Capgemini: 13 procent wisselt een kritieke leverancier binnen drie maanden

Dertien procent van de grote organisaties kan een kritieke technologieleverancier binnen drie maanden vervangen, blijkt uit onderzoek van het Capgemini Research Institute onder 1.300 bestuurders en technologieleiders in Europa, de Verenigde Staten en Azië-Pacific.

Daarmee krijgt een vraag die tot nu toe vooral principieel klonk eindelijk een getal: hoe lang red je het zonder je leverancier? Bij 41 procent duurt zo'n wissel drie tot twaalf maanden, 36 procent doet er langer dan een jaar over en 10 procent heeft helemaal geen werkend alternatief. Dat is geen stemming over Big Tech maar een continuïteitscijfer dat je per systeem kunt opschrijven, naast je verzekeringspolis en je debiteurenrisico. Wie zijn boekhouding, klantdata en klantcontact bij drie verschillende partijen heeft liggen, weet na zo'n rondje welke van de drie het bedrijf een jaar kan stilleggen.

De exit-tijd, in cijfers

De enquête liep in april 2026 onder business- en technologie-executives van organisaties met meer dan een miljard dollar omzet of jaarbudget, aangevuld met dertien diepte-interviews. Capgemini bracht het rapport op 8 september naar buiten.

De uitkomst is een verdeling die weinig ruimte laat voor optimisme. Slechts 13 procent kan binnen drie maanden weg bij een kritieke aanbieder, en aan de andere kant van de schaal staat een tiende dat geen enkele bruikbare alternatieve aanbieder ziet.

Het onderliggende probleem is zicht. Veertien procent van de organisaties zegt end-to-end inzicht te hebben in de afhankelijkheden in de eigen technologieketen, 34 procent heeft dat alleen voor de belangrijkste systemen en 21 procent heeft geen enkel overzicht. Daar bovenop komt concentratie: 58 procent meldt een sterk geconcentreerd leveranciersveld voor data, 48 procent voor cloud en 47 procent voor software. Capgemini classificeert 86 procent van de deelnemende organisaties als significant blootgesteld, met Duitsland als uitschieter op 94 procent en Italië en het Verenigd Koninkrijk als laagste op 77 procent.

Het inventariseren en scoren van elk systeem op vijf lock-in-assen, met een prioriteitenmatrix van kriticaliteit tegen lock-in, levert precies die vervangingstijd per systeem op. Zonder dat rondje is de 36 procent uit dit rapport een cijfer over anderen.

Nederland vreest meer en ziet minder

De Nederlandse uitsplitsing, gebaseerd op 70 respondenten, valt op twee manieren op. De urgentie ligt hoger dan waar ook: 89 procent van de Nederlandse organisaties vreest dat geopolitieke spanningen belangrijke bedrijfsactiviteiten kunnen verstoren, tegen 76 procent wereldwijd, en 77 procent heeft er budget voor vrijgemaakt. Nederland hoort samen met Japan en Italië ook tot de landen waar 80 procent of meer het risico van digitale afhankelijkheden regelmatig beoordeelt, tegenover 46 procent in de Verenigde Staten.

Daar staat tegenover dat 23 procent het onderwerp echt op bestuursniveau heeft verankerd en 16 procent volledig zicht heeft op de eigen digitale leveranciersketen. Zeven procent heeft een Chief Sovereignty Officer aangesteld, bijna de helft overweegt het. Negenenvijftig procent van de Nederlandse organisaties ziet AI als een hoog risico voor de continuïteit van belangrijke processen.

"Organisaties moeten zich afvragen: welke leverancier of technologie is echt kritiek? En hebben we ten alle tijden een alternatief dat ook echt werkt?", zegt Jurjen Thie, Cloud Strategist bij Capgemini Nederland.

Dat patroon van hoge zorg en lage uitvoering is niet nieuw. Uit de Data en AI Monitor 2026/2027 van Xebia en Data Expo bleek eind augustus dat 85 procent van de Benelux-organisaties een sterker Europees front tegen Amerikaanse Big Tech wil, terwijl 42 procent digitale soevereiniteit helemaal niet op de agenda heeft staan.

Vervangbaarheid, niet herkomst

De interessantste verschuiving in het rapport zit in de definitie. Charles-Pierre Astolfi, chief information officer van het Franse instituut voor geografische en bosinformatie, omschrijft digitale soevereiniteit tegenover Reuters als in de kern een kwestie van vervangbaarheid: het vermogen om kritieke technologie te vervangen wanneer dat nodig is. Nicolas Gaudilliere, de Capgemini-bestuurder die het onderzoek leidde, zegt in hetzelfde stuk dat het geen geografisch begrip is en dat het niet om landen tegen elkaar afzetten gaat. De vraag is niet wie je technologie levert, maar of je van aanbieder kunt wisselen als de omstandigheden daarom vragen.

Dat is dezelfde beweging als waar je data staat en van wie je software is behandelen als bedrijfsrisico dat op dezelfde plank hoort als een te grote klant, in plaats van als politiek standpunt. Bestuurskamers pikken het op: 93 procent van de organisaties heeft digitale soevereiniteit op bestuursniveau besproken en voor 44 procent is het een prioriteit op bestuursniveau, oplopend tot 59 procent in lucht- en ruimtevaart en defensie. Concrete stappen blijven selectief. Airbus koos ervoor om zijn AI-inzet te bouwen op een samenwerking met Mistral AI, juist vanwege de eisen die gelden voor vertrouwelijke en militaire toepassingen.

Wat het onderzoek niet meet

Drie kanttekeningen horen erbij. De respondenten komen uit organisaties met meer dan een miljard dollar omzet of budget, dus dit zijn geen MKB-cijfers; de Nederlandse uitsplitsing rust bovendien op 70 antwoorden, genoeg voor een richting en te weinig voor precisie. Capgemini verkoopt zelf soevereiniteitstrajecten en cloudtrajecten, en het rapport eindigt met een aanbod voor een assessment. En voorbereiding volgt de zorg niet: van de organisaties die recent een verstoring meemaakten door sancties, vendor lock-in of een gedwongen technologiewissel had 42 procent wereldwijd een noodplan klaarliggen, in continentaal Europa 37 procent.

De winst van dit onderzoek zit niet in de vaststelling dat afhankelijkheid een risico is, want dat wisten bestuurders al. De winst zit erin dat de vaagste variabele in dat risico nu een eenheid heeft: maanden. Een organisatie die van haar tien belangrijkste systemen weet welke in de categorie van meer dan een jaar vallen, kan daar contracten, exportclausules en back-uproutes omheen bouwen. Een organisatie die dat niet weet, ontdekt haar exit-tijd pas op het moment dat ze hem nodig heeft.