In de rubriek De Overstap gidst ict‑journalist Robbert Hoeffnagel de ict-pro en -beslisser naar soevereine zakelijke oplossingen. Deel 7: de moeite die organisaties hebben om concrete keuzes te maken, Fransen willen overstappen voor zakelijke cloudgebruikers makkelijker maken en ga zelf experimenteteren met containerplatforms als portainers of CasaOS!
Hoe snel gaat die overstap naar digitale soevereiniteit nu eigenlijk echt? Dat vroeg een cio van een financiële instelling mij laatst. Daar moest ik toch even over nadenken. Want aan de ene kant gebeurt er veel. Overheden, bedrijven en instellingen praten niet meer alleen over digitale soevereiniteit, maar zetten ook concrete stappen. Aan de andere kant hoor ik nog altijd discussies waarvan ik denk: hebben we het nu echt over hetzelfde onderwerp?
Positief is natuurlijk dat de beweging op gang is gekomen. Neem de plannen van de Nederlandse overheid om te werken aan een zo soeverein mogelijke cloud, gebaseerd op de Haven-standaard. Of neem het bericht dat opnieuw een Duitse deelstaat afscheid neemt van Office 365 en overstapt op Nextcloud. De lijst met proof of concepts, pilots en daadwerkelijke migratieprojecten wordt inmiddels behoorlijk lang.
Maar daar staan ook heel andere signalen tegenover.
De Belgische consultant Jan Guldentops windt zich bijvoorbeeld al langer op over de manier waarop de Vlaamse overheid besloot om voor Microsoft Copilot te kiezen. Zijn probleem daarmee is niet alleen de nog verder toenemende afhankelijkheid van Microsoft, maar ook het kennelijk niet meewegen van berichten over de matige kwaliteit, het ontbreken van een aanbesteding en het feit dat alternatieven nauwelijks serieus lijken te zijn bekeken. Het resultaat: een discussie over de vraag hoe serieus sommige ambtenaren cq overheden digitale soevereiniteit eigenlijk nemen. In de Belgische politiek lijkt deze kwestie in ieder geval nauwelijks te spelen.
Ook in Nederland gebeuren soms dingen die de wenkbrauwen doen fronsen. Zo hoorde ik onlangs een it-manager van een utiliteitsbedrijf in vrijwel één adem zeggen dat hun organisatie onder NIS2 valt en dus onderdeel van de kritieke infrastructuur is, maar dat men binnenkort ook met Microsoft Copilot aan de slag gaat. Een andere it-manager vertelde enthousiast hoe werken met Claude de productiviteit van developers flink verbetert, terwijl er intern binnen zijn bedrijf juist stevige discussies lopen over digitale soevereiniteit, want ook zij vallen ondere NIS2.
Precies daar zit de spanning van dit moment. Veel organisaties begrijpen inmiddels best dat digitale soevereiniteit belangrijk is. Maar zodra er concrete keuzes moeten worden gemaakt, botsen principes met praktijk, beleid met gemak, en lange termijn met korte termijn.
Diezelfde cio van de financiële instelling die vroeg hoe snel het nu met digitale soevereiniteit gaat, vertelde dat hij veel met collega’s over dit thema spreekt. Volgens hem steekt niemand bewust het hoofd in het zand. Het probleem zit ‘m vaak ergens anders: bij de rest van de boardroom.
Andere belangen
Veel bestuurders willen vooral zo snel mogelijk ai in productie nemen. Waarom? Afgezien van de lobby van de hyperscalers denken of verwachten veel c-level executives dat ai tot forse productiviteitsstijgingen kan leiden. En minstens zo belangrijk is een tweede argument: zij willen ai omdat concurrenten er ook mee bezig zijn. De druk om niet achter te blijven is groot.
Dan komt de bestaande platformleverancier, vrijwel altijd een hyperscaler, handig om de hoek kijken. Wie al diep in het ecosysteem van Microsoft, AWS of een andere grote aanbieder zit, krijgt enterprise-ai bijna als logische vervolgstap gepresenteerd. De verleiding is groot om die route te kiezen. Het alternatief — eerst of tegelijkertijd migreren naar een soeverein(er) platform — klinkt in veel boardrooms als vertraging, riskant, kostbaar en organisatorisch gedoe.
Migreren naar een soeverein platform klinkt in veel boardrooms als riskant, kostbaar en gedoe.
Vanuit dat perspectief is migratie lastig te verkopen. Na een overstap naar een ander platform staat de organisatie in de ogen van veel bestuurders hooguit op dezelfde strategische positie als daarvoor. Er is geen nieuwe omzet, geen zichtbare productiviteitswinst en geen spectaculaire ai-demo voor de raad van bestuur. Terwijl ai juist wordt gezien als iets waarmee de organisatie de concurrentie kan voorblijven – of in ieder geval kan bijhouden.
Daarmee wordt digitale soevereiniteit in de praktijk vaak geen technische discussie, maar een bestuurlijke afweging. Digitale autonomie gaat echter niet alleen over cloudplatformen, dataopslag of softwarekeuzes. Het gaat juist gaat over risico’s, continuïteit, compliance, afhankelijkheden en strategische bewegingsvrijheid. Alleen zijn dat begrippen die minder makkelijk scoren dan ‘ai-productiviteit’ of ‘sneller innoveren’.
