Digitale soevereiniteit: balanceren tussen innovatie, afhankelijkheid en risico's
Een verslag van het soevereiniteitsdebat op de Cloud Expo 2025
Wie door de hallen van de Cloud Expo liep, merkte het meteen: dit jaar ging het gesprek niet alleen over AI, cloudmigraties of zero trust, maar over digitale soevereiniteit en cybersecurity. De stands van grote cloudleveranciers trokken zoals altijd veel bekijks, maar in de panels en gesprekken achteraf klonk steeds dezelfde vraag: hoe afhankelijk willen we eigenlijk zijn? En wat betekent dat voor onze cyberweerbaarheid?
Met spelers zoals Microsoft prominent aanwezig voelt het debat actueler dan ooit. Want in een wereld waarin geopolitiek, technologie en veiligheid steeds meer in elkaar grijpen, staat één vraag centraal: wie heeft de controle?
Wat is digitale soevereiniteit?
Digitale soevereiniteit gaat over het vermogen om zelf beslissingen te nemen over technologie, data en digitale infrastructuur. Het is geen romantisch ideaal, maar een praktisch vraagstuk:
- Waar staat je data?
- Wie kan er juridisch en technisch bij?
- Wat gebeurt er als een leverancier uitvalt, overgenomen wordt of door buitenlandse wetgeving gedwongen wordt toegang te geven tot jouw data?
Dat raakt direct aan data-soevereiniteit: het recht en het vermogen om controle te houden over de eigen data, inclusief de mogelijkheid om operationeel toegang te behouden, ongeacht de staat van je leverancier.
Keuzevrijheid, controle en gelijkwaardigheid vormen daarbij een driehoek waar organisaties voortdurend tussen balanceren. Hoe meer gemak je koopt, hoe meer controle je vaak inlevert. Hoe meer autonomie je wilt, hoe meer verantwoordelijkheid en kosten dat met zich meebrengt.
De geopolitieke laag
Digitale ketens zijn vandaag de dag zelden lokaal. Leveranciers vallen onder verschillende rechtsgebieden, van de Amerikaanse CLOUD Act tot Europese wetgeving zoals NIS2 en GDPR. Internationale spanningen, sancties en economische belangen spelen daardoor steeds meer mee in technische keuzes. Het debat op de Cloud Expo maakte duidelijk: geopolitiek is geen ver-van-mijn-bedshow meer, maar een realiteit waar CISO’s, CTO’s én beleidsmakers mee moeten leren werken.
Digitale soevereiniteit is bovendien een politiek thema. Het debat liet zien dat Nederland simpelweg te klein is om zelfstandig koers te bepalen in een wereld die gedomineerd wordt door enkele grote techbedrijven. Daarom moet digitale soevereiniteit, net als energie- en handelsbeleid, op Europese schaal worden vormgegeven. Alleen dan kunnen we effectief tegenwicht bieden aan mondiale spelers en extraterritoriale wetgeving.
Het digitale soevereiniteitsdebat op de Cloud Expo 2025
Vier stellingen, verschillende perspectieven
Op het soevereiniteitsdebat van de Cloud Expo waren verschillende prominente figuren uit de tech en politiek aanwezig, waaronder Rob Elsinga (Microsoft), Ellen Mok (De Digitale Doetank), Ferry S (SIDN) en Martijn Hoogesteger (S-RM), gemodereerd door Lucinda Sterk en Lisa de Wilde, om te discussiëren over digitale soevereiniteit en de afhankelijkheid van grote techbedrijven, met aandacht voor zowel de politieke als strategische aspecten.
Stelling 1: Afhankelijkheid van niet-Europese leveranciers is een risico voor alle Nederlanders.
Voorstanders van deze stelling wijzen op extraterritoriale wetgeving en onduidelijkheid rondom datatoegang. Strenge regelgeving zou helpen om nationale veiligheidsbelangen beter te beschermen.
Tegenstanders benadrukken juist de voordelen van internationale aanbieders: innovatiekracht, schaalbaarheid, beveiligingsstandaarden en continuïteit die kleinere spelers zelden kunnen evenaren. Volledige autonomie klinkt mooi, maar mag niet ten koste gaan van vooruitgang.
