computable

Een app waarmee voetbalsupporters van eredivisieclubs wedstrijdkaarten kopen, stuurt privacygevoelige data zoals een pasfoto, BSN en handtekening naar een Amazon-server in Ierland en slaat die gegevens daar op. Daardoor vallen die data onder de Amerikaanse Cloud Act en kunnen deze gevorderd worden door de Amerikaanse staat, waarschuwt maatschappelijk hacker Mick Beer. Volgens de app-maker Siip zit Beer door een verkeerde aanname in een tunnelvisie en is zijn conclusie onjuist. De zaak is verhard en de beschuldigingen vliegen inmiddels over en weer. Mick Beer is zelfstandig bouwer en onderzoeker van ‘privacy-first systemen’. Eerder vond hij ongeoorloofde cookies in een app van de Belastingdienst. Hij onderzoekt nu de app PDT (Persoonlijke Digitale Toegang). Deze app van de Zwolse leverancier Siip koppelt de identiteit van de gebruiker aan een toegangsticket voor voetbalwedstrijden. De ontwikkelaar stelt dat het id-profiel van de gebruiker het toestel niet verlaat en dat dit niet op een server wordt opgeslagen. Volgens Beer is dat wel het geval. In een mailwisseling die Beer integraal heeft gepubliceerd, schrijft Siip-directeur Remco Voorhorst. ‘Om te zorgen dat er met gevalideerde gegevens wordt gewerkt, voeren wij passive authentication uit volgens de ICAO 9303 standaard. De datagroepen die noodzakelijk zijn om dit uit te voeren, worden versleuteld via de backend geleid voor de noodzakelijke cryptografische echtheidscontrole, waarna ze direct van onze servers worden verwijderd.’ Hij stelt dat zodra de echtheid van een document is gevalideerd, dit leidt dit tot een gebruikersaccount bij Siip. ‘De gevalideerde persoonsgegevens worden vervolgens teruggeleid tot het finaliseren van het account en decentraal opgeslagen op de telefoon.’ Er is volgens Voorhorst geen sprake van opslag van deze persoonsgegevens op een server. Er wordt op de server wel een account aangemaakt om dienstverlening te kunnen uitvoeren en daarvoor accepteert de gebruiker de voorwaarden van Siip. ‘Het e-mailadres van de gebruiker wordt wel versleuteld op de server opgeslagen’, voegt Voorhorst toe. Publicatie van onderzoek Beer beweert dat zijn bewijs wel klopt en heeft hiervoor ter onderbouwing inmiddels een hele serie documenten gepubliceerd. Volgens de app-maker zijn er daarmee regels geschonden voor responsible disclosure doordat Beer zijn ‘aannames’ zonder een juiste melding heeft verspreid. Beer blijft in zijn standpunt onderbouwen met uitgebreide publicaties, documenten en onderzoeken waaruit volgens hem blijkt dat de privacy van de app niet deugt. De app waar het over gaat wordt inmiddels door meerdere clubs gebruikt en er zijn plannen om deze in het seizoen 2027/2028 eredivisie-breed in te voeren, zegt Beer. In zijn blog deelt hij zijn bevindingen en testmethoden. De KNVB is om een reactie gevraagd. De voetbalbond zegt daar later deze week op terug te komen.

Het rijksbrede cloudbeleid wordt herzien. Het kabinet komt met een serie aanscherpingen en vervolgstappen om (geopolitieke) risico’s terug te dringen. Ook de afhankelijkheid van Amerikaanse leveranciers moet minder.  Het aangescherpte beleid zal gelden voor vrijwel de gehele rijksoverheid. Hoge Colleges van Staat en andere overheidsorganisaties wordt geadviseerd om het beleid te volgen. Staatssecretaris Willemijn Aerdts (Economische Zaken en Klimaat) kondigt de plannen aan in een brief aan de Tweede Kamer. Voor het gewijzigde cloudbeleid is geen extra geld beschikbaar. De implementatie kan hierdoor langere tijd in beslag nemen, tempert Aerdts de verwachtingen.  Aanscherpingen Voor bestaand cloudgebruik dat nu niet voldoet aan de eisen van het herziene rijkscloudbeleid, geldt een overgangstermijn van 4 jaar na vaststelling van dit beleid. Bestaande overeenkomsten met een langere looptijd mogen gerespecteerd worden. Wanneer migratie of aanpassing hoge kosten of risico’s met zich meebrengen, mag de aanpassing of migratie worden ingepast op een logisch moment in de levenscyclus van de betrokken toepassing. Kortom, de maatregelen zijn zeer vrijblijvend.  De voornaamste aanscherpingen zijn:  een uitbreiding van het aantal overheidsorganisaties die onder het cloudbeleid gaan vallen; bij gebruik van publieke cloud zijn opslag en verwerking beperkt tot de landen van de EER en worden data versleuteld (behalve wanneer het openbare data betreft); meer toepassingen die niet langer van publieke cloud gebruik kunnen maken;  een scherpere formulering voor de exit-strategie. Exit-plan Verplicht wordt het opstellen van een meer gedetailleerd exit-plan. Nu geldt soms alleen de eis dat een cloudleverancier bij een exit de data overhandigt en, na vertrek, deze zal vernietigen. Het gevraagde noodplan zorgt voor meer inzage in de benodigde doorlooptijd en kritische randvoorwaarden bij een exit. Het exit-plan geeft inzage in de mate waarin een overheidsorganisatie in staat is bij verstoringen in de digitale keten toch te functioneren. Materieel cloudgebruik en de bijbehorende risicoanalyse en exit-plannen moeten  gemeld worden bij de CIO Rijk. Het gaat hier om cloudgebruik dat er feitelijk toe doet voor de digitale autonomie, veiligheid en continuïteit van een organisatie.  Niet doen! Een aantal zaken wordt afgeraden: voor kritieke en essentiële entiteiten de ondersteuning van kerntaken over te laten aan niet-Europese leveranciers; e-mail- en documentbeheer in de publieke cloud te verwerken.Bestaande publieke cloudoplossingen worden, met een overgangstermijn, gemigreerd; publieke cloud te gebruiken voor verwerking van bijzondere persoonsgegevens. Indien toch noodzakelijk, moet Privacy Enhancing Technologie worden toegepast. Basisregistraties van de rijksoverheid mogen publieke cloud toepassen om redenen van performance en schaalbaarheid. De brondata mogen niet in de publieke cloud worden beheerd. Eerder kondigde staatssecretaris Eric van der Burg (Koninkrijksrelaties en Slagvaardige Overheid) aan om een zo soeverein mogelijke cloudomgeving in te richten die onder centrale regie wordt opgezet. Staatssecretaris Aerdts wil met gemeenten, provincies en waterschappen aan de slag om te komen tot een overkoepelend overheidsbreed cloudbeleid. Daarnaast zal de impact van EU-regelgeving, zoals voorgesteld in de Cloud and AI Development Act (Cada) ook een impact hebben op het toekomstige beleid.

