‘De overheid kan zich puur opstellen als inkoper die de laagste prijs zoekt’, zegt Timmerman, ‘maar ze kan ook besluiten het goede voorbeeld te geven door met haar it-keuzes Nederlandse innovatie te stimuleren.’ Die keuze bepaalt volgens hem in hoge mate of Nederland – en Europa – grip krijgt op zijn digitale infrastructuur.

De discussie over afhankelijkheid van Amerikaanse technologiebedrijven wordt vaak gevoed door geopolitiek. Maar dat is volgens hem slechts een deel van het verhaal. ‘Het gaat niet om wie er vandaag president is. Het probleem is dat je je digitale huishouding ophangt aan partijen die onder een ander juridisch regime vallen.’ Daarmee ontstaat een structurele spanning. Europese regels rond privacy, data en toezicht zijn niet altijd verenigbaar met de kaders waarbinnen niet-Europese aanbieders opereren. Die spanning verdwijnt niet met politieke wisselingen.

Van ideologie naar risicobeheersing

Digitale soevereiniteit moet daarom niet ideologisch worden benaderd, maar als risicobeheersing, stelt Timmerman. Organisaties – en zeker overheden – moeten bepalen wat hun minimum viable infrastructure is. ‘Welke systemen en data zijn strikt noodzakelijk om bij een aanval of uitval het kernproces draaiend te houden? Alles daarbuiten gaat bij een incident in quarantaine.’ Daarbij hoort ook een ‘kill switch’-protocol: vooraf vastleggen wat je uitschakelt bij een aanval.

Die benadering is hard: je accepteert dat een groot deel van de organisatie tijdelijk stilvalt, zodat het essentiële kan blijven functioneren. ‘Je moet bereid zijn dat tachtig procent uitvalt om die cruciale twintig procent te beschermen.’ Voor de overheid betekent dit volgens Timmerman een fundamentele vraag: wat moet je als staat zélf overeind kunnen houden als externe systemen wegvallen? Dat geldt niet alleen voor infrastructuur, maar ook voor kennis. Alles wat niet kritisch is, kun je elders afnemen – mits je de kern beheerst.

Differentiëren in plaats van dogma’s

Dat inzicht vraagt om nuance. Niet alles hoeft lokaal of Europees te zijn. Timmerman waarschuwt voor simplificatie, zoals een rigide ‘Europa eerst’-beleid. Het bekende 80/20-principe is ook hier van toepassing: het grootste deel van de data is relatief onschuldig, een klein deel is bedrijfskritisch. ‘Die laatste paar procent – je golden data – wil je onder geen beding kwijt. Daar moet je echt anders mee omgaan.’

In de praktijk betekent dit differentiatie. Kritische systemen en data vereisen maximale controle; minder gevoelige toepassingen kunnen prima extern worden belegd. Grote bedrijven werken al zo, bijvoorbeeld door gevoelige communicatie en researchdata strikt intern te houden, terwijl andere processen in de cloud draaien.

Een logische vervolgstap is een herijking van het inkoopbeleid. Jarenlang was ‘cloud first’ het dominante paradigma. Timmerman pleit voor een meer strategische benadering, waarin Europese technologie en open source een serieuze rol krijgen – zonder dat dit een dogma wordt. Cruciaal is dat de overheid haar inkoopkracht bewuster inzet. ‘Gebruik die om een markt te creëren.’ In plaats van automatisch te kiezen voor gevestigde leveranciers, zou de overheid actief ruimte moeten maken voor kleinere, innovatieve partijen. Dat vraagt om een andere houding ten opzichte van risico.

Timmerman schetst een model waarbij de overheid jaarlijks een substantieel budget reserveert voor experimenten met startups en nieuwe technologie. Niet als vrijblijvende subsidie, maar gekoppeld aan concrete opdrachten en aanbestedingen. ‘Als je vierhonderd miljoen investeert en honderd miljoen mislukt, dan heb je het goed gedaan. Fouten maken is kenniscreatie. En juist die kennis missen we.’ Die benadering botst met het risicomijdende karakter van veel overheidsorganisaties. Maar volgens hem is dat precies het probleem: zonder experiment geen innovatie-ecosysteem.

Verlies van kennis

Een minstens zo groot probleem is het verdwijnen van technische kennis binnen de overheid zelf. Waar vroeger veel expertise intern aanwezig was, is die nu vaak uitbesteed. Timmerman wijst op organisaties waar complete teams uit externen bestaan. ‘Dat zijn goede mensen, maar het is niet jouw kennis. Als zij vertrekken, verdwijnt die ook.’ Dat ondermijnt het vermogen van de overheid om technologie kritisch te beoordelen. Zonder interne expertise ontstaat afhankelijkheid van leveranciers en adviesbureaus. ‘Dan ga je vertrouwen op partijen die onafhankelijk lijken, maar dat niet altijd zijn.’ Hij verwijst ook naar invloedrijke internationale analistenbureaus, waarvan de adviezen in Nederland vaak zonder veel kritische reflectie worden gevolgd. Het gevolg: gevestigde partijen blijven dominant, terwijl innovatieve spelers moeilijk toegang krijgen. Dat remt de ontwikkeling van een eigen technologie-ecosysteem.

Versnippering binnen de overheid

Die afhankelijkheid wordt versterkt door de versnippering binnen de overheid. Ministeries opereren grotendeels autonoom, met eigen it-strategieën en systemen. ‘We hebben in feite honderden verschillende it-aanpakken binnen één overheid.’ Timmerman pleit daarom voor meer centrale regie en standaardisatie, zodat data-uitwisseling en samenwerking eenvoudiger worden. Hij schetst het beeld van een ‘Rijkswaterstaat voor it’: een centrale organisatie die kaders stelt, kennis opbouwt en schaalvoordelen benut. Een dergelijke aanpak kan ook innovatie versnellen. Toepassingen die nu lokaal blijven hangen, kunnen dan sneller breder worden uitgerold.

Digitale soevereiniteit raakt direct aan industriebeleid. Het gaat niet alleen om het stimuleren van nieuwe bedrijven, maar ook om het beschermen van strategische spelers. Timmerman pleit voor een tweesporenbeleid: enerzijds investeren in startups en innovatie, anderzijds bewaken welke bedrijven cruciaal zijn voor de digitale infrastructuur. ‘Zoals je monumenten beschermt vanwege hun waarde voor de samenleving, kun je ook bedrijven beschermen die essentieel zijn voor je digitale basis.’ Dat vraagt om politieke keuzes, inclusief de vraag op welk niveau die bescherming moet plaatsvinden: nationaal of Europees. Zonder actief beleid verdwijnt kennis en innovatiekracht echter onvermijdelijk.

