaren die nota bene werkten aan de Europese Digital Services Act (de wet die strenger toezicht houdt op big tech en social media).
Het opmerkelijke is dat Microsoft kort daarvoor nog publiekelijk claimde dat zij dergelijke verzoeken altijd eerst via de rechter zouden aanvechten. In de praktijk bleken de gegevens binnen twee weken te zijn overgedragen. Aangezien 40% van de omzet van Microsoft uit Europa komt, ligt hier een enorme economische leverage voor de EU, al is een volledige migratie weg van dit platform een langdurig proces.
De Solvinity-blokkade
Staatssecretaris Aerts heeft de voorgenomen verkoop van het Nederlandse hostingbedrijf Solvinity aan het Amerikaanse Kyndryl geblokkeerd. Solvinity host de infrastructuur achter DigiD.
Aanvankelijk leek er geen juridische grondslag te zijn om de verkoop tegen te houden, tot het Bureau Toetsing Investeringen (BTI) van Economische Zaken een negatief advies uitbracht vanwege de nationale veiligheidsrisico's. Als DigiD in Amerikaanse handen zou vallen, zou de Amerikaanse overheid in theorie de stekker uit de toegang tot de Nederlandse overheid, zorgdossiers en het RDW kunnen trekken.
De 6 grote risico's van een 'Vendor Lock-in'
Wanneer organisaties volledig leunen op Amerikaanse techgiganten, worden zij blootgesteld aan een zestal specifieke risico's:
- Continuïteitsrisico: Een buitenlandse mogendheid kan besluiten de dienstverlening te staken, waardoor bedrijfskritische systemen uitvallen.
- Privacy- en rechtsstatelijk risico: Amerikaanse wetgeving (zoals de Cloud Act) dwingt techbedrijven om data die fysiek in Europa staat, alsnog door te spelen aan Amerikaanse inlichtingendiensten.
- Strategisch risico: Het verlies van regie en keuzevrijheid door een totale afhankelijkheid van één enkele partij (vendor lock-in).
- Financieel risico: Indien een monopolistische leverancier besluit de prijzen drastisch te verhogen, hebben organisaties geen alternatief om naar uit te wijken.
- Innovatie- en kennisrisico: Men is volledig afhankelijk van de technische roadmap van de leverancier; specifieke aanpassingen of maatwerk zijn nagenoeg onmogelijk af te dwingen.
- Ketenrisico: Als een vitale toeleverancier in de keten omvalt of wordt geblokkeerd, heeft dit direct impact op de continuïteit van de geoogstelde organisatie.
De keten is zo sterk als de zwakste schakel: Van de cloud naar de slimme deurbel
Het risico van digitale afhankelijkheid speelt niet alleen op het niveau van miljardencontracten of overheidsvoorzieningen; het sijpelt door tot in de kleinste details van onze keten en zelfs onze huishoudens. Rogier schetst een herkenbaar praktijkvoorbeeld:
"Soms kun je zelf intern alles heel goed op orde hebben, maar hoe zit het met je leveranciers? Denk aan de populaire Ring-deurbel of slimme inbraakcamera's. Ring is eigendom van Amazon. Hoewel de servers fysiek in Europa kunnen staan, vallen ze onder een Amerikaans moederbedrijf. Als de Amerikaanse overheid de data opeist, gaan die camerabeelden gewoon de grens over."
Wat zijn de Europese alternatieven?
Gelukkig hoef je als organisatie of consument niet lijdzaam toe te zien hoe al je data naar de VS stroomt. Door kritisch te kijken naar leveranciersmanagement kun je kiezen voor partijen die je data gegarandeerd binnen de Europese Unie houden.
Wie op zoek is naar privacyvriendelijkere alternatieven voor hardware en slimme systemen, kan bijvoorbeeld uitwijken naar Europese merken zoals het Franse Netatmo of het Italiaanse Bticino. Hoewel Europese techbedrijven soms nog een stap kunnen maken in het verzinnen van 'shynier' marketingnamen, blinken ze kwalitatief en juridisch gezien uit in veiligheid en datalokalisatie. Een andere waterdichte optie is het draaien van een lokale server in eigen beheer, waarmee je de afhankelijkheid van externe cloudleveranciers volledig uitschakelt.
Praktisch advies: Hoe mitigeer je soevereiniteitsrisico's?
Om de digitale soevereiniteit structureel te herstellen, moeten organisaties en overheden proactief overstappen op alternatieve IT-strategieën:
Cloud Native en verplaatsbaar ontwerpen
Zorg ervoor dat applicaties en systemen zo worden gebouwd dat ze niet cloud-gebonden zijn. Het product moet zonder ingrijpende aanpassingen verhuisd kunnen worden van bijvoorbeeld de Microsoft Cloud naar een Europees alternatief, zoals de cloud-oplossing die momenteel door het moederbedrijf van Lidl (Schwarz Digits) wordt ontwikkeld en reeds door de Duitse en Nederlandse overheid wordt overwogen.
Open Source in de onderlaag
Maak in de basisinfrastructuur gebruik van open source alternatieven. In plaats van Windows en MS Office kan er gekozen worden voor Linux en LibreOffice. Hoewel in het verleden de plug-and-play gebruiksvriendelijkheid voor niet-technisch personeel een drempel was, hebben deze pakketten de afgelopen jaren een enorme kwaliteitsslag gemaakt. Verschillende Europese overheden en gemeenten draaien inmiddels volledig op open source.
Digitale portabiliteit en contractmanagement
Dwing contractueel 'digitale portabiliteit' af. Net zoals nummerbehoud bij telecomproviders inmiddels de standaard is, moeten organisaties bij de aanschaf van IT-diensten duidelijke exit-routes, change of control-clausules en scherpe afspraken over datamigratie opnemen.
Multicloud- en hybride strategieën
Spreid de risico's door bewust te kiezen voor een multicloud-aanpak. Bewaar kritieke bedrijfsprocessen of administratieve applicaties (zoals het Nederlandse Exact) bij lokale, Europese aanbieders en voorkom dat de gehele organisatie afhankelijk is van één enkele Amerikaanse partij. Vraag je leveranciers tijdens het inkoopproces altijd uit op hun onderliggende cloudinfrastructuur (bijvoorbeeld of hun software stiekem alsnog op AWS of Azure draait).
Conclusie
De recente incidenten rondom Microsoft en Solvinity laten zien dat digitale soevereiniteit geen theoretische privacydiscussie meer is, maar een kwestie van nationale veiligheid en bedrijfscontinuïteit. Het verkleinen van de afhankelijkheid van Amerikaanse Big Tech vraagt om een strategische omslag, investeringen in Europese alternatieven en scherp leveranciersmanagement. Soms heeft een organisatie de eigen zaken intern goed op orde, maar vormt de verborgen Amerikaanse infrastructuur van een toeleverancier alsnog de zwakste schakel in de keten.
Wil je weten hoe je een gedegen risicoanalyse uitvoert op de digitale soevereiniteit van jouw IT-landschap, of wil je de politieke ontwikkelingen rondom de Cloud Act blijven volgen? Beluister de volledige aflevering van de PRISM-podcast op prismmembers.nl of via je favoriete podcast-app. Heb je een specifieke vraag over leveranciersmanagement? Stel hem direct aan onze consultants via het PRISM-platform!
