De EU Open Source Strategy 2026 is het Europese beleidskader dat publieke organisaties verplicht om open-sourceoplossingen structureel te wegen bij digitale inkoop, met als overkoepelend doel: technologische soevereiniteit en verminderde afhankelijkheid van niet-Europese technologieleveranciers. Voor compliance officers en IT-besluitvormers in de overheid, de juridische sector en gereguleerde industrieën bepaalt deze strategie in toenemende mate welke keuzes verdedigbaar zijn bij aanbestedingen en audits.
Kernprincipes en verplichtingen van de EU Open Source Strategy 2026
De strategie bouwt voort op haar voorganger uit 2020-2023 en introduceert concretere operationele verplichtingen voor Europese publieke instellingen, met nadruk op het principe “Think Open” als standaard afweging bij elke ICT-aanschaf.
Het centrale principe luidt dat software die met publiek geld wordt gefinancierd, in beginsel publiek beschikbaar moet zijn als open-source code. Dit sluit aan op de brede campagne van de Free Software Foundation Europe: “Public Money, Public Code.” Matthias Kirschner, voorzitter van de FSFE, formuleerde het zo: “Public money, public code. If it is public money, it should be public code as well.”
De strategie definieert vier pijlers:
- Think Open: open-sourceoplossingen worden standaard overwogen bij aanbesteding, met een motiveringsplicht bij afwijking.
- Transform: overheden worden gestimuleerd om interne software te open-sourcen en bij te dragen aan bestaande projecten.
- Share: code die door overheden wordt ontwikkeld, wordt bij voorkeur gedeeld via platformen zoals de EU-coderepository code.europa.eu.
- Contribute: publieke organisaties leveren actief bijdragen aan open-source ecosystemen die voor hen strategisch relevant zijn.
De Europese Commissie, DG DIGIT, omschreef de inzet als volgt: “Open source is not just about cost savings; it is about strategic autonomy and the ability of public administrations to control their own digital infrastructure.”
Onderzoek in opdracht van de Europese Commissie (Fraunhofer ISI, 2021) schat de jaarlijkse bijdrage van open-source software aan de EU-economie op 65 tot 95 miljard euro. Tegelijkertijd geeft 78 procent van de ondervraagde EU-lidstaten in een Commissie-studie uit 2021 aan open source een hogere prioriteit te geven bij overheidsinkoop (Bron: European Commission, Open Source Study 2021, https://digital-strategy.ec.europa.eu).
Open-sourcevereisten verankeren in aanbestedingsprocedures
Operationele verankering vereist meer dan beleidsintentie: aanbestedingsdocumenten, gunningscriteria en contractvoorwaarden moeten expliciet worden aangepast.
Concreet betekent dit dat aanbestedende diensten in de marktconsultatiefase actief open-sourceoplossingen identificeren en documenteren. Gunningscriteria kunnen worden aangevuld met weging voor: beschikbaarheid van broncode, auditerbaarheid, licentiemodel (voorkeur voor OSI-goedgekeurde licenties zoals AGPLv3 of EUPL), en de mate van leveranciersonafhankelijkheid.
De European Union Public Licence (EUPL) speelt hierin een bijzondere rol: zij is speciaal ontwikkeld voor interoperabiliteit tussen Europese overheden en compatibel met gangbare open-source licenties. Bij softwareontwikkeling in opdracht van een overheid is opname van een EUPL-verplichting in de contractvoorwaarden een directe uitvoering van de strategie.
Aanbestedingsprocedures in sectoren vallend onder de Richtlijn 2014/24/EU (klassieke overheid) en Richtlijn 2014/25/EU (nutssectoren) bieden ruimte om open-sourcecriteria als technische specificatie op te nemen, mits niet-discriminerend toegepast. Het criterium mag niet worden geformuleerd als “open-source software van leverancier X”, maar wel als “software waarvan de volledige broncode beschikbaar is onder een OSI-goedgekeurde licentie”.
De rol van Open Source Programme Offices (OSPO’s)
Een Open Source Programme Office is de organisatorische eenheid die het open-sourcebeleid van een instelling coördineert, van licentietoetsing tot bijdragenbeleid en kwetsbaarhedenbeheer.
