Welke vier pijlers bepalen je datasoevereiniteit?

Je krijgt de vraag steeds vaker terug uit de directie of van je grootste klant. Staat onze data wel in Nederland? Het antwoord op die vraag lost minder op dan je denkt.

In dit artikel lees je uit welke vier pijlers datasoevereiniteit bestaat, welke pijler in de praktijk het zwaarst weegt en hoe je bepaalt waar je begint. Ook als je de belangrijkste keuzes al jaren geleden hebt gemaakt.

Het korte antwoord. Datasoevereiniteit betekent dat je zelf bepaalt wat er met je data en je processen gebeurt. De locatie van je data is daar één onderdeel van. Daarnaast tellen vendor lock-in, je exitstrategie en de zelfredzaamheid van je eigen team. Die laatste pijler weegt in de praktijk vaak het zwaarst.

Bekijk de hele aflevering hier.

Wat betekent datasoevereiniteit precies?

Iets is soeverein als je er zelf de baas over bent. Je bepaalt zelf wat je ermee doet en je bent daarover geen verantwoording schuldig aan een ander.

In de markt klinkt de roep vooral om Nederlandse of Europese opslag. De overheid stuurt erop aan, er is wetgeving in de maak en organisaties worden voorzichtiger met invloed van partijen buiten de Europese regulering. Die zorg is terecht. De angst zit vooral in de vraag of een andere organisatie invloed kan uitoefenen op jouw data of jouw proces, en dat daarmee kan verstoren.

Climber kijkt breder naar het vraagstuk. Naast locatie tellen vendor lock-in, exitstrategie en zelfredzaamheid mee. Samen vormen die vier pijlers je soevereiniteit.

Waarom lost een datacenter in Nederland het niet op?

De locatie bepaalt waar je data fysiek staat en onder welke wetgeving die valt. Dat is één pijler van de vier, niet het hele antwoord.

Aan het eind van de dag is de cloud gewoon een server die ergens anders staat. Dat kan in Nederland zijn, ergens in Europa, of in een datacenter aan de andere kant van de wereld. De vraag die daarbij hoort is onder welke wetgeving die dienst valt en wie er bij je data kan. Voor de ene organisatie is dat een groot probleem, voor de andere niet.

Het risico zit in wat je niet ziet. Een wetswijziging in een ander land kan gevolgen hebben voor jouw organisatie zonder dat je ervan op de hoogte bent. Locatie legt zichzelf het makkelijkst uit en spreekt het meest tot de verbeelding. Daarom domineert die pijler het gesprek. Kies je een datacenter in Nederland, dan ben je daarmee niet klaar.

Hoe beperk je vendor lock-in?

Kijk naar de protocollen en standaarden onder je oplossing. Hoe meer die op open standaarden rusten, hoe makkelijker je later wisselt.

Neem software die je bij een leverancier afneemt. Je zit altijd indirect vast aan het bedrijf waar je data staat. De vraag is hoe diep die afhankelijkheid gaat. Wil je over drie jaar iets anders, hoeveel ruimte heb je dan nog?

Een klant van Climber onderzocht welk type database paste bij een nieuwe omgeving. De keuze viel op een Postgres-database in Azure in plaats van een Azure SQL Database. De gedachte daarachter is simpel. Postgres is een onafhankelijke technologie, weliswaar gehost bij een vendor. Verhuis je later, dan neem je de database mee en werk je verder zoals het daarvoor werkte.

Verwacht daarbij geen wonderen. Een overstap is zelden een kwestie van optillen en neerzetten. Je hoeft ook niet alles vooraf af te dichten. Beter is om de meest kritieke onderdelen zo min mogelijk vast te zetten, zodat je later kunt switchen. Let daarbij op de functionaliteit die je gebruikt en op de protocollen. Heeft de leverancier die zelf bedacht, of rusten ze op open standaarden die uitwisseling mogelijk maken?

Waarom regel je je exitstrategie voordat je tekent?

Zonder afspraken vooraf over draagbaarheid koop je bij elke aanschaf direct je volgende afhankelijkheid.

Bij de keuze voor een tool ga je er nooit vanuit dat je er snel afscheid van neemt. Het lijkt op een huwelijk. In het begin gaat alles goed en toch bestaat de mogelijkheid dat het misloopt. De vraag is of je je zaken vooraf hebt geregeld.

Bespreek daarom voor de handtekening hoe draagbaar je data is en hoeveel tijd een overstap kost. Dat gesprek geeft je meteen een inschatting van het risico dat je met deze aanschaf binnenhaalt.

