Digitalisering vereist ongemakkelijke keuzes | Berenschot

Een aantal weken geleden verbood staatssecretaris Aerdts de overname van Solvinity, het bedrijf dat de infrastructuur levert waarop onder meer DigiD draait. Dit besluit werd genomen mede op advies van een toezichthouder, omdat een overname risico’s kan opleveren voor het publieke belang, met name op het gebied van surveillance en verstoringen van vitale digitale dienstverlening.

Deze casus laat zien dat een bestuurder regie kan en moet nemen, en bereid moet zijn om verantwoordelijkheid te dragen wanneer publieke waarden in het geding zijn — ook als dat op korte termijn tot ongemak leidt. Andere bestuurders in Nederland moeten hier een voorbeeld aan nemen.

De grootste digitale kwetsbaarheid van overheidsorganisaties zit vaak niet in de technologie, maar in het onvermogen om bij te sturen op afhankelijkheden. Dit betreft in de eerste plaats borging van publieke waarden zoals privacy, gegevensbescherming, gelijke toegang en een transparante overheid. En uiteraard raakt het ook aan strategie, risicobeheersing, leveranciersafhankelijkheid, juridische positie en personele capaciteit. Hieronder belicht ik hoe bestuurders op elk aspect afgewogen keuzes dienen te maken om de digitale autonomie van hun organisatie te versterken. 

Om digitale afhankelijkheden te verminderen, moeten bestuurders aan zes (samenhangende) knoppen draaien:

1. Strategische regie: Maak digitale autonomie expliciet onderdeel van de strategie, inclusief doelen, prioriteiten en eigenaarschap.
2. Data-eigenaarschap: Zorg ervoor dat duidelijk is wie feitelijk en juridisch toegang heeft tot de data. En dat inzichtelijk is welke maatregelen er zijn getroffen rond de toegankelijkheid van data.
3. Technologische flexibiliteit: Bouw de keuzemogelijkheid in om van leverancier te wisselen zonder ontwrichting van (primaire) processen.  
4. Governance en risicosturing: Afhankelijkheden dienen periodiek te worden beoordeel en bestuurlijk worden gerapporteerd.
5. Mens en vaardigheden: Organiseer intern voldoende kennis en capaciteit om afhankelijkheden te verminderen en autonomie te vergroten.
6. Leveranciersafhankelijkheid: De uiteindelijke zeggenschap, rechtsmacht en control plane van de digitale infrastructuur zijn expliciet belegd en vastgelegd.

In het verlengde hiervan dienen overheidsorganisaties, en specifiek bestuurders, invulling te geven aan de volgende aspecten rond digitale autonomie en de regie daarop:

Digitale autonomie begint niet bij technologie, maar bij sturing. Bestuurlijk moet helder zijn welke publieke waarden en opgaven leidend zijn en hoe digitale infrastructuur daaraan kan bijdragen. Dat vraagt om expliciete keuzes. Welke afhankelijkheden zijn acceptabel en welke simpelweg niet meer?

Goede governance is daarbij onmisbaar. Wie is eigenaar van de digitale strategie, hoe worden besluiten genomen over adoptie of uitfasering van technologie, en hoe wordt verantwoording afgelegd? Digitale autonomie wordt vaak wel als ambitie uitgesproken, maar niet vertaald naar governance, portfoliokeuzes, architectuurprincipes en leveranciersselectie. Zonder expliciete strategie met meetbare voortgang blijft autonomie echter een intentie in plaats van een sturingsinstrument.

Om effectief te kunnen bijdragen aan het behoud van publieke waarden, is het zaak digitale autonomie vanaf het begin als expliciet ontwerpbeginsel mee te nemen. Regie houden op data, infrastructuur en strategische keuzes is voor overheidsorganisaties noodzakelijk om waarden als privacy, transparantie, toegankelijkheid en democratische controle daadwerkelijk te borgen. Een ander belangrijk vraagstuk is dus hoe de digitale infrastructuur transparant en vervangbaar kan worden ingericht.

