De Open Internet Stack is een initiatief van de Europese Commissie om een samenhangende catalogus van gecertificeerde open-source softwarecomponenten beschikbaar te stellen als gemeenschappelijk inkoopinstrument voor Europese overheden en gereguleerde organisaties. Het concept sluit direct aan op de bredere EU Open Source Strategy 2026, die technologische soevereiniteit positioneert als een strategisch beleidsdoel naast digitale autonomie en concurrentievermogen. Voor compliance officers en IT-beslissers in de publieke sector, de juridische wereld en gereguleerde industrieën biedt dit kader een concrete beleidsmatige basis om de afhankelijkheid van Amerikaanse cloudaanbieders structureel te verminderen.
Wat is de Open Internet Stack en hoe werkt de geplande ‘one-stop shop’?
De Open Internet Stack is bedoeld als een beheerde catalogus waarin open-source bouwblokken worden gevalideerd op interoperabiliteit, veiligheid en Europese juridische conformiteit. Organisaties kunnen hieruit componenten selecteren voor samenwerking, identiteitsbeheer, opslag, communicatie en applicatieontwikkeling, zonder telkens opnieuw het wiel uit te vinden bij de beoordeling van alternatieven.
De governance van dit initiatief is belegd bij de Digital Commons EDIC (European Digital Infrastructure Consortium), een samenwerkingsverband van lidstaten dat eind 2023 zijn oprichtingsfase afrondde. De EDIC heeft als taak om gemeenschappelijke digitale publieke goederen te identificeren, te financieren en duurzaam te houden. In de praktijk betekent dit dat de Open Internet Stack niet simpelweg een lijst wordt van beschikbare software, maar een kwaliteitsregister met voorwaarden rondom onderhoudsverplichtingen, beveiligingsaudits en licentiecompatibiliteit.
Voor IT-inkoopafdelen is het mechanisme van belang: zodra de catalogus operationeel is, kunnen aanbestedende diensten ernaar verwijzen als bronstandaard, vergelijkbaar met hoe nu naar CPV-codes of de NORA-referentiearchitectuur in Nederland wordt verwezen. Dat maakt de selectie van soevereine software argumenteerbaar richting bestuurders en Rijksinspectiediensten zonder dat elke organisatie afzonderlijk een uitputtend marktonderzoek hoeft te voeren.
Welke softwarecategorieën zijn gedekt en waar zijn de gaten?
Het Europese open-source landschap is voor een aantal kernfuncties al volwassen genoeg voor productiegebruik bij overheids- en gereguleerde organisaties, maar er blijven sectorspecifieke lacunes bestaan.
| Softwarecategorie | Rijpe Europese open-source optie | Volwassenheid | Resterende uitdagingen |
|---|---|---|---|
| Bestandsopslag en samenwerking | Nextcloud | Hoog | Enterprise-integraties vereisen maatwerk |
| Serverbesturingssysteem | SUSE Linux Enterprise, Debian | Hoog | Gecertificeerde ondersteuning is kostbaar |
| E-mail en agenda | Zimbra, Kopano, Roundcube | Gemiddeld | Mobiele integratie minder gepolijst dan M365 |
| Identiteits- en toegangsbeheer | Keycloak, FreeIPA | Hoog | Complexe migratie van Active Directory |
| CRM | SuiteCRM, EspoCRM | Gemiddeld | Salesforce-pariteit ontbreekt op AI-functies |
| ERP (enterprise) | Odoo (Belgisch), ERPNext | Laag tot gemiddeld | SAP-vervanging op schaal is nog niet bewezen |
| Sectorale toepassingen (EPD, juridisch) | Beperkt beschikbaar | Laag | Certificering en sectorale regelgeving ontbreken |
| Lokale AI-inferentie | Ollama, Open WebUI, LocalAI | Laag tot gemiddeld | Europese taalmodellen in vroeg stadium |
De conclusie is dat de basislaag, bestaande uit infrastructuur, opslag, samenwerking en identiteitsbeheer, vandaag al soeverein gebouwd kan worden. De hogere lagen, namelijk sectorale applicaties en productieve lokale AI, zijn nog niet gereed voor brede uitrol zonder significante investeringen in maatwerk en validatie.
