Alles onder controle

In de nacht van dinsdag op woensdag werden binnen SURF de risico's duidelijk en werd een crisisteam gevormd. Wat ik in de loop van de ochtend van het proces meekreeg, verliep opvallend soepel. Voor alle diensten en dienstonderdelen (en dat zijn er nogal wat) werd geïnventariseerd wat de risico's waren en welke maatregelen nodig waren.
 
Ook mijn eigen team had alles onder controle. Het offline halen van de diensten, instellen van notificaties en versturen van de communicatie waren zo gepiept. Het gesprek dat we vooraf binnen het team voerden, was nog het lastigst. We streven ernaar dat onze diensten 24/7 beschikbaar zijn en vinden het moeilijk te accepteren als dat niet lukt. Maar in dit geval was de noodzaak evident.

Wachten, wachten en nog eens wachten

Het weer online brengen van de diensten duurde aanzienlijk langer dan het offline gaan. Ik kreeg inzicht in een keten van afhankelijkheden waarvan ik me niet eerder bewust was.
 
Na het offline halen van de diensten moesten we eerst wachten op de beveiligingsupdates voor PHP. Vervolgens moesten andere partijen deze updates verwerken in de softwarepakketten die wij als basis gebruiken. Pas daarna kon ons team zelf verder met het bijwerken, testen en weer beschikbaar stellen van onze diensten.
 
Om 21.15 uur waren onze diensten weer beschikbaar. Na wat nazorg konden mijn collega's rond 22.00 uur eindelijk afsluiten. De volgende ochtend zat iedereen gewoon weer bij de ochtendstart, al werd er wel wat meer koffie gedronken dan normaal.

Open source… wat is het ons waard?

Al snel circuleerde onderstaand plaatje in verschillende varianten. Een groot deel van onze digitale infrastructuur is afhankelijk van open-sourcesoftware die door relatief kleine groepen ontwikkelaars wordt onderhouden. Die software kunnen we vrij gebruiken, maar de ontwikkeling en het onderhoud ervan kosten natuurlijk wel tijd en geld.
 
De PHP Foundation wees er deze week op dat de beveiliging van PHP, een van de meest gebruikte open-sourceprogrammeertalen ter wereld, afhankelijk is van een kleine groep betaalde ontwikkelaars en vrijwilligers. In 2025 ontving de stichting ongeveer 730.000 dollar aan donaties. Dat is opmerkelijk weinig voor een programmeertaal waarop een groot deel van het internet draait.
 
Als deze week iets positiefs oplevert, hoop ik dat het meer organisaties ertoe aanzet om niet alleen gebruik te maken van open source, maar ook bij te dragen aan het onderhoud ervan.

Nadat de Amerikaanse regering A/I op een terrorismelijst plaatste, verloor de organisatie haar domeinnaam en toegang tot financiële diensten. Opvallend is dat de sancties niet gericht waren tegen specifieke websites of gebruikers, maar tegen de internetdienstverlener zelf. Dat is uitzonderlijk: internetdienstverleners worden doorgaans niet verantwoordelijk gehouden voor wat hun gebruikers online publiceren. De gevolgen waren zo ingrijpend dat de vrijwilligers achter A/I zich genoodzaakt zagen de dienstverlening te beëindigen.

De gevolgen reiken verder dan A/I. Zo trok het Nederlandse hostingbedrijf ProcoliX zich uit vrees voor Amerikaanse sancties terug uit een traject om meer diensten te leveren aan het Internationaal Strafhof. In oktober 2026 nam de Amsterdamse politie op Amerikaans verzoek bovendien een server van A/I in beslag. Dutch Cloud Community maakte zich grote zorgen over deze inbeslagname en vroeg opheldering over de juridische toetsing van het verzoek. Samen met 37 andere organisaties werd bovendien een brief gestuurd aan de regering en de Tweede Kamer. Daarin riepen zij op om Europese organisaties en hun gebruikers te beschermen tegen buitenlandse sanctiedruk.

Deze gebeurtenissen laten zien dat digitale soevereiniteit over meer gaat dan de keuze voor Europese software of hosting. Ook wanneer we onze digitale infrastructuur in Europa onderbrengen, kunnen we afhankelijk blijven van buitenlandse partijen en besluiten.

