Digitale soevereiniteit is in Den Haag van praat een breekijzer geworden

Op 26 mei blokkeerde staatssecretaris Willemijn Aerdts de verkoop van Solvinity, het bedrijf dat de cloud achter DigiD beheert, aan het Amerikaanse Kyndryl. Vier weken later trok het kabinet 185 miljoen euro uit voor de opvolger van supercomputer Snellius, met een uitgesproken voorkeur voor een Europese leverancier. Weer een paar dagen erna koos het DigiD zelf op termijn onder te brengen in een eigen, soevereine overheidscloud.

Los gelezen zijn het drie berichten uit de rubriek overheids-ict. Naast elkaar zijn het geen losse berichten meer. De Nederlandse staat is opgehouden met práten over digitale soevereiniteit en begonnen met ingrijpen. Jarenlang was soevereiniteit een woord uit beleidsnota's, een ambitie die goed klonk op een congres en strandde op de uitvoering. In zes weken tijd is het een breekijzer geworden.

De weken waarin het kantelde

Zet de gebeurtenissen op een rij en de versnelling springt eruit. Het begint met de blokkade van de Solvinity-overname op 26 mei: Aerdts gebruikt de investeringstoets om te voorkomen dat de infrastructuur onder DigiD, de sleutel waarmee miljoenen Nederlanders inloggen bij de Belastingdienst en hun zorgverzekeraar, in Amerikaanse handen valt. Begin juni stopt de Belastingdienst met Adobe Analytics nadat bleek dat een verkeerd geconfigureerde Amerikaanse tracker gegevens uit de betaalomgeving doorgaf, een AVG-overtreding die als datalek bij de toezichthouder is gemeld.

Dan volgen de stappen elkaar snel op. Op 17 juni nam de Tweede Kamer moties aan die Europese datacenters voorrang geven boven Amerikaanse hyperscalers. Op 19 juni waarschuwde vertrekkend AP-voorzitter Aleid Wolfsen dat "als de Amerikaanse president het wil, morgen de halve Nederlandse overheid stil ligt". Vier dagen later begon het Rijk de Microsoft-werkplek van ambtenaren stapsgewijs te vervangen door een soeverein alternatief. Op 25 juni koos het kabinet DigiD via de defensie- en veiligheidswet aan te besteden, een route die buiten de gewone Europese aanbesteding om gaat en zo soevereiniteitseisen toelaat. En op 29 juni kwam de 185 miljoen voor een Europese Snellius-opvolger, gevolgd door de proof of concept voor een eigen overheidscloud die eind 2026 zijn eerste applicaties moet draaien.

Wat deze stappen delen

Het patroon zit niet in wát er gebeurt, maar in hóe. Elke stap is een instrument, geen intentie. De overheid pakt hier vier hefbomen die ze jarenlang liet liggen: een investeringstoets om een overname te vetoën, een aanbesteding via de defensiewet om buiten de gewone regels soevereiniteit te kunnen eisen, een Europese voorkeur als hard inkoopcriterium, en een gefaseerde vervanging van een zittende leverancier. Dat is een andere taal dan een visiebrief. Soevereiniteit is opgeschoven van iets dat je nastreeft naar iets dat je afdwingt.

Dat verklaart waarom deze weken anders aanvoelen dan de tien jaar ervoor. Niet omdat er ineens meer over gepraat wordt, maar omdat er voor het eerst een overname is tegengehouden, een leverancier aan de kant gezet en een aanbesteding om de standaardregels heen gebogen. De privacytoezichthouder trekt in dezelfde periode een steeds strakkere lijn rond datastromen, maar dat is de handhavende kant. Dit is iets anders: de staat als inkoper en als poortwachter die zijn eigen fundament verbouwt.

