Auteur: Vlad Mihai, Expert Lead Security bij Conclusion Mission Critical

Het Nederlandse kabinet stuurt aan op meer soevereiniteit, net als Frankrijk en Duitsland al eerder deden. Dat vertaalt zich in strengere regels rondom cloudgebruik, samenwerkingen met andere landen en minder afhankelijkheid van Amerika en China. Bij de meeste organisaties staat het inmiddels op de agenda als strategisch vraagstuk. Bij missiekritische organisaties ligt dat anders, want daar raakt het direct aan de continuïteit. 

Als een systeem altijd moet blijven draaien, kun je niet zomaar tussen aanbieders schakelen, omdat een verkeerde overstap dat systeem kan platleggen. De vraag wie je leverancier is, maakt daarmee plaats voor de vraag wat er gebeurt als die wegvalt. De huidige discussie, die vooral gaat over waar een leverancier vandaan komt en wat zijn intentie is, is daardoor te beperkt. Een derde dimensie is daarom essentieel, namelijk aantoonbaarheid. Het gaat erom dat je kunt laten zien wat er gebeurt als iets misgaat. Voor deze organisaties is juist dat van doorslaggevend belang. 

Veel organisaties zijn zich er inmiddels van bewust dat volledige soevereiniteit nauwelijks haalbaar is, en volledig Europees zijn evenmin. Goede alternatieven zijn er lang niet altijd, wat zou betekenen dat je concessies moet doen aan wat je software kan of zelfs je softwarestack volledig zelf moet bouwen. De succesvolle berichten uit Frankrijk en Duitsland gaan daar zelden op in.

En dan hebben we het bovendien nog uitsluitend over de zichtbare kant. De herkomst en intentie van leveranciers zeggen vooral iets over de huidige situatie, onder omstandigheden die redelijk normaal zijn. Over wat daarachter zit en hoe ver het vraagstuk werkelijk reikt, vertellen ze niets. Afhankelijkheden lopen namelijk door je hele organisatie heen: de systemen en software die je gebruikt, de plek waar je data is opgeslagen, de leveranciers waarmee je werkt en de partijen waar zij zelf weer afhankelijk van zijn. Elke afhankelijkheid die je niet in beeld hebt, vormt voor missiekritische organisaties een risico.

Toch worden leveranciers nog vaak uitsluitend beoordeeld op waar ze vandaan komen, waarbij de heersende stemming het wint van een nuchtere risicoafweging. Zo presenteerde ik onlangs een Amerikaans product aan een groep bestuurders. Voordat iemand inhoudelijk had gekeken, lag de conclusie er al: “Doen we niet, is Amerikaans.” Rond DigiD ging het niet anders. Op het moment dat er een Amerikaanse partij in beeld kwam, ging het niet langer over de vraag of die partij goed werk levert. Kritisch zijn is terecht en de reactie valt goed te begrijpen, alleen mag sentiment niet de doorslag geven. Weer je Amerikaanse software zonder dat er een geteste vervanging klaarstaat, dan manoeuvreer je jezelf klem.

Zakelijk gezien draait soevereiniteit vooral om pragmatisme. Kijk bijvoorbeeld naar het uitfaseren van producten. Neem je over een paar jaar nog altijd dezelfde dienst af? Is het antwoord nee, begin dan nu al met het testen van een alternatief zodat je businesservaring hebt opgebouwd tegen de tijd dat het nodig is. Hetzelfde geldt voor je exitstrategieën. Blijft de boel draaien wanneer een kritieke leverancier eruit ligt? Beproef die strategieën in de praktijk en zorg dat er een concreet plan van aanpak ligt. Een exitstrategie die je nooit hebt getest, blijft namelijk een aanname en geen strategie.

Waar het uiteindelijk om gaat, is dat je vooruitkijkt, bijvoorbeeld over een periode van vijf jaar. Welke risico’s neem je voor lief, en hoe lang ben je bereid dat vol te houden? Wie die afweging bewust maakt en vastlegt, heeft daarmee al een stuk aantoonbare soevereiniteit in handen. Daarmee vervalt de noodzaak om in paniek of op gevoel te beslissen. Aantoonbare soevereiniteit komt namelijk voort uit de optelsom van geteste alternatieven, geoefende scenario’s en vastgelegde exitstrategieën.

Aantoonbare soevereiniteit kun je binnen je bedrijfsvoering continu toetsen. Behandel het als een maatstaf in de trant van een ISO-certificering, bijvoorbeeld bij transities of overnames die je ingaat. Verschuift je afhankelijkheid daardoor? Breng dat in kaart en kijk kritisch naar claims. Denk aan een Europese partij met een Amerikaans hoofdkantoor, waar het juridische risico blijft bestaan hoe Europees het label ook oogt. Bij aanbieders zoals AWS en Azure speelt iets vergelijkbaars: zij werken aan soevereine clouds maar blijven zelf Amerikaanse bedrijven. Dat heeft uiteindelijk meer met marketing te maken dan met werkelijke soevereiniteit. Houd die kritische blik dus vast zodra er een nieuwe leverancier langskomt. Kunnen ze bewijzen dat ze aantoonbaar soeverein zijn en hebben ze hun exitplannen daadwerkelijk getest? Neem je soevereiniteit intern serieus, eis het dan ook van je leveranciers.

Zeker bij missiekritische organisaties waar soevereiniteit direct aan de continuïteit raakt, is de druk om er werk van te maken groot. Die beweging is terecht en onomkeerbaar. Wees tegelijk realistisch en laat herkomst of sentiment niet je keuzes bepalen. Soevereiniteit bouw je stapsgewijs op, leg je vast, test je en scherp je daarna weer aan. Met andere woorden: een aantoonbare praktijk. Stel dat een klant, toezichthouder of crisis morgen om bewijs vraagt van jouw soevereiniteit: ligt dat er dan, of moet je nog beginnen?