De EU open-source strategie voor digitale soevereiniteit is het beleidsraamwerk waarmee de Europese Commissie overheden en publieke instellingen verplicht hun afhankelijkheid van niet-Europese propriëtaire software te verminderen, door open-source software als standaardkeuze te hanteren bij nieuwe IT-inkoop en -aanbesteding. Voor compliance officers en IT-beslissers in de overheid, de rechtspraktijk en gereguleerde sectoren vertaalt dit zich in concrete inkoopregels, nieuwe beveiligingseisen en strategische keuzes over datalocatie.
De EU Open Source Strategy 2026 en het Tech Sovereignty Package
De EU Open Source Strategy 2026 is de directe opvolger van de strategie uit 2020-2023 en maakt integraal deel uit van het bredere Tech Sovereignty Package dat de Europese Commissie heeft gepresenteerd als antwoord op de geopolitieke afhankelijkheden die de COVID-19-periode en de Russische invasie van Oekraïne blootlegden. De kern van de strategie is het “open source by default”-beginsel: EU-instellingen en lidstaten worden geacht bij nieuwe softwareprojecten eerst te beoordelen of een open-source oplossing beschikbaar is, en de keuze voor propriëtaire software te motiveren.
Concrete verplichtingen die uit de strategie voortvloeien voor overheidsorganisaties zijn: het publiceren van intern ontwikkelde overheidssoftware onder een open-source licentie (tenzij expliciete uitzonderingsgronden van toepassing zijn), actieve bijdrage aan Europese open-source gemeenschappen, en het opnemen van open-source criteria in aanbestedingsdocumenten. De Europese Commissie verwijst hierbij expliciet naar het beginsel “public money, public code”, zoals gepromoot door de Free Software Foundation Europe (FSFE).
“Open source is not just about cost savings. It is about strategic autonomy: the ability to inspect, modify and control the software that runs critical public services.” (Margrethe Vestager, voormalig Uitvoerend Vice-President Europese Commissie)
Technologische onafhankelijkheid tegenover propriëtaire leveranciers
Open-source software doorbreekt de vendor lock-in die ontstaat wanneer organisaties afhankelijk zijn van één leverancier voor licenties, updates, integraties en dataformaten. Bij propriëtaire platformen zoals Microsoft 365 of Google Workspace bepaalt de leverancier de roadmap, de prijsstelling en, juridisch gezien, ook de datalocatie bij clouddiensten die vallen onder de Amerikaanse CLOUD Act (18 U.S.C. § 2713).
Uit een studie van de Europese Commissie uit 2021 bleek dat de Europese publieke sector jaarlijks circa 3,5 miljard euro uitgeeft aan propriëtaire softwarelicenties die in principe vervangen kunnen worden door open-source alternatieven. Dezelfde studie toonde aan dat een toename van 10 procent in open-source bijdragen vanuit de EU tot 0,4 à 0,6 procent extra bbp-groei zou kunnen leiden (Europese Commissie, 2021, ec.europa.eu).
Open-source software geeft organisaties de mogelijkheid broncode te auditen op backdoors, ongedocumenteerde dataverzameling of zwakke cryptografische implementaties. Dit is niet theoretisch: in 2020 toonde het SolarWinds-incident aan hoe propriëtaire software met gesloten broncode maandenlang gecompromitteerd kan zijn zonder detectie.
“Governments that rely exclusively on proprietary cloud providers from outside the EU are outsourcing not just their IT, but their policy independence.” (Thierry Breton, voormalig Eurocommissaris voor de Interne Markt)
Europese open-source initiatieven voor soevereine IT-inkoop
Naast de strategiedocumenten investeert de EU actief in concrete infrastructuurprojecten die als alternatief dienen voor Big Tech-afhankelijkheden.
EuroHPC Joint Undertaking
Het EuroHPC Joint Undertaking (eurohpc-ju.europa.eu) bouwt aan een pan-Europees netwerk van supercomputers en kwantumcomputers, met open-source softwarestacks als standaard. Voor overheidsorganisaties is dit relevant omdat EuroHPC ook de basis legt voor kwantumveilige cryptografische diensten en AI-trainingsinfrastructuur die buiten de jurisdictie van de VS valt.
