Technologische soevereiniteit: van begrip naar grip

Stel: de software waarop jouw organisatie dagelijks draait, is plotseling niet meer beschikbaar. De leverancier is failliet, overgenomen, of stopt simpelweg met de dienst. Hoe lang ligt jouw organisatie dan stil? Veel bedrijven kennen het antwoord niet en dat is precies het probleem. 

In dit artikel lees je wat technologische soevereiniteit inhoudt en hoe je grip houdt op de systemen die jouw organisatie draaiend houden. 

Wat is technologische soevereiniteit?

Technologische soevereiniteit draait om zeggenschap. Zeggenschap over welke software je gebruikt, hoe je die inzet en wat er gebeurt als de aanbieder stopt. Dat gaat verder dan een licentie of contract. Je bent niet afhankelijk van de beslissingen van één leverancier, één land of één platform.

Welke aspecten vallen onder technologische soevereiniteit?

Technologische soevereiniteit is geen eenvoudig begrip en omvat meer dan alleen de keuze voor bepaalde software. Het raakt aan de hele keten van systemen, afspraken en toegangsrechten waarop jouw organisatie steunt. Dit zijn de belangrijkste aspecten:

• Softwarekeuze: zelf bepalen welke systemen je inzet en bij welke leverancier
• Broncodetoegang: toegang tot de broncode als een leverancier wegvalt of stopt
• Contractuele bescherming: duidelijke afspraken met leveranciers over wat er gebeurt bij faillissement, overname of beëindiging 
• Infrastructuur: grip op waar je systemen draaien en wie daar toegang toe heeft

Technische stabiliteit en afhankelijkheid in kaart

Vendor lock-in ontstaat geleidelijk. Je kiest een leverancier, bouwt daarop verder en merkt op een gegeven moment dat overstappen bijna onmogelijk is. Dat is precies waar technische afhankelijkheid een risico wordt. 

Breng daarom in kaart welke partijen belangrijk zijn voor het dagelijks gebruik van je software. Zo zie je waar je kwetsbaar bent en wat je regelt voordat een leverancier wegvalt. 

De verschillende vragen die jij jezelf stelt

Om te bepalen hoe soeverein je bent op technologisch vlak, stel je jezelf een aantal concrete vragen. Die vragen bekijk je vanuit drie perspectieven die samen een helder beeld geven van waar je staat: 

• Geografisch: waar draait mijn software?
• Operationeel: wie heeft mijn software ontwikkeld en biedt mijn software aan?
• Compliance: welke wet- en regelgeving is van toepassing op mijn software?

Wat verplicht de wet jou als het gaat om digitale soevereiniteit? 

Wetgeving rond digitale soevereiniteit richt zich op twee vlakken: data en technologie. Voor technologische soevereiniteit is vooral de NIS2-richtlijn relevant. Die verplicht organisaties in kritieke sectoren om aantoonbaar grip te hebben op hun softwareketen. Dat betekent: 

• Weten welke leveranciers je gebruikt
• Welke risico’s zij meebrengen 
• Wat er gebeurt als een van hen wegvalt. 

Voldoe je daar niet aan, dan loop je een operationeel en juridisch risico. Denk aan boetes, aansprakelijkheid als bestuurder of reputatieschade bij een incident.

Van bewustwording naar actie

Technologische soevereiniteit begint niet met grote investeringen of een volledig nieuw IT-beleid. Het begint met inzicht. Begin bij de systemen die het meest kritiek zijn voor jouw organisatie, check de contracten en bepaal waar je kwetsbaar bent. Zo zet je bewustwording om in een concrete eerste stap naar meer controle over je digitale omgeving.