Realisme over Europa

Tegelijkertijd waarschuwt Timmerman voor overspannen verwachtingen. Europa zal niet op korte termijn een volwaardig alternatief bouwen voor Amerikaanse hyperscalers. Hij verwijst naar industriële projecten als Airbus, die decennia vergden. ‘Zoiets bouw je niet in vijf jaar. Dat kost twintig jaar of meer.’ Daarom is een langetermijnvisie essentieel. Op korte termijn is pragmatisme nodig: risico’s beheersen, kritische systemen beschermen en afhankelijkheden beperken. Op langere termijn moet worden geïnvesteerd in eigen kennis, organisaties en technologie.

Een concreet idee: breng de beste it-architecten binnen de overheid samen en laat hen een gezamenlijke visie ontwikkelen op de ideale digitale architectuur van de rijksoverheid. ‘Daar kan zomaar een sterke roadmap uit komen.’

Soevereiniteit als ontwerpprincipe

De kern van Timmermans betoog is dat digitale soevereiniteit geen einddoel is, maar een ontwerpprincipe. Het begint bij architectuur: systemen zo ontwerpen dat ze robuust zijn, verstoringen kunnen opvangen en afhankelijkheden beheersbaar blijven. ‘Resilience moet je vanaf het begin inbouwen. Achteraf is het altijd duurder en minder effectief.’ Dat principe geldt op alle niveaus: van individuele organisaties tot nationale strategie. Het vraagt om een overheid die niet alleen regels stelt, maar ook richting geeft – onder meer via haar inkoopbeleid en investeringskeuzes.

Timmerman pleit niet voor volledige autonomie of het afzweren van internationale technologie. Zijn boodschap is pragmatischer: wees je bewust van afhankelijkheden, bescherm wat cruciaal is en bouw gericht aan alternatieven. Digitale soevereiniteit betekent in die zin vooral: keuzes maken. Weten wat je zelf moet kunnen, waar je op wilt vertrouwen en hoe je als overheid actief bijdraagt aan een ecosysteem waarin die keuzes ook daadwerkelijk bestaan.

Profiel

Hans Timmerman is als elektrotechnisch ingenieur afgestudeerd aan de TU Delft. Gedurende zijn carrière was hij werkzaam bij Fokker en maakte hij het ontstaan van Airbus van dichtbij mee.. Later werd hij cto bij EMC2 en Dell Technologies. Timmerman werkte meer dan veertig jaar in sectoren als luchtvaart, defensie en overheid.

Belangrijke thema’s voor Timmerman waren – en zijn – toekomstverkenning en digitale transformatie binnen zowel de overheid als het bedrijfsleven. Tegenwoordig is hij actief als strategisch adviseur en interim cto. Ook houdt hij zich bij diverse startups bezig met thema’s als cybersecurity, blockchain, datamanagement en quantumsafetechnologie.

Dit artikel staat ook in Computable Magazine 2026 #5.

Conclusion beheert Peridos voor RIVM

Conclusion heeft een aanbesteding van het Rijksinstituut voor Volksgezondheid en Milieu (RIVM) gewonnen voor het beheer en de doorontwikkeling van Peridos, het landelijke informatiesysteem voor prenatale screening. Het contract heeft een looptijd van vier jaar, met een optie op twee verlengingen van drie jaar. De maximale contractwaarde wordt in het bestek geschat op zo’n vijfentwintig miljoen euro.

Peridos, in 2011 ontwikkeld en daarna beheerd door Topicus, ondersteunt de registratie, beveiliging en gegevensuitwisseling rond prenatale screening tussen zorgverleners, laboratoria en screeningsorganisaties. Vanwege het medisch kritische karakter geldt voor het systeem een uptime-eis van 99,9 procent.

De Coöperatie Landelijk Bureau Prenatale Screening (CLBPS) verzorgt het functionele beheer van de applicatie. Conclusion neemt de technische doorontwikkeling, het technisch beheer en de hosting op het AWS-platform voor zijn rekening. Bij het Utrechtse bedrijf werken ruim tweehonderd specialisten met kennis van de zorgsector aan digitaliserings- en informatie-uitwisselingsvraagstukken. Ook is het bedrijf betrokken bij de ontwikkeling van het Landelijk Platform Zorgcoördinatie.

Snelste groei bij domeinspecifieke taalmodellen

Aan ai-modellen en -platforms wordt dit jaar wereldwijd tot 64 miljard dollar uitgegeven. Dat is een stijging van 63,4 procent ten opzichte van 39 miljard dollar in 2025, aldus marktvorser Gartner. De uitgaven aan generatieve ai-modellen zullen naar verwachting met 117 procent groeien, terwijl de uitgaven aan ai-platforms in 2026 met 36,9 procent toenemen. 

Het snelst is de groei van domeinspecifieke taalmodellen (DSLM’s) en gespecialiseerde modellen. Naar verwachting zullen die dit jaar met 210 procent toenemen. Op de lange termijn zullen de grootste winnaars de leveranciers zijn die bedrijven helpen bij het beheren van waar en hoe ai in workflow wordt ingezet. 

De budgetten voor ai binnen bedrijven worden steeds kritischer bekeken, met een toenemende focus op efficiënt gebruik, kostenbeheersing en meetbare resultaten. De uitgaven verschuiven naar aanbieders die aantoonbare meerwaarde kunnen bieden op het gebied van kosten, latentie, prestaties en betrouwbaarheid, aldus Gartner.

Waarschuwing voor misbruik verlopen cloud-opslaglocaties

Het onderzoeksteam van netwerkbeveiliger Palo Alto Networks, Unit 42, waarschuwt voor een nieuwe vorm van datalekken in de cloud: het zogeheten bucket hijacking. Dat iseen aanval waarbij cybercriminelen verwijderde of verlopen cloud‑opslaglocaties opnieuw registreren en zo ongemerkt bedrijfsdata onderscheppen. Buckets in de context van cloud computing zijn containers voor objectopslag waarin elk type bestand – zoals foto’s, video’s, back-ups of logbestanden – samen met bijbehorende metadata opgeslagen worden.

Vooral organisaties die buckets gebruiken voor automatische log‑opslag, back‑ups of configuratiebestanden lopen gevaar wanneer achterliggende koppelingen blijven bestaan nadat een bucket is verwijderd.  Applicaties blijven dan data sturen naar een bucketnaam die inmiddels is vrijgekomen en door een aanvaller kan worden geclaimd. Zo kunnen interne logs of configuraties onbedoeld bij derden belanden.

De onderzoekers adviseren om verwijderrechten te beperken, afhankelijkheden volledig te inventariseren en actief te monitoren op het verwijderen en opnieuw aanmaken van kritieke opslaglocaties. Regelmatige controles op verouderde configuraties blijven daarbij essentieel.

