Op de leiderschapstop Open Source in Middelburg tekenden overheden een OSPO-overeenkomst. Een verslag van een dag over digitale soevereiniteit en cultuurverandering.
Terwijl Frank en ik twee uur lang richting Middelburg reden, meldden zich op het grootste codeplatform ter wereld ruim 7000 nieuwe ontwikkelaars aan. Dat is er één per seconde. In diezelfde twee uur leverden ontwikkelaars wereldwijd zo'n kwart miljoen bijdragen aan open source projecten, en werd er ongeveer 2 miljard keer een open source bouwsteen opgehaald om software mee te bouwen. Dat is 300.000 keer per seconde, dag en nacht. Je wekker, je berichtenapp en je koffiebetaling draaien erop, en ook deze podcast had je zonder open source nooit kunnen bereiken.
Wie die onzichtbare wereld wil begrijpen, kan beter kijken naar wat er gebeurt als de digitale wereld níet open is. Jarenlang was digitalisering een bedrijfsvoeringsthema, iets voor de gasten van IT uit de kelder. Anno 2026 reiken handelsoorlogen, sancties en hybride oorlogsvoering tot in de serverruimte, en worden bedrijven die ons jarenlang digitaal ontzorgden steeds vaker ingezet als geopolitieke ransomware. Digitalisering in de publieke sector is daarmee een strategisch, politiek en bestuurlijk onderwerp geworden. Op de leiderschapstop Open Source in Middelburg, in het provinciehuis de Abdij, was dat de gedeelde premisse van alle sprekers.
Arte Blauw, CIO Rijk, zei het zo: het digitale is politiek geworden, niet in de zin van partijpolitiek, maar omdat digitale keuzes bepalen wie de controle heeft, wie de regels stelt en wie onze data in handen heeft. Open source werken geeft controle over de bouwstenen waar de samenleving op draait. Je zit niet vast aan één leverancier, je kunt inspecteren wat er gebeurt, aanpassen wat je nodig hebt en delen wat je hebt gemaakt.
Alexandra van Huffelen, die als staatssecretaris nog mocht geloven dat grote Amerikaanse partijen zich aan Europese regels zouden houden, ziet dat vertrouwen verdampen. Volgens haar is het inmiddels voor een groot deel van de samenleving duidelijk dat we ons niet afhankelijk moeten laten maken van heel grote bedrijven uit landen waarvan we de regelgeving niet kunnen vertrouwen. Ron Augustus van SURF zei dat de geopolitiek open source versnelt, maar voegde toe dat het niet mag polariseren: blijf met alle partijen praten en bouw ondertussen alternatieven voor het slechte scenario.
Het sterkste voorbeeld kwam van Fleur van Leusden, CISO bij de Kiesraad. Ze liet de zaal stemmen tussen Star Trek en Star Wars en riep vervolgens bewust de verkeerde winnaar uit. Wie achterin zat, kon zien dat het niet klopte.
Controleerbaarheid is voor ons ontzettend belangrijk.
Daarom maakt de Kiesraad de nieuwe telsoftware Abacus (Latijn voor telraam) open source, vanaf de eerste regel code. Papier blijft leidend, de software ondersteunt het optellen. Tegen het vooroordeel dat open source onveilig is, omdat iedereen de broncode kan zien, voerde ze aan dat de Kiesraad bewust voor Rust koos vanwege de actieve community. Het bezoekt IT- en securityevenementen om die community naar de code te laten kijken. Software open source maken is niet genoeg, benadrukte ze: als niemand ernaar kijkt, heb je alsnog securityrisico's. Het levert ook iets op, want developers schrijven mooiere code als ze het gevoel hebben dat er iemand over hun schouder meekijkt. Het meldpunt voor kwetsbaarheden is bewust zonder single point of contact opgezet. Je mag met rooksignalen komen melden.
De voorbeelden van de dag waren nuchter. Rijkswaterstaat besloot eind vorig jaar over te stappen op open source Identity & Access Management, omdat je bij commerciële pakketten er heel makkelijk in komt en er heel moeilijk weer uit. De livegang vond plaats terwijl we er stonden te praten, minder dan een jaar na het besluit. De code komt op Code.overheid.nl, en het Rijkswaterstaat-specifieke deel wordt er meteen uitgehaald, zodat andere partijen het makkelijker kunnen overnemen.
Code.overheid.nl zelf is bedoeld als codeplatform onder Europese wetgeving, met drie speerpunten: broncode publiceren (gaat goed), samenwerken (binnen de overheid gaat dat goed, externe contributies zijn nog een ding) en bouwen met CI/CD, samen met de Forgejo-community. De Kiesraad publiceert op GitHub en spiegelt naar Code.overheid.nl. Zelf een GitLab hosten verhoogt de beheerlast, en er liggen een risicoanalyse en een exitstrategie klaar.