Verder lezen

• Als de Amerikaanse regering je tot terrorist heeft bestempeld: deze Italiaanse internetprovider kwam vorige week op de sanctielijst (NRC)

• Italiaanse internetdienstverlener stopt nadat de VS hem op de terreurlijst plaatsten (NRC)

• Amerikaanse sanctiebeleid jaagt Europese internetsector angst aan (NRC)

• Politie Amsterdam neemt op Amerikaans verzoek server in beslag van linkse internetdienstverlener A/I (NRC)

• Dutch Cloud Community heeft grote zorgen over recente rechtshulp aan regering Trump (Dutch Cloud Community)

1. Ga naar File > Options > Save. Of in het Nederlands: Bestand > Opties > Opslaan.
2. Zoek naar Save files in this format. Of: Bestanden opslaan in deze indeling.
3. Kies OpenDocument Text (*.odt).

Zo blijf je werken met de software die je gewend bent, maar sla je je documenten voortaan op in een open bestandsformaat dat niet aan één leverancier is gebonden. Hoe meer mensen .odt gebruiken, hoe minder vanzelfsprekend het wordt dat Microsoft Word de norm bepaalt. Daarmee geef je alternatieve tekstverwerkers als LibreOffice Writer en Collabora Online meer ruimte en vergroot je de keuzevrijheid van ons allemaal, ook als je zelf voorlopig gewoon Word blijft gebruiken.

Merk je hier zelf iets van? Meestal niet. Bij complexere documenten werken sommige geavanceerde functies mogelijk niet goed. Dan kun je altijd nog kiezen voor .docx.

Door .odt als standaard in te stellen, geef je jezelf een duwtje in de goede richting. De standaardinstelling van Word stuurt je juist de andere kant op: richting het bestandsformaat van Microsoft.

Dat raakte mij en mijn collega's. Bij SURF hebben we de infrastructuur om vele petabytes aan data op te slaan. Konden we daarmee een doemscenario voorkomen? We bereidden ons voor om bij noodverzoeken direct te kunnen handelen. Collega's lieten daarvoor meteen hun andere werk vallen. We maakten afspraken om te voorkomen dat onze gebruikelijke procedures ons zouden vertragen.

Achteraf bleek het veiligstellen van data lang niet altijd nodig: soms viel de dreiging mee, regelmatig werd elders een oplossing gevonden. Maar de afhankelijkheid van de VS werd pijnlijk duidelijk. Want wat heb je aan veilig opgeslagen data als je ze niet meer kunt benaderen voor analyse? Of als de financiering van onderzoeksgroepen wordt stopgezet en er geen nieuwe data meer worden verzameld?

We kunnen onderzoeksdata opslaan in Europese datacenters, maar daarmee zijn we er niet. We zijn diep afhankelijk van software, hardware, wetenschappelijke instrumenten, financiering en expertise van buiten Europa.

Willen we onze wetenschap beschermen, dan moeten we zelfstandiger worden en bereid zijn meer in ons eigen onderzoek te investeren. Ons onderzoek mag niet stilvallen als elders wordt besloten de stekker eruit te trekken.

Over deze gebeurtenissen en de bredere afhankelijkheid van Amerikaanse technologie sprak ik in de podcastreeks De universiteit in het nauw van de Vrije Universiteit Amsterdam.

We staan als SURF in contact met SIVON. Hoewel we een vergelijkbaar doel nastreven, verschillen onze situaties. SURF beheert en ontwikkelt zelf de technische omgeving waarop Nextcloud draait. En onze leden (mbo's, hbo's en universiteiten) beschikken over eigen IT-organisaties die Nextcloud voor hun instelling kunnen inrichten en gebruikers kunnen ondersteunen.

Toch schetst SIVON twee uitdagingen die wij herkennen:

1. Synchronisatie, integraties en aansluiting op bestaande werkprocessen zijn doorslaggevend voor adoptie. Daar investeren wij flink in. Onze ontwikkelcapaciteit stelt ons in staat Nextcloud beter te laten samenwerken met andere systemen en aan te laten sluiten op de manier waarop mensen al werken.

2. Microsoft biedt naast samenwerkingssoftware voorzieningen voor onder meer identiteit, beveiliging en apparaatbeheer. Wie voor Nextcloud kiest, moet daarvoor zelf oplossingen vinden. Dat is voor ons eveneens een uitdaging. Ons bredere dienstaanbod en onze ervaring met gezamenlijke inkoop helpen ons daarbij.