Apple neemt koppositie van Nvidia over als meest waardevolle bedrijf

Apple heeft Nvidia afgelost als meest waardevolle beursgenoteerde onderneming ter wereld. De beurswaarde van de iPhone-maker kwam uit op circa 4,88 biljoen dollar, terwijl Nvidia door een koersdaling van 3,5 procent terugviel naar ongeveer 4,86 biljoen dollar.  

De wisseling aan kop weerspiegelt een veranderende kijk van beleggers op kunstmatige intelligentie. Waar Nvidia lange tijd profiteerde van de vraag naar chips voor ai-toepassingen, krijgt Apple meer waardering voor de manier waarop het ai wil inzetten binnen zijn producten en diensten, aldus persbureau Reuters.

Het in Cupertino gevestigde Apple stond voor het laatst in april 2025 bovenaan de ranglijst. Nvidia voerde sinds juni 2025 de lijst van meest waardevolle bedrijven aan. Vorige maand presenteerde Apple een vernieuwde versie van spraakassistent Siri, waarmee het bedrijf zijn positie in de ai-markt wil versterken.  

Rechtbank zet Sanderink uit Stak bij Oranjewoud-concern

De Haagse rechtbank heeft Gerard Sanderink ontslagen als bestuurder van de Stichting Administratiekantoor (Stak) die certificaten uitgeeft voor zijn bouw- en ingenieursbedrijven Oranjewoud, Strukton en Antea. De maatregel volgt op een verzoek van de holding van het concern, waar interim-bestuurders Peter Wakkie en Willem Meijer de leiding hebben. Dat meldt zakenblad Quote.

Volgens de rechtbank is het ontslag logisch omdat Sanderink vanwege wanbeleid al geruime tijd geen zeggenschap meer heeft over zijn ondernemingen. Eerder verloor hij al zijn bestuursbevoegdheden over zijn zakenimperium en werd it-bedrijf Centric tegen zijn zin verkocht aan een consortium van investeerders.

Het nieuw aangestelde Stak-bestuur zegt te streven naar stabiliteit bij Oranjewoud en de dochterondernemingen Strukton en Antea. Een verkoop van Oranjewoud is volgens het bestuur vooralsnog niet aan de orde. Sanderink verblijft volgens Quote sinds 2023 buiten Nederland en is niet bereikbaar voor commentaar.

Zondag 2 augustus 2026 treden de meeste regels van deze veelbesproken wet in werking. Belangrijk onderdeel is dat mensen moeten kunnen herkennen wanneer ze met ai interageren of wanneer content door ai is gegenereerd of bewerkt. Daardoor wordt het risico op misleiding en manipulatie verminderd.

De maandag gepubliceerde richtlijnen verduidelijken welke aanbieders en gebruikers moeten voldoen aan de transparantieverplichtingen voor interactieve ai-systemen en de markering en labeling van door ai gegenereerde content. De EU heeft daar ook icoontjes voor gemaakt. Organisaties die ai-systemen uitrollen, moeten gebruikers ook informeren wanneer ze worden blootgesteld aan deepfakes. Hetzelfde geldt voor door ai gegenereerde content over onderwerpen van publiek belang zonder menselijke beoordeling of redactionele controle, en aan emotieherkennings- of biometrische categorisatiesystemen.

De richtlijnen leggen bepaalde concepten uit, geven uitzonderingen en voorbeelden. Dit omvat onder meer wat direct interactieve ai-systemen zijn, zoals chatbots, synthetische content. Dit is inclusief gedeeltelijk of volledig door ai gegenereerde tekst, deepfakes en door ai gegenereerde tekst over onderwerpen van publiek belang. Ook worden voorbeelden gegeven van relevante uitzonderingen zoals standaard-bewerking. Daaronder vallen  spelling- en grammatica-correctie.

AI Act

Tot slot leggen de richtlijnen uit hoe naleving van de transparantieverplichtingen van de ai-wet kan worden aangetoond. Dit kan onder meer door de Gedragscode inzake transparantie van door ai gegenereerde inhoud na te leven. Aanbieders en gebruikers (deployers) van ai-systemen kunnen die code ondertekenen als signaal dat ze aan de verplichtingen voldoen.

De AI Act is twee jaar geleden van kracht geworden. Vooral voor applicaties met een hoog risico zijn er veel verplichtingen. De beperkingen voor deze ai-toepassingen zijn afgelopen mei uitgesteld tot december volgend jaar.  Applicaties met een beperkt risico hoeven alleen aan de transparantie-regels te voldoen.

Volgens Table.Briefings gaat de Europese Commissie op het gebied van aanbestedingen steeds meer een ‘Chinese koers’ volgen waarbij de eigen industrie wordt bevoordeeld.

Verschuiving naar kwaliteit

Prijs is niet meer het dominante criterium, zo blijkt uit het concept-document dat is uitgelekt. De goedkoopste aanbieder krijgt niet langer automatisch de opdracht. Een verschuiving vindt plaats naar kwaliteit. De voorgestelde EU-verordening dwingt overheden meer op veiligheid en autonomie te letten. Het is de bedoeling dat ze meer nadruk leggen op criteria zoals klimaatbescherming, maatschappelijke verantwoordelijkheid en de veerkracht van de Europese toeleveringsketen. Duurzaamheids- en sociale criteria gaan een belangrijkere rol spelen, evenals strategische autonomie. 

Kwaliteitscriteria moeten minstens dertig procent van de beoordeling uitmaken, meldt persbureau Reuters. Voor arbeidsintensieve contracten loopt dit percentage op tot minstens vijftig procent. Uitzonderingen voor de laagste bieding blijven mogelijk, maar moeten expliciet door de autoriteiten worden gemotiveerd.

China

Europese autoriteiten kunnen biedingen voor grote overheidscontracten die minder dan vijftig procent Europese componenten kennen, uitsluiten. In strategisch belangrijke sectoren mogen EU-bedrijven worden bevoordeeld, aldus Reuters. Hoewel China niet in het document wordt genoemd, is duidelijk dat het verminderen van China’s dominantie op het gebied van zeldzame metalen en het enorme handelstekort met China op de achtergrond spelen. 

De voorstellen adresseren ook de veiligheidsaspecten van openbare aanbesteding. Inkopers van de overheid worden in sommige gevallen verplicht rekening te houden met risico’s die gepaard gaan met cybersecurity, kritieke infrastructuur, verstoringen in de leveringsketen, strategische afhankelijkheden en invloed van buitenlandse mogendheden.  

