Stel: u opent maandagochtend uw laptop en uw e-mail werkt niet meer. Niet omdat er iets mis is met uw server, maar omdat een bedrijf in Amerika daartoe heeft besloten. Het klinkt als sciencefiction, maar het is in 2025 al werkelijkheid geworden — voor de hoofdaanklager van het Internationaal Strafhof in Den Haag. Als gevolg van Amerikaanse sancties verloor hij toegang tot zijn Microsoft-e-mail. Gewoon, omdat Microsoft onder Amerikaans recht valt en de VS dat recht als drukmiddel gebruikte.
Dit is de kern van het vraagstuk dat het Rathenau Instituut in 2025 analyseerde in het rapport Koers zetten richting digitale autonomie. De boodschap is niet dat technologie slecht is, of dat Microsoft per definitie een probleem is. De boodschap is dat digitale afhankelijkheid een risico is geworden dat bestuurders serieus moeten nemen — en dat er meer aan de hand is dan veel mensen denken.
De meeste overheids- en publieke organisaties — maar ook tal van bedrijven — draaien op de diensten van een handvol grote Amerikaanse techbedrijven: Microsoft, Google en Amazon domineren cloudopslag, e-mail, vergaderomgevingen en kantoorsoftware. Dat is op zichzelf niet het probleem. Het probleem is wat er sluipenderwijs gebeurt als gevolg van die afhankelijkheid.
Uw IT-mensen werken steeds minder aan techniek en steeds meer aan gebruiksondersteuning, waardoor de interne kennis verdwijnt om systemen echt te begrijpen of te vervangen. Updates worden automatisch doorgevoerd — ook als u dat liever zelf had beoordeeld. Zo werd de AI-assistent Microsoft Copilot bij onderwijsinstellingen uitgerold zonder dat de privacyregels in acht waren genomen. En overstappen naar een andere leverancier? In theorie mogelijk, maar in de praktijk zó complex en kostbaar dat het voor de meeste organisaties geen reële optie meer is.
In juli 2024 maakte beveiligingsbedrijf Crowdstrike een fout in een software-update. Het gevolg: wereldwijd vielen Windows-systemen uit. Duizenden vluchten werden geannuleerd, ziekenhuizen schroefden hun activiteiten terug. Niet door een aanval, niet door opzet — gewoon door één update van één bedrijf waar vrijwel de hele wereld van afhankelijk bleek.
Dit is wat het Rathenau Instituut bedoelt met kwetsbaarheid: als alles via één partij loopt, is één kink in de kabel genoeg om grote schade te veroorzaken.
De geopolitieke context maakt dit vraagstuk urgenter. Alle grote cloudleveranciers zijn Amerikaanse bedrijven, en dat betekent dat zij vallen onder Amerikaanse wetgeving. Onder de zogeheten FISA sectie 702 kunnen Amerikaanse inlichtingendiensten zonder individueel gerechtelijk bevel toegang eisen tot grote hoeveelheden data van niet-Amerikaanse burgers. Dat uw data op servers in Amsterdam staat, maakt daarin weinig verschil: het bedrijf dat die servers beheert, is Amerikaans en valt onder Amerikaans recht.
Daar komt bij dat de relatie tussen Europa en de VS onder druk staat. De grote techbedrijven staan dicht op de Amerikaanse overheid, en er zijn signalen dat Europa met handelspolitieke druk te maken kan krijgen als het de macht van big tech te stevig probeert in te dammen. Zoals het rapport het formuleert: in een situatie waarin Amerika niet meer automatisch een vriend van Europa is, verhoogt dit de urgentie.
De Europese Unie heeft de afgelopen jaren flink geïnvesteerd in regelgeving: de Digital Markets Act dwingt grote platforms tot meer openheid en interoperabiliteit. In het onderwijs hebben de ICT-coöperaties SURF en SIVON via collectieve onderhandelingen betere privacyafspraken weten af te dwingen bij Microsoft en Google. Dat zijn goede stappen.
Maar het Rathenau Instituut is eerlijk: dit soort maatregelen lost het probleem niet op zolang organisaties in de dagelijkse praktijk toch gewoon blijven kiezen voor dezelfde grote leveranciers. Echte autonomie begint volgens het Rathenau Instituut pas als organisaties daadwerkelijk andere keuzes maken — bij iedere aanbesteding, bij iedere contractverlenging.
Het klinkt misschien als een ver-van-mijn-bed-show, maar in Duitsland lieten ze al zien hoe het kan. De deelstaat Sleeswijk-Holstein migreerde 30.000 ambtenarencomputers van Microsoft naar open source-alternatieven: LibreOffice verving Office, Linux verving Windows, Nextcloud verving OneDrive. Niet goedkoop, niet zonder uitdagingen — maar het ís gedaan.
In Nederland werkt de overheid aan initiatieven zoals PubHubs, een publieke online omgeving waar organisaties met hun achterban kunnen communiceren buiten de commerciële platformen om . En de Tweede Kamer nam een motie aan met als doel dat per 2029 minimaal 30% van de overheidscloud van Nederlands of Europese bodem moet komen.
Het rapport vraagt geen revolutie van de ene op de andere dag. Maar het vraagt wél om een andere manier van kijken naar uw IT-inkoop. Behandel de keuze voor een digitale leverancier niet als een technische maar als een strategische beslissing. Reken eerlijk door wat de werkelijke kosten zijn — inclusief wat het u kost als u ooit wilt overstappen. Wees bereid om soms iets in te leveren op gebruiksgemak als dat betekent dat u meer controle houdt over uw eigen systemen en data. En, last but not least, neem contractuele waarborgen op om digitale en operationele soevereiniteit zoveel mogelijk te waarborgen.
Digitale soevereiniteit is immers niet alleen een overheidsthema. Het raakt iedereen die werkt met data, met persoonsgegevens, met vertrouwelijke informatie — en die zich afvraagt wie daar eigenlijk de baas over is.
Wilt u meer weten over de vraag hoe u als bestuurder ervoor zorgt dat u zoveel mogelijk de controle blijft houden over uw data? Neem dan contact op met één van onze specialisten binnen team IT, Privacy & Cybersecurity. Wij helpen u graag!
Wilt u maandelijks een overzicht ontvangen van onze nieuwste juridische updates en blogartikelen? Schrijf u dan in voor onze nieuwsbrief.
