Europa praat over onafhankelijkheid? 15.000 gemeenten geanalyseerd: De onzichtbare macht van Microsoft in onze besturen

Explosief onderzoek onthult: Oostenrijkse gemeenten zijn afhankelijk van Microsoft

De mythe van onafhankelijkheid: Waarom digitale soevereiniteit al in de inbox faalt

In 2026 lijkt e-mailcommunicatie bijna een saaie, basale technologie. Toch wordt juist daar, in de onopvallende inboxen van onze lokale overheden, een van de meest cruciale strategische vraagstukken van onze tijd beslist: de digitale soevereiniteit van Europa. Terwijl technologische onafhankelijkheid welsprekend wordt verkondigd op het politieke toneel, onthult een grootschalig onderzoek van het MXmap-project naar meer dan 15.000 gemeentelijke e-mailinfrastructuren in de DACH-regio (Duitsland, Oostenrijk en Zwitserland) een grimmige realiteit. De resultaten tonen een flagrante afhankelijkheid van Amerikaanse bedrijven – met name Microsoft.

Maar het beeld is verre van uniform: terwijl Duitsland verrast met een opvallend laag Amerikaans aandeel van slechts 7,2 procent, zijn Oostenrijk (67 procent) en Zwitserland (53,3 procent) sterk afhankelijk van de techgigant. Wat op het eerste gezicht een puur technisch inkoopvraagstuk lijkt, brengt in werkelijkheid enorme economische, gegevensbeschermings- en geopolitieke risico's met zich mee. Want wie de digitale infrastructuur beheert, beheert ook de gevoelige metadata van overheidsinstanties, burgers en bedrijven. Lees verder om te ontdekken waarom een ​​Amerikaanse aanbieder niet automatisch onveilig is, waarom echte soevereiniteit gebaseerd moet zijn op keuzevrijheid in plaats van autarkie – en waarom de werkelijke kosten van een digitale monocultuur niet worden weerspiegeld in de licentiekosten.

Digitale soevereiniteit begint in de gemeentelijke brievenbus: een onopvallend infrastructuurprobleem met politieke explosieve gevolgen

In 2026 lijkt e-mail bijna een saaie, basale technologie. Juist daarom wordt het strategische belang ervan gemakkelijk onderschat. Binnen de lokale overheid is het niet zomaar één communicatiekanaal van de vele, maar een verbindend element tussen afdelingen, burgers, bedrijven, politieke instanties, overheidsinstanties en externe dienstverleners. Gemeentelijke mailboxen worden gebruikt voor het inplannen van afspraken, personeelszaken, aanbestedingen, sociale voorzieningen, informatie over bouw- en bedrijfsactiviteiten, interne rapporten en meldingen van administratieve procedures. Zelfs als bijzonder gevoelige gegevens niet onversleuteld via e-mail mogen worden verzonden, genereren de afzender, ontvanger, tijdstempels, onderwerpregels, bijlagen en communicatiefrequentie al waardevolle metadata.

Tegen deze achtergrond zijn de gepubliceerde resultaten van het MXmap-project van aanzienlijk economisch en politiek belang. Volgens het project werden 15.331 gemeentelijke e-mailinfrastructuren in Duitsland, Oostenrijk en Zwitserland onderzocht. Het gerapporteerde aandeel van Amerikaanse aanbieders bedraagt ​​slechts 7,2 procent in Duitsland, 53,3 procent in Zwitserland en 67 procent in Oostenrijk. De categorie Amerikaanse aanbieders omvat dus bijna uitsluitend Microsoft. De werkelijke conclusie is dan ook niet alleen een afhankelijkheid van een niet-Europees rechtssysteem, maar ook een uitzonderlijk sterke concentratie op één enkele onderneming.

De verschillen zijn zo significant dat ze moeilijk afgedaan kunnen worden als willekeurige schommelingen. Het percentage in Oostenrijk is meer dan negen keer zo hoog als in Duitsland, en in Zwitserland meer dan zeven keer zo hoog. Omgekeerd betekent dit dat ongeveer 92,8 procent van de onderzochte Duitse gemeentelijke infrastructuur niet wordt geclassificeerd als geleverd door Amerikaanse leveranciers, terwijl dit cijfer in Zwitserland slechts 46,7 procent en in Oostenrijk 33 procent is. Deze verdeling maakt Duitsland niet automatisch digitaal soeverein of Oostenrijk onveilig. Het laat echter wel zien dat drie economisch met elkaar verweven landen met vergelijkbare administratieve taken tot fundamenteel verschillende beslissingen zijn gekomen op het gebied van aanbesteding en infrastructuur.

Deze studie biedt iets wat vaak ontbreekt in het debat over digitale soevereiniteit: een empirisch zichtbare structuur. De term wordt veelvuldig gebruikt in het politieke discours, maar blijft vaak abstract. Een kaart van gemeentelijke e-mailproviders vertaalt de term naar concrete afhankelijkheden, regionale patronen en institutionele beslissingen. Het laat niet zien wie de beste toespraken houdt, maar wel welke providers daadwerkelijk verankerd zijn in de dagelijkse communicatiekanalen van de overheid.

Wat de cijfers daadwerkelijk meten

Een betrouwbare analyse vereist allereerst onderscheid tussen e-maildomein, e-mailroutering, providertoewijzing, gegevensverwerking en fysieke opslaglocatie. Het project verzamelt gemeentelijke domeinen uit officiële adresboeken en andere openbaar toegankelijke bronnen, identificeert e-mailadressen, controleert DNS- en MX-records en vult deze gegevens aan met informatie zoals SPF-gegevens, Autodiscover-informatie, SMTP-kenmerken en toewijzingen aan autonome netwerken. Vervolgens gebruikt het systeem verschillende technische indicatoren om te bepalen welke provider waarschijnlijk de e-mailservice verzorgt. De methodologie omvat ook controles van beveiligingsfuncties zoals SPF, DMARC, DNSSEC en DANE.

