Digitale soevereiniteit nu meetbaar – DICTU

De discussie over digitale soevereiniteit wordt al heel wat maanden gevoerd. In beleidsstukken, in Europese strategieën en in talloze panels op IT-congressen. Toch bleef één vraag vaak onbeantwoord: hoe meet je eigenlijk of een IT-omgeving echt soeverein is?

De Dienst ICT Uitvoering (DICTU) heeft daar nu een concreet antwoord op gegeven. Met het nieuwe Toetsingsinstrument Soevereiniteit voor clouddiensten kunnen organisaties hun digitale afhankelijkheden systematisch beoordelen. Niet alleen juridisch, maar ook technisch, operationeel en organisatorisch.

Dat is belangrijk. Want digitale soevereiniteit gaat allang niet meer alleen over waar data staat. De kernvraag is zoals wij al vele maanden roepen: wie heeft uiteindelijk de controle?

Waarom deze toets er moest komen

De aanleiding is duidelijk. Een groot deel van de Europese cloudmarkt wordt vandaag beheerst door een klein aantal internationale hyperscalers. Volgens diverse analyses ligt dat aandeel rond de zeventig procent. Daarmee ontstaat een afhankelijkheid die verder gaat dan technologie alleen.

Een belangrijk punt van zorg is de extraterritoriale werking van wetgeving zoals de Amerikaanse CLOUD Act. Omdat bij veel technologiebedrijven de jurisdictie het eigendom volgt, kunnen buitenlandse autoriteiten onder bepaalde omstandigheden toegang eisen tot data, zelfs wanneer die fysiek in Europa wordt opgeslagen.

Voor overheidsorganisaties en kritieke sectoren roept dat een fundamentele vraag op: hoeveel controle hebben we eigenlijk nog over onze eigen digitale infrastructuur?

Het DICTU-toetsingsinstrument probeert daar een objectief kader voor te bieden. Laten we eens kijken hoe dat eruit ziet.

Vijf dimensies van digitale autonomie

Het instrument kijkt niet naar een combinatie van enkele factoren. In totaal worden vijf dimensies beoordeeld:

• Juridisch – onder welke wetgeving valt een dienstverlener en waar bevindt zich het moederbedrijf?
• Data & AI – waar staat data, wie heeft er technisch toegang toe en hoe worden algoritmen beheerd?
• Technologie – in hoeverre zijn systemen interoperabel en hoe groot is het risico op vendor lock-in?
• Operationeel – hoe afhankelijk is een organisatie van leveranciers of externe infrastructuur?
• Mens – wie beheert de systemen en hoe transparant zijn de support- en beheerketens?

Die brede benadering maakt meteen duidelijk dat soevereiniteit een architectuurvraagstuk is met een breed scala aan factoren.

Van cloudstrategie naar datacontrole

In veel organisaties begint het vraagstuk bij data. Waar worden die opgeslagen, en onder welke voorwaarden?

Steeds vaker ontstaat daarom een hybride model. Cloud blijft een belangrijk onderdeel van de IT-strategie, maar voor bepaalde datasets kiezen organisaties bewust voor een omgeving waar de controle volledig in eigen handen ligt. Gevoelige data blijven daarmee onder eigen beheer.

Europese on-prem storage speelt een steeds grotere rol.

Een voorbeeld daarvan zijn de opslagoplossingen van FAST LTA, een Duitse fabrikant waarvan Comex exclusief distributeur is in de Benelux. De technologie is specifiek ontwikkeld met het oog op controle over dataopslag en langdurige beschikbaarheid. Laten we eens kijken hoe deze systemen kunnen bijdragen aan het verhogen van de DICTU score.

Soevereiniteit begint bij jurisdictie

Een van de eerste vragen in de DICTU-toets is juridisch van aard: onder welke wetgeving valt een leverancier?

FAST LTA is gevestigd in München en opereert volledig onder Europese jurisdictie. Dat betekent dat de infrastructuur niet onder extraterritoriale wetgeving zoals de Amerikaanse CLOUD Act valt. Voor organisaties die controle over hun data willen behouden, kan dat een belangrijk verschil maken.

