Twee vormen van lock-in die niemand noemt
Bij digitale soevereiniteit wordt veel gesproken over dataresidentie. Waar draaien uw workloads, onder welk rechtsgebied en welke wetgeving vallen ze? Terecht, maar het verhaal is daarmee niet compleet. Een platform kan volledig in Nederland draaien en toch onder buitenlandse controle staan. Niet via de data, maar via de techniek zelf.
Twee vormen van afhankelijkheid blijven daarbij vaak onderbelicht:
1. Architecturale lock-in
Een groot deel van de markt praat over open source, maar bouwt ondertussen door op gesloten omgevingen. Zodra u eenmaal bent gemigreerd, migreert u niet zomaar terug zonder delen van de omgeving opnieuw op te bouwen. De standaard is open, maar het platform niet.
2. Jurisdictionele lock-in
Support, updates en licentiebeheer lopen vaak via een Amerikaanse moederorganisatie. De Cloud Act geeft de Amerikaanse overheid in theorie toegang tot data en systemen, ook wanneer de infrastructuur fysiek in Nederland staat. Dat is geen randgeval meer. Het is precies het soort afhankelijkheid dat relevant wordt binnen NIS2 en de aankomende Data Act.
Beide vormen van afhankelijkheid blijven vaak onzichtbaar totdat er een incident, audit of geopolitieke schok plaatsvindt. Dan wordt duidelijk hoeveel controle u daadwerkelijk had.