Waar het vuur echt begon

De verleiding is om de Belastingdienstzaak als de vonk te zien. Dat is te klein gedacht. Die zaak is een symptoom, niet de oorzaak. De echte kantel zit in een besef, en Wolfsen maakte het concreet met twee gebeurtenissen die geen hypothese zijn. Toen de Amerikaanse overheid Anthropic dwong zijn krachtigste modellen wereldwijd uit te schakelen, gehoorzaamde het bedrijf, ook al had Washington daar geen formele bevoegdheid voor. En toen de VS het Internationaal Strafhof in Den Haag sanctioneerde, verloor hoofdaanklager Karim Khan zijn Microsoft-account en moest hij uitwijken naar het Zwitserse Proton Mail. Een Amerikaans bedrijf sloot de digitale toegang van een rechtbank af, op Nederlandse bodem. Dat is de vonk: niet één datalek, maar het inzicht dat afhankelijkheid een buitenlandse noodknop is.

En hier wijst het oorspronkelijke signaal de verkeerde kant op. De vooruitblik was dat andere EU-landen Nederland zouden kunnen volgen. Het omgekeerde klopt. Het Deense ministerie van Digitalisering ruilde Microsoft Office 365 al in 2025 in voor Linux en LibreOffice, en de Duitse deelstaat Schleswig-Holstein migreerde in datzelfde jaar 30.000 ambtenaren naar open source. Nederland loopt in deze beweging niet voorop. Het haalt een Europese achterstand in.

Hoe hard het al is, en waar het rammelt

Toch is hardop zeggen dat Nederland zich losmaakt van Amerikaanse tech voorbarig. De trajectorie is er in intentie, veel minder in uitvoering. De Algemene Rekenkamer noemde het werkplek-traject versnipperd en wees op ontbrekende crisisplannen. Belangrijker nog: dezelfde overheid gaf begin juli Google Cloud juist groen licht na een privacytoets. De reflex is dus geen ontkoppeling, maar een pragmatische tweetrap: blokkeren waar het pijn doet, doorgaan waar het uitkomt.

En juridisch is er nog niets veranderd. Het adequaatheidsbesluit dat data-uitwisseling met de VS legaal houdt, blijft formeel van kracht tot de Europese Commissie het intrekt of het Europees Hof het vernietigt. Eén overnameveto is geen strategie, en één groen licht voor Google breekt het nette verhaal van een decoupling. Maar negen ingrepen in zes weken, die stuk voor stuk dezelfde kant op wijzen, zeggen meer dan elke maatregel apart.

Wat het in jouw wereld verandert

Voor een MKB'er lijkt dit een verhaal over Den Haag. Twee lijnen trekken het naar je toe. De eerste: soevereiniteit wordt een inkoopeis. Zodra de overheid Europese herkomst en soevereiniteit als criterium hanteert, sijpelt die eis door naar haar leveranciers, en van daar naar hún toeleveranciers. Lever je aan een partij die aan de overheid levert, dan staat de vraag "waar draait dit en wie kan erbij" straks gewoon in je bestek.

De tweede lijn is scherper. Op 4 juli stelde Kamerlid Barbara Kathmann vragen over de gevolgen van een Amerikaanse hofuitspraak voor de EU-VS datadeal. Die uitspraak ondergraaft het Data Privacy Framework waarop je Microsoft 365, je Google Workspace en de meeste Amerikaanse clouddiensten juridisch rusten. Valt dat besluit, dan verlies je van de ene op de andere dag de grondslag onder je dataverwerking. Dat is geen Haagse abstractie. Dat is de vraag of je volgende week nog legaal in je eigen CRM mag werken.

Wie nu al in kaart brengt waar zijn data staat en welke afhankelijkheden hij heeft, loopt niet vooruit op een hype. Hij loopt vooruit op een eis.

Waar de beweging heen wijst

De beweging wijst niet naar een Europese stack die morgen klaarstaat. Ze wijst naar iets nuchterders. Soevereiniteit verschuift van een politiek ideaal naar een inkoop- en compliancecriterium, en de staat heeft in zes weken laten zien dat hij een overname kan tegenhouden, een leverancier kan vervangen en een aanbesteding om de gewone regels heen kan buigen. De vraag voor de komende maanden is niet langer óf je van Amerikaanse tech af moet, maar of je weet waar je data staat en of je zou kúnnen verhuizen als de juridische bodem eronder wegvalt. Dat is de reflex die vanuit Den Haag naar de rest van het land beweegt, eerder dan de meeste bedrijven hem verwachten.