Data die daadwerkelijk onder eigen beheer blijven

Naast juridische controle kijkt het DICTU-instrument ook naar technische bescherming van data.

De opslagarchitectuur van FAST LTA is volledig on-premise ontworpen. Data worden lokaal opgeslagen en blijven daarmee fysiek binnen de infrastructuur van de organisatie. Dat ondersteunt scenario’s waarin dataresidentie en directe controle een harde eis zijn.

Daarnaast zijn er functies zoals hardwarematige WORM-verzegeling en fysieke air-gaps, waardoor data niet meer kan worden aangepast of versleuteld wanneer deze eenmaal is opgeslagen. Zulke mechanismen worden steeds vaker toegepast om back-ups te beschermen tegen ransomware en manipulatie.

Het zijn precies dit soort technische maatregelen die in het DICTU-model bijdragen aan een hogere soevereiniteitsscore.

Technologie zonder lock-in

Een ander belangrijk criterium in het toetsingsinstrument is technologische onafhankelijkheid.

Wanneer data alleen via propriëtaire protocollen toegankelijk zijn, wordt overstappen naar een andere leverancier vaak complex en kostbaar. Daarom kijkt DICTU expliciet naar ondersteuning van open standaarden.

De opslagplatformen van FAST LTA ondersteunen onder andere S3-compatibele object storage, SMB/NFS en VTL-emulatie. Dat maakt het mogelijk om systemen te integreren in bestaande omgevingen en biedt tegelijkertijd flexibiliteit voor toekomstige migraties.

Technologie die op standaarden is gebaseerd, verlaagt het risico op vendor lock-in en vergroot de strategische bewegingsruimte.

Continuïteit als onderdeel van soevereiniteit

Een aspect dat in discussies over soevereiniteit vaak onderbelicht blijft, is operationele continuïteit.

Het DICTU-model kijkt daarom ook naar factoren zoals levensduur van systemen, leveringsketens en onderhoudscontracten. Hardware die ontworpen is voor langdurig gebruik en lokaal kan worden onderhouden, verkleint de afhankelijkheid van mondiale supply chains.

FAST LTA positioneert zijn systemen bijvoorbeeld met een levensduur van minimaal tien jaar en langdurige servicecontracten. Dat soort keuzes kan bijdragen aan stabiliteit in omgevingen waar infrastructuur voor lange tijd beschikbaar moet blijven. Daarnaast helpt dit bij het voorkomen van onvoorziene kosten omdat de TCO vanaf aanschaf duidelijk is.

Digitale soevereiniteit als architectuurkeuze

Het belangrijkste inzicht uit het DICTU-instrument is misschien wel dat digitale soevereiniteit geen alles-of-niets keuze is. Het gaat niet om cloud versus on-premise. Het gaat om bewuste architectuurkeuzes.

Veel organisaties zullen een hybride model blijven gebruiken, waarin verschillende typen infrastructuur naast elkaar bestaan. Maar juist in die architectuur wordt het belangrijk om na te denken over waar de kern van je datafundament ligt.

Europese opslagoplossingen kunnen daarbij een rol spelen als een soort soeverein ankerpunt binnen de infrastructuur.

Van discussie naar meetbaarheid

Misschien is dat wel de grootste waarde van het nieuwe DICTU-instrument. Het brengt een discussie die vaak abstract bleef terug naar iets concreets: digitale soevereiniteit wordt meetbaar.

En zodra iets meetbaar wordt, kun je er ook gericht op sturen.

Voor IT-architecten en beleidsmakers betekent dat dat de vraag hoe je digitale soevereiniteit in de praktijk realiseert ineens tastbaar is geworden. Benieuwd naar hoe de systemen van FAST LTA passen binnen jouw infrastructuur? Neem een kijkje op onze website of neem contact op met Axel Booltink of Roel Lenssen via LinkedIn.