Digitale soevereiniteit in perspectief

10 februari 2026

Het debat over digitale soevereiniteit zit vast op drie vereenvoudigingen, niet op een gebrek aan oplossingen. Soevereiniteit is geen eigenschap van technologie of herkomst maar een bestuurlijke positie: de vraag is niet hoe je onafhankelijk wordt, maar hoe je je afhankelijkheden bestuurbaar maakt.

Working Paper, versie 5.0, 10 februari 2026. “Een analytisch fundament voor het vastgelopen debat.” De volledige tekst staat hieronder; download ook de PDF.

Een toegespitst deel van dit paper is als artikel verschenen in het Tijdschrift voor Internetrecht: De paradox van digitale regulering.

Dankwoord

Dit essay is verbeterd door de kritische feedback van meerdere reviewers. Ik bedank specifiek Sander van Uden, Jurgen Allewijn, Arianne Klunder en een gewaardeerde oud-collega voor hun tijd, scherpe blik en constructieve commentaar. Hun perspectieven hebben de helderheid en precisie versterkt. Desalniettemin, conclusies, resterende onduidelijkheden of tekortkomingen zijn geheel voor mijn rekening.

Samenvatting

Digitale soevereiniteit verwijst naar de mate waarin een organisatie of staat controle behoudt over eigen data en technologie binnen digitale ecosystemen. Dit essay analyseert waarom het Europese debat hierover vastzit.

Het probleem. Het debat loopt vast op drie vereenvoudigingen: de aanname dat Europese herkomst soevereiniteit garandeert, dat fysieke datalocatie gelijkstaat aan juridische zeggenschap, en dat platformvervanging afhankelijkheid doorbreekt. Geen van deze aannames is houdbaar.

De kerngedachte. Digitale soevereiniteit is geen eigenschap van technologie of herkomst. Het gaat om de mate waarin een organisatie haar positie binnen digitale ecosystemen bestuurlijk kan vormgeven. Het centrale mechanisme is industrialisatie: de concentratie van organisatievermogen bij hyperscalers. Moderne digitale systemen organiseren vereist technische capaciteit (infrastructuur, beveiliging, beheer) en governance-capaciteit (compliance, risicobeheer, leveranciersaansturing). Industrialisatie neemt de technische capaciteit over. Governance moet door de organisatie worden opgebouwd en is vaak de bottleneck.

Het essay maakt onderscheid tussen controle (statische zeggenschap over systemen) en grip (het vermogen om afhankelijkheden te herkennen, begrenzen en herstructureren).

Drie verklaringen. Deze verschuiving verklaart waarom afhankelijkheid vaak rationeel is: hyperscalers bieden betere beveiliging en lagere kosten dan de meeste organisaties intern kunnen realiseren. Het verklaart waarom autonomie structureel kostbaar is: wie alles zelf organiseert moet beide vormen van organisatievermogen opbouwen en bekostigen. Bij industrialisatie is alleen governance-capaciteit nodig. Het verklaart waarom technologische vervanging het probleem niet oplost: infrastructuur is verplaatsbaar, maar governance-capaciteit verplaatst niet automatisch mee.

Het essay maakt een scherp onderscheid tussen twee digitale werelden: de traditionele IT-infrastructuur van eigen datacenters en het hyperscaler-ecosysteem van geindustrialiseerd organisatievermogen. Dit onderscheid is essentieel. Het soevereiniteitsdebat redeneert meestal vanuit de eerste wereld, maar de structurele afhankelijkheden komen voort uit de tweede.

De aanpak. Het essay onderbouwt zijn stellingen met vijf analytische proposities, elk voorzien van een mechanisme, een illustratie en een falsificatiecriterium. De conclusie is niet dat Europa machteloos is, maar dat effectief handelen analytische scherpte vereist die het huidige debat mist.

Leeswijzer

Dit essay bestaat uit vijf delen:

• Deel I legt het fundament: het herdefinieert het debat, scheidt begrippen, beschrijft de Europese context en introduceert industrialisatie als centraal verklarend mechanisme.
• Deel II formuleert vijf analytische proposities, elk voorzien van een mechanisme, een illustratie en een falsificatiecriterium.
• Deel III past dit raamwerk toe op digitale ecosystemen. Het onderscheidt traditionele IT-infrastructuur van hyperscaler-ecosystemen en differentieert naar organisatiecontext.
• Deel IV ontleedt zes mythes in het publieke debat.
• Deel V brengt de analyse samen in een synthese.

Een epiloog en methodologische bijlage sluiten het essay af.

Doelgroep en gebruik. Het essay is bedoeld voor vakspecialisten, bestuurders en beleidsanalisten. De analyse is expliciet niet-normatief: zij beschrijft mechanismen en afwegingen, niet gewenste uitkomsten of aanbevelingen. Lezers trekken zelf conclusies op basis van hun eigen context. Het document is te uitgebreid voor een snelle lezing. Lees selectief de delen die voor uw context relevant zijn, of gebruik het als naslagwerk voor intern debat en analyse.

Deel I. Fundament

Het debat over digitale soevereiniteit herdefinieren.

1. Waarom het debat vastzit

Digitale soevereiniteit verwijst naar de mate waarin een organisatie of staat zeggenschap heeft over eigen digitale omgeving. Het begrip is in korte tijd centraal geworden in discussies over technologiebeleid en geopolitiek, maar wordt zelden eenduidig gebruikt. In beleidsdocumenten, strategische notities en publieke bijdragen wordt het gebruikt voor technologische autonomie, economische onafhankelijkheid, datalokalisatie of bescherming tegen buitenlandse invloed. Deze semantische vermenging maakt het begrip analytisch instabiel en bemoeilijkt inhoudelijk debat.

Drie reducties komen consequent terug. Herkomstdenken: technologie geldt als soeverein wanneer zij Europees is ontwikkeld of geleverd. Locatiedenken: fysieke dataopslag wordt gelijkgesteld aan juridische zeggenschap. Techniekdenken: autonomie zou kunnen worden gerealiseerd door platforms, architecturen of licentiemodellen te vervangen.

Deze benaderingen delen een impliciete aanname, namelijk dat digitale soevereiniteit primair een eigenschap van technologie is. Bestuurlijke, juridische en organisatorische factoren, minder zichtbaar maar structureel bepalend, worden ondergeschikt gemaakt. Onderzoek naar infrastructuur en politieke economie laat zien dat macht en afhankelijkheid niet ontstaan uit individuele technologische keuzes, maar uit asymmetrische posities binnen netwerken en ecosystemen (Hughes, 1987; Farrell en Newman, 2019; Cusumano, Gawer & Yoffie, 2019). Als deze dimensie wordt genegeerd, wordt digitale soevereiniteit een containerbegrip dat normatief geladen is, maar analytisch leeg blijft.

2. Begrippen scheiden

Om het debat te ontwarren zijn scherpe definities nodig. Dit essay hanteert de volgende begrippen, die niet uitwisselbaar zijn.

Digitale soevereiniteit verwijst naar de mate waarin een organisatie bestuurlijke handelingsruimte behoudt binnen digitale ecosystemen, gegeven bestaande afhankelijkheden. Het is een relationeel en contextueel begrip, geen absolute toestand. Een organisatie is niet soeverein of niet-soeverein; zij bevindt zich ergens op een spectrum van meer of minder handelingsruimte.