Maatwerk maakt die exit duurder. Organisaties laten vaak maatwerk bouwen omdat ze hun proces uniek vinden. De business raakt gewend aan een functie en het proces wordt eromheen ingericht. Vervangen wordt dan lastig. Soms is het slimmer om je proces generieker te maken. Dan wissel je later makkelijker van tool. Een implementatiepartner hoort hierover te adviseren voordat je de keuze maakt, niet erna.

Waarom weegt zelfredzaamheid het zwaarst?

Vendor lock-in en exitstrategie spelen op langere termijn. Zelfredzaamheid raakt je vandaag. Hoe kritieker het proces, hoe zelfredzamer je moet zijn.

Het patroon is herkenbaar. Een organisatie schaft een tool aan, implementatieconsultants richten de omgeving in en daarna blijkt het lastig om eigen mensen op te leiden. Zo blijf je afhankelijk van een externe partij voor werk dat je zelf zou moeten kunnen.

Hoort de tool bij je hoofdproces, dan zijn er binnen je eigen organisatie minstens één en liever twee mensen die de tool beheersen. Zij kunnen tot op zekere hoogte alles wat een implementatiepartner ook kan. Die partner houdt zich dan bezig met de uitzonderingen en de complexe vraagstukken. Bij een minder kritiek proces mag je die afhankelijkheid best accepteren.

Naast vendor lock-in bestaat dus consultancy lock-in. En er is nog een derde vorm, de collega lock-in. Vertrekt de persoon met alle proceskennis, dan verlies je grip. Datzelfde geldt aan de andere kant van de tafel. Verdwijnt de consultant die jouw omgeving kent, dan heeft ook je leverancier die kennis niet meer.

Ben je te laat als je de keuzes al gemaakt hebt?

Nee. Je bepaalt opnieuw per proces en per tool hoe groot het risico is en handelt daarnaar.

Keuzes van acht of negen jaar geleden waren toen niet fout. De wereld ziet er nu anders uit en dat brengt andere ideeën. Wat je vandaag doet, is het risico inschatten. Is de tool niet kritisch voor je proces, dan hoef je er weinig tijd in te steken. Is het wel een kritisch onderdeel, stel jezelf dan de vervolgvraag. Wat gebeurt er als dit stilvalt? Verlies je geld? Staan mensen stil? Komt het bedrijf tot stilstand?

Ook het type data telt mee. Data die onder de AVG valt of bedrijfskritische informatie vraagt om een andere afweging dan een rapportage die niemand mist. Hoger risico betekent anders handelen. Dat kan gaan over de plek waar je data draait, over het binnenshuis halen ervan, of over de vraag of je toegang houdt als een partner wegvalt.

Waar begin je morgen?

Begin bij zelfredzaamheid. Leg je processen vast en werk je documentatie bij.

Documentatie staat op weinig lijstjes bovenaan. Toch levert het je het meeste op. Je ziet welk deel van je proces je zelf onder controle hebt en waar de gaten zitten. En vertrekt iemand met veel proceskennis, dan houd je grip op wat er gebeurt.

Zet daarnaast per tool en per proces het risico op papier. Wat valt er stil als deze dienst wegvalt en wat kost dat? Met dat overzicht bepaal je waar datasoevereiniteit prioriteit krijgt en waar andere vraagstukken voorgaan.

De kern in het kort

Datasoevereiniteit is meer dan de vraag waar je server staat. Locatie, vendor lock-in, exitstrategie en zelfredzaamheid bepalen samen hoeveel grip je houdt. Zorg dat je niet vastzit in een ecosysteem waar je nooit meer uit komt. Zorg dat je snel kunt bijsturen als het misgaat. En zorg dat je niet afhankelijk bent van je leverancier, je adviseur of één enkele collega.

Luister of bekijk de aflevering

Stef Comello en Jordy Wegman bespreken dit onderwerp in aflevering 7 van De Dataleiders, de podcast van Climber over datagedreven leiderschap in het AI-tijdperk.

Luister de aflevering via Spotify of bekijk hem op YouTube.

Wat heeft zelfredzaamheid met datavolwassenheid te maken?

Zelfredzaamheid gaat over de kennis die je in huis hebt en over de manier waarop je landschap is opgebouwd. Hoe modulairder je inrichting, hoe makkelijker je één onderdeel vervangt zonder de rest om te gooien.

Daarmee is zelfredzaamheid een graadmeter voor je datavolwassenheid. Een organisatie die volwassen met data werkt, heeft het eigenaarschap belegd, kent haar eigen processen en zit zelf aan de knoppen. Moet je voor elke aanpassing wachten op een externe partij, dan sta je verder van dat punt af. Hoe goed je techniek ook is.

Wil je weten hoe datavolwassen jouw organisatie is? Doe de scan op scan.climber.nl en krijg in een paar minuten inzicht in je data, besluitvorming, eigenaarschap en gebruik van AI.