SIVON plaatst bovendien terecht twee kanttekeningen bij de haalbaarheid. Open source betekent niet automatisch dat een dienst goedkoper is, zeker niet wanneer je andere voorzieningen zelf moet regelen. Ook is het aantal leveranciers dat het technisch beheer van Nextcloud op deze schaal kan verzorgen beperkt.

Dat heeft alles te maken met de manier waarop de markt zich de afgelopen jaren heeft ontwikkeld, of beter gezegd: nauwelijks heeft ontwikkeld. De vraag naar alternatieven voor Microsoft bleef lange tijd klein, waardoor leveranciers weinig ruimte kregen om te groeien. Zonder vraag ontstaat geen volwassen aanbod en zonder schaal worden alternatieven niet vanzelf goedkoper.

Als we volwaardige alternatieven willen, zullen we dus bereid moeten zijn daarin te investeren. Daarvoor zijn geen wereldschokkende bedragen nodig zoals die momenteel naar AI gaan. Maar we kunnen evenmin verwachten dat nieuwe spelers vanaf dag één concurreren met de scherpe prijzen van Big Tech met een enorm marktaandeel, laat staan met het gratis aanbod waarmee jonge gebruikers al vroeg aan hun ecosystemen worden gebonden.

Dat het basis- en voortgezet onderwijs die investeringsruimte niet zomaar zelf heeft, is begrijpelijk. Daarom zijn de gesprekken die SIVON hierover met het ministerie van OCW voert zo belangrijk. Hopelijk leiden die ertoe dat ook het funderend onderwijs serieus werk kan maken van digitale autonomie.

Onze collega's Antoon Prins en Ron Trompert ontwikkelden de functionaliteit, in samenwerking met CERN en de Tsjechische en Zweedse IT-organisaties voor onderzoek en onderwijs CESNET en SUNET.

Ik schreef er een stukje over voor onze nieuwsbrief om dit succes te vieren. Onze collega's vonden al die aandacht zelf wat ongemakkelijk. Bij de koffieautomaat vroeg ik Antoon om een quote. ‘One small step for man…’ en een brede glimlach kreeg ik terug.

Maar stiekem zijn we ontzettend trots op dit werk. Samenwerking tussen instellingen is de belangrijkste toepassing voor onze samenwerkingsomgeving. En deze functionaliteit maakt die in één klap een stuk eenvoudiger.

Hoe zit dat precies?

Samenwerken tussen Nextcloudomgevingen was al mogelijk. Wilde je met iemand buiten je eigen instelling bestanden delen, chatten of videovergaderen, dan had je diens Cloud ID nodig: een uniek webadres dat werkt als gebruikersnaam. Daarmee kunnen beide Nextcloudomgevingen rechtstreeks verbinding maken.

Voorheen moest je zo'n Cloud ID apart met de ander delen en zelf toevoegen. Dankzij de nieuwe functionaliteit kun je Cloud ID's veel eenvoudiger uitwisselen en direct toevoegen aan je persoonlijke adresboek.

Het idee ontstond binnen een project van de European Open Science Cloud (EOSC). Samen met onder andere CERN, CESNET en SUNET is eraan gewerkt; SURF en SUNET werkten het concept vervolgens technisch uit voor Nextcloud.

Sinds de release van 16 september kan de hele Nextcloudgemeenschap ervan profiteren.

Naarmate de pilot vordert, wordt steeds duidelijker dat onder die ambitie nog een andere behoefte schuilgaat: onderzoekers, docenten en studenten willen zich vrij kunnen bewegen tussen instellingen. Onderzoekers werken samen in consortia, docenten ontwikkelen gezamenlijk onderwijs en studenten volgen steeds vaker vakken buiten de muren van hun eigen instelling.

Dat brengt ons bij een begrip dat veel ouder is dan de cloud: federatie.

Wat is federatie?

Als Trekkie denk ik bij een federatie aan de United Federation of Planets uit Star Trek. Honderden beschavingen werken samen op het gebied van wetenschap, diplomatie en veiligheid. Ze vormen samen één verband, maar behouden hun eigen bestuur, cultuur en identiteit.

Dat is de essentie van een federatie: samenwerking zonder centralisatie. De deelnemers spreken af hoe zij samenwerken, maar niemand hoeft zijn zelfstandigheid op te geven. Een federatie zoekt daarmee een middenweg tussen volledige onafhankelijkheid en volledige integratie.