Autonomie duidt op de mate waarin digitale functies (ontwikkeling, beheer, exploitatie) door de organisatie zelf worden uitgevoerd. Autonomie is een middel, geen doel op zich.

Afhankelijkheid is een relationele toestand waarin de werking van digitale systemen (IT-infrastructuur, applicaties en diensten) mede wordt bepaald door externe actoren, infrastructuren of rechtsregimes. Afhankelijkheid is structureel en niet per definitie problematisch.

Controle verwijst naar formele of technische zeggenschap over systemen of data. Grip duidt op het vermogen om afhankelijkheden te herkennen, te begrenzen, te compenseren en zo nodig te herstructureren. Controle is statisch en binair, grip is adaptief en gradueel. Een organisatie kan grip hebben zonder volledige controle, en controle hebben zonder werkelijke grip wanneer de capaciteit ontbreekt om zeggenschap uit te oefenen.

Het centrale onderscheid: digitale soevereiniteit is geen synoniem van autonomie, en autonomie garandeert geen afwezigheid van afhankelijkheden. Wie deze begrippen verwart, komt tot verkeerde analyses.

Digitaal ecosysteem verwijst naar het samenhangend geheel van onderling afhankelijke technologieen, platformen, standaarden, diensten en actoren waarbinnen organisaties opereren. Het omvat niet alleen technische componenten (infrastructuur, applicaties, data) maar ook governance-structuren, identiteitssystemen, data-uitwisseling en contractuele relaties. Ecosystemen zijn zowel technisch als organisatorisch van aard.

3. De Europese context: drie modellen

Dit essay vertrekt vanuit een Europese context. Europa verwijst hier naar de Europese Unie en haar lidstaten, niet naar het geografische continent. Een nuchtere vaststelling is noodzakelijk: Europa is geen homogene politieke eenheid, maar een constellatie van staten met uiteenlopende bestuurlijke tradities, industriele posities, energieafhankelijkheden en strategische belangen. Het functioneert niet als soevereine actor, maar als coordinatiekader.

Volledige autonomie op systeemniveau vereist gelijktijdige toegang tot grondstoffen, energie, industriele maakcapaciteit, technologie, arbeid en geconcentreerde besluitvorming. Slechts een land beschikt momenteel over al deze voorwaarden in samenhang: China. De daar gerealiseerde mate van autonomie is onlosmakelijk verbonden met gecentraliseerde machtsuitoefening, beperkte rechtsstatelijke waarborgen en het ontbreken van democratische controle. Het Chinese model laat zien dat volledige digitale autonomie politieke en maatschappelijke condities veronderstelt die Europa bewust niet nastreeft.

Het Amerikaanse model biedt een ander uiterste. Marktgedreven schaalvorming en private investeringsdynamiek leiden tot snelle innovatie en mondiale dominantie, maar ook tot concentratie van structurele macht bij private actoren met beperkte publieke verantwoording. De hyperscalers, Amazon Web Services, Microsoft Azure, Google Cloud, zijn producten van dit model: hun schaal, investeringscapaciteit en organisatievermogen zijn onlosmakelijk verbonden met het Amerikaanse venture-capital-ecosysteem en de mondiale reikwijdte van Amerikaans recht.

Europa positioneert zich bewust tussen deze modellen. Het Europese bestel combineert marktwerking met juridische begrenzing, publieke waarden en democratische controle. Deze keuze impliceert hogere frictie, lagere snelheid en beperktere soevereiniteit op systeemniveau. Dat is een inherent gevolg van de normatieve randvoorwaarden die Europa hanteert. Autonomie (digitale systemen zelf organiseren in plaats van industrialisatie gebruiken) vereist meer organisatievermogen en is daarom structureel duurder en minder schaalbaar.

Waar industrialisatie het technisch organisatievermogen overneemt en alleen governance-capaciteit vereist, moet autonomie beide vormen bekostigen. Dit verklaart waarom Europa geen eigen hyperscalers heeft voortgebracht, en waarom directe technologische concurrentie met de VS en China op systeemniveau structureel asymmetrisch is. Het is geen falen van Europese innovatie, maar een gevolg van het organisatiemodel dat bij autonomie hoort tegenover het organisatiemodel dat industrialisatie mogelijk maakt. Volledige digitale autonomie veronderstelt politieke en maatschappelijke condities die in Europa bewust niet worden nagestreefd.

De vraag of Europa een eigen hyperscaler kan ontwikkelen door bewust Big Tech te mijden, raakt een fundamenteel bootstrapping-mechanisme. Hyperscale-ecosystemen vereisen enorme initiele investeringen die pas rendabel worden bij mondiale schaal. Deze schaal bereik je alleen door groot marktaandeel, maar marktaandeel groeit alleen als het ecosysteem al volwassen is. Dit leidt tot twee tegengestelde self-fulfilling prophecies. Wie stelt dat overstappen naar Europese alternatieven onmogelijk is omdat ze te klein zijn, bestendigt hun kleinschaligheid. Wie stelt dat Europa moet beginnen ondanks de kosten, erkent dat dit decennia dure investeringen vereist zonder garantie op succes. Binnen de Europese randvoorwaarden (noch het Chinese model van volledige staatscontrole, noch het Amerikaanse model van ongebreidelde marktwerking) is deze afweging politiek, niet analytisch bepaald. Het bootstrapping-mechanisme verklaart waarom beide paden structurele kosten hebben, gegeven deze randvoorwaarden.

4. De relativiteit van soevereiniteit

Een fundamenteel inzicht: zelfs wanneer Europa een volledige “Eurostack” zou realiseren (Europese cloud, Europese software, Europese platformen), blijven structurele afhankelijkheden bestaan die buiten het bereik van technologisch beleid liggen. Halfgeleiders worden ontworpen in de VS en Taiwan, gefabriceerd in Taiwan en Zuid-Korea, met lithografiemachines uit Nederland die zelf afhankelijk zijn van lenssystemen uit Duitsland (Carl Zeiss) en Japan. De meeste patenten op fundamentele technologieen zijn niet-Europees. Energie voor datacenters is deels afhankelijk van instabiele geopolitieke bronnen. Gespecialiseerde arbeid is mondiaal mobiel.

Soevereiniteit in digitale ecosystemen is daarom relatief. Afhankelijkheden zijn onvermijdelijk door mondiale vervlechting. De vraag is niet “hoe worden we onafhankelijk?” maar “waar zitten onze kritieke afhankelijkheden, hoe zichtbaar zijn ze, hoe snel kunnen we schakelen wanneer nodig, en hebben we de grip om ze te herstructureren?”

Een voorbeeld: een Nederlandse overheidsorganisatie die haar data in een Nederlands datacenter plaatst bij een Nederlandse partij, met Nederlandse beheerders, is daarmee niet vrij van afhankelijkheid. De software kan Amerikaans zijn, de hardware Chinees, de standaarden internationaal, de juridische context grensoverschrijdend. Soevereiniteit is geen eindtoestand maar een positie die onderhoud vereist.

5. Autonomie als gelaagde afweging

Een belangrijke consequentie van deze context is dat autonomie geen absoluut maar een gelaagd begrip is. Drie niveaus: functioneel (applicaties, processen, datagebruik), infrastructureel (cloud, middleware, netwerken) en industrieel (hardware, halfgeleiders, energie). Op elk van deze niveaus worden verschillende afwegingen gemaakt.