De nieuwe Europese wet zorgt voor één digitaal systeem voor overheidsopdrachten in de hele EU. Er komen online bedrijfsreferenties met een overzicht van hun eerdere werk en ervaring. Verschillende computerprogramma’s voor aanbestedingen kunnen makkelijk informatie met elkaar delen. Verder wordt gewerkt aan gedeelde databanken. Er komen centrale plekken met gegevens over opdrachten in eigen land en de hele EU. Het moet eerlijker worden, makkelijker te controleren, en eenvoudiger voor bedrijven om opdrachten in andere EU-landen te krijgen.

Dwingende verordening

De hervorming van het aanbestedingsrecht is gericht op een fundamentele modernisering en vereenvoudiging. Bestaande richtlijnen worden samengevoegd tot één enkele, direct toepasbare EU-verordening. Een dwingende verordening gaat veel verder dan vrijblijvende richtlijnen. Verwacht wordt dat de nieuwe criteria wel tot meer administratieve druk leiden. Ook de verschuiving van economische marktwerking naar politiek-strategische sturing kan weerstanden oproepen. 

De voorstellen van de Commissie beogen de Europese aanbestedingsregels uit 2014 te vervangen. Openbare aanbestedingen vertegenwoordigen 14 tot 19 procent van het bruto binnenlands product van de EU.

In een Computable-interview op het hoofdkantoor van de Rabobank in Utrecht schetst Zwart hoe de bank in het agentic‑tijdperk haar ontwikkelproces opnieuw gaat organiseren.

Hij voorziet dat ai‑agents steeds meer taken overnemen die traditioneel door ontwikkelaars worden uitgevoerd. ‘We gaan de squads aanvullen met agents en moeten leren hoe die samenwerking eruitziet.’ De taken van engineers verschuiven volgens hem van coderen naar regie. Engineers stellen veiligheidskaders in, definiëren intenties en orkestreren ai‑systemen.

The shift to the left

Taken schuiven op de tijdslijn van softwareontwikkeling naar links, waardoor de nadruk verschuift van programmeren naar ontwerp, kwaliteitsborging en risicobeheersing. ‘De eerste stap wordt niet meer ‘bouwen’, maar ‘intentie scherp krijgen’.’ Softwareontwikkeling wordt meer een proces van sturen en controleren dan van handmatig code produceren.’ Die verschuiving noemt hij ‘the shift to the left‘.

Zwart die in zijn betoog veel Engelse woorden gebruikt, benadrukt dat de inzet van ai en agents vraagt om strikte governance. ‘Je moet weten welk model je waarvoor inzet en voorkomen dat je oversized modellen gebruikt voor simpele vragen.’ Rabobank investeert daarom in tooling voor model‑governance, lifecycle‑automatisering en compliance‑checks.

Die investeringen gaan verder dan tooling alleen. Eind april 2026 nam Rabobank via het eigen investeringsfonds een minderheidsbelang in Domyn. Dat is een Italiaanse aanbieder van soevereine ai‑diensten voor gereguleerde sectoren. De bank test het platform inmiddels met large language models en ai‑agents. Zwart: ‘We zijn dus niet alleen klant, maar investeren ook in dit initiatief omdat we Europese oplossingen willen ondersteunen.’

Ai transformeert functies

Zwart verwacht dat ai de werkgelegenheid binnen de bank niet verkleint, maar transformeert. ‘Alle banen gaan veranderen door ai. Over vijf jaar doen we taken die we nu nog niet kennen en doen we sommige huidige taken niet meer.’ Hij ziet nieuwe functies ontstaan rond ai‑regie, databeheer en model‑governance.

De engineer blijft volgens hem onmisbaar. ‘Ik hoor mensen wel eens zeggen dat engineers verdwijnen. Dat is echt onzin.’ Door de exponentiële groei van software neemt het aantal controletaken volgens hem juist toe en zijn er mensen nodig die de kwaliteit beoordelen van iets dat met behulp van ai gemaakt is. ‘De rol van engineers verandert dus, maar verdwijnt niet.’

Agentic AI Hub
Rabobank richtte in juni 2026 een Agentic Hub op als centrale plek voor het ontwikkelen en toepassen van ai‑agents in softwareontwikkeling. De hub ondersteunt ruim 1.100 ontwikkelteams met herbruikbare bouwblokken, gedeelde standaarden en gevalideerde toepassingen, zodat squads niet afzonderlijk experimenteren. De hub ontwikkelt agents voor onder meer backlog‑refinement, codegeneratie, code‑reviews en testwerk, en onderzoekt de impact op sprintritmes en teambezetting. De inzichten moeten het operationele ontwikkelmodel van Rabobank klaarstomen voor het agentic‑tijdperk, maar wel met de mens nadrukkelijk in the loop, benadrukt Zwart.

Lees het hele interview in de Computable e-zine, editie Career Guide 2026.

Het onderzoek wordt uitgevoerd door het bedrijf Sportinnovator. ‘De uitkomsten worden uiterlijk in augustus 2026 verwacht’, meldt de KNVB na vragen van Computable. Het gaat om een pdt-app (persoonlijke digitale toegang) van de Zwolse leverancier Siip die de identiteit van een gebruiker koppelt aan een toegangskaart voor voetbalwedstrijden. De app wordt door meerdere clubs in het betaald voetbal gebruikt. De app-ontwikkelaar stelt dat het id-profiel van de gebruiker het toestel niet verlaat en dat dit niet op een server wordt opgeslagen.

Maatschappelijk hacker en beveiligingsonderzoeker Mick Beer stelde na een test vast dat privacygevoelige data naar een server worden gestuurd en claimt dat dit in strijd is met privacyregels. Het gebruik van persoonsgegevens zoals BSN is volgens hem niet gegrond voor het doel van de app: toegangscontrole bij de verkoop van tickets voor voetbalwedstrijden. Of er op de server ook opslag plaatsvindt van die data is nog onderdeel van zijn vervolgonderzoek.

Volgens de leverancier worden gegevens alleen geverifieerd via een proces dat versleuteld op de achtergrond loopt, maar worden gegevens niet opgeslagen in de app. Het id-profiel en de data blijven volgens de app-bouwer op het toestel van de gebruiker en worden ook niet op een server opgeslagen.

De app-maker kondigde in een mailwisseling met de hacker een onafhankelijke externe audit aan naar de genoemde privacy-klachten. Het gaat om hetzelfde onderzoek dat nu ook door de KNVB bevestigd is.

De eerste applicaties op basis van AI draaien er al. Cameratunnels stellen realtime de onderhoudsstatus vast van een trein die er op volle snelheid doorheen rijdt. Achter de schermen lost NS dagelijks een van de ingewikkeldste planningspuzzels van Nederland op, met zeer geavanceerde algoritmes. Ook speelt agentic AI een steeds grotere rol in het ontwikkelen van software bij NS. Veel van dit geavanceerde werk bouwt NS op een uitgebreide en innovatieve cloudomgeving, die de flexibiliteit, schaalbaarheid en technische basis biedt om nieuwe oplossingen sneller en betrouwbaarder naar de praktijk te brengen. Uiteraard zorgen wij 24/7 voor een geavanceerde beveiliging van onze vitale infrastructuur.