EURO-3C: gefedereerde edge-cloud
Het EURO-3C-project (Federated Telco-Edge-Cloud) ontvangt 75 miljoen euro EU-cofinanciering via het Smart Networks and Services Joint Undertaking (SNS JU) voor de opbouw van een open, gefedereerde cloudinfrastructuur op Europese telecomnetwerken. Dit project is direct relevant voor organisaties die soevereine cloudinfrastructuur zoeken zonder afhankelijkheid van hyperscalers als AWS, Azure of Google Cloud (Europese Commissie, SNS JU, 2023).
Open Source Observatory (OSOR)
Het Open Source Observatory, beheerd via het Joinup-platform van de Europese Commissie (joinup.ec.europa.eu), is het centrale kennisplatform voor open-source beleid in de Europese publieke sector. OSOR catalogiseert herbruikbare overheidssoftware, biedt juridisch advies over licentiekeuze en publiceert landenrapporten over de implementatie van open-source beleid. Voor inkoopafdelingen en compliance officers is OSOR de eerste toetssteen bij het verantwoorden van open-source keuzes tegenover toezichthouders.
Security en onderhoudbaarheid van open-source componenten
Een veelgehoord bezwaar tegen open-source is dat de vrij beschikbare broncode ook aanvallers helpt kwetsbaarheden te vinden. De praktijk wijst anders uit: de Log4Shell-kwetsbaarheid (CVE-2021-44228) werd juist snel gepatcht dankzij de transparantie van open-source ontwikkeling, terwijl propriëtaire equivalenten weken tot maanden nodig hadden voor vergelijkbare patches.
Voor organisaties die vallen onder NIS-2 (Richtlijn (EU) 2022/2555) en de Cyber Resilience Act, is een Software Bill of Materials (SBOM) een cruciaal instrument. Een SBOM is een machineleesbaar inventaris van alle software-afhankelijkheden, inclusief open-source bibliotheken en hun versienummers. Met een SBOM kan een beveiligingsteam binnen minuten bepalen of een nieuw gepubliceerde kwetsbaarheid een productiesysteem raakt, en dit aantoonbaar documenteren voor toezichthouders.
Vergelijking: propriëtair versus open-source cloudinfrastructuur
| Criterium | Propriëtaire cloud (Microsoft 365, Google Workspace) | Open-source soevereine stack (Nextcloud, EuroHPC) |
|---|---|---|
| Juridische datalocatie | Potentieel blootgesteld aan CLOUD Act en Patriot Act | Volledig onder Europese jurisdictie bij EU-hosting |
| Broncode-audit | Niet mogelijk voor klant | Volledig auditeerbaar, inclusief door toezichthouders |
| Vendor lock-in | Hoog (propriëtaire formats, API’s) | Laag (open standaarden zoals WebDAV, CalDAV, IMAP) |
| GDPR-verwerkersverantwoordelijkheid | Gedeeld met leverancier, beperkte controle | Volledig bij organisatie bij zelfhosting |
| NIS-2 auditerbaarheid | Afhankelijk van leveranciersrapportages | Directe toegang tot logs en configuraties |
Praktische migratie van propriëtaire naar open-source infrastructuur
Een gefaseerde aanpak verlaagt de continuïteitsrisico’s aanzienlijk. De meeste organisaties die succesvol migreren van Microsoft 365 naar een soevereine werkplek doorlopen vier fasen.
In de eerste fase wordt een inventarisatie gemaakt van alle actieve diensten, integraties en datastromen. Hierbij worden ook de verwerkersovereenkomsten met de huidige leverancier geanalyseerd op opzegtermijnen en dataportabiliteitsrechten (Artikel 20 GDPR geeft betrokkenen recht op dataportabiliteit, maar verwerkersovereenkomsten met zakelijke klanten kennen eigen afspraken).
In de tweede fase wordt een parallelomgeving opgebouwd op basis van Nextcloud als samenwerkingsplatform, aangevuld met open-source alternatieven voor e-mail (Dovecot/Postfix), videoconferencing (Jitsi of BigBlueButton) en documentbewerking (Collabora Online). Nextcloud implementeert open standaarden zoals WebDAV, CalDAV en CardDAV, waardoor synchronisatie met bestaande clients zonder hertraining verloopt.
In de derde fase wordt data gemigreerd met behulp van geautomatiseerde migratietools, terwijl de oude omgeving nog actief blijft als fallback. Kritieke bedrijfsprocessen worden eerst geverifieerd in de nieuwe omgeving voordat legacy-toegang wordt beëindigd.
