Daarover werd ik onlangs geïnterviewd door DSR Magazine. Want bij Jet-Stream hebben we die stap al zeven jaar geleden gezet, terwijl de markt er pas sinds een jaar of twee echt over praat. Wij zijn sinds 2003 een Nederlands videoplatform voor professionele organisaties: live streaming op het web, televisie- en radiokanalen, podcast- en videohosting. Geen simpel SaaS-platform, maar hightech, waarmee je toch heel makkelijk complexe videoprocessen beheert, volledig in eigen hand.
Wie kijkt er mee met jouw kijkers?
Waarom wij er zo vroeg mee begonnen? Als je een videoplatform runt, heb je klanten, en die klanten hebben kijkers. Iemand houdt bij waar die kijkers naar kijken, of het nu live televisie is of een video op een website. Wij vroegen ons af hoeveel partijen er eigenlijk stiekem meekijken, en we schrokken ons een hoedje. Soms kijken er wel 200 advertentiepartijen mee, plus allerlei cloud- en SaaS-diensten.
De logs die zij verzamelen over dat kijkgedrag zijn hun eigendom, niet dat van ons of onze klant, want wie de data heeft, kan ermee doen en laten wat hij wil. Stel dat je op een overheidswebsite video's bekijkt over immigratie, stikstof, wonen of het milieu. Wie dat kijkgedrag koppelt aan je IP-adres (een persoonsgegeven) en combineert met andere datasets, destilleert er razendsnel een profiel uit: je politieke voorkeur, je geaardheid, je religie, je overtuigingen. Vervolgens kun je die persoon gericht gaan bespelen.
Dat is geen theorie, want met Cambridge Analytica hebben we gezien hoe zulke profielen werden ingezet om kiezers bij democratische verkiezingen te bespelen. Video stoppen is geen optie, maar die data weggeven aan partijen buiten Europa ook niet. We houden het hier.
Soevereiniteit is een middel, geen doel
Digitale soevereiniteit is geen doel op zich. Het is een middel om te voorkomen dat je gegevens in handen van vreemde partijen vallen, en dat iemand anders je kan dwingen, censureren of simpelweg uitzetten. Als video je core business is en die wordt uitgezet, dan ben je instant uit, en wellicht failliet. Als burger word je gemanipuleerd of liggen je gegevens op straat. Als overheid ontdek je dat je burgers bespeeld zijn op basis van kijkgedrag dat een ander in handen heeft.
Dit is dus geen commercieel probleempje, het zijn diepgaande maatschappelijke problemen. Wij zijn ooit begonnen vanuit privacy, het beschermen van gegevens (en daar hebben we in 2024 de Privacy Award voor gewonnen). Maar nog belangrijker: soevereiniteit gaat over de vrijheid en de controle om uit te zenden wat je wilt, om je kennis en creativiteit te delen. Het mag niet zo zijn dat de Amerikaanse, Chinese of Russische overheid je op zwart zet omdat je in Europa iets zegt wat hen niet bevalt.
Begin bij besef, en maak een lijst
Digitale soevereiniteit is niet in de eerste plaats een technisch verhaal, het gaat vooral om je bedrijfscultuur. Waar slaan we onze gegevens op, en wat is daar het risico van? Versleutelen helpt, maar is niet genoeg, want de metadata die anderen verzamelen is ook bij versleutelde diensten nog steeds waardevol (en dus risicovol). Dat besef moet niet alleen op de werkvloer ontstaan, maar ook in de boardroom en bij de inkopers, die nieuwe leveranciers moeten leren valideren. Een papiertje waarop staat dat iets "in Europa" draait, is niet hetzelfde als veilig: zet je je data in Europa bij een Amerikaanse leverancier, dan heb je geen enkele garantie dat die data ook in Europa blijft.
Wij zijn zeven jaar geleden begonnen met het in kaart brengen van al onze IT-systemen. Ons eigen platform, maar ook alles eromheen: CRM, betaalsystemen, administratie, e-mail, communicatie. Welke leveranciers hebben we, en welke toeleveranciers gebruiken zij? Dat klinkt complex, maar het is gewoon een lijstje (alleen een lang lijstje). Pak je administratie erbij, draai een lijst uit van iedereen aan wie je facturen betaalt, en ga afvinken.
Per partij stelden we twee vragen:
- 1Is dit een Europese entiteit? Nee betekent knock-out.
- 2Draait die Europese partij op Europese infrastructuur? Ook hier: nee betekent knock-out.
Dat is geen zwaar onderzoek, want je kunt vaak via internet snel nagaan waar een domein of dienst gehost wordt. Daarna ga je met al je leveranciers in gesprek: vertel eens, hoe doe jij dit? Met een aantal partijen hebben we zo afscheid genomen.
Grootste risico's eerst
Met die lijst heb je een overzicht van al je afhankelijkheden, en je voelt op je klompen aan welke eerst moeten. Voor ons was dat analytics. Bij de meeste videospelers draait er een trackertje mee dat elke paar seconden doorgeeft: je kijkt nog, je kijkt nog, je kijkt nog. Logisch, want de eigenaar van de video wil statistieken. Maar komen die statistieken op een Amerikaans platform terecht, dan kijkt er dus iemand met je mee.
