Digitale Soevereiniteit – Cruciale afhankelijkheden beheren in een onzekere wereld

Digitale soevereiniteit is niet langer een nicheonderwerp binnen compliance. Voor banken is het uitgegroeid tot een strategische competentie: het vermogen om kritieke afhankelijkheden op het gebied van data, technologie, processen en AI te begrijpen, te beheersen en, waar nodig, omkeerbaar te maken. Een goede aanpak helpt instellingen hun veerkracht, strategische keuzevrijheid en concurrentiepositie te behouden in een steeds onvoorspelbaarder geopolitiek landschap.

Europese banken zijn afhankelijk van technologieleveranciers voor schaalvoordelen, gebruiksgemak en snelheid van innovatie. Cloud-, software- en AI-platformen zijn inmiddels diep verankerd in de kernprocessen van banken. Tegelijkertijd kunnen juist deze afhankelijkheden die innovatie mogelijk maken ook leiden tot concentratierisico’s, single points of failure en blootstelling aan geopolitieke of juridische ontwikkelingen buiten Europa. In die context draait digitale soevereiniteit om het beheersen van kritieke afhankelijkheden op een gedisciplineerde en risicogebaseerde manier.

Digitale soevereiniteit is geen zelfstandige wettelijke verplichting. ECB-gereguleerde banken moeten echter voldoen aan de herziene richtlijnen voor cloud-outsourcing en actief onderhouden van exitplannen voor kritieke externe ICT-dienstverleners onder DORA. Daarnaast moeten zij rekening houden met bredere Europese initiatieven, zoals de Digital Markets Act, de herziene Duitse mededingingswetgeving, het EU Tech Sovereignty Package, de voorgestelde Cloud and AI Development Act, Chips Act 2.0, de EU Open-Source Strategy en opkomende AI-beleidsmaatregelen. Gezamenlijk wijzen deze ontwikkelingen in dezelfde richting: toezichthouders en beleidsmakers verwachten dat instellingen begrijpen waar hun afhankelijkheden liggen, hoe deze worden beheerst en hoe operationele continuïteit gewaarborgd kan worden onder stressvolle omstandigheden.

Hierdoor ontwikkelt digitale soevereiniteit zich steeds meer tot een bestuursniveau-risicothema. Het raakt operationele weerbaarheid, outsourcing governance, technologiestrategie, gegevensbescherming, AI-adoptie en geopolitiek risicomanagement. De vraag is niet langer óf banken gebruik moeten maken van mondiale technologieplatformen. De vraag is of zij dat kunnen doen zonder transparantie, beslissingsbevoegdheid, overdraagbaarheid en geloofwaardige exitopties voor hun meest kritieke diensten te verliezen.

Digitale soevereiniteit draait niet om het volledig intern beheren van technologie. Het gaat om het behouden van voldoende, risicogebaseerde controle over kritieke data, workloads, beslissingsrechten en exitmogelijkheden. Belangrijke kenmerken van een effectief soevereiniteitsraamwerk zijn:

• Een duidelijke strategie met kaders voor veerkracht en continuïteit
• Cross-functionele samenwerking over alle verdedigingslinies heen
• Besluitvorming en plaatsingsbeslissingen die aansluiten bij governance- en risicovereisten
• Technische en organisatorische uitvoering, waaronder:
  • Robuust en flexibel Identity & Access Management (IAM)
  • Open standaarden, portabiliteit, modulariteit en exitstrategieën.
  • Voor banken, het behandelen van digitale soevereiniteit als een concentratierisico op bestuursniveau
• Economische houdbaarheid, waarbij veerkracht wordt afgewogen tegen concurrentievermogen
• Eigenaarschap vanuit het bestuur, duidelijke rollen en verantwoordelijkheden, leiderschap en cultuur.

