Wie heeft de noodstopknop voor uw infrastructuur in handen?

"We willen ervoor zorgen dat niemand over een noodstop beschikt." Henna Virkkunen, uitvoerend vicevoorzitter van de Europese Commissie voor technologische soevereiniteit, veiligheid en democratie, verwoordde het duidelijk. De strekking: geen enkele buitenlandse regering mag de infrastructuur waarop Europa draait zomaar kunnen uitschakelen of leeghalen. Dit is geen waarschuwing voor een verre toekomst.

Het is een beschrijving van het heden.

 

Het moment waarop het werkelijkheid werd

In 2025 verloor de hoofdaanklager van het Internationaal Strafhof tijdelijk de toegang tot zijn Microsoft-e-mailaccount als gevolg van Amerikaanse sancties. Hierdoor werd de werking van één externe dienstverlener, een buitenlands rechtsgebied en een internationale instelling ernstig belemmerd.

Dit is geen op zichzelf staand geval. Uit de barometer voor digitale soevereiniteit in de publieke IT van Next:Public (december 2025, alleen beschikbaar in het Duits) blijkt dat 65% van de ondervraagde overheidsinstanties een sterke of zeer sterke afhankelijkheid van niet-Europese IT-leveranciers ervaart. Bij gemeenten ligt dit cijfer op 70%. Twee derde beschouwt hun overstapmogelijkheden als inflexibel of zeer inflexibel. De noodstop bestaat wel, maar ze hebben er simpelweg geen controle over.

 

Europa trekt hieruit de nodige conclusies

De patronen die de afgelopen maanden naar voren zijn gekomen, kunnen niet langer als toeval worden beschouwd; ze wijzen op iets dat meer opzettelijk is. Microsoft heeft onder ede voor de Franse Senaat erkend dat toegang tot gegevens door Amerikaanse autoriteiten niet kan worden uitgesloten, zelfs niet wanneer die gegevens zich fysiek in Europa bevinden. Frankrijk is begonnen met het verwijderen van Amerikaanse software van 2,5 miljoen werkplekken. Het Europees Parlement heeft hierover met 471 tegen 68 stemmen voor gestemd. En nu werkt de Commissie aan de bijbehorende regels.

Het pakket inzake technologische soevereiniteit definieert voor het eerst vier niveaus van cloudsoevereiniteit. Op de hoogste niveaus moet een aanbieder vanuit de EU worden aangestuurd, met volledige controle over de toeleveringsketen en zonder toegang voor derde landen. Aanbieders die niet aan deze eisen voldoen, worden uitgesloten van de meest gevoelige overheidsopdrachten: gezondheidsgegevens, financiële gegevens en gerechtelijke gegevens.

 

Wat digitale soevereiniteit werkelijk inhoudt

De BMDS omschrijft digitale soevereiniteit in het openbaar bestuur als „het vermogen en de mogelijkheden van individuen en instellingen om hun rol(len) in de digitale wereld onafhankelijk, zelfstandig en veilig uit te oefenen“. Het doel is het handhavingsvermogen van de staat te waarborgen.

In de praktijk wordt digitale soevereiniteit vaak teruggebracht tot één enkele vraag: waar worden de gegevens opgeslagen? Dat is een begrijpelijk uitgangspunt, maar het gaat niet ver genoeg.

Gegevenssoevereiniteit is belangrijk. Maar het feit dat gegevens in Europa worden opgeslagen, betekent nog niet automatisch dat een oplossing in wezenlijke zin soeverein is. Als het beheer, de ondersteuning, het sleutelbeheer, de bedrijfsvoering, de eigen interfaces of de afhankelijkheid van leveranciers niet zorgvuldig zijn onderzocht, kunnen er nog steeds aanzienlijke kwetsbaarheden bestaan – ongeacht waar de gegevens zich fysiek bevinden.

Hier is een voorbeeld: „Gehost in Europa“ klinkt overtuigend. Maar de locatie alleen zegt nog niets over wie er wettelijk of technisch gezien toegang heeft tot de gegevens en systemen. Met name bij aanbieders die onder niet-Europese rechtsgebieden vallen, moet worden nagegaan of de overheidsinstantie daadwerkelijk de controle behoudt over gegevens, systemen, metagegevens, sleutels en operationele processen.

 

Waarom digitale soevereiniteit niet via één enkel product kan worden bereikt

Voor veel overheidsinstellingen begint het proces met het kiezen van een technologie. Dat is vaak precies waar het misgaat.

De belangrijkste vraag die je je eerst moet stellen is: wat zijn de daadwerkelijke vereisten – voor de instelling zelf, voor het specifieke gebruiksscenario en voor de betreffende gegevens?