Hoewel het begrip vaak wordt gebruikt voor staten en politieke verbanden, is het federatieve principe ook toepasbaar op IT. Dat geldt zeker voor sectoren als onderwijs en onderzoek. Instellingen werken intensief samen, maar willen hun eigen identiteit, processen en verantwoordelijkheden behouden.

Des te opvallender is het dat onze digitale samenwerkingsomgevingen veel minder federatief zijn georganiseerd dan de instellingen die ervan gebruikmaken.

Het Microsoft-model: kiezen tussen silo’s of monocultuur

Microsoft kiest voor een model waarin iedere instelling een eigen omgeving krijgt. Dat past goed bij de manier waarop instellingen zijn georganiseerd. Ze behouden controle over hun gebruikers, gegevens, beveiligingsbeleid en inrichting.

In theorie kunnen gebruikers uit verschillende Microsoft-omgevingen met elkaar samenwerken. In de praktijk blijkt dat minder vanzelfsprekend. Instellingen hanteren verschillende beveiligingsrichtlijnen, maken uiteenlopende keuzes in hun inrichting en zijn niet altijd bereid om de benodigde vertrouwensrelaties aan te gaan.

Het gevolg is dat de grenzen van de instelling meestal samenvallen met de grenzen van de samenwerkingsomgeving. Zo ontstaan silo's: goed georganiseerde samenwerkingsomgevingen binnen instellingen, maar met relatief hoge drempels tussen instellingen.

Wanneer instellingen die drempels wel wegnemen, wordt samenwerken over organisatiegrenzen heen een stuk eenvoudiger. Maar daar hangt een prijskaartje aan: iedereen moet Microsoft gebruiken.

De grenzen tussen instellingen vervagen dan, maar de afhankelijkheid van één leverancier neemt toe. Uiteindelijk ontstaat zo een monocultuur waarin samenwerking en leverancier onlosmakelijk met elkaar verbonden raken.

Het Google-model: één groot universum

Google kiest een fundamenteel andere benadering dan Microsoft en lost het silo-probleem radicaal op: er zijn geen silo's meer. Waar Microsoft samenwerking probeert te organiseren tussen afzonderlijke omgevingen, staat bij Google één gedeeld ecosysteem centraal.

Google richt zich niet alleen op instellingen, maar van oudsher ook rechtstreeks op individuele gebruikers. Instellingen en particulieren maken daardoor deel uit van hetzelfde ecosysteem. Studenten en medewerkers bewegen zich moeiteloos tussen hun rol binnen een instelling en hun privéleven. Veel gebruikers zijn al vertrouwd met deze diensten voordat zij een instelling binnenkomen en blijven ze ook daarna gebruiken.

Dat heeft een groot voordeel: samenwerken is eenvoudig. Bestanden, documenten en samenwerkingsruimtes kunnen gemakkelijk worden gedeeld met gebruikers van andere organisaties. Institutionele grenzen spelen daarbij een veel kleinere rol.

Maar ook deze vrijheid heeft een prijskaartje. Samenwerking wordt niet mogelijk gemaakt doordat verschillende omgevingen met elkaar samenwerken, maar doordat iedereen gebruikmaakt van hetzelfde platform.

Dat maakt Google in zekere zin het spiegelbeeld van Microsoft. Waar Microsoft instellingen voor de keuze stelt tussen silo's en monocultuur, kiest Google vanaf het begin voor het laatste.

De uitkomst is verrassend vergelijkbaar. Samenwerken wordt eenvoudig, zolang iedereen dezelfde leverancier gebruikt.

Het federatieve model: een derde weg

Tot nu toe kwamen we steeds uit bij dezelfde voorwaarde: samenwerken wordt eenvoudiger wanneer iedereen dezelfde leverancier gebruikt.

Wat als die voorwaarde niet nodig is? Instellingen behouden hun eigen omgeving, bepalen hun eigen beleid en kiezen zelf welke leverancier zij gebruiken. Tegelijkertijd werken onderzoekers, docenten en studenten samen over de grenzen van hun instelling heen.

In een federatie ontstaat samenwerking niet doordat iedereen hetzelfde systeem gebruikt, maar doordat systemen met elkaar samenwerken. Dat kan als platformen dezelfde taal spreken. Open standaarden vormen daarvoor de basis. Daarmee ontstaat een derde mogelijkheid naast silo's en monocultuur.