Dit is aanzienlijk informatiever dan simpelweg naar één MX-record te kijken. Beveiligingsgateways kunnen de onderliggende mailservice verbergen, doorstuurregels kunnen een verkeerde indruk wekken en historische gegevens kunnen nog steeds bestaan, zelfs als een service praktisch niet meer in gebruik is. Door meerdere indicatoren te combineren en deze te valideren met behulp van bounceberichten, wordt de betrouwbaarheid van de mapping verbeterd. Bovendien verhoogt het openbaar maken van de pipeline, data en maps de verifieerbaarheid en maakt het correcties mogelijk.

De resultaten moeten echter niet te breed worden geïnterpreteerd. Openbare DNS-signalen geven voornamelijk aan waar e-mails kunnen worden bezorgd en welke systemen als legitieme afzenders fungeren. Ze bewijzen niet in elk individueel geval waar alle berichten, back-ups, logboeken en metadata worden opgeslagen. Evenmin kan op basis van deze informatie alleen worden vastgesteld welk contracttype een gemeente gebruikt, of er speciale clientversleuteling is geïmplementeerd, wie de sleutels beheert of welke onderaannemers erbij betrokken zijn. De term 'server' kan ook misleidend zijn, aangezien een enkele gemeente meerdere technische eindpunten kan gebruiken en omgekeerd kunnen veel gemeenten via een gedeeld platform worden bediend.

De juiste interpretatie is daarom niet dat 67 procent van de Oostenrijkse gemeenten aantoonbaar alle gevoelige gegevens op fysieke servers in de Verenigde Staten opslaat. Het is veeleer betrouwbaar vastgesteld dat een zeer hoog percentage van de onderzochte Oostenrijkse gemeenten een publiekelijk identificeerbare e-mailinfrastructuur heeft die is toegewezen aan een Amerikaanse provider, voornamelijk Microsoft. Deze provider- en jurisdictiegebonden afhankelijkheid is op zichzelf al economisch significant, zelfs als de gegevens in een Europees datacenter worden opgeslagen.

Ook de totale bevolking verdient aandacht. Gemeentelijke structuren veranderen door fusies, administratieve samenwerkingsverbanden en gedeelde domeinen. Een technische analyse kan meerdere domeinen omvatten die tot één lokale overheid behoren, of omgekeerd, meerdere lokale overheden toewijzen aan een gedeelde infrastructuur. Daarom moeten percentages altijd worden gepubliceerd samen met de referentiedatum, de definitie van de onderzochte eenheid, classificatieregels, betrouwbaarheidsniveaus en het percentage gevallen dat niet duidelijk kan worden toegewezen. Hoewel een grote steekproefomvang het algemene patroon overtuigender maakt, vervangt dit niet de transparantie met betrekking tot deze methodologische details.

Soevereiniteit is het vermogen om te stemmen, niet digitale autarkie

Digitale soevereiniteit wordt vaak ten onrechte gelijkgesteld aan volledige technologische zelfvoorziening. Een dergelijke autonomie zou voor individuele gemeenten noch realistisch, noch economisch haalbaar zijn. Geen enkele gemeente hoeft haar eigen processors te ontwikkelen, haar eigen besturingssysteem te programmeren en een eigen datacenter te beheren. Soevereiniteit betekent eerder dat men zelfstandig, tegen redelijke kosten, cruciale beslissingen kan nemen en deze indien nodig kan bijsturen. Dit omvat controle over data, identiteiten, sleutels, interfaces, contractvoorwaarden, operationele processen en exitstrategieën.

De doorslaggevende factor is daarom niet alleen de herkomst van een product, maar veeleer de combinatie van rechtsmacht, technische controle, economische vervangbaarheid en operationele capaciteit. Een Europese aanbieder met eigen formaten, zwakke beveiligingsprocessen en een gebrek aan portabiliteit kan ook afhankelijkheid creëren voor een gemeente. Omgekeerd kan een Amerikaanse aanbieder technisch uitstekende diensten, hoge beschikbaarheid, sterke verdedigingsmechanismen en contractueel beperkte datastromen bieden. De herkomst blijft echter relevant, omdat de eigendomsstructuur en het hoofdkantoor bepalen aan welke extraterritoriale wetten en overheidsvoorschriften een aanbieder onderworpen kan zijn.

Soevereiniteit kan daarom worden opgevat als een strategische optie. Een gemeente is soevereiner naarmate zij geloofwaardiger kan overstappen van aanbieder, individuele diensten kan vervangen, gegevens volledig kan exporteren, haar eigen sleutels kan beheren en kan blijven functioneren ondanks geopolitieke of juridische veranderingen. Een puur theoretische keuze is onvoldoende. Als het overstappen van aanbieder contractueel is toegestaan, maar technisch jaren duurt, niet kan worden beheerd met het beschikbare personeel, of onbetaalbaar wordt vanwege eigen integraties, dan is er feitelijk geen sprake van keuzevrijheid.

Vanuit economisch perspectief is digitale soevereiniteit vergelijkbaar met een verzekering tegen zeldzame, maar potentieel ernstige gebeurtenissen. In normale omstandigheden lijkt redundantie duurder dan een uniform platform. In een crisissituatie wordt de waarde van alternatieve werkmethoden, draagbare data en onafhankelijke expertise echter duidelijk. De moeilijkheid schuilt erin dat de voordelen van deze paraatheid niet elk jaar zichtbaar zijn, terwijl licentie- en migratiekosten direct in de begroting worden weerspiegeld. Aanbestedingssystemen die alleen prijzen op korte termijn vergelijken, onderschatten daarom structurele risico's.