In de rubriek De Overstap gidst ict‑journalist Robbert Hoeffnagel de ict-pro en -beslisser naar soevereine zakelijke oplossingen. Deel 7: de moeite die organisaties hebben om concrete keuzes te maken, Fransen willen overstappen voor zakelijke cloudgebruikers makkelijker maken en ga zelf experimenteteren met containerplatforms als portainers of CasaOS!Hoe snel gaat die overstap naar digitale soevereiniteit nu eigenlijk echt? Dat vroeg een cio van een financiële instelling mij laatst. Daar moest ik toch even over nadenken. Want aan de ene kant gebeurt er veel. Overheden, bedrijven en instellingen praten niet meer alleen over digitale soevereiniteit, maar zetten ook concrete stappen. Aan de andere kant hoor ik nog altijd discussies waarvan ik denk: hebben we het nu echt over hetzelfde onderwerp?Positief is natuurlijk dat de beweging op gang is gekomen. Neem de plannen van de Nederlandse overheid om te werken aan een zo soeverein mogelijke cloud, gebaseerd op de Haven-standaard. Of neem het bericht dat opnieuw een Duitse deelstaat afscheid neemt van Office 365 en overstapt op Nextcloud. De lijst met proof of concepts, pilots en daadwerkelijke migratieprojecten wordt inmiddels behoorlijk lang.Maar daar staan ook heel andere signalen tegenover.De Belgische consultant Jan Guldentops windt zich bijvoorbeeld al langer op over de manier waarop de Vlaamse overheid besloot om voor Microsoft Copilot te kiezen. Zijn probleem daarmee is niet alleen de nog verder toenemende afhankelijkheid van Microsoft, maar ook het kennelijk niet meewegen van berichten over de matige kwaliteit, het ontbreken van een aanbesteding en het feit dat alternatieven nauwelijks serieus lijken te zijn bekeken. Het resultaat: een discussie over de vraag hoe serieus sommige ambtenaren cq overheden digitale soevereiniteit eigenlijk nemen. In de Belgische politiek lijkt deze kwestie in ieder geval nauwelijks te spelen.Ook in Nederland gebeuren soms dingen die de wenkbrauwen doen fronsen. Zo hoorde ik onlangs een it-manager van een utiliteitsbedrijf in vrijwel één adem zeggen dat hun organisatie onder NIS2 valt en dus onderdeel van de kritieke infrastructuur is, maar dat men binnenkort ook met Microsoft Copilot aan de slag gaat. Een andere it-manager vertelde enthousiast hoe werken met Claude de productiviteit van developers flink verbetert, terwijl er intern binnen zijn bedrijf juist stevige discussies lopen over digitale soevereiniteit, want ook zij vallen ondere NIS2.Precies daar zit de spanning van dit moment. Veel organisaties begrijpen inmiddels best dat digitale soevereiniteit belangrijk is. Maar zodra er concrete keuzes moeten worden gemaakt, botsen principes met praktijk, beleid met gemak, en lange termijn met korte termijn.Diezelfde cio van de financiële instelling die vroeg hoe snel het nu met digitale soevereiniteit gaat, vertelde dat hij veel met collega’s over dit thema spreekt. Volgens hem steekt niemand bewust het hoofd in het zand. Het probleem zit ‘m vaak ergens anders: bij de rest van de boardroom.Andere belangenVeel bestuurders willen vooral zo snel mogelijk ai in productie nemen. Waarom? Afgezien van de lobby van de hyperscalers denken of verwachten veel c-level executives dat ai tot forse productiviteitsstijgingen kan leiden. En minstens zo belangrijk is een tweede argument: zij willen ai omdat concurrenten er ook mee bezig zijn. De druk om niet achter te blijven is groot.Dan komt de bestaande platformleverancier, vrijwel altijd een hyperscaler, handig om de hoek kijken. Wie al diep in het ecosysteem van Microsoft, AWS of een andere grote aanbieder zit, krijgt enterprise-ai bijna als logische vervolgstap gepresenteerd. De verleiding is groot om die route te kiezen. Het alternatief — eerst of tegelijkertijd migreren naar een soeverein(er) platform — klinkt in veel boardrooms als vertraging, riskant, kostbaar en organisatorisch gedoe.Migreren naar een soeverein platform klinkt in veel boardrooms als riskant, kostbaar en gedoe.Vanuit dat perspectief is migratie lastig te verkopen. Na een overstap naar een ander platform staat de organisatie in de ogen van veel bestuurders hooguit op dezelfde strategische positie als daarvoor. Er is geen nieuwe omzet, geen zichtbare productiviteitswinst en geen spectaculaire ai-demo voor de raad van bestuur. Terwijl ai juist wordt gezien als iets waarmee de organisatie de concurrentie kan voorblijven – of in ieder geval kan bijhouden.Daarmee wordt digitale soevereiniteit in de praktijk vaak geen technische discussie, maar een bestuurlijke afweging. Digitale autonomie gaat echter niet alleen over cloudplatformen, dataopslag of softwarekeuzes. Het gaat juist gaat over risico’s, continuïteit, compliance, afhankelijkheden en strategische bewegingsvrijheid. Alleen zijn dat begrippen die minder makkelijk scoren dan ‘ai-productiviteit’ of ‘sneller innoveren’.‘Lastige rol’ voor wetgevingJuist daarom speelt wetgeving zo’n belangrijke rol. NIS2 dwingt organisaties bijvoorbeeld om veel scherper na te denken over digitale weerbaarheid, leveranciersrisico’s en ketenafhankelijkheden. Dan is afhankelijkheid van Amerikaanse hyperscalers natuurlijk al ‘een punt van aandacht’ cq een rode vlag. Daar komt echter bij dat ook op het gebied van privacy en internationale datadoorgifte de druk fors is toegenomen.Neem de recente juridische discussie in de Verenigde Staten rond de positie van de Federal Trade Commission (FTC) in relatie tot privacyafspraken tussen de EU en de VS. De kern daarvan is – om een understatement te gebruiken – ‘ongemakkelijk’: hoe neutraal en betrouwbaar is het Amerikaanse toezicht eigenlijk vanuit Europees perspectief? Volgens het Amerikaanse hooggerechtshof is de FTC in ieder geval helemaal niet neutraal en onafhankelijk. Daarmee komt opnieuw de fundamentele vraag op tafel die al jaren boven de markt hangt: zijn de Europese en Amerikaanse juridische regimes op het gebied van privacy en datatoegang eigenlijk wel verenigbaar?Formeel zijn daar steeds oplossingen voor bedacht: juridische constructies, afsprakenkaders, aanvullende waarborgen. Maar de onderliggende spanning verdwijnt niet. Het kostte de Europese Commissie al de nodige juridische acrobatiek om eerdere privacyafspraken met de VS overeind te houden. Critici, onder wie de bekende Oostenrijkse privacyjurist Max Schrems, wijzen er al langer op dat dit probleem niet met geruststellende verklaringen verdwijnt. En wat betekent dat dan voor bedrijven in de kritieke infrastructuur van Nederland? Laten we vaststellen dat de urgentie om goed naar afhankelijkheden te kijken er zeker niet minder op is geworden.Geen rechte lijnEn daarmee zijn we terug bij de vraag van die cio: hoe snel gaat de overstap naar digitale soevereiniteit nu echt? Het eerlijke antwoord is, denk ik: sneller dan een paar jaar geleden, maar langzamer dan nodig is. We zitten midden in een overgangsfase. De urgentie wordt breed gevoeld, de eerste serieuze alternatieven bewijzen zich in de praktijk, en overheden en bedrijven durven vaker dan voorheen concrete stappen te zetten. Tegelijkertijd trekken gemak, bestaande contracten, ai-hype en commerciële druk organisaties nog altijd richting dezelfde grote Amerikaanse platformen.Digitale soevereiniteit is een hobbelige route vol tussenstappen, tegenstrijdigheden en ongemakkelijke keuzesDigitale soevereiniteit is dus geen rechte lijn van afhankelijkheid naar autonomie. Het is een hobbelige route vol tussenstappen, tegenstrijdigheden en ongemakkelijke keuzes. Maar één ding wordt steeds duidelijker: wie dit onderwerp blijft behandelen als een idealistisch it-thema, mist de kern – of we nu lid van de raad van bestuur zijn of it-specialist. Het gaat inmiddels om bestuurlijke controle over digitale infrastructuur. En die discussie is nog maar net begonnen.Franse toezichthouder wil overstappen makkelijker makenWerden de Fransen ook in de EU lange tijd als overdreven chauvinistisch gezien, inmiddels gaan ze voorop in ‘de strijd’ om digitale autonomie voor Europa (en inderdaad: Frankrijk). De Franse toezichthouder Arcep heeft nu nieuwe richtlijnen vastgesteld die zakelijke cloudgebruikers meer keuzevrijheid moeten geven. De regels zijn vooral bedoeld om financiële en technische drempels weg te nemen bij het overstappen naar een andere cloudprovider of het gebruik van meerdere cloudplatformen naast elkaar.De richtlijnen komen voort uit de Franse SREN-wet, die Arcep de taak geeft om een kader te ontwikkelen voor cloudmigraties en multi-cloudgebruik. Ook passen ze binnen de Ambition 2030-strategie van Arcep, waarin meer vrijheid bij de keuze van cloudservices een belangrijk doel is.Arcep heeft twee documenten opgesteld. Het eerste document gaat over de kosten die cloudproviders nog mogen meenemen bij het bepalen van overstapkosten, los van de egress fees, ofwel de kosten voor het verplaatsen van data uit een cloudomgeving. Overstapkosten mogen nog tot 12 januari 2027 in rekening worden gebracht. Vanaf die datum zijn ze verboden.Het tweede document gaat specifiek over egress fees bij multi-cloudoplossingen. Daarbij geeft Arcep een uitsplitsing van kosten die samenhangen met datatransfers, bijvoorbeeld rond de infrastructuur die nodig is om gegevens tussen verschillende cloudomgevingen te verplaatsen.De nieuwe richtlijnen bouwen voort op een eerder besluit uit februari 2025. Daarin stelde Arcep voor om het maximumbedrag voor egress fees bij het overstappen naar een andere cloudprovider op nul euro te zetten. De Franse minister voor Kunstmatige Intelligentie en Digitale Zaken nam dat voorstel later over.Met de nieuwe richtlijnen wil Frankrijk voorkomen dat zakelijke gebruikers onnodig vastzitten aan één cloudleverancier. Voor enterprise-klanten kan dat meer ruimte geven om cloudstrategieën te ontwikkelen waarin flexibiliteit, kostenbeheersing, continuïteit en digitale soevereiniteit zwaarder meewegen.