342 gemeenten die elk hun eigen softwarekeuzes maken. 342 gemeenten die elk afzonderlijk onderhandelen met dezelfde techreuzen. 342 keer een te kleine partij aan tafel om iets af te dwingen. Dat is in één zin de kern van het probleem dat de VNG beschrijft in haar position paper over digitale autonomie van oktober 2025 en het is precies de reden waarom gemeenten nu een koerswijziging hebben ingezet.
Die koerswijziging is opvallend, want ze vraagt van gemeenten iets wat van oudsher tegen de bestuurscultuur ingaat: individuele keuzevrijheid opgeven. "Het is nodig om een deel van de lokale autonomie uit handen te geven, om de digitale autonomie te versterken". Wie zelf wil kunnen beslissen, over leveranciers, over data, over technologie, moet nu bereid zijn die beslissing collectief te nemen.
Dat is een les die verder reikt dan het gemeentehuis.
Veel bestuurders weten dat ze afhankelijk zijn van grote techbedrijven. Maar de diepte van die afhankelijkheid is vaak onderschat. De VNG constateert dat gemeenten op drie niveaus kwetsbaar zijn — en dezelfde logica geldt voor organisaties buiten de overheid.
Het meest zichtbare niveau is de werkplek. Medewerkers kunnen "heel lastig hun werk goed kunnen doen als ze niet meer bij hun documenten kunnen komen, hun email niet meer kunnen lezen en verzenden en niet meer met elkaar kunnen vergaderen. Voor vrijwel iedere gemeente, en voor de meeste grotere organisaties, loopt dit via één leverancier.
Het minder zichtbare niveau is identificatie en toegang. Vrijwel alle gemeenten gebruiken een cloudgebaseerde applicatie van één aanbieder voor het inloggen op alle andere systemen — Single Sign-On en Multi-Factor Authenticatie. Als die wegvalt, kunnen medewerkers nergens meer bij. Niet bij de zaaksystemen, niet bij de personeelsdossiers, niet bij de financiële administratie.
Het diepste en meest onderschatte niveau is de keten. Veel organisaties kopen software in bij Nederlandse of Europese leveranciers en gaan er van uit dat ze daarmee de grote techreuzen omzeilen. Maar die Nederlandse leveranciers hosten hun applicaties dikwijls op de infrastructuur van diezelfde techreuzen. Als veel leveranciers hun SaaS-applicaties bij dezelfde cloudleverancier onderbrengen, kan dat "ongemerkt tot een zeer grote afhankelijkheid leiden" — en als opdrachtgever kunt u "geen adequate risicoschatting maken" omdat u er simpelweg geen zicht op heef .
Het document is scherp over wat uitval in de praktijk betekent. Voor gemeenten gaat het om kerntaken: het afgeven van vergunningen, het verwerken van aanvragen, het uitbetalen van bijstandsuitkeringen. Processen die burgers direct raken en waarvoor de overheid juridisch verantwoordelijk is.
Voor private organisaties zijn de gevolgen even reëel: klantdata onbereikbaar, contracten niet uitvoerbaar, aansprakelijkheid voor de gevolgen van uitval.
De strategische keuze van de VNG is helder: individueel zijn gemeenten te klein om iets af te dwingen bij een techreus. Collectief zijn ze dat niet. Daarom bundelen gemeenten hun krachten en spreken ze onderling af welke standaarden ze hanteren, hoe ze risico's categoriseren en hoe ze gezamenlijk inkopen.
Daarvoor moeten gemeenten een deel van hun eigen lokale autonomie opgeven: het recht om als individuele gemeente te bepalen welke leverancier ze kiezen . Dat klinkt als een paradox, maar het is een rationele keuze: wie individueel onderhandelt met Microsoft of Amazon, staat zwak. Wie als 342 gemeenten met één mandaat aan tafel zit, staat sterk.
Dezelfde logica geldt voor private sectoren. Samenwerkende zorgaanbieders, woningcorporaties of gemeentelijke uitvoeringsdiensten die gezamenlijk inkopen en gezamenlijk eisen stellen, hebben structureel meer ruimte om autonomie-eisen af te dwingen dan organisaties die dat individueel proberen.
Een scherp punt uit het position paper is het onderscheid tussen digitale autonomie en digitale weerbaarheid. Autonomie gaat over keuzevrijheid: kúnt u een andere leverancier kiezen? Weerbaarheid gaat over veerkracht: kunt u blijven functioneren als er iets misgaat? De twee versterken elkaar niet automatisch.
Een organisatie die overstapt op open source-software wint aan autonomie, maar is daarmee niet vanzelf weerbaarder. Daarvoor zijn ook back-ups, uitvalscenario's en getraind personeel nodig.
De VNG formuleert een pakket van maatregelen dat ook voor de private sector als inspiratie kan dienen. Kern daarvan: weet wat u heeft, weet wat u kunt missen, en zorg dat u een weg naar buiten heeft.
In de praktijk betekent dat: classificeer uw data en applicaties naar gevoeligheid en kritikaliteit . Breng in kaart welke leveranciers in uw keten op wiens infrastructuur draaien. Maak contractueel harde afspraken over continuïteit, eigendom en exit. En zorg voor een exitstrategie die daadwerkelijk uitvoerbaar is — liefst getest voordat u die nodig heeft.
Heeft u hulp nodig bij het maken van contractuele afspraken? Neem dan contact op met Natascha van Duuren, partner & advocaat IT, Privacy & Cybersecurity.
Wilt u maandelijks een overzicht ontvangen van onze nieuwste juridische updates en blogartikelen? Schrijf u dan in voor onze nieuwsbrief.