Binnen overheidsorganisaties vervult een OSPO drie kerntaken. Ten eerste bewaakt het de naleving van de “Think Open”-verplichting door als intern toetsingsorgaan te fungeren bij aanbestedingen. Ten tweede beheert het de bijdragen die de organisatie levert aan externe open-source projecten, inclusief de risico’s die daarmee samenhangen. Ten derde fungeert het als kennisknooppunt voor open-source licentierisico’s, met name in het licht van de Cyber Resilience Act.
Het aantal publieke OSPO’s in Europa verdubbelde tussen 2020 en 2023 tot meer dan 30 erkende instanties (Bron: TODO Group / Linux Foundation, OSPO Survey 2023, https://todogroup.org). Exemplarische gevallen zijn het OSPO van de stad Parijs en het Interoperability Office van de Europese Commissie zelf.
De Open Internet Stack, een initiatief van de Europese Commissie, biedt een referentiemodel voor Europese digitale infrastructuur op basis van open standaarden en open-source componenten. OSPO’s kunnen de Open Internet Stack gebruiken als toetsingskader bij de evaluatie van nieuwe softwarecomponenten.
Nextcloud, LibreOffice en andere soevereine werkplekoplossingen
De EU Open Source Strategy 2026 maakt de keuze voor soevereine open-source werkplekoplossingen beleidsmatig verdedigbaar en in sommige gevallen de enige compliant optie.
| Oplossing | Licentie | Hostingmodel | Relevantie EU-strategie |
|---|---|---|---|
| Nextcloud | AGPLv3 | On-premise of Europese cloud | Volledig auditeerbaar, geen data-export naar VS |
| LibreOffice | MPL 2.0 / LGPLv3 | Lokale installatie | Vervangt Microsoft 365 zonder clouddienstvereiste |
| OnlyOffice | AGPLv3 | On-premise of eigen server | Integreerbaar met Nextcloud, Europees ontwikkeld |
| Jitsi Meet | Apache 2.0 | Self-hosted | Vervangt Microsoft Teams voor videovergadering |
Nextcloud is in dit spectrum bijzonder relevant voor organisaties die Microsoft 365 willen vervangen. Het platform biedt bestandssynchronisatie, kalender, e-mail, taken en videoconferencing in één geïntegreerde omgeving, volledig on-premise te draaien op eigen of Europese servers. Omdat de broncode volledig openbaar is (AGPLv3), voldoet Nextcloud aan de auditbaarheidsvereisten van de EU Open Source Strategy en de technische transparantievereisten die voortvloeien uit artikel 25 en 32 van de AVG/GDPR.
Onderhoud, kwetsbaarheden en supply chain-risico’s bij open source
Open-source componenten in soevereine infrastructuur brengen specifieke risico’s mee die afwijken van die bij propriëtaire software, met name op het gebied van onderhoudsverantwoordelijkheid en supply chain-integriteit.
Het Log4Shell-incident uit 2021 (CVE-2021-44228) illustreerde dat kritieke open-source bibliotheken soms worden onderhouden door een handvol vrijwilligers zonder formele financiering, terwijl zij door duizenden overheidsinfrastructuren worden gebruikt. De afhankelijkheid van dergelijke componenten zonder intern zicht op de updatecyclus vormt een reëel risico onder NIS-2 (Richtlijn EU 2022/2555), dat organisaties verplicht maatregelen te nemen ten aanzien van risico’s in de toeleveringsketen (artikel 21, lid 2, sub d).
Concrete beheersmaatregelen omvatten het bijhouden van een Software Bill of Materials (SBOM), geautomatiseerde kwetsbaarheidsscanners gekoppeld aan de National Vulnerability Database (NVD), en contractuele afspraken met softwareleveranciers over patch-responstijden. Het SIMPL-programma (Sovereign and Interoperable open-source Middleware Platform Library) van de Europese Commissie richt zich specifiek op het ontwikkelen van veilige, onderhouden open-source middlewarecomponenten voor overheden, waarbij supply chain-transparantie een expliciete ontwerpeis is.
Het Open Source Maintenance Instrument en het NGI-initiatief
De EU erkent dat open-source software publieke infrastructuurkenmerken heeft en investeert via gerichte instrumenten in de duurzaamheid ervan.
Het Open Source Maintenance Instrument, onderdeel van het bredere Europese digitale beleid, is een financieringsmechanisme dat subsidies verstrekt aan projecten die kritieke open-source componenten onderhouden welke breed worden ingezet in Europese overheidsinfrastructuur maar onvoldoende onderhoud ontvangen. Het instrument richt zich op het aanpakken van het “tragedy of the commons”-probleem: componenten die iedereen gebruikt maar niemand financiert.
