Digitale strategische autonomie in de praktijk: wat we kunnen leren van de Nationale Cryptostrategie
Iedereen praat over strategische autonomie. En hoewel dat misschien niet meteen heel actiegericht klinkt, is dat precies waar het altijd mee begint: met praten. Dat is maar goed ook. Want als de overheid en bedrijven er samen voor willen zorgen dat Nederland voor kritieke digitale diensten niet afhankelijk is van buitenlandse partijen, zullen zij eerst hun wensen, zorgen en verwachtingen naar elkaar moeten uitspreken. Maar hoe organiseer en begeleid je dat? Hoe houd je alle deelnemers actief en betrokken? Op dat vlak zijn goede lessen te leren van het ecosysteem dat invulling geeft aan de Nationale Crypto(grafie)strategie. Een traject waar we als TNO Vector als orkestrerende partij bij betrokken zijn.
Een middel om strategische autonomie te bewerkstelligen is een zeer nauwe samenwerking tussen publieke en private partijen op te zetten. Maar hoe die samenwerking dan precies moet worden ingevuld? En wat wel en juist niet werkt? Dat is een kwestie van al doende leren. “Dit project is een voorbeeld van hoe je digitale strategische autonomie in de praktijk kunt brengen, met alle complexiteit die daarbij komt kijken”, zegt Nick Oostervink, projectleider en Ecosysteem Orkestrator bij TNO Vector.
Afzonderlijke belangen
Die complexiteit vraagt om een andere benadering. Zo werkt het averechts om tegenover elkaar aan de onderhandelingstafel te gaan zitten. Want dan komt de focus al snel op de afzonderlijke belangen te liggen. Hierbij zet de Nederlandse overheid in op leveringszekerheid en grip om bepaalde capabilities en capaciteit te garanderen. Ondertussen probeert de industrie juist duidelijkheid te krijgen rondom de publieke vraag op de langere termijn, zodat zij hun investeringen en prognoses daarop kunnen afstemmen. Beiden willen zekerheid.
Bestaande patronen doorbreken
Losse contracten uitonderhandelen en daarbij op de reguliere marktwerking vertrouwen, is dus niet de weg voorwaarts. Sterker nog: die voor veel partijen vertrouwde aanpak blijkt maar al te vaak een doodlopende weg als strategische autonomie het doel is. De betrokken partijen moeten dus eerst bestaande patronen zien te doorbreken. En dat begint bij het opbouwen van vertrouwen tussen de verschillende partijen, onder andere middels een veelvoud van werksessies. Open het gesprek met elkaar aangaan, waarbij de deelnemers zich in de verkennende fase nog niet druk maken over hoe een en ander contractueel moet worden vastgelegd. Dat is van latere zorg.
“In het oorspronkelijke verzoek ging het vooral over het meedenken over nieuwe contractvormen voor de Nederlandse cryptografiebedrijven.”
Gijs van Houwelingen, Senior onderzoeker collaborative business models bij TNO Vector
Verder kijken dan de juridische zaken
Toch is het opstellen van een contract vaak de eerste reflex. Dat bleek ook het geval toen TNO Vector zo’n tweeënhalf jaar geleden vanuit een samenwerking van CIO Rijk BZK, de AIVD en het ministerie van Defensie de vraag kreeg om mee te denken over de invulling van de Nationale Cryptostrategie. “In het oorspronkelijke verzoek ging het vooral over het meedenken over nieuwe contractvormen voor de Nederlandse cryptografiebedrijven”, blikt Gijs van Houwelingen terug. Aangezien hij expert is op het gebied van ‘Collaborative Business Modelling’ keek hij al snel verder dan de juridische zaken. “Contracten heb je nodig om afspraken goed vast te kunnen leggen. Maar daar gaat wel het nodige aan vooraf. Het belangrijkste is om ervoor te zorgen dat in Nederland op cryptografisch gebied sprake is van digitale strategische autonomie. En dat vereist een robuuste samenwerking tussen veel verschillende partijen.”