‘Er zijn geen Europese leveranciers’Die opmerking hoor ik nog regelmatig. Ik sprak daar laatst Chris McCabe over. Hij is oprichter van de Ierse startup CipherCue. Onzin, vond hij dat. Zijn bedrijf heeft een service ontwikkeld waarmee aan de hand van scans van het netwerkverkeer van een organisatie in kaart gebracht kan worden welke tools en platformen zij gebruiken. Het bedrijf richt zich in eerste instantie op het in kaart brengen van het verkeer afkomstig van cybersecurity tools, maar overweegt dit uit te breiden met andere productgroepen.Om tegengas te kunnen geven aan het argument dat er geen Europese vendoren zouden zijn die zelf hun eigen tools ontwikkelen, is CipherCue bovendien begonnen met het opstellen van een directory van Europese tools. Vooralsnog vooral op het gebied van cybersecurity. Denk dus aan Europese vpn-ontwikkelaars, aanbieders van zelf ontwikkelde iam-oplossingen, waf-firewalls, noem maar op. Zijn bedrijf heeft nog lang niet alle aanbieders in kaart gebracht, vertelde McCabe, maar heeft alleen al rond security 39 aanbieders geïdentificeerd. En we zijn nog verre van compleet, vertelde hij.Ga zelf experimenterenBij vrijwel iedere discussie over digitale soevereiniteit wordt wel de opmerking gemaakt: ‘Ik zou zelf ook moeten overstappen’. Mijn eigen avonturen op dit gebied heb ik in ‘De Overstap’ al meermalen beschreven. Maar met alleen Linux op een laptop zetten, zijn we er natuurlijk niet. Ik denk dat we er goed aan doen ook met andere Europese danwel open source-tools en software aan de slag te gaan.Het uitproberen van nieuwe tools kan echter ook leiden tot technische problemen. Om te voorkomen dat we daarna keer op keer de computer van een nieuwe Linux-installatie moeten voorzien, gebruik ik graag CasaOS of Portainer. Daarmee krijg je thuis de beschikking over een containerplatform en wordt experimenteren een stuk makkelijker. Een mislukte test betekent dan in ieder geval niet meteen dat de hele computer vastloopt en je helemaal vanaf nul opnieuw moet beginnen. Je gooit simpelweg de container weg en start een nieuwe.Zo draai ik nu CasaOS op een kleine server. Daarop heb ik in aparte containers momenteel onder andere Immich geïnstalleerd voor het bewaren van foto’s. Ook heb ik Ollama geïnstalleerd omdat ik graag wil kijken of het lukt om in mijn thuisnetwerk ai-modellen als Llama of Kimi te gebruiken. Het resultaat? Ja, het draait. Maar de prestaties zijn op z’n best mager te noemen. Maar ja, wat wil je ook met een server waar niet eens een GPU in zit. Er gaat dus een zwaarder uitgevoerde server komen. Ben ik daarmee een ’thuisdatacenter’ aan het bouwen? Nee hoor, het blijven gewoon kleine kastjes die onder een beeldscherm passen.Ook ben ik met Tailscale aan de slag gegaan. De website van dit bedrijf ziet er ingewikkelder uit dan installatie en gebruik in de praktijk is. Tailscale is gebaseerd op open source-technologie en maakt het mogelijk om via internet op heel eenvoudige wijze toegang tot de eigen server(s) thuis te krijgen, zonder dat er allerlei poorten opengezet behoeven te worden. Het ‘self hosten’ van allerlei tools en applicaties die je vervolgens ook buitenshuis wilt kunnen gebruiken, wordt er een stuk makkelijker door. Tailscale installeren is heel eenvoudig, maar hou er rekening mee dat je in eerste instantie uitsluitend via SSH kunt werken. Met een open source-tool als Rustdesk kun je echter ook via een grafische interface vanaf de camping of waar dan ook op de computers thuis kijken, bestanden openen en dergelijke.Tenslotte nog twee interessante tooltjes. De eerste is Datacenter.fm. Nee, dat is geen radiozender. De ontwikkelaar wilde dit bereiken: ‘Experience the real-world sounds of ai’. Het is een interessante manier om de milieuimpact van ai te visualiseren.De tweede tool is FragDasPDF. De eenvoudigste optie op deze website maakt het mogelijk te chatten met een pdf die je uploadt. Maar eigenlijk biedt deze website vooral tools voor onderzoek en literatuurstudies. Handig voor wie een MBA doet. Of kinderen op MBO of HBO heeft.

In dit nieuwsoverzicht: Equinix en energiebedrijf A2A zet restwarmte in, Henrick Bos van MIVD naar cyberpraktijk Deloitte, OctoNona lijft i4 Networks in, Defensie investeert in drone-expert Intelic en ING Corporate Investments verkoopt SLTN-aandeel.Equinix koppelt datacenters aan warmtenet MilaanDatacenteraanbieder Equinix en energiebedrijf A2A gaan restwarmte uit datacenters op de Equinix‑campus in het Italiaanse Settimo Milanese inzetten voor het warmtenet van Milaan. De samenwerking moet ervoor zorgen dat warmte die vrijkomt bij servers niet langer wordt verspild, maar wordt teruggewonnen en gebruikt als duurzame energiebron voor de stad. Equinix ontwikkelt en beheert het afvoersysteem en werkt daarbij samen met klanten, omdat hun apparatuur de bron vormt van de thermische energie.De teruggewonnen warmte wordt geleverd aan een nieuw energiecentrum dat A2A naast de campus bouwt. Daar staan vier warmtepompen met een gezamenlijk vermogen van 72 MW, twee thermische opslagsystemen van in totaal 6.000 m³ en infrastructuur om de warmte naar het stedelijke netwerk te transporteren.Wanneer het project volledig operationeel is, kan tot 225 GWh restwarmte per jaar worden teruggewonnen. Dat moet zorgen voor ongeveer twintig procent extra warmte in het warmtenet van A2A, genoeg voor meer dan 21.000 woningen. De partijen verwachten een besparing van ruim 345.000 ton CO2 te behalen. Dat is vergelijkbaar met de jaarlijkse opname van ongeveer 220.000 bomen. In Nederland is Equinix actief met restwarmteprojecten in de stadsregio Amsterdam. [Pim van der Beek]Security-hoofd MIVD wordt directeur cyberpraktijk DeloitteAdviesbedrijf Deloitte Nederland heeft Henrick Bos benoemd tot directeur van de cyberpraktijk. In die rol helpt hij bedrijven en overheden met het versterken van hun digitale weerbaarheid. Ook adviseert hij bestuurders en directieleden over cyberdreigingen.Bos heeft een brede achtergrond in inlichtingen, nationale veiligheid en bestuurlijke advisering. Hij had hoge functies bij de Koninklijke Marechaussee, waaronder commandant beveiliging burgerluchtvaart, hoofd Politie Schiphol en plaatsvervangend directeur operaties. Vervolgens werkte hij in Den Haag als senior beleidsadviseur bij de hoofddirectie Algemene Beleidszaken van Defensie en als algemeen projectleider veiligheid rondom de Nuclear Security Summit van 2014. Dat was een internationale topconferentie in Den Haag over het voorkomen van nucleair terrorisme.Bij de MIVD (Militaire Inlichtingen- en Veiligheidsdienst) werkte hij als hoofd contra-inlichtingen en hoofd Inlichtingen. Voor zijn overstap naar Deloitte was hij MIVD-directeur cybersecurity. Hij zwaait bij Defensie af als brigadegeneraal.Frank Groenewegen, partner Cyber Risk bij Deloitte, is erg blij met de benoeming van Bos. Hij vindt dat de combinatie van operationele ervaring én bestuurlijke kennis ervoor zorgt dat Bos cyberdreigingen snel kan duiden en vertalen naar concrete keuzes, handelingen en acties voor besturen en directies. Ook zoekt Bos actief contact met belanghebbenden in de publieke en private sector. [Pim van der Beek]OctoNona neemt i4 Networks overOctoNona heeft internetprovider i4 Networks overgenomen. Met de transactie breidt OctoNona zijn activiteiten op het gebied van datacenterverbindingen en zakelijke internetdiensten verder uit. Financiële details zijn niet bekendgemaakt.i4 Networks, gevestigd in Arnhem, levert datacenterinterconnecties (dci), ip-transit en zakelijke connectiviteit. Het bedrijf is actief in 59 datacenters in Nederland en bedient organisaties in onder meer de overheid, zorg, industrie en het onderwijs. Volgens OctoNona sluit de expertise van i4 Networks op het gebied van datacenterconnectiviteit aan op de bestaande dienstverlening van de groep. Door de combinatie kunnen beide partijen hun netwerkbereik vergroten en diensten via meer locaties aanbieden.OctoNona ontstond in 2022 na de overname van Layer23 en breidde sindsdien uit met Atom86, A2B Internet en nu i4 Networks. Investeringsmaatschappij Photon Capital blijft de onderneming ondersteunen bij verdere groei en overnames in Europa.Defensie kiest Intelic voor softwarelaag van dronesystemenHet ministerie van Defensie heeft een driejarige overeenkomst ter waarde van tientallen miljoenen euro’s gesloten met Intelic. Het defensietechnologiebedrijf uit Amsterdam gaat de softwarearchitectuur ontwikkelen voor een ecosysteem van onbemande lucht- en grondsystemen.Centraal in de samenwerking staat Nexus, de command-and-controlsoftware van Intelic. Die moet ervoor zorgen dat drones en andere onbemande systemen van verschillende fabrikanten binnen één operationele omgeving kunnen samenwerken.Volgens Defensie wordt interoperabiliteit voortaan het uitgangspunt bij de ontwikkeling en aanschaf van nieuwe capaciteiten. Daarmee kiest Nederland voor een zogeheten software-first-benadering, waarbij de samenhang tussen systemen vooraf wordt geregeld in plaats van achteraf geïntegreerd.Het partnerschap volgt op ervaringen uit Oekraïne, waar interoperabele dronesystemen volgens Defensie van belang zijn voor operationele inzet. Nexus wordt daar sinds 2025 gebruikt. Eerder dit jaar introduceerde Intelic ook Intelic Base, een platform waarop defensieorganisaties en Europese dronefabrikanten elkaar kunnen vinden. Intelic werkt onder meer samen met TNO.Eugène Tuijnman 100 procent eigenaar SLTNSLTN-eigenaar Eugène Tuijnman heeft het minderheidsaandeel van ING Corporate Investments overgenomen. De investeerder stapte in september 2019 in. Toen verkocht Rabo Investments zijn meerderheidsbelang van 60 procent in de Hilversumse automatiseerder aan topman Tuijnman en ING Corporate Investments. Tuijnman verwierf daarmee een ‘zeer ruim’ meerderheidsbelang in het bedrijf dat hij in 1997 oprichtte. Nu neemt hij ook het resterende belang van ING over. ‘Er werd volop in de markt gespeculeerd dat ik SLTN zou verkopen maar het is dus des te leuker dat ik juist aandelen heb bijgekocht in plaats van verkocht’, aldus Tuijnman.De investeringstak van de Rabobank was sinds 2009 als aandeelhouder betrokken bij SLTN. De investeerder stapte in om oprichter Tuijnman te helpen met het terugkopen van de zaak. Die had hij twee jaar daarvoor verkocht aan een internationale system integrator TDMI, die later failliet ging. Hoogtepunt van de samenwerking was de overname van Inter Access door SLTN, in 2013. De daaropvolgende jaren groeide SLTN stevig door met een omzet van 385 miljoen euro in het meest recente boekjaar. De it-dienstverlener telt ruim zevenhonderd medewerkers.