Het wordt pas echt interessant bij de vraag hoe je risico’s en kansen gebalanceerd beheert.
- Welke afhankelijkheden zijn acceptabel?
- Welke vereisen compensatiemaatregelen?
- Waar leidt keuzevrijheid juist tot meer complexiteit?
Afhankelijkheid is niet het probleem, onbewuste afhankelijkheid wel.
Stelling 2: De overheid moet duidelijke regels opstellen over digitale soevereiniteit, zelfs als dat marktwerking tegengaat.
Strengere kaders kunnen organisaties helpen om betere, bewustere keuzes te maken. Denk aan transparantieverplichtingen, garanties over data-toegang of beperkingen op bepaalde vormen van afhankelijkheid. Voorstanders zien dit als een noodzakelijke stap, vergelijkbaar met regelgeving op energie of zorg. Tegelijkertijd werd benadrukt dat Nederland te klein is om dit vraagstuk in zijn eentje te reguleren. Alleen op Europees niveau kan wetgeving daadwerkelijk impact hebben op de machtspositie van grote leveranciers. Nationale regels zijn waardevol als kader, maar het echte spel wordt gespeeld in Brussel, waar de balans moet worden gevonden tussen innovatie, veiligheid en markttoegang.
Maar anderen vrezen dat een te rigide aanpak innovatie afremt. De cloudmarkt beweegt snel; wetgeving beweegt per definitie traag. Bovendien is de realiteit dat veel organisaties simpelweg niet zonder grote partijen kunnen of willen.
De consensus in de zaal: regels kunnen richting geven, maar organisaties moeten zelf scenario’s, risico’s en afhankelijkheden blijven analyseren. Soevereiniteit kun je niet uitbesteden.
Stelling 3: De maatschappelijke en economische kosten zijn nu al hoog: we moeten inzetten op digitale soevereiniteit om ons toekomstig verdienvermogen te behouden.
Voorstanders betogen dat digitale autonomie nodig is om de economie toekomstbestendig te maken. Cyberincidenten kosten jaarlijks miljarden; afhankelijkheden vergroten die schade potentieel.
Critici nuanceren dit: wie alle pijlen op soevereiniteit richt, verliest soms zicht op innovatie vooral op het gebied van AI. De vraag is niet óf je afhankelijk bent, maar hoe je die afhankelijkheid beheerst. Dataverwerking, AI-modellen en moderne cloudarchitecturen draaien nu eenmaal op wereldwijde infrastructuren.
Een ander belangrijk punt uit het debat: de afhankelijkheid van grote techbedrijven is niet van de ene op de andere dag ontstaan. We hebben die afhankelijkheid zelf jarenlang actief opgebouwd, gedreven door innovatie, gemak en snelheid. Loskomen van zulke ecosystemen is daardoor complex en kostbaar. Dat maakt de discussie over soevereiniteit niet alleen technisch en politiek, maar ook economisch: welke afhankelijkheden accepteren we omdat ze strategische voordelen bieden, en welke niet?
Stelling 4: De weg naar digitale soevereiniteit is duidelijk genoeg: organisaties kunnen morgen beginnen.
In theorie wel. Maar in praktijk vraagt beginnen vooral om concessies: minder gebruiksgemak, hogere kosten, meer complexiteit of langzamere innovatie. Voor sommige organisaties is dat een logische keuze; voor anderen onhaalbaar.
Daarom begint digitale soevereiniteit niet met techniek, maar met een risicoprofiel.
Het debat benadrukte dat organisaties bij het opstellen van hun risicoprofiel niet alleen technische kwetsbaarheden moeten meenemen, maar ook geopolitieke risico’s. Hoe groot is de kans dat internationale wetgeving invloed krijgt op datatoegang? Wat betekent een veranderende geopolitieke situatie voor jouw leveranciersketen? En welke scenario’s zijn realistisch genoeg om in je continuïteitsplanning op te nemen? Soevereiniteit begint met het expliciet maken van deze risico’s. Pas daarna kunnen er keuzes gemaakt worden in technologie en leveranciers.