Voor overheidsinstellingen vormt het vereiste beschermingsniveau een centraal uitgangspunt. De IT-Grundschutz-methodiek van het BSI gaat na welke schade kan ontstaan als de vertrouwelijkheid, integriteit of beschikbaarheid van informatie, applicaties of IT-systemen in het gedrang komt.

Daartoe onderscheidt het BSI drie beschermingscategorieën: normaal, hoog en zeer hoog.

• In normale omstandigheden blijft eventuele schade beperkt en is deze doorgaans goed beheersbaar.
• Op hoog niveau worden de mogelijke gevolgen aanzienlijk ernstiger.
• Op zeer hoog niveau kan het een omvang aannemen die een existentiële bedreiging vormt of catastrofaal is.

Het cruciale punt is dat het beveiligingsniveau bepalend is voor de architectuur, en niet andersom.

Niet elke applicatie hoeft volgens de strengste normen te worden beveiligd. Tegelijkertijd mogen bijzonder gevoelige communicatie, kritieke gegevens of essentiële administratieve functies niet op een standaardmanier worden behandeld.

Digitale soevereiniteit is dus geen kwestie van één enkele beslissing – het vloeit voort uit de manier waarop architectuur, integratie en implementatie op elkaar aansluiten. Spraak, video, berichtenverkeer, Unified Communications (UC)-platforms, netwerken, beveiliging, identiteitsbeheer en bestaande systemen moeten allemaal als één geheel worden beschouwd. Geen enkel afzonderlijk hulpmiddel kan dit op eigen kracht oplossen.

 

Welke rol speelt infrastructuur?

Een lokale infrastructuur is niet per definitie veiliger dan elke cloudoplossing. Dat gezegd hebbende, kan dit wel de doorslaggevende factor zijn wanneer het gaat om bijzonder gevoelige gegevens, communicatiekanalen of bedrijfsprocessen.

Voor overheidsinstellingen kan het de moeite waard zijn om lokale of specifieke infrastructuur te overwegen wanneer:

• Communicatiegegevens en metagegevens moeten binnen afgebakende omgevingen blijven
• Systemen moeten beschikbaar blijven, zelfs als de externe verbinding wordt onderbroken of beperkt is
• Het bestuur en de bedrijfsvoering moeten duidelijk van elkaar worden gescheiden
• Er gelden specifieke eisen met betrekking tot vertrouwelijke informatie, beschikbaarheid of controleerbaarheid

De keuze voor een bedrijfsmodel moet dus weloverwogen zijn. Een werkelijk autonome architectuur kan gebruikmaken van een combinatie van on-premises, hybride, private cloud en publieke cloud – er is niet één juist antwoord.

Het gaat er niet om hoe een oplossing wordt genoemd, maar of gegevensstromen, toegangsrechten, operationele processen, interfaces en uitstapmogelijkheden allemaal op transparante en expliciete wijze worden geregeld.

 

Waarom zijn Europese technologieën en open source belangrijk?

Europese technologieën kunnen helpen om juridische en operationele afhankelijkheden te verminderen – maar ze zijn geen doel op zich. Een oplossing is niet automatisch soeverein alleen maar omdat ze uit Europa komt.

Het gaat erom of de technologie daadwerkelijk geschikt is voor het beoogde doel, of deze veilig in bestaande omgevingen kan worden geïntegreerd en of deze op de lange termijn kan worden onderhouden en verder ontwikkeld.

Open-source software vormt in dit verband een essentiële bouwsteen – niet om ideologische redenen, maar om praktische redenen:

• Open-sourcecode zorgt voor transparantie en maakt onafhankelijke controles mogelijk.
• Open standaarden verbeteren de interoperabiliteit tussen systemen.
• Modulaire benaderingen zorgen ervoor dat men minder afhankelijk is van één enkele leverancier.
• Oplossingen worden eenvoudiger aan te passen en te hergebruiken.
• Overstappen op een alternatief blijft een reële optie.

Dat gezegd hebbende, is open source een belangrijk instrument, maar geen kant-en-klare strategie voor soevereiniteit. Het krijgt pas echt betekenis wanneer applicaties veilig worden geïntegreerd, goed gedocumenteerd, betrouwbaar beheerd en daadwerkelijk in bestaande werkprocessen worden ingebed.

Voor overheidsinstellingen gaat het niet om een keuze tussen open source en propriëtaire oplossingen. Wat nodig is, is een architectuur die transparantie, interoperabiliteit, veiligheid en de praktische vrijheid om indien nodig van aanbieder te wisselen, met elkaar combineert.

 

Waarom is technologie alleen niet genoeg?

Een punt dat vaak over het hoofd wordt gezien, is bedrieglijk eenvoudig: wie heeft er eigenlijk toegang tot deze systemen?