Ai-tools zijn breed ingeburgerd op de werkvloer, maar organisaties slagen er nog onvoldoende in om die inzet te vertalen naar aantoonbare businesswaarde. Dat blijkt uit het ‘AI-onderzoek 2026‘ van Info Support, onder vierhonderd it-beslissers bij organisaties met meer dan vijftig medewerkers. Volgens de studie gebruikt 92 procent van de respondenten dagelijks ai-tools in het werk, vaak voor schrijven, samenvatten of brainstormen. In 44 procent van de organisaties kiezen medewerkers daarbij zelf hun tools, zoals ChatGPT of Copilot. Iets minder dan een kwart geeft aan dat ai is geïntegreerd in standaardworkflows of -systemen. Hoewel het gebruik breed is, ontbreekt volgens het onderzoek richting. Zo ziet 58 procent van de it-beslissers meer potentie in ai dan momenteel wordt benut. Daarnaast zegt 44 procent dat ai vooral wordt ingezet waar tools beschikbaar zijn, in plaats van daar waar de meeste waarde te behalen is. Bij 45 procent ontbreekt het vooral aan duidelijke keuzes en focus binnen de organisatie. Duidelijke doelen Ook governance blijft achter. Slechts 21 procent stelt dat het management de ai-strategie actief aanstuurt met duidelijke doelen, terwijl 22 procent het ontbreken van een strategie noemt als grootste uitdaging bij ai-implementatie. Volgens Info Support leidt dit tot versnipperd gebruik, dubbele werkzaamheden en risico’s rond data en beveiliging. ‘Ai wordt volop gebruikt, maar de waarde blijft liggen’, zegt Joop Snijder, head of ai bij Info Support. ‘Zonder sturing maken medewerkers vooral keuzes op basis van hun eigen werk, niet op organisatieniveau.’ Ook volgens managing director Bas Meerman ligt de sleutel in procesinrichting. Organisaties die grip krijgen op hun processen leggen daarmee de basis om ai structureel waarde te laten toevoegen, stelt hij.

De clouddiensten Microsoft Azure en Amazon Web Services (AWS) vallen volgens een voorlopig standpunt van de Europese Commissie onder de Digital Markets Act (DMA) binnen de categorie kernplatformdiensten. Daarmee zouden Microsoft en Amazon als ‘poortwachter’ moeten voldoen aan aanvullende verplichtingen. Wat houdt dat voorlopige oordeel in? Hoe verloopt de procedure verder? En wat kan de impact zijn op de cloudmarkt? Negen belangrijke vragen en antwoorden. #1 Wat heeft de Europese Commissie precies besloten? De Europese Commissie heeft in een voorlopig standpunt vastgesteld dat Microsoft en Amazon met hun clouddiensten Microsoft Azure en Amazon Web Services (AWS) als ‘poortwachter’ kunnen worden aangemerkt onder de Digital Markets Act (DMA). Dat voorlopige oordeel is gebaseerd op een gezamenlijk onderzoek van de Europese Commissie en de Autoriteit Consument & Markt (ACM). Volgens de ACM behoren Azure en AWS tot de grootste aanbieders van cloudinfrastructuur in Europa en vervullen zij een belangrijke toegangspoort tussen zakelijke gebruikers en digitale diensten. #2 Wat betekent het om ‘poortwachter’ te zijn onder de DMA? De DMA legt aanvullende verplichtingen op aan de grootste digitale platforms die een centrale positie innemen in de Europese digitale economie. Welke verplichtingen precies gelden, hangt af van de betreffende kernplatformdienst. Voor cloudproviders kunnen die verplichtingen onder meer betrekking hebben op het vergemakkelijken van overstappen naar andere aanbieders, het ondersteunen van dataportabiliteit, het bevorderen van interoperabiliteit en het voorkomen van oneerlijke contractvoorwaarden of vormen van vendor lock-in. Het doel van de DMA is een eerlijker speelveld te creëren waarin concurrentie en innovatie worden bevorderd. #3 Welke verplichtingen kunnen voor cloudproviders relevant zijn? Wanneer Azure en AWS definitief als poortwachter worden aangewezen, kunnen onder meer de volgende verplichtingen relevant zijn: Klanten moeten eenvoudiger kunnen overstappen naar een andere cloudprovider; Data moeten zonder onnodige belemmeringen kunnen worden meegenomen; Koppelingen met diensten van derden mogen niet onnodig worden beperkt; Contractvoorwaarden moeten transparant en eerlijk zijn; De aanbieder mag zijn marktmacht niet gebruiken om concurrentie onnodig te beperken. Welke verplichtingen uiteindelijk precies van toepassing worden, hangt af van het definitieve aanwijzingsbesluit van de Europese Commissie. #4 Wat gebeurt er na dit voorlopige besluit? Microsoft en Amazon krijgen eerst de gelegenheid om op het voorlopige standpunt van de Europese Commissie te reageren. Daarna volgt de verdere onderzoeks- en besluitvormingsprocedure. Naar verwachting kan een definitief besluit medio 2027 worden genomen. Wanneer Azure en AWS definitief als poortwachter worden aangewezen, krijgen Microsoft en Amazon vervolgens zes maanden de tijd om aan de toepasselijke DMA-verplichtingen te voldoen. #5 Welke diensten van Microsoft en Amazon vallen al onder de DMA? Microsoft werd in 2023 door de Europese Commissie al als poortwachter aangewezen voor onder meer Windows en LinkedIn. Voor Amazon geldt dat onder meer voor Amazon Marketplace. Deze eerdere aanwijzingen staan los van het huidige voorlopige onderzoek naar Azure en AWS. #6 Waarom werken de Europese Commissie en ACM samen? De DMA biedt de mogelijkheid dat de Europese Commissie en nationale mededingingsautoriteiten gezamenlijk onderzoek uitvoeren. In dit onderzoek bundelen de Europese Commissie en de ACM hun expertise om de werking van de cloudmarkt te analyseren. Hoewel de Europese Commissie exclusief bevoegd is om de DMA te handhaven, kunnen nationale toezichthouders zoals de ACM onderzoek uitvoeren en de Commissie daarbij ondersteunen. #7 Wat kunnen bedrijven doen als zij problemen ervaren? Bedrijven die belemmeringen ervaren bij het overstappen naar een andere cloudprovider, problemen ondervinden met gegevensoverdracht of vinden dat grote platforms hun marktmacht misbruiken, kunnen daarvan melding maken bij de ACM. Zulke signalen kunnen worden betrokken bij toezicht en eventuele vervolgonderzoeken. #8 Waarom houdt de ACM extra toezicht op de cloudsector? Volgens de ACM neemt de maatschappelijke en economische afhankelijkheid van clouddiensten snel toe. Daarom richt de toezichthouder zich onder meer op overstapdrempels, contractvoorwaarden, mogelijke vormen van marktmacht en het behoud van concurrentie en innovatie. Door marktstudies en samenwerking met de Europese Commissie wil de ACM voorkomen dat de cloudmarkt te afhankelijk wordt van een beperkt aantal aanbieders. #9 Welke lessen zijn te trekken uit eerdere DMA-zaken? De DMA heeft eerder geleid tot aanpassingen bij grote technologiebedrijven. Zo heeft Apple aangegeven dat bepaalde functies van Apple Intelligence, waaronder onderdelen van Siri AI, Live Translation en iPhone Mirroring, in de Europese Unie later of beperkt beschikbaar komen. Volgens Apple brengt de huidige interpretatie van de DMA verplichtingen met zich mee die volgens het bedrijf moeilijk verenigbaar zijn met zijn privacy- en beveiligingsarchitectuur. Of de aanwijzing van Azure en AWS uiteindelijk ook tot zichtbare wijzigingen in de dienstverlening zal leiden, is nog niet duidelijk. Dat hangt af van het definitieve besluit van de Europese Commissie en van de wijze waarop Microsoft en Amazon vervolgens invulling geven aan de toepasselijke DMA-verplichtingen.

