Dat Nederlandse organisaties en bedrijven afhankelijk zijn van een handjevol Amerikaanse techbedrijven baart steeds meer zorgen. Het streven naar ‘digitale autonomie’ haalde zelfs het regeerakkoord. Maar wat komt er tot nu toe terecht van de baas-in-eigen-cloud-beweging? Een bank, een universiteit en een uitgever delen hun ervaringen.
is binnenlandverslaggever van de Volkskrant.
De brand mocht dan woeden bij een datacenter in Almere, hij werd gevoeld in Utrecht: de schuifdeuren, het brandalarm, de temperatuurregeling, de wifi en online omgevingen van de universiteit lagen er allemaal uit. Ruim een week waren IT’ers ‘dag en nacht’ bezig om de boel weer op te tuigen, zegt Marije de Vries.
Zij is ‘kwartiermaker digitale autonomie’ bij de universiteit – een abstracte titel die door de brand in Almere op 7 mei dit jaar ineens concreet werd: van schuifdeur tot onderzoek is de universiteit afhankelijk van IT, zo werd duidelijk, en die afhankelijkheid mag de wetenschap niet in de weg staan.
Haar achilleshiel deelt de universiteit met de meeste organisaties in Nederland: door de razendsnelle digitalisering van de afgelopen vijftien jaar is ons functioneren in grote mate afhankelijk geworden van digitale technologie. Dat maakt kwetsbaar. Voor brand, maar ook voor geopolitieke ontwikkelingen.
Het leeuwendeel van de tech waarop bedrijven en organisaties draaien, komt uit de VS. Slechts weinig mensen stonden daarbij stil, tot Donald Trump in zijn tweede presidentstermijn liet zien dat hij bereid is die afhankelijkheid te gebruiken als politiek drukmiddel.
De president verbood Amerikaanse bedrijven in februari 2025 nog langer digitale diensten te leveren aan drie aanklagers en zes rechters van het Internationaal Strafhof in Den Haag, als repercussie voor het aanklagen van de Israëlische premier Benjamin Netanyahu voor oorlogsmisdaden. Zij kunnen daardoor niet meer inloggen bij hun Microsoft-werkomgeving of gebruikmaken van creditcards en andere Amerikaanse betaaldiensten.
Het Strafhof besloot over te stappen op Duitse opensourcesoftware, draaiend op een Europese cloud. En ‘digitale autonomie’ schopte het tot in het regeerakkoord. Veel organisaties namen zich publiekelijk voor daaraan te werken, anderen werden aangekeken op nieuwe contracten met Amerikaanse techbedrijven.
Wat komt er tot dusver terecht van het voornemen om digitaal onafhankelijker te worden? En waar lopen bedrijven tegenaan? Vier inzichten uit een ronde langs Nederlandse organisaties.
De brand in het Almeerse datacenter maakte weliswaar inzichtelijk hoe afhankelijk de Universiteit Utrecht van datacenters is, maar het ging hier niet om een bewuste aanval of buitenlands bedrijf dat haar dienstverlening opschortte.
NorthC, eigenaar van het datacenter, is nota bene een Nederlands bedrijf en de IT-koepel voor Nederlandse universiteiten, SURF, heeft veel eigen infrastructuur, waaronder een glasvezelnetwerk.
Simpelweg IT-diensten afnemen bij lokale organisaties staat dus niet gelijk aan digitale autonomie: dat is naast een geopolitieke ook een technische en organisatorische kwestie. Kiest een organisatie er bijvoorbeeld voor om systemen in verschillende datacenters te laten draaien, voor het geval er een uitvalt? En hoe moeilijk of makkelijk is het om te wisselen van (Europese) aanbieder? Moet dat voor alle systemen direct kunnen of alleen de meest vitale? En welke zijn dat?
DPG Media, uitgever van onder meer de Volkskrant, onderzoekt momenteel hoe die felbegeerde digitale onafhankelijkheid eruitziet, zegt chief information and security officer Thomas Colyn. ‘Dat kost tijd: het is een zeer gelaagd vraagstuk.’
Wat die lagen betreft: dat u dit stuk leest, is te danken aan een zogenoemde ‘IT-stack’, een figuurlijke stapel van IT-producten en -diensten, die loopt van hardware (servers, router, laptop) tot zichtbare en minder zichtbare software (beveiligingssystemen, een contentmanagementsysteem en de Volkskrant-app).
Het grootste deel van die ‘stapel’ is afkomstig uit Amerika, zegt Colyn. ‘Maar het is niet ons doel om simpelweg dat Amerikaanse aandeel zo klein mogelijk te maken of om voor honderd procent onafhankelijk te worden van techbedrijven. Het doel is om voor honderd procent onafhankelijk te zijn in het maken van journalistieke keuzes. Dus om het zo in te richten dat niemand onze journalisten onder druk kan zetten zich te censureren.’