Op functioneel niveau kan autonomie rationeel zijn, als er voldoende organisatievermogen is. Hier zijn de kosten overzichtelijk en de baten direct voelbaar. Op infrastructureel niveau wordt autonomie vaak selectief nagestreefd via hybride of collectieve constructies. De complexiteit is hoger, maar gerichte investeringen kunnen zinvol zijn. Op industrieel en geopolitiek niveau (halfgeleiders, hardware, netwerken, energie) wordt autonomie doorgaans niet nagestreefd. De vereiste schaal en investeringshorizon zijn vaak disproportioneel. Energie vormt een uitzondering: hier zijn pan-Europese oplossingen technisch mogelijk, maar vereisen ze politieke consensus die vaak ontbreekt.

Dat industriele en infrastructurele lagen extern blijven, is een bestuurlijke keuze, geen natuurwet. Soevereiniteit manifesteert zich hier niet als zelf doen, maar als het expliciet aanvaarden en beheersen van afhankelijkheid.

6. Industrialisatie als centraal mechanisme

Dit essay plaatst industrialisatie in het centrum van de analyse. Dit verwijst niet alleen naar grootschalige technologische productie, maar vooral naar de standaardisering en centralisatie van beheer, beveiliging, compliance en lifecycle-management bij een beperkt aantal ecosysteemaanbieders.

Industrialisatie verklaart drie kernpatronen die het soevereiniteitsdebat structureren. Ten eerste waarom afhankelijkheid vaak rationeel is: geindustrialiseerde aanbieders leveren hogere operationele stabiliteit, betere beveiliging en lagere marginale kosten dan de meeste organisaties intern kunnen realiseren. Ten tweede waarom autonomie structureel kostbaar is: wie zich losmaakt van geindustrialiseerde ecosystemen moet niet alleen technologie vervangen, maar ook het organisatievermogen opbouwen dat deze ecosystemen concentreren. Industrialisatie is daarmee niet een propositie naast andere, maar het verklarende mechanisme dat de overige proposities met elkaar verbindt.

7. Methode

Dit essay is analytisch, niet empirisch. Het bewijst geen causale relaties maar illustreert mechanismen. Casussen zijn voorbeelden, geen bewijs. Elke propositie is voorzien van een falsificatiecriterium dat de analyse toetsbaar maakt. Een uitgebreide methodologische verantwoording is opgenomen in de bijlage aan het einde van dit essay. Dit essay beschrijft mechanismen en aannames, niet gewenste uitkomsten.

Deel II. Analytisch raamwerk

Vijf proposities, vijf mechanismen.

Deel I heeft begrippen gescheiden, de Europese context beschreven en industrialisatie als centraal mechanisme gepositioneerd. Dit deel formuleert vijf analytische proposities die het soevereiniteitsdebat structureren. Zij vormen geen compleet verklaringsmodel, maar analytische lenzen die aannames expliciteren, discussie structureren en toetsing mogelijk maken. De proposities zijn geordend naar hun relatie tot het kernmechanisme van industrialisatie. Propositie 4 beschrijft industrialisatie zelf; de overige proposities beschrijven mechanismen die door industrialisatie worden versterkt, mogelijk gemaakt of verhuld.

Propositie 1: Compliance als concentratiemechanisme

Naarmate digitale compliance-eisen omvangrijker en permanenter worden, nemen de relatieve nalevingskosten voor kleinere aanbieders disproportioneel toe, wat bijdraagt aan marktconcentratie en structurele afhankelijkheid.

Mechanisme. Regelgeving verschuift van incidentele naleving naar permanente operationele capaciteit. Dit vereist gespecialiseerde kennis, tooling, audits en organisatorische routines. Grootschalige aanbieders standaardiseren deze lasten en spreiden ze over een groot klantenbestand. Zij industrialiseren compliance en bieden het aan als dienst. Dit maakt hun ecosysteem aantrekkelijker en sluit concurrenten uit. Kleinere aanbieders dragen een relatief hogere kostenvoet, wat hun concurrentiepositie verzwakt (OECD, 2021).

Illustratie: GDPR en marktconcentratie. De invoering van de AVG/GDPR in 2018 leidde tot meetbare verschuivingen in de Europese advertentiemarkt. Onderzoek van Jia, Jin en Wagman (2021) toont aan dat het aantal actieve advertentietechnologiebedrijven in de EU significant daalde na invoering, terwijl het marktaandeel van Google juist toenam. Grote platforms absorbeerden de nalevingslasten en zetten ze om in concurrentievoordeel. Veel kleinere spelers, die dezelfde eisen moesten naleven maar zonder schaalvoordelen, trokken zich terug of werden overgenomen. Individuele kleine aanbieders kunnen groeien, maar het gemiddelde effect op korte en middellange termijn is concentratie. De regulering die bedoeld was om machtsconcentratie tegen te gaan, versterkte haar in de praktijk.

Falsificatiecriterium. De propositie klopt niet als compliance-regulering structureel tot minder marktconcentratie leidt, of als kleinere aanbieders hun relatieve nalevingskosten systematisch reduceren zonder collectieve of externe ondersteuning.

Propositie 2: Infrastructuur verplaatst, governance persisteert

Migratie van infrastructuur vermindert fysieke of contractuele lock-in, maar laat afhankelijkheden op het niveau van identiteit, datastructuren, AI-diensten en governance grotendeels intact.

Mechanisme. Infrastructuurcomponenten zoals compute en opslag zijn relatief gestandaardiseerd en technisch verplaatsbaar. Governance-lagen niet. Identiteitsmodellen, datasemantiek, API-ecosystemen en beheerprocessen zijn nauw verweven met organisatieprocessen en besluitvorming. Deze verwevenheid creeert functionele persistentie die migratie alleen niet doorbreekt. Deze laag maakt geindustrialiseerde ecosystemen krachtig en moeilijk te verlaten (Weill en Ross, 2004; Tiwana, 2014).

Illustratie: LiMux Munchen. De stad Munchen migreerde tussen 2003 en 2013 ruim 15.000 werkstations van Microsoft Windows en Office naar Linux en LibreOffice. Technisch slaagde de migratie. Maar afhankelijkheden van Microsoft-documentformaten, Active Directory en gespecialiseerde applicaties bleven. De governance-laag (identiteitsbeheer, documentstandaarden, applicaties) migreerde niet mee. In 2017 besloot de gemeenteraad terug te keren naar Microsoft. Tien jaar investering had de infrastructuur verplaatst, maar de structurele afhankelijkheid niet doorbroken (Dolata en Schwabe, 2023).

Falsificatiecriterium. De propositie klopt niet als grootschalige migraties tot substantiele reductie van governance-afhankelijkheden leiden zonder expliciet herontwerp van identiteits-, data- en beheerlagen.

Propositie 3: Juridische beinvloedbaarheid weegt zwaarder dan datalocatie

De feitelijke bestuurlijke handelingsruimte correleert sterker met juridische beinvloedbaarheid dan met de fysieke locatie van data of infrastructuur.