In dit nieuwsoverzicht: privacytoets geeft Google Cloud groen licht, Ikazia introduceert ai-app voor consulten, Surf zet vraagtekens bij Afas Profit, DXC lanceert Private Cloud+ voor gereguleerde sectoren, en dashboard geeft grip op it-personeel Rijk. Nederlandse DPIA ziet geen hoge privacyrisico’s voor Google Cloud Een Data Protection Impact Assessment (DPIA) van SLM Rijk concludeert dat er geen bekende hoge privacyrisico’s zijn verbonden aan het gebruik van Google Cloud door de Rijksoverheid, mits de aanbevolen maatregelen worden uitgevoerd. Google Cloud maakte de uitkomst van het onderzoek bekend. Volgens Google zijn alle aandachtspunten uit de DPIA in overleg met SLM Rijk opgelost. Daarmee ontstaat voor rijksorganisaties een duidelijk kader om Google Cloud vanuit privacyoogpunt te gebruiken. De beoordeling volgt op een eerdere positieve DPIA voor Google Workspace. SLM Rijk, dat binnen de Rijksoverheid verantwoordelijk is voor strategisch leveranciersmanagement, voerde de privacytoets uit. De organisatie publiceerde een samenvatting van de bevindingen. Google stelt dat de uitkomst het vertrouwen in het cloudplatform versterkt en publieke organisaties ondersteunt bij hun digitaliserings- en cloudstrategie. Ikazia Ziekenhuis zet app in voor begrijpelijke samenvatting van consulten Het Ikazia Ziekenhuis in Rotterdam introduceert de app Ditto om patiënten medische gesprekken beter te laten begrijpen en onthouden. De app neemt consulten op en genereert binnen enkele minuten een samenvatting in begrijpelijke taal, desgewenst vertaald naar onder meer Turks, Engels of Arabisch. Volgens het ziekenhuis onthoudt een patiënt en slechts zestig tot tachtig procent van de informatie uit een consult, vooral wanneer het om complexe of emotionele onderwerpen gaat. De samenvattingen blijven op het toestel van de gebruiker, tenzij deze ervoor kiest ze te delen. Naast consulten kan de app ook medische brieven in begrijpelijke taal uitleggen. Volgens Ikazia draagt de technologie bij aan beter geïnformeerde behandelbeslissingen en minder misverstanden. Ditto is ontwikkeld door een Nederlandse startup en wordt inmiddels ook bij andere zorginstellingen ingezet. Surf signaleert veertien hoge privacyrisico’s in Afas Profit Surf heeft in een Data Protection Impact Assessment (DPIA) veertien hoge privacyrisico’s vastgesteld in Profit, het hrm- en payrollsysteem van AFAS. Volgens de onderwijs-ict-organisatie heeft Afas toegezegd de benodigde mitigerende maatregelen uiterlijk eind 2026 door te voeren. De risico’s hebben betrekking op de privacyrechtelijke rolverdeling, contractuele afspraken, de rechten van betrokkenen en de inrichting van de gegevensverwerking. Surf benadrukt dat de bevindingen vooral betrekking hebben op diagnostische gegevens en niet op de personeelsgegevens die instellingen zelf in Profit verwerken. Onderwijs- en onderzoeksinstellingen kunnen Profit voorlopig blijven gebruiken, maar Surf adviseert hen wel actie te ondernemen. Zo moeten zij onder meer interne processen aanpassen en de verwerkersovereenkomst met Afas herzien. Begin 2027 controleert Surf of de afgesproken maatregelen zijn uitgevoerd en volgt een geactualiseerde DPIA. DXC introduceert private-cloudoplossing voor gereguleerde sectoren DXC Technology heeft Private Cloud+ aangekondigd, een hybride- en private-cloudoplossing voor organisaties die werken met gevoelige of gereguleerde data. De dienst draait op infrastructuur van Dell Technologies en wordt beheerd via het orchestrationplatform DXC OasisS. Volgens DXC combineert Private Cloud+ de schaalbaarheid en het verbruiksmodel van publieke-cloudomgevingen met de controle en governance van een private cloud. De oplossing ondersteunt onder meer virtuele machines, containers, dataopslag, backup- en herstelvoorzieningen en ai-workloads. De dienst is gericht op sectoren met hoge eisen aan compliance en gegevensbescherming, zoals de overheid, zorg, financiële dienstverlening en industrie. Private Cloud+ is beschikbaar in drie varianten: Core, Dedicated en Government, die verschillen in onder meer beveiliging, tenant-isolatie en compliance-eisen. Met de introductie speelt DXC naar eigen zeggen in op de groeiende vraag naar hybride en multi-cloudomgevingen waarin datasoevereiniteit en cybersecurity centraal staan. Rijk lanceert dashboard voor inzicht in IT- en IV-personeel Rijksorganisaties krijgen voor het eerst toegang tot een rijksbreed dashboard met gegevens over het it- en informatievoorzieningspersoneel (IT/IV). Het dashboard is ontwikkeld in opdracht van CIO Rijk en biedt inzicht in onder meer de omvang, samenstelling en mobiliteit van het personeelsbestand. De gegevens zijn gebaseerd op het Kwaliteitsraamwerk Informatievoorziening (KWIV). Gebruikers kunnen zowel rijksbrede cijfers als gegevens van hun eigen organisatie raadplegen. Daarnaast bevat het dashboard informatie over externe inhuur. Volgens de Rijksoverheid moet het instrument organisaties ondersteunen bij het monitoren van beleid en strategische personeelsplanning. Ook moet het helpen bij beslissingen over de ontwikkeling van it-talent en de inzet van externe capaciteit. Het dashboard is sinds 24 juni beschikbaar voor rijksambtenaren via single sign-on (de gebruiker logt één keer in en krijgt daarna toegang tot meerdere applicaties of diensten, zonder opnieuw gebruikersnaam en wachtwoord te hoeven invoeren). De gegevens en functionaliteiten worden elk kwartaal uitgebreid en geactualiseerd.

Ai is in korte tijd uitgegroeid tot een vaste laag in cloudomgevingen, maar organisaties verliezen steeds vaker het overzicht over waar en hoe de technologie wordt ingezet. Dat blijkt uit het rapport ‘State of AI in the Cloud 2026’ van cloudsecuritybedrijf Wiz. Volgens het onderzoek gebruikt 81 procent van de organisaties managed ai-services en draait negentig procent self-hosted ai-software. Daarbij blijkt dat ai-modellen steeds vaker indirect via externe software (third-party software) worden gebruikt. Daardoor ontstaat volgens Wiz risico op onbekende afhankelijkheden en kwetsbaarheden in de toeleveringsketen, zonder dat er sprake is van expliciete implementatie of centraal toezicht. De adoptie van ai gaat inmiddels verder dan losse toepassingen. Ai is ingebed in cloudstack, development workflows en automatisering. Van de organisaties met self-hosted ai gebruikt 68 procent modellen via software van derden, terwijl achtien procent volledig afhankelijk is van dergelijke indirecte componenten. Slimme toevoegingen Ook in softwareontwikkeling is ai standaard geworden. Minstens tachtig procent van de organisaties gebruikt ai-ide-extensies (slimme toevoegingen voor een integrated development environment) en 71 procent heeft ai-codingassistenten in gebruik. Die adoptie verloopt vaak bottom-up, waardoor zogenoemde schaduw-ai ontstaat buiten centrale governance om. Dit vergroot volgens Wiz de complexiteit voor securityteams, omdat meerdere ai-systemen parallel actief zijn zonder uniforme beleids- en controlemechanismen. Daarnaast wijst het rapport op risico’s rond ai-gegenereerde code. Ongeveer één op de vijf organisaties die ai-gebaseerde ontwikkeltools gebruikt, kreeg te maken met structurele securityproblemen in applicaties. MCP Een opkomend aandachtspunt is de snelle adoptie van ai-agents en Model Context Protocol (MCP)-servers, die ai-systemen koppelen aan data en externe tools. 57 procent van de organisaties heeft al zelfgehoste ai-agenttechnologie geïmplementeerd. MCP-servers komen zelfs in tachtig procent van de cloudomgevingen voor, waarvan vijf procent direct via internet toegankelijk is. Volgens Wiz is de uitdaging niet langer de adoptie van ai zelf, maar het gebrek aan overzicht en controle. ‘Ai is al ingebed in ontwikkelingsworkflows, orchestratielagen en productie-infrastructuur’, zegt Niek Khasuntsev van Wiz. ‘Succesvolle organisaties behandelen ai-beveiliging als onderdeel van cloudsecurity, niet als aparte discipline.’