Wie denkt dat IT, data en AI bij NS vooral over grote hoeveelheden reisinformatie in de app gaat, kijkt niet ver genoeg. Want in de NS-app (met meer dan een miljoen gebruikers) zit stiekem al veel state of the art-technologie zoals druktevoorspellingen, realtime aantallen beschikbare OV-fietsen en dynamic pricing. Maar er gebeurt binnen het NS-landschap nog zo veel meer.  

Midden in maatschappij en economie

NS staat letterlijk en figuurlijk midden in de Nederlandse maatschappij en economie. Iedere dag vertrouwen miljoenen reizigers, studenten, bedrijven en publieke organisaties op treinverkeer dat veilig, betrouwbaar en efficiënt moet functioneren. Wat veel mensen niet zien, is hoeveel technologisch vakmanschap daar inmiddels achter schuilgaat. De IT-, data- en AI-organisatie van NS is uitgegroeid tot een omgeving waar complexe, bedrijfskritische vraagstukken aan de orde van de dag zijn — en waar engineers werken aan oplossingen die direct doorwerken in de dienstverlening aan miljoenen reizigers. 

Juist in die omgeving verandert ook het vak zelf. Van engineers en data scientists vraagt NS steeds vaker een bredere rol: niet alleen bouwen wat gevraagd wordt, maar meedenken over de richting. Het profiel ontwikkelt zich van uitvoerend vakmanschap naar inhoudelijk richting geven — naar ervaren engineers die technologische keuzes onderbouwen, en business en IT samen verder helpen. 

Een omgeving die om vooruitkijken vraagt 

De digitale omgeving van NS is groot, complex en direct verbonden met de dagelijkse dienstverlening aan miljoenen reizigers. Treinen, stations, onderhoud, personeelsplanning, reizigersstromen, veiligheid, data en commerciële dienstverlening grijpen voortdurend in elkaar. Een technologische keuze heeft daardoor zelden alleen technische gevolgen. Zij raakt ook de operatie, de miljoenen reizigers en onze 19.000 collega’s op de werkvloer. In de komende jaren zal dit landschap alleen maar groter en complexer worden.

Dat maakt de behoefte aan ervaren mission critical engineers steeds groter. Mensen die kunnen vooruitkijken en samen met collega’s bepalen welke technologische capabilities de organisatie de komende jaren nodig heeft, welke architectuur daarbij past en hoe NS stap voor stap van de huidige naar de gewenste situatie groeit. Dat vraagt om technisch vakmanschap, maar ook om visie, beoordelingsvermogen en het vermogen om complexe keuzes helder uit te leggen. 

Jasper ten Hove, CIO bij NS, vat het kernachtig samen: “We zoeken mensen die met technologie zorgen voor de beste oplossing voor businessvraagstukken — nu, op de middellange termijn en op de lange termijn.” Daarmee zegt hij ook iets over het profiel van deze mission critical engineers. Het gaat bij hen niet om technologie om de technologie. AI, cloud, data, automatisering en softwareontwikkeling zijn belangrijke middelen, maar de kernvraag blijft steeds: hoe helpt dit NS om beter te presteren voor de reiziger? 

Engineers die de business slimmer maken 

Een ervaren engineer bij NS kijkt daarom verder dan de eerste vraag uit de business. Wanneer een afdeling vraagt om software voor een onderhoudsproces, gaat het niet alleen om het bouwen van die functionaliteit, maar ook om wat de afdeling werkelijk wil bereiken, hoe het proces zich kan ontwikkelen, welke schaalbaarheid nodig is en welke technische keuzes voorkomen dat NS over een jaar opnieuw moet beginnen. 

Zo helpen engineers NS om niet alleen afzonderlijke oplossingen te bouwen, maar een samenhangende technologische koers te ontwikkelen. Zij kunnen met IT-teams spreken over architectuur, stabiliteit, schaalbaarheid, codekwaliteit en platformkeuzes, en leggen tegelijk moeiteloos aan de business uit waarom bepaalde keuzes nodig zijn en wat realistisch is op korte én langere termijn. 

Daan Debie, Director Data, AI & Innovation bij NS, benadrukt dat NS mensen zoekt die snappen “what good looks like”. Dat betekent: niet automatisch bouwen wat gevraagd wordt, maar de vraag achter de vraag stellen. Wat is de businessintentie? Welke verandering wil NS mogelijk maken? 

Inhoudelijke leiders, geen klassieke managers 

Daarmee groeien deze engineers uit tot inhoudelijke leiders. Geen managers in klassieke zin, maar mensen die richting geven op basis van expertise. Die anderen meenemen, standaarden helpen neerzetten en technische samenhang bewaken — soms dicht bij een groot businessinitiatief, soms centraler in de organisatie, rond architectuur, platformontwikkeling of technische capabilities die breder beschikbaar moeten komen. 

Die rol vraagt om mensen met ervaring in bedrijfskritische omgevingen “at scale”. Engineers die complexiteit niet uit de weg gaan, maar er energie van krijgen. Die nieuwsgierig zijn naar nieuwe technologie, maar zich niet laten leiden door hypes. AI is bij NS bijvoorbeeld relevant, maar niet als losstaand innovatielabel: het gaat erom hoe AI, data en algoritmes verantwoord worden ingebed in processen die daadwerkelijk waarde opleveren voor de operatie en de reiziger. 

Een unieke omgeving 

Dat maakt NS de komende jaren een ontzettend interessante plek voor engineers. De organisatie staat midden in de Nederlandse samenleving, heeft op dit moment al een technisch zeer uitdagende operatie en heeft ambities en uitdagingen die groot genoeg zijn om nog jarenlang interessant te blijven. Wie hier werkt, krijgt de ruimte om verder te kijken dan de dagelijkse operatie en mee te denken over de volgende fase: welke technologie heeft NS nodig, hoe richten we die goed in en hoe zorgen we dat business en IT in dezelfde richting bewegen? 

Dat maakt het werk van deze engineers strategisch, inhoudelijk en maatschappelijk relevant tegelijk. Zij geven richting aan de digitale ontwikkeling van een organisatie waar Nederland elke dag op vertrouwt.t tegelijk. Zij geven richting aan de digitale ontwikkeling van een organisatie waar Nederland elke dag op vertrouwt. 

