Europese bedrijven willen digitale soevereiniteit, maar governance blijft achter

TL;DR

• Wat: Nieuw rapport toont dat 94% van Europese organisaties digitale soevereiniteit centraal stelt, maar een derde geen formeel open-sourcebeleid heeft.
• Waarom relevant: Goed open-sourcebeleid levert aantoonbaar meer rendement op — en de meeste bedrijven laten dat liggen.
• Wat je ermee kunt: Inventariseer welke open-sourcesoftware je gebruikt en of je daar beleid omheen hebt.

Op de Open Source Summit Europe in Praag is het vijfde jaarlijkse 2026 State of Open Source in Europe-rapport gepresenteerd, een samenwerking van LF Europe, LF Research en NeoNephos. Ik viel over één cijfer: 94% van de ondervraagde organisaties noemt digitale soevereiniteit belangrijk voor hun techstrategie — maar bijna een derde heeft niet eens een formeel beleid voor de open-sourcesoftware die ze dagelijks gebruiken. Dat is een opvallend gat.

Digitale soevereiniteit: van buzzword naar beleidsprioriteit

Digitale soevereiniteit klinkt misschien als iets voor overheden en grote concerns, maar het gaat in de kern om een vrij simpele vraag: hoe afhankelijk ben je van technologie waar je geen controle over hebt? Denk aan clouddiensten van Amerikaanse bedrijven, of software waarvan de licentievoorwaarden van de ene op de andere dag kunnen veranderen.

Volgens het rapport zegt 94% van de Europese organisaties dat digitale soevereiniteit belangrijk is in hun techstrategie. 61% noemt het zelfs zeer belangrijk. De belangrijkste drijfveer? Beveiliging en privacy — 71% van de respondenten noemt dat als voornaamste reden.

De Europese Commissie heeft via het Tech Sovereignty Package zo'n €2 miljard gereserveerd voor digitale infrastructuur over zeven jaar. Dat klinkt als veel, maar het rapport plaatst er een nuchtere kanttekening bij: de totale jaarlijkse IT-uitgaven van Europese overheden bedragen €264 miljard. Die €2 miljard is dan ineens een druppel op een gloeiende plaat.

Wat mij hier opvalt: het rapport laat zien dat Europese ontwikkelaars al bijna 40% bijdragen aan fundamentele infrastructuurprojecten als Kubernetes en OpenStack. De wil en de kennis zijn er dus. Het probleem zit ergens anders.

Governance levert meetbaar meer op — en toch ontbreekt het vaak

Het meest concrete cijfer uit het rapport vind ik dit: organisaties met een volwassen open-sourcebeleid halen gemiddeld 4,6 keer hun investering terug. Organisaties zonder formeel beleid komen uit op 3,6 keer. Dat verschil van een volle factor is niet klein.

En toch heeft 31% van de Europese organisaties geen formeel open-source-governancebeleid. Dat is twaalf procentpunt boven het wereldwijde gemiddelde. Bij overheidsorganisaties in de EU is het nog opvallender: daar heeft 48% geen formeel beleid.

Voor een mkb-ondernemer klinkt "governance" misschien als iets uit de boardroom van een beursgenoteerd bedrijf. Maar in de praktijk gaat het om vragen als: weet je welke open-sourcebibliotheken in je software zitten? Wie houdt bij of er beveiligingsupdates zijn? En heb je afspraken over hoe je met licenties omgaat?

Stel dat je als ondernemer een webshop laat bouwen. De kans is groot dat daar tientallen open-sourcecomponenten in zitten. Als daar een kwetsbaarheid in zit — en je hebt niemand die dat bijhoudt — dan is dat een risico waar je misschien pas achterkomt als het te laat is.

AI-tools: populair, maar niet zonder risico

Een tweede opvallend cijfer: 94% van de ondervraagde organisaties gebruikt of test generatieve AI-tools voor softwareontwikkeling. Bijna de helft zegt daardoor meer open-sourcesoftware te gebruiken, niet minder.

Maar hier wordt het interessant. Het rapport signaleert ook de keerzijde. Testen lieten zien dat bijna de helft van door AI gegenereerde codewijzigingen incorrect was. En het aantal beveiligingskwetsbaarheden (CVE's) in Linux is gestegen van 55 naar 230 per week.

Ik wil voorzichtig zijn met een direct oorzakelijk verband — het rapport legt dat niet expliciet — maar de combinatie van meer code, sneller geproduceerd, met minder menselijke controle is op z'n minst iets om over na te denken. Kun je je voorstellen wat het betekent als je ontwikkelteam sneller code schrijft met AI, maar de kwaliteitscontrole niet evenredig meegroeit?

Thierry Carrez, een van de betrokkenen bij het rapport, vat het kernachtig samen: "Open source gives organizations a way to reduce dependence on any single vendor or country, but consuming open source alone doesn't give you effective control." Vrij vertaald: open source gebruiken is niet hetzelfde als er grip op hebben.

Private forks: de verborgen kostenpost

Een derde bevinding die ik er graag uitlicht: 48% van de Europese organisaties onderhoudt zogenaamde private forks van open-sourceprojecten. Een private fork is een eigen, aangepaste versie van open-sourcesoftware die je los van het origineel bijhoudt — vergelijk het met een recept uit een kookboek dat je zó vaak hebt aangepast dat je het origineel niet meer kunt volgen.

Dat klinkt onschuldig, maar het rapport becijfert dat organisaties gemiddeld 311 uur per releasecyclus besteden aan het patchen van 9,5 forks. En 28% van de organisaties kan de onderhoudskosten van hun forks niet eens bijhouden.

Voor een mkb-bedrijf dat maatwerksoftware laat ontwikkelen, is dit een relevante vraag om aan je ontwikkelaar of IT-partner te stellen: hebben we private forks, en zo ja, wat kost het onderhoud daarvan? Het is het type verborgen kosten dat pas zichtbaar wordt als je ernaar vraagt.

Regelgeving dwingt tot actie

Tot slot speelt er nog een factor die specifiek voor Europese bedrijven relevant is: regelgeving. De Cyber Resilience Act (CRA) stelt eisen aan de beveiliging van digitale producten, en dat raakt ook de open-sourcesoftware die erin verwerkt zit. Volgens het rapport heeft 63% van de organisaties hun investering in het beheer van open-source-afhankelijkheden verhoogd als reactie op regelgevingsdruk.

Ik vind dat een hoopgevend cijfer, eerlijk gezegd. Het laat zien dat regelgeving wél een prikkel geeft om de basis op orde te brengen. Tegelijkertijd betekent het dat de organisaties die nog geen actie ondernemen, straks mogelijk niet aan de eisen voldoen.

Wat ik hiervan meeneem

Dit rapport schetst een beeld dat ik herkenbaar vind: de intentie is er, het gebruik is er, maar de volwassenheid van het beleid loopt achter. En dat is precies waar het verschil zit tussen open source als kostenpost en open source als strategisch voordeel.

Voor mij is dit vooral een signaal dat "we gebruiken open source" niet genoeg is. De vraag is: wéét je wat je gebruikt, wie het onderhoudt, en wat er gebeurt als er iets misgaat? Dat hoef je niet allemaal zelf te doen — maar je moet het wel geregeld hebben.