De Europese Open Digital Ecosystem Strategy (ODES) is het overkoepelende EU-beleidskader waarmee de Europese Commissie beoogt open-source software, open standaarden en gedeelde digitale publieke infrastructuur structureel te financieren, te reguleren en in de markt te verankeren. Voor compliance officers en IT-beslissers in de publieke en gereguleerde sector is dit geen abstracte beleidsdocument: de ODES koppelt directe financieringsmechanismen aan inkoopverplichtingen en transparantie-eisen die al in 2026 van kracht worden.
Wat de ODES inhoudt en wat de ‘call for evidence’ van januari 2026 betekent
De ODES markeert een breuk met de vrijblijvende aanpak van eerdere EU Open Source-beleidsronden. Waar de EU Open Source Strategy 2026 primair een intentiedocument was, introduceert de ODES concrete governance-structuren en koppelt het financiering aan meetbare soevereiniteitscriteria.
De ‘call for evidence’ die in januari 2026 werd geopend, vraagt marktpartijen, overheidsinstanties en maatschappelijke organisaties om input te leveren over drie centrale vragen: welke open-source projecten vormen kritieke Europese digitale infrastructuur, hoe moeten financieringsstromen worden georganiseerd, en welke inkooppreferenties moeten wettelijk worden verankerd. De uitkomsten van deze consultatie vormen de basis voor gedelegeerde wetgeving die naar verwachting in de tweede helft van 2026 wordt gepubliceerd.
Voor organisaties in de publieke sector is het strategisch verstandig om nu al hun afhankelijkheden van niet-Europese softwareleveranciers te inventariseren. De ODES zal naar verwachting een ‘digital autonomy score’ introduceren als criterium bij Europese aanbestedingen, vergelijkbaar met de bestaande CO2-voetafdrukverplichtingen in duurzaamheidsrichtlijnen.
Het Sovereign Tech Fund en Open Source Programme Offices als financieringsinstrumenten
Het Sovereign Tech Fund (STF), opgericht door de Duitse federale overheid in 2022, is het meest concrete voorbeeld van publieke financiering van digitale basisinfrastructuur op open-source basis.
Het STF financierde in 2023 meer dan 50 open-source projecten voor een totaalbedrag van circa 17 miljoen euro, met als doel kritieke digitale infrastructuur te versterken (Sovereign Tech Fund, Annual Report 2023). Voorbeelden van gefinancierde projecten zijn OpenSSL, curl en Sequoia-PGP, elk onderdeel van de verborgen infrastructuur waarop miljoenen overheidsapplicaties steunen.
Voor Nederlandse en Belgische organisaties zijn er twee aanvullende routes. Ten eerste kunnen zij via een eigen Open Source Programme Office (OSPO) structureel bijdragen aan en profiteren van STF-gefinancierde projecten. Diverse Europese overheden, waaronder de stad Parijs en de regio Catalonië, hebben al OSPO’s operationeel. Ten tweede biedt het Interreg-programma van de EU cofinanciering voor grensoverschrijdende digitale infrastructuurprojecten, waarbij open-source vereisten steeds vaker als voorwaarde worden opgenomen.
De economische logica is helder: onderzoek van de Europese Commissie (2021) berekende dat elke euro geïnvesteerd in open-source software een economische return genereert tussen de 1 en 4 euro voor het bredere ecosysteem (Europese Commissie, ‘The impact of Open Source on the European economy’, 2021). Dit maakt de business case voor OSPO-investeringen ook voor kleinere publieke organisaties aantrekkelijk.
Erkende open-source alternatieven als strategische EU-infrastructuur
Verschillende open-source platforms zijn al formeel of informeel erkend als onderdeel van de Europese digitale soevereiniteitsstrategie.
| Open-source platform | Big Tech-equivalent | EU-erkenning of financiering | Licentie |
|---|---|---|---|
| Nextcloud | Microsoft 365 / Google Workspace | Opgenomen in EUCS-aanbevelingen, STF-onderzoek | AGPLv3 |
| SUSE Linux Enterprise | Windows Server | Preferred vendor in meerdere EU-lidstaten | GPL / commercieel |
| LibreOffice | Microsoft Office | Standaard in diverse EU-overheidsdepartementen | MPL 2.0 |
| Arduino (open hardware) | Proprietary embedded platforms | Gefinancierd via Horizon Europe IoT-programma’s | CC / LGPL |
Nextcloud AGPLv3 verdient aparte aandacht. De AGPLv3-licentie garandeert dat de broncode van elke aanpassing openbaar blijft, ook bij gebruik als netwerkdienst. Dit maakt onafhankelijke beveiligingsaudits mogelijk en sluit vendor lock-in uit. Omdat Nextcloud on-premise of bij een Europese hoster kan worden ingezet, blijven persoonsgegevens binnen de EU en vallen ze volledig onder de AVG, zonder blootstelling aan de Amerikaanse CLOUD Act of FISA Section 702.
