Blog
29 artikelen
Europa's digitale afhankelijkheid, uitgelegd
Dit zijn de belangen, op één plek. Hoe diep gaat de afhankelijkheid van Amerikaanse technologie, waarom maakt concentratie van gewone hulpmiddelen een systeemrisico, en waarom is een audit doorstaan niet hetzelfde als soeverein zijn? Deze hoofdpost bindt het betoog samen en verwijst naar het detail achter elke claim.
Soevereiniteit die te operationaliseren is
Dit is de methode. Zodra vaststaat dat de afhankelijkheid reëel is en compliance alleen het niet oplost, wordt de vraag operationeel: wat wordt er werkelijk beheerst, hoe valt dat aan te tonen, en hoe wordt vertrek mogelijk als het moet? Deze hoofdpost maakt van het standpunt een werkwijze en verwijst naar het artikel achter elke zet.
Soevereine AI, uitgelegd
Dit is onze witte vlek. Cloudafhankelijkheid is een bekend verhaal; AI herhaalt het één laag hoger, sneller en dieper. Deze hoofdpost legt uit waarom "soevereine AI" een echte categorie is en geen marketinglabel, en verwijst naar het artikel achter elke claim.
Van verplichting naar assurance: verantwoordelijkheid van het bestuur en continue compliance
Jarenlang was compliance iets wat het bestuur delegeerde en één keer per jaar terughoorde. Twee Europese wetten maakten daar een einde aan, door de naam van het bestuur zelf op de aansprakelijkheid te zetten. Deze slotpost gaat over wat er verandert wanneer compliance een governancefunctie wordt die het bestuur persoonlijk draagt.
Praktische gids: compliancegaten vinden (en dichten)
Elk complianceprogramma stuit vroeg of laat op dezelfde vraag, meestal een paar weken voor een audit: waar zijn we eigenlijk kwetsbaar? Dit is de methode om die vraag rustig en herhaalbaar te beantwoorden, voordat de audit het doet.
Een pragmatisch soevereiniteitsdraaiboek voor de komende 12 maanden
Zeven posts brachten het probleem in kaart. Deze gaat volledig over de oplossing. Dit is wat een Europese organisatie het komende jaar daadwerkelijk kan doen om haar afhankelijkheid van buitenlandse technologie te verkleinen, zonder alles in één keer te vervangen, zonder autarkie, en zonder te wachten tot Brussel de alternatieven bouwt.
Een referentiearchitectuur voor platformen die soeverein by default zijn
Acht posts verder, van de afhankelijkheidskaart tot het regioslot, volgt hier de synthese: de minimale architectuur die het woord "soeverein" eerlijk verdient. Geen productpraatje, een blauwdruk om de eigen stack tegen af te zetten.
Het overlapdividend: hoe één beheersmaatregel vijf raamwerken kan afdekken
Dit is het waardevolste inzicht uit compliance, en de meeste organisaties laten het liggen: een groot deel van het werk herhaalt zich. Dezelfde beheersmaatregelen duiken op in wet na wet, en juist daarom koppelt ENISA's eigen koppelschema NIS2 aan ISO 27001, NIST CSF en ETSI EN 319 401. Het werk wordt één keer gedaan, één keer met bewijs onderbouwd en overal meegeteld, dat is het overlapdividend.
Wie niet weg kan, is niet soeverein
Elk soevereiniteitsgesprek komt uiteindelijk bij dezelfde vraag, en dat is de vraag die er werkelijk toe doet: als de aanbieder volgend kwartaal verlaten moest worden, vanwege een prijsverhoging, een inbreuk, een rechtsbevel of een geopolitieke schok, zou dat lukken? En zou dat aantoonbaar zijn?
Geen lock-in, by design
In de begeleidende post is betoogd dat de echte soevereiniteitstoets is of weggaan mogelijk is. Dit is het antwoord van de ingenieur op de voor de hand liggende vervolgvraag: hoe wordt een systeem zo gebouwd dat vertrekken een gerepeteerde handeling is in plaats van een gijzelingsonderhandeling, inclusief vertrekken bij ons?
AI besturen: de AI-verordening, ISO 42001 en het NIST AI RMF
De AI-verordening is de nieuwste en snelst bewegende laag van het compliancedoolhof, zo snel dat de eigen deadlines halverwege 2026 verschoven. Dat maakt haar de perfecte casus voor de twee dingen die deze reeks blijft betogen: bouw voort op de beheersmaatregelen die er al zijn, en vertrouw nooit op een statisch antwoord.
Laat AI niet de volgende cloud-lock-in worden
Europa deed er vijftien jaar over om afhankelijk te worden van een handvol buitenlandse cloudaanbieders. Het is nu op weg hetzelfde te doen met AI, alleen sneller, en één laag dieper. Het goede nieuws: deze keer zien we het aankomen.
De prompt ís de data
Iedereen aanvaardt dat klantgegevens niet in een buitenlandse jurisdictie horen te staan. Vrijwel niemand past dezelfde regel toe op de prompts die naar een AI-model gaan, terwijl de prompt, en de context die wordt opgehaald om die te beantwoorden, vaak de klantgegevens zíjn. Soevereine AI die prompts naar een buitenlandse GPU verscheept, is niet soeverein. Het is een datadoorgifte met betere marketing.