Beveiligen van staatsgeheimen
Voor de nodige context: het traject waar TNO Vector bij betrokken is, richt zich specifiek op de high assurance crypto-industrie. Hierbij voorziet een selecte groep vertrouwde bedrijven de Staat van cryptografische producten en diensten, onder andere om ervoor te zorgen dat continuÏteit kan worden gewaarborgd en vertrouwelijke staatsinformatie op een versleutelde manier kan worden bewaard en gecommuniceerd, zodat die informatie niet in verkeerde handen valt. Wat deze bedrijven ontwikkelen en produceren, speelt een cruciale rol bij het beschermen van Nederlandse staatsgeheimen. In dit domein is het dus zeer belangrijk om qua leveranciers, producten en diensten te zorgen voor strategische autonomie.
De Nederlandse Cryptografiemarkt als voorbeeld
Hoewel de cryptografiesector vrij uniek is, leent deze sector zich wel heel goed als voorbeeld voor andere sectoren. Er zijn namelijk wel meer (vitale) publieke en private organisaties die voor kritieke kennis, technologie of capaciteit afhankelijk zijn van een klein aantal gespecialiseerde leveranciers. Zoals ook beschreven in het adviesrapport dat TNO Vector vorig jaar zomer aan de Tweede Kamer heeft aangeboden.
Dus laten we hier nog wat dieper in duiken.
“Zo hadden we al wat structuren opgezet om de behoeften van de verschillende departementen bij elkaar te brengen tot één agenda. Dat was een grotere uitdaging dan gedacht.”
Tony van der Togt, teamlead bij CIO Rijk
Maak wederzijdse afhankelijkheden expliciet
“We begonnen zeker niet blanco”, benadrukt Tony van der Togt, teamlead bij CIO Rijk. “Zo hadden we al wat structuren opgezet om de behoeften van de verschillende departementen bij elkaar te brengen tot één agenda. Dat was een grotere uitdaging dan gedacht. We merkten dat de behoeften en ontwikkelomgevingen van het ministerie van Defensie anders leken te zijn dan die van de AIVD.”
“Daarbij is het goed om te beseffen dat een industrie alleen gericht kan investeren en capaciteit kan opbouwen als er voldoende inzicht is in wat afnemers (voornamelijk publieke partijen) en leveranciers van elkaar nodig hebben”, geeft Van Houwelingen aan. “De belangrijke les daarbij is dat je om te beginnen de wederzijdse afhankelijkheden expliciet moet maken. Dat betekent niet alleen dat de kritieke afhankelijkheden duidelijk moeten zijn, maar ook dat die bewust moeten worden ingericht en beheerst.”
Meer nodig dan abstracte beloften
Strategische autonomie vraagt van partijen dat zij anders omgaan met informatie, investeringen, risico’s en onderlinge afhankelijkheden. Zij committeren zich niet vanzelf aan een nieuw samenwerkingsmodel: er is meer nodig dan abstracte beloften, bedrijven moeten kunnen snappen hoe een andere manier van samenwerken past bij hun businessmodel, nieuwe businessmodellen mogelijk maakt en wat de business case is.
Dat besefte ook Oostervink bij de eerste bijeenkomsten van de private en publieke partijen die samen een florerend crypto-ecosysteem zouden moeten gaan vormen. “De deelnemers waren in het begin wat terughoudend. Op zich wel begrijpelijk. Want harde garanties waren er niet. En om tot een nieuw samenwerkingsmodel voor de cryptografie-industrie te komen, is toch echt meer nodig dan abstracte beloften over strategische autonomie, leveringszekerheid, innovatie en groeikansen.”
Groeiende politieke aandacht
Ondertussen heeft de wereld niet stilgestaan. Sinds de kick-off, zo’n twee jaar geleden, is steeds meer politieke aandacht gekomen voor digitale strategische autonomie. En dus ook meer aandacht voor de uitwerking van de NCS. Van der Togt: “Dat merken directe collega’s van mij ook aan de hoeveelheid Kamervragen over wat nodig is om tot digitale autonomie te komen. Naast de commerciële kansen die dat voor bedrijven oplevert, merk ik dat de private partijen in ons ecosysteem echt graag een bijdrage willen leveren aan die digitale soevereiniteit.”