Tenminste, dat is de belofte. Een federatie werkt alleen wanneer meerdere leveranciers dezelfde open standaarden ondersteunen. Gebeurt dat niet, dan ontstaat alsnog een monocultuur, alleen via een andere route.

Het debat over digitale autonomie gaat te vaak over leveranciers en te weinig over standaarden. De vraag is uiteindelijk niet of we voor Microsoft, Google of Nextcloud kiezen. De vraag is of we samenwerking afhankelijk willen maken van een leverancier.

Het resultaat is een rijk verhaal over de afwegingen waar we dagelijks mee te maken hebben:

• Draaien systemen in verschillende datacenters, voor als er een uitvalt?

• Hoe moeilijk of makkelijk is het om te wisselen van aanbieder?

• Voor welke systemen vind je dat belangrijk?

Hoe doen we dat in onze Nextcloudpilot?

In onze Nextcloudpilot maken we gebruik van drie geografisch gespreide datacenters. Er kan er één uitvallen, dat testen we.

Wisselen van aanbieder hebben we vorig jaar gedaan met onze diensten Research Drive en SURFdrive. Dat ging relatief eenvoudig omdat onze oude en nieuwe leverancier open source en open standaarden serieus namen.

(Met nadruk op 'relatief', want migreren is als verhuizen: het is geen pretje, maar je doet het omdat het je iets oplevert.)

Digitale autonomie is essentieel voor onze samenwerkingsomgeving: de omgeving heeft sterke invloed op hoe we onderzoek en onderwijs doen. Samenwerking tussen instellingen is de norm. Juist daarvoor schieten de big tech-oplossingen tekort, omdat zij erbij gebaat zijn je binnen hun ecosysteem te houden. Hotel California, zou je kunnen zeggen: you can check out any time you like, but you can never leave.

DPG Media kiest voor Microsoft 365

De CISO van DPG Media vraagt zich af wat een soevereine cloud nu is: "Is dat een volledig Europese entiteit of kan het ook een Amerikaans bedrijf op Europese bodem met Europese medewerkers zijn?"

Aandacht voor soevereiniteit is fantastisch, alleen lijkt deze vraag maar al te vaak gebruikt te worden om moeilijke keuzes voor zich uit te schuiven. Dat werkt de status quo in de hand.

DPG Media verruilt Google Workspace dan ook voor Microsoft 365 en kijkt de komende jaren verder. Vijf jaar lang. Maar als iedereen blijft wachten tot het perfecte alternatief zich aandient, blijven we nog heel lang in de verkennende fase hangen.

Naschrift, 24 oktober 2026

Het verhaal heeft inmiddels een vervolg gekregen. Op 14 juli publiceerde Nightmare Eclipse een nieuwe kwetsbaarheid in Windows. In de maanden daarna volgden verschillende andere kwetsbaarheden in Microsoft Defender. Ook maakte de onderzoeker zijn identiteit bekend: Abdelhamid Naceri, een voormalig medewerker van Microsoft. Het conflict blijkt een langere voorgeschiedenis te hebben, maar over de precieze toedracht bestaat nog altijd onduidelijkheid.

Dat werk is complex. Het gaat niet alleen over technologie, maar ook over adoptie, samenwerking over organisatiegrenzen heen, omgaan met onzekerheid en de vraag hoe we digitale autonomie werkbaar houden.

Laten we het daarom niet onnodig ingewikkelder maken. Er zijn drie reflexen die ons werk bemoeilijken.

1. Het calimerocomplex

Claudia, kunnen wij dit wel zelf?

Ik werk op het Science Park Amsterdam, waar het internet in Nederland is geboren. Daar werk ik samen met experts in quantum computing en AI. We verwerken data uit de Large Hadron Collider en ondersteunen ander grensverleggend onderzoek.

En toch moet ik nog regelmatig uitleggen dat wij zelf een samenwerkingsomgeving kunnen hosten. Sterker nog: dat doen we al meer dan tien jaar. In de tijd van Dropbox en de Snowden-onthullingen lanceerden we SURFdrive, gebouwd op dezelfde softwarebasis. SURFdrive heeft inmiddels bijna 100.000 gebruikers.

Een potentiële leverancier zei ooit na een demo, toen langzaam doordrong wat we bij SURF allemaal doen: “So you ARE the cloud…” Ja, dat zijn we.

We zijn te veel gaan geloven dat digitale infrastructuur vooral iets is wat anderen bouwen.

