Digitale autonomie: wat als de spelregels morgen veranderen?

Wat als je morgen door de Verenigde Staten wordt beticht van het overtreden van hun regels, je op de sanctielijst komt te staan en de diensten van je Amerikaanse partners niet meer leverbaar zijn? Of dat de Amerikaanse overheid besluit dat Europese organisaties niet langer onbeperkt Amerikaanse clouddiensten mogen gebruiken. Kun je maandag nog bij je e-mail, je dossiers, je kernsystemen?

Begin 2025 werd een dergelijk scenario realiteit. De hoofdaanklager van het Internationaal Strafhof in Den Haag raakte buitengesloten van zijn eigen Outlook-account als gevolg van Amerikaanse sancties.¹ Een beslissing buiten Europa had directe impact op de digitale toegang tot kernprocessen van een internationale organisatie, gevestigd in Nederland.

Dit raakt direct aan de digitale autonomie van organisaties. De Rijksoverheid omschrijft digitale autonomie als het vermogen om zelf te kiezen welke technologie wordt gebruikt, en om te kunnen overstappen wanneer een leverancier uitvalt of niet langer aan de eisen voldoet.² Door geopolitieke spanning en de verwevenheid met Amerikaanse technologiebedrijven is dit uitgegroeid tot een urgent bestuurlijk vraagstuk.

In Brussel wordt inmiddels serieus besproken of de Verenigde Staten de toegang tot Amerikaanse clouddiensten voor Europese organisaties kunnen beperken.³ Het scenario dat organisaties niet meer op hun digitale infrastructuur kunnen vertrouwen is reëel geworden. Bestuurders moeten een keuze maken over hoe ze zich verhouden tot digitale autonomie. Kom je nu in actie of wacht je bewust af?

Afhankelijkheid: is dat problematisch?

Deze vraag laat zich op meerdere niveaus beantwoorden. Op macro- en geopolitiek niveau is een zekere mate van onafhankelijkheid cruciaal om onze veiligheid te borgen. Op organisatieniveau lijkt er misschien weinig aan de hand zolang alles goed functioneert, maar de impact kan groot zijn wanneer zich plotseling iets onvoorspelbaars voordoet. De Autoriteit Financiële Markten (AFM) wijst op toenemende onzekerheid en geeft aan dat consumenten en bedrijven zich dienen te wapenen met wendbaarheid.⁴

De afhankelijkheid is momenteel groot. Binnenlands Bestuur onderzocht 54 overheden: alle 44 gemeenten en alle tien provincies draaien op Microsoft. Slechts vijf achten een overstap haalbaar.⁵ In de financiële sector is het beeld vergelijkbaar. Een klein aantal cloudproviders domineert de markt, waardoor één storing meerdere instellingen tegelijk kan raken.⁶

De Commissie Wennink berekende dat de EU circa 5% van de wereldwijde geavanceerde rekenkracht bezit, tegenover 74% in de Verenigde Staten.⁷ Europa is voor essentiële capaciteit structureel afhankelijk van infrastructuur die elders wordt gecontroleerd.

Deze afhankelijkheid reikt breder en dieper dan je denkt. Onder andere patiëntdossiers, financiële transacties, leerlingendata, pensioendata en overheidsdienstverlening zijn alle gelinkt aan buitenlandse infrastructuur. Naast acute risico’s zoals storingen en cyberaanvallen is er ook een sluipend gevaar. Het Rathenau Instituut beschrijft het geleidelijke verlies van kennis en controle als gevolg van het steeds verder uitbesteden van IT.⁸

Hoeveel tijd is er nog?

Veel organisaties en toezichthouders zijn al in beweging. De Europese NIS2-richtlijn (red: in Nederland wordt NIS2 omgezet naar de Cyberbeveiligingswet (Cbw)) verplicht organisaties hun digitale beveiliging structureel te versterken; de implementatie is in volle gang.

De Digital Operational Resilience Act (DORA) is van kracht voor de financiële sector. Deze verordening maakt bestuurders wettelijk verantwoordelijk voor digitale weerbaarheid. Zij moeten kunnen aantonen dat zij grip hebben op hun digitale afhankelijkheden.

Ook het coalitieakkoord 2026–2030 maakt digitale autonomie tot uitgangspunt van beleid. Digitale inkoop wordt gecentraliseerd, met sturing op security-by-design en open source.⁹ Die koerswijziging raakt alle organisaties die op dezelfde infrastructuur draaien: gemeenten, zorgaanbieders, pensioenfondsen en onderwijsinstellingen. Het VNG-raamcontract met Microsoft loopt bijvoorbeeld af in 2027. DNB waarschuwt bovendien dat digitale afhankelijkheid als geopolitiek drukmiddel kan worden ingezet.¹⁰

Drie regelgevingssporen lopen daarmee gelijktijdig. NIS2-compliance wordt verwacht. DORA-verantwoording geldt per direct. En digitale inkoop wordt deze kabinetsperiode gecentraliseerd. Wie nog niet in kaart heeft hoe afhankelijk de organisatie is, moet straks onder tijdsdruk handelen. Dat betekent kiezen op basis van urgentie, niet op basis van strategie.

