Open source voelt als vrijheid. De code is openbaar, je zit niet vast aan één leverancier, en je kunt in theorie altijd zelf verder. Precies daarom staat het bij veel organisaties bovenaan als het over digitale soevereiniteit gaat.
Maar de licentie regelt maar één ding: wat je met de code mag. Ze zegt niets over wie het project bestuurt, onder welke rechtsmacht het valt, en wie de rekening betaalt. En daar, in die drie lagen, zit het echte risico. Een open source-project kan technisch volledig vrij zijn en tegelijk in handen liggen van één persoon, in één land, met één partij die de infrastructuur betaalt. Als er iets misgaat op een van die drie assen, helpt de vrije licentie je op dat moment weinig.
Het afgelopen jaar heeft dat pijnlijk zichtbaar gemaakt. Niet in een obscuur hoekje, maar in het grootste CMS ter wereld.
De licentie is niet de governance
Bij het beoordelen van open source kijken de meeste organisaties naar de licentie: is het echt open, mag ik forken, zit ik niet vast. Dat is de juiste vraag, maar het is niet de enige. De licentie regelt wat je met de code mag. De governance regelt wie beslist over het project: wie de infrastructuur beheert, wie mag bijdragen, wie de merknaam bezit, en wie de updates en de repository controleert.
Die tweede laag wordt vrijwel altijd overgeslagen. En het is dus juist de laag die bepaalt hoe soeverein je werkelijk bent. Een EU-hoofdkantoor maakt een leverancier niet soeverein, en een open source-licentie maakt een project niet vanzelf onafhankelijk bestuurd.
Wat er bij WordPress gebeurde
WordPress draait naar schatting op ruim veertig procent van het web. Het geldt als het toonbeeld van community-gedreven open source. Tot dat beeld vorig jaar barsten begon te vertonen.
Van conflict naar controlevraag
In september 2024 opende Matt Mullenweg - medebedenker van WordPress en CEO van Automattic — een publieke aanval op hostingpartij WP Engine, die hij een “cancer to WordPress” noemde omdat ze naar zijn mening te weinig zou bijdragen. Wat begon als een ruzie over bijdragen, escaleerde tot een juridisch conflict dat een veel fundamentelere vraag blootlegde: wie bezit WordPress eigenlijk?
Want in de gerechtelijke stukken bleek de scheidslijn tussen “de community”, de non-profit WordPress Foundation en het commerciële Automattic veel dunner dan het beeld suggereerde. WP Engine stelt dat naar buiten toe het beeld van een vrij, door de stichting bestuurd project werd opgehouden, terwijl de controle over de merknaam en over wordpress.org in de praktijk bij één partij lag.
Toen de macht zichtbaar werd
Het meest illustratieve gebeurde daarna. Verschillende bekende bijdragers, onder wie de Nederlandse Yoast-oprichter Joost de Valk, kregen hun wordpress.org-account geblokkeerd, naar verluidt vanwege vermeende fork-plannen. Een heel infrastructureel ecosysteem dat door velen werd beschouwd als gemeenschappelijk bezit, bleek met één beslissing afsluitbaar.
Dat is de kern van het soevereiniteitsrisico, en het staat los van wie in dit specifieke conflict gelijk heeft. Als de toegang tot updates, plugins en repositories via één centraal punt loopt dat door één partij wordt beheerd, dan is dat punt een single point of control. En een single point of control is, of je het nu over techniek of over bestuur hebt, precies waar governance stukloopt en niet de techniek.
Niet één probleem, maar drie
Het scherpst is dit onlangs verwoord door Bert Boerland (voorzitter van de Nederlandse Drupal-vereniging en werkzaam bij SUSE). In een artikel over de onopgeloste problemen van Drupal vat hij het samen in drie woorden: soevereiniteit, governance en kosten. Elk open source-project ter wereld draagt alle drie. Governance hadden we hierboven al; de andere twee verdienen aandacht, want die worden nog vaker vergeten.
Rechtsmacht: onder wiens wet valt je project?
Governance gaat over wie beslist. Rechtsmacht gaat over wie de beslisser kan dwingen. En dat is een aparte vraag. De meeste grote open source-stichtingen zijn Amerikaanse rechtspersonen, onder Amerikaanse jurisdictie. Dat betekent dat ze onderworpen zijn aan Amerikaanse wetgeving en aan wat een Amerikaanse regering hen via een executive order kan opleggen.