In de vierde fase worden de SBOM, het toegangsbeheer (conform ISO 27001 of BIO-baseline voor Nederlandse overheden) en de incidentresponsprocedures gedocumenteerd voor NIS-2-compliance. Organisaties onder NIS-2 zijn verplicht significante incidenten binnen 24 uur te melden bij de nationale CSIRT en binnen 72 uur een volledig rapport te leveren.
Open-source AI en Europese AI-soevereiniteit
De opkomst van open-weight AI-modellen, waarbij de modelgewichten publiek beschikbaar zijn, biedt Europese organisaties een reëel alternatief voor cloudgebonden AI-diensten van Amerikaanse aanbieders. Modellen zoals Mistral (Frans) en de open LLaMA-derivaten kunnen lokaal worden gehost, waardoor inferentiedata nooit de organisatie verlaat en niet valt onder de CLOUD Act.
De Europese AI Act (Verordening (EU) 2024/1689) kent specifieke bepalingen voor general-purpose AI-modellen met open gewichten. Artikel 53 legt transparantievereisten op, maar biedt tegelijkertijd vrijgestelde evaluatiedrempels voor open-weight modellen, mits de aanbieder technische documentatie publiceert. Voor organisaties die deze modellen inzetten is het van belang te verifiëren dat het model getraind is op gedocumenteerde, GDPR-conforme datasets, en dat de inferentie-infrastructuur onder Europese jurisdictie valt.
Het EuroHPC Joint Undertaking investeert ook in de trainingsinfrastructuur voor Europese open-source AI-modellen, zodat toekomstige modellen niet afhankelijk zijn van Amerikaanse hyperscaler-infrastructuur voor hun training. Dit sluit aan op de doelstellingen van het Tech Sovereignty Package om Europese digitale autonomie te verankeren in de hele AI-waardeketen, van data tot modelinferentie.
Veelgestelde vragen
Geldt de EU Open Source Strategy 2026 alleen voor overheidsorganisaties of ook voor private bedrijven?
De directe verplichtingen richten zich primair op EU-instellingen en overheidsorganisaties die onder het Tech Sovereignty Package vallen. Private bedrijven in gereguleerde sectoren worden indirect geraakt via NIS-2 (Richtlijn 2022/2555) en de GDPR, die aantoonbare controle over softwarecomponenten en dataverwerking vereisen.
Wat is het verschil tussen het Open Source Observatory (OSOR) en een gewone open-source repository?
OSOR, beheerd via het Joinup-platform van de Europese Commissie, is specifiek gericht op kennisdeling, hergebruik van overheidssoftware en beleidsondersteuning voor publieke organisaties. Het is geen coderepository maar een ecosysteem voor beleidsmakers en IT-afdelingen die soevereine keuzes willen documenteren en toetsen.
Hoe werkt een Software Bill of Materials (SBOM) in de praktijk voor een overheidsorganisatie?
Een SBOM is een machineleesbaar inventaris van alle software-afhankelijkheden in een systeem, inclusief open-source bibliotheken en hun versienummers. Overheidsorganisaties kunnen dit gebruiken om snel te beoordelen of een nieuw ontdekte kwetsbaarheid hen raakt, en om leveranciers aantoonbaar te toetsen op de Cyber Resilience Act-vereisten.
Is Nextcloud een volledig GDPR-compliant alternatief voor Microsoft 365?
Nextcloud is software die je zelf beheert of laat hosten binnen de EU, waardoor de gegevensverwerkingsverantwoordelijkheid volledig bij de organisatie zelf blijft. De GDPR-compliance hangt daarmee af van de hostingkeuze, de configuratie en de verwerkersovereenkomsten, niet van de software op zichzelf. Zelfhosting of hosting bij een gecertificeerde Europese aanbieder biedt de sterkste juridische positie.
Wat maakt open-weight AI-modellen soeverein ten opzichte van closed-source modellen?
Bij open-weight modellen zijn de modelgewichten publiek beschikbaar, zodat een organisatie het model lokaal kan draaien zonder API-afhankelijkheid van een externe aanbieder. Daarmee vallen inferentiedata niet onder de CLOUD Act of Patriot Act en traint de aanbieder niet op organisatiedata. De Europese AI Act classificeert open-weight modellen met vrijgestelde risico-evaluatiedrempels, mits ze voldoen aan de transparantievereisten van Artikel 53.
