De Software Sovereignty Scale, ontwikkeld door het Digital Resilience Initiative, is een gestructureerd zelfevaluatie-instrument waarmee organisaties per laag van hun digitale waardeketen meten in welke mate zij daadwerkelijk controle hebben over hun software, data en infrastructuur. Het instrument maakt abstracte begrippen als “digitale soevereiniteit” concreet en operationeel: van de fysieke serverlaag tot identiteitsbeheer en AI-diensten.
Waarom de digitale waardeketen als eenheid van analyse
Soevereiniteitsrisico’s nestelen zich zelden in één systeem. Ze zitten in de combinatie van een Amerikaanse SaaS-applicatie, een hyperscaler die de data opslaat en een identiteitsprovider die buiten de EU wordt beheerd. De Software Sovereignty Scale dwingt organisaties om al deze lagen afzonderlijk te scoren en de zwakste schakel te identificeren, in plaats van te vertrouwen op de aanname dat één gecertificeerde leverancier voldoende dekking biedt.
De schaal verdeelt de digitale waardeketen in vijf evaluatielagen: infrastructuur, platform, applicatie, data en identiteitsbeheer. Per laag beoordeelt de evaluator drie criteria: juridische blootstelling (welke rechtsmacht kan de data opeisen?), technische controleerbaarheid (is de broncode auditeerbaar?) en vervangbaarheid (hoe hoog zijn de overstapkosten?). De uitkomst is een gecombineerde soevereiniteitsscore die rechtstreeks ingevoerd kan worden in de risicoregisters die NIS-2 en GDPR verlangen.
De EU Open Source Strategy 2026 als beleidsraamwerk
De EU Open Source Strategy 2026, vastgelegd in COM(2026) 503, verankert het “open by default”-beginsel voor software die met publiek geld wordt ontwikkeld. Dit heeft directe gevolgen voor aanbestedingsprocedures in de publieke sector.
Concreet betekent dit dat aanbestedende diensten bij nieuwe softwareinkoop moeten aantonen waarom zij afwijken van open-source alternatieven, in plaats van andersom. De strategie introduceert ook verplichte interoperabiliteitseisen: systemen die gegevens uitwisselen met andere overheidsinstanties moeten open standaarden ondersteunen. Voor organisaties die op dit moment vasthangen aan gesloten formaten (zoals het OOXML-formaat van Microsoft) is dit een concrete stok achter de deur om migratieplanning te starten.
APELL (European Open Source Software Business Association), de sectororganisatie die Europese open-source bedrijven vertegenwoordigt, omschreef de strategie als volgt: “Open source is not just a licensing model, it is the foundation of digital sovereignty for Europe’s public sector” (Johanna Zirnstein, APELL-vertegenwoordiger, uit het APELL-position paper over de EU Open Source Strategy).
Horizon Europe en de Open Internet Stack Sovereign Solutions
Het Horizon Europe Work Programme 2025-2027 stelt 41,3 miljoen euro beschikbaar voor het programma “Open Internet Stack Sovereign Solutions” (periode 2026-2027). Dit programma financiert de ontwikkeling en opschaling van soevereine open-source infrastructuurcomponenten die organisaties kunnen inzetten als vervanging van niet-Europese cloudoplossingen.
Voor IT-beslissers en compliance officers zijn er twee directe aanknopingspunten. Ten eerste kunnen consortia van organisaties cofinanciering aanvragen voor migratieprojecten die open-source soevereine tools implementeren. Ten tweede produceren de gefinancierde projecten referentie-architecturen en implementatiedocumentatie die organisaties zonder eigen onderzoeksbudget direct kunnen toepassen. Het programma geeft daarmee ook een beleidslegitimatie aan inkopers die intern weerstand ervaren: de keuze voor soevereine open-source software is uitdrukkelijk Europees beleid, geen niche-voorkeur.
De Digital Commons EDIC als coördinatiepunt
Op 29 oktober 2025 werd de Digital Commons EDIC (European Digital Infrastructure Consortium) officieel opgericht. Dit samenwerkingsverband ontwikkelt, beheert en distribueert open-source digitale publieke goederen die voldoen aan Europese wet- en regelgeving.
De EDIC functioneert als een gemeenschappelijke beheerstructuur voor open-source componenten die anders versnipperd door verschillende lidstaten afzonderlijk zouden worden onderhouden. Voor organisaties betekent dit toegang tot een gedeeld, auditeerbaar softwareportfolio met garanties over herkomst, beveiliging en Europese rechtsgeldigheid. De EDIC verlaagt ook de drempel voor kleinere overheidsinstanties en kmo’s die onvoldoende capaciteit hebben om open-source tools zelf te onderhouden.