Boerland geeft een confronterend voorbeeld. Het Internationaal Strafhof in Den Haag, dat zelf op Drupal draait, vaardigde vorig jaar arrestatiebevelen uit. De reactie was een Amerikaanse sanctie tegen de hoofdaanklager, waarna Microsoft dagen later zijn Outlook-account afsloot en hij uitweek naar Proton Mail. Zoals Boerland het formuleert: je hebt geen wet nodig die je iets verbiedt, je hebt een bedrijf nodig dat wettelijk verplicht is te gehoorzamen. Een open source-stichting onder Amerikaans recht is tegen datzelfde mechanisme niet beschermd.
Voor een Europese organisatie die op open source bouwt vanwege soevereiniteit, is dat een oncomfortabele constatering. De licentie is Europees noch Amerikaans, maar de infrastructuur, de stichting en de distributie kunnen dat wél zijn.
Kosten: gratis bestaat niet
De derde as is de meest onderschatte. Open source is niet gratis. De licentie heeft geen prijs, maar bandbreedte, opslag, beveiliging en back-up wel. Iemand betaalt de hostingrekening voor “gratis” software — voor elke apt-package, elke pip install, elke Composer-download. Bij een centraal model is dat één partij, en elke euro die daar naar infrastructuur gaat, is een euro die niet naar ontwikkeling gaat. Verdeel de last, en je verdeelt de kosten. Dat het idee “gratis” niet klopt, is trouwens een breder thema: ook bij AI blijkt gratis al snel een verbruiksfactuur te zijn.
FAIR: de oplossing bestaat al
Het mooie is dat de drie problemen dezelfde technische oplossing hebben: decentraliseer de distributie. En die oplossing bestaat al.
Joost de Valk, dezelfde die bij WordPress werd buitengesloten, richtte FAIR op: Federated And Independent Repositories. FAIR splitst één centraal register op in aparte rollen: nodes die packages hosten, aggregators die ze indexeren, en labelers die vertrouwen beoordelen. Elke package wordt cryptografisch ondertekend op pakketniveau, zodat het vertrouwen met de package meereist en niet afhangt van wie toevallig de mirror beheert. Het geheel is ondergebracht bij de Linux Foundation vanwege het neutrale governance-model.
Binnen WordPress kwam het uiteindelijk niet van de grond, en de reden is veelzeggend. Niet omdat het technisch niet werkte, dat deed het, maar omdat de grote hosters niet bereid bleken te investeren in neutrale infrastructuur. Joost de Valk stapte er begin 2026 uit met een eerlijke conclusie: als het ecosysteem neutraliteit niet wil financieren, komt neutraliteit er niet. Open source is niet alleen code, het is een systeem van prikkels — en die stonden verkeerd. Opvallend genoeg kwam hij daarbij tot een ongemakkelijke erkenning van precies het economische punt dat Mullenweg jarenlang maakte: te veel partijen profiteren zonder bij te dragen. Over de methode blijven ze het oneens, maar het onderliggende probleem is echt.
FAIR zelf stopte niet, het verschoof naar TYPO3. En daar werkt het. Tijdens de CloudFest Hackathon 2026 bouwde een team onder leiding van TYPO3-kernontwikkelaar Benni Mack en AspirePress fair.typo3.com, een eigen federatieve pakketinfrastructuur. TYPO3 v14 haalt packages voortaan native uit elke FAIR-repository, er is een Composer-plugin, en het draait op mirrors in Duitsland en Canada. Een Composer-gebaseerde, Europese enterprise-CMS die op productieschaal bewijst dat het kan.
Dat is soevereiniteit, governance en kosten in één keer geadresseerd: geen enkele partij kan de distributie afsluiten, geen enkele jurisdictie heeft één centraal aangrijpingspunt, en de last wordt verdeeld in plaats van bij één stichting gelegd.
Waarom TYPO3 hier anders in staat
Dat het uitgerekend bij TYPO3 landde, is geen toeval. TYPO3 is minder bekend bij het grote publiek, maar in enterprise- en overheidsomgevingen in Europa breed ingezet. Wat het onderscheidt, is niet de techniek maar het bestuur.
