Vooraf aan het vier dagen durende congres – de laatste dag is donderdag 1 oktober – spraken we met Gina Plat (interim kwartiermaker Open Source Program Office bij het ministerie van Binnenlandse Zaken) en Teun van der Vorm (algemeen directeur DICTU) over digitale soevereiniteit en de rol die open source hier binnen de overheid bij kan spelen.

Eerste stap

Beginnen met digitale soevereiniteit is niet iets wat je van de ene op de andere dag start. Wat zien beiden als een belangrijke eerste stap die een overheids-CIO (Chief Information Officer) of IT-manager zou kunnen nemen? 

Gina Plat hoeft hier niet lang over na te denken: “Begin met inzicht. Maak een afhankelijkhedenkaart van je belangrijkste diensten en beantwoord per dienst drie vragen: wie levert dit, wat gebeurt er als die leverancier morgen de prijs verdubbelt of de dienst intrekt en hoeveel tijd en geld kost het om eruit te stappen? Die exercitie kost een paar weken en levert soms een ongemakkelijk plaatje op.” 

Plat noemt ook een vervolg: “De tweede stap zit in de inkoop. Daar heb je als CIO echt een knop om aan te draaien. Neem open standaarden, open source en de overdraagbaarheid van gegevens op als eis in de eerstvolgende aanbesteding. En kies dan één dienst om te vervangen voor een digitaal soeverein alternatief. Liefst open source en met Europese hosting. Wat je vooral moet vermijden is dat het eindigt in een strategienota met een horizon van vijf jaar. Soevereiniteit groeit met concrete stappen.”

Teun van der Vorm vult aan met een ander belangrijk punt in deze fase: de rust bewaren. “Niet in paniek raken en nuchter blijven nadenken. Het is namelijk een veelkoppig monster dat zich niet op korte termijn simpel laat oplossen. Breng de grote risico’s in kaart en maak een concreet plan om die te beperken. Zorg vervolgens voor een strakke uitvoering hierop.” 

“Verder”, vult Van der Vorm aan, “wil je dat er geen grote risico’s meer bijkomen. Maak bij nieuwe IT-investeringen goed de afweging welke oplossing hier het beste bij past. Daarbij kiezen we bij DICTU waar maar enigszins mogelijk voor open source-oplossingen en hosting in eigen datacenters of bij Europese partijen.”

Open source-strategie via het OSPO 

Het Open Source Program Office (OSPO) helpt organisaties open source veilig en verantwoord in te zetten. Wat is de belangrijkste bijdrage die het Open Source Program Office (OSPO) kan bieden aan een overheidsinstantie?

“Misschien wel het belangrijkste”, zo zegt Plat, “is dat het OSPO open source werken tot iets gewoons maakt. Het OSPO verbindt strategie en beleid, zoals ‘Open, tenzij’, met concrete uitvoering. Het adviseert organisaties bij het ontwikkelen en inkopen van open source software en het publiceren van broncode. Daarnaast verbindt het OSPO een netwerk dat elkaar doorgaans niet snel spreekt; ontwikkelaars, inkopers, juristen, security en bestuurders.”

Voor Van der Vorm is het OSPO essentieel bij een open source-strategie. “Het OSPO moet zorgen dat het open source gedachtegoed binnen de organisatie wordt uitgedragen, dat er een goede samenwerking is met andere OSPO’s en dat praktische belemmeringen bij het werken met open source worden opgelost.”

Bewegen richting open source

Als interim kwartiermaker OSPO bij het ministerie van Binnenlandse Zaken wil Plat open source stimuleren. Hoe beweegt zij directeuren en bestuurders richting de wereld van open source?

“Door het gesprek te voeren in hun taal”, zegt Plat resoluut. “Een directeur wordt zelden warm van softwarevrijheid. Die wordt wakker van leveringszekerheid, van risicobeperking en van voldoen aan wetgeving en beleid. De geopolitieke ontwikkelingen van de afgelopen jaren hebben dat gesprek toevallig veel makkelijker gemaakt dan het in 2020 was. Ik hoef zelden meer uit te leggen waarom digitale afhankelijkheid een risico is voor onze soevereiniteit.”

Plat benadrukt dat daarbij bewijs beter werkt dan overtuiging. “Ik laat liever een werkend platform zien dan een presentatie over de voordelen. Toen we bijvoorbeeld het overheidsbrede codeplatform code.overheid.nl lieten zien en demonstreerden dat organisaties er hun eigen repository op konden zetten, veranderde het gesprek van ‘of’ naar ‘hoe’. Hetzelfde geldt voor een proof of concept die binnen een paar maanden draait. Uiteindelijk willen bestuurders graag ergens bij horen dat werkt.”

