Wat is een soevereine digitale werkplek? De stand van DAWO

Eind september schreef ik over DAWO, het project waarmee de Nederlandse overheid een eigen werkplek op basis van NixOS bouwt. Dat stuk ging vooral over de keuze voor NixOS. Wat het niet uitlegde, is wat een "soevereine digitale werkplek" eigenlijk is. Dat woord valt in elk bericht over het project, maar een definitie staat er zelden bij. Hieronder een poging, plus wat er sinds eind september is veranderd.

Wat "soeverein" hier betekent

Bij soevereiniteit denken veel mensen aan software zonder een regel buitenlandse code. Dat is het niet. De vraag is of een organisatie haar computers, bestanden en communicatie kan blijven gebruiken en aanpassen als een leverancier zijn voorwaarden wijzigt, zijn prijzen verhoogt of door politieke omstandigheden de dienst stopt.

dawo.community omschrijft het doel als een digitaal autonome en interoperabele basis voor overheidswerkplekken, opgebouwd uit onderdelen die je kunt inspecteren en vervangen. Het draait dus om controle: kun je zien wat er draait, en kun je een onderdeel eruit halen als het moet?

Drie lagen van een werkplek

Ik vind het handig om een werkplek in lagen op te knippen.

Het apparaat. Het besturingssysteem op de laptop. Bij DAWO is dat DAWO-NixOS: een Linux-installatie die volledig in configuratiebestanden wordt beschreven. Twee laptops die met dezelfde configuratie zijn gebouwd, zijn identiek.

De diensten. Bestanden, chat, videobellen en kantoorsoftware. Daarvoor is er MijnBureau, een suite die een organisatie zelf host. Die bestaat uit bestaande open source-projecten: Keycloak voor inloggen, Element voor chat, Nextcloud voor bestanden, Collabora voor documenten, Grist voor spreadsheets en OpenProject voor projectbeheer.

De infrastructuur. Waar die diensten draaien en wie het beheer doet. DAWO heeft daarvoor aparte bouwstenen voor cloud, naast die voor samenwerksoftware en AI.

Een organisatie kan op de ene laag afhankelijk zijn en op de andere niet. Een Linux-laptop die alleen een browser opent naar een Amerikaanse clouddienst, is nog steeds afhankelijk van die dienst. Wie het serieus meent, moet dus alle lagen aanpakken. Dat is ook precies waarom dit zo lang duurt.

Waarom "veilig" bij dit project iets anders betekent

Wie zoekt op "veilige digitale werkplek overheid" denkt waarschijnlijk aan virusscanners en tweestapsverificatie. Bij DAWO ligt de nadruk op controleerbaarheid. Omdat de hele configuratie in een openbare repository staat, kan iedereen nagaan wat er op een werkplek draait.

De changelog van DAWO-Core laat zien hoe dat in de praktijk gaat. De basis versleutelt de schijf met LUKS. Inloggen via SSH kan alleen met een sleutel en niet met een wachtwoord. Updates komen uit één bron. Elk apparaat kan bovendien rapporteren welke release en welke exacte versie van de configuratie het draait. Op 3 september liep er een beveiligingsscan over de code. De eerste helft van de fixes daaruit zit in release v0.1.3, gewoon als genummerde issues die je kunt nalezen.

Wat er sinds eind september is gebeurd

De code is verhuisd naar Codeberg om samenwerking met de community makkelijker te maken. Reservekopieën blijven staan op code.overheid.nl en GitHub. Volgens de releasegeschiedenis ging het zo:

• v0.1.0 (24 juni): de eerste getagde release, de basisinstallatie voor de eerste pilot. Getest op een ThinkPad T495s en een HP EliteBook 850 G7, met GNOME of KDE Plasma als bureaublad.
• v0.1.2 (14 augustus): de eerste release vanaf Codeberg.
• v0.1.3 (25 september): de eerste ronde fixes uit de beveiligingsscan.
• v0.2.0 (9 oktober): de nieuwste release, met een wijziging waarvoor afgeleide versies hun configuratie moeten aanpassen.

Dat er afgeleide versies zijn, vind ik eerlijk gezegd het interessantste nieuws. De changelog verwijst als voorbeeld naar een eigen DAWO-variant van Realiz-IT. Er bouwen dus al partijen buiten het ministerie op voort, en dat is precies waar een open blauwdruk voor bedoeld is.

Aan de kant van de Rijksoverheid ligt er sinds juli een opdracht van de ICBR aan SSC-ICT, DICTU en DUO-ICT. Volgens SSC-ICT gaat het om meerdere sporen tegelijk: beter samenwerken in bestanden tussen ministeries, een soeverein alternatief voor mail en de verdere ontwikkeling van werkplekdiensten. Ze bouwen daarbij voort op MijnBureau en DAWO.

Wat het nog niet is

DAWO is geen product dat een ministerie morgen kan uitrollen. Het versienummer staat nog onder de 1.0, en er is geen tijdpad voor een landelijke invoering. Bij gemeenten lopen proeven, onder meer in 's-Hertogenbosch, Zaanstad, Ede en Amsterdam. Volgens de Defensiebond duren die tot eind 2026.

Tot slot

Over digitale soevereiniteit zijn al heel wat beleidsnotities geschreven. Bij DAWO kun je gewoon meekijken: releases volgen, de changelog lezen, zien welke beveiligingsbevindingen dicht zijn. Dat vind ik verfrissend voor een overheidsproject.

Of het ooit op tienduizenden ambtenarenlaptops draait? Daar durf ik niets over te zeggen. Een Linux-werkplek uitrollen is één ding, honderden afdelingen met hun eigen Excel-macro's en vakapplicaties meekrijgen is iets heel anders. Maar de code staat openbaar, en wie een oude ThinkPad heeft liggen, kan zelf kijken hoe zo'n werkplek voelt.