Wij pakken het anders aan. We hebben geen tracker in de speler nodig, want we gebruiken de logs van onze eigen servers als bron. We streamen zelf uit, dus we loggen zelf, en geen bit of byte aan kijkgedrag verlaat ons systeem. Veilig in Europa, en niemand anders kan erbij.
Kijk daarna naar de systemen waar je meest waardevolle data in zit. Staat je CRM bij een Amerikaanse partij, dan ligt je volledige klantenbestand binnen bereik van een niet-Europese leverancier en diens overheid, en heb je geen zicht op wat er verder mee gebeurt (bijvoorbeeld het trainen van AI). Dat wil je niet. Kies een Europese CRM, en kijk dan niet alleen naar waar het gehost wordt, maar vooral van wie de infrastructuur is.
Valt een leverancier af, dan heb je twee smaken: een Europees alternatief inkopen, of het zelf bouwen. Wij hebben een deel zelf gebouwd. Onze transcoding (het omzetten van video's) liep bij Amazon, die doen we nu zelf. Dat betekent ook zelf beheren, maar het geeft je volledige controle over je stack (en eerlijk is eerlijk: het is ook gewoon leuk). Is er een Europese partij die het beter kan dan jij, kies die dan.
Borg het in je inkoop, en leg jezelf langs de meetlat
Heb je de eerste risico's aangepakt, dan wil je niet over een paar jaar weer op hetzelfde punt staan. De sleutel daarvoor is inkoop: ga niet in zee met partijen die alsnog een achterdeur openzetten. Elke nieuwe aankoop krijgt bij ons een korte validatie: voldoet dit aan onze normen? Zo moet jij ook jouw leveranciers toetsen, en het liefst de gehele keten, tot en met alle onderaannemers.
Daar helpt de Europese Commissie inmiddels bij, met het Cloud Sovereignty Framework. Wij zijn daar heel blij mee, al had het wat ons betreft jaren eerder gemogen. Het framework helpt je om jezelf te analyseren en langs een meetlat te leggen, met acht soevereiniteitsdoelen: strategisch, juridisch, data en AI, operationeel, toeleveringsketen, technologie, security en compliance, en milieu. Per doel scoor je een SEAL-niveau van 0 tot en met 4, waarbij 4 staat voor volledige digitale soevereiniteit. Dat is niet makkelijk te halen.
Door dit continu en consequent te doen, en simpelweg alle Amerikaanse dienstverleners eruit te duwen, scoren wij in onze eigen zelfscan op zeven van de acht doelen SEAL-4. Dat is een zelfbeoordeling (een beetje wij-van-Wc-Eend), maar we hebben het volledig gedocumenteerd. Die achtste zit vooralsnog op 3, omdat we een nieuw platform aan het bouwen zijn dat nog niet onder onze ISO-certificering valt. Dat verwachten we in 2027 rond te hebben.
SEAL-3 is voorwaardelijk en wat ons betreft de ondergrens, daar moet je naartoe werken. SEAL-4 is een soort cum laude, en dat moet het doel zijn.
Groen of soevereiniteit?
Een interessante bijkomstigheid: twee doelen in het framework kunnen elkaar tegenwerken. Het ene gaat over milieu, het andere over afhankelijkheid in je technologie en toeleveringsketen. Wij kopen Canadese videokaarten in waarmee we video extreem efficiënt verwerken, en dat scheelt ruim 90 procent stroom. Op groen levert dat een 4 op. Maar die hardware is niet Europees, dus op afhankelijkheid kom je dan eerder op een 3 uit.
Je kunt het ook volledig in software doen, dan heb je die afhankelijkheid niet, maar verstook je veel meer stroom. Dat wordt dan een afweging voor de klant: kies je voor groen of voor soevereiniteit? Eerlijk gezegd vind ik dit een beetje theoretisch, want die Canadese leverancier kan niet bij onze gegevens. Het risico is vooral dat Canada ooit besluit ons die hardware niet meer te leveren. Het laat wel zien dat soevereiniteit geen zwart-witverhaal is, maar een reeks bewuste afwegingen die je moet kunnen uitleggen.
Geen vinkje op een inkoopformulier
Digitale soevereiniteit is absoluut geen vinkje op je inkoopformulier. Het gaat om de principiële vrijheid en controle om je content, je kennis en je creativiteit te kunnen delen. Het gaat om je commerciële belangen, en het belangrijkste: om het voortbestaan van je organisatie. Wordt je ICT van de ene op de andere dag uitgezet, dan heb je geen dienst meer om te factureren, en wellicht ook geen salaris meer om uit te keren.
Ik sprak eens met een groep voorzitters van raden van toezicht. Mijn vraag: hoe vaak spreken jullie de CFO? Vaak, uiteraard. Hoe vaak spreken jullie de CTO? Daar bleef het stil, want sommigen wisten niet eens wie dat was. Terwijl: als de CTO een verkeerde keuze maakt en jullie worden op zwart gezet, dan valt alle IT uit en is de organisatie klaar. Ga dus met die persoon in gesprek, en stel de juiste vragen: hoe hebben we dit ingericht, en hebben we er al een plan voor?
Welke vragen dat precies zijn, en hoe je van zelfscan naar SEAL-3 en uiteindelijk SEAL-4 komt, bespreek ik graag met je. Ik geef briefings aan besturen en directies, presentaties voor teams, en audits. Neem contact met me op voor een open gesprek.