Bij projecten waarbij beveiliging een belangrijke rol speelt, mag het gesprek niet beperkt blijven tot software, hardware of cloudmodellen. Er moet ook aandacht worden besteed aan de vraag wie toegang krijgt – tot systemen, gegevens, operationele processen en administratieve functies.

Indien de projectvereisten dit vereisen, kan personeel worden ingezet dat is doorgelicht op grond van de Wet op de veiligheidsonderzoeken (SÜG). In gevoelige omgevingen is dit geen bijzaak, maar een essentieel onderdeel van elk serieus implementatieconcept.

Technologie, architectuur en mensen moeten samenwerken. Zonder die afstemming blijft soevereiniteit precies waar je die het gemakkelijkst kunt laten: op papier.

 

Hoe moeten overheidsinstellingen in de praktijk omgaan met digitale soevereiniteit?

De eerste stap is niet het kiezen van een product, maar een duidelijke inventarisatie van de behoeften.

Met name zouden overheidsinstanties het volgende moeten verduidelijken:

1. Welke gegevens- en communicatieprocessen zijn van cruciaal belang? Niet elk stukje informatie vereist dezelfde bescherming en hetzelfde bedrijfsmodel.
2. Welke systemen zijn er al aanwezig? Er moet rekening worden gehouden met bestaande oplossingen op het gebied van spraak, samenwerking, video, netwerken en beveiliging.
3. Welke afhankelijkheden zijn er op dit moment? Hieronder vallen leveranciers, platforms, interfaces, gegevensformaten, ondersteuningsprocessen en licentiemodellen.
4. Welke bedrijfsmodellen zijn toegestaan en zinvol? De keuze voor on-premises , hybride, private cloud, public cloud of air-gap-architecturen moet worden afgestemd op de vereisten.
5. Welke technologieën zijn echt geschikt? Leveranciersonafhankelijkheid is hierbij van belang. Anders wordt de architectuur al te vroeg bepaald door één enkel product.
6. Hoe kunnen de keuzevrijheid en de handelingsruimte behouden blijven? Open standaarden, gedocumenteerde interfaces en realistische migratiescenario’s moeten vanaf het begin in de planning worden meegenomen.

Deze aanpak voorkomt twee veelgemaakte fouten: soevereiniteit louter als een compliancekwestie beschouwen of proberen het probleem op te lossen door de aanschaf van één enkel platform. In de praktijk zijn beide nodig: een duidelijke inventarisatie van de vereisten en het vermogen om op basis daarvan een levensvatbare communicatie- en netwerkinfrastructuur op te bouwen. Dit is precies waar Damovo een rol speelt.

 

Hoe ondersteunt Damovo de implementatie van digitale soevereiniteit?

Damovo is een leveranciersonafhankelijke advies- en integratiepartner voor communicatie- en netwerkinfrastructuren in de publieke sector.

Het is niet onze taak om één bepaalde technologie als ‘soeverein’ aan te prijzen. Wij brengen de behoeften in kaart, adviseren over geschikte technologieën en integreren deze in een veilige, gebruiksvriendelijke en op lange termijn beheersbare totaalarchitectuur.

Concreet ondersteunen wij overheidsinstellingen met:

• de beoordeling van wettelijke, organisatorische en technische vereisten
• de indeling van beveiligingseisen, communicatiebehoeften en bedrijfsmodellen
• de keuze van geschikte Europese technologieën, open-source-toepassingen en oplossingen van partners
• de integratie van spraak, video, UC, berichtenverkeer, netwerk en beveiliging
• de implementatie van on-premises-, hybride-, private cloud- en, waar nodig, air-gap-architecturen
• de inzet van veiligheidsgescreend personeel in het kader van de SÜG wanneer de omstandigheden dat vereisen
• het verminderen van afhankelijkheden door middel van open-source software en alternatieve oplossingen.

Het doel is niet maximale afzondering. Het gaat om de mogelijkheid om te handelen.

 

Digitale soevereiniteit is niet langer een keuze

Digitale soevereiniteit is niet het resultaat van één enkel product, een specifieke cloudlocatie of een op zichzelf staande technologische keuze. Ze ontstaat wanneer overheidsinstellingen een duidelijk beeld hebben van hun eigen behoeften, bewust werken aan het verminderen van afhankelijkheden en hun communicatie- en netwerkinfrastructuur zo opbouwen dat deze op de lange termijn veilig, open, interoperabel en beheersbaar blijft.

Uiteindelijk gaat het niet om losse bouwstenen. Het gaat erom dat we in staat blijven om actie te ondernemen. Digitale soevereiniteit is daarom geen luxe. Het is het fundament waarop al het andere rust.