Iedereen wil minder afhankelijk zijn van Amerikaanse en Chinese tech, van Europese wetgeving tot bestuurskamers. Voor de meeste organisaties blijft het een strategische discussie, maar voor missiekritische organisaties is de echte vraag of je blijft draaien als een leverancier wegvalt. Waar systemen 24/7 moeten draaien en uitval direct maatschappelijke of economische impact heeft, is digitale soevereiniteit een continuïteitsvraagstuk. Toch kijken organisaties bij het beoordelen van leveranciers vooral naar herkomst en intentie. In deze blog stelt Vlad Mihai, Expert Lead Security bij Conclusion Mission Critical, dat dit niets zegt over de onzichtbare afhankelijkheden die daaronder schuilgaan.
Eerst Frankrijk, toen Duitsland en nu trekt ook ons kabinet de teugels aan rondom soevereiniteit. Minder afhankelijkheid van Amerika en China, strengere regels rondom cloudgebruik en samenwerkingen opzetten met andere landen. Ook in de meeste organisaties speelt dit inmiddels als een strategisch vraagstuk. Voor missiekritische organisaties is dit echter een continuïteitsvraagstuk.
Even schakelen tussen aanbieders is geen optie als een verkeerde overstap een systeem kan platleggen dat altijd moet blijven draaien. Voor hen verschuift de vraag van wie je leverancier is naar wat er gebeurt als die wegvalt. Daarmee schiet de huidige discussie over herkomst en intentie van leveranciers tekort. Er is een derde dimensie nodig: aantoonbaarheid. Kunnen laten zien wat er gebeurt als er iets misgaat. Precies dat weegt voor deze organisaties het zwaarst.
Meer dan herkomst en intentie
De meeste organisaties weten intussen dat volledige soevereiniteit moeilijk is, net als volledig Europees zijn. Het zou betekenen dat je bij gebrek aan goede alternatieven flink inlevert op functionaliteit of in het uiterste geval zelf je softwarestack moet ontwikkelen. Dat hoor je zelden terug in de succesverhalen die Frankrijk en Duitsland naar buiten brengen. En dan gaat het alleen nog maar over wat je ziet.
Herkomst en intentie zeggen vooral iets over de situatie nu, onder relatief normale omstandigheden. Ze vertellen niets over wat er onder het oppervlak zit en hoe groot het vraagstuk eigenlijk is. Zo heb je als organisatie overal afhankelijkheden. Denk aan de opslag van data, de systemen en software die je in huis hebt, de leveranciers waarmee je werkt en waar zij op hun beurt weer van afhankelijk zijn. Voor missiekritische organisaties is elke onzichtbare afhankelijkheid een risico.
Toch gebeurt de afweging van leveranciers vaak alleen op basis van herkomst, waarbij sentiment zwaarder weegt dan een nuchtere risico-inschatting. Kijk maar naar de ophef rondom DigiD. Zodra bleek dat het om een Amerikaanse partij ging, had niemand het meer over de vraag of die partij goed werk levert. Datzelfde zag ik toen ik laatst een Amerikaans product presenteerde aan bestuurders. Hun antwoord was direct: “Doen we niet, is Amerikaans”, nog voordat ze er inhoudelijk naar hadden gekeken. Het is een begrijpelijke reactie en goed om kritisch op te zijn, maar sentiment is geen criterium. Als je Amerikaanse software weert, maar ook geen vervanging test of hebt klaarstaan, zet je jezelf in een moeilijke spagaat.
Aantoonbare soevereiniteit
Vanuit businessperspectief vereist soevereiniteit vooral pragmatisme. Denk bijvoorbeeld na over exitstrategieën. Hoe blijf je draaien als een kritieke leverancier stilvalt? Test die strategieën in de praktijk en zorg dat je een concreet handelsperspectief hebt. Want een exitstrategie die je niet hebt geoefend, is geen strategie maar een aanname. Datzelfde geldt voor het uitfaseren van een product. Wil je over een aantal jaar nog dezelfde dienst of hetzelfde product afnemen? Zo niet, ga nu al testen met een alternatief zodat je businesservaring opdoet voordat het nodig is.
Het belangrijkste voor soevereiniteit is dat je vooruitdenkt, bijvoorbeeld in een horizon van vijf jaar. Welke risico’s ben je bereid te accepteren en voor hoe lang? Als je dat bewust afweegt en documenteert, is dat op zichzelf een vorm van aantoonbare soevereiniteit. Weg dus van paniekvoetbal en sentiment als drijfveer. Juist de optelsom van geoefende scenario’s, vastgelegde exitstrategieën en geteste alternatieven zorgt voor aantoonbare soevereiniteit.
Van claim naar criterium
Aantoonbare soevereiniteit is iets wat je vervolgens continu kunt toetsen in je bedrijfsvoering. Zie het als criterium vergelijkbaar met een ISO-certificering voor bijvoorbeeld overnames of transities die je ingaat. Verandert daarmee je afhankelijkheid? Breng dat in kaart en wees scherp op claims. Zo verdwijnt het juridische risico niet bij een Europese partij met een Amerikaans hoofdkantoor.
Hetzelfde zie je bij leveranciers als Azure en AWS, die soevereine clouds aan het ontwikkelen zijn, maar zelf Amerikaanse bedrijven blijven. Dat is uiteindelijk meer marketing dan echte soevereiniteit. Bewaar daarom dit soort scherpte bij nieuwe leveranciers. Kunnen ze bewijzen dat ze aantoonbaar soeverein zijn en over geteste exitplannen beschikken? Als je soevereiniteit intern serieus neemt, dwing het dan ook extern af.
Heb je het liggen?
De druk om iets met soevereiniteit te doen is groot, zeker voor missiekritische organisaties waar het aan continuïteit raakt. Die richting is goed en er is geen weg terug. Maar blijf realistisch en voorkom dat je keuzes maakt puur op basis van sentiment of herkomst. Soevereiniteit is iets wat je stap voor stap opbouwt, test, documenteert en aanscherpt. Oftewel: een aantoonbare praktijk. Dus als een toezichthouder, klant of crisis morgen om bewijs vraagt van jouw soevereiniteit, heb je dat liggen? Of moet je dat nog opbouwen?
Vlad Mihai, Expert Lead Security bij Conclusion Mission Critical
Volg Security Management op LinkedIn
