F-Secure waarschuwt voor digitale afhankelijkheid

Stel: een ziekenhuismedewerker begint op maandagochtend aan haar dienst. Het gebouw staat er gewoon, de netwerkkabels liggen op hun plek, de servers in de kelder draaien. Maar haar wachtwoord wordt geweigerd. Niet door een hack of stroomstoring, maar omdat het Amerikaanse bedrijf achter het authenticatiesysteem van het ziekenhuis de toegangsvoorwaarden heeft gewijzigd. De patiëntendossiers staan een paar meter verderop. Ze kan er niet bij.

Zo ziet digitale afhankelijkheid er in de praktijk uit. Geen doorgeknipte kabels, geen brandende datacenters. Wel een verhuurder die 's nachts de deurcode verandert. Toen Timo Laaksonen, topman van het Finse F-Secure, deze maand waarschuwde dat Europa sterk afhankelijk is van kritieke diensten onder Amerikaanse controle, wees hij precies op dit soort stille kwetsbaarheid in de digitale infrastructuur (Yle).

De deurcode ligt niet in Europa

Wie wil begrijpen waar het risico zit, moet kijken naar wat er gebeurt voordat die ziekenhuismedewerker haar inbox ziet.

Eerst voert ze haar inloggegevens in. Veel Europese organisaties gebruiken Amerikaanse identiteitsdiensten, met Microsoft Entra ID als bekendste voorbeeld, om te controleren wie hun medewerkers zijn. Valt zo'n dienst uit of trekt de aanbieder de toegang in, dan worden alle achterliggende applicaties tegelijk onbereikbaar (Hypergate). Eén dichte deur, met daarachter tientallen kamers.

Daarna komt de afstandsbediening van de cloudinfrastructuur: het dashboard waarmee IT-afdelingen servers aanmaken, databases beheren en de digitale sloten instellen die gevoelige gegevens moeten beschermen. De patiëntendossiers van een ziekenhuis kunnen fysiek op een server in Frankfurt staan. Maar als het dashboard, de factureringsrekening en die digitale sleutels worden beheerd door een Amerikaans moederbedrijf, betekent "gehost in Europa" nog niet "onder Europese controle" (JRC).

Hetzelfde patroon keert terug bij e-mail, documentopslag, software-updates en zelfs bij het adresboek van internet, DNS, dat browsers vertelt waar websites te vinden zijn. Duits onderzoek laat zien dat ongeveer 96% van de Duitse bedrijven afhankelijk is van geïmporteerde digitale technologie. Amerikaanse cloudproviders hebben bovendien meer dan 70% van de Europese markt in handen (egovernment.de).

Toen het slot daadwerkelijk omging

Drie recente voorbeelden laten zien dat dit geen theoretisch risico is.

AI-bedrijf Anthropic schortte voor sommige gebruikers de toegang tot zijn nieuwste modellen op om te voldoen aan Amerikaanse exportregels. Er werd geen server uitgetrokken. Een juridische verplichting liet simpelweg een digitale mogelijkheid van bepaalde schermen verdwijnen (AP, Reuters).

In Nederland blokkeerde de rechter de overname van Solvinity door het Amerikaanse Kyndryl. Solvinity host DigiD, het digitale identiteitsstelsel waarmee Nederlanders onder meer belastingzaken en zorgdiensten regelen. De reden was juridisch en praktisch tegelijk: onder Amerikaanse wetgeving, waaronder de CLOUD Act en FISA, kunnen bedrijven in Amerikaanse handen worden gedwongen data over te dragen, ongeacht waar die data fysiek staan. Een nationaal identiteitsstelsel kan niet goed functioneren onder zo'n rechtsregime (Ius Mentis).

In Frankrijk concludeerde een onderzoekscommissie van de Assemblée nationale dat circa 80% van de publieke softwareaankopen via Amerikaanse partijen loopt, goed voor ongeveer € 1,5 miljard per jaar. Ministeries, energiebedrijven en vervoersnetwerken hangen daarmee aan leveranciers die in theorie onder politieke of juridische druk toegang kunnen beperken (Banque des Territoires, Clubic).

Terugvalopties, geen luchtkastelen

Europa kan de Amerikaanse technologiestapel niet zomaar opnieuw bouwen. De schaalvoordelen zijn daarvoor op korte termijn te groot. Maar Europa kan wel zorgen dat minder systemen tegelijk omvallen wanneer één toegangslaag verdwijnt.

Frankrijk eist inmiddels dat clouddiensten die voor gevoelig overheidsgebruik worden gecertificeerd, niet door buitenlands recht kunnen worden gedwongen de controle uit handen te geven (CER). Duitsland werkt aan openDesk, een opensourcepakket voor kantoorsoftware. De Europese Commissie plaatst het vraagstuk in haar Tech Sovereignty Package in één kader met chips, AI, cloud en opensource (European Commission).

De Finse cybersecurityonderzoeker Mikko Hyppönen wijst overigens op een afhankelijkheid die vaak buiten beeld blijft: ook verdedigingsmiddelen kunnen kwetsbaarheden worden. Een firewall in Helsinki die zijn dreigingsinformatie, virusdefinities en software-updates uit het buitenland krijgt, blijft afhankelijk van ononderbroken toegang tot een buitenlandse dienst. Valt die stroom weg, dan wordt de muur blind (YouTube / Hyppönen).

De praktische test voor elk Europees ziekenhuis, elke gemeente en elk ministerie is daarmee vrij eenvoudig: als morgenochtend één leveranciersaccount, één identiteitsprovider of één updatekanaal verdwijnt, kunnen medewerkers dan nog inloggen, dossiers ophalen en communiceren? Instellingen die daar ja op kunnen antwoorden, hebben digitale soevereiniteit. Wie dat niet kan, huurt nog steeds een pand zonder precies te weten wie de sleutel beheert.