Pak dit onderwerp nu intern aan, voordat het uitgroeit tot een crisis

Digitale soevereiniteit staat hoog op de agenda. Beheersing van gegevens, lokalisatie van infrastructuur, technologische onafhankelijkheid. De term klinkt geruststellend: hij suggereert dat we de touwtjes in handen houden. In de praktijk weten maar weinig bedrijven echt wat dit concreet voor hen inhoudt. Het standpunt vanHubert Poncelet, General Counsel, efficy Belgium

De context is zwaarwegend. Volgens het adviesbureau Asterès (april 2025, onderzoek voor de Cigref) hebben Europese organisaties in 2024 400 miljard euro uitgegeven aan clouddiensten en software. 330 miljard, oftewel 83 %, ging naar Amerikaanse spelers, die 80 % van hun waarde in de Verenigde Staten genereren. 264 miljard euro per jaar waarmee 1,9 miljoen banen worden gefinancierd… in de Verenigde Staten.

Gezien deze constatering zijn er volgens Hubert Poncelet twee mogelijke reacties. De eerste: wachten op een regelgevende of geopolitieke reactie die de kaarten opnieuw zal schudden. De tweede, de enige die van ons afhangt: het onderwerp nu intern aanpakken, voordat het uitgroeit tot een crisis.

De echte vraag is niet „waar“, maar „met wie“

Laten we ophouden de vraag over de locatie van gegevens te stellen alsof dat voldoende is om het probleem op te lossen. De echte vragen zijn operationeel van aard: als een cloudprovider of softwareontwikkelaar zijn voorwaarden of prijzen wijzigt, of failliet gaat, kan de organisatie dan haar diensten blijven uitvoeren? Weet ze vandaag de dag precies van wie ze afhankelijk is en waarvoor? En als de regelgevende of geopolitieke context verandert, hoe lang duurt het dan voordat ze haar architectuur heeft aangepast?

„Als deze vragen niet binnen enkele minuten beantwoord kunnen worden, betekent dit dat het onderwerp niet actief wordt aangepakt, maar dat men er lijdend onder gaat. Soevereiniteit wordt opgebouwd in de processen!” Soevereiniteit, zo meent Hubert Poncelet, kan niet langer worden beschouwd als louter een kwestie van naleving. Het moet een transversale discipline worden, geïntegreerd in beslissingen, processen en technologische keuzes.

Een collectieve reflex, geïntegreerd vanaf de ontwerpfase van projecten

Deze ontwikkeling berust op drie structurerende beslissingen. Ten eerste: de silo’s doorbreken. Bij efficy werkten beveiliging, productontwikkeling, R&D, gegevensbescherming, juridische zaken en inkoop elk met hun eigen invalshoek ten aanzien van leveranciers en partners. Het resultaat: niemand had echt het totaaloverzicht, en de blinde vlekken bevonden zich juist op de raakvlakken tussen deze afdelingen. „We hebben daarom een einde gemaakt aan deze afscherming. ”

Vervolgens moest er een gemeenschappelijk referentiekader worden opgebouwd. De ISO 27001-certificering heeft betrekking op informatiebeveiliging. Deze kan worden aangevuld met de ISO 27701, die specifiek gericht is op gegevensbescherming. „De keuze om deze twee referentiekaders te combineren is niet louter cosmetisch: hierdoor kunnen informatiebeveiliging en gegevensbescherming worden behandeld als twee dimensies van hetzelfde onderwerp, met een gemeenschappelijk kader voor de hele organisatie, in plaats van als twee silo’s die afzonderlijk functioneren.“

Ten slotte moet er een proces worden opgezet dat samenwerking afdwingt. Elke leverancier en elke applicatiepartner doorloopt een proces waarin inkoop, juridische zaken, beveiliging en de DPO gezamenlijk optreden, en niet achtereenvolgens. De waardeketen wordt zo voor iedereen tegelijkertijd inzichtelijk. Het proces is geautomatiseerd, lean en transparant, maar bovenal dynamisch: het maakt het mogelijk om geleidelijk de juiste reflexen te verankeren in de gehele waardeketen en tot in de innovatieprocessen toe.

Soevereiniteit mag dus geen controle zijn die pas aan het einde van de keten plaatsvindt. Het moet een collectieve reflex worden, die al vanaf het ontwerp van projecten wordt geïntegreerd in inkoopbeslissingen, technologische keuzes en innovatieprocessen.

„Alleen dan houdt het op een extra beperking te zijn en wordt het een echte transformatiediscipline. ”

Het effect dat we niet hadden voorzien

We dachten een risico te beheersen; maar we hebben een brug geslagen”, verzekert Hubert Poncelet. „Door de afdelingen beveiliging, juridische zaken, inkoop en productontwikkeling te dwingen om bij elk leveranciersdossier met elkaar te overleggen, hebben we een regelgevingsspiraal rechtstreeks in de teams geïntegreerd die het product bouwen en ontwikkelen. De technische teams ontdekken de beperkingen op het gebied van beveiliging en gegevensbescherming niet meer achteraf, maar integreren deze al in een vroeg stadium, omdat ze nu deel uitmaken van de beslissingscyclus. »

Dat is de echte hefboom: het doorbreken van silo’s op het gebied van soevereiniteit en controle valt niet onder risicobeheer. Het is een mechanisme voor organisatorische afstemming dat de verschillende afdelingen dichter bij elkaar brengt rond eenzelfde visie op de onderlinge afhankelijkheden – en dat productbeslissingen versnelt in plaats van ze te vertragen.

„Digitale soevereiniteit wordt niet bij decreet vastgelegd in een persbericht. Ze wordt intern opgebouwd, door een eenvoudig besluit: de teams die nu nog te weinig met elkaar communiceren – beveiliging, juridische zaken, inkoop, productontwikkeling – met elkaar in gesprek brengen over dezelfde uitdagingen op het gebied van gegevensbescherming en leverancierscontrole.”

Kortom, dit is niet zomaar weer een compliance-project, het is een organisatorische keuze. En het ligt binnen het bereik van elk bedrijf dat besluit ermee aan de slag te gaan.