Digitale soevereiniteit in kritieke infrastructuur: van politieke retoriek naar industriële kansen

Nieuwe Europese regels, zoals de NIS2 Directive en de Cyber Resilience Act (CRA), verplichten organisaties om hun weerbaarheid, continuïteit en beveiliging van toeleveringsketens aan te tonen, ook bij geopolitieke spanningen. Met de EU Cyber Solidarity Act zet Europa bovendien in op actieve en gezamenlijke cyberverdediging via een Europees netwerk van Security Operations Centers. Daarmee verschuift de focus van passieve naleving naar actieve en gezamenlijke cyberverdediging. 

Vooruitkijken naar de volgende golf: DNA, CSA2 en industriebeleid 

Veel organisaties bereiden zich voor op nieuwe EU-regels zoals de Digital Networks Act (DNA) en de herziening van de Cybersecurity Act (CSA2). Deze stimuleren de modernisering van telecomnetwerken (glasvezel, 5G en 6G) en zorgen voor strengere controle op toeleveringsketens en meer transparantie over beheer en dataopslag.  

Met steun van het Digital Europe Programma laat de EU zien dat digitale soevereiniteit een industriële strategie is, waarbij Europa investeert in eigen technologische capaciteit en bedrijven samenwerken aan soevereine cloud- en cybersecurityoplossingen. 

Deze nieuwe regelgeving wordt ondersteund door het Digital Europe Programma 2025-2027. Daarmee maakt de EU duidelijk dat digitale soevereiniteit niet alleen een beleidsdoel is, maar ook een industriële strategie die wordt gefinancierd met miljarden aan publieke en private investeringen. Europa verschuift van het reguleren van buitenlandse technologie naar het actief opbouwen en financieren van eigen technologische capaciteit. Bedrijven spelen hierop in door samenwerkingsverbanden te vormen om toegang te krijgen tot subsidies en door te investeren in “soevereine cloud”-oplossingen die Europese dataopslag combineren met hoogwaardige cybersecurity. 

De kans van een biljoen euro 

In alle ophef over compliance wordt het volgende vaak over het hoofd gezien: soevereiniteit zorgt voor een enorme kapitaalinjectie in de markt. De verwachte Europese investeringen in technologie zullen de komende jaren meer dan 1,5 biljoen euro bedragen. 

Dit is geen geld dat wordt uitgegeven aan het bouwen van muren; het is geld dat wordt uitgegeven aan het opbouwen van capaciteit. Initiatieven zoals het IPCEI-CIS (Important Projects of Common European Interest - Cloud Infrastructure and Services) en de Cyber Solidarity Act financieren de implementatie van edge computing van de volgende generatie, AI-gestuurde dreigingsdetectie en veerkrachtige connectiviteit. 

Omgaan met “zachte soevereiniteit” als wereldspeler 

Hoewel nieuwe wetgeving vooral inzet op veiligheid en veerkracht, speelt ook “zachte regelgeving” zoals aanbestedingsvoorkeuren en certificeringen (bijv. EUCS) een rol, die soms lokale aanbieders bevoordeelt boven puur technische kwaliteit. Tegelijk is volledige technologische isolatie voor kritieke infrastructuur onrealistisch en zelfs onveilig. Daarom kiezen volwassen organisaties voor een risicogebaseerde aanpak, waarbij de nadruk ligt op technische capaciteit: controle over encryptiesleutels, continuïteit in crisissituaties of bij overstap van leverancier, snelle detectie en herstel bij dreigingen en het voordeel van wereldwijde innovatiekracht. 

Wij zijn van mening dat bij het kiezen van de juiste technologie de focus moet liggen op de technische capaciteit, want zo kan de veerkracht van de organisatie die er gebruik van maakt, gewaarborgd blijven. 

Soevereiniteit van gegevens: Ervoor zorgen dat gegevens zich in specifieke rechtsgebieden bevinden (bijv. datacenters in de EU) en dat zij bepalen wie er toegang toe heeft en om welke reden. 

Soevereiniteit van operaties: Ervoor zorgen dat de fundamenten van hun systemen – de encryptiesleutels, de administratieve toegang, het kritieke personeel – indien nodig kunnen worden afgeschermd van extraterritoriale invloed. 

Soevereiniteit van technologie: Gebruikmaken van de allerbeste wereldwijde technologie die transparantie, verificatie en controle van afhankelijkheden in de toeleveringsketen mogelijk maakt. 

De weg vooruit 

Voor CISO’s is digitale soevereiniteit een kans om een veerkrachtigere en beter verdeelde digitale infrastructuur te bouwen. Organisaties moeten focussen op daadwerkelijke controle en technische veiligheid in plaats van alleen op datalokalisatie of lokale leveranciers. Dit betekent dat bedrijven moeten gebruikmaken van publieke investeringen, transparantie en certificeringen eisen. Dankzij de samenwerking met financieel sterke en innovatieve technologiepartners zullen organisaties zich goed kunnen beschermen tegen steeds complexere (AI-gedreven) dreigingen.