BLOG – Opensourcesoftware wordt al jarenlang gepresenteerd als hét antwoord op digitale onafhankelijkheid, transparantie en flexibiliteit. Overheden en organisaties omarmen het idee vaak vanuit strategische motieven: geen vendor lock-in, vrijheid om code aan te passen en de belofte van technologische soevereiniteit. Toch groeit het besef dat opensource anno nu niet langer automatisch gelijkstaat aan soevereiniteit, en dat de praktijk weerbarstiger is dan het ideaal.Opensource wordt gedragen door een brede en diverse gemeenschap van ontwikkelaars, variërend van individuele experts tot grote internationale technologiebedrijven. Waar Microsoft vroeger onder leiding van Bill Gates en Steve Ballmer kritisch stond tegenover opensource, veranderde dit in de jaren na 2010 onder ceo Satya Nadella. Sindsdien heeft Microsoft belangrijke technologieën zoals het .NET-framework opensource gemaakt, geïnvesteerd in Linux en bijgedragen aan organisaties zoals de Linux Foundation. Met de overname van GitHub in 2018 is Microsoft uitgegroeid tot een van de grootste bijdragers aan opensource wereldwijd.Deze samenwerking versnelt innovatie en leiden ertoe dat belangrijke software – zoals databases, cloudplatformen en security-oplossingen – continu wordt doorontwikkeld en verbeterd. Veel projecten hebben een internationaal karakter; dit biedt voordelen op het gebied van kennis, expertise en middelen. Organisaties kunnen hierdoor profiteren van hoogwaardige technologie én tegelijkertijd zelf bijdragen aan de richting en kwaliteit van de software. Opensource versterkt daarmee niet alleen innovatie, maar biedt ook een stevige basis voor digitale onafhankelijkheid en samenwerking over grenzen heen.Echter wordt ook cruciale infrastructuursoftware – denk aan databases, cloudplatformen en security libraries – vaak gedomineerd door organisaties die buiten Nederland of zelfs buiten Europa opereren. Daardoor ontstaat een paradox: hoewel de software open is, is de feitelijke invloed op de roadmap, beveiliging en doorontwikkeling sterk afhankelijk van buitenlandse partijen. Nationale soevereiniteit wordt zo ingeruild voor een vorm van afhankelijkheid die minder zichtbaar is, maar daarom niet minder reëel. Opensource als symbool van digitale autonomie verliest daarmee een deel van zijn kracht.SupportEen van de grootste struikelblokken voor enterprise-organisaties is support. Waar commerciële software vrijwel altijd gepaard gaat met duidelijke service level agreements, 24/7-ondersteuning en juridische garanties, is dit bij opensource lang niet altijd het geval. Support wordt vaak geleverd door commerciële entiteiten die een verdienmodel hebben gebouwd rondom een opensource product.Dit leidt tot een nieuwe afhankelijkheid: niet van de softwareleverancier, maar van de partij die support levert. Ironisch genoeg zijn dit vaak dezelfde internationale ondernemingen die we bij commerciële software proberen te vermijden.ExcellerenEnterprise-organisaties hebben andere behoeften dan idealistische communities. Stabiliteit, langetermijnonderhoud, garanties, certificeringen en integraties zijn doorslaggevend. Veel opensource-oplossingen excelleren in flexibiliteit en innovatie, maar missen functionaliteiten die in commerciële producten standaard zijn, zoals uitgebreide managementtools, gebruiksvriendelijke interfaces of diepgaande rapportagefunctionaliteit.Daarnaast vergt opensource vaak meer interne kennis en volwassen it-governance. Niet elke organisatie wil of kan investeren in het zelf beheren, beveiligen en doorontwikkelen van software. In zulke gevallen wordt opensource geen kostenbesparing, maar een extra complexiteitslaag.Dit betekent niet dat opensource zijn waarde heeft verloren. Integendeel: het stimuleert innovatie, voorkomt volledige afhankelijkheid van één leverancier en vormt de ruggengraat van het moderne internet. Veel commerciële oplossingen bouwen inmiddels zelf op opensource-componenten, wat onderstreept hoe belangrijk het ecosysteem is.ConclusieHet is essentieel om opensource niet langer te zien als een dogma of automatische keuze. Het is een strategisch instrument dat, net als commerciële software, kritisch beoordeeld moet worden op volwassenheid, supportstructuur en risico’s. Opensource is geen synoniem meer voor soevereiniteit. De afhankelijkheid van buitenlandse supportleveranciers, het ontbreken van enterprise-waardige garanties en het verschil tussen ideaal en realiteit maken dat organisaties nuchter moeten evalueren waar opensource wel en niet past.Het streven naar openheid en transparantie blijft waardevol, maar alleen in combinatie met professionele ondersteuning, duidelijke verantwoordelijkheden en realistische verwachtingen kan opensource duurzaam onderdeel zijn van een moderne it-strategie. Het ideaal leeft voort, maar de praktijk vraagt om nuance.Ruud Pieterse, enterprise-architect DXC TechnologyDit liveblog is afgelopen.Er zijn nog geen liveblog-updates. Toon meer

Het Adviescollege ICT (AcICT) vindt dat veel topambtenaren, overheidsbestuurders en -directeuren te weinig aandacht hebben voor digitale veiligheid. Ook beheer en onderhoud zijn vaak een ondergeschoven kindje. De opdrachtgeversrol komt mede door kennisgebrek geregeld onvoldoende uit de verf. Politieke leiders schieten hier eveneens tekort.Het onafhankelijk adviesorgaan stuitte tijdens de twintig onderzoeken die vorig jaar zijn uitgevoerd naar ict-projecten binnen de overheid telkens op dezelfde manco’s. Hoge functionarissen nemen hun eindverantwoordelijkheid op ict-gebied onvoldoende serieus. Ze besteden te weinig structurele aandacht aan essentiële onderwerpen zoals security en onderhoud. Dat vergroot de risico’s bij zowel de ontwikkeling als het beheer van ict.Neem bestuurlijk leiderschap serieus en neem verantwoordelijkheid, maant het Adviescollege ICT in het jaarverslag 2025. Het AcICT wijst op de noodzaak om beter te sturen op digitale veiligheid. Security binnen overheden is geen technisch vraagstuk, maar vraagt strategische aandacht op het hoogste bestuurlijke niveau. Het aantal beveiligingsincidenten neemt toe, terwijl de basisbeveiliging vaak nog niet op orde is, met verstrekkende gevolgen. Uit de onderzoeken blijkt dat beveiligingsrisico’s regelmatig worden onderschat. Bestuurders hebben hier te weinig aandacht voor, terwijl de beschikbare inhoudelijke kennis ‘niet altijd toereikend’ is.Het AcICT doet de volgende aanbevelingen:Zorg dat strategische beveiligingseisen concreet, toepasbaar en toetsbaar zijn en zie toe op naleving;Richt risicobeheersing van informatiesystemen in met zowel preventieve als reactieve maatregelen en herijk dit regelmatig;Bespreek resultaten van risicobeheersing en incidentanalyses periodiek met eindverantwoordelijken;Maak een bewuste afweging over het al dan niet accepteren van resterende risico’s.Beheer en onderhoudNaast security blijven ook beheer en onderhoud van bestaande systemen een zwak punt. Te vaak ziet het Adviescollege dat in projecten geen realistische reservering voor beheer en onderhoud wordt gemaakt. Op bestuursniveau wordt onvoldoende budget vrijgemaakt. Daardoor ontbreken in de beheerfase de middelen om ict-problemen te voorkomen. Noodzakelijk onderhoud en doorontwikkeling blijven achter, waardoor problematische legacy ontstaat.Ook op dit punt doet het AcICT aanbevelingen:Investeer gedurende de volledige levensduur in systemen en houd ict zowel functioneel als technisch actueel;Plan updates tijdig, voer preventief onderhoud uit en verwerk wijzigingen op verzoek van gebruikers, zodat systemen bruikbaar en veilig blijven;Zorg voor structurele financiering voor toekomstvast onderhoud en beoordeel de fitheid van applicaties en landschap continu;Houd al in de projectfase rekening met beheer en onderhoud en borg de benodigde reservering.Rol overheidOok de rol van de overheid als opdrachtgever moet sterker, zeker wanneer het Rijk met andere overheden samenwerkt. Vaak ontbreekt een duidelijke en actieve opdrachtgeversrol. Dit belemmert sturing op resultaten, kwaliteit en risico’s en leidt tot vage verantwoordelijkheden, moeizame samenwerking en onvoldoende grip op veiligheid en kwaliteit.Het AcICT doet ook hier aanbevelingen:Zorg voor sterke regievoering. Projecten lopen vast wanneer opdrachtgevers te veel leunen op uitvoering en onvoldoende concrete, meetbare eisen stellen;Richt een heldere rolverdeling in tussen opdrachtgever en opdrachtnemer en gebruik passende stuur- en verantwoordingsinformatie. Wanneer een opdrachtgever op de stoel van de opdrachtnemer gaat zitten door oplossingen voor te schrijven in plaats van te sturen op het ‘wat’, ontstaat wrijving en vertraging. Deze rolvastheid is gedurende de gehele levensduur nodig, zowel in project- als beheerfase;Richt adequaat portfoliomanagement in om capaciteit en middelen goed te verdelen over beheer en vernieuwing.Het is overigens niet alleen kommer en kwel rond ict-projecten binnen de Rijksoverheid. Het Adviescollege ziet ook positieve ontwikkelingen, zoals een meer resultaatgerichte en gedisciplineerde aanpak, met focus op kleine stappen en direct bruikbare resultaten.