De EU Open Source Strategy 2026 als inkoopruggengraat
De EU Open Source Strategy 2026, de opvolger van de strategie uit de periode 2020-2023, verankert het principe van “open source by default” voor door de EU gefinancierde software. Dit heeft directe consequenties voor IT-inkoopafdelen: aanbestedingen die deels Europees worden gefinancierd, zijn onderworpen aan een motiveringsplicht wanneer gekozen wordt voor gesloten software in plaats van een beschikbaar open-source alternatief.
Thierry Breton, voormalig EU-commissaris voor de interne markt, verwoordde de beleidsrationaliteit kernachtig: “Open source is geen ideologie maar een strategisch instrument: het stelt Europa in staat om technologische soevereiniteit te herwinnen zonder het wiel opnieuw uit te vinden.”
Voor compliance officers is de strategietekst bruikbaar als referentie in interne beleidsdocumenten, naast de relevante wetgeving zoals de AVG (Verordening (EU) 2016/679) en de NIS-2-richtlijn (Richtlijn (EU) 2022/2555). Die combinatie, Europees beleid plus bindende regelgeving, maakt het argument voor soevereine software aanzienlijk sterker dan een beroep op open source puur vanuit principes.
De Europese Commissie onderbouwde de economische businesscase in 2021 met een onafhankelijke studie: open-source software draagt jaarlijks tussen 65 en 95 miljard euro bij aan de Europese economie, en elke euro die overheden investeren in open-source levert gemiddeld vier euro aan economische voordelen op (Europese Commissie, studie open-source impact EU-economie, 2021).
Governance en continuïteitsrisico’s van open-sourceprojecten
Een veelgehoord bezwaar van bestuurders is de vraag wie verantwoordelijk is als een open-sourceproject stopt met onderhoud. Dit risico is reëel, maar beheersbaar als organisaties een gestructureerd beoordelingskader hanteren.
Het Sovereign Tech Fund, gefinancierd door het Duitse Bundesministerium für Wirtschaft und Klimaschutz, adresseert precies dit probleem door structureel te investeren in het onderhoud van kritieke open-source basiscomponenten. Medeoprichter Fiona Krakenbürger beschreef het onderliggende probleem: “Kritieke digitale infrastructuur wordt behandeld als een park: iedereen gebruikt het, maar niemand onderhoudt het. Dat model is onhoudbaar voor software waarop ziekenhuizen en overheden draaien.”
Voor organisaties die een open-sourcecomponent willen beoordelen op continuïteitsrisico, zijn de volgende criteria relevant:
- Actieve commit-frequentie en het aantal actieve kernbijdragers in de afgelopen twaalf maanden.
- Aanwezigheid van een onafhankelijke stichting of EDIC-erkenning als projectbeheerder.
- Beschikbaarheid van commerciële ondersteuningscontracten van meerdere onafhankelijke partijen, zodat geen enkele leverancier een monopolie op kritieke kennis heeft.
- Vermelding in het financieringsprogramma van het Sovereign Tech Fund of vergelijkbare nationale fondsen.
Nextcloud rapporteerde in 2023 meer dan 400.000 actieve servers wereldwijd, inclusief installaties bij meerdere Europese overheidsinstanties (Nextcloud GmbH, jaarupdate 2023). Dat adoptievolume verlaagt het risico op stillegging aanzienlijk, omdat een groot ecosysteem van commerciële partners belang heeft bij continuïteit. SUSE Linux biedt als Europees gecontroleerde onderneming vergelijkbare zekerheid voor de serverlaag, met gecertificeerde ondersteuning die voldoet aan de eisen van sectoren zoals defensie en gezondheidszorg.
Nationale strategieën en wat er nog ontbreekt
De EU Open Source Strategy 2026 staat niet in een vacuüm. Duitsland financiert via het Sovereign Tech Fund en het programma Sovereign Cloud Stack actief open-source infrastructuur voor overheden. Frankrijk voert via het beleid “logiciels libres” een uitdrukkelijk voorkeur voor open source in de publieke sector, ondersteund door de interministeriële richtlijnen van de DINSIC (nu DINUM). Nederland heeft via het Forum Standaardisatie en de NORA-principes een adviesstructuur die open standaarden bevordert, maar een even expliciete financieringsstructuur als het Sovereign Tech Fund ontbreekt tot nu toe.
