Goed genoeg en soms onmisbaar: hoe kom je tot meer digitale autonomie

De Corona-epidemie voelt als heel lang geleden. Zelf werkte ik toen aan de digitale ondersteuning van de bestrijding. De huidige debatten over digitale autonomie doen me vaak terugdenken aan die tijd.

Begin maart 2020 was Nederland bijvoorbeeld vrijwel volledig afhankelijk van mondkapjes uit het buitenland. Dat werd pijnlijk duidelijk toen eerst Frankrijk de voorraden en productie in beslag nam en Duitsland kort daarna een exportverbod op mondkapjes instelde. De Duitse minister van Gezondheid Jens Spahn legde uit dat de maskers anders niet terechtkwamen waar ze nodig waren, maar waar het meest werd betaald.

Zwitserland ontbood de Duitse ambassadeur omdat er een zending van 240.000 maskers aan de grens bleef staan, en Oostenrijk vroeg Berlijn om de spullen voor Oostenrijk alsnog vrij te geven. Minister Bruins sprak Duitsland en Frankrijk er in Europees overleg rechtstreeks op aan. Op 12 maart maakte Duitsland een uitzondering en mochten de eerste half miljoen kapjes alsnog naar Nederland, zo staat in de tijdlijn die VWS later voor de Eerste Kamer maakte. Een bevriend buurland vond dus dat het eigen zorgpersoneel even voor ging. Dat kun je Duitsland moeilijk kwalijk nemen.

Een paar weken later stond beddenmaker Auping uit Deventer mondkapjes te maken, de eerste met de hand genaaid. "Er zijn ziekenhuizen en die bellen ons op dat ze binnen een aantal dagen door de mondkapjes heen zijn", vertelde directeur Jan-Joost Bosman begin april. "De nood is hoog, dus we moeten gewoon aan de bak", zei hij erbij. Samen met filterfabrikant Afpro en DSM overhandigde Auping op 28 april de eerste Nederlandse FFP2-maskers aan minister Van Rijn. Het consortium mikte op een miljoen maskers per week, ongeveer een kwart van wat de zorg op dat moment nodig had.

Zelf werkte ik in die tijd dus aan de digitale ondersteuning van de coronabestrijding. Ook daar zag ik hoeveel het waard is als je in een crisis iets zelf kunt. Met een team waarin veel mensen uit de hackersgemeenschap zaten bouwden we (ik schreef er eerder een blog over) in een paar weken een registratiesysteem waarmee ziekenhuizen vaccinaties konden vastleggen. Het had geen mooie extra's en de eerste versie was echt een eerste versie. Maar het draaide op de dag dat het moest draaien, en we hoefden niemand om toestemming te vragen om het te veranderen. Dat konden en deden we zelf.

Als iemand de stekker eruit trekt

Digitale autonomie staat de laatste weken weer volop in de kranten. Half oktober nam de Amsterdamse politie in een datacenter op het Science Park een server in beslag van het Italiaanse collectief Autistici/Inventati, op verzoek van de Verenigde Staten. De regering-Trump had de organisatie eind augustus als terroristisch bestempeld, waarna het collectief volgens Dutch IT Channel zijn bankrekening en domeinnaam kwijtraakte en ermee ophield. Je hoeft geen sympathie voor die club te hebben om te zien hoe kort het lijntje is tussen een besluit in Washington en een serverrek in Amsterdam.

Een paar dagen later verscheen van de NCTV het themarapport cyberdreigingen uit de Rijksbrede Risicoanalyse Nationale Veiligheid. Bovenaan de lijst staat een aanval via de keten van een niet-Europese cloudaanbieder. DigiD, patiëntdossiers en het onderwijs kunnen dan binnen enkele uren plat liggen, en omdat Europese publieke alternatieven volgens het rapport grotendeels ontbreken is er weinig om op terug te vallen. Helemaal nieuw is dat niet. De Algemene Rekenkamer constateerde begin 2025 al dat het Rijk bij twee derde van de belangrijkste cloudcontracten de risico's niet had afgewogen.

Er gebeurt gelukkig ook wel iets. Begin oktober meldde staatssecretaris Eerenberg van Financiën de Kamer dat de Belastingdienst stopt met de overstap naar Microsoft 365 en mail en agenda vanaf 2027 weer op eigen servers gaat draaien (het helpt als een bestuurder of politicus ook een nerd is). Deze zomer koos het kabinet voor een eigen overheidscloud onder volledige Europese controle. En het Amerikaanse Kyndryl liet de overname van Solvinity, het bedrijf achter het platform van DigiD, definitief schieten, nadat staatssecretaris Aerdts die overname eerder had verboden.

Eigenlijk lijkt digitale autonomie dus best op mondkapjes. Want wat doe je als een ander besluit dat jij even niets meer geleverd krijgt?

Alles zelf doen kan niet

Dan zou je kunnen denken dat we alles zelf moeten gaan maken. Zoals Auping mondkapjes ging maken. Dat kan niet, en het is ook niet nodig. Nederland gaat geen eigen besturingssysteem, eigen zoekmachine en eigen chipfabriek voor elke denkbare chip bouwen. Zelfs in Oekraïne, waar autonomie een kwestie van leven en dood is, draait een deel van de overheid in de cloud van een Amerikaanse hyperscaler schreef ik al eerder. Er was simpelweg geen tijd om iets anders op te zetten, en in mijn eerste Oekraïense overpeinzing noemde ik dat een verstandige keuze. Dat vind ik nog steeds.

