Hoe houd je afhankelijkheid van cloudaanbieders beheersbaar?

Jarenlang gold cloudgebruik vooral als een operationele en technische aangelegenheid. Zolang clouddiensten beschikbaar waren, kosten beheersbaar bleven en innovatie doorging, bleef de discussie in gebruikersorganisaties hangen in capaciteitsmanagement, architectuur en inkoop. Die aanpak is niet langer houdbaar. Nu kritieke processen, dataplatforms, AI-capaciteit en beveiligingstools zich concentreren bij een klein aantal technologieaanbieders, raakt de cloud direct aan weerbaarheid, strategische wendbaarheid, en naleving van wet- en regelgeving. Digitale soevereiniteit verdient daarom aandacht op bestuursniveau.

Er zijn vier ontwikkelingen die de bestuurlijke aandacht voor digitale soevereiniteit aanjagen.

1. Strategisch gewicht van technologie-aanbieders

De eerste betreft geopolitieke ontwikkelingen. Relaties die vroeger vooral commercieel leken, hebben nu ook strategisch gewicht. Technologieaanbieders opereren in een omgeving die wordt beïnvloed door handelsbeleid, sancties en extraterritoriale wetgeving. Nu naast commerciële druk ook verstoring door buitenlands beleid vaker voorkomt, is regie over kritieke digitale functies niet in elk scenario vanzelfsprekend.

2. Europa loopt achter

De tweede is een structurele ontwikkeling: Europa loopt achter als het gaat om digitale infrastructuur. Europese alternatieven zijn in opkomst, maar bieden op veel terreinen nog niet dezelfde schaal, functionele diepgang of toegang tot innovatieve partijen in het ecosysteem als de huidige grote cloudaanbieders.

3. Wet- en regelgeving

De derde ontwikkeling is wet- en regelgeving zoals bijvoorbeeld de Digital Operational Resilience Act (DORA) voor de financiële sector. Financiële instellingen moeten in dit kader kunnen aantonen hoe zij regie houden op technologierisico’s vanuit derde partijen, ook in ketens van aanbieders en onderaannemers. Dat raakt onder meer toegangsbeheer, encryptiesleutels, logging, controleerbaarheid en voorbereiding op verstoringen in de digitale infrastructuur.

4. Cybersecurity

De laatste ontwikkeling is cybersecurity. Dreigingen worden steeds intensiever, onder meer door vijandige aanvallen op kritieke infrastructuur en door technologische ontwikkelingen zoals AI-ondersteunde aanvallen en het opkomende gebruik van quantumtechnologie om encryptie te doorbreken. Dat vraagt om sterke detectie, bescherming en herstelmogelijkheden.

Afhankelijkheid van mondiale cloudplatforms verdwijnt voorlopig niet. De kernvraag voor organisaties is daarom niet of die afhankelijkheid helemaal moet verdwijnen, maar waar die voor de organisatie aanvaardbaar is en waar extra waarborgen nodig zijn. Digitale soevereiniteit wordt te vaak neergezet als een zwart-witkeuze: op mondiale cloudplatforms blijven of volledig uitstappen. Voor de meeste organisaties zijn deze uitersten onaantrekkelijk. Een brede exit is duur, traag en remt innovatie af.

Zinvoller is om per kritieke bedrijfsfunctie te bepalen welke keuze past: gebruikmaken van innovatiekracht buiten Europa, met de juiste waarborgen, of gericht werken aan een soeverein alternatief. Dat vraagt om goed inzicht in afhankelijkheden en risico’s, een duidelijke risicobereidheid, en waar nodig effectieve maatregelen. Denk hierbij aan verplaatsbaarheid richting alternatieven die functioneel aanvaardbaar en daadwerkelijk soeverein zijn.

Begin pragmatisch en zorg eerst voor inzicht. Breng per kritieke bedrijfsfunctie in kaart van welke aanbieders en diensten die afhankelijk is. Onderzoek ook de samenstelling van diensten, en welke onderliggende aanbieders en opensourcetools nu buiten beeld blijven. Kijk vervolgens welke bedrijfsfuncties het moeilijkst te verplaatsen, te herstellen of aan te sturen zijn als omstandigheden veranderen. En bepaal welke functies zich juist duidelijk laten isoleren voor een soevereine uitwijk, zoals het betalingsverkeer. Zo kun je per kritieke bedrijfsfunctie een bewuste keuze maken: benut je, met de juiste waarborgen, innovatiekracht van buiten Europa? Of realiseer je een soeverein alternatief?

Maak op basis van die inzichten een kritische, bewuste keuze. Onderzoek in hoeverre Europese alternatieven voor de hele stapel van diensten bruikbaar zijn en bereid je voor op maatwerk. Sommige aanpassingen zijn breed toepasbaar: denk aan beter zicht houden op afhankelijkheden, meer regie op identiteits- en toegangsmanagement, onafhankelijke logging en meer verplaatsbaarheid van data en geselecteerde workloads. Voor de meest gevoelige bedrijfsfuncties kunnen aanvullende maatregelen genomen worden, zoals een terugvalscenario of gerichte herpositionering.

Volledige onafhankelijkheid nastreven is vooralsnog niet kansrijk, maar voorkomt wel dat afhankelijkheid een strategische kwetsbaarheid wordt. Bestuurders moeten zich bewust worden van het feit dat anno nu digitale soevereiniteit thuishoort in de bestuurskamer bij gesprekken over strategie, investeringen en risicobeheer.