Jarenlang moest iedereen die over digitale soevereiniteit in Portugal schreef, dat in de voorwaardelijke wijs doen. Men sprak over wat de Staat zou moeten doen, wat wenselijk zou zijn, wat andere landen al deden.
Dat veranderde in mei 2026. Resolutie van de Ministerraad nr. 102/2026, gepubliceerd op de 27e van die maand, keurde het Nationaal Plan voor een Soevereine Cloud goed. Voor het eerst is er een officieel document dat de technologische afhankelijkheid van de Staat als een risico erkent en een weg uitzet om die te verminderen.
Dat is goed nieuws. Maar tussen het plan en de werkelijkheid op de grond gaapt een kloof die het verdient eerlijk gemeten te worden, zeker als we kijken naar het deel van de overheid dat het meest blootgesteld en het minst toegerust is: de gemeenten.
Wat het plan zegt
Het Nationaal Plan voor een Soevereine Cloud rust op drie dimensies: het classificeren van de bedrijfsprocessen, gegevens en systemen van de overheid; het vastleggen van eisen op het gebied van soevereiniteit, beveiliging en veerkracht voor elk niveau; en het gefaseerd invoeren van soevereine digitale infrastructuur.
De logica is gezond en verdient erkenning, want ze breekt met vijftien jaar uniforme behandeling. Niet alle gegevens van de Staat vragen dezelfde mate van bescherming, en voor het eerst wordt formeel erkend dat er een niveau van kriticiteit bestaat dat infrastructuur onder verscherpte controle van de Staat vereist.
De operationele elementen zijn even concreet:
- De monitoring is de verantwoordelijkheid van het Agentschap voor de Technologische Hervorming van de Staat, in afstemming met het Nationaal Centrum voor Cyberbeveiliging.
- De infrastructuur is de verantwoordelijkheid van IP Telecom, met een soeverein datacenter gepland voor 2027 en voltooiing van de structuur beoogd voor 2030.
- Alle overheidsorganisaties moeten hun processen in kaart gebracht en geclassificeerd hebben vóór 30 juni 2027.
- Er is een ongebruikelijke financiële prikkel: de helft van het geld dat door migratie wordt bespaard, blijft bij de entiteit zelf.
- Opleiding in digitale soevereiniteit is gepland voor ten minste 10 % van de IT-specialisten van de overheid tegen 2028, en voor meer dan duizend hogere leidinggevenden tegen 2030.
Het is een serieus plan. Het probleem is niet wat het zegt. Het is hoe lang het gaat duren, en wie er ondertussen blootgesteld blijft.
Op de grond: 308 gemeenten, één aanvalsoppervlak
Het meest recente beeld van de Portugese gemeenten is niet geruststellend.
In het cyberbeveiligingsrapport 2024 van het Nationaal Centrum voor Cyberbeveiliging worden gemeentebesturen aangemerkt als een geliefd doelwit, met een stijging van 9,4 procentpunt in het aantal incidenten sinds 2021. Een kwart van de gemeenten meldde dat jaar incidenten te hebben gedetecteerd. Voor het land als geheel registreerde CERT.PT 36 % meer incidenten dan het jaar ervoor.
Een academische studie die de websites van alle 308 gemeenten analyseerde, concludeerde dat er, ondanks verbeteringen, nog aanzienlijke kwetsbaarheden bestaan, waarvan sommige, in de woorden van de onderzoekers, geen bijzonder geraffineerde aanvaller vereisen om te worden uitgebuit. De nationale gemiddelde score op de cyberbeveiligingsindicator was 0,660, op een schaal van nul tot één.
Nog één cijfer helpt de aard van het probleem te verklaren: malware die inloggegevens steelt, was goed voor meer dan 80 % van de geregistreerde malwareactiviteit in het derde kwartaal van 2025. En het meest voorkomende type incident is nog altijd phishing, met campagnes die steeds vaker de overheid zelf imiteren.
Zet dit alles naast elkaar en het beeld wordt duidelijk. De dominante toegangsweg is geen exotisch lek in een server. Het is een e-mail die iemand opent.
