Ze is zich druk aan het inlezen sinds het inhameren van het nieuwe college in juni 2026. Maar aan ambitie geen gebrek bij wethouder Melanie van der Horst (D66), die de portefeuille Digitale Zaken van haar partijgenoot Alexander Scholtes overneemt: “De gemeente Amsterdam is de een na grootste overheid van het land. We hebben waanzinnig veel data die gevoelig zijn. We moeten echt ingrijpen met z’n allen.”

Toch heeft de stad een lange weg te gaan naar digitale autonomie: in het tijdperk 2021-2025 migreerde de gemeente een groot gedeelte van de gegevens op eigen datacenters naar de cloud van Microsoft. De gemeente heeft nu zo’n 300 TB aan data bij Microsoft staan en pakweg 80 procent van alle applicaties (verantwoordelijk voor uitkeringen, dienstverlening, privacygevoelige gegevens van Amsterdammers, enzovoorts) ergens in een datacenter in Nederland, Europa of elders. ‘En soms weten we dat zelfs niet’, aldus de Meerjarenstrategie Digitale Autonomie 2026-2035 van de gemeente. “De afhankelijkheid van Big Tech werd in het verleden simpelweg niet als bedreiging gezien”, zegt Van der Horst. “Ik denk dat maar weinig mensen tien jaar geleden hadden kunnen voorspellen dat de geopolitieke situatie zodanig snel zou veranderen.”

Het belangrijkste doel van de strategie is: over tien jaar is de gemeente Amsterdam volledig autonoom ‘waar nodig’. Er zijn mensen die zeggen dat tien jaar veel te lang duurt en die zeggen dat het totaal onrealistisch is. Waar zit u op dat spectrum?

“Haha, daartussen zit je meestal helemaal goed, hè? Zonder gekheid, dit is het verschil tussen wat je wil en wat er wellicht haalbaar is. Idealiter ben je nu al klaar, dat is het makkelijke verhaal. Aan de andere kant gaan sommige zaken nou eenmaal niet zo snel. Dus qua uitvoering is tien jaar zeer ambitieus, maar we willen het liever vandaag dan morgen. Het zou misschien sneller kunnen, maar we willen ook nu niet de fout maken door bijvoorbeeld alles bij één bedrijf in Europa onder te brengen. Wat we hebben geleerd van de huidige situatie, is dat we flexibeler moet zijn, met meer spreiding. Verschillende bedrijven en betere afspraken in contracten, zodat je ook snel weer weg kan bij een partij als dat nodig is. Die flexibiliteit is belangrijk, omdat de wereld snel kan veranderen.”

De gemeente Amsterdam werd onlangs stevig geconfronteerd met dat gebrek aan flexibiliteit, toen het bedrijf Solvinity dreigde overgenomen te worden door het Amerikaanse Kyndryl. Niet alleen de Rijksoverheid kwam hiermee in de problemen (kritieke infrastructuur waar onder meer DigiD op draait, zou in handen komen van een Amerikaans bedrijf), ook in Amsterdam waren ze er niet blij mee. Pakweg twee maanden voordat de overname werd aangekondigd, won Solvinity een aanbestedingstraject voor een publieke cloudomgeving van de gemeente. Die aanbesteding had Solvinity nota bene juist gewonnen, omdat de gemeente prioriteit gaf aan digitale autonomie en die bij het Nederlandse bedrijf dacht te halen. Inmiddels is de overname geblokkeerd door de staatssecretaris. Solvinity vocht dat aan bij de rechter, maar die liet het verbod voorlopig staan.

Solvinity was op moment van aanbesteding voor 60 procent in handen van een Brits private-equitybedrijf. Was het niet een beetje naïef om met ze in zee te gaan?

“We baalden er wel van, maar je kan zoiets ook niet helemaal aan zien komen. Het was juist de eerst keer dat we probeerden om zo’n aanbesteding te richten op Europese bedrijven. En dat lukte ook, terwijl de aanbestedingsregels daar niet zo expliciet ruimte voor geven. Het is vooral iets om van te leren.”

Wat dan?

“Dat gaat vooral over hoe je die aanbestedingsregels interpreteert. We kunnen onze wensen veel scherper formuleren binnen de huidige aanbestedingsregels – dat doet Frankrijk bijvoorbeeld ook. We selecteerden op Europese hosting, maar de Solvinity-case heeft ons geleerd dat dat niet genoeg is. Daarom hebben we in de volgende aanbesteding veel nadrukkelijker verwerkt waar de infrastructuur fysiek moet staan, waar data wordt opgeslagen en onder welke wetgeving de dienstverlening valt. Daarnaast pleiten we op dit moment voor een andere houding in de aanbestedingsregels van Europa, om het makkelijker te maken om voor Europese bedrijven te kiezen en flexibel te blijven, zodat we niet voor dit soort verrassingen komen te staan.”