Een soevereine werkplek in de praktijk: vier kernsystemen
De onderstaande tabel vergelijkt de functionaliteit van een typische Microsoft 365-omgeving met open-source soevereine equivalenten die binnen de Digital Commons EDIC-context worden ondersteund.
| Functionaliteit | Microsoft 365 | Soeverein alternatief | Jurisdictie |
|---|---|---|---|
| Bestandsopslag en samenwerking | SharePoint / OneDrive | Nextcloud (on-premise of Zwitserse hosting) | EU / Zwitserland |
| Versleutelde communicatie | Teams | Matrix (Element-client, federated) | Zelfgehost |
| Gezamenlijk documentbewerken | Office Online | CryptPad (end-to-end versleuteld) | Zelfgehost |
| Kennisbeheer en intranet | SharePoint / Viva | XWiki (open-source wiki-platform) | Zelfgehost |
| Private cloud-infrastructuur | Azure | OpenNebula (open-source cloudmanagement) | Zelfgehost / EU-datacenter |
Matrix onderscheidt zich van conventionele communicatieplatforms doordat het een gefedereerd protocol is: elke organisatie beheert een eigen homeserver en communiceert met andere servers zonder een centrale partij. Dit elimineert de single point of failure en de juridische blootstelling die ontstaat wanneer alle berichten via een server van een derde partij lopen. CryptPad versleutelt documenten aan de clientkant, zodat de serverbeheerder de inhoud technisch niet kan inzien. XWiki biedt een volledig aanpasbaar wiki-platform met uitgebreide toegangsbeheer-mogelijkheden, geschikt als vervanging van SharePoint-wikis en Confluence. OpenNebula is een open-source cloudmanagementplatform dat organisaties in staat stelt een privécloudinfrastructuur te bouwen die functioneel vergelijkbaar is met Azure of AWS, maar volledig onder eigen beheer valt.
Chris Lamb, voormalig projectleider van Reproducible Builds bij Debian, formuleerde de kern van de selectiestrategie als volgt: “We need to move from awareness to action: organisations must audit every layer of their digital supply chain and replace non-auditable components with open, verifiable alternatives” (Open Source Initiative blog).
Total cost of ownership en risicoverantwoording tegenover bestuurders
De initiële weerstand van bestuurders tegen soevereine open-source software richt zich doorgaans op twee argumenten: hogere transitiekosten en onzekerheid over ondersteuning. Beide argumenten zijn weerlegbaar met een correcte TCO-berekening over een periode van vijf jaar.
Aan de kostenkant vallen licentiekosten weg, die bij Microsoft 365 in 2024 gemiddeld 240 tot 432 euro per gebruiker per jaar bedragen (afhankelijk van het gekozen plan). Daar staan implementatie- en beheerkosten tegenover, maar die worden gedeeltelijk gecompenseerd door cofinanciering via Horizon Europe en de gedeelde beheerstructuur van de Digital Commons EDIC.
Aan de risicokant zijn twee posten relevant die in standaard TCO-analyses vaak ontbreken. NIS-2 (Richtlijn 2022/2555/EU) legt boetes op tot 10 miljoen euro of 2% van de wereldwijde jaarlijkse omzet bij aantoonbaar tekortschietend risicobeheer, inclusief risico’s die voortvloeien uit het gebruik van niet-auditeerbare derde-partijsoftware. De CLOUD Act van 2018 geeft Amerikaanse autoriteiten de mogelijkheid om zonder Europese rechtshulpverdragen toegang te eisen tot data bij Amerikaanse cloudleveranciers, ook wanneer die data fysiek in Europa is opgeslagen. Dit is geen hypothetisch risico, maar een structureel juridisch kenmerk van het contractuele kader van hyperscalers als Microsoft, Google en Amazon.
Statistisch ondersteund: uit onderzoek van de Eclipse Foundation onder 400 Europese IT-beslissers bleek in 2022 dat 85% van de respondenten bezorgd was over technologische afhankelijkheid van niet-Europese cloudleveranciers (Eclipse Foundation European Open Source Survey 2022). De Europese markt voor publieke clouddiensten werd in 2023 voor meer dan 65% gedomineerd door Amerikaanse aanbieders (European Parliament Research Service, “Cloud Computing in the EU”, 2023). Deze concentratie maakt systematisch risicobeheer voor compliance officers structureel moeilijker zolang er geen soevereine alternatieven worden ingezet.