Waarom Microsoft economisch zo aantrekkelijk is

De wijdverbreide acceptatie van Microsoft is niet alleen het gevolg van politieke nalatigheid. Het volgt een sterke economische logica. Microsoft 365 combineert e-mail, agenda, adresboekservices, Office-applicaties, videoconferenties, documentopslag, samenwerking, apparaatbeheer, beveiligingsfuncties en, in toenemende mate, kunstmatige intelligentie in één geïntegreerd systeem. Voor een gemeente met beperkte IT-middelen kan zo'n pakket aantrekkelijker zijn dan het coördineren van talloze afzonderlijke oplossingen van verschillende leveranciers.

Bovendien zijn er schaalvoordelen. Een wereldwijde hyperscaler verdeelt investeringen in datacenters, netwerken, spamfilters, dreigingsanalyse, hoge beschikbaarheid en softwareontwikkeling over miljoenen klanten. Kleinere aanbieders zijn wellicht zeer efficiënt op individuele gebieden, maar bereiken zelden dezelfde wereldwijde onderzoeks- en investeringscapaciteit. De arbeidsmarkt is ook gunstig voor gevestigde systemen: er zijn veel beheerders, adviesbureaus, trainingsprogramma's en gestandaardiseerde certificeringen beschikbaar voor Microsoft-producten. Gemeenten kunnen gemakkelijker personeel en dienstverleners vinden wanneer ze gebruikmaken van breed geaccepteerde technologieën.

Een andere factor is bundeling. Als een kantoorpakket al in gebruik is, lijkt het extra gebruik van Exchange Online vaak kosteneffectief. De zakelijke afweging kan echter vertekend raken als voordelige pakketten de concurrentie tussen individuele diensten elimineren. Een ogenschijnlijk goedkoop totaalpakket kan op de lange termijn hogere overstapkosten met zich meebrengen, omdat e-mail, identiteitsbeheer, documenten, groepsbeleid, videoconferenties en gespecialiseerde applicaties steeds meer met elkaar verweven raken. Hoe meer componenten afhankelijk zijn van een gedeelde directory en eigen interfaces, hoe duurder de uiteindelijke scheiding zal zijn.

Netwerkeffecten versterken deze dynamiek. Wanneer naburige gemeenten, overheidsinstanties, adviesbureaus en externe partners dezelfde tools gebruiken, dalen de coördinatiekosten. Bestanden kunnen probleemloos worden uitgewisseld, vergaderingen kunnen via vertrouwde platforms worden georganiseerd en bestaande sjablonen blijven bruikbaar. Elke nieuwe organisatie die zich bij het ecosysteem aansluit, vergroot de voordelen voor de bestaande deelnemers. Tegelijkertijd krimpt de markt voor alternatieven, waardoor hun investeringscapaciteit afneemt en ze minder aantrekkelijk worden.

De keuze voor Microsoft kan daarom rationeel zijn op het niveau van een individuele gemeente, terwijl het algehele resultaat vanuit een macro-economisch perspectief problematisch wordt. Dit onderscheid tussen individueel economisch voordeel en collectief risico is cruciaal. Geen enkele gemeente draagt ​​de volledige verantwoordelijkheid voor het technologisch concurrentievermogen van Europa. Als echter duizenden overheidsinstanties volgens dezelfde kortetermijnlogica beslissen, ontstaat er een machtsconcentratie waarvan de geopolitieke en concurrentiële kosten voor rekening van het grote publiek komen.

De tegenstelling tussen vraag en aanbod in Oostenrijk

Oostenrijk speelde een sleutelrol bij de totstandkoming van de Europese Verklaring inzake Digitale Soevereiniteit. Dit initiatief had als doel de capaciteit van Europa te versterken om digitale infrastructuur, data en technologieën onafhankelijk te reguleren en te beslissen over het gebruik ervan, zonder al te veel afhankelijkheid van externe partijen. Het feit dat 67 procent van de onderzochte gemeentelijke e-mailinfrastructuren wordt geleverd door Amerikaanse bedrijven, toont echter een duidelijke tegenstrijdigheid tussen politieke ambitie en operationele realiteit.

Deze tegenstrijdigheid is niet louter retorisch. Ze wijst op een typisch implementatieprobleem in het digitale beleid. Strategieën worden op federaal en Europees niveau vastgesteld, terwijl concrete IT-beslissingen decentraal worden genomen in gemeenten, gemeentelijke samenwerkingsverbanden, deelstaten en overheidsbedrijven. Verantwoordelijkheden, budgetten, bestaande contracten en personeelsvaardigheden zijn verdeeld over vele niveaus. Een verklaring kan doelen formuleren, maar verandert niet automatisch bestaande licentieovereenkomsten, technische interfaces en vastgestelde administratieve processen.

Het hoge Oostenrijkse percentage kan verschillende structurele oorzaken hebben. Mogelijke factoren zijn onder meer landelijke aanbestedingskaders, sterke regionale IT-dienstverleners met een focus op Microsoft, de wijdverspreide adoptie van de Microsoft-werkomgeving, gestandaardiseerde adviesdiensten en de wens van kleine gemeenten om de bedrijfsvoering en beveiliging grotendeels uit te besteden. Succesvolle aanbevelingen verspreiden zich ook binnen regionale netwerken. Zodra een platform zich in een deelstaat heeft gevestigd, wordt het de veronderstelde standaardkeuze met een laag risico. De kaart met de regionale clusters ondersteunt deze verklaring, maar bewijst niet welke factor in een specifiek geval doorslaggevend was.