‘Lastige rol’ voor wetgeving
Juist daarom speelt wetgeving zo’n belangrijke rol. NIS2 dwingt organisaties bijvoorbeeld om veel scherper na te denken over digitale weerbaarheid, leveranciersrisico’s en ketenafhankelijkheden. Dan is afhankelijkheid van Amerikaanse hyperscalers natuurlijk al ‘een punt van aandacht’ cq een rode vlag. Daar komt echter bij dat ook op het gebied van privacy en internationale datadoorgifte de druk fors is toegenomen.
Neem de recente juridische discussie in de Verenigde Staten rond de positie van de Federal Trade Commission (FTC) in relatie tot privacyafspraken tussen de EU en de VS. De kern daarvan is – om een understatement te gebruiken – ‘ongemakkelijk’: hoe neutraal en betrouwbaar is het Amerikaanse toezicht eigenlijk vanuit Europees perspectief? Volgens het Amerikaanse hooggerechtshof is de FTC in ieder geval helemaal niet neutraal en onafhankelijk. Daarmee komt opnieuw de fundamentele vraag op tafel die al jaren boven de markt hangt: zijn de Europese en Amerikaanse juridische regimes op het gebied van privacy en datatoegang eigenlijk wel verenigbaar?
Formeel zijn daar steeds oplossingen voor bedacht: juridische constructies, afsprakenkaders, aanvullende waarborgen. Maar de onderliggende spanning verdwijnt niet. Het kostte de Europese Commissie al de nodige juridische acrobatiek om eerdere privacyafspraken met de VS overeind te houden. Critici, onder wie de bekende Oostenrijkse privacyjurist Max Schrems, wijzen er al langer op dat dit probleem niet met geruststellende verklaringen verdwijnt. En wat betekent dat dan voor bedrijven in de kritieke infrastructuur van Nederland? Laten we vaststellen dat de urgentie om goed naar afhankelijkheden te kijken er zeker niet minder op is geworden.
Geen rechte lijn
En daarmee zijn we terug bij de vraag van die cio: hoe snel gaat de overstap naar digitale soevereiniteit nu echt? Het eerlijke antwoord is, denk ik: sneller dan een paar jaar geleden, maar langzamer dan nodig is. We zitten midden in een overgangsfase. De urgentie wordt breed gevoeld, de eerste serieuze alternatieven bewijzen zich in de praktijk, en overheden en bedrijven durven vaker dan voorheen concrete stappen te zetten. Tegelijkertijd trekken gemak, bestaande contracten, ai-hype en commerciële druk organisaties nog altijd richting dezelfde grote Amerikaanse platformen.
Digitale soevereiniteit is een hobbelige route vol tussenstappen, tegenstrijdigheden en ongemakkelijke keuzes
Digitale soevereiniteit is dus geen rechte lijn van afhankelijkheid naar autonomie. Het is een hobbelige route vol tussenstappen, tegenstrijdigheden en ongemakkelijke keuzes. Maar één ding wordt steeds duidelijker: wie dit onderwerp blijft behandelen als een idealistisch it-thema, mist de kern – of we nu lid van de raad van bestuur zijn of it-specialist. Het gaat inmiddels om bestuurlijke controle over digitale infrastructuur. En die discussie is nog maar net begonnen.
Franse toezichthouder wil overstappen makkelijker maken
Werden de Fransen ook in de EU lange tijd als overdreven chauvinistisch gezien, inmiddels gaan ze voorop in ‘de strijd’ om digitale autonomie voor Europa (en inderdaad: Frankrijk). De Franse toezichthouder Arcep heeft nu nieuwe richtlijnen vastgesteld die zakelijke cloudgebruikers meer keuzevrijheid moeten geven. De regels zijn vooral bedoeld om financiële en technische drempels weg te nemen bij het overstappen naar een andere cloudprovider of het gebruik van meerdere cloudplatformen naast elkaar.
De richtlijnen komen voort uit de Franse SREN-wet, die Arcep de taak geeft om een kader te ontwikkelen voor cloudmigraties en multi-cloudgebruik. Ook passen ze binnen de Ambition 2030-strategie van Arcep, waarin meer vrijheid bij de keuze van cloudservices een belangrijk doel is.
Arcep heeft twee documenten opgesteld. Het eerste document gaat over de kosten die cloudproviders nog mogen meenemen bij het bepalen van overstapkosten, los van de egress fees, ofwel de kosten voor het verplaatsen van data uit een cloudomgeving. Overstapkosten mogen nog tot 12 januari 2027 in rekening worden gebracht. Vanaf die datum zijn ze verboden.
Het tweede document gaat specifiek over egress fees bij multi-cloudoplossingen. Daarbij geeft Arcep een uitsplitsing van kosten die samenhangen met datatransfers, bijvoorbeeld rond de infrastructuur die nodig is om gegevens tussen verschillende cloudomgevingen te verplaatsen.