Mechanisme. Rechtsregimes oefenen invloed uit via organisaties, contracten en personen, niet via fysieke datadragers. Juridische verplichtingen tot medewerking, informatieverstrekking of geheimhouding vereisen geen technische toegang tot systemen. Daarmee ontstaat beinvloedbaarheid ongeacht waar data fysiek zijn opgeslagen. Dit mechanisme wordt versterkt door industrialisatie: hoe meer functies zijn geconcentreerd bij een beperkt aantal mondiale aanbieders, hoe groter de juridische hefboom van de rechtsorde waaronder die aanbieders vallen (Moerel, 2023; Bradford, 2020).

Illustratie: CLOUD Act en Schrems II. De Amerikaanse CLOUD Act (2018) verplicht Amerikaanse technologiebedrijven om data te overhandigen aan Amerikaanse autoriteiten, ongeacht waar die data fysiek zijn opgeslagen. Een Europese organisatie die haar data in een EU-datacenter van een Amerikaans cloudbedrijf plaatst, is daarmee niet beschermd tegen Amerikaanse jurisdictie. Het Schrems II-arrest van het Hof van Justitie van de EU (2020) bevestigde dit probleem door het EU-VS Privacy Shield ongeldig te verklaren. Datalocatie in de EU bleek juridisch onvoldoende wanneer de beherende organisatie onder Amerikaans recht viel.

Falsificatiecriterium. Deze propositie wordt verzwakt indien aangetoond kan worden dat fysieke datalocatie in de praktijk betrouwbaar beschermt tegen extraterritoriale juridische claims, zonder aanvullende contractuele of organisatorische maatregelen.

Propositie 4: Industrialisatie concentreert organisatievermogen

Industrialisatie in digitale ecosystemen leidt tot concentratie van organisatievermogen bij ecosysteemaanbieders, niet alleen van technologie. Dit is het centrale mechanisme dat de overige proposities verbindt.

Mechanisme. Lifecycle-management, beveiliging, incidentrespons en compliance worden gestandaardiseerd en gecentraliseerd bij grootschalige aanbieders. Deze standaardisatie verhoogt voorspelbaarheid en betrouwbaarheid, dat zijn reele voordelen, geen retorische concessie. Hyperscalers zoals AWS, Microsoft en Google investeren jaarlijks miljarden in beveiliging, datacenterinfrastructuur en operationele capaciteit die geen individuele organisatie, en vrijwel geen overheid, kan evenaren. Ook Chinese hyperscalers zoals Alibaba Cloud (Frankfurt, Londen) en Huawei Cloud (Duitsland, Frankrijk) breiden hun Europese infrastructuur uit en vallen onder Chinese jurisdictie, vergelijkbaar met hoe Amerikaanse hyperscalers onder de CLOUD Act vallen.

Tegelijkertijd verplaatst industrialisatie cruciale capaciteiten buiten individuele organisaties. Capaciteiten die voorheen intern werden ontwikkeld, identiteitsbeheer, incidentrespons, data-governance, compliance, worden uitbesteed aan gespecialiseerde aanbieders die deze functies op schaal uitvoeren. Zo verschuift niet alleen uitvoering, maar ook beslissingsruimte en organisatorische kennis naar het ecosysteemniveau (Hughes, 1987; Kenney en Zysman, 2016).

Cruciaal is dat organisatievermogen niet verdwijnt maar verschuift. Waar organisaties voorheen technische lagen moesten beheren (infrastructuur onderhouden, beveiligingspatches uitrollen, capacity planning uitvoeren, incidenten afhandelen) moeten zij nu governance-capaciteit opbouwen: vendor management, compliance-monitoring, risicobeheer, contractonderhandeling en exit-strategieen. Dit verschil is wezenlijk. Wie de eerste vorm van organisatievermogen uitbesteedt aan hyperscalers maar de tweede niet structureel opbouwt, wordt afhankelijk zonder grip. Het organisatieprobleem is niet opgelost maar getransformeerd. Dit mechanisme is niet per definitie problematisch. Het wordt problematisch wanneer de verschuiving onzichtbaar plaatsvindt, wanneer organisaties niet meer beschikken over de capaciteit om de afhankelijkheid te beoordelen, of wanneer de concentratie zo ver is voortgeschreden dat alternatieven structureel onhaalbaar worden.

Illustratie: Microsoft 365 in de publieke sector. De brede adoptie van Microsoft 365 door Europese overheden illustreert dit mechanisme. De Nederlandse Algemene Rekenkamer (2022) en het Duitse BSI (2022) constateerden dat overheden door langdurige uitbesteding aan Microsoft steeds minder interne capaciteit behielden voor essentiele functies als identiteitsbeheer, dataclassificatie en incidentrespons. DPIA’s uitgevoerd in opdracht van het Nederlandse ministerie van Justitie en Veiligheid toonden dat de feitelijke grip op dataverwerkingsprocessen structureel bij Microsoft lag. De afhankelijkheid betreft niet de software, maar het organisatievermogen om zonder die software te functioneren. Tegelijkertijd illustreert deze casus ook de keerzijde: de operationele stabiliteit, beveiligingscapaciteit en schaalbaarheid die Microsoft levert, overtreffen wat de meeste publieke organisaties intern zouden kunnen realiseren. Dit is het dilemma dat industrialisatie creeert: zij levert reele waarde en structurele afhankelijkheid, en die twee zijn niet eenvoudig van elkaar te scheiden.

Falsificatiecriterium. De propositie klopt niet als langdurige industrialisatie structureel leidt tot behoud of groei van organisatievermogen bij afnemende organisaties, zonder bewuste compenserende investeringen.

Propositie 5: Autonomie zonder organisatievermogen vergroot kwetsbaarheid

Autonomie vergroot bestuurlijke handelingsruimte alleen wanneer het bijbehorende organisatievermogen structureel aanwezig is. Bij afwezigheid daarvan vergroot autonomie de kwetsbaarheid.

Mechanisme. Autonomie verplaatst verantwoordelijkheid voor beheer, beveiliging en compliance naar de organisatie zelf. Zonder voldoende capaciteit ontstaan fragmentatie, technische schuld en verhoogd operationeel risico. Dit patroon is consistent met bevindingen uit grootschalige IT-programma’s waarin beheer en exploitatie structureel worden onderschat (Algemene Rekenkamer, 2022; OECD, 2020). De ironie is dat autonomie, bedoeld als instrument voor grotere soevereiniteit, bij onvoldoende organisatievermogen juist de kwetsbaarheid vergroot die zij beoogde te verminderen.

Illustratie: Log4Shell en de prijs van onbeheerde autonomie. De Log4Shell-kwetsbaarheid (december 2021) in de Java-bibliotheek Log4j legde een structureel probleem bloot. Veel organisaties die open-source-componenten hadden geintegreerd als onderdeel van hun autonomiestrategie, bleken niet te weten welke versies zij draaiden, hadden geen Software Bill of Materials, en beschikten niet over de capaciteit om snel te patchen. Organisaties die de code zelf beheerden maar zonder het bijbehorende organisatievermogen, bleken kwetsbaarder dan organisaties die dezelfde componenten afnamen van geindustrialiseerde aanbieders met dedicated security teams (Kumar et al., 2021; ENISA, 2022). Autonomie zonder capaciteit was geen bescherming maar een risicofactor.

Falsificatiecriterium. De propositie klopt niet als autonomie in digitale omgevingen structureel leidt tot lagere kwetsbaarheid, ook bij organisaties met beperkt organisatievermogen.