De uitvoeringsvraag
Concreet in de praktijk levert dat ook juridische vraagstukken op. Welke voordelen heeft het om gebruik te kunnen maken van de Aanbestedingswet op Defensie- en veiligheidsgebied, die voor meer organisaties dan alleen het ministerie van Defensie toepasbaar is? Welke voordelen hebben bedrijven van de harmonisatie en uniformering die binnen de rijksdienst tot stand is gekomen met de introductie van de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten (ABRO)? En in hoeverre kunnen partijen met elkaar afstemmen over ontwikkelingen die kritiek zijn voor de nationale veiligheid? “Politieke aandacht helpt”, weet Van der Togt. Kijk bijvoorbeeld naar de TK-motie Ceder c.s., over ongewenste kennisoverdracht en risico’s voor de nationale veiligheid.* “Ook heeft de Landsadvocaat meer duidelijkheid gegeven rondom de juridische handelingsruimte bij nationale veiligheid. Die heeft dan ook apart een reflectie gegeven over de juridische werkelijkheid van de NCS. Een belangrijk punt hierin is dat nationale veiligheid een ruimer begrip is dan alleen de aanschaf van militair materieel, en dat biedt dus meer mogelijkheden.”
Omdat er zoveel aspecten meespelen, is het belangrijk om gezamenlijk een visie en strategie te ontwikkelen, waarbij zowel private als publieke partijen invloed kunnen uitoefenen. “Maar alleen een strategie creëert natuurlijk nog geen investeringen, capaciteit, leveringszekerheid en een daadwerkelijk effectieve samenwerking”, benadrukt Van Houwelingen. “Waar het om gaat, is dat strategische autonomie pas werkelijkheid wordt wanneer partijen hun onderlinge afhankelijkheden vertalen naar concrete governance, afspraken, investeringen en gezamenlijk handelen.”
*Tweede Kamer, vergaderjaar 2024–2025, 36 332, nr. 40.
“… overwegende dat het van het grootste belang is alert te zijn op ongewenste kennisoverdracht en risico’s voor de nationale veiligheid, ook in het kader van het migratiebeleid; verzoekt de regering in de relevante arbeidswet- en regelgeving vast teleggen dat arbeidsactiviteiten die verband houden met de uitoefening van openbaar gezag of het vrijwaren van het algemeen belang van de Staat alleen door Nederlanders of Unieburgers uitgevoerd mogen worden…”
“Dat betekent dat je het proces soms moet aanpassen. Wij doen dat ook regelmatig.”
Nick Oostervink, projectleider en Ecosysteem Orkestrator bij TNO Vector
Geen stappenplan, maar een iteratief proces
Daarbij is het belangrijk om te beseffen dat dit soort publiek-private samenwerkingen vaak een balanceeract zijn. Het kost immers tijd gezamenlijk en op een zorgvuldige manier een model te ontwikkelen, met het risico dat deelnemers niet voldoende voortgang ervaren. Daarbij kan het een uitdaging zijn om rekening te houden met de belangen van zowel de industrie als de overheid en daarin tot een goed evenwicht te komen. “Dat betekent dat je het proces soms moet aanpassen”, geeft Oostervink aan. “Wij doen dat ook regelmatig. Zoals afgelopen winter, toen we eigenlijk een uitgebreide workshop zouden hebben, maar dat een bijeenkomst werd waarin de deelnemende partijen de gelegenheid kregen hun twijfels te delen.”
Van Houwelingen: “Wat tijdens die middag allemaal naar boven kwam, hielp enorm om tot een samenwerkingsmodel te komen dat voor alle deelnemers werkt. En dat geeft maar weer duidelijk aan dat je voor dit soort samenwerkingsverbanden niet vooraf een stappenplan kunt vastleggen, maar dat het een iteratief proces is.”
De positieve beweging borgen
De huidige situatie? “Er heerst nu echt een andere dynamiek. Zo komen deelnemers zelf met ideeën, vaak met het verzoek dat samen op te pakken. De informele samenwerking is dus goed op gang gekomen. Onze volgende opgave is om die positieve beweging te borgen. Het succes van het ecosysteem mag namelijk niet te veel afhangen van afzonderlijke personen, tijdelijke urgentie of goodwill.”