Laatst hoorde ik iemand zeggen dat digitale soevereiniteit eigenlijk heel eenvoudig is: vervang Microsoft door open source, zet de software bij een Europese hostingprovider en klaar is Kees. Dat klinkt aantrekkelijk. Alleen werkt het in de praktijk natuurlijk niet zo.

Open source kan een belangrijke bijdrage leveren aan digitale soevereiniteit, maar het installeren van een open source-platform betekent nog niet automatisch dat een organisatie werkelijk digitaal soeverein is. Wie bijvoorbeeld Drupal, Nextcloud of LibreOffice gebruikt, heeft onmiskenbaar een stap gezet. Je kunt de broncode bekijken, de software kan worden aangepast en de afhankelijkheid van één licentiemodel neemt af. Maar daarna beginnen de echte vragen.

• Waar draait de software?
• Wie beheert de infrastructuur waarop de software draait?
• Waar staan de back-ups?
• Welke externe diensten zijn gekoppeld?
• Wie levert de zoekfunctie, identiteitscontrole, analytics of ai-functionaliteit?
• En onder welk juridisch regime vallen die leveranciers?

Precies daar zit volgens FOSS Force de volgende fase van het Europese debat over digitale soevereiniteit. De aandacht verschuift van de applicatie naar de volledige digitale keten. Hosting, beheer, integraties, databeschikbaarheid en bestuurlijke controle worden minstens zo belangrijk als de softwarelicentie.

Van privacy naar infrastructuur

De soevereiniteitsdiscussie begon ooit vooral bij privacy en surveillance. Inmiddels gaat het veel breder over cloudafhankelijkheid, cybersecurity, kunstmatige intelligentie, digitale identiteit en de machtspositie van grote technologiebedrijven. Wetgeving als de AVG en NIS2 dwingt organisaties bovendien beter te kijken naar datastromen, leveranciersrisico’s, beveiligingsupdates, incidenten en continuïteit.

Dat raakt ook open source. Een organisatie kan een open source-platform gebruiken en toch volledig afhankelijk blijven van een Amerikaanse cloudprovider. Bestanden kunnen in Nextcloud staan, terwijl gebruikers inloggen via een externe identity service en ai-verwerking plaatsvindt buiten Europa. Formeel is de software open. Praktisch ligt een belangrijk deel van de controle nog steeds elders.

De hele keten telt

Een applicatie staat nooit op zichzelf. Achter een eenvoudige website kunnen tientallen externe diensten schuilgaan: hosting, databases, zoektechnologie, kaartendiensten, analytics, formulieren, authenticatie en beveiliging. We kennen allemaal wel de online enquêtes over digitale autonomie die gemaakt zijn en verwerkt worden via (jawel) Google. Waarom gebruiken we niet gewoon Europese of open source-varianten als LimeSurvey, TypeForm of FormBricks. Is dat weer die eerder al in deze rubriek gesignaleerde gemakzucht? Of kennen we simpelweg die alternatieven niet?

Terug naar open source en digitale soevereiniteit. Wanneer één onderdeel moeilijk te vervangen is, kan alsnog een stevige afhankelijkheid ontstaan. Dat geldt ook wanneer data wel geëxporteerd kan worden, maar daarna nauwelijks opnieuw bruikbaar blijkt. Digitale soevereiniteit draait daarom niet alleen om de vraag of een organisatie bij haar data kan. De belangrijkere vraag is of zij met die data en systemen verder kan wanneer een leverancier wegvalt, prijzen verhoogt of voorwaarden verandert.

Open source als bouwsteen

Dat maakt open source niet minder belangrijk. Integendeel. Open source maakt het mogelijk software te onderzoeken, aan te passen en bij verschillende partijen onder te brengen. Ook kan kennis en beheer makkelijker over meerdere leveranciers worden verdeeld. Maar open source is een bouwsteen, geen eindresultaat. Een open platform dat slechts door één partij wordt beheerd, vormt immers ook een risico. Hetzelfde geldt voor open software die sterk leunt op gesloten clouddiensten of die nauwelijks professionele ondersteuning kent. Open source-leveranciers zullen daarom meer moeten bieden dan alleen toegankelijke broncode. Organisaties willen ook weten hoe updates, beveiliging, ondersteuning en dataoverdracht zijn geregeld.

Het is geen vinkje

Misschien moeten organisaties daarom stoppen met open source als een eenvoudig vinkje te behandelen.

• Open source gebruikt? Vinkje
• Europese cloud? Check
• Data in Nederland? Ook een vinkje
• Digitale soevereiniteit geregeld? Helaas: geen vinkje

Digitale soevereiniteit is geen product dat je koopt. Het is een manier van ontwerpen, inkopen en besturen. Zeg maar: een architectuur. Het vraagt inzicht in de hele keten: van software en hosting tot contracten, kennis, koppelingen en data.

Praten over digitale autonomie op LinkedIn

Ik heb er in deze rubriek al vaker op gewezen: er zit iets merkwaardigs in de manier waarop we als Nederlanders en Europeanen met elkaar over digitale soevereiniteit praten. Veel mensen schrijven op LinkedIn hun vingers blauw over digitale autonomie. Ze waarschuwen daar keer op keer voor de macht van Amerikaanse technologiebedrijven en pleiten voor Europese alternatieven.

Maar is LinkedIn niet gewoon onderdeel van diezelfde Big Tech?

Het platform is eigendom van Microsoft. Wie op LinkedIn oproept om minder afhankelijk te worden van Amerikaanse technologiebedrijven, doet dat dus op een platform van een van de grootste Amerikaanse technologieconcerns. Dat is een beetje alsof we de roadmap naar digitale autonomie van ons bedrijf met elkaar bespreken via Microsoft Teams.

Natuurlijk begrijp ik waarom we het doen. LinkedIn is de plaats waar veel zakelijke contacten zitten. Wie iets publiceert, weet dat een relevant deel van de doelgroep daar aanwezig is. Maar dat is nu juist platformafhankelijkheid. We blijven omdat iedereen er zit. En omdat iedereen blijft, krijgen alternatieven nauwelijks een kans.

Vertrouwen uitbesteden

Daar komt nog iets bij. LinkedIn presenteert zich als de plaats waar professionele identiteit zichtbaar en controleerbaar wordt gemaakt. Een artikel van Hacking, but Legal laat zien hoe kwetsbaar dat systeem in feite is. In dat artikel wordt uitgelegd hoe iemand die ten onrechte beweerde voor een bedrijf te werken, toch een verificatiebadge kon krijgen. Met andere woorden: LinkedIn bevestigde dat deze persoon voor dat bedrijf werkte. Ten onrechte dus. Bizar genoeg kon de oprichter van datzelfde bedrijf zijn eigen arbeidsrelatie juist niet eenvoudig via de procedure van LinkedIn laten bevestigen.