Methodologische status. De bovenstaande proposities zijn geen empirische conclusies, maar analytische hypothesen. Zij formuleren verwachte patronen die in verschillende contexten observeerbaar kunnen zijn. Daarmee maken zij het mogelijk om de claims van dit essay inhoudelijk te bekritiseren zonder het te reduceren tot normatieve voorkeur of beleidsadvies.

Deel III. Digitale ecosystemen en afhankelijkheid

Van technologie naar bestuurlijke positionering.

1. Het ecosysteem als analyse-eenheid

De proposities uit Deel II richten zich niet op afzonderlijke technologieen, maar op mechanismen die zich manifesteren binnen digitale ecosystemen. Een digitaal ecosysteem is een samenhangend geheel van infrastructuur, platforms, applicaties, data- en identiteitslagen, standaarden, contracten, toezicht en operationele routines. Deze elementen zijn onderling afhankelijk en ontwikkelen zich pad-afhankelijk (Hughes, 1987; Cusumano, Gawer en Yoffie, 2019).

Afhankelijkheden ontstaan daarbinnen niet uitsluitend door technische keuzes, maar door de wijze waarop verantwoordelijkheden, bevoegdheden en risico’s zijn verdeeld. Digitale soevereiniteit is geen eigenschap van afzonderlijke componenten, maar van de positie die een organisatie inneemt binnen een ecosysteem. Deze verschuiving in analyse-eenheid is noodzakelijk om te begrijpen waarom veel interventies die gericht zijn op vervanging of migratie slechts beperkte invloed hebben op feitelijke bestuurlijke handelingsruimte.

2. Twee werelden: traditionele IT-infrastructuur versus hyperscaler-ecosystemen

Het debat over digitale soevereiniteit maakt zelden expliciet welke digitale wereld het betreft. Dit essay onderscheidt er twee die fundamenteel verschillen in structuur, schaal en dynamiek.

Traditionele IT-infrastructuur omvat de traditie van eigen stacks, lokale of regionale datacenters, klassieke hosting en Infrastructure-as-a-Service (IaaS). In dit model behoudt de organisatie relatief directe controle over hardware, software en beheer. De schaal is beperkt, de dienstverlening is doorgaans regionaal, en de relatie met de leverancier is contractueel overzichtelijk. Veel Europese IT-dienstverleners, overheids-datacenters en sectorale shared services opereren in deze wereld. Traditionele IT-infrastructuur is herkenbaar, bestuurlijk benaderbaar en past in traditionele modellen van eigendom en controle.

Hyperscaler-ecosystemen, AWS, Microsoft Azure, Google Cloud, opereren op een fundamenteel ander niveau. Hun dienstverlening is mondiaal, geintegreerd en continu in ontwikkeling. Zij bieden niet alleen infrastructuur maar complete platformen: identiteitsbeheer, AI-diensten, compliance-tooling, beveiligingsmonitoring, data-analyse en ontwikkelomgevingen, onderling verweven in een samenhangend ecosysteem. Hun schaal maakt het mogelijk om beveiligingsteams te onderhouden die groter zijn dan de complete IT-afdeling van menig Europees land, om datacenters te bouwen die continu worden geoptimaliseerd, en om compliance-eisen te industrialiseren. Dit zijn niet slechts grotere versies van lokale datacenters; het zijn ecosystemen met een kwalitatief andere structuur.

Dit onderscheid is analytisch cruciaal. Het merendeel van het soevereiniteitsdebat redeneert impliciet vanuit de eerste wereld: soevereiniteit als eigendom, controle als nabijheid, autonomie als zelf beheren. Maar de structurele afhankelijkheden die het debat aandrijven, concentratie van organisatievermogen, juridische beinvloedbaarheid, governance-persistentie, zijn kenmerken van de tweede wereld. Wie het soevereiniteitsvraagstuk benadert alsof het gaat om de keuze tussen twee lokale datacenters, mist de kern van het probleem.

Dit betekent niet dat traditionele IT-infrastructuur geen waarde heeft. Voor specifieke functies, in specifieke contexten, kan lokaal of regionaal beheer rationeel zijn. Maar als generiek alternatief voor hyperscaler-ecosystemen functioneert zij niet, omdat zij het organisatievermogen, de schaal en de continuiteit van investering mist die deze ecosystemen kenmerken.

3. Vier typen afhankelijkheid

Om afhankelijkheid analytisch hanteerbaar te maken is differentiatie nodig. Binnen digitale ecosystemen zijn ten minste vier typen te onderscheiden.

Technische afhankelijkheid betreft de functionele koppeling aan specifieke technologieen, standaarden of interfaces. Zij is in principe verplaatsbaar, zij het tegen kosten en risico’s. De LiMux-casus illustreert dat zelfs na succesvolle technische migratie de onderliggende afhankelijkheden kunnen persisteren.

Juridische afhankelijkheid ontstaat uit toepasselijk recht, contractuele verplichtingen en toezichtregimes. Zij werkt door via organisaties en personen en is slechts beperkt beinvloedbaar door technische maatregelen. De CLOUD Act-problematiek laat zien dat juridische invloed fysieke grenzen overstijgt (Moerel, 2023).

Organisatorische afhankelijkheid betreft het verlies of ontbreken van interne capaciteiten op het gebied van beheer, beveiliging en governance. Zij kan ontstaan als onbedoeld cumulatief gevolg van langdurige uitbesteding, maar ook als bewuste keuze gezien schaalvoordelen en specialisatie. Dit type is het meest sluipend: het wordt pas zichtbaar wanneer een organisatie wil veranderen en ontdekt dat zij de capaciteit mist om dat te doen.

Ecosysteemafhankelijkheid ontstaat wanneer bovenstaande typen samenkomen en elkaar versterken: integratie van identiteit, data, platforms en governance binnen een samenhangend geheel maakt ontkoppeling structureel kostbaar. Dit is het type afhankelijkheid dat hyperscaler-ecosystemen kenmerkt en dat het moeilijkst zichtbaar en het moeilijkst omkeerbaar is.

Deze typen zijn analytisch te onderscheiden, maar in de praktijk cumulatief aanwezig. Dat maakt interventies die zich op slechts een type richten structureel ontoereikend.

4. Bestuurlijke positionering

Digitale soevereiniteit manifesteert zich niet door het ontbreken van afhankelijkheden, maar door de wijze waarop zij bestuurlijk zijn geadresseerd. Het begrip grip, geintroduceerd in Deel I, wordt hier operationeel. Grip is het vermogen om afhankelijkheden te herkennen, te begrenzen en te herstructureren. Het vereist positionering langs drie samenhangende lagen:

• Technisch: portabiliteit, standaardisatie, sleutelbeheer, ontkoppeling van identiteits- en datalagen.
• Juridisch: contractuele zeggenschap, auditrechten, toepasselijk recht, omgang met extraterritoriale claims.
• Organisatorisch: interne expertise, vendor management, incidentrespons, besluitvormingsstructuren.

Bestuurlijke positionering is geen eigenschap van een contract of een architectuur, maar van de samenhang tussen deze drie lagen. Een organisatie die technisch kan migreren maar juridisch gebonden is en organisatorisch de capaciteit mist, heeft weinig aan theoretische portabiliteit (Weill en Ross, 2004).