Wat andere transities ons leren

Het patroon is herkenbaar in andere transities. Neem de pensioentransitie naar het nieuwe pensioenstelsel onder de Wet toekomst pensioenen. Van de 25 fondsen die per 1 januari 2025 wilden overgaan, lukte dat er drie.¹¹ Deze koplopers betaalden voor hun vooruitstrevendheid: zij moesten alles zelf uitvinden. Tegelijkertijd profiteerden zij ook. Toezichthouders hadden in deze vroege fase ruimte om intensiever in overleg te gaan en gezamenlijk richting te geven aan de overgang. Deelnemers profiteerden eerder van pensioenverhogingen en de overgang vond plaats in een relatief stabiele economie. Fondsen die later overgaan ervaren meer druk van wettelijke deadlines en krijgen vaker vragen van deelnemers waar hun verhoging blijft. Zij kunnen echter wel profiteren van de ervaringen van anderen.

Ook in de energietransitie ziet de Sociaal-Economische Raad (SER) een vergelijkbare dynamiek. Industrieclusters die vroeg investeren in verduurzaming kunnen een koppositie innemen.¹² Tegelijkertijd laat diezelfde transitie zien dat later instappen voordelen kan hebben. De prijs van zonnepanelen daalde in tien jaar met circa 42%.¹³ Organisaties die later investeerden, betaalden substantieel minder voor dezelfde capaciteit. Vroege investeerders daarentegen bouwden eerder operationele ervaring op en profiteerden van hogere subsidies.

De les is niet dat koplopers altijd voordeel hebben. Ook bewust iets later handelen kan een verstandige positie zijn, mits het resultaat is van een expliciete afweging.

Strategische keuze: koploper of liever iets later

Timing heeft reële consequenties. Dat laten zowel de pensioen- als de energietransitie zien. De keuze voor het moment van actie is een koersbepaling die thuishoort op de bestuurstafel. Hoeveel risico accepteer je als een kritieke leverancier wegvalt? Heb je de kennis in huis om je afhankelijkheden te beoordelen? “We zien het nog even aan” is met de verantwoordelijkheid van bestuurders voor digitale weerbaarheid een positie die je bewust moet kunnen verdedigen.

Koploper zijn betekent nu investeren in kennis en alternatieven, met als prijs extra complexiteit en leergeld. Later handelen betekent leren van anderen en mogelijk lagere kosten, met als risico minder invloed en minder tijd wanneer omstandigheden veranderen. Beide posities zijn verdedigbaar, zolang zij weloverwogen zijn.

Waar zet je de eerste stap?

Het begint bij het goede gesprek aan de bestuurstafel. Wat is onze risicohouding? En welke risico’s zijn wij bereid te nemen op welke domeinen?

Als dit al onderwerp van gesprek is, begin dan met het concreet beoordelen van je afhankelijkheden en de beschikbare Europese alternatieven. Dat vergt expertise, maar het toont ook dat digitale autonomie geen alles-of-niets-keuze is. In de praktijk ontstaat meer ervaring met de Europese oplossingen, en wordt geleerd waar zij al volwaardig zijn en waar de ontwikkeling nog volop gaande is. Bepaalde toepassingen zijn al meer ontwikkeld, zoals Europese open standaarden voor documentformaten of hosting voor bepaalde type data. Op andere onderdelen is een explicietere afweging nodig tussen afhankelijkheid, gebruikersgemak en kosten. Een overstap vraagt dan meer tijd, onderzoek, investering of samenwerking.

Inkoop is daarbij een concrete hefboom. De eerstvolgende aanbesteding of contractverlenging is al een beslismoment waar autonomie-eisen, overstapbaarheid en Europese afhankelijkheid een plek kunnen krijgen. Je hoeft niet morgen alles te vervangen. Je moet morgen wél weten waar je begint.

Weet jij waar je staat?

Het scenario waarmee dit artikel begon, heeft zich al voorgedaan bij het Internationaal Strafhof in Den Haag. Toezichthouders scherpen hun verwachtingen aan. Contracten lopen af. Wetgeving wordt ingevoerd.

De vraag is niet of digitale autonomie jouw organisatie raakt. De vraag is of je er weloverwogen mee omgaat. En wanneer je bereid bent actie te ondernemen.