2. De eeuwige twijfel

Claudia, waarom hebben jullie voor Nextcloud gekozen? Waarom niet voor X, Y of Z? Kijken jullie daar nog naar?

Ik juich keuzevrijheid toe. Laat vooral een volwassen markt ontstaan waarin organisaties verschillende oplossingen kunnen kiezen en toch kunnen samenwerken via open standaarden. Minder afhankelijkheid van een handvol leveranciers is essentieel. Maar voortdurende heroverweging maakt bouwen moeilijk.

Onze keuze voor Nextcloud is niet willekeurig geweest. Daar zit analyse, praktijkervaring en een bewuste afweging achter. Bovendien geldt voor vrijwel alle soevereine alternatieven dat verdere ontwikkeling nodig is om aan te sluiten op de behoeften van onderwijs en onderzoek.

Twijfel is gezond. Alleen kun je niet bouwen als de fundering voortdurend ter discussie staat.

3. Sovereignty washing

Maar Claudia, Big Tech beweegt toch ook? Is die sovereign cloud niets voor ons?

Lokale hosting, Europese exploitatie en aanvullende maatregelen zoals encryptie of sleutelbeheer kunnen bepaalde risico’s verminderen. Dat is waardevol.

Maar afhankelijkheid van gesloten applicatielagen verdwijnt daarmee niet. Kun je de code inzien? Kun je voortbouwen op het platform? Worden open standaarden ondersteund? Heb je invloed op AI en de richting van het ecosysteem?

Digitale autonomie gaat niet alleen over waar software draait of onder welke vlag zij wordt aangeboden. Belangrijker is wie invloed heeft op de technologie die onze digitale infrastructuur vormt.

Oplossingen die bestaande afhankelijkheden opnieuw verpakken, maken ons niet onafhankelijker. Ze kunnen bepaalde risico’s verkleinen, maar versterken tegelijk de concentratie van macht in een klein aantal ecosystemen.

De drie reflexen hangen samen. We onderschatten ons eigen kunnen, blijven twijfelen en vallen vervolgens terug op bestaande afhankelijkheden. Als we werk willen maken van digitale autonomie, zullen we moeten accepteren dat het aan onszelf is én dat we het kunnen.

Een logische reactie daarop is dat we volledig modulair moeten gaan werken: losse componenten die we één voor één kunnen vervangen. Open standaarden, verwisselbare bouwstenen. En als dat wat minder gebruiksgemak oplevert, dan is dat maar de prijs die we moeten betalen.

Daarmee dreigen we het belang van samenhang en gebruiksgemak te onderschatten. Maximale modulariteit klinkt aantrekkelijk, maar verschuift in de praktijk vaak complexiteit naar integratie, beheer en uiteindelijk de gebruiker zelf.

Integratie lijkt vanzelfsprekend geworden

Neem een ogenschijnlijk klein voorbeeld als het plannen van een vergadering. We zijn inmiddels gewend dat bij het aanmaken van een agenda-afspraak automatisch een vergaderlink verschijnt. Pas wanneer die integratie ontbreekt, merk je hoeveel invloed dat heeft op hoe soepel samenwerken gaat.

Ineens moet je handmatig een losse videovergadering aanmaken, links kopiëren en opletten dat alles nog klopt. Het lijkt een detail, maar juist dit soort integraties bepaalt hoe bruikbaar een samenwerkingsomgeving in de praktijk is.

Hetzelfde geldt voor rechten die automatisch doorwerken tussen bestanden, chats en teams. Voor identiteiten die tussen systemen worden uitgewisseld zodat gebruikers niet steeds opnieuw hoeven in te loggen. Of voor agenda’s waarin automatisch zichtbaar is wanneer collega’s beschikbaar zijn, ongeacht welk onderliggend systeem zij gebruiken.

Veel van die samenhang zijn we vanzelfsprekend gaan vinden, juist omdat grote platformen die integratie de afgelopen jaren steeds verder hebben doorgevoerd.

Complexiteit verdwijnt niet

Die samenhang blijft nodig, ongeacht de architectuurkeuze. De vraag is daarom niet óf die complexiteit bestaat, maar waar zij terechtkomt.

In een modulaire omgeving moet niet alleen alles met elkaar blijven samenwerken, maar verandert ook voortdurend iets onder de motorkap. Componenten krijgen eigen updates, integraties moeten opnieuw getest worden en gebruikersprocessen veranderen mee. De flexibiliteit van losse bouwstenen brengt daarmee ook een blijvende beheer- en veranderlast met zich mee.