5. Context bepaalt de bandbreedte

De implicaties van ecosysteemafhankelijkheid verschillen sterk per organisatietype.

Kleine organisaties en MKB hebben beperkt organisatievermogen. Industrialisatie fungeert voor hen als risicodeling: schaal, standaardisatie en externe expertise compenseren interne beperkingen. Pogingen om autonomie te vergroten zonder overeenkomstige investering in capaciteit leiden hier regelmatig tot verhoogde kwetsbaarheid. Voor een mkb-bedrijf is de beveiliging van een hyperscaler doorgaans vele malen sterker dan wat het bedrijf zelf zou kunnen realiseren.

Grote organisaties beschikken over schaal en expertise, waardoor autonomie technisch en financieel haalbaar is, zij het kostbaar. Zij onderschatten echter vaak de structurele lasten van integratie, beheer en compliance. Voor multinationals geldt dat autonomie juridisch altijd relatief blijft: zij opereren over jurisdicties heen en blijven onderhevig aan meerdere rechtsregimes, ongeacht technische keuzes. Autonomie vergroot hier de keuzeruimte, maar verhoogt ook de complexiteit. De relevante vraag is niet “kunnen we het zelf?” maar “is het rationeel om het zelf te doen, gegeven de totale kosten?”

Publieke organisaties opereren in een context waarin juridische verplichtingen, transparantie-eisen en politieke verantwoording dominant zijn. Autonomie wordt hier vaak normatief aantrekkelijk gevonden, maar botst met bestuurlijke discontinuiteit en beperkte uitvoeringscapaciteit. De spanning tussen politieke wenselijkheid en organisatorische haalbaarheid is in dit segment het scherpst.

6. Collectieve en staatsgeleide initiatieven als grensgevallen

Sectorale shared services, federatieve platformen en staatsgeleide IT-programma’s gelden vaak als alternatief voor commerciele ecosystemen. Zij zijn grensgevallen: autonomie kan tijdelijk of partieel functioneren, maar alleen onder strikte institutionele voorwaarden. Deze voorwaarden zijn veeleisend: langdurige bestuurlijke continuiteit, stabiele financiering, expliciet eigenaarschap en hoog organisatievermogen. Empirische analyses laten zien dat deze factoren succes of falen bepalen, meer dan technologiekeuzes (OECD, 2020; Algemene Rekenkamer, 2022). Zonder deze voorwaarden blijken initiatieven kwetsbaar voor politieke wisselingen, scope creep en kennisverlies.

Illustratie: Gaia-X. Gaia-X, gelanceerd in 2019 als Frans-Duits project voor Europese data-infrastructuur, toont deze spanning. Het beoogde een federatief ecosysteem met Europese governance, open standaarden en dataportabiliteit. De uitvoering kampte met complexe multi-stakeholder-governance, onduidelijk eigenaarschap en beperkte operationele voortgang. Dat grote Amerikaanse hyperscalers als leden toetraden, onderstreept Propositie 4: zelfs expliciet soevereiniteitsgedreven initiatieven kunnen niet zonder geindustrialiseerd organisatievermogen (Pohle en Thiel, 2021). Collectieve autonomie is mogelijk, maar bestuurlijk veeleisend en institutioneel fragiel. Het is geen generiek alternatief voor geindustrialiseerde ecosystemen.

Deel IV. Zes mythes ontleed

Waarom dominante frames het debat op een dwaalspoor brengen.

De voorgaande delen hebben het soevereiniteitsvraagstuk geanalyseerd vanuit bestuurlijke positionering en het mechanisme van industrialisatie (Propositie 4). In het publieke debat domineren echter frames die voorbijgaan aan deze analyse. Dit deel ontleedt zes van de hardnekkigste. Het doel is niet deze posities ideologisch te weerleggen, maar te laten zien waarom zij analytisch tekortschieten. Waar digitale soevereiniteit wordt herleid tot een dimensie, verdwijnt het zicht op de mechanismen die bestuurlijke handelingsruimte feitelijk bepalen.

Mythe 1: Datalocatie garandeert controle. De aanname dat bestuurlijke grip op data primair samenhangt met fysieke locatie is hardnekkig. Zij miskent hoe juridische beinvloedbaarheid werkt. Rechtsregimes oefenen invloed uit op organisaties en personen, niet op data als object. Wetgeving met extraterritoriale werking, zoals de CLOUD Act, maakt het mogelijk om data te vorderen via de organisatie die ze beheert, ongeacht serverlocatie. Er zijn drie vormen: directe beinvloedbaarheid (een rechtsorde verplicht een aanbieder rechtstreeks), indirecte beinvloedbaarheid (via dochterondernemingen of ketenpartners), en afgeleide beinvloedbaarheid (via contractuele of operationele afhankelijkheden). Technische mitigaties zoals sleutelbeheer en segmentatie reduceren risico’s maar elimineren ze niet. Fysieke datalocatie verplaatst beinvloedbaarheid, maar reduceert haar niet tot nul. Residueel risico blijft aanwezig in grensoverschrijdende digitale ecosystemen.

Mythe 2: Governance lost afhankelijkheid op. Governance geldt vaak als het antwoord op afhankelijkheid. Transparantie, toezicht en contractuele waarborgen zouden machtsasymmetrieen neutraliseren. Deze opvatting overschat wat governance kan bereiken. Governance vergroot bestuurlijke handelingsruimte door verantwoordelijkheden te expliciteren en escalatiemechanismen vast te leggen. Maar zij werkt binnen bestaande machtsverhoudingen. Toezichthouders hebben beperkte capaciteit, handhaving is traag en expertise is schaars. De European Court of Auditors (2020) constateerde dat EU-instellingen structureel te weinig capaciteit hadden om hun eigen digitale afhankelijkheden te monitoren. Zes jaar GDPR-handhaving bevestigt dit: sancties tegen grote techbedrijven blijven schaars en traag (Tracol, 2023). Governance begrenst afhankelijkheid, maar heft haar niet op. Het is een noodzakelijke maar geen voldoende voorwaarde.

Mythe 3: Open source leidt automatisch tot soevereiniteit. Open source geldt regelmatig als tegenhanger van commerciele ecosystemen. Broncode-toegang zou leiden tot transparantie, aanpasbaarheid en verminderde afhankelijkheid. Deze eigenschappen zijn reeel, maar hun betekenis is overschat in deze context. Open source vermindert juridische afhankelijkheid van specifieke licentiemodellen en vergroot aanpassingsmogelijkheden. Maar het introduceert andere afhankelijkheden: beschikbaarheid en continuiteit van maintainers, stabiliteit van communities, veiligheid van software supply chains, en platformafhankelijkheid (veel open source wordt gehost op GitHub, onderdeel van Microsoft). De rol van commerciele partijen die open source distribueren en ondersteunen is hierin bepalend (Kumar et al., 2021). De Log4Shell-crisis toonde dat open-source-afhankelijkheden niet minder structureel zijn dan proprietary lock-in: zij zijn anders gestructureerd. In grootschalige toepassing keert industrialisatie bovendien terug: commerciele distributies (Red Hat, Canonical, SUSE) en managed services nemen de beheerrol over. Afhankelijkheid verschuift van licentie naar organisatievermogen. Open source elimineert afhankelijkheid niet, maar herconfigureert haar.