In de strategie die de wethouder gaat uitvoeren, is die flexibiliteit het codewoord. In 2035 moet de gemeente Amsterdam een volledig ingerichte ‘multicloud’ hebben, waar alle ‘kritieke en gevoelige’ data van Amsterdammers ofwel op datacenters in eigen beheer staat (on-premise) ofwel op een Nederlands of Europees cloudplatform. En bovenal: de structuur is wendbaar, om sneller in te spelen op eventuele acute geopolitieke ontwikkelingen en sneller te wisselen van aanbieder als dat nodig is.

In het eindscenario is de gemeente Amsterdam digitaal autonoom ‘waar nodig’. Er staat in dat scenario nog wel een stuk publieke cloud bij een ‘internationale hyperscaler, zoals Microsoft of Amazon’. Moeten we dat niet ook gewoon naar Europa halen?

“We hebben vooral gekeken naar wat er haalbaar is binnen die tien jaar. Kritische processen zijn het belangrijkst, dus dat is waar we op focussen. In de verre toekomst kun je al die andere, minder belangrijke zaken nog regelen, als je dat zou willen. Het is niet haalbaar om binnen tien jaar alles weg te halen bij Amerikaanse cloudproviders. Het kan ook zijn dat dat helemaal niet hoeft, hè? Het is niet dat we per se helemaal niks meer met Amerikaanse bedrijven te maken willen hebben. We willen gewoon zorgen dat waar het echt belangrijk is, we het in eigen beheer hebben. En als het niet heel gevoelig of belangrijk is, is het ook gewoon niet het belangrijkste om op te focussen.”

Wat zijn processen die over tien jaar nog best bij Amerikaanse cloudproviders kunnen staan?

“We zijn nog bezig met in kaart brengen wat allemaal valt onder de definitie ‘kritiek en gevoelig’, maar dat gaat sowieso over persoonsgegevens, financiële en marktgevoelige informatie, en processen rondom veiligheid en crises, infrastructuur en politieke besluitvorming. Maar bijvoorbeeld roosters van uitvoerende diensten en data die al open zijn, zijn niet per se gevoelig. Data van de applicaties van de plantsoenendienst zijn minder kritiek dan die van bijvoorbeeld bruggen en sluizen. Of neem kantoorsoftware als Office 365. Voor veel medewerkers is het overkomelijk als ze een paar dagen niet kunnen inloggen, terwijl anderen wel al structureel op andere kantoorsoftware moeten kunnen werken.”

In de strategie staat ook: overheid en markt zijn op dit moment nog ver verwijderd van een realistisch alternatief voor cloudplatformen van grote buitenlandse techbedrijven. Techexperts zijn daar niet eenduidig over. Hoe komen jullie tot die conclusie?

“Samen met de andere drie grootste gemeenten (Den Haag, Utrecht, Rotterdam, red.) en VNG (Vereniging van Nederlandse Gemeenten, red.) doen we doorlopend marktverkenningen en hebben we veel contact met allerlei soorten leveranciers. We weten ook wat andere gemeenten en overheden gebruiken. Aan de hand daarvan is duidelijk wat er wel en niet beschikbaar is.”

Wat zijn precies de functies die Europese techbedrijven nog niet ondersteunen?

“De complete integrale clouddiensten, zoals die van de grote drie (Microsoft, Google en Amazon, red.), zijn er nog niet in Europese varianten. Tegelijkertijd zijn er wel goede lokale aanbieders van onderdelen van deze diensten. Het is dus ook maar waar je naar kijkt: een totale geïntegreerde oplossing of onderdelen bij verschillende aanbieders die we zelf kunnen combineren.”

De omvang van de opgave lijkt u weinig te intimideren. Hoe blijft u optimistisch?

“Omdat ik het heel gaaf vind als het lukt om de doelen te halen, om onafhankelijker te worden en daarbij de Amsterdammers mee te nemen. Ik denk dat veel mensen voelen dat de geopolitieke situatie onzeker is. Dat is best eng en bedreigend af en toe. Maar je kán dus ook gewoon iets doen. Stap voor stap. Het is niet in één jaar geregeld, het gaat misschien tien jaar duren en daarna moeten we nog van alles doen. Maar het kán.”