Hoe een IT-stapel eruitziet die dat doel bewerkstelligt, is nog niet duidelijk, zegt Colyn, maar de prioriteit ligt niet bij het vervangen van de Dell-laptops: het onderzoek richt zich met name op cloudgebruik, waar het meest acute risico schuilt.
Verdienden techbedrijven aan Nederlandse klanten in 2016 nog 1,1 miljard euro aan clouddiensten, in 2025 was dat 7,6 miljard euro. Zo’n 40 tot 45 procent van die markt is in handen van Microsoft, schat de ACM, gevolgd door Amazon Web Services met 30 tot 35 procent en daarna Google en Oracle met beide zo’n 5 tot 10 procent marktaandeel. De overige, deels Europese aanbieders delen nog zo’n 5 tot 10 procent van de markt.
‘We onderzoeken nu: wat is een soevereine cloud?’, zegt Colyn. ‘Is dat een volledig Europese entiteit of kan het ook een Amerikaans bedrijf op Europese bodem met Europese medewerkers zijn?’
Amazon Web Services, waar DPG nu clouddiensten afneemt, biedt met haar ‘European Sovereign Cloud’ dat laatste product aan, waarvan de meeste tech-experts zeggen dat die opzet de cloud niet onttrekt aan Amerikaanse sanctie- of inlichtingenwetgeving. Colyn is er zelf nog steeds niet uit of dat klopt, zegt hij. ‘Maar als ik iets niet zeker weet, ga ik uit van het slechtste scenario.’
Europese cloudbedrijven als OVHCloud, Scaleway en StackIT noemt Colyn ‘mooie alternatieven, maar ook allemaal groeiende entiteiten waarbij capaciteit een vraagstuk is. We serveren jaarlijks een exabyte aan content uit aan onze klanten. Dat staat gelijk aan het geheugen van zo’n 4 miljoen laptops.’
In de afgelopen tien jaar groeide het volume van in Nederland gegenereerde, verwerkte en gebruikte data met gemiddeld ruim 20 procent per jaar. Het massale uitbesteden van IT aan Amerikaanse bedrijven in diezelfde periode knelt daardoor aan twee kanten: IT is veel omvangrijker en belangrijker geworden, met gigantische hoeveelheden data, maar de eigen IT-afdelingen zijn gekortwiekt. De servers zijn uit kelders verdwenen, en de servers die nu nodig zijn passen niet in de kelder.
Alleen grote banken, het ministerie van Defensie, inlichtingendiensten en het Rijk hebben nog een aantal eigen datacenters. Voor het gemiddelde bedrijf is dat onaantrekkelijk: het beheer is duur en de capaciteit is niet makkelijk op te schalen.
‘Een deel van onze eigen datacenters is nu niet in gebruik’, zegt Colyns vakgenoot bij de Rabobank, Corence Klop.. ‘Een cloudbedrijf kan die ruimte aan iemand anders aanbieden, wij niet.’
Bovendien speelt schaalvoordeel in de cloudwereld een grote rol: hoe groter een datacenter, hoe lager de kosten per kast met hardware. Om Europese clouddiensten betaalbaar te maken, moet Europa daarom investeren in eigen tegenhangers van de Amerikaanse zogeheten hyperscalers, is de breed gedeelde opvatting.
Maar de vraag is: wie steekt daarbij als eerste van wal? Zolang dat kleine bedrijven zijn, zijn grote bedrijven niet geïnteresseerd, zegt onafhankelijk IT-expert Bert Hubert – en niet alleen vanwege de beperkte datacentercapaciteit. ‘Grote bedrijven werken graag met grote bedrijven: het is fijn als de juristen elkaar begrijpen en een bedrijf niet direct failliet gaat als het een boete krijgt opgelegd.’
Het Rijk is als grootste afnemer van ICT in Nederland als eerste aan zet om klant te worden van lokale bedrijven, is de consensus onder de tech-experts. ‘Silicon Valley is ook ontstaan door investeringen van de Amerikaanse overheid’, zegt Klop. Tot nu toe doet de regering geen boter bij de vis: digitale autonomie wordt wel genoemd in het regeerakkoord, maar er is geen geld voor vrijgemaakt.
De Rabobank ziet ook een voortrekkersrol voor zichzelf weggelegd, zegt Klop. ‘We zijn nu met Europese aanbieders in gesprek en gaan samen experimenteren: wat gebeurt er als we eerst de minder kritische processen, dus niet die van klanten maar bijvoorbeeld systemen van IT’ers zelf, daarop draaien?’ De bank wil niet het risico lopen dat het betalingsverkeer stil komt te liggen, zegt Klop. ‘We zijn een financiële instelling; de lat ligt hoog.’
Ook DPG wil graag investeren in lokale techbedrijven, zegt Colyn, en wordt dit jaar nog klant bij een Europese cloudaanbieder voor een ‘testrit’ met een klein en minder zichtbaar deel van de bedrijfsvoering.