Mythe 4: Europees bouwen is Europees beheersen. De aanname dat in Europa ontwikkelde technologie automatisch Europese bestuurlijke grip garandeert, is herkomstdenken dat de structuur van digitale ecosystemen miskent. Europees ontwikkelde software kan draaien op niet-Europese infrastructuur, afhankelijk zijn van niet-Europese supply chains, en onderworpen zijn aan niet-Europese rechtsregimes via dochterondernemingen of contractuele relaties. Zelfs een volledig Europese stack leunt op niet-Europese halfgeleiders, niet-Europese patenten en mondiaal mobiele arbeid. Herkomst zegt waar code is geschreven, maar niet wie de voorwaarden bepaalt. Gaia-X illustreert dit: een expliciet Europees initiatief dat niettemin afhankelijk bleek van niet-Europees geindustrialiseerd organisatievermogen. Bestuurlijke positionering (wie beslist, onder welk recht, met welke capaciteit) is bepalend, niet herkomst.

Mythe 5: Maakbaarheid en bestuur zijn tegengesteld. Het debat construeert regelmatig een tegenstelling tussen zelf bouwen (maakbaarheidsdenken) en bestuurlijk beheersen van bestaande afhankelijkheden. Deze tegenstelling is onjuist en schadelijk. Maakbaarheidsdenken overschat interne capaciteit en onderschat de structurele kosten van beheer, beveiliging en continuiteit. Dit denken leidt tot overheidsprojecten die ambitieus starten en stilvallen wanneer de beheerlasten manifest worden. Puur bestuurlijk denken kan leiden tot passiviteit en structureel verlies van handelingsruimte: organisaties raken zo gewend aan afhankelijkheid dat zij het vermogen verliezen om alternatieven te beoordelen. In de praktijk zijn maakbaarheid en bestuur complementair, maar niet uitwisselbaar. De relevante vraag is niet of men moet bouwen of besturen, maar op welk niveau, onder welke voorwaarden en met welk organisatievermogen. Digitale soevereiniteit ontstaat niet uit maakbaarheid of bestuur afzonderlijk, maar uit hun samenhang.

Mythe 6: Hyperscalers zijn het probleem. Een laatste aanname is dat afhankelijkheid van hyperscalers per definitie problematisch is en geelimineerd moet worden. Deze framing miskent wat industrialisatie levert. Hyperscalers bieden operationele stabiliteit, beveiligingscapaciteit, schaalbaarheid en continuiteit van investering die de meeste organisaties, inclusief overheden, niet zelf kunnen realiseren. Zij maken het mogelijk om complexe digitale omgevingen betrouwbaar te exploiteren. Voor kleine organisaties is hun schaalvoordeel vaak de enige manier om acceptabel beveiligingsniveau te bereiken. Dit zijn feiten, geen retorische concessies. Het probleem is niet het bestaan van hyperscalers, maar de onzichtbaarheid van de afhankelijkheid, de afwezigheid van realistisch beoordeelde alternatieven, en het ontbreken van grip op de voorwaarden. Wie hyperscalers reduceert tot het probleem, mist waarom zij domineren en verliest daarmee de hefbomen om de eigen positie te versterken. Afhankelijkheid van hyperscalers is niet per definitie problematisch. Zij wordt problematisch wanneer zij onzichtbaar, onbesproken of onherroepelijk is.

Deel V. Synthese

Zeven onhoudbare aannames en een centraal inzicht.

De voorafgaande analyse benadert digitale soevereiniteit vanuit bestuurlijke positionering en de vijf proposities uit Deel II. Dit slotdeel vat de kernargumenten samen, distilleert de onhoudbare aannames en trekt conclusies. De kern van het debatprobleem is niet een gebrek aan oplossingen, maar een overschot aan onhoudbare aannames.

1. Soevereiniteit is onafhankelijkheid. Digitale ecosystemen zijn structureel verweven, mondiaal en pad-afhankelijk. Volledige afwezigheid van afhankelijkheden is zeldzaam en alleen realiseerbaar tegen disproportionele kosten. Zelfs een volledige Eurostack leunt op niet-Europese halfgeleiders, patenten en arbeid. Soevereiniteit manifesteert zich niet als afwezigheid van afhankelijkheden, maar als bestuurlijke handelingsruimte daarbinnen.
2. Autonomie is altijd beter. Autonomie verplaatst verantwoordelijkheid. Zonder overeenkomstig organisatievermogen vergroot zij de kwetsbaarheid. De Log4Shell-crisis toonde dat autonomie zonder capaciteit een risico is, geen bescherming. Voor kleine organisaties fungeert industrialisatie als risicodeling; voor grote organisaties vergroot autonomie de keuzeruimte maar ook de complexiteit.
3. Technologische vervanging doorbreekt afhankelijkheid. Infrastructuur is verplaatsbaar; governance persisteert. De LiMux-casus demonstreert dat tien jaar technische migratie de structurele afhankelijkheid van identiteits-, document- en applicatie-ecosystemen niet doorbrak. Zonder herontwerp van governance-lagen is platformvervanging cosmetisch.
4. Datalocatie garandeert juridische veiligheid. Rechtsregimes oefenen invloed uit via organisaties, niet via fysieke locaties. De CLOUD Act en Schrems II maken zichtbaar dat Europese datalocatie niet beschermt tegen niet-Europese jurisdictie. Residueel risico is structureel.
5. Open source garandeert soevereiniteit. Open source herconfigureert afhankelijkheid, maar elimineert haar niet. Broncodetoegang is geen substituut voor organisatievermogen. In grootschalige toepassing keert industrialisatie terug via commerciele distributies en managed services.
6. Collectieve initiatieven zijn schaalvrij. Federatieve en staatsgeleide initiatieven vereisen institutionele condities die moeilijker te realiseren zijn dan technische architectuur. Gaia-X illustreert dat zelfs met Europese ambitie het geindustrialiseerde organisatievermogen van gevestigde ecosysteemaanbieders niet eenvoudig te evenaren is. Succes of falen hangt meer samen met institutionele condities dan met technologiekeuzes.
7. Hyperscalers zijn per definitie het probleem. Hyperscalers leveren reele waarde: operationele stabiliteit, beveiligingscapaciteit en schaal die de meeste organisaties niet zelf kunnen realiseren. Het probleem is niet hun bestaan maar de onzichtbaarheid en onherroepelijkheid van de afhankelijkheid. Wie hyperscalers reduceert tot vijand, mist de structurele redenen van hun dominantie, en daarmee de hefbomen om de eigen positie te versterken.

Analyse voor normativiteit. Het debat over digitale soevereiniteit kenmerkt zich door normatieve urgentie. Deze urgentie is begrijpelijk, maar vertroebelt regelmatig de analyse. Waar technische implementatiekeuzes worden gepresenteerd als oplossing voor bestuurlijke vraagstukken, ontstaat een vorm van oplossingsdenken die de onderliggende mechanismen negeert. Zonder analytische helderheid wordt soevereiniteit een projectievlak voor wensdenken. Dit essay kiest daarom expliciet voor analyse voor normativiteit. Het beschrijft mechanismen, geen gewenste uitkomsten. Het identificeert onhoudbare aannames niet om het debat te delegitimeren, maar om het effectiever te maken.