TYPO3 wordt gedragen door de TYPO3 Association, een niet-op-winst-gerichte vereniging met ongeveer 1100 leden, gevestigd in Zwitserland. Die leden kiezen jaarlijks het bestuur tijdens de Algemene Ledenvergadering, die de hoogste autoriteit binnen de vereniging vormt. Er is een aparte servicevennootschap voor het commerciële deel, maar de richting van het project ligt bij de leden, niet bij één eigenaar.
Waar bij WordPress de vraag “van wie is dit eigenlijk?” tot een rechtszaak leidde, is het antwoord bij TYPO3 statutair vastgelegd: van de vereniging, en daarmee van de leden. Geen enkele individu kan het merk claimen of de repository afsluiten. Dat FAIR juist hier op schaal werkt, is in dat licht logisch — je brengt een oplossing voor gedistribueerde controle onder bij een structuur die gedistribueerde controle al in de statuten heeft staan.
Ik heb hier een persoonlijk belang bij; ik ben lid van de Raad van Commissarissen bij de TYPO3 GmbH en Trademark gevolmachtigde voor de TYPO3 Association. Dat gezegd hebbend gaat het punt niet over welk CMS beter is. Het gaat over het model erachter.
Structuur is nodig, maar moet ook geleefd worden
Uiteraard, een goede governance-structuur is een noodzakelijke voorwaarde, geen garantie. Statuten op papier betekenen weinig als de praktijk ze niet volgt. Maar het echte verschil met een single-owner-model zit in wat er gebeurt zodra er onenigheid ontstaat.
Ook binnen TYPO3 loopt een gesprek over governance en transparantie. Een groep leden bracht in 2026 een open brief uit met de vraag om strategische besluiten transparanter en meer samen met de community te nemen. Zulke discussies horen bij een levend project. Het is wel goed om er perspectief bij te houden: het speelt vooral in de DACH-regio en kreeg daarbuiten weinig weerklank, en een deel van de betrokkenen is al heel lang aan het project verbonden. Het is een gesprek binnen de familie, geen ineenstorting van het model.
En dát is precies het punt. Waar het WordPress-ecosysteem geen legitiem kanaal had om macht aan te vechten — kritische bijdragers werden simpelweg geblokkeerd — kunnen TYPO3-leden hun onvrede kwijt via een vereniging, een stem en een stemrecht. Niemand wordt buitengesloten. Er is een podium, de TYPO3 Dialogue Days op 13 en 14 juli 2026 in Düsseldorf, dezelfde stad waar ik vorig jaar op T3CON sprak. En er is een stemming. Of de briefschrijvers nu gelijk hebben of niet, het feit dát het debat ordelijk gevoerd kan worden is het bewijs dat de structuur doet wat ze moet doen. Dat is de vrijheid die een licentie je niet geeft.
Wat dit betekent voor jouw open source-keuze
De praktische les is dat je bij het kiezen van open source drie vragen moet toevoegen aan de licentievraag. Wie bestuurt het project en wie kan mij afsluiten? Onder welke rechtsmacht valt de stichting en de distributie? En wie draagt de kosten van de infrastructuur? Ligt de controle bij één persoon of bedrijf, onder een jurisdictie die je niet vertrouwt, met één partij die de rekening betaalt, dan heb je een concentratierisico — hoe open de code ook is.
Dat is dezelfde redenering als waarom goede inkoop niet bij de Magic Quadrant begint maar bij toetsbare eisen. Governance, rechtsmacht en kostenverdeling horen in die eisen thuis, naast de licentie en de functionaliteit. Wie die afhankelijkheden systematisch in kaart wil brengen — over data, infrastructuur én leveranciers — kan daarvoor mijn Digital Sovereignty Assessment gebruiken.
De link met NIS2 en de supply chain
Dit is geen abstracte discussie voor filosofen. FAIR presenteert zichzelf expliciet als supplychain-security, en dat raakt direct aan je verplichtingen. Onder NIS2 moet je de beveiliging van je leveranciersketen beoordelen, en de distributie van software-updates is een kritiek onderdeel van die keten. Een repository die door één partij kan worden gemanipuleerd of afgesloten, is een ketenrisico — precies het soort risico dat NIS2 tot een bestuurlijke verantwoordelijkheid maakt.