De Europese Commissie schat dat de EU-publieke sector jaarlijks tot 114 miljard euro uitgeeft aan digitale producten en diensten, waarvan een groot deel naar niet-Europese leveranciers gaat (Europese Commissie, Digital Compass 2030, 2021). Een verschuiving naar erkende open-source alternatieven kan een substantieel deel van dit bedrag in het Europese ecosysteem houden.
“Open source is niet langer een niche-keuze maar een strategische noodzaak voor digitale soevereiniteit in Europa.” (Thierry Breton, voormalig EU-commissaris voor de Interne Markt, Europese Commissie Open Source Observatory)
CADA Artikel 38 en de EU Tech Sovereignty Package
De Common Assessment for Digital Autonomy (CADA) is het evaluatieraamwerk dat de EU Tech Sovereignty Package operationaliseert voor publieke aanbesteders. Artikel 38 van de CADA is het meest directe instrument voor inkooppraktijk.
Artikel 38 verplicht publieke aanbesteders om bij elke softwareaanschaf te toetsen of een equivalent open-source alternatief beschikbaar is in de CADA open-source repository. Als zo’n alternatief bestaat, moet een keuze voor gesloten software expliciet worden gemotiveerd in de aanbestedingsdocumentatie. Dit is een fundamentele verschuiving: de bewijslast ligt niet langer bij open source om te bewijzen dat het goed genoeg is, maar bij gesloten software om te bewijzen dat het noodzakelijk is.
“Publieke aanbesteders moeten open source beschouwen als een eerste keuze, niet als een uitzondering. De CADA-repository maakt dat voor de eerste keer afdwingbaar.” (Matthias Kirschner, President van de Free Software Foundation Europe, FSFE Policy Statement on the Cyber Resilience Act)
De integratie van de CADA-repository met de EU Tech Sovereignty Package betekent concreet dat aanbesteders bij Europese aanbestedingsprocedures boven de drempelwaarden verplicht zijn een CADA-toets te documenteren. Organisaties die dit proces nu inrichten, voorkomen juridische risico’s bij toekomstige audits door nationale toezichthouders.
CRA-transparantieverplichtingen en SBOM-selectiecriteria voor compliance officers
De Cyber Resilience Act (CRA), die in 2024 in werking trad, introduceert voor het eerst wettelijke transparantieverplichtingen voor softwarecomponenten in de EU. De Software Bill of Materials (SBOM) is het centrale instrument.
Een SBOM is een gestructureerde inventarisatie van alle softwarecomponenten in een product: bibliotheken, afhankelijkheden, versienummers en onderhoudsstatussen. De CRA verplicht leveranciers van digitale producten om een SBOM beschikbaar te stellen aan afnemers. Voor publieke organisaties die open-source software inkopen of zelf ontwikkelen, geldt dat zij de SBOM moeten kunnen opvragen en beoordelen.
Voor compliance officers zijn de volgende selectiecriteria aanbevolen bij de keuze voor open-source softwarecomponenten:
- SBOM-beschikbaarheid: Is er een actuele, machineleesbare SBOM beschikbaar in SPDX- of CycloneDX-formaat?
- CVE-responsduur: Hoe snel worden bekende kwetsbaarheden gepatcht? Voor kritieke systemen geldt een maximale responsduur van 72 uur onder NIS-2.
- Governancestructuur: Is er een stabiele stichting of publieke financier achter het project, of is het afhankelijk van één ontwikkelaar?
- Licentiecompatibiliteit: Is de licentie (AGPLv3, GPL, MPL) compatibel met het beoogde gebruik en de interne licentierichtlijnen?
- CADA-registratie: Is het component opgenomen in de CADA open-source repository als erkende soevereine optie?