Interactie met andere digitale infrastructuren is eveneens een must. Dit betekent werken met open standaarden (interoperabiliteit), API-gedreven architecturen en waar mogelijk opensource-componenten, onder andere om afhankelijkheid van één leverancier te minimaliseren. Tegelijkertijd is enig realisme op zijn plaats. Volledige autonomie is zelden haalbaar en wenselijk, dus zouden bestuurders moeten sturen op bewuste afhankelijkheden. Architectuurprincipes (zoals ‘open tenzij’, ‘cloud tenzij’ of ‘Europees tenzij’) dienen geconcretiseerd te worden in ontwerpkeuzes, implementatieprocessen en lifecycle management. Ook dit behoeft een duidelijke visie op dataopslag, encryptie en de inzet van bijvoorbeeld AI. 

Data fysiek in Europa opslaan betekent niet automatisch dat een overheidsorganisatie juridisch beschermd is. Wanneer diensten worden gebruikt van Amerikaanse (cloud) providers, moet een overheidsorganisatie voldoen aan Amerikaanse wetten zoals de CLOUD Act en FISA sectie 702. Die verplichten overheidsorganisaties om klantgegevens te overhandigen aan Amerikaanse overheidsorganisaties, in veel gevallen zonder dat ze dit mogen melden aan hun klanten. 

De vraag is dus niet alleen waar data staat, maar vooral: onder welke rechtsmacht valt de aanbieder, en is contractueel vastgelegd hoe wordt omgegaan met buitenlandse dataverzoeken? Wie dat niet weet, weet feitelijk niet waar zijn juridische kwetsbaarheid begint.

Digitale autonomie vraagt om andere competenties en een andere inrichting van de organisatie. In dit kader dient IT samen te werken met bestuur, inkoop, beleid en uitvoering. Dat betekent investeren in interne kennis en het versterken van opdrachtgeverschap richting leveranciers. Ook vraagt het om een cultuurverandering: van gemak en efficiëntie op korte termijn naar bewuste afwegingen op basis van publieke waarden. Samenwerking tussen overheden is daarbij cruciaal om schaal te creëren en collectief afhankelijkheden te verminderen.

Autonomie heeft een prijs, maar afhankelijkheid ook. Vanuit beleidsperspectief dienen bestuurders verder te kijken dan alleen directe kosten, en ook risico’s en strategische waarden mee te nemen. Europese of eigen oplossingen lijken wellicht initieel duurder, maar kunnen op termijn meer controle en flexibiliteit opleveren. Een fondsconstructie helpt dan om investeringen in gemeenschappelijke digitale infrastructuur (zoals opensource-oplossingen of Europese cloudalternatieven) te financieren, vooral wanneer baten organisatieoverstijgend zijn. Daarnaast vraagt dit om nieuwe businesscases, waarin kosten, risico’s en publieke waarden integraal worden afgewogen.

Bestuurders hebben in het kader van digitale autonomie te maken met verschillende spanningsvelden, waaronder openheid versus veiligheid of nationale versus Europese samenwerking. Om hierin de meest overwogen besluiten te nemen, is inzicht, overzicht en uitzicht nodig:

• Inzicht: Heldere en onderbouwde regie op digitale afhankelijkheden en risico’s, met concrete duiding van kwetsbaarheden, strategische impact en bestuurlijke handelingsruimte.
• Overzicht: Praktische, juridisch houdbare en strategisch toekomstbestendige keuzes binnen Europese kaders, waarbij publieke waarden, marktontwikkelingen en technologische realiteit in samenhang worden afgewogen.
• Uitzicht: Concreet en uitvoerbaar perspectief op implementatiemogelijkheden, prioritering, fasering en bestuurlijke verankering en besluitopties.

De tijd dringt om inzicht te verkrijgen in de eigen digitale autonomie en de routekaart uit te stippelen. Immers, een overheid die haar digitale fundament niet serieus bestuurt, laat in de praktijk anderen meebesturen.

Benieuwd hoe u de digitale autonomie van uw organisatie kunt versterken? Berenschot denkt graag met u mee. Neem gerust contact met ons op om uw opties te bespreken.