Met name kleine gemeenten staan ​​voor een lastig dilemma. Een eigen mailserver is geen teken van soevereiniteit als updates vertraagd zijn, er een tekort is aan gekwalificeerd personeel, er geen 24/7-monitoring is en herstelplannen alleen op papier bestaan. Overstappen naar een professioneel beheerde cloudservice kan de operationele veiligheid aanzienlijk verbeteren. Daarom zou elke serieuze kritiek niet moeten eisen dat elke gemeente terugkeert naar het beheren van haar systemen in de kelder van het gemeentehuis.

Het werkelijke probleem schuilt in het gebrek aan diversiteit. Als Oostenrijkse gemeenten een verscheidenheid aan goed presterende Europese, nationale en internationale oplossingen zouden gebruiken, zou de afhankelijkheid beter verdeeld zijn. De focus op Microsoft daarentegen creëert gedeelde foutbronnen, uniforme aanvalsvectoren, geconcentreerde prijszettingsmacht en aanzienlijke invloed op politieke of juridische veranderingen. Het soevereiniteitsbeleid moet daarom alternatieven concurrerend maken, in plaats van gemeenten te bekritiseren voor begrijpelijke beslissingen.

Het lage rentepercentage in Duitsland is zowel een sterk punt als een waarschuwingssignaal

Met een Amerikaans aandeel van 7,2 procent wijkt Duitsland aanzienlijk af van het patroon in de DACH-regio. Een plausibele verklaring hiervoor ligt in de historisch gedecentraliseerde structuur van de gemeentelijke IT. Gemeentelijke datacenters, brancheorganisaties, regionale aanbieders, publiek gefinancierde IT-dienstverleners en middelgrote hostingbedrijven hebben op veel plaatsen hun eigen infrastructuur opgebouwd. Het Duitse federalisme, dat vaak wordt bekritiseerd als een belemmering voor digitalisering, kan in dit geval juist als diversificatiemechanisme fungeren. Verschillende deelstaten en regio's nemen verschillende beslissingen, waardoor geen enkele aanbieder automatisch de hele markt domineert.

Deze decentralisatie kan de economische veerkracht vergroten. Regionale aanbieders behouden toegevoegde waarde, geschoolde werknemers, belastinginkomsten en technische expertise binnen het land. Ze zijn bekend met gemeentelijke procedures, staatspecifieke wetgeving en administratieve processen. Korte afstanden tot datacenters en contactpersonen kunnen voordelig zijn in geval van storingen. Bovendien beperkt een divers aanbod van aanbieders de marktmacht van individuele bedrijven.

Een laag Amerikaans aandeel is echter geen bewijs van hoge kwaliteit. Een lokaal beheerde dienst kan afhankelijk zijn van verouderde software, onvoldoende beveiligd zijn of indirect gebruikmaken van talrijke niet-Europese componenten. Europese aanbieders zijn soms ook afhankelijk van Microsoft-licenties, Amerikaanse beveiligingsproducten, wereldwijde content delivery networks of cloudinfrastructuur. Zichtbare e-mailbezorging vertegenwoordigt slechts één laag van de technische stack.

Bovendien brengt decentralisatie kosten met zich mee. Veel kleine platformen kunnen investeringen dupliceren, verschillende standaarden hanteren en beveiligingsmaatregelen inconsistent implementeren. Zonder gemeenschappelijke minimumeisen ontstaan ​​zwakke schakels in de keten. Een aanval op één gemeentelijke IT-dienstverlener kan tegelijkertijd tientallen overheden treffen. Zo ontstaat er ook concentratie onder regionale dienstverleners, zij het op een kleinere geografische schaal.

De positie van Duitsland is daarom het sterkst wanneer de bestaande diversiteit wordt gecombineerd met bindende veiligheidsnormen, gezamenlijke aanbestedingen, interoperabele interfaces en professionele werkmodellen. De les is niet om elke lokale oplossing te behouden. Het gaat erom effectieve federale structuren te bundelen, zodat schaalvoordelen worden behaald zonder een nieuw centraal monopolie te creëren.

Onze expertise in bedrijfsontwikkeling, verkoop en marketing in de EU en Duitsland - Afbeelding: Xpert.Digital

Focusgebieden binnen de industrie: B2B, digitalisering (van AI tot XR), werktuigbouwkunde, logistiek, hernieuwbare energie en industrie

Meer informatie vindt u hier:

• Expert Business Hub

Een thematisch kenniscentrum met inzichten en expertise:

• Kennisplatform over mondiale en regionale economieën, innovatie en trends in specifieke sectoren
• Een verzameling analyses, inzichten en achtergrondinformatie over onze belangrijkste aandachtsgebieden
• Een plek voor expertise en informatie over actuele ontwikkelingen in het bedrijfsleven en de technologie
• Een informatiecentrum voor bedrijven die op zoek zijn naar informatie over markten, digitalisering en innovaties in de sector

Zwitserland tussen de traditie van gegevensbescherming en de platformeconomie

Met 53,3 procent bevindt Zwitserland zich tussen Duitsland en Oostenrijk, maar ligt het aanzienlijk dichter bij het Oostenrijkse model. Dit is opmerkelijk, aangezien Zwitserland een sterke cultuur op het gebied van gegevensbescherming kent, beschikt over hoogwaardige datacenters, een robuuste telecommunicatie-industrie en talrijke lokale IT-aanbieders. De cijfers tonen aan dat een aantrekkelijke binnenlandse hostingmarkt alleen onvoldoende is om de marktpenetratie van geïntegreerde wereldwijde platforms te beperken.

Zwitserland ligt buiten de Europese Unie en heeft een eigen rechtskader. Desondanks is het economisch nauw verbonden met de Europese datawereld. Voor Zwitserse gemeenten zijn niet alleen de nationale gegevensbeschermingsvoorschriften belangrijk, maar ook de compatibiliteit met bedrijven, burgers en overheden binnen de Europese context. Microsoft biedt een gevestigd ecosysteem voor deze grensoverschrijdende samenwerking.