De gezamenlijke toezichthouders schreven deze zomer in De route naar digitale autonomie dat het "niet om volledige technologische onafhankelijkheid" vraagt. Het gaat om keuze en controle. Een digitaal slot voor de voordeur van je website mag je kopen schreef ik eerder in een blog, zolang je snapt hoe het werkt en op tijd ziet dat het niet meer goed sluit.

Wat mij betreft vraagt digitale autonomie om twee soorten van "kunnen". Sommige dingen moet je zelf kunnen, al is het maar net goed genoeg om door te draaien. En een klein aantal dingen moet je zo goed kunnen dat anderen jou nodig hebben. Voor al het andere kun je prima bij een leverancier terecht, als je maar weet waar je aan begint.

Goed genoeg om door te draaien

De mondkapjes van Auping hoefden niet de beste ter wereld te zijn. Ze moesten gecertificeerd zijn, in voldoende aantallen van de band komen en hier gemaakt worden, zodat niemand ze bij een grens kon tegenhouden. In een crisis is dat veel waard.

Digitaal werkt dat net zo. Een mailserver in eigen beheer is minder handig dan Outlook in de cloud, en een Europees samenwerkingsplatform zal niet alle mogelijkheden van Teams hebben. Als het erop aankomt kun je er wel mee communiceren, betalen, inloggen bij de overheid en zorgdossiers openen. Bij elke dienst zou ik daarom willen weten of die door moet blijven draaien als iemand de stekker eruit trekt, en zo ja, of we hem dan zelf in de lucht kunnen houden. Welk product het mooist is komt pas daarna. Het betekent ook dingen weer zelf kunnen, dingen dubbel maken (hier in van buiten), en er dubbel voor betalen. Want weerbaarheid heeft een prijs.

Dat vergt meer dan een besluit op papier. Eerder noemde de Belastingdienst een soevereine oplossing nog "niet realistisch en uitvoerbaar". Nu gaat het wel, schrijft de staatssecretaris, onder meer omdat het is gelukt de eigen datacentercapaciteit te vergroten. Eigen capaciteit en eigen mensen maakten hier het verschil. Helaas houdt de Belastingdienst dit jaar maar vijf procent van zijn IT-capaciteit over voor strategische vernieuwing. Goed genoeg kunnen moet je onderhouden, anders ben je het over een paar jaar weer kwijt. Daarom pleitte ik eerder voor een doel om minstens dertig procent van specifieke licenties te vervangen door open oplossingen in eigen beheer, met een groep mensen met verstand van zaken erachter. Open source is lang niet altijd beter. Het zorgt er wel voor dat je mensen in huis houdt die het kunnen op de dag dat het door onwenselijke omstandigheden toch ineens nodig is.

Zo goed dat ze je nodig hebben

Met goed genoeg blijf je overeind, maar je krijgt er geen stem mee in geopolitieke gesprekken. Daarvoor moet je iets kunnen wat anderen niet (zo goed) kunnen en wel nodig hebben.

Het bekendste Nederlandse voorbeeld is ASML, op dit moment het enige bedrijf ter wereld dat de EUV-machines levert waarmee de meest geavanceerde chips worden gemaakt. Daardoor moeten Washington en Beijing allebei met Den Haag praten, zoals bleek toen de Verenigde Staten Nederland vroegen de export van chipmachines naar China te beperken. Prettig zijn die gesprekken lang niet altijd, maar Nederland zit wel aan tafel. Afhankelijkheid gaat dan twee kanten op, en zulke wederzijdse afhankelijkheden zorgen voor evenwicht. Defensie gaat daar al bewuster mee om. In de economische beleidsanalyse die het kabinet in september publiceerde is het advies om de defensie-industrie met markt en macht op te schalen en te investeren in dingen waarin Nederland al sterk is.

Zulke posities bouwen we soms wel op, maar we houden ze niet altijd vast. We vinden volop uit, en vervolgens groeien onze vindingen uit tot iets dat niet meer van ons is. Booking.com is daarvan het schoolvoorbeeld, sinds 2005 in Amerikaanse handen. Met elk veelbelovend Nederlands bedrijf in cybersecurity, AI of quantum dat naar het buitenland gaat, verdwijnt een stukje van onze toekomstige onderhandelingspositie. Jammer genoeg zien we dat vaak pas als het bijna te laat is. Bij Solvinity moest de staatssecretaris met een verbod ingrijpen.

En dus?

In 2020 hadden we het geluk dat een beddenmaker in Deventer in een paar weken kon omschakelen. Dat we ook digitaal autonomer moeten worden, daarover zijn de meeste mensen het inmiddels wel eens. Waar het wat mij betreft over zou moeten gaan is welke dingen in welk mandje horen. Wat kopen we gewoon in, wat moeten we net goed genoeg zelf kunnen voor als het echt nodig is, en waar willen we zo goed in zijn dat ze ons niet om ons heen kunnen? Dat zijn politieke keuzes, en er zijn geld, mensen, kennis, durf en geduld voor nodig. Die twee lijsten (wat moeten we goed genoeg kunnen en waarbij willen we tot de wereldtop behoren) moeten er wat mij betreft komen. Wat zou er volgens jou op moeten staan?