Het Next Generation Internet Initiative (NGI) van de Europese Commissie vult dit aan door onderzoeks- en innovatiesubsidies te verstrekken aan open-source projecten die bijdragen aan een open, veilig en decentraal internet. NGI-financiering heeft onder meer bijgedragen aan de ontwikkeling van tools voor end-to-end encryptie, gedecentraliseerde identiteitsbeheer en soevereine communicatie-infrastructuur, alle categorieën die direct relevant zijn voor organisaties die hun digitale autonomie willen versterken.
Samen vormen het Open Source Maintenance Instrument, het SIMPL-programma, de Open Internet Stack en de NGI een samenhangende EU-investeringsagenda die de EU Open Source Strategy 2026 van een uitvoeringsmechanisme voorziet: niet alleen beleid, maar ook middelen om het vol te houden.
Praktische routekaart voor compliance officers en IT-besluitvormers
Organisaties in de overheid, rechtspraak of gereguleerde sectoren die de EU Open Source Strategy 2026 willen vertalen naar concrete actie, doen er goed aan de volgende stappen te zetten.
Begin met een inventarisatie van het huidige softwareportfolio op open-source componenten, licentiemodellen en hostinglocaties. Koppel daaraan een risicobeoordeling op grond van NIS-2 en GDPR, waarbij bijzondere aandacht uitgaat naar Amerikaanse clouddiensten die onder de CLOUD Act of Section 702 van de Foreign Intelligence Surveillance Act vallen. Verankert vervolgens het “Think Open”-principe in de interne aanbestedingsleidraad, met een expliciete documentatieplicht bij afwijking.
Richt daarna een OSPO in, ook als dat in eerste instantie een kleine functie is binnen de bestaande ICT-afdeling. Zorg dat het OSPO toegang heeft tot juridisch advies over licentiecompatibiliteit en dat het verbonden is aan het inkoopproces. Ten slotte: evalueer voor werkplekfunctionaliteit concreet de inzet van Nextcloud als vervanging voor Microsoft 365, met specifieke aandacht voor de integratiemogelijkheden met LibreOffice en OnlyOffice voor documentbewerking, en Jitsi voor videoconferencing.
Veelgestelde vragen
Verplicht de EU Open Source Strategy 2026 overheidsorganisaties tot exclusief gebruik van open-source software?
Nee. De strategie legt geen absolute exclusiviteitsplicht op, maar vereist wel dat open-sourceoplossingen aantoonbaar worden overwogen en beoordeeld bij elke relevante aanbesteding. Afwijken moet gemotiveerd worden op basis van objectieve criteria.
Wat is het verschil tussen een OSPO bij een overheidsinstelling en bij een bedrijf?
Een publiek OSPO richt zich primair op naleving van inkoopbeleid, bijdragen aan gedeelde overheidsinfrastructuur en het uitwisselen van code tussen overheden. Een bedrijfs-OSPO heeft doorgaans een commerciëler doel, zoals het beheer van open-source licentierisico’s en community-engagement voor productontwikkeling.
Hoe sluit Nextcloud aan op de vereisten van de EU Open Source Strategy 2026?
Nextcloud is volledig open-source (AGPLv3), kan on-premise of in een Europese sovereign cloud worden gehost, en voldoet aan GDPR- en NIS-2-vereisten zonder afhankelijkheid van Amerikaanse cloudproviders. De broncode is auditeerbaar, wat aansluit op de transparantievereisten uit de strategie.
Wat doet het Open Source Maintenance Instrument concreet?
Het Open Source Maintenance Instrument is een EU-financieringsmechanisme dat gericht is op het ondersteunen van kritieke open-source componenten die breed worden gebruikt in overheidsinfrastructuur maar onvoldoende onderhoud ontvangen. Het biedt subsidies en coördinatie om kwetsbaarheden te verminderen en continuïteit te waarborgen.
Hoe verhoudt de EU Open Source Strategy zich tot de Cyber Resilience Act?
De Cyber Resilience Act (CRA) stelt verplichte beveiligingseisen aan software die in de EU wordt verkocht of ingezet, ook open-source software bij commerciële distributie. De EU Open Source Strategy en de CRA vullen elkaar aan: de strategie stimuleert gebruik van open source, terwijl de CRA de veiligheidsstandaard voor die componenten verhoogt.