De Zwitserse bevindingen benadrukken dat datalokalisatie en controle door de provider afzonderlijk moeten worden beoordeeld. Een datacenter in Zwitserland kan voldoen aan de eisen voor lage latentie en lokale operationele vereisten. Als de cruciale software-, identiteits- en beheerlagen echter in handen zijn van een buitenlandse onderneming, blijft er een strategische afhankelijkheid bestaan. Omgekeerd is een Zwitserse provider niet automatisch soeverein als deze volledig afhankelijk is van een Amerikaanse cloud en geen haalbare exitstrategie heeft.

Voor Zwitserland is het daarom van bijzonder belang om de gehele toeleveringsketen in ogenschouw te nemen. Dit omvat eigendom, hoofdkantoor, onderaannemers, sleutelbeheer, toegang tot de broncode, updatebeheer, ondersteuningsprocessen, gegevensexport en noodoperaties. Het label "in Zwitserland gehost" beschrijft slechts een deel van de daadwerkelijke controle.

Waar de gegevens zich bevinden en wie er toegang toe heeft

In het publieke debat wordt soevereiniteit vaak gereduceerd tot de locatie van het datacenter. Dit is belangrijk, maar niet voldoende. Microsoft heeft zijn Europese datagrens verruimd, waardoor klantgegevens, gepseudonimiseerde persoonsgegevens en bepaalde ondersteunende gegevens voor essentiële clouddiensten binnen de EU en de EFTA-regio kunnen worden opgeslagen en verwerkt. Voor klanten in de publieke sector vermindert dit de risico's op het gebied van gegevensbescherming en compliance aanzienlijk.

Dit neemt echter de kernvraag niet volledig weg. Een Amerikaanse onderneming blijft in principe onderworpen aan de Amerikaanse wetgeving. De CLOUD Act staat Amerikaanse autoriteiten toe om onder bepaalde voorwaarden de vrijgave van gegevens te eisen van geïdentificeerde dienstverleners, zelfs als die gegevens buiten de Verenigde Staten zijn opgeslagen. Er bestaan ​​mogelijkheden tot juridische toetsing en bezwaar; dit is geen algemeen, onbeperkt recht op toegang. Niettemin verschilt de risicosituatie van die van een dienstverlener die uitsluitend onderworpen is aan Europees recht en Europees toezicht.

Eveneens belangrijk is het huidige Europese juridische kader voor trans-Atlantische gegevensoverdracht. Het EU-VS-kader voor gegevensbescherming staat overdrachten naar gecertificeerde Amerikaanse organisaties toe op basis van een adequaatheidsbesluit. Hoewel dit een juridische basis schept, neemt het niet alle politieke onzekerheid weg. Eerdere overeenkomsten zijn door de rechter vernietigd en institutionele veranderingen in de Verenigde Staten kunnen aanleiding geven tot nieuwe beoordelingen. Daarom mogen langetermijnstrategieën voor publieke IT er niet op vertrouwen dat het huidige juridische kader gedurende de gehele contractperiode ongewijzigd blijft.

De zaak van de Europese Commissie laat ook zien dat Microsoft 365 niet inherent illegaal is. In 2024 bekritiseerde de Europese Toezichthouder voor Gegevensbescherming onder meer de onvoldoende gedefinieerde verwerkingsdoeleinden en waarborgen voor gegevensoverdracht naar derde landen. Na contractuele, technische en organisatorische aanpassingen concludeerde de toezichthoudende autoriteit in 2025 dat de geconstateerde overtredingen waren rechtgezet. Dit betekent echter geen vrijbrief of een algemeen verbod. Specifieke configuraties, contractuele voorwaarden, gegevensstromen en controlemaatregelen zijn cruciaal.

Voor gemeenten betekent dit: De naam van de aanbieder vervangt geen gegevensbeschermingseffectrapportage. Evenmin is een Europees hoofdkantoor een automatische garantie voor naleving. Een gedocumenteerde analyse van de daadwerkelijke dienstverlening, de categorieën verwerkte gegevens, administratieve toegang, telemetrie, ondersteuningskanalen en gebruikte encryptie is noodzakelijk.

Het economische risico van digitale monocultuur

Een groot aantal aanbieders is niet alleen een probleem voor de gegevensbescherming, maar ook voor de concurrentie en de weerbaarheid. In een digitale monocultuur neemt de afhankelijkheid van de prijsbeslissingen, productwijzigingen, licentiemodellen en ontwikkelingsprioriteiten van één enkel bedrijf toe. Gemeenten kunnen kostenstijgingen slechts gedeeltelijk vermijden als essentiële processen, bestanden, identiteiten en interfaces aan hetzelfde ecosysteem zijn gekoppeld.

Deze afhankelijkheid groeit vaak geleidelijk. Aanvankelijk wordt alleen e-mail gemigreerd, gevolgd door agenda's, videoconferenties, documentopslag, apparaatbeheer en beveiligingstools. Later worden gespecialiseerde applicaties via de centrale identiteit gekoppeld en worden workflows gecreëerd met behulp van eigen automatiseringsservices. Elke extra integratie verbetert het gebruiksgemak op korte termijn, maar verhoogt de cumulatieve overstapkosten. Uiteindelijk ontstaat vendor lock-in niet zozeer door een contractuele bepaling, maar door het ontstaan ​​van duizenden technische en organisatorische afhankelijkheden.

Concentratie brengt ook systeemrisico's met zich mee. Een grote storing, een foutieve update, een identiteitslek of een administratieve fout kan veel organisaties tegelijk treffen. Hoewel grote platformen zwaar investeren in veerkracht, maakt hun omvang ze bijzonder aantrekkelijke doelwitten. Het risico voor een individuele klant kan afnemen, terwijl de potentiële maatschappelijke schade van een zeldzame platformuitval toeneemt.

