Compliance-regels versterken juist de afhankelijkheid van Big Tech
De Europese regels die organisaties digitaal weerbaarder moeten maken, vergroten in de praktijk de afhankelijkheid van een handvol grote, niet-Europese cloudaanbieders. Dat betoogt interim IT-leider en Chef-de-Mission Arnold van der Veen Meerstadt in het Tijdschrift voor Internetrecht, zijn eerste publicatie in een juridisch vakblad.
Compliance als product
De kern van zijn betoog is een verschuiving die volgens Van der Veen Meerstadt grotendeels onopgemerkt is gebleven. Kaders als NIS2 en DORA eisen dat organisaties permanent kunnen aantonen dat hun digitale keten veilig, gemonitord en bestuurd is. "Compliance is geen jaarlijks project meer, het is een doorlopende capaciteit geworden. En capaciteit met hoge vaste kosten koop je in bij wie hem al heeft gebouwd. Dat zijn de grote platformen."
Daarmee werkt regelgeving als schaalvoordeel voor precies de partijen waarvan Europa minder afhankelijk wil worden. De ACM stelde eerder al vast dat de Nederlandse cloudmarkt sterk geconcentreerd is en dat overstapdrempels die positie bestendigen. "De wetgever ziet het probleem, DORA benoemt concentratierisico zelfs letterlijk. Maar de regels beheersen de gevolgen van concentratie, niet de oorzaak."
Van contract naar boardroom
Voor IT-beslissers heeft dat volgens Van der Veen Meerstadt een ongemakkelijke consequentie: de contractuele waarborgen waar organisaties op leunen, zijn papieren zekerheden. "Iedereen heeft een exit-clausule. Bijna niemand kan hem uitvoeren, want na jaren bouwen in één ecosysteem is een migratie een project ter grootte van de oorspronkelijke implementatie. Een recht dat je niet kunt uitoefenen is geen regie."
Zijn conclusie sluit aan bij zijn eerdere kritiek op het soevereiniteitsdebat: de vraag is niet hoe organisaties van hun afhankelijkheid afkomen, maar hoe ze haar bestuurbaar maken. "Dat is geen taak voor de compliance-afdeling. Wie de voorwaarden van zijn digitale keten wil bepalen, moet dat op directieniveau organiseren: exit-scenario's onderhouden, auditrechten echt gebruiken, afhankelijkheden op portfolioniveau sturen. Soevereiniteit is een bestuurlijke positie, geen product dat je kunt kopen."
Het volledige artikel "De paradox van digitale regulering" verscheen in Tijdschrift voor Internetrecht 2026, nr. 2 (Den Hollander) en is te lezen via https://denhollander.info/articles/41914.