De asymmetrie die geen enkel plan kan oplossen
De centrale overheid van Portugal heeft IT-teams, eigen budgetten en de capaciteit om mensen aan te nemen. De cijfers uit het rapport zelf tonen het: 63 % van de centrale overheid gebruikt ten minste twee authenticatiefactoren, een hoger percentage dan bij Portugese bedrijven.
Een gemeente van twintigduizend inwoners is een andere realiteit. Vaak zijn er een of twee mensen verantwoordelijk voor alle IT, inclusief gebruikersondersteuning, het gemeentelijke portaal, documentbeheersystemen, ruimtelijke ordening, water, heffingen en vergunningen. Cyberbeveiliging concurreert met dit alles om dezelfde tijd en hetzelfde budget.
Het is geen gebrek aan wil. Het is rekenkunde. En daarom zijn initiatieven zoals de nationale cyberbeveiligingsoefening voor lokale overheden, waaraan meer dan 270 gemeenten en ongeveer duizend deelnemers meededen in ransomware- en phishingscenario's, van belang: niet omdat ze technologie trainen, maar omdat ze besluitvorming trainen in organisaties waar geen permanent crisisteam bestaat.
Het Nationaal Plan voor een Soevereine Cloud richt zich op de overheid als geheel. Het lost op zichzelf de kloof in capaciteit tussen een ministerie en een kleine gemeente in het binnenland niet op.
De kloof die niemand kan negeren
Het loont de data zorgvuldig te lezen. Classificatie van processen tegen medio 2027. Soeverein datacenter gepland voor 2027. Voltooiing van de structuur beoogd voor 2030.
Het zijn redelijke termijnen voor een transformatie van deze omvang. Maar ze betekenen dat de communicatie tussen de Staat en de burgers de komende jaren zal blijven lopen over de infrastructuur die er vandaag is. En die infrastructuur steunt, in veel gemeenten, op diensten die zijn ingekocht bij leveranciers die onder de wetgeving van derde landen vallen.
De praktische vraag, voor wie vandaag een gemeente of een publieke dienst leidt, is niet “wat verandert er in 2030”. Het is “wat kan ik beslissen in het volgende contract dat ik teken”.
Drie beslissingen die niet afhangen van wachten
Ten eerste: behandel jurisdictie als een vereiste, niet als een criterium dat pas bij gelijke stand telt. Er is geen nieuwe wetgeving nodig. Een bestek kan nu al eisen dat de leverancier uitsluitend onder Portugees en Europees recht valt, en dat er geen doorgiften naar derde landen plaatsvinden. Het is één regel tekst.
Ten tweede: begin met e-mail. Het is waar aanvallen binnenkomen, het is waar de meest gevoelige informatie in de relatie met burgers zich bevindt, en het is het makkelijkst te vervangen systeem, omdat het op open protocollen is gebouwd. Daar zijn Duitsland en Frankrijk begonnen, en niet toevallig.
Ten derde: eis bewijs in plaats van beloften. Een leverancier moet eenvoudige vragen schriftelijk en zonder aarzelen kunnen beantwoorden: waar de gegevens zich bevinden, onder welk recht het bedrijf valt dat ze beheert, hoe lang logbestanden worden bewaard, en wat er gebeurt als het contract afloopt.
Geen van deze drie beslissingen vereist extra budget, een wetswijziging of wachten op nationale infrastructuur. Ze vereisen alleen dat de juiste vragen worden gesteld op het moment van contracteren.
Wat er werkelijk op het spel staat
Voor de meeste mensen is de gemeente het dichtstbijzijnde gezicht van de Staat. Het is waar u een vergunning regelt, een incident meldt, sociale steun aanvraagt, een probleem met het water oplost. De informatie die via deze communicatie passeert, is vaak gevoeliger dan wat via een ministerie gaat.
Portugal heeft een belangrijke stap gezet door een nationaal plan goed te keuren. Maar digitale soevereiniteit wordt niet alleen in de Ministerraad beslist. Ze wordt vooral beslist in de duizenden aanbestedingsprocedures die overheidsinstanties elk jaar lanceren, lang voordat enige nationale infrastructuur klaar is.
Het plan bepaalt de bestemming. Elk contract dat tot dan wordt getekend, bepaalt de route.