Frictie remt adoptie

Die extra complexiteit blijft niet beperkt tot de techniek. Ze wordt uiteindelijk ook zichtbaar in het dagelijks werk van beheerders en gebruikers. Samenwerking wordt minder vanzelfsprekend en organisaties moeten aanvullende oplossingen inrichten om alles werkbaar te houden.

Elke extra hobbel vergroot de kans dat gebruikers uiteindelijk toch weer uitkomen bij de dominante platformen die alles al geïntegreerd aanbieden. Gebruiksgemak is daarom niet alleen comfort, maar ook een randvoorwaarde voor digitale autonomie.

Waarom wij voor een geïntegreerde basis kiezen

In onze pilot met een open samenwerkingsomgeving hebben wij bewust gekozen voor de geïntegreerde basis die Nextcloud biedt. De organisatorische en culturele verandering is namelijk al groot genoeg. Organisaties moeten beheerprocessen aanpassen, functioneel beheerders moeten nieuwe expertise opbouwen en gebruikers moeten wennen aan andere manieren van samenwerken.

De ontwikkelcapaciteit die we daardoor niet hoeven te besteden aan het telkens opnieuw integreren van losse componenten, kunnen we inzetten op waar wij waarde toevoegen: adoptie en functionaliteiten die belangrijk zijn voor onze sector.

Waar wij onze tijd in steken

Zo investeren we sterk in integratie met bestaande werkomgevingen, zodat organisaties ervaring kunnen opdoen met een alternatief zonder direct gedwongen te worden tot een volledige migratie. Mensen moeten met elkaar kunnen blijven samenwerken, ongeacht in welke omgeving zij werken. Gebeurt dat niet, dan wordt een alternatief in de praktijk simpelweg niet gebruikt.

Daarnaast richten we ons sterk op samenwerking tussen instellingen. Juist in onderwijs en onderzoek is samenwerken over organisatiegrenzen heen essentieel, tussen onderzoekers, docenten en studenten van verschillende instellingen, terwijl veel huidige platformen vooral zijn ontworpen rondom één organisatie.

Tegelijk blijft grip op data een belangrijk aandachtspunt. Denk aan veilig delen, metadata en betere mogelijkheden om gevoelige informatie gecontroleerd te beheren en uit te wisselen.

Werkbaarheid is geen bijzaak

Autonomie wordt nog te vaak gelijkgesteld aan maximale modulariteit. Alsof een omgeving pas toekomstbestendig is wanneer iedere component afzonderlijk vervangen kan worden.

Maar in de praktijk werkt dat alleen wanneer mensen er ook daadwerkelijk mee kunnen samenwerken. Een omgeving die technisch volledig open en vervangbaar is, maar in het dagelijks gebruik te veel frictie oplevert, leidt er uiteindelijk toe dat gebruikers alsnog uitwijken naar dominante gesloten platformen.

Een alternatief dat in de praktijk te ingewikkeld wordt, is uiteindelijk geen echt alternatief.

Onderzoekers werken nationaal en internationaal samen, studenten volgen vakken bij verschillende instellingen en projecten verbinden onderwijs, onderzoek, overheid en bedrijfsleven.

Toch zijn veel IT-oplossingen nog ingericht alsof iedereen binnen één organisatie werkt. Samenwerken buiten de eigen instelling wordt daardoor vaak omslachtig, technisch beperkt of te riskant gevonden.

Samenwerking botst op organisatiemuren

In de praktijk leidt dat tot allerlei noodoplossingen. Er wordt gewerkt met losse deellinks, tijdelijke toegang en uitnodigingen die vooral geschikt zijn voor incidenteel gebruik, niet voor structurele samenwerking.

Wanneer officiële oplossingen tekortschieten, wijken gebruikers bovendien uit naar schaduw-IT: tools die niet door de instelling worden beheerd of ondersteund. Daarmee ontstaan ook nieuwe risico’s rond privacy, informatiebeveiliging en grip op data.

En soms wordt samenwerking simpelweg beperkt omdat de IT er niet goed genoeg op aansluit. Dat lijkt misschien een technisch probleem, maar de maatschappelijke prijs kan groot zijn: hoeveel kennis, onderzoek of innovatie gaat verloren doordat samenwerken over organisatiegrenzen heen nog steeds onnodig ingewikkeld is?