De nieuwe richtlijnen bouwen voort op een eerder besluit uit februari 2025. Daarin stelde Arcep voor om het maximumbedrag voor egress fees bij het overstappen naar een andere cloudprovider op nul euro te zetten. De Franse minister voor Kunstmatige Intelligentie en Digitale Zaken nam dat voorstel later over.
Met de nieuwe richtlijnen wil Frankrijk voorkomen dat zakelijke gebruikers onnodig vastzitten aan één cloudleverancier. Voor enterprise-klanten kan dat meer ruimte geven om cloudstrategieën te ontwikkelen waarin flexibiliteit, kostenbeheersing, continuïteit en digitale soevereiniteit zwaarder meewegen.
‘Er zijn geen Europese leveranciers’
Die opmerking hoor ik nog regelmatig. Ik sprak daar laatst Chris McCabe over. Hij is oprichter van de Ierse startup CipherCue. Onzin, vond hij dat. Zijn bedrijf heeft een service ontwikkeld waarmee aan de hand van scans van het netwerkverkeer van een organisatie in kaart gebracht kan worden welke tools en platformen zij gebruiken. Het bedrijf richt zich in eerste instantie op het in kaart brengen van het verkeer afkomstig van cybersecurity tools, maar overweegt dit uit te breiden met andere productgroepen.
Om tegengas te kunnen geven aan het argument dat er geen Europese vendoren zouden zijn die zelf hun eigen tools ontwikkelen, is CipherCue bovendien begonnen met het opstellen van een directory van Europese tools. Vooralsnog vooral op het gebied van cybersecurity. Denk dus aan Europese vpn-ontwikkelaars, aanbieders van zelf ontwikkelde iam-oplossingen, waf-firewalls, noem maar op. Zijn bedrijf heeft nog lang niet alle aanbieders in kaart gebracht, vertelde McCabe, maar heeft alleen al rond security 39 aanbieders geïdentificeerd. En we zijn nog verre van compleet, vertelde hij.
Ga zelf experimenteren
Bij vrijwel iedere discussie over digitale soevereiniteit wordt wel de opmerking gemaakt: ‘Ik zou zelf ook moeten overstappen’. Mijn eigen avonturen op dit gebied heb ik in ‘De Overstap’ al meermalen beschreven. Maar met alleen Linux op een laptop zetten, zijn we er natuurlijk niet. Ik denk dat we er goed aan doen ook met andere Europese danwel open source-tools en software aan de slag te gaan.
Het uitproberen van nieuwe tools kan echter ook leiden tot technische problemen. Om te voorkomen dat we daarna keer op keer de computer van een nieuwe Linux-installatie moeten voorzien, gebruik ik graag CasaOS of Portainer. Daarmee krijg je thuis de beschikking over een containerplatform en wordt experimenteren een stuk makkelijker. Een mislukte test betekent dan in ieder geval niet meteen dat de hele computer vastloopt en je helemaal vanaf nul opnieuw moet beginnen. Je gooit simpelweg de container weg en start een nieuwe.
Zo draai ik nu CasaOS op een kleine server. Daarop heb ik in aparte containers momenteel onder andere Immich geïnstalleerd voor het bewaren van foto’s. Ook heb ik Ollama geïnstalleerd omdat ik graag wil kijken of het lukt om in mijn thuisnetwerk ai-modellen als Llama of Kimi te gebruiken. Het resultaat? Ja, het draait. Maar de prestaties zijn op z’n best mager te noemen. Maar ja, wat wil je ook met een server waar niet eens een GPU in zit. Er gaat dus een zwaarder uitgevoerde server komen. Ben ik daarmee een ’thuisdatacenter’ aan het bouwen? Nee hoor, het blijven gewoon kleine kastjes die onder een beeldscherm passen.
Ook ben ik met Tailscale aan de slag gegaan. De website van dit bedrijf ziet er ingewikkelder uit dan installatie en gebruik in de praktijk is. Tailscale is gebaseerd op open source-technologie en maakt het mogelijk om via internet op heel eenvoudige wijze toegang tot de eigen server(s) thuis te krijgen, zonder dat er allerlei poorten opengezet behoeven te worden. Het ‘self hosten’ van allerlei tools en applicaties die je vervolgens ook buitenshuis wilt kunnen gebruiken, wordt er een stuk makkelijker door. Tailscale installeren is heel eenvoudig, maar hou er rekening mee dat je in eerste instantie uitsluitend via SSH kunt werken. Met een open source-tool als Rustdesk kun je echter ook via een grafische interface vanaf de camping of waar dan ook op de computers thuis kijken, bestanden openen en dergelijke.
Tenslotte nog twee interessante tooltjes. De eerste is Datacenter.fm. Nee, dat is geen radiozender. De ontwikkelaar wilde dit bereiken: ‘Experience the real-world sounds of ai’. Het is een interessante manier om de milieuimpact van ai te visualiseren.
De tweede tool is FragDasPDF. De eenvoudigste optie op deze website maakt het mogelijk te chatten met een pdf die je uploadt. Maar eigenlijk biedt deze website vooral tools voor onderzoek en literatuurstudies. Handig voor wie een MBA doet. Of kinderen op MBO of HBO heeft.