Sterker nog, het FAIR-team wijst zelf op de Cyber Resilience Act, die vanaf december 2027 aantoonbare herkomst, beveiligingscontrole en traceerbare updates verplicht stelt voor software. Federatieve distributie met ondertekening op pakketniveau is precies waar die eisen om vragen. Wie zijn open source-governance beoordeelt, doet dus tegelijk aan supplychain-securitybeoordeling — en loopt vooruit op wat straks wettelijk moet.
Tot slot
Open source blijft een verstandige route naar minder afhankelijkheid. Maar de vrijheid zit niet alleen in de licentie. Ze zit in wie het bestuurt, onder wiens wet het valt, en wie de rekening betaalt. Een project dat technisch vrij is maar door één partij, in één jurisdictie, wordt gecontroleerd, verplaatst het lock-in-risico simpelweg van de code naar de governance.
Het WordPress-conflict is daarmee geen incident over twee ruziënde bedrijven. Het is een demonstratie van wat er gebeurt als concentratie van controle zichtbaar wordt. En de oplossing ligt er al: federatie, gespreide governance, ondertekening op pakketniveau. TYPO3 bewijst dat het werkt. De vraag is alleen nog wie het aandurft om niet te wachten op het eigen moment van blootstelling.
Veelgestelde vragen
Maakt open source mijn organisatie automatisch soevereiner?
Niet automatisch. Een open source-licentie geeft je vrijheid over de code, maar zegt niets over wie het project bestuurt, onder welke rechtsmacht het valt, of wie de infrastructuur betaalt. Als die drie bij één partij in één jurisdictie liggen, heb je nog steeds een concentratierisico. Soevereiniteit hangt net zo goed af van governance, jurisdictie en kostenverdeling als van de licentie.
Waarom is de rechtsmacht van een open source-stichting relevant?
Omdat governance bepaalt wie beslist, maar rechtsmacht bepaalt wie de beslisser kan dwingen. Veel grote open source-stichtingen zijn Amerikaanse rechtspersonen en daarmee onderworpen aan Amerikaanse wetgeving en executive orders. Een overheid kan via een bedrijf dat wettelijk moet gehoorzamen effect afdwingen zonder een verbod uit te vaardigen. Voor Europese organisaties die op soevereiniteit sturen, is dat een reëel aandachtspunt.
Wat is FAIR?
FAIR (Federated And Independent Repositories) is een initiatief van Joost de Valk, ondergebracht bij de Linux Foundation, dat softwaredistributie decentraliseert. Het splitst één centraal register in nodes die packages hosten, aggregators die indexeren en labelers die vertrouwen beoordelen, met cryptografische ondertekening op pakketniveau. Zo hoeft een site updates niet meer van één centraal punt te betrekken.
Werkt FAIR al in de praktijk?
Ja. Na een moeizame start binnen WordPress verschoof FAIR naar TYPO3. Tijdens de CloudFest Hackathon 2026 werd fair.typo3.com gebouwd; TYPO3 v14 haalt packages native uit FAIR-repositories, er is een Composer-plugin, en het draait op mirrors in Duitsland en Canada. Daarmee is het op productieschaal bewezen.
Waarom geldt TYPO3-governance als voorbeeld?
TYPO3 wordt bestuurd door een niet-op-winst-gerichte vereniging met ongeveer 1100 leden, die jaarlijks het bestuur kiest. De richting ligt statutair bij de leden, niet bij één eigenaar, dus geen enkele individu kan de merknaam claimen of de infrastructuur afsluiten. Dat FAIR juist hier op schaal draait, past bij die gespreide controle.
Hoe beoordeel ik de governance van een open source-project?
Stel naast de licentievraag drie vragen: wie bezit de merknaam en beheert de distributie, onder welke rechtsmacht valt de stichting, en wie draagt de infrastructuurkosten? Ligt dat bij één partij in één jurisdictie, dan is er concentratierisico. Ligt het bij een vereniging of stichting met democratische governance in een vertrouwde jurisdictie, met gedeelde of federatieve distributie, dan is je afhankelijkheid kleiner.