Het doel bij Rabobank is niet om helemaal over te stappen op Europese cloudaanbieders, zegt Klop. Nu draait het betalingsverkeer in twee big tech-datacenters tegelijk, voor als er een uitvalt – die achterwacht moet straks Europees zijn.
Daarnaast probeert de Rabobank de ‘portabiliteit’ van systemen te vergroten, zegt Klop. ‘Door software die nu bijvoorbeeld bij Microsoft draait zo in te richten dat we die binnen een paar dagen kunnen verplaatsen.’
De financiële sector heeft als enige ‘een concrete schop onder z’n reet gekregen’ om die nooduitgang te creëren, zegt Hubert: sinds januari vorig jaar verplicht de Europese Unie financiële instellingen daartoe. Regelen ze die niet, dan riskeren ze hoge boetes en op termijn zelfs sluiting.
Andere sectoren moeten het hebben van vooruitziende bestuurders: digitaal autonomer worden is een kwestie van de lange adem en levert financieel niet zo veel op, zegt Hubert. Europese clouddiensten worden op termijn waarschijnlijk iets goedkoper dan de huidige hyperscalers: doordat veel klanten klem zitten, heeft big tech de prijzen de afgelopen jaren naar wens kunnen opschroeven.
Maar die winst staat in geen verhouding tot de moeite die het kost om over te stappen, volgens Hubert. ‘Laten we zeggen dat de meeste bedrijven nu zo’n 5 procent van hun omzet aan IT besteden. Als je heel erg je best doet, wordt dat met Europese bedrijven misschien 4 procent.’
Bovendien is de Amerikaanse dreiging abstract en onzeker vergeleken met het vooruitzicht van tragere technologie en uitvallende systemen bij een overstap.
Een manier om minder afhankelijk te worden van één techbedrijf is bijvoorbeeld door de servers, het platform en de software achter één digitaal product bij verschillende leveranciers te kopen, zegt Colyn. Maar die heterogeniteit maakt volgens hem ook dat de radertjes binnen het systeem minder lekker in elkaar haken. ‘Alsof je Windows op een Mac installeert – dat werkt daarop gewoon minder goed dan het besturingssysteem van Apple.’
En bugs zijn slecht voor de bedrijfsvoering.
De Europese opensource-kantooromgeving Nextcloud is ook nog niet vrij genoeg van storingen om een bedrijf als DPG of Rabobank draaiende te houden, zeggen de experts bij die bedrijven. ‘We hebben wel eens met Nextcloud om tafel gezeten’, zegt Colyn, ‘toen gaven zij aan dat ze er nog niet klaar voor zijn om met ons in zee te gaan.’
De software zou nog niet soepel genoeg werken om 24 uur per dag snel op nieuwsgebeurtenissen te reageren, volgens Colyn. Gevraagd of dat klopt wil Nextcloud geen details delen over gesprekken met potentiële klanten.
De mogelijke vertraging die een overstap zou opleveren zit volgens Colyn wederom in de heterogeniteit van de techniek: Nextcloud biedt de broncode, die weer draait op de servers van een ander bedrijf. Dat vergroot de onafhankelijkheid ten opzichte van de alles-in-een-pakketten van big tech, maar ook het risico op storingen.
Na het interview met Colyn kondigt DPG aan te wisselen van kantoorsoftware: Google Workspace wordt Microsoft 365. Is zo’n intensieve migratie naar een ander Amerikaans techbedrijf niet een vreemde zet, nu DPG onafhankelijker van de VS zegt te willen worden? Die vraag stellen ook teleurgestelde medewerkers onder de aankondiging op het intranet.
‘We hebben gekeken naar Europese alternatieven, en die ambitie is er ook, maar geconcludeerd dat deze momenteel nog tekortschieten,’ schrijft DPG in reactie daarop. ‘We verwachten dat het nog zeker drie tot vijf jaar duurt voordat deze het niveau bereiken dat wij nodig hebben.’
Vanwege de overname van RTL, dat Microsoft gebruikt, is een migratie volgens het bedrijf nu al nodig. Het gaat een contract aan van vijf jaar en blijft de ontwikkeling van Europese cloudbedrijven ‘nauwlettend volgen’.
Nederlandse universiteiten experimenteren wel met Nextcloud, onder leiding van IT-koepel SURF. Kwartiermaker De Vries van de Universiteit Utrecht werkt sinds juni met die software. ‘Er zijn bewust mensen geselecteerd om met de pilot mee te doen die dit belangrijk vinden en wat extra moeite willen doen, zoals IT’ers. Op die manier is bij tegenslagen niet meteen de moed eruit.'
Goed idee, vindt Hubert: ‘We zijn al vijftien jaar bezig om onze IT uit handen te geven aan Amerikanen. Door met een klein, eigen project te beginnen, krijgen we het weer in de vingers.’ Maar of het niet blíjft bij onderzoek, pilots en testritten, moet nog blijken.
Geselecteerd door de redactie
Source: Volkskrant