Ook de onderhandelingsmacht verschuift. Een kleine gemeente kan individuele contractvoorwaarden nauwelijks afdwingen tegenover een wereldwijd opererend concern. Gezamenlijke raamovereenkomsten verbeteren de positie van een gemeente, maar kunnen tegelijkertijd de wijdverspreide standaardisatie naar één enkele aanbieder versnellen. Wat op korte termijn betere prijzen oplevert, kan op lange termijn de markt voor alternatieven verkleinen.

Vanuit economisch oogpunt verliest Europa een deel van zijn waardecreatie als het afhankelijk blijft van deze bedrijven. Licentiebetalingen vloeien naar niet-Europese bedrijven, terwijl de winst uit strategische productontwikkeling, intellectueel eigendom en zeer schaalbare platformen grotendeels buiten Europa wordt gegenereerd. Lokale partners blijven geld verdienen met consultancy en integratie, maar blijven vaak in een ondergeschikte rol. De cruciale standaarden en productroadmaps worden elders vastgesteld.

Veiligheid en soevereiniteit mogen niet met elkaar verward worden

Het sterkste tegenargument tegen de kritiek op soevereiniteit is dat wereldwijde cloudproviders vaak veiliger opereren dan kleine gemeentelijke IT-afdelingen. Dit argument moet serieus worden genomen. Microsoft en andere hyperscalers beschikken over grote beveiligingsteams, wereldwijde telemetrie, geautomatiseerde aanvalsdetectie, redundante datacenters en snelle updateprocessen. Een slecht onderhouden on-premises Exchange-installatie kan een aanzienlijk groter direct risico vormen dan een professioneel beheerde cloudservice.

Beveiliging en soevereiniteit zijn echter twee verschillende aspecten. Beveiliging omvat vertrouwelijkheid, integriteit, beschikbaarheid en weerstand tegen aanvallen. Soevereiniteit omvat controle, rechtsmacht, uitwisselbaarheid en het vermogen om autonoom te handelen. Een oplossing kan zeer veilig zijn, maar toch aanzienlijke afhankelijkheid creëren. Omgekeerd kan een oplossing formeel soeverein zijn, maar technisch onveilig. Goede publieke IT moet aan beide doelstellingen tegelijkertijd voldoen.

Het dreigingslandschap rechtvaardigt strenge eisen. Overheidsinstanties behoren tot de favoriete doelwitten van cyberaanvallen en gemeenten zijn bijzonder kwetsbaar vanwege beperkte middelen. E-mail blijft een belangrijke aanvalsvector voor phishing, malware, accountovernames en identiteitsfraude. Het simpelweg overstappen naar een andere provider lost deze problemen niet op. Essentiële maatregelen omvatten multifactorauthenticatie, beveiligde beheerdersaccounts, consistente patchprocessen, hersteltesten, netwerksegmentatie, loganalyse, training van medewerkers en correct geconfigureerde procedures zoals SPF, DKIM en DMARC.

Even belangrijk is de vraag wie een beveiligingsincident kan afhandelen. Beschikt de gemeente over eigen loggegevens? Kan de gemeente gecompromitteerde accounts zelfstandig blokkeren? Zijn er back-ups buiten het primaire platform aanwezig? Is er een getest communicatiekanaal voor het geval e-mail- en identiteitsdiensten tegelijkertijd uitvallen? Een volledig geïntegreerde suite kan het beheer vereenvoudigen, maar kan er ook voor zorgen dat meerdere functies aan dezelfde vertrouwensketen gekoppeld worden.

Regionale patronen zijn belangrijker dan het gemiddelde

De interactieve kaart onthult een lappendeken van verschillende systemen. Hoewel deze term in bestuurlijke kringen vaak negatief wordt gebruikt, is hij analytisch waardevol. Regionale clusters laten zien dat inkoopbeslissingen niet uitsluitend worden bepaald door technische specificaties. Overheidsbeleid, gemeentelijke datacenters, raamovereenkomsten, historische samenwerkingsverbanden, adviesnetwerken en regionale IT-expertise beïnvloeden allemaal de markt.

Een deelstaat of district met een opvallend hoge concentratie kan dus specifiek worden onderzocht. Welke contracten zijn daar van kracht? Welke alternatieven zijn onderzocht? Welke migratiekosten zijn meegerekend? Zijn er gemeentelijke dienstverleners die gezamenlijk meerdere gemeenten bedienen? Zijn er open standaarden en exitclausules geëist? Dergelijke vragen zijn productiever dan een algemene nationale beschuldiging.

Het regionale niveau biedt ook mogelijkheden voor economisch beleid. Verschillende gemeenten kunnen de vraag bundelen zonder permanent afhankelijk te zijn van één enkele fabrikant. Ze kunnen gezamenlijke beveiligingscentra, gestandaardiseerde interfaces, gedeelde beheerdiensten en mobiele platforms financieren. Dit creëert schaalvoordelen die kleine Europese aanbieders op eigen kracht niet zouden kunnen bereiken.

Tegelijkertijd mag diversiteit niet verward worden met willekeur. Als elke gemeente andere formaten, beveiligingsniveaus en operationele processen hanteert, nemen de integratiekosten en de kans op fouten toe. Het doel moet gecoördineerde diversiteit zijn: meerdere uitwisselbare aanbieders op basis van gemeenschappelijke standaarden, gemeenschappelijke minimumeisen en beproefde overstapprocessen.