Hoe organisaties hun risicoprofiel scherp krijgen
Veel bedrijven hebben een risicodocument op papier, maar missen een realistisch beeld van hun daadwerkelijke digitale kwetsbaarheden. Een volwassen risicoprofiel bestaat uit drie onderdelen:
1. Onderzoek waar je kwetsbaar bent met pentesting en red teaming
- Pentests brengen kwetsbaarheden in systemen, applicaties en cloudconfiguraties in kaart. Ze laten zien welke data bereikbaar is bij misconfiguraties of fouten in identity-structuren cruciale input voor datasoevereiniteit.
- Red Teamopdrachten simuleren een volledige aanvalsketen: van phishing tot misbruik van rechtenstructuren en supply chain-routes. Hierdoor wordt zichtbaar hoe operationeel afhankelijk je bent van leveranciers, detectiemiddelen en interne processen.
2. Governance & beleid: risico’s door vertalen naar keuzes
Zodra je weet waar je kwetsbaar bent, volgt het beleidsmatige deel:
- classificatie van data,
- afspraken met leveranciers,
- bepalen van maximaal acceptabele afhankelijkheid
- evalueren van juridische risico’s.
Soevereiniteit is niet zwart-wit is, maar een strategische reis langs verschillende risicogebieden.
3. Verankeren in de organisatie: security awareness & cultuur
Bij elk risicoprofiel hoort een investering in mensen:
- Security awareness voor alle medewerkers
- Trainingen rond cloud security, dataminimalisatie en privacy
- Incidentrespons-oefeningen en phishing-simulaties
- Bewustwording over welke data ‘kritiek’ is, en hoe deze verwerkt mag worden
Van inzicht naar actie
Met een duidelijk risicoprofiel kunnen organisaties bewuste stappen zetten, zoals:
- multi-cloud of hybride cloud inzetten om afhankelijkheden te spreiden,
- alternatieven verkennen zoals Europese cloudproviders,
- leverancierscontracten aanscherpen rondom datatoegang, logging en exit-strategieën,
- identity- en toegangsstructuren herzien,
- investeren in monitoring, detectie en incidentrespons,
- structureel security awareness-programma’s uitvoeren.
Digitale soevereiniteit wordt daarmee geen doel op zich, maar een strategie om grip te houden op je digitale toekomst.
Vragen die organisaties zichzelf zouden moeten stellen
- Waar staat onze meest gevoelige data en wie kan er allemaal bij?
- Welke kwetsbaarheden kwamen uit recente pentests of red-teamopdrachten, en wat zeggen die over onze afhankelijkheden?
- Welke risico’s accepteren we, en waarom?
- Wat is de minimale mate van controle die we nooit kwijt willen raken?
- Zijn onze teams voldoende getraind om soevereiniteitskeuzes te begrijpen én te dragen?
- Wat heeft op lange termijn het grootste effect op ons verdienvermogen: soevereiniteit, innovatie of juist de balans daartussen?
Conclusie: soevereiniteit is geen eindpunt, maar een gesprek over risico’s
Digitale soevereiniteit is geen zwart-witdoel dat je kunt afvinken. Het is een doorlopend gesprek binnen elke organisatie over je risicoprofiel:
- Wat is de kans dat een bepaald risico werkelijkheid wordt?
- Wat zijn de gevolgen als het gebeurt?
- En welk niveau van risico accepteren we bewust en welk beslist niet?
Pas wanneer deze vragen helder zijn, krijgt soevereiniteit betekenis. Niet als politieke of ideologische keuze, maar als een strategische afweging binnen je bedrijfsvoering.
De kracht zit in het bewust kiezen uit de vele mogelijkheden die de markt biedt. Want organisaties hebben méér opties dan ze vaak denken: van Europese cloudproviders tot multi-cloudstrategieën, van strengere contractuele afspraken tot dataminimalisatie, van technische maatregelen tot organisatiebrede security awareness.
Digitale soevereiniteit gaat daarmee niet over één juiste route, maar over het kiezen van de route die past bij jouw risico’s, context en ambitie. Een continu proces van wegen, bijsturen en verbeteren. Dat is precies wat volwassen cyberweerbaarheid vraagt.