Wat verder ontbreekt, is een bindend Europees kwaliteitskeurmerk voor soevereine software, vergelijkbaar met de Common Criteria-certificering voor beveiligingsproducten. Zonder zo’n keurmerk blijven inkoopafdelingen aangewezen op eigen due diligence of op het vertrouwen in nationale certificeringen die niet grensoverschrijdend geldig zijn.
De doelstelling van 30 miljoen gebruikers in 2030
De EU Open Source Strategy 2026 bevat de ambitie om in 2030 dertig miljoen actieve gebruikers van open-source samenwerkings- en productiviteitstools te bereiken binnen Europese overheids- en publieke instellingen. Voor individuele organisaties vertaalt deze doelstelling zich in een politieke rugwind: de Commissie wil aantoonbare adoptiecijfers, wat betekent dat subsidie- en cofinancieringsmechanismen in de komende jaren waarschijnlijk gericht worden op organisaties die daadwerkelijk migreren.
Organisaties in de overheids-, juridische en gereguleerde sector die nu al beginnen met een migratie van Microsoft 365 naar een soeverein alternatief op basis van Nextcloud, positioneren zich gunstig voor toekomstige Europese financieringsronden en lopen bovendien voor op de aanscherping van GDPR-handhaving rondom transatlantische data-overdrachten. De US CLOUD Act en de Patriot Act geven Amerikaanse autoriteiten toegang tot data die door Amerikaanse ondernemingen wordt beheerd, ongeacht de fysieke locatie van de servers. Dat jurisdictioneel risico verdwijnt pas volledig wanneer zowel de softwareleverancier als de hostingpartij buiten het bereik van Amerikaanse wetgeving vallen.
FAQ: Open Internet Stack en soevereine open-source software
Is de Open Internet Stack al beschikbaar als inkoopinstrument?
Nee. De Open Internet Stack bevindt zich in 2024-2025 nog in de ontwerp- en consultatiefase. De Europese Commissie werkt samen met de Digital Commons EDIC aan de governance en catalogusstructuur. Organisaties kunnen de voortgang volgen via het portaal van de Commissie, maar een operationele catalogus is nog niet beschikbaar.
Voldoet Nextcloud automatisch aan NIS-2 als ik het zelf host?
Zelf hosten elimineert de jurisdictionele risico’s van Amerikaanse cloudwetgeving, maar NIS-2-compliance (Richtlijn (EU) 2022/2555) vereist meer: risicobeheerprocedures, incidentmelding binnen 24 uur, encryptie, toegangscontrole en leveranciersmanagement. Nextcloud levert de technische bouwblokken; de organisatorische maatregelen vallen volledig onder de verantwoordelijkheid van de organisatie zelf.
Wat doet het Sovereign Tech Fund concreet voor open-source projecten?
Het Sovereign Tech Fund financiert het onderhoud en de beveiliging van kritieke open-source basiscomponenten. Het richt zich niet op nieuwe producten maar op het structureel gezond houden van veelgebruikte bibliotheken en tools waarop zowel commerciële als publieke software steunt. De financiering is afkomstig van het Duitse Bundesministerium für Wirtschaft und Klimaschutz.
Welke open-source alternatieven ontbreken nog voor bedrijfskritische toepassingen?
Gaten bestaan nog in geavanceerde ERP-integraties op enterprise-niveau, sectorale toepassingen zoals elektronische patiëntdossiers en juridische dossierbeheersystemen, en lokale AI-modellen met brede Europese taalfunctionaliteit. Voor deze categorieën is de beschikbare open-source software nog niet klaar voor brede uitrol zonder aanzienlijk maatwerk.
Hoe onderbouw ik als compliance officer de keuze voor open-source software tegenover een raad van bestuur?
Verwijs concreet naar de jurisdictionele risico’s van de US CLOUD Act en de Patriot Act, de GDPR-verplichting om doorgifte naar derde landen te beperken, de NIS-2-eisen voor essentiële en belangrijke entiteiten, en de EU Open Source Strategy als beleidsmatige rugdekking. Onderbouw de businesscase met de Commissiestudie die een rendement van 1:4 op open-source investeringen aantoont (Europese Commissie, 2021).