Voor toezichthouders is het argument eenvoudig: de keuze voor auditeerbare, open-source software met Europese hosting is aantoonbaar conform NIS-2 artikel 21 (beveiligingsmaatregelen voor de toeleveringsketen) en GDPR artikel 25 (gegevensbescherming door ontwerp). De keuze voor een niet-auditeerbare, extern gehoste oplossing vergt een uitgebreide risicoafweging die dezelfde compliancedruk creëert zonder de soevereiniteitsvoordelen.
Van meting naar migratieplan: de Software Sovereignty Scale in drie stappen
De Software Sovereignty Scale is niet alleen een meetinstrument, maar ook een planningsraamwerk. Na de zelfevaluatie volgt een gelaagde migratieaanpak.
In de eerste stap brengt de organisatie per laag de huidige soevereiniteitsscore in kaart en identificeert zij de lagen met de hoogste juridische blootstelling. In de meeste gevallen is dat de combinatie van identiteitsbeheer (Microsoft Entra ID / Azure AD) en dataopslag (OneDrive / SharePoint). In de tweede stap wordt een vervangingsvolgorde bepaald op basis van vervangbaarheid en impact: begin met de lagen waar open-source alternatieven volwassen zijn en de migratiekosten beheersbaar zijn, zoals communicatie (Matrix) en documentopslag (Nextcloud). In de derde stap worden de gekozen alternatieven opgenomen in het risicoregister en de verwerkingsovereenkomsten, zodat de verbeterde soevereiniteitsscore ook aantoonbaar is in audits door de Autoriteit Persoonsgegevens of sectorspecifieke toezichthouders.
Veelgestelde vragen
Wat meet de Software Sovereignty Scale precies en wie heeft dit instrument ontwikkeld?
De Software Sovereignty Scale is een gestructureerd zelfevaluatie-instrument ontwikkeld door het Digital Resilience Initiative. Het beoordeelt de soevereiniteitsgraad van een organisatie op vijf lagen van de digitale waardeketen: infrastructuur, platform, applicatie, data en identiteitsbeheer. Elke laag krijgt een score op basis van controleerbaarheid, juridische blootstelling en vervangbaarheid van de gebruikte software.
Welke open-source tools vormen samen een soevereine werkplek die Microsoft 365 kan vervangen?
Een volledige soevereine werkplek kan worden opgebouwd met Nextcloud (bestandsopslag en samenwerking), Matrix (versleutelde communicatie), CryptPad (gezamenlijk bewerken van documenten zonder clouddienst van derden), XWiki (kennismanagement en intranet) en OpenNebula (privécloud-infrastructuur). Al deze tools zijn open source, auditeerbaar en kunnen on-premise of in een Europese private cloud worden gehost.
Wat is de Digital Commons EDIC en wat betekent die voor mijn organisatie?
De Digital Commons EDIC, opgericht op 29 oktober 2025, is een Europees samenwerkingsverband dat soevereine digitale publieke goederen ontwikkelt, beheert en beschikbaar stelt. Voor organisaties betekent dit toegang tot gezamenlijk gefinancierde, auditeerbare open-source componenten die voldoen aan Europese wet- en regelgeving, zonder afhankelijkheid van commerciële leveranciers buiten de EU.
Hoe onderbouw ik de hogere initiële kosten van soevereine open-source software tegenover bestuurders?
Gebruik een total cost of ownership-analyse over minimaal vijf jaar. Neem daarin op: wegvallende licentiekosten, de vermeden kosten van datalekken (NIS-2-boetes kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde omzet), de wegvallende vendor lock-in risicopremie en de kosten van juridische blootstelling door de CLOUD Act. Het Horizon Europe-programma biedt aanvullend cofinanciering van 41,3 miljoen euro voor kwalificerende migratieprojecten.
Wat verplicht de EU Open Source Strategy 2026 (COM(2026) 503) aan overheidsinstanties?
De strategie verplicht EU-instellingen en lidstaten om bij nieuwe softwareontwikkeling en inkoop het “open by default”-beginsel toe te passen: code die met publiek geld is ontwikkeld, moet openbaar beschikbaar worden gesteld, tenzij er aantoonbare beveiligings- of privacyredenen zijn om dat niet te doen. Daarnaast worden interoperabiliteitseisen en een voorkeur voor open standaarden verankerd in aanbestedingsprocedures.