Idealiter zouden banken voor elke kritieke bedrijfsfunctie kunnen kiezen uit een breed scala aan concurrerende en juridisch onafhankelijke leveranciers. In de praktijk is het vermijden van hyperscalers niet alleen onmogelijk, maar ook onwenselijk, omdat dit de toegang tot AI en andere innovatieve diensten zou beperken. De opkomst van AI vergroot bovendien het belang van digitale soevereiniteit. Banken moeten niet alleen weten waar data en workloads worden gehost, maar ook welke AI-modellen, rekenomgevingen, datapijplijnen en externe platformen invloed hebben op cruciale besluitvorming en operationele processen. Een pragmatische aanpak is het definiëren van een plaatsingsproces dat bepaalt waar applicaties en workloads worden ondergebracht op basis van hun vereisten, kritikaliteit en risicoprofiel. Operaties binnen de EU kunnen geschikt zijn voor kritieke diensten, maar bieden op zichzelf geen garantie voor digitale soevereiniteit. Banken moeten ook controle- en beslissingsrechten, operationele afhankelijkheden, supportmodellen, toegangspaden, encryptieconcepten, portabiliteit en contractuele exitmogelijkheden beoordelen.

Het doel is niet om externe afhankelijkheden te vermijden of alles onder te brengen bij Europese aanbieders, maar om ervoor te zorgen dat afhankelijkheden worden begrepen, beheerst en omkeerbaar zijn. In de praktijk vereist dit een duidelijke logica voor plaatsing en classificatie. Banken moeten applicaties, data en processen classificeren op basis van kritikaliteit, regelgevingsgevoeligheid, vertrouwelijkheid van gegevens, vervangbaarheid, afhankelijkheidsrisico en de haalbaarheid van een exit. Deze classificatie moet bepalen waar workloads worden ondergebracht, welke beheersmaatregelen nodig zijn en hoe exitmogelijkheden worden geborgd binnen de drie belangrijkste lagen van digitale soevereiniteit.

Het identificeren van technologische afhankelijkheden is de eerste stap in elke pragmatische aanpak om digitale soevereiniteit te versterken. De meeste banken zullen een grondige analyse moeten uitvoeren van hun data- en technologie-assets, processen en deliverables. Dit omvat onder meer: het classificeren en valideren van bedrijfskritische onderdelen; het analyseren van het nieuwe geopolitieke risicolandschap en het herclassificeren van assets; het nemen van onderbouwde beslissingen over plaatsing en/of aanvullende beveiligingsmaatregelen; het aanpassen van het huidige landschap; en het introduceren van nieuwe oplossingen. Daarnaast kan open source selectief worden ingezet om vendor lock-in te verminderen, waarbij moet worden erkend dat open source op zichzelf geen digitale soevereiniteit garandeert. Open source versterkt soevereiniteit alleen als banken de capaciteit hebben om het veilig en duurzaam te beheren. Dit vereist duidelijk eigenaarschap, gestructureerd patchmanagement, proactief kwetsbaarhedenbeheer en voldoende operationele expertise om open-sourcecomponenten gedurende hun volledige levenscyclus te onderhouden, bij te werken en te beveiligen.

Voor banken die een pragmatische aanpak willen hanteren om digitale soevereiniteit te versterken, kunnen de volgende zeven actiepunten prioriteit krijgen:

Digitale soevereiniteit is uitgegroeid tot een strategische noodzaak voor financiële instellingen, waarbij de belangrijkste drijfveer niet langer regelgeving is, maar de geopolitieke realiteit. In deze nieuwe omgeving draait digitale soevereiniteit om het behouden van handelingsvermogen: het operationeel houden van kritieke diensten, het sturen van plaatsingsbeslissingen en het behouden van controle over data en besluitvorming, ongeacht externe politieke ontwikkelingen. Banken die deze capaciteit verankeren in hun strategie zijn niet alleen beter in staat om aan de verwachtingen van toezichthouders te voldoen, maar ook om hun concurrentievermogen op lange termijn te behouden in een steeds onzekerdere wereld.