De soevereiniteitswaarde meten: CADA-criteria en EU Cloud Sovereignty Framework
Het meten van soevereiniteitswaarde is geen subjectieve exercitie meer. Het EU Cloud Sovereignty Framework en de CADA-soevereiniteitscriteria bieden samen een gestructureerd meetkader.
De CADA-soevereiniteitscriteria beoordelen software op vier dimensies: jurisdictionele onafhankelijkheid (geen blootstelling aan niet-EU-wetgeving), technische controleerbaarheid (broncode-audit mogelijk), operationele autonomie (geen verplichte externe diensten) en economische soevereiniteit (geen lock-in door proprietary formaten of APIs). Elke dimensie krijgt een score, en de gecombineerde score bepaalt de positie in de CADA-repository.
Het EU Cloud Sovereignty Framework voegt daar een vijfde dimensie aan toe: de locatie van dataverwerking en de toepasselijke rechtsmacht. Organisaties die Nextcloud AGPLv3 inzetten op eigen hardware of bij een gecertificeerde Europese hoster, scoren op alle vijf dimensies maximaal. Organisaties die Microsoft 365 gebruiken via een Europees datacenter maar onder de Microsoft-servicevoorwaarden, scoren laag op de jurisdictionele dimensie vanwege de extraterritoriale werking van de CLOUD Act.
Een praktische aanpak is het opstellen van een intern soevereiniteitsregister, waarin voor elke digitale dienst de CADA-score en het Cloud Sovereignty Framework-profiel worden gedocumenteerd. Dit register dient tegelijkertijd als bewijs bij NIS-2-audits en GDPR-verwerkingsregisters.
FAQ
Wat is de Europese Open Digital Ecosystem Strategy (ODES) precies?
De ODES is een overkoepelend EU-beleidskader dat beoogt een Europees ecosysteem voor open digitale technologie te structureren, financieren en reguleren. Het omvat open-source software, open standaarden en gedeelde publieke digitale infrastructuur. De ‘call for evidence’ van januari 2026 is de eerste formele stap om marktpartijen en overheden te consulteren over concrete financieringsmechanismen.
Hoe kan een Nederlandse overheidsorganisatie gebruikmaken van Sovereign Tech Fund-financiering?
Het Sovereign Tech Fund is primair een Duits federaal initiatief, maar staat open voor Europese samenwerking. Nederlandse organisaties kunnen via Open Source Programme Offices (OSPO’s) projecten indienen of gezamenlijk met Europese partners aanvragen doen. Daarnaast biedt het Interreg-programma van de EU cofinanciering voor grensoverschrijdende digitale infrastructuurprojecten.
Wat zijn de SBOM-verplichtingen onder de Cyber Resilience Act?
De CRA verplicht fabrikanten en leveranciers van digitale producten om een Software Bill of Materials (SBOM) op te stellen: een volledige inventarisatie van alle softwarecomponenten inclusief versies en afhankelijkheden. Voor open-source software betekent dit dat organisaties moeten kunnen aantonen welke bibliotheken zijn opgenomen en of deze actief worden onderhouden. SBOM-conformiteit is daarmee een selectiecriterium geworden bij de inkoop van open-source componenten.
Wat houdt CADA Artikel 38 in voor publieke aanbesteders?
Artikel 38 van de CADA verplicht publieke aanbesteders om bij aanschaf van software te toetsen of een equivalent open-source alternatief beschikbaar is in de CADA-repository. Als dat het geval is, moet de keuze voor gesloten software expliciet worden gemotiveerd. Dit versterkt de ‘open source first’-benadering die de EU Tech Sovereignty Package voorschrijft.
Waarom is Nextcloud AGPLv3 relevant voor GDPR-compliance en data-soevereiniteit?
Nextcloud wordt uitgebracht onder de AGPLv3-licentie, wat betekent dat de broncode volledig openbaar is en aanpassingen ook openbaar moeten worden gemaakt. Dit maakt onafhankelijke beveiligingsaudits mogelijk en voorkomt vendor lock-in. Omdat Nextcloud on-premise of bij een Europese hoster kan worden geïnstalleerd, blijven persoonsgegevens binnen de EU en valt de verwerking volledig onder de AVG, zonder blootstelling aan de Amerikaanse CLOUD Act.