Van gasttoegang naar gedeelde samenwerking

Binnen onze samenwerkingsomgeving op basis van Nextcloud proberen we dit anders aan te pakken.

De kern van die aanpak is dat samenwerking niet draait om losse deellinks, maar om accounts en identiteiten. Gebruikers zonder eigen Nextcloudomgeving kunnen via EduID zelf een account aanmaken. Vervolgens delen gebruikers bestanden en informatie met specifieke accounts in plaats van met publieke links. Voor die accounts dwingen we bovendien multifactorauthenticatie af.

Dat maakt samenwerking fundamenteel anders dan werken via losse deellinks. Gebruikers krijgen niet tijdelijk toegang tot één bestand of vergadering, maar kunnen duurzaam deelnemen aan een gedeelde werkomgeving.

Als SURF nemen wij daarbij verantwoordelijkheid voor gastgebruik. We bieden EduID-gebruikers een vrijwel volledige samenwerkingservaring, maar binnen duidelijke kaders en met bewust beperkte rechten. Zo kunnen zij wel deelnemen aan samenwerking, maar bijvoorbeeld niet zelf chats aanmaken of een persoonlijke opslagruimte gebruiken.

Ze krijgen toegang tot vrijwel alle apps, kunnen werken met gedeelde mappen en chats, bestanden synchroniseren en eenvoudig terugkeren naar eerdere samenwerkingen, zonder steeds opnieuw met losse links te hoeven werken.

Netwerkorganisaties vragen om netwerksoftware

Met deze aanpak wordt ook een breder coördinatieprobleem rond digitale samenwerking opgelost. Individueel is het voor instellingen vaak logisch om terughoudend te zijn met gasttoegang: het brengt extra risico’s, beheerlast en verantwoordelijkheden met zich mee. Collectief leidt dat echter tot een landschap waarin structurele samenwerking juist onnodig moeilijk wordt.

Wanneer gastgebruik centraal wordt georganiseerd, hoeft niet iedere instelling dat probleem afzonderlijk op te lossen. Instellingen hoeven daardoor ook niet exact dezelfde oplossingen te gebruiken of elkaar volledig te vertrouwen om toch veilig samen te kunnen werken.

Onderwijs en onderzoek zijn van nature netwerkorganisaties. Onze samenwerkingsomgevingen zouden dat ook moeten zijn.

Wie heeft controle over identiteit?

eduID verplaatst de regie over digitale identiteit van commerciële platforms naar het onderwijs en de lerende zelf. Dat is geen technische nuance, maar een principiële keuze over wie controle heeft. Het visiestuk van mijn collega’s bij SURF onderstreept dat digitale identiteit in handen moet liggen van de sector zelf.

Een hardnekkig probleem in onderzoek opgelost

eduID is niet alleen een oplossing voor flexibilisering van onderwijs, maar ook voor samenwerking. Die speelt zich steeds vaker af over instellingsgrenzen heen, terwijl identiteit nog grotendeels per instelling is georganiseerd.

In onderzoek zie je waar het wringt. Samenwerken buiten de eigen instelling is vaak lastig. Delen via publieke links is doorgaans niet toegestaan vanwege risico’s. Lokale accounts voor externe gebruikers zijn omslachtig en tweefactorauthenticatie kan niet altijd worden afgedwongen.

In Research Drive lost eduID dit op. Gastgebruikers brengen hun eigen eduID mee en krijgen gecontroleerde toegang tot data, zonder onveilige omwegen en mét de mogelijkheid om beveiligingseisen zoals tweefactorauthenticatie af te dwingen.

Gastgebruik is structureel, niet uitzonderlijk

Wat eduID onderscheidt, is het vertrekpunt. Niet de technologie, maar de gebruiker en de samenwerking staan centraal. Het resultaat is een identiteit die blijft bestaan, ook bij een overstap, en niet vastzit aan één organisatie maar meebeweegt met de gebruiker.

Gastgebruik wordt zo structureel in plaats van uitzonderlijk. Externe deelnemers krijgen herkenbare en beheersbare toegang, passend bij hoe onderwijs en onderzoek in de praktijk functioneren.

eduID is geen extra laag, maar een andere manier van kijken naar digitale identiteit: niet georganiseerd rondom instellingen, maar rondom mensen en samenwerking. Dat maakt het mogelijk om zonder frictie én met de juiste waarborgen samen te werken over instellingsgrenzen heen.