DORA uitgediept: hoe de financiële sector weerbaarheid tot wet maakte
De meeste digitale regelgeving vraagt: "is de data veilig?" DORA stelt de financiële sector een moeilijker vraag: "als de technologie faalt, niet óf, maar wanneer, kan de dienstverlening dan doorgaan?" Het is het helderste voorbeeld in het Europese recht van weerbaarheid als juridische verplichting, en het is een blauwdruk voor hoe een sectorwet zich over algemene raamwerken heen legt.
De cyberparadox: soevereine beveiliging op afhankelijke bodem
Europa heeft werkelijk goede cyberverdedigers voortgebracht. Het probleem is waar ze staan.
AI beveiligen zoals aanvallers het breken
Prompt injection is het belangrijkste beveiligingsrisico in AI-toepassingen, en dan het ongemakkelijke deel: het is waarschijnlijk niet volledig te verhelpen. De opgave is dus niet om het "op te lossen". De opgave is zo bouwen dat er, wanneer het gebeurt, vrijwel niets ergs uit kan volgen.
Cyberwetgeving en de bijbehorende basis aan beheersmaatregelen: NIS2, de CRA en wat te kiezen
Twee Europese cyberwetten liggen inmiddels op het bord van de meeste organisaties: de ene bepaalt hoe beveiliging wordt gevoerd, de andere hoe producten worden gebouwd. De geruststelling is dat beide te beantwoorden zijn met een gangbare basis aan beheersmaatregelen die vaak al draait, aangevuld met een paar gerichte toevoegingen.
Soevereiniteit is geen autarkie
Het soevereiniteitsdebat blijft een valse keuze voorschotelen: zichzelf afsnijden van de beste technologie ter wereld, of permanente afhankelijkheid accepteren. Er is een derde optie, en het is de enige realistische.
Het regioslot: selectieve autonomie, in code
In de begeleidende post is betoogd dat soevereiniteit een draaiknop is, geen muur. Dit is hoe die draaiknop wordt gebouwd, en, minstens zo belangrijk, hoe wordt aangetoond dat hij daadwerkelijk ergens op aangesloten zit.
Privacywetgeving en de raamwerken die haar bewijzen: de AVG en verder
De AVG maakte van "wij respecteren privacy" een "bewijs het maar". Deze post gaat over de tweede helft van die zin, de raamwerken en beheersmaatregelen die van een privacybelofte auditklaar bewijs maken.
Compliant maar afhankelijk: waarom Europa sneller reguleert dan het bouwt
Elke audit op de kalender doorstaan en toch niet de eigen infrastructuur beheersen, het kan allebei tegelijk waar zijn. Compliance en soevereiniteit zijn niet hetzelfde, en die twee door elkaar halen is op dit moment de duurste vergissing in de Europese IT.
Wie kan data werkelijk afdwingen?
"Versleuteld in rust" is de meest geruststellende zinsnede in de zakelijke IT, en een van de minst informatieve. De vraag die de blootstelling werkelijk bepaalt, is eenvoudiger en lastiger: wie heeft de sleutels, en wie kan gedwongen worden ze te gebruiken?
Een decennium dat het regelboek herschreef: EU-digitale wetgeving, 2016 → 2026
In 2016 pasten de digitale verplichtingen van een EU-bedrijf in één richtlijn. In 2026 vullen ze een boekenplank, en die plank groeit nog. Het patroon begrijpen is belangrijker dan de afkortingen uit het hoofd leren, want het patroon zegt iets ongemakkelijks: compliance is nooit "af".
Hoe gewone hulpmiddelen ongemerkt kritieke infrastructuur worden
Niemand besluit om van een SaaS-tool een dragende balk van de economie te maken. Het gebeurt gewoon, de ene gemakkelijke keuze na de andere.
Ontwerpen tegen de monocultuur: een event-driven runtime
Eén slechte update liet ooit 8,5 miljoen machines in één middag crashen. De bug was te overleven. De architectuur niet. Zo wordt gebouwd zodat het niet kan gebeuren.
Wetten, raamwerken, standaarden, beheersmaatregelen: hoe ze werkelijk in elkaar passen
De helft van alle verwarring rond compliance komt voort uit vier woorden die door elkaar worden gebruikt alsof ze uitwisselbaar zijn. Dat zijn ze niet, en zodra ze uit elkaar worden gehaald, wordt het doolhof een stuk kleiner.
De echte kaart van Europa's digitale afhankelijkheid
Hoe diep gaat Europa's afhankelijkheid van Amerikaanse technologie werkelijk? Niet als leus, als een cijfer dat na te rekenen is.
Soeverein door architectuur, niet door belofte
Een EU-datacenterregio is een postcode. Het is geen soevereiniteit. Dit is het verschil, en de architectuur die het gat werkelijk dicht.
Het compliancedoolhof: waarom "zijn we compliant?" geen eenvoudig antwoord meer heeft
Tien jaar geleden had "zijn we compliant?" één eigenaar en één antwoord. Vandaag luidt het eerlijke antwoord: "compliant met wát, in welke hoedanigheid, per welke datum?" Die verschuiving, van een vraag naar een doolhof, is het slechtst beheerste risico in het Europese bedrijfsleven.