Digitale soevereiniteit wordt een risico op bestuursniveau

Kritieke digitale infrastructuur wordt steeds minder gezien als een ondersteunende IT-dienst en steeds meer als een voorwaarde om de onderneming draaiend te houden. Uit een Capgemini-enquête onder 1.300 bestuurders van grote organisaties en publieke instellingen in 11 landen blijkt dat geopolitieke spanningen, exportrestricties en cyberdreigingen de afhankelijkheid van moeilijk vervangbare technologieaanbieders nadrukkelijker op de agenda zetten. 5

Van IT-afhankelijkheid naar continuïteitsrisico

Cloudplatforms, datacenters, telecommunicatienetwerken en gespecialiseerde technologiebedrijven ondersteunen de dagelijkse bedrijfsvoering. Wordt de toegang tot een cruciale leverancier onderbroken, beperkt of gecompromitteerd, dan gaat de impact veel verder dan een gewone IT-storing.

Daarom behandelen raden van bestuur digitale infrastructuur steeds vaker zoals energie en fysieke toeleveringsketens: met toezicht, noodscenario's en investeringen in weerbaarheid. De enquête wijst op meer aandacht op bestuursniveau nu organisaties afhankelijkheden opnieuw beoordelen die eerder vanzelfsprekend leken. 5

De praktische vraag luidt: kan de organisatie blijven functioneren als een cruciale leverancier plotseling niet beschikbaar is?

Soevereiniteit gaat om keuzevrijheid

Digitale soevereiniteit wordt vaak voorgesteld als een discussie over nationale of regionale technologie. Voor organisaties is een bruikbaardere definitie het vermogen om keuze, controle en governance uit te oefenen over data, bedrijfsvoering, technologie en juridische kaders, terwijl zij tegelijk gebruik kunnen blijven maken van mondiale technologiepartners. 8

In de praktijk draait dat om vervangbaarheid:

• de mogelijkheid behouden om een kritieke workload te verplaatsen;
• architecturen vermijden die migratie vrijwel onuitvoerbaar maken;
• weten wie toegang tot data en systemen beheerst; en
• diensten snel opnieuw kunnen opbouwen of uitrollen als een specifieke omgeving uitvalt.

Capgemini omschrijft dit als soevereiniteit by design: portabiliteit, keuzevrijheid en het vermogen om van oplossing te wisselen of een technologiestack snel opnieuw op te bouwen wanneer dat nodig is. 37

Dat is niet per se een oproep om iedere internationale aanbieder te vervangen. Het gaat erom niet in een situatie terecht te komen waarin er geen werkbaar alternatief meer is.

Wat organisaties onder controle willen houden

De grootste risico's concentreren zich doorgaans rond bedrijfsmiddelen die lastig te herstellen, opnieuw te creëren of over te zetten zijn. Het gaat bijvoorbeeld om eigen en gevoelige data, AI-modellen, intellectueel eigendom en bedrijfskritieke workloads.

Controle kent meerdere dimensies: waar data staat, wie erbij kan, wie de omgeving beheert, welke architectuur eraan ten grondslag ligt en welke rechtsregels van toepassing zijn. 31 Een weerbaarheidsplan dat alleen de fysieke locatie van data behandelt, maar niet de operationele of technische overdraagbaarheid, kan dus een belangrijke afhankelijkheid ongemoeid laten.

Airbus kiest voor spreiding van risico

Airbus laat zien hoe een onderneming concentratierisico voor gevoelige workloads kan verkleinen zonder digitale soevereiniteit als volledige afzondering te zien. De vliegtuigbouwer sloot een meerjarige overeenkomst met Scaleway, dat eigendom is van Iliad, voor cloudinfrastructuur voor gevoelige industriële en defensietoepassingen. Die ondersteunt ook de inzet van AI-tools van Mistral. De infrastructuur moet kritieke toepassingen hosten voor vliegtuigontwerp, engineering, industriële productie en bedrijfsvoering. 18

Airbus koppelt zijn strategie aan operationele continuïteit, controle over datatoegang, beperking van leverancierslock-in en technologische slagkracht. 24 De kern is spreiding: bepaal voor welke systemen afhankelijkheid een onaanvaardbaar risico vormt en zorg voor een alternatief dat aan de vereiste technische, beveiligings- en juridische voorwaarden voldoet.

Een bruikbare bestuursagenda voor digitale weerbaarheid

Voor bestuurders is een algemene soevereiniteitsverklaring minder belangrijk dan een toetsbaar programma voor weerbaarheid:

1. Breng kritieke afhankelijkheden in kaart. Identificeer leveranciers, diensten, datastromen en workloads waarvan uitval de operatie stopt of wezenlijk belemmert.
2. Classificeer de kwetsbare bedrijfsmiddelen. Maak onderscheid tussen routinematige systemen en gevoelige data, intellectueel eigendom, AI-assets en missiekritieke processen.
3. Beoordeel de vervangbaarheid. Bepaal of elke kritieke workload kan worden verplaatst, hersteld of opnieuw opgebouwd — en onder welke voorwaarden.
4. Maak geloofwaardige exit- en continuïteitsplannen. Alleen een contractuele bepaling is geen exitplan; er zijn ook uitvoerbare technische, operationele en juridische afspraken nodig.
5. Test het plan. Portabiliteit heeft pas waarde als migratie- en herstelprocedures binnen een aanvaardbare termijn voor de bedrijfsvoering kunnen worden uitgevoerd.

De hoofdles is eenvoudig: digitale soevereiniteit ontwikkelt zich tot een weerbaarheidscapaciteit. Organisaties die controle én geloofwaardige alternatieven behouden, zijn beter voorbereid op uitval van leveranciers, cyberincidenten, juridische beperkingen en geopolitieke schokken. 58