“Het is wel duidelijk dat het vliegwiel inmiddels echt is aangezwengeld”, concludeert Oostervink. “Industriepartijen die zelf initiatieven ontplooien: dat is precies wat we aan het begin voor ogen hadden.”
Innovatie aanjagen
Ook Van der Togt ziet dat het ecosysteem in een nieuwe fase is beland. “We bevinden ons nu in een goede positie om samen tot cryptografie-oplossingen te komen die voldoen aan de allerhoogste veiligheidseisen en die bijdragen aan de digitale soevereiniteit van Nederland. Ondertussen richten we ons ook op de volgende stap: het ecosysteem inzetten om nieuwe cryptografieproducten te ontwikkelen. Innovatie dus. Belangrijk, die doorontwikkeling van de cryptografie-industrie, want de behoefte aan digitale veiligheid neemt alleen maar toe.” Daarnaast, zo benadrukken alle drie, is een groeiende markt uiteindelijk een belangrijke waarborg voor strategische autonomie. Bedrijven moeten groeikansen zien om te blijven investeren en zo bij te dragen aan de strategische autonomie van Nederland.
Waarom een orkestrator inschakelen?
Innovatie- of veranderingstrajecten orkestreren: dat is een rol die we als TNO Vector regelmatig op ons nemen. Bij ecosystemen of coalities is het vaak lastig dat de afzonderlijke partijen niet verantwoordelijk zijn voor de samenhang tussen publieke vraag, industriële investeringen, beschikbare capaciteit, juridische mogelijkheden en kennisontwikkeling. Daarom is een partij nodig die het ecosysteem als geheel helpt ontwerpen en ontwikkelen. Een partij bovendien die daarna ook helpt bij het operationaliseren en implementeren van de plannen die binnen zo’n ecosysteem ontstaan.
Ook behoefte aan een ecosysteem dat echt werk maakt van strategische autonomie? Bij TNO Vector helpen we overheden en bedrijven om tot zo’n samenwerkingsmodel te komen. Niet alleen als adviseur, maar vooral door de benodigde samenwerking samen met de betrokken partijen te ontwerpen, te testen en in de praktijk te brengen.
Vier lessen die helpen met de vorming voor een collaboratief ecosysteem dat bijdraagt om tot strategische autonomie te komen
Les 1: Maak wederzijdse afhankelijkheden expliciet
Dat begint met inzicht in wat publieke partijen en leveranciers van elkaar nodig hebben. Het gaat om zaken als vraagperspectief, capaciteit, informatie, investeringen, kennis en commitment. Op die manier wordt ook duidelijk waar de wederzijdse afhankelijkheden liggen. Vervolgens is het zaak om kritieke afhankelijkheden bewust in te richten en te beheersen.
Les 2: Bouw vertrouwen en commitment stapsgewijs en wederkerig op
Vraag partijen niet direct om maximale openheid of een langjarig commitment. Maar zet telkens een nieuwe stap, waarbij publieke en private partijen iets bijdragen én iets terugkrijgen. Ondertekende intentieverklaringen, bijvoorbeeld, zijn belangrijk, maar door samen te handelen, groeit het vertrouwen pas echt.
Les 3: Ontwerp de samenwerking, niet alleen het contract
Contracten zijn nodig om afspraken te borgen. Maar eerst moet duidelijk zijn welke publieke uitkomst de betrokken partijen nastreven, welke capaciteiten daarvoor nodig zijn, welke partijen die kunnen leveren, welke risico’s zij dragen en welk langetermijnperspectief de samenwerking alle deelnemers biedt.
Les 4: Organiseer voor het geheel, niet alleen voor afzonderlijke transacties
Bilaterale contracten kunnen producten en diensten organiseren, maar leiden niet vanzelf tot collectieve vraagbundeling, capaciteitsopbouw, kennisbehoud en gezamenlijke innovatie. Daarom is het belangrijk dat iemand de samenhang tussen de afzonderlijke partijen en de afspraken bewaakt.