Slotbeschouwing. Digitale soevereiniteit is geen eigenschap van technologie, geen belofte van autonomie en geen eindtoestand. Zij is een relationeel begrip dat zich manifesteert in de mate waarin organisaties hun positie binnen digitale ecosystemen bestuurlijk kunnen vormgeven en herzien. De analyse toont dat het dominante debat tekortschiet doordat het structurele mechanismen negeert. Industrialisatie concentreert organisatievermogen, juridische beinvloedbaarheid overstijgt datalocatie, en afhankelijkheid is structureel ingebed in digitale ecosystemen. Deze mechanismen bepalen de handelingsruimte, ongeacht technologische of juridische interventies. Door het debat te ontdoen van simplificaties en mythen ontstaat ruimte voor een volwassen gesprek over afhankelijkheid, verantwoordelijkheid en handelingsruimte. Dat gesprek begint niet bij oplossingen, maar bij het expliciteren van aannames. Wie digitale soevereiniteit wil begrijpen, moet eerst accepteren dat afhankelijkheid geen afwijking is, maar het vertrekpunt.

Epiloog

Reflectie op debat en analyse.

Dit essay ontstond in een debat dat zich kenmerkt door toenemende urgentie en morele lading. Digitale soevereiniteit geldt daarin als absolute voorwaarde voor autonomie, economische vitaliteit en democratisch bestuur. Deze framing creeert druk om oplossingen te formuleren voordat mechanismen zijn begrepen.

De analyse toont dat veel dominante frames het vraagstuk reduceren tot technologiekeuze, herkomst of eigendom. Daarmee verschuift de aandacht van bestuurlijke positionering naar technische configuratie. Het resultaat is een debat waarin symbolische claims over soevereiniteit samengaan met feitelijke consolidatie van afhankelijkheden.

Deze reflectie pleit niet voor behoud van bestaande afhankelijkheden, noch wijst zij pogingen om autonomie te vergroten af. Zij benadrukt dat effectieve strategie begint met begrip van mechanismen, niet met projectie van ideaalbeelden. Het debat over digitale soevereiniteit wint aan kwaliteit wanneer het minder gaat over wensbeelden en meer over analyse. Niet elke vorm van afhankelijkheid is problematisch, niet elke vorm van autonomie is haalbaar of wenselijk, en niet elke technische interventie leidt tot bestuurlijke grip.

Methodologische bijlage

Afbakening, methode en toetsbaarheid.

Aard en doel. Dit essay is analytisch en conceptueel. Het richt zich niet op empirische toetsing, beleidsadvies of normatieve positionering. Het expliciteert mechanismen die in het dominante debat impliciet of onzichtbaar blijven.

Methode van redeneren. De analyse combineert drie benaderingen: conceptuele afbakening van kernbegrippen, systeemanalyse geinspireerd door literatuur over sociotechnische systemen, en mechanistische redenering over governance, schaal en juridische beinvloedbaarheid. Casussen en illustraties dienen ter verduidelijking van mechanismen, niet als empirisch bewijs. Staatsgeleide en collectieve IT-initiatieven worden expliciet behandeld als grensgevallen die laten zien onder welke omstandigheden autonomie tijdelijk of partieel kan functioneren.

Proposities en reikwijdte. De vijf proposities zijn beperkt in aantal. Zij vormen geen uitputtend verklaringsmodel, maar functioneren als analytische lenzen. De selectie is gebaseerd op empirische relevantie en analytisch onderscheidend vermogen.

Toetsbaarheid. Elke propositie heeft een expliciet falsificatiecriterium. Empirische toetsing zou kunnen plaatsvinden via vergelijkend onderzoek naar governancestrategieen, aanbestedingen of migraties, waarin de verklaringskracht van bestuurlijke positionering wordt getoetst tegen alternatieven zoals technologiekeuze of datalocatie.

Beperkingen. Het essay baseert zich op een beperkt aantal illustratieve casussen. De proposities zijn heuristisch, niet universeel. Sectorspecifieke dynamieken, verschillen tussen rechtsregimes en technologische ontwikkelingen vereisen verdere toetsing en verfijning.

Literatuurlijst

• Algemene Rekenkamer (2022). Lessen uit grote ICT-projecten bij de overheid. Den Haag.
• Bradford, A. (2020). The Brussels Effect: How the European Union Rules the World. Oxford University Press.
• BSI, Bundesamt fur Sicherheit in der Informationstechnik (2022). SiSyPHuS Win10: Analyse von Windows 10. Bonn.
• Cusumano, M.A., Gawer, A., & Yoffie, D.B. (2019). The Business of Platforms. Harper Business.
• Dolata, U., & Schwabe, G. (2023). Platform urbanism and digital sovereignty: The case of Munich’s LiMux project. Government Information Quarterly, 40(2).
• ENISA (2022). Threat Landscape for Supply Chain Attacks. Athens.
• European Court of Auditors (2020). The EU’s response to big data challenges. Luxembourg.
• Farrell, H., & Newman, A.L. (2019). Weaponized interdependence. International Security, 44(1), 42-79.
• Hughes, T.P. (1987). The evolution of large technological systems. In W.E. Bijker, T.P. Hughes & T. Pinch (Eds.), The Social Construction of Technological Systems. MIT Press.
• Jia, J., Jin, G.Z., & Wagman, L. (2021). The short-run effects of the General Data Protection Regulation on technology venture investment. Marketing Science, 40(4), 661-684.
• Kenney, M., & Zysman, J. (2016). The rise of the platform economy. Issues in Science and Technology, 32(3), 61-69.
• Kumar, S., et al. (2021). Supply chain risks in open source software. IEEE Software, 38(4), 88-93.
• Moerel, L. (2023). Data access, sovereignty and legal risk in a global digital economy. Tilburg University.
• OECD (2020). Digital government and the COVID-19 response. Paris.
• OECD (2021). Regulatory compliance and market concentration. Paris.
• Pohle, J., & Thiel, T. (2021). Digitale Souveranitat. In Handbuch Digitalisierung in Staat und Verwaltung. Springer.
• Tiwana, A. (2014). Platform Ecosystems: Aligning Architecture, Governance, and Strategy. Morgan Kaufmann.
• Tracol, X. (2023). “Schrems III” or the beginning of the end of transfers of personal data to the United States? Computer Law & Security Review, 49.
• Weill, P., & Ross, J.W. (2004). IT Governance: How Top Performers Manage IT Decision Rights for Superior Results. Harvard Business School Press.

Colofon

Titel: Digitale soevereiniteit in perspectief. Een analytisch fundament voor het vastgelopen debat. Auteur: Arnold J.D. van der Veen Meerstadt. Versie 5.0. Datum: 10 februari 2026. Status: Working Paper.

Disclaimer, gebruik van AI. Dit essay ontstond met ruime ondersteuning van generatieve AI (waaronder Claude Sonnet 4.5 en Opus 4.6, ChatGPT 5.2 en Mistral Le Chat) als analytisch en redactioneel hulpmiddel. De AI werd ingezet voor validatie, optimalisatie, structurering, formulering en argumentatieve consistentie. Alle stellingen, proposities en conclusies zijn gevalideerd door de auteur, die de volledige verantwoordelijkheid draagt.

Download het volledige Working Paper als PDF.