Digitale soevereiniteit als auditobject

Wanneer afhankelijkheid een risico wordt

Jarenlang draaide informatiebeveiliging om drie vragen: zijn onze systemen beschikbaar, blijven gegevens betrouwbaar en zijn zij voldoende beschermd tegen onbevoegde toegang? De onderliggende principes van beschikbaarheid, integriteit en vertrouwelijkheid vormen nog steeds het fundament van IT-auditing en informatiebeveiliging.

Meer dan een datacenterdiscussie

Digitale soevereiniteit wordt vaak teruggebracht tot de locatie van dataopslag: staat de data in Nederland of Europa, dan lijkt het vraagstuk opgelost. In werkelijkheid gaat het om meer dan alleen de plek waar gegevens zijn opgeslagen. 

Ook de eigenaar van de technologie, de wetgeving die van toepassing is en de mate waarin een organisatie afhankelijk is van leveranciers bepalen hoeveel regie een organisatie werkelijk heeft.

Dat betekent niet dat organisaties direct moeten stoppen met het gebruik van partijen zoals Microsoft, Amazon of Google. Deze oplossingen bieden veel voordelen en vormen voor veel organisaties een logische keuze.

Wel is het belangrijk om bewust stil te staan bij de gevolgen van die keuze en de bijbehorende afhankelijkheden.

Wetgeving laat zien dat afhankelijkheid een bestuurlijk risico is

Ook Europese wet- en regelgeving besteedt steeds meer aandacht aan digitale afhankelijkheid.

Nieuwe regels zoals NIS2 en DORA vragen organisaties nadrukkelijk om risico’s bij leveranciers en in de keten beter in kaart te brengen en te beheersen.

Daarnaast ontstaan initiatieven zoals Gaia-X, waarin Europa werkt aan meer digitale autonomie en minder afhankelijkheid van een klein aantal internationale technologiebedrijven.

Binnen de Nederlandse overheid vormt de BIO het belangrijkste normenkader voor informatiebeveiliging. Hoewel daarin aandacht wordt besteed aan leveranciers en uitbesteding, wordt digitale soevereiniteit nog niet expliciet als afzonderlijk risico behandeld.

Daardoor wordt het onderwerp in de praktijk nog vaak gezien als een technisch of juridisch vraagstuk, terwijl het in werkelijkheid vooral een strategische keuze is.

Wat staat er eigenlijk op het spel?

De discussie rondom DigiD en de afhankelijkheid van buitenlandse leveranciers laat zien dat digitale soevereiniteit inmiddels veel meer is dan een theoretisch onderwerp.

De vraag is daarbij vaak niet of een bepaalde technologie veilig genoeg is, aangezien veel grote technologiebedrijven enorme bedragen investeren in beveiliging.

Vergelijkbare afhankelijkheden zijn inmiddels zichtbaar bij veel gemeenten en uitvoeringsorganisaties, waar kritieke processen zoals documentmanagement, financiële administratie en communicatie zijn ondergebracht bij een beperkt aantal leveranciers.

De uitdaging zit daarbij niet zozeer in de technologie zelf, maar in de mate waarin organisaties nog in staat zijn zelfstandig keuzes te maken wanneer omstandigheden veranderen.

Vaak wordt de omvang van die afhankelijkheid pas zichtbaar op het moment dat een organisatie daadwerkelijk een alternatief probeert te overwegen.

De belangrijkere vraag is vaak: willen we dat essentiële publieke dienstverlening afhankelijk is van een beperkt aantal buitenlandse leveranciers?

Die afhankelijkheid zien we inmiddels op veel plekken terug. Gemeenten, uitvoeringsorganisaties en bedrijven maken dagelijks gebruik van dezelfde leveranciers voor e-mail, documentopslag, financiële systemen en samenwerkingstools.

Het risico zit daarbij niet zozeer in het gebruik van deze technologie, maar in het verlies van keuzevrijheid.

Kun je nog overstappen als prijzen sterk stijgen? Wat gebeurt er wanneer wetgeving verandert? Hoe eenvoudig is het om een alternatief te kiezen wanneer dat nodig blijkt? 

Vaak wordt pas duidelijk hoe groot de afhankelijkheid is op het moment dat een organisatie daadwerkelijk probeert over te stappen.

Wat betekent dit voor IT-auditors?

Digitale soevereiniteit ontstaat niet door audits, maar door keuzes van bestuurders, architecten en beleidsmakers.

Voor IT-auditors ligt de rol vooral in het stellen van de juiste vragen.

Beschikt een organisatie over een realistische exitstrategie voor belangrijke leveranciers? Is duidelijk wie toegang heeft tot gegevens en encryptiesleutels? Zijn risico’s rondom leveranciersafhankelijkheid bewust afgewogen en geaccepteerd?

Dit zijn geen volledig nieuwe onderwerpen. Organisaties houden zich al jarenlang bezig met uitbestedingsrisico’s, continuïteit en leveranciersmanagement.

Nieuw is vooral de schaal waarop deze afhankelijkheden ontstaan en de snelheid waarmee zij toenemen. Daarnaast wordt steeds belangrijker of organisaties voldoende digitale handelingsvrijheid behouden om in de toekomst zelfstandig keuzes te kunnen blijven maken.

Geen pleidooi voor volledige onafhankelijkheid

Digitale soevereiniteit betekent niet dat organisaties afscheid moeten nemen van internationale technologiebedrijven of uitsluitend gebruik mogen maken van Europese oplossingen. Volledige technologische onafhankelijkheid is in een wereldwijde digitale economie nauwelijks haalbaar en waarschijnlijk ook niet wenselijk. 

De kracht van digitale soevereiniteit zit daarom niet in onafhankelijkheid, maar in het bewust beheersen van afhankelijkheden. Organisaties die begrijpen van welke leveranciers zij afhankelijk zijn, de gevolgen van die afhankelijkheid kennen en beschikken over realistische alternatieven, behouden meer regie over hun digitale toekomst. 

Digitale weerbaarheid gaat daarmee niet alleen over veiligheid, maar ook over het behouden van keuzevrijheid wanneer omstandigheden veranderen.

Een nieuwe vraag voor de komende jaren

Veel audits en onderzoeken richten zich nog steeds op onderwerpen zoals wachtwoordbeleid, patchmanagement en toegangsrechten. Dat blijft belangrijk, maar tegelijkertijd groeit de afhankelijkheid van een klein aantal technologiebedrijven ieder jaar verder, mede door de opkomst van cloudplatformen, SaaS-oplossingen en generatieve AI.

Misschien is de belangrijkste vraag voor de komende jaren daarom niet alleen of systemen veilig zijn ingericht, maar ook of organisaties nog voldoende invloed hebben op hun eigen digitale toekomst.

Digitale soevereiniteit is niet alleen een technisch, juridisch of politiek onderwerp.

Het is ook een vraagstuk van bestuur, architectuur en risicobeheersing.

Want uiteindelijk draait het niet alleen om de vraag of organisaties hun systemen beheersen, maar ook of zij hun afhankelijkheden beheersen.

En precies daar ligt de natuurlijke rol van IT-auditing.