Een door LinkedIn geverifieerde identiteit bewijst dus niet automatisch dat ook de vermelde functie of werkgever klopt. Toch plaatst LinkedIn bij zo’n claim het bedrijfslogo, koppelt het profiel aan de bedrijfspagina en telt de persoon mee als medewerker. Voor de buitenwereld ziet dat er al snel officieel uit. Maar het hoeft dus helemaal niet te kloppen. Het bedrijf zelf kan zo’n foutieve vermelding niet direct verwijderen. Het moet de claim rapporteren en soms zelfs een formele procedure volgen.

Heel vreemd natuurlijk: de drempel om een arbeidsrelatie te claimen is daarmee lager dan de drempel om die claim te corrigeren. Ook de verificatie zelf blijft sterk verbonden met Microsoft en LinkedIn. Daarmee besteedt een bedrijf dus niet alleen zichtbaarheid en werving uit, maar ook een deel van haar professionele identiteit en reputatie.

Waar zijn de alternatieven?

Een goede en belangrijke vraag! Want het lijkt me dat we op zoek moeten naar alternatieven. Zelf ben ik weer actief geworden op het Duitse Xing. Dat platform is vooral bekend in Duitsland, Oostenrijk en Zwitserland. Toch is het geen vanzelfsprekende vervanger van LinkedIn. Veel functies zijn alleen beschikbaar in de betaalde versie en het platform voelt behoorlijk gesloten.Maar misschien is dat vooral een kwestie van wennen.

Bovendien is het de vraag hoe actief de gebruikers er zijn. Een Duitse bekende die ik uitnodigde om via Xing te linken, accepteerde mijn verzoek. Hij bedankte me echter vooral voor de herinnering dat hij überhaupt nog een account bij Xing had. Hij was het alweer vergeten. Dat lijkt me voor een sociaal netwerk geen sterk signaal.

Een ander mogelijk alternatief is Monnett uit Luxemburg. Dat platform richt zich op echte sociale interactie en een schone, door gebruikers gestuurde omgeving. Het is nog jong en minder duidelijk op zakelijk netwerken gericht.

Daarmee lijkt er ruimte voor een echt Europees professioneel netwerk. Zo’n platform moet dan wel meer bieden dan alleen een Europees adres. Het moet transparant zijn over algoritmen en datagebruik. Gebruikers moeten hun contacten en inhoud eenvoudig kunnen meenemen. Ook verificatie van professionele identiteit mag niet afhankelijk zijn van één commercieel ecosysteem.

Dat is een stevig project. Het netwerkeffect van LinkedIn is moeilijk te doorbreken. Toch is het wellicht de moeite van een serieuze brainstorm waard. Want zolang we vrijwel alle discussies over Europese digitale autonomie voeren op een platform van Microsoft, blijft er iets wringen.

Linux mee op vakantie?

Met de vakantie voor de deur, komt ook weer de vraag op: wat nemen we aan elektronica mee? Voor mij draait die vraag vooral om: werklaptop mee? Of hobbylaptop? Of allebei? Een kennis van me die thuis net is overgestapt van Windows op Linux Mint kwam met een opmerkelijke vraag: ‘Is dat niet riskant, mijn Linux-laptop mee op vakantie nemen?’

Die vraag kwam voort uit – zeg maar – gebrek aan ervaring. Na twintig jaar een Windows-laptop gebruiken, zijn mensen na een overstap vaak nog wat onwennig en onzeker: wat als die Linux-machine vastloopt of niet meer wil opstarten? Mijn antwoord was een wedervraag: ‘Heb je tot nu toe last van opstart- of andere problemen met de nieuwe laptop?’ Het antwoord was duidelijk: nee. Waarom zou dat tijdens een vakantie dan wel gebeuren? Vanwege de hogere temperaturen in Zuid-Europa? Met de zomerse temperaturen in ons eigen land zal dat het probleem niet zo snel zijn!

Wellicht kun je het ook andersom zien: tijdens vakantie heb je tijd om soms even rustig wat te ‘rommelen’ met een nieuwe laptop. Bijvoorbeeld in de vroege ochtend als het gezin nog slaapt en jij met een overheerlijke espresso in de schaduw op het terras van het vakantiehuisje in Spanje of Italië zit. Voor mij persoonlijk zijn dat altijd fijne momenten.

Open source notitie-app

Ik heb een haat/liefde-verhouding met persoonlijke productiviteit. Ik gebruik daar de nodige tools voor en test regelmatig nieuwe uit. Maar er ontbreekt eigenlijk altijd wel iets. Het zijn ook vaak silo’s: bedoeld voor dan wel notities maken, dan wel rss-feeds volgen dan wel bookmarks vastleggen en dergelijke. Tot nu toe heb ik geen oplossing gevonden die alles combineert. Ook tools als Obsidian bevielen uiteindelijk toch niet. Suggesties? Laat het weten.

Dat is dan ook de reden dat ik begin volgend jaar naar de PKM Summit 2027 in Utrecht ga. Dit is een internationaal event over personal knowledge management met sprekers die ingaan op zowel tools als werkmethoden. Met name dat laatste vind ik interessant. Want misschien moet ik wel gewoon besluiten om mijn eigen manier van werken te ondersteunen met een eigen tool die ik dan maar zelf bouw. Het kernwoord in ’personal knowledge management’ is immers ‘persoonlijk’. Dus misschien moet ik wel iets maken op maat van mijn persoonlijke voorkeuren en kronkelige manier van werken.

Persoonlijke tools

Tenslotte nog een paar handige tools die ik aan het uitproberen ben:

• Flameshot, een open source-tool voor Windows, MacOS en Linux om screenshots mee te bewerken en bijvoorbeeld van opmerkingen te voorzien.
• Joplin is een open source notitie-app. Een betaalde cloudversie (kost 2 of 3 euro per maand) maakt het mogelijk de notities te synchroniseren tussen meerdere apparaten.
• Hiawatha is een open source webserver.
• Vikunja is een open source-project voor het werken met to do-lijstjes. Je kunt het zelf hosten of via de ontwikkelaar gebruiken.
• Bubbles is momenteel mijn favoriete website cq webapp als het gaat om het volgen van interessante nieuwe posts op indywebsites. Het is ontwikkeld door een Duitse developer en biedt posts over een bonte verzameling onderwerpen. Heerlijk om in de vroege ochtenduren onder het genot van een kop koffie doorheen te bladeren.