Anthropic heeft woensdag het geavanceerde ai-model Fable 5 voor gebruikers wereldwijd weer vrijgegeven. De toegang tot het verwante model Mythos 5 dat minder waarborgen voor de veiligheid kent, wordt verbreed.  Nadat dinsdag al honderd Amerikaanse organisaties het model weer mochten gaan gebruiken voor gebruik in defensieve cyberbeveiliging, kondigt het ai-bedrijf een uitbreiding aan. Meer binnenlandse en internationale partners in het Glasswing-programma dat de cybersecurity moet bevorderen, komen in aanmerking.  Anthropic kan de toegang herstellen sinds de Amerikaanse overheid op 12 juni de exportcontroles heeft opgeheven op de nieuwe, zeer krachtige ai-modellen Fable 5 en Mythos 5. Die beperkingen golden voor buitenlandse staatsburgers, zowel binnen als buiten de VS. Omdat Anthropic geen betrouwbare manier had om de nationaliteit in realtime te verifiëren, schortte het bedrijf de toegang tot beide modellen voor alle gebruikers op.  Jailbreaks Reden voor de regering in Washington om buitenlanders het gebruik van beide modellen te ontzeggen, was de angst voor ‘jailbreaks’ van ai-modellen.  De vrees bestond dat cybercriminelen technieken zouden toepassen die de waarborgen van een model omzeilen.  Samen met Amazon, Microsoft, Google en een aantal partners gaat Anthropic een consistente manier ontwikkelen om mogelijke ‘jailbreaks’ te beoordelen en te repareren. Het ai-bedrijf zal ook dieper met de Amerikaanse overheid samenwerken, onder meer bij nieuwe pre-release testen. De exportcontrole-richtlijn van 12 juni volgde op een rapport waarin Amazon‑onderzoekers aantoonden dat Fable 5 onder specifieke omstandigheden kon worden omzeild en werd aangezet tot het identificeren van kwetsbaarheden in de software. In één geval genereerde het model zelfs code die liet zien hoe een kwetsbaarheid kon worden uitgebuit.  Anthropic wijst erop dat ook minder krachtige modellen – zoals Claude Opus 4.8, GPT‑5.5 en Kimi K2.7 – dezelfde kwetsbaarheden konden vinden. Bovendien bleken alle geteste modellen in staat om dezelfde exploit‑demonstratie te produceren, wat aantoonde dat de techniek geen unieke Mythos‑achtige cybercapaciteiten blootlegde maar een grensgeval was binnen Fable 5’s veiligheidsmechanismen. Classifier De gemelde ‘bypass’ betrof routinematig defensief beveiligingswerk, maar Anthropic greep toch snel in. In samenwerking met de overheid werd een verbeterde ‘classifier’ getraind die het beschreven gedrag vrijwel volledig blokkeert: in meer dan 99% van de gevallen wordt de techniek tegengehouden. In zeldzame gevallen kan beperkte, niet‑schadelijke informatie vrijkomen.  Onderzoekers van de Amerikaanse overheid bevestigden dat zowel de oude als nieuwe waarborgen zeer robuust zijn. De nieuwe classifier leidt wel tot vaker onterecht geblokkeerde verzoeken bij normaal programmeer‑ en debugwerk, wat Anthropic verder wil verfijnen om misbruik beter te onderscheiden van legitieme toepassingen. Het wereldwijd uitschakelen van Fable- en Mythos-modellen gaf veel beroering. De securitywereld vroeg de VS om het exportverbod terug te draaien. Ai vindt al sinds vorig jaar bugs en genereert werkende exploits op bovenmenselijk niveau, stelden honderd ciso’s, onderzoekers en techleiders. ‘Het verbod treft niet de aanvallers, die uitwijken naar alternatieven, maar juist de verdedigers die nu zonder hun beste defensieve tool zitten.’  Kamervragen De kamerleden Ouafa Oualhadj, Sarah El Boujdaini (beiden D66) en Roger Dassen (Volt) kwamen met in totaal 35 vragen over deze kwestie aan staatssecretaris Willemijn Aerdts (EZK). Ze vrezen dat een exportverbod  vergaande gevolgen heeft voor het Nederlandse concurrentievermogen. Maar het kabinet denkt dat een exportverbod op een individueel ai-model weinig impact heeft. In antwoord op kamervragen stelt Aerdts dat er nog voldoende hoogwaardige alternatieven beschikbaar zijn, waaronder modellen die open source beschikbaar zijn. Zij constateert dat het verschil tussen zogeheten ‘frontiermodellen’ en minder geavanceerde modellen mogelijk minder groot is dan de berichtgeving rond grote modelaankondigingen suggereert. ‘Het is daarom goed om te benadrukken dat de risico’s en kansen niet voortkomen uit één specifiek geavanceerd ai-model. Ook open, vrij toegankelijke ai-modellen komen steeds dichterbij dergelijke geavanceerde capaciteiten.’  Het kabinet ziet ook geen noodzaak tot een Europese spoed-top om de gevolgen van ai op de economie en samenleving om te zetten in actie.

COLUMN – Paniek vorige week op de Amerikaanse beurzen. Apple verhoogde de prijzen van iPads en MacBooks met honderden dollars. Het is één van de grootste verhogingen in de geschiedenis van het bedrijf. Het prijsverschil is hier in Nederland nog niet doorgedrongen, maar dat is een kwestie van tijd. Reden voor de prijsstijging is het tekort aan geheugenchips. Hierdoor worden de chips duurder, maar nog belangrijker: hierdoor kan Apple er minder maken. En minder verkopen vindt Apple helemaal niet erg, als het maar wordt verkocht met een veel grotere marge. Zelfs de Chinezen willen in hun eigen auto’s rijden Aan de kostprijs kan het niet liggen. Of ze in China nu een Apple of een tablet maken waarvan we het merk niet eens kennen (in China maakt elke provincie zijn eigen tablet), in beide gevallen kosten ze slechts een paar tientjes. Volste vertrouwen Of de vraag naar Apple-producten kleiner gaat worden door de prijsstijging is afwachten. Apple heeft er dus zelf het volste vertrouwen in dat klanten ook hun producten blijven kopen als deze (nog) duurder worden zonder dat ze er iets extra’s voor terugkrijgen. Nu kun je natuurlijk lang op je imago blijven leunen, maar het houdt een keer op. De grote automerken zoals BMW en Volkswagen dachten dat ook. De Europese auto-industrie wordt inmiddels links en rechts voorbijgereden door de Chinese auto-industrie. Zelfs de Chinezen willen in hun eigen auto’s rijden. Dat zegt genoeg. Misschien wordt het voor Apple weer eens tijd dat ze weer eens voorop gaan lopen en dat hun enige unique selling point niet is dat ze duurder zijn, maar veel beter dan die Chinese rommel. Of ze gokken erop dat hun unique selling point wordt dat in hun producten nog wel een geheugenchip zit. In dat geval koop ik ook weer een Apple. Dan maar wat duurder. Jacob Spoelstra is columnist/stand-upcomedian. Kijk hier voor meer informatie.

Cybersecuritybedrijf Eye Security heeft zestig miljoen euro opgehaald in een Series C-financieringsronde. De investeringsronde wordt geleid door Sofina, dat een minderheidsbelang neemt in het bedrijf.Ook bestaande investeerders TIN Capital, J.P. Morgan Growth Equity Partners en Bessemer Venture Partners doen opnieuw mee. Het betreft naar eigen zeggen de grootste investering ooit in een Nederlandse cybersecuritystartup.Eye Security, opgericht in 2020 in Den Haag door voormalige medewerkers van Nederlandse inlichtingen- en veiligheidsdiensten, richt zich op middelgrote organisaties in Europa die behoefte hebben aan cyberbeveiliging op enterprise-niveau. Het bedrijf stelt dat Europese organisaties steeds vaker te maken hebben met strengere regelgeving, een groeiende dreiging van cyberaanvallen en toenemende afhankelijkheid van digitale infrastructuren.Met de nieuwe financiering wil Eye Security zijn Europese groei versnellen, nieuwe markten betreden en het platform verder doorontwikkelen. Daarnaast wordt extra geïnvesteerd in technische teams, threat intelligence en klantondersteuning. Het bedrijf heeft inmiddels meer dan duizend klanten in de Benelux, de Dach-regio en andere Europese markten en is actief vanuit kantoren in Nederland, België en Duitsland.Slimmer en snellerVolgens ceo en oprichter Job Kuijpers is er in Europa behoefte aan meer zelfstandige cybersecurityoplossingen. ‘Cyberaanvallen worden slimmer en gaan sneller. Organisaties moeten daar elke dag op kunnen reageren’, aldus Kuijpers. ‘Wij bouwen aan een Europees alternatief met focus op onafhankelijkheid en Europese waarden.Het platform van Eye Security combineert continue monitoring, een 24/7-security operations center, incidentrespons en cyberverzekeringen. Daarmee positioneert de onderneming zich als geïntegreerde securitydienstverlener, waarbij preventie en herstel in één omgeving worden aangeboden. Daarnaast werkt het platform met een combinatie van geautomatiseerde detectie en menselijke dreigingsanalyse.Sofina ziet in Eye Security een Europese ‘category leader’ in een snelgroeiende markt. Volgens investeringsmanager Jean-François Burguet is de combinatie van ai-gedreven dreigingen en toenemende regulering een groeifactor voor het bedrijf. Ook TIN Capital benadrukt dat Eye Security inspeelt op geopolitieke spanningen en strengere compliance-eisen binnen Europa.De nieuwe investering moet niet alleen de commerciële groei versnellen, maar ook bijdragen aan extra innovatie en uitbreiding van het partner-ecosysteem, waaronder managed service providers. Daarmee wil Eye Security zijn positie als Europees alternatief in cybersecurity verder versterken.