De werkelijke prijs staat niet vermeld op de factuur voor de licentie

Bij aanbestedingen worden vaak de zichtbare kosten vergeleken: licenties, migratie, exploitatie, ondersteuning en training. Dit is onvoldoende voor een gedegen kosten-batenanalyse. Een compleet model moet ook de risico's bij vertrek, concentratie, juridische aspecten en uitval in kaart brengen. Denk hierbij aan kosten voor data-export, formaatconversie, interface-ontwikkeling, omscholing, parallelle werking, herstel en de vervanging van gekoppelde diensten.

Een asymmetrische tijdschaal is bijzonder problematisch. De voordelen van een gebundelde oplossing worden direct zichtbaar, terwijl de kosten van een vaste verbintenis pas later, tijdens een migratie, aan het licht komen. Besluitvormers, budgetperioden en contracten veranderen echter sneller. Dit creëert een prikkel om vandaag al besparingen te realiseren en toekomstige overstapkosten af ​​te wentelen op opvolgers. Daarom moet een eerlijke berekening van de totale eigendomskosten rekening houden met de gehele levenscyclus, inclusief een realistisch exitscenario.

Ook de opportuniteitskosten moeten worden meegerekend. Als aanbestedingen feitelijk een specifiek product vereisen, kunnen innovatieve leveranciers niet concurreren. De publieke sector verliest potentiële prijs- en kwaliteitsvoordelen. Tegelijkertijd ontbreekt het Europese bedrijven aan een betrouwbare binnenlandse markt waarop ze referenties kunnen opbouwen en hun activiteiten kunnen opschalen. Overheidsaanbestedingen gaan daarom niet alleen over risicobeperking, maar ook over industriebeleid via de vraag.

Dit betekent niet dat Europese leveranciers een algemene prijsvoorsprong zouden moeten krijgen. Permanente bescherming zonder prestatiedruk zou inefficiënte structuren in stand houden. Functionele aanbestedingen, open formats, gestandaardiseerde programmeerinterfaces, afzonderlijke percelen en meetbare overdraagbaarheid zijn verstandiger. Concurrentie moet niet worden vervangen door nationaliteit, maar juist worden hersteld door echte uitwisselbaarheid.

Van politieke betrokkenheid naar meetbare controle

Gemeenten hebben een gedifferentieerd bestuursmodel nodig, geen algeheel verbod. Ten eerste moeten data- en communicatieprocessen worden ingedeeld op basis van hun beschermingsvereisten. Algemene burgerinformatie, interne personeelsprocessen, sociale gegevens, veiligheidscommunicatie en crisismanagementteams hebben verschillende vereisten. Niet elke dienst heeft dezelfde mate van soevereiniteit nodig.

De onderlinge afhankelijkheden binnen de gehele technische infrastructuur moeten vervolgens in kaart worden gebracht. Naast de e-mailprovider omvat dit identiteitsbeheer, endpointbeheer, encryptie, sleutelbeheer, back-up, archivering, spamfilters, domeinbeheer, netwerk, ondersteuning en onderaannemers. Een gemeente die alleen rekening houdt met de zichtbare provider, kan belangrijkere afhankelijkheden in andere lagen over het hoofd zien.

Elke grote aanbesteding moet een robuust exitplan bevatten. Dit plan moet de gegevensformaten, de exportduur, de interfaces, de verwijderingsbevestigingen, de kosten, de verantwoordelijkheden en de maximaal toelaatbare operationele downtime definiëren. Cruciaal is dat dit plan in de praktijk wordt getest. Een ongetest exitplan is net zo waardeloos als een back-up die nooit is hersteld.

Meetbare prestatie-indicatoren (KPI's) zouden bijvoorbeeld het percentage exporteerbare data, het aantal eigen interfaces, de duur van een identiteitswijziging, het percentage zelfbeheerde sleutels, de hersteltijd, de afhankelijkheid van individuele onderaannemers en het percentage contracten met geverifieerde exitclausules kunnen weergeven. Dit zou digitale soevereiniteit transformeren van een modewoord naar een beheersbaar kenmerk.

Er zouden op staats- of federaal niveau gemeenschappelijke referentiearchitecturen ontwikkeld moeten worden. Gemeenten hebben beproefde alternatieven, migratietools, modelcontracten, beveiligingsprofielen en betrouwbare operationele modellen nodig. Zonder dergelijke ondersteuning blijft de keuze tussen een handig aanbod van een hyperscaler en een organisatorisch veeleisende interne oplossing oneerlijk. Soevereiniteit kan niet uitsluitend aan kleine overheden worden gedelegeerd.

Een realistische weg naar meer Europese handelingsvrijheid

De eerste stap is transparantie. Projecten zoals MXmap moeten regelmatig worden bijgewerkt, methodisch worden gedocumenteerd en worden uitgebreid met extra infrastructuurcomponenten. Naast e-mail zijn identiteitsdiensten, samenwerkingsplatformen, DNS, webhosting, videoconferenties, documentopslag en gemeentelijke applicaties relevant. Alleen meetbare afhankelijkheden kunnen politiek worden beheerd.

De tweede stap is risicogebaseerde diversificatie. Bijzonder gevoelige of systeemkritische processen kunnen het beste worden uitgevoerd op infrastructuren waar de Europese autoriteiten effectief toezicht kunnen houden op het juridische kader, de sleutels en de werking. Voor minder kritieke diensten kunnen wereldwijde aanbieders nog steeds economisch haalbaar zijn. Cruciaal is dat niet alle functies automatisch naar hetzelfde ecosysteem moeten migreren.

De derde stap is het versterken van de gezamenlijke Europese vraag. Individuele gemeenten zijn te klein om platformmarkten te beïnvloeden. De federale overheid, de deelstaten, kantons, gemeenten en Europese instellingen kunnen echter wel gemeenschappelijke eisen stellen aan interoperabiliteit, beveiliging en portabiliteit. Langetermijnkaderovereenkomsten moeten meerdere aanbieders mogelijk maken en het overstappen niet alleen juridisch, maar ook technisch faciliteren.