Exoskelet TU Delft loopt op hersengolven

Studenten van de TU Delft kondigen een doorbraak aan in zelfstandig lopen voor mensen met een dwarslaesie. Voor het eerst wordt de loophulp zonder knoppen of spraak aangestuurd op basis van de hersengolven van de drager. De toepassing werd getoond tijdens een presentatie van Project MARCH XI. Dat is een project waarin een multidisciplinair team een exoskelet ontwikkelt voor mensen met een dwarslaesie. De technologische kern van dit jaar is een nieuw softwarealgoritme: Generative Predictive Control (GPC). Dat genereert looppatronen en past die in real time aan op basis van sensordata uit het exoskelet. Eerder werd een looppatroon achteraf getuned in een simulatieomgeving. Nu reageert het systeem terwijl de drager, die piloot wordt genoemd, erin loopt. Volgens de bouwers is het voor het eerst ter wereld toegepast in een lopend exoskelet.

Vince Kurtz, onderzoeker bij NVIDIA en Caltech en uitvinder van het GPC-algoritme, is onder de indruk. ‘De studenten hebben een neuraal netwerk dat met behulp van GPC motorische commando’s genereert helemaal zelf getraind met behulp van simulatiegegevens. Dit alles doen en werkend krijgen op een echt exoskelet is echt moeilijk.’

Derde van overheids‑it‑aanbestedingen krijgt maar één inschrijving

Ruim één op de drie gegunde percelen in Nederlandse overheids-it kreeg precies één ontvangen inschrijving. Dat blijkt uit een analyse van 1.935 gunningsberichten van TED, de officiële Europese publicatiebron, door Tendervane. In een rapport (peildatum 15 juli 2026) wordt de concurrentiepositie binnen aanbestedingsprocedures in kaart gebracht.

‘Van de gegunde percelen met een gepubliceerd aantal ontvangen inschrijvingen had 35,7% er precies één. Het gaat om 640 van 1.795 percelen sinds begin 2024’, stelt Ravid Efroni van Tendervane. In 2024 was het aandeel 39,8 procent. In 2025 daalde het naar 35,4 procent.

Het idee van Europese aanbestedingen is juist dat bedrijven beter kunnen concurreren en de gunnende partij keuze uit meerdere aanbieders heeft. Maar Efroni plaatst ook een kanttekening: ‘Eén inschrijving betekent overigens niet dat er iets mis is met die ene gunning. Eén ontvangen inschrijving betekent dat de gepubliceerde procedure geen concurrerende biedingen opleverde. Dat zegt op zichzelf niet waarom andere ondernemingen niet inschreven.’ Ook bepaalt de hoogte van een aanbesteding in bepaalde mate hoeveel inschrijvingen er zijn, blijkt uit het rapport.

Datalek Ernst & Young door hack supportsysteem

Ernst & Young (EY) onderzoekt een groot datalek nadat hackers toegang kregen tot een extern supportplatform dat door de interne it‑afdeling wordt gebruikt. Tussen 28 maart en 12 april 2026 konden aanvallers documenten downloaden die worden gebruikt voor belastingaangiften, meldt BleepingComputer.

EY ontdekte de inbraak pas op 23 april. Hoeveel klanten precies zijn geraakt – en of daar Nederlandse cliënten bij zitten – is nog onbekend.

Amista neemt Intellus Group over

SAP-specialist en dienstverlener rondom digitale transformaties in de Benelux Amista, neemt Intellus Group over. Dat van oorsprong Belgische bedrijf is specialist in data-, analytics- en ai-advies. De overname versterkt Amista’s positie in data, analytics en ai en het bedrijf hoopt zo door te groeien in de Benelux.

Het in 2010 opgerichte Intellus Group bestaat uit de merken Cubis, Lytix en Aivix. De groep werd uitgebouwd door medeoprichters Wim Van Wuytswinkel en Jeroen Roosen. Intellus Group voegt expertise toe binnen Microsoft-, SAP-, AWS- en Databricks-ecosystemen. Intellus Group ondersteunt klanten in onder meer industrie, retail, financiële diensten en de publieke sector. Het aanbod varieert van advies over datastrategie en architectuur tot adviestrajecten rondom analytics, machine learning en generatieve ai.

De overname volgt op de recente integraties van Alluvion, Aarini, GeOne en Nessi en past binnen Amista’s strategie om uit te groeien tot een brede aanbieder van data-, analytics -en ai-diensten in de Benelux.

Het Spaanse bedrijf profileert zich als een volledig Europese, niet-Russische onderneming. Maar daar worden grote vraagtekens achter gezet. OCCRP-onderzoekers hebben ontdekt dat de ‘Spaanse’ Passworks-software verdacht veel lijkt op haar Russische tegenhanger. Technisch is er een grote gelijkenis. Software-updates zijn sterk gesynchroniseerd, terwijl beide technische handleidingen als twee druppels op elkaar lijken. De twee bedrijven hebben dezelfde naam en gebruiken een identiek logo. 

Alexander Muntyan, CEO en eigenaar van het Spaanse Passwork, ontkent dat er een band bestaat tussen zijn bedrijf en zijn Russische tegenhanger. De gegevens van klanten worden veilig opgeslagen op hun eigen privé servers, zegt de Rus.

OCCRP kwam er achter dat Passwork in Archangelsk in 2014 het levenslicht zag. Muntyan richtte dit bedrijf op samen met Ilya Garakh en Andrey Pyankov, die nu bij het Russische Passwork de baas zijn. Het duo is ook betrokken bij een softwarebedrijf in de Verenigde Arabische Emiraten dat het Spaans Passwork van updates voorziet. 

Broncode

Het Russische bedrijf, dat prat gaat op klanten waaronder gesanctioneerde Russische raketfabrikanten, is gecertificeerd door een agentschap onder het Ministerie van Defensie. Dit vereist een grondige analyse van de broncode om te zoeken naar kwetsbaarheden of niet-aangegeven mogelijkheden. Experts waarschuwen dat een dergelijke beoordeling Moskou inzicht zou kunnen geven in hoe potentiële kwetsbaarheden in de Europese software kunnen worden misbruikt.

Bart van den Berg, een beveiligingsexpert van het Clingendael Instituut, ziet toegang tot de broncode als een ernstig gevaar. Volgens hem zou dit de Russische staat ’verreikende inzichten in de software en de kwetsbaarheden ervan kunnen geven, of zelfs de mogelijkheid bieden om er opzettelijk elementen aan toe te voegen’. 

De OCCRP-onderzoekers storen zich eraan dat het Spaanse Passworks en het in de Emiraten gevestigde bedrijf weigeren opening van zaken te geven. Juist bij security-software is transparantie belangrijk. 

Volgens Investico gebruikten onder meer zonneparken-beheerder Novar, RTV Noord, een Frans havenbedrijf, de universiteit van Dresden en Ierse overheidsinstanties de wachtwoordkluis. Passwork zegt duizenden klanten te hebben.