Digitale soevereiniteit is geen geloofskwestie

Twee smaken, meer niet

In de huidige berichtgeving lijken er nog maar twee soorten software te bestaan. Goede software, en die is open source. En foute software, en die is commercieel. Bij dat laatste denken politici en beleidsmakers vooral aan de Amerikaanse hyperscalers, en de zorgen daarover zijn deels terecht. Maar in dit zwart-witdenken verdwijnt een complete categorie uit beeld: Nederlandse en Europese softwarebedrijven, met professionele ontwikkelaars in loondienst, met certificeringen, met contractuele garanties, met supportorganisaties, draaiend op infrastructuur binnen de Europese jurisdictie.

Deze bedrijven dragen aantoonbaar bij aan digitale soevereiniteit. De data blijft hier, de kennis blijft hier, de zeggenschap ligt hier, en er is een partij die je kunt aanspreken als het misgaat. Toch worden ze in het publieke debat op één hoop gegooid met Big Tech, alsof een commercieel bedrijf uit Utrecht hetzelfde risicoprofiel heeft als een hyperscaler die onder Amerikaanse wetgeving valt.

Een les die we al eens leerden

Wie wat langer meeloopt in de overheids-IT weet dat we hier eerder zijn geweest, alleen dan in omgekeerde richting. Decennia geleden schreef de overheid veel van haar software zelf. Kleine gemeenten bouwden eigen applicaties voor zo'n beetje alles, van de hondenbelasting tot tientallen applicaties die pas jaren later door standaard zaaksystemen werden vervangen. En wie denkt dat dit verleden tijd is: de Belastingdienst leunt tot op de dag van vandaag voor een belangrijk deel op mainframeapplicaties in Cobol. De gevolgen zijn bekend. Elke nieuwe wet is een worsteling, aanpassingen duren lang, de flexibiliteit is minimaal en de mensen die deze systemen nog kunnen onderhouden worden met het jaar schaarser.

Die geschiedenis leert een les die in het huidige debat vergeten lijkt. Software ontwikkelen is het makkelijke deel; software onderhouden, doorontwikkelen, beveiligen en ondersteunen is een taak die nooit ophoudt en steeds zwaarder weegt naarmate de afhankelijkheid van die software groeit. De overheid koos daarom stap voor stap voor commerciële software, niet uit gemakzucht maar uit realisme.

Wie nu roept dat de overheid het met open source allemaal zelf kan, of kan uitbesteden aan de community, belooft in feite een terugkeer naar een model waarvan we al ontdekten dat het niet schaalbaar is. De Cobol-erfenis bij de Belastingdienst laat bovendien zien wat er gebeurt als de kennis over zelf beheerde software langzaam wegvloeit: de software blijft, de mensen niet. Open source software is niet gratis; de licentie is gratis. De implementatie, het beheer, de beveiliging, de doorontwikkeling en de ondersteuning moeten nog steeds door mensen gebeuren, en die mensen moeten ergens werken en ergens van betaald worden.

De werkvloer wordt niet gehoord

Vraag het de mensen die verantwoordelijk zijn voor de continuïteit van IT bij een gemeente, een waterschap of een ministerie. Zij worden geacht te zorgen dat de uitkeringen worden betaald, de vergunningen worden verleend en de gegevens beschermd blijven. Voor hen is de dwingende keuze voor open source geen bevrijding maar een risicodossier: bestaande investeringen die overboord moeten, onbekende en variabele kosten voor implementatie en beheer, en afhankelijkheid van kleine implementatiepartijen, zelfstandigen of welwillende collega's elders bij de overheid die er "iets bij doen".

Deze professionals zijn niet tegen open source. Ze zijn tegen ongedekte beloftes. Maar wie deze zorgen uitspreekt, wordt in het huidige klimaat al snel weggezet als iemand die het niet begrijpt, die vastzit in oude denkpatronen, die de urgentie van digitale autonomie niet voelt. De believers weten het zeker, dus de twijfelaars houden hun mond. Zo ontstaat een debat waarin een kleine maar luidruchtige groep de richting bepaalt en een grote groep, de mensen die het straks moeten waarmaken, zwijgt.

Het model staat zelf onder druk

De ironie wil dat juist nu, op het moment dat open source tot staatsdoctrine wordt verheven, het open source model zelf onder druk staat. AI-modellen kunnen open codebases op ongekende schaal doorzoeken op kwetsbaarheden, en die openbaarheid geldt voor verdedigers én aanvallers. Maintainers van grote projecten worden overspoeld met door AI gegenereerde bijdragen en bugmeldingen. En er zijn inmiddels bedrijven die hun succesvolle open source product bewust achter een gesloten licentie plaatsen, expliciet omdat ze het securityrisico van een openbare codebase niet langer verantwoord vinden. Niet uit ideologie, maar uit risicomanagement.

Dit betekent niet dat open source geen plek verdient in de overheids-IT. Het betekent wel dat open source een licentiemodel is met een eigen risicoprofiel, en geen morele categorie. Wie soevereiniteit serieus neemt, beoordeelt software niet op het etiket maar op de vragen die ertoe doen: waar staat de data, onder welke jurisdictie valt de leverancier, wie onderhoudt de code, hoe is de continuïteit geborgd, wat kost het over vijf jaar, en wie kan ik aanspreken als het misgaat?

Van geloof naar afwegingskader

Digitale soevereiniteit is een te belangrijk onderwerp om over te laten aan de meest luidruchtige mensen. Het verdient een volwassen afwegingskader waarin open source, Europese commerciële software en ja, soms ook niet-Europese technologie, elk op hun merites worden beoordeeld. Anders werken we met de beste bedoelingen toe naar een uitkomst die niemand wil: een overheid die haar afhankelijkheid van Big Tech inruilt voor een afhankelijkheid van versnipperde, ongegarandeerde en onderbemande alternatieven, en er onderweg achter komt dat soevereiniteit meer vraagt dan een licentie.

De vraag is niet of software open of gesloten is. De vraag is of Nederland er grip op heeft.

Door: Niels Beckers. CEO Enable U