Voor organisaties die hun positie willen bepalen, kan een eerste stap liggen in het verkrijgen van overzicht en vergelijkingsmateriaal. Het gesprek over digitale autonomie kan hiermee worden gestructureerd. Dit overzicht kan verkregen worden door je organisatie te testen en te vergelijken met andere vergelijkbare organisaties, bijvoorbeeld met de Digital Autonomy Readiness Quotiënt (DARQ-) scan van strategisch adviesbureau AethiQs. De output van een dergelijke test kan dienen als startpunt voor een open gesprek aan de bestuurstafel: hoe afhankelijk zijn we, wat zijn risico’s en kansen, en welke mate van autonomie past bij onze organisatie?

Noten

[1] Kim Loohuis. ‘Europe gets serious about cutting digital umbilical cord with Uncle Sam’s big tech.’ The Register, December 22, 2025. https://www.theregister.com/2025/12/22/europe_gets_serious_about_cutting/.

[2] Rijksoverheid. Visie Digitale autonomie en soevereiniteit van de overheid. juni 2025, https://open.overheid.nl/documenten/c49a2705-3f3d-44be-8a7d-2cecd2183604/file

[3] Trevor Rudolph. ‘A Kill Switch Could Shutter Europe’s Access to US Tech.’ Tech Policy Press; Center for European Policy Analysis (CEPA), ‘Stormy Clouds: The Transatlantic Tussle Over Cloud Computing,’ juni 2025, https://cepa.org/comprehensive-reports/stormy-clouds-the-transatlantic-tussle-over-cloud-computing/.

[4] Autoriteit Financiële Markten (AFM). Jaarverslag 2025. april 2026, https://verslaggeving.afm.nl/jaaroverzicht-2025/

[5] Sjoerd Hartholt. ‘Gemeenten Voelen Zich Klemgezet Door Microsoft.’ iBestuur, 13 februari, 2025. https://ibestuur.nl/markt-en-overheid/wetgeving/gemeenten-voelen-zich-klemgezet-door-microsoft.

[6] De Nederlandsche Bank. ‘AFM en DNB waarschuwen voor systeemrisico’s financiële sector door digitale afhankelijkheid,’ oktober 2025. https://www.dnb.nl/algemeen-nieuws/persbericht-2025/afm-en-dnb-waarschuwen-voor-systeemrisico-s-financiele-sector-door-digitale-afhankelijkheid/.

[7] Rapport Wennink. ‘De route naar toekomstige welvaart: Een sterk Nederland in een relevant Europa,’ 25 december, 2025. https://www.rapportwennink.nl/downloads/rapport_wennink_12december2025.pdf.

[8] Quirine Van Eeden, Bart Karstens en Mariëtte Van Huijstee, Koers Zetten Richting Digitale Autonomie, ed. Afdeling communicatie, Rathenau Instituut, 2025, https://openresearch.amsterdam/image/2025/7/16/koers_zetten_richting_digitale_autonomie_rathenau_instituut-354205581.pdf.

[9] Rob Jetten, Dilan Yeşilgöz-Zegerius en Henri Bontenbal, ‘Coalitieakkoord 2026-2030,’ 30 januari, 2026, https://www.kabinetsformatie2025.nl/site/binaries/site-content/collections/documents/2026/01/30/aan-de-slag---coalitieakkoord-2026-2030/coalitieakkoord-d66-vvd-cda.pdf.

[10] Rijksinspectie Digitale Infrastructuur Ministerie van Economische Zaken en Klimaat, ‘Verantwoord verweven? Meerjarenplan 2026-2030: Veiligheid en beschikbaarheid van digitale infrastructuur zijn geen vanzelfsprekendheid,’ 28 oktober, 2025, https://www.rdi.nl/documenten/2025/10/28/meerjarenplan-2026-2030.

[11] Ministerie van Sociale Zaken en Werkgelegenheid, ‘Kamerbrief Voortgangsrapportage Monitoring Wet Toekomst Pensioenen Winter 2026,’ Kamerstuk | Rijksoverheid.nl, 8 april, 2026, https://www.rijksoverheid.nl/documenten/kamerstukken/2026/01/22/kamerbrief-voortgangsrapportage-monitoring-wet-toekomst-pensioenen-winter-2026.

[12] Sociaal-Economische Raad (SER), ‘Nationale Klimaataanpak Voor Regionale Industriële Koplopers,’ Advies 19/06, juni 2019, https://www.ser.nl/-/media/ser/downloads/adviezen/2019/nationale-klimaataanpak.pdf.

[13] Milieu Centraal, ‘Prijs en Opbrengst Zonnepanelen,’ n.d., https://www.milieucentraal.nl/energie-besparen/zonnepanelen/kosten-en-opbrengst-zonnepanelen/.