De vierde stap is investeren in expertise. Het uitbesteden van alle architectuurkennis betekent controleverlies, zelfs met een Europese leverancier. Overheidsinstanties hebben voldoende intern personeel nodig om risico's te beoordelen, contracten te beheren, configuraties te controleren en beslissingen te nemen in noodsituaties. Soevereiniteit komt niet voort uit een label van herkomst, maar uit institutionele capaciteit.

De vijfde stap is een Europees beleid voor aanbieders dat prestaties beloont. Europa heeft geen kopie nodig van elke Amerikaanse dienst, maar wel concurrerende aanbiedingen voor veilige e-mail, identiteitsbeheer, samenwerking, cloudinfrastructuur en beheersoplossingen. Openbare aanbestedingen kunnen hiervoor een betrouwbare markt creëren door open standaarden te vereisen en kleinere aanbieders toegang te geven. Tegelijkertijd moeten Europese aanbieders kunnen concurreren met wereldwijde platforms op het gebied van gebruiksgemak, schaalbaarheid, integratie en beveiliging.

De belangrijkste les uit de 15.331 onderzochte infrastructuren

De MXmap-resultaten weerleggen twee gangbare opvattingen. Ten eerste is de dominantie van Amerikaanse leveranciers geen onveranderlijke natuurwet. Duitsland laat zien dat een groot gemeentelijk landschap met een aanzienlijk lager aandeel Amerikaanse leveranciers mogelijk is. Ten tweede garandeert politieke retoriek geen operationele soevereiniteit. Het hoge percentage Amerikaanse leveranciers in Oostenrijk illustreert hoe ver de kloof tussen ambities en de inkooprealiteit kan reiken.

De cijfers rechtvaardigen noch paniek noch zelfgenoegzaamheid. Een Microsoft-dienst is niet automatisch onveilig of illegaal, en een Duitse of Europese aanbieder is evenmin automatisch soeverein en veilig. Niettemin is een concentratie van 67 procent op Amerikaanse aanbieders, voornamelijk bij één enkel bedrijf, een strategisch waarschuwingssignaal. Het beperkt de keuzemogelijkheden, concentreert risico's en verzwakt de Europese onderhandelingspositie.

De economisch verantwoorde oplossing is geen overhaaste, volledige terugtrekking. Dit zou de kosten kunnen verhogen, beveiligingslekken kunnen creëren en beheerders kunnen overbelasten. Wat nodig is, is een gefaseerde strategie gebaseerd op transparantie, beveiligingsvereisten, open standaarden, geteste portabiliteit, gediversifieerde leveranciers en interne technische expertise. Bestaande Microsoft-omgevingen moeten zodanig worden geconfigureerd en contractueel worden gestructureerd dat gegevensstromen worden beperkt, sleutels beter worden beheerd en toekomstige migraties realistisch blijven. Nieuwe aankopen mogen de afhankelijkheden niet verder vergroten zonder de kosten op lange termijn duidelijk in kaart te brengen.

Digitale soevereiniteit begint daarom niet met de bouw van een Europese hyperscaler, noch eindigt ze met een politieke verklaring. Ze begint met ogenschijnlijk triviale beslissingen over wie gemeentelijke e-mails bezorgt, identiteiten beheert, sleutels controleert en gegevens kan exporteren. De brievenbus op het gemeentehuis is geen technisch detail. Het is een klein, alledaags onderdeel van de overheidscapaciteit.

Het provocerende standpunt blijft dus gerechtvaardigd: degenen die Europese soevereiniteit eisen maar er niet in slagen een controleerbaar opt-out-mechanisme te creëren voor cruciale administratieve infrastructuur, bedrijven in de eerste plaats symbolische politiek. De bewering wordt pas geloofwaardig wanneer gemeenten niet gedwongen worden Europese oplossingen over te nemen, maar kunnen kiezen tussen efficiënte, veilige en daadwerkelijk uitwisselbare opties. De werkelijke maatstaf is niet de nationaliteit van het logo, maar de vrijheid om te blijven handelen onder veranderende economische, juridische of geopolitieke omstandigheden.

De quasi-interne oplossing: Hoe Xpert.Digital operationele hiaten in B2B-marketing en -verkoop dicht – Slimme, contentgedreven bedrijfsvoering - Afbeelding: Xpert.Digital

Xpert.Digital is een datagedreven B2B-branchehub onder leiding van Konrad Wolfenstein . Het bedrijf fungeert als een externe, quasi-interne oplossing voor industriële partners en dicht operationele lacunes in marketing, content en sales – zonder dat de klant extra middelen nodig heeft.

Meer informatie vindt u hier:

• De quasi-interne oplossing: Hoe Xpert.Digital operationele hiaten in B2B-marketing en -verkoop dicht – Slimme, contentgedreven bedrijfsvoering

☑️ Onze zakelijke voertaal is Engels of Duits

☑️ NIEUW: Correspondentie in uw moedertaal!

Konrad Wolfenstein

Mijn team en ik staan ​​graag tot uw beschikking als uw persoonlijke adviseur.

U kunt contact met mij opnemen door hier het contactformulier in te vullen [email protected]:of door mij te bellen op +49 7348 4088 965. Mijn e-mailadres is

Ik kijk uit naar ons gezamenlijke project.

☑️ Ondersteuning van het MKB op het gebied van strategie, advies, planning en implementatie

☑️ Opstellen of herzien van de digitale strategie en digitalisering

☑️ Uitbreiding en optimalisatie van internationale verkoopprocessen

☑️ Wereldwijde en digitale B2B-handelsplatformen

☑️ Pionier in bedrijfsontwikkeling / marketing / PR / beurzen