Misschien is dat wel een belangrijke reden dat Plat graag buiten de deur kijkt hoe implementatie van een open source-strategie werkt. Zo is ze voor een dienstreis naar de Duitse deelstaat Sleeswijk-Holstein gegaan. Wat is de belangrijkste les die ze daar heeft meegenomen?

“Ik denk dat de belangrijkste les die ik meenam is: dat het kan”, zegt Plat. “En dat het staat of valt met bestuurlijke dekking. In Sleeswijk-Holstein ligt er een kabinetsbesluit onder en er is een minister die het persoonlijk draagt. Daardoor houdt het project stand als de eerste klacht binnenkomt over een verkeerd uitgelijnde tabel. Want ja, het is wel even wennen, andere software.”

“De tweede les”, vervolgt Plat, “is dat ze het als veranderopgave behandelen. De techniek was er zelden het probleem. De winst zat in de begeleiding: opleiding, goede migratie ondersteuning, en de ruimte om te accepteren dat er een periode van wrijving is. Wie een migratie begroot zonder stevig budget voor mensen, begroot verkeerd.”

“Daarnaast benadrukt Schleswig-Holstein dat het niet per se gaat om kosten te besparen, maar om meer regie op de ICT. Dit is een belangrijk punt om ons te realiseren. Ze zijn wel transparant over de kosten, waarbij het mooi meegenomen is dat ze na een eenmalige migratie-investering van 9 miljoen euro nu wel 15 miljoen euro per jaar aan licentiekosten bij Microsoft besparen. Maar eindpunt is dat het uiteindelijk draait om digitale soevereiniteit.”

Misvatting

Plat merkt dat er wat dat betreft binnen de Rijksoverheid nog een aantal grote misvattingen heersen over open source en digitale soevereiniteit.  

Plat: “Ik denk dat de grootste misvatting is dat soevereiniteit alleen over de vraag gaat waar de servers staan. Datalocatie is slechts een onderdeel. De grotere vraag is of je besluiten kunt nemen op het vlak van databeheer en of je kunt vertrekken. Wie bepaalt wanneer er een update komt? Wie kan de functionaliteit veranderen zonder jou te vragen? En, hoeveel jaar en euro's kost het jou om over te stappen als je dat wilt? Je bent niet per se soeverein als je gebruik maakt van een Nederlands datacenter waar je de broncode niet van kent en waar je je gegevens niet uit krijgt. Dat maakt open source daarom zo aantrekkelijk omdat het die uitstapmogelijkheid structureel openhoudt.”

Plat ziet een tweede grote misvatting die  vlak achter de eerst komt. “Het idee is nog vaak dat open source gratis zou zijn. Je bespaart licentiekosten, maar je krijgt er een andere kostenpost voor terug: kennis in huis, beheer en bijdragen aan de projecten waar je op leunt. Dat is een verstandige investering, want je koopt er regie mee. Maar wie het als bezuiniging verkoopt aan zijn bestuur, komt over twee jaar bedrogen uit en zet de hele open source-beweging terug.”

DICTU maakt een bewuste keuze voor open source

Onder Teun van der Vorm heeft DICTU bewust gekozen voor open source. Van der Vorm: “Binnen DICTU vinden we dat open source normaal is.  En waar er keuze is, heeft open source de voorkeur boven gesloten oplossingen. Daarbij willen we open source gebruiken zoals het bedoelt is. Dat betekent dus ook bijdragen vanuit DICTU aan de community. Dit onder het motto ‘Public Money, Public Code’."

• De keuze voor open source is gebaseerd op een aantal argumenten. Dit zijn volgens Van der Vorm de vier belangrijkste redenen: 
• Soevereiniteit en onafhankelijkheid, het risico op een lock-in is veel kleiner; 
• het is transparant en daarmee betrouwbaarder omdat je de broncode kunt zien en analyseren;
• het is goed voor je arbeidsmarktpositie. De IT-ers waar DICTU zich op richt, werken graag met open source. Ze kiezen vaak bewust om te werken bij de overheid om een bijdrage aan de maatschappij te leveren. Open source heeft dezelfde filosofie;
• je bespaart kosten.

Tot slot benadrukt Van der Vorm dat bijdragen aan de open source community het product beter maakt.  “Je krijgt feedback op je code en daarmee verbeter je de kwaliteit. Dat er duizenden professionals je code bekijken heeft sowieso een positieve impact op de kwaliteit van je code.”