Event | SAP Sapphire 2026 Op SAP Sapphire 2026 in Madrid presenteerde SAP 224 agents en een nieuw ai-platform voor de autonome enterprise. Procesmanager Erik Grave van Gasunie schetst wat er in de praktijk aan die ambitie voorafgaat. Tijdens Sapphire 2026 in Madrid zette SAP zijn grootste strategische stap in jaren. Het bedrijf introduceerde de Autonomous Enterprise: een visie waarbij bedrijfssoftware niet langer wacht op instructies van medewerkers, maar processen zelfstandig uitvoert. Daarvoor presenteerde SAP het SAP Business AI Platform, een geïntegreerde omgeving waarin kunstmatige intelligentie, bedrijfsdata en proceskennis samenkomen. Bovenop dat platform introduceert SAP de Autonomous Suite, met meer dan tweehonderd gespecialiseerde ai-agents voor uiteenlopende bedrijfsfuncties: van financiële afsluiting en inkoop tot personeelsbeheer en klantcontact. Vijftig zogeheten Joule-assistenten bundelen die agents en voeren complete processen van begin tot eind uit. Ceo Christian Klein verwoordde de ambitie scherp: ‘Bijna goed is voor de meest kritieke bedrijfsprocessen van onze klanten simpelweg niet goed genoeg.’ Een onderdeel van de aankondiging is Company Memory, een nieuwe laag binnen het SAP-platform die de informele beslislogica van een organisatie vastlegt (zie ook kader). Waar proceshandboeken en beleidsregels het formele kader beschrijven, zit veel praktische kennis in de hoofden van medewerkers: uitzonderingen die altijd op een bepaalde manier worden afgehandeld, goedkeuringspatronen die nergens zijn opgeschreven en ervaringen die in e-mails en vergaderverslagen zijn beland. Company Memory haalt die kennis op, structureert die als kleine kenniseenheden en stelt die beschikbaar aan agents. Wanneer een uitzondering wordt afgehandeld, leert het systeem daarvan en past het de kennisbasis direct aan voor alle actieve agents. Wat is Company Memory?Company Memory is een nieuwe SAP Signavio-functionaliteit die de informele beslislogica van een organisatie vastlegt en beschikbaar stelt aan ai-agents. Denk aan uitzonderingen die altijd op een bepaalde manier worden afgehandeld, goedkeuringspatronen die nergens zijn opgeschreven of ervaringen die in e-mails en vergaderverslagen zijn beland. Het systeem structureert die kennis en synchroniseert updates direct naar alle actieve agents. Wanneer een uitzondering wordt verwerkt, leert het systeem daarvan en past het de kennisbasis direct aan voor alle andere agents. De praktijk bij Gasunie Maar voordat agents autonoom kunnen opereren, moet de basis op orde zijn. Bij Gasunie draait S/4Hana anderhalf jaar in productie. Erik Grave, procesmanager Requisition to Pay bij het bedrijf, sprak tijdens Sapphire met Computable over zijn ervaringen. Die laten zien hoe groot de afstand tussen belofte en praktijk kan zijn. Erik Grave (Gasunie). Gasunie beheert een groot deel van de Nederlandse en Noord-Duitse energie-infrastructuur en zit midden in de energietransitie: naast gastransport groeit het aandeel waterstof- en warmteprojecten. Dat vergroot de diversiteit van het inkooplandschap. Ruim 3.400 medewerkers kunnen bestellingen plaatsen, van persoonlijke beschermingsmiddelen tot complexe dienstverleningsopdrachten voor de energie-infrastructuur. Als staatsdeelneming en speciaal sectorbedrijf is Gasunie voor een groot deel van de inkoop verplicht aan te besteden, opereert het in meerdere entiteiten en joint ventures en heeft het te maken met strikte compliancevereisten rond sanctiemonitoring. Circa negentig procent van de inkoopprocessen is inmiddels gestandaardiseerd, een bewuste keuze om handmatige stappen te elimineren en bestellingen zoveel mogelijk geautomatiseerd uit te sturen na financiële goedkeuring. De implementatie van S/4Hana, project Max genaamd en uitgevoerd met Deloitte, ging op 1 oktober 2024 live via een greenfield big bang-migratie. De migratie nam twee jaar in beslag, waarbij 57,8 miljoen records werden geladen, meer dan zeventig interfaces en vijftig koppelingen werden gebouwd en meer dan vierhonderd medewerkers van Gasunie, Deloitte en SAP uit meerdere landen betrokken waren. Het doel was helder: twee losse inkoopstromen samenvoegen tot één geïntegreerd proces. ‘We wilden één plek waar orders worden aangemaakt en één kanaal met leveranciers, zodat voor hen ook duidelijk is hoe ze moeten factureren’, zegt Grave. Vast Dat plan liep gaandeweg vast op de integratie tussen twee SAP-systemen: Ariba Guided Buying, de inkoopfrontend die medewerkers gebruiken om aanvragen in te dienen, en S/4Hana, het centrale erp-systeem waarin orders worden aangemaakt en verwerkt. Halverwege het implementatietraject wijzigde SAP zijn advies: de eerder gehanteerde best-practice bleek te complex. Gasunie had die aanpak niet zelf bedacht, maar gevolgd omdat het binnen de SAP-standaard wilde blijven. SAP stopte ermee, maar Gasunie was al vergevorderd. ‘Dat is gewoon heel vervelend als je er zelf al bijna klaar voor bent’, zegt Grave. Anderhalf jaar later werkt zijn team nog steeds met work-arounds: van contractinformatie die niet correct doorkomt tot eindgebruikers die onduidelijke foutmeldingen krijgen. Toch is Grave niet bitter. Wie met SAP werkt, weet dat een langdurige relatie vraagt om pragmatisme aan beide kanten. ‘Het is altijd een kwestie van geven en nemen’, zegt hij. ‘De relatie met SAP is goed.’ Hij hoopt via dit soort gesprekken zijn behoeften bij SAP te articuleren en goodwill op te bouwen voor de momenten dat hij die nodig heeft. De structurele oplossing is in aantocht: SAP herbouwt de Ariba-omgeving volledig op het Business Technology Platform, waardoor de integratie met S/4Hana op dataniveau wordt verenigd en als één systeem kan functioneren. Grave verwacht die overgang ergens in 2027, afhankelijk van afstemming met it en SAP. ‘De trein rijdt, maar het spoor wordt nog gelegd’, zegt hij daarover. Versnelling Ondertussen verkent Gasunie actief de mogelijkheden van ai binnen het inkoopproces, maar altijd vanuit concrete procesbehoeften en de vraag hoe ai kan zorgen voor versnelling en productiviteitsgroei. ‘De vraag die ik altijd stel is: waar zit het probleem dat ai kan oplossen?’ zegt Grave. In de praktijk gaat het vaak mis bij de aanvraag zelf: een besteltekst die niet klopt, een verkeerde leverancier of een te vage specificatie. ‘Maar dat soort fouten kom je later in het proces pas tegen.’ Gasunie heeft daarom een procurement desk ingericht die niet-standaard aanvragen controleert voordat ze het proces ingaan. Ai-agents zouden een deel van die controles kunnen overnemen, zeker bij routinematige opdrachten. Voor complexe bestellingen blijft menselijk oordeel leidend. ‘De mens controleert, tenzij’, formuleert Grave het. De aankondiging van Company Memory volgt hij met interesse. Gasunie is een studie gestart naar procesanalyse, vooralsnog op basis van een andere tool, maar kijkt ook naar SAP Signavio, waarop Company Memory is gebaseerd. Toch waarschuwt Grave voor te hoge verwachtingen. ‘AI wordt vaak gezien als het duizend-dingen-doekje, maar dat is het niet. Wat levert het ons écht op? Waar gaat het ons daadwerkelijk iets brengen?’ Vanuit de Raad van Bestuur is de opdracht om ai toe te passen, maar implementatie vraagt om het identificeren van zinvolle use-cases, zegt hij. Dat is precies de context die de SAP-boodschap nuanceert. SAP-cto Philipp Herzig erkende in een gesprek met Computable dat de verantwoordelijkheid voor ai-governance primair bij de klant ligt. Gaat een agent de fout in, dan is de verantwoordelijkheid ‘gedeeld’ tussen SAP en klant, stelde hij, maar wie bepaalt wat een agent wel en niet mag doen? Dat is de klant, via de eigen it-afdeling, aldus SAP. Voor Gasunie, met aanbestedingsverplichtingen, strenge compliance-eisen en inkoopprocessen die raken aan kritieke energie-infrastructuur, is dat geen abstracte beleidskwestie maar dagelijkse praktijk. En die vraagt om een fundament dat op orde is vóórdat agents echt autonoom aan het werk gaan.