Bij UWV ging het begin klein: een paar oude laptops van de plank en een open source werkplek op NixOS, die inmiddels uitgroeit tot de digitale autonome werkplek overheid. Leon Roeleveld noemde het simpelweg learning by doing.
Pascal Greuten van Common Ground bracht de term Opensaurus in: open source waar het onderhoud niet is geregeld. Zijn les is dat je beheer en doorontwikkeling goed moet organiseren en alles wegautomatiseert wat je kunt standaardiseren, zodat ambtenaren zich kunnen richten op de ingewikkelde dossiers. Hij herinnerde zich de eerste open source conferentie begin jaren negentig, vol mannen met lange haren en pinguïn-t-shirts. Nu staan er mannen van vijftig in een pak, en gelukkig ook veel vrouwen.
Tim Vermeulen van Alliander maakte de rol van maintainer concreet. Je neemt een nieuwe set verantwoordelijkheden op je schouders, en die moet opwegen tegen wat je ervoor terugkrijgt. Soms hoop je dat er een community opspint, en gebeurt dat niet. Dan moet je jezelf afvragen of de investering het waard is, en dat is niet altijd zo.
Otte Jaarsma van de Belastingdienst bouwt eerst inner source: intern hergebruik, met een software library die sinds vorig jaar voor iedereen toegankelijk is. Actief samenwerken in externe communities begint aan de toolingkant, omdat dat relatief veilig is. Het Bureau Open Source wordt omgevormd tot een Center of Excellence dat naast kaders en guardrails ook enablement biedt. Zijn argument voor het management is concreet: wie hergebruikt, bouwt niet zelf, en houdt dus tijd over in het ontwikkelteam.
Open source werken is meer een cultuurverandering dan een technische exercitie.
Kees Keulemans van de Nederlandse Digitale Dienst waarschuwde dat open source soms een modewoord is. Pas als je het praktisch maakt, zie je de kracht, bijvoorbeeld bij het bouwen van de soevereine overheidscloud in het traject Fundament. Mathieu Paapst, die het boekje over inkopen en aanbesteden van open source schreef, wees erop dat je digitale soevereiniteit en leveranciersafhankelijkheid als geheel moet behandelen, inclusief open standaarden. Het boekje is online te lezen via forumstandaardisatie.nl.
Open source werken loopt tegen barrières aan: inkoopprocessen die er niet op zijn ingericht, juridische kaders die niet zijn meegegroeid en een cultuur die leunt op wat we gewend zijn. Het antwoord is een OSPO, een open source program office. Arte Blauw beschreef het als een functie die open source werken stimuleert, faciliteert en structureel maakt.
"Het is geen leuk extraatje, het is de motor achter een cultuurverandering." — Arte Blauw, CIO Rijk
Aan het einde van de dag ondertekenden Rijksoverheid, provincies, gemeenten en SURF de OSPO-overeenkomst, waarmee ze afspreken structureel met open source te gaan werken. Staatssecretaris Willemijn Aerts erkende in haar slotwoord dat open source niet altijd de makkelijkste of goedkoopste keuze is, en dat leveranciers niet staan te springen. Toch doen we het, zei ze, omdat het past bij het land dat Nederland wil zijn. Haar oproep was gericht aan bestuurders: er zijn leiders met lef nodig die het voortouw nemen.
Afkijken is er niet bij. Je moet eerst zelf die openheid opzetten in onze projecten.
Gedeputeerde Daniela de Klerk sloot voor mij de cirkel. De Deltawerken zijn het icoon van Zeeland, maar je neemt ze voor lief omdat ze er zijn. De geopolitiek van vandaag vraagt volgens haar om iets nieuws te bouwen dat de volgende generaties veiligheid biedt, nu op digitaal gebied.
De deltawerken houden ons veilig. Nu verplaatst die wereld zich van het fysieke domein heel erg naar het digitale domein.
Haar vergelijking sluit aan bij de plek waar de dag plaatsvond. In de Abdij van Middelburg regelden monniken al rond 1100 hun gemeenschappelijke zaken, en ging het om dezelfde vragen als nu: hoe bewaren we kennis, hoe delen we die, en hoe zorgen we dat volgende generaties erop kunnen voortbouwen. Alleen zit die kennis tegenwoordig in data, systemen en algoritmes. Wat de dag liet zien is dat de bereidheid er is, ook op bestuurlijk niveau. De volgende toets is of de OSPO's daadwerkelijk worden ingericht, en of organisaties die maintainer worden de community vinden waar ze op rekenen.
