Het politieke debat over digitale soevereiniteit is volop gaande: van Den Haag tot Brussel. De ambities zijn helder. De financiering niet. En financiële instellingen staan in de tussentijd voor een lastige vraag: wachten op een politieke oplossing die misschien jaren op zich laat wachten, of nu al handelen met de middelen die er zijn?
Staatssecretaris Willemijn Aerdts gaf onlangs duidelijkheid over de grenzen van wat de overheid wil doen: geen rijksgeld voor een Europese ‘Giga AI-fabriek’. De markt is aan zet. Tegelijkertijd roept Brussel op tot Europese digitale autonomie als geopolitieke noodzaak, en legt DORA concrete verplichtingen op aan financiële instellingen. De overheid vraagt dus om soevereiniteit, maar wil de infrastructuur daarvoor niet financieren.
Dat is geen verwijt, het is de politieke realiteit van een krappe begroting en een markt die in theorie beter gepositioneerd is om te investeren. Maar het creëert wel een vacuüm waar de financiële sector nu middenin staat.
Een sector tussen twee vuren
Enerzijds is er de toezichthouder. DNB maakt geen geheim van haar verwachting: binnen vijf jaar moet de financiële sector aanzienlijk minder afhankelijk zijn van niet-Europese ICT-partijen. Soevereiniteit wordt een expliciete factor bij aanbestedingen, ook als dat ten koste gaat van prijs of kwaliteit op de korte termijn.
Anderzijds is er de marktrealiteit. Uit ons onderzoek onder professionals uit banking, verzekeringen en pensioenen blijkt dat 93% van de sector vandaag draait op Amerikaanse cloudproviders en dat 97% het gebrek aan geloofwaardige Europese alternatieven als grootste barrière ervaart. De toezichthouder trekt aan de ene kant. De markt biedt aan de andere kant weinig houvast.
"De politiek vraagt om versnelling, maar legt de rekening bij een markt die de benodigde infrastructuur nog niet heeft."
Wat het politieke debat mist
De discussie in Den Haag en Brussel gaat grotendeels over infrastructuur op macroniveau: AI-fabrieken, Europese cloudalternatieven, certificeringsregimes. Dat zijn relevante discussies maar ze gaan voorbij aan het feit dat financiële instellingen nú al keuzes moeten maken over leveranciers, contracten en architectuur.
DORA is geen toekomstmuziek. De verplichting om concentratierisico’s in kaart te brengen, exitstrategieën te documenteren en toeleveringsketens te beheersen, geldt al. En de vraag of er straks een volwassen Europese cloudmarkt is, verandert niets aan de verplichting om vandaag aantoonbaar grip te hebben op de eigen afhankelijkheden.
Dat maakt de politieke discussie niet irrelevant, integendeel. Maar het betekent wel dat financiële instellingen niet kunnen wachten op de uitkomst ervan.
Regie zonder perfecte omstandigheden
De uitdaging is niet om morgen volledig soeverein te zijn. Dat is ook voor de meest ambitieuze organisatie onrealistisch. De uitdaging is om stap voor stap keuzevrijheid terug te winnen zodat je niet volledig afhankelijk bent van één leverancier op het moment dat geopolitieke omstandigheden of regulering je dwingen te handelen.
Eraneos ondersteunt financiële instellingen hierbij via een no-regrets aanpak: elke stap levert direct waarde op, ongeacht de uitkomst van het politieke debat.
- Inventariseer cloudapplicaties en afhankelijkheden
Breng alle cloudworkloads, data en externe afhankelijkheden in kaart. Classificeer data op AVG-categorie naar kritisch belang. - Voer een scenariogebaseerde risicoanalyse uit
Modelleer mogelijke geopolitieke of contractuele triggers en bereken de Total Cost of Exit (TCoE). - Formaliseer de transitiestrategie Definieer exitpatronen, migratiescenario’s en bestuurlijke crisisoefeningen voor mogelijke cloudexit-situaties.
- Ontwikkel een toekomstbestendige sourcingstrategie
Gebruik een soevereiniteitsscorecard en leg contractuele exitopties en datacontrole structureel vast. - Veranker soevereiniteit in governance
Richt een soevereiniteitsdashboard in met kernindicatoren en organiseer periodieke board level reviews. - Vestig en handhaaf jurisdictionele controle
Richt data per jurisdictielaag in, gebruik EU-gehost sleutelbeheer (BYOK/HYOK), contracteer notificatie- en bezwaarverplichting bij overheidsverzoeken, en monitor EUCS-certificering.
Van politiek debat naar boardroomprioriteit
Digitale soevereiniteit is geen IT-project dat wacht op politieke duidelijkheid. Het is een bestuurlijk vraagstuk dat nu al speelt in contractonderhandelingen, in risicomanagement, in de verantwoording richting toezichthouder. De organisaties die dat als eerste begrijpen, bouwen een voorsprong op die moeilijk in te halen is.
Op 12 juni brengt Eraneos een groep professionals uit de financiële sector samen om precies dit gesprek te voeren, niet als presentatie, maar als open debat. Wat betekent het politieke vacuüm concreet voor jouw organisatie? Welke stappen zijn vandaag al realistisch? En wat kunnen we als sector gezamenlijk inbrengen?
