Digitale soevereiniteit is geschreven in PHP

Dit bedrag is het budget voor de elfde versie van de Government Site Builder, de standaard contentmanagementsysteem-oplossing van de Duitse federale administratie: 26,88 miljoen euro voor productontwikkeling en ondersteuning, 73,2 miljoen euro voor migratie en herlancering, en 8 miljoen euro voor operationele kosten, gefaseerd over vier jaar. Meer dan 80 federale agentschappen en instellingen maken er al gebruik van en hebben ermee ruim 250 websites gebouwd.

In 2025 ontving The PHP Foundation in totaal 730.534 dollar aan bijdragen.

Ik ga niet op basis van deze twee getallen betogen dat PHP een betere behandeling verdient. Wat ik wil beschrijven is iets dat grotendeels onopgemerkt is gebleven, ook door ons die aan PHP werken: over heel Europa hebben openbare administraties al besloten op welke digitale infrastructuur zij draaien. Ze hebben dit vastgelegd in aanbestedingsdocumenten, raamovereenkomsten en coalitieakkoorden. En wanneer die documenten spreken over "digitale soevereiniteit", beschrijven ze keer op keer een PHP-applicatie.

Waar burgers hun overheid bereiken

De Europese Commissie is het grootste voorbeeld: tijdens de Drupal4Gov EU-conferentie in Brussel in januari 2026 beschreef het team achter het Europa Web Publishing Platform wat zij beheren: 770 live sites voor 44 verschillende Commissiediensten, met 700 miljoen bezoeken en 2,2 miljard paginaweergaven per jaar. De overstap naar een gedeeld Drupal-platform begon in 2019, omdat het feit dat elk directoraat-generaal zijn eigen aangepaste codebase onderhield, het patchen van beveiligingslekken en een consistente gebruikerservaring steeds moeilijker maakte. De herbruikbare onderdelen zijn openbaar beschikbaar in de organisaties OpenEuropa en ec-europa op GitHub.

Het European Union Aviation Safety Agency draait zijn Sustainability Portal op Drupal: een platform voor naleving van regelgeving dat meer dan 350 luchtvaartmaatschappijen en 31 nationale autoriteiten bedient voor de ReFuelEU Aviation-verordening. De analytics draaien op Matomo, e-mail op Mautic. Drie PHP-applicaties dragen samen een regime voor luchtvaartcompliance.

In Nederland brengt het GovNL CMS van DICTU de implementatie van overheidswebsites terug van drie maanden naar tien minuten door gebruik te maken van design tokens, Drupal Recipes en geautomatiseerde infrastructuur. In Frankrijk wordt het Drupal-basisthema voor het staatsontwerpsysteem gemonitord door de Service d'Information du Gouvernement en DINUM, zodat de Franse staat PHP-code superviseert als onderdeel van zijn eigen ontwerpbevoegdheid. In het Verenigd Koninkrijk en Ierland hebben met LocalGov Drupal meer dan 58 gemeenteraden een gemeenschappelijke codebase en delen zij ontwikkelingsbudgetten, met gerapporteerde besparingen van 50 tot 80 procent ten opzichte van het vanaf nul bouwen van een gemeentewebsite. In Australië host GovCMS meer dan 370 websites voor 115 overheidsinstanties; dit platform draait al meer dan tien jaar en heeft een beveiligingsclassificatie van OFFICIAL:Sensitive.

Geen van deze projecten is een pilot. Elk van hen verwerkt het dagelijkse verkeer tussen een overheid en de burgers die zij bedienen.

De shortlist van Duitsland bestond uitsluitend uit PHP

De Duitse casus is de moeite waard om nauwkeurig te bekijken, omdat de beslissing gedocumenteerd is in plaats van afgeleid.

De Government Site Builder (GSB) werd in versie 11 een maatregel onder het consolidatieprogramma voor diensten van het federale Ministerie van Binnenlandse Zaken. Het is volledig gebouwd uit open-source componenten, gepubliceerd op het OpenCoDE-platform en is gebaseerd op TYPO3. De evaluatie die tot deze keuze leidde, had het veld beperkt tot Drupal en TYPO3: de shortlist voor het standaard contentmanagementsysteem van de Duitse federale overheid bestond uitsluitend uit PHP-applicaties. Het werk werd vervolgens gesplitst. Een consortium onder leiding van CPS, met 3pc, brandung, DFAU, in2code, THE BRETTINGHAMS en queo, ontwikkelt GSB 11 over een periode van vier jaar. In maart 2025 won een consortium van 17 TYPO3-bureaus onder leiding van de Materna Group het migratiegedeelte en zullen zij honderden federale websites overzetten.

Het meest veelzeggende detail is overigens niet Duits: toen Zwitserse parlementariërs hun eigen federale administratie bekritiseerden vanwege de aanschaf van een closed-source CMS, hielden zij de Duitse beslissing voor als het model om te volgen: "Deutschland machts vor" (Duitsland laat zien hoe het moet). Een nationale beslissing om te standaardiseren op een PHP-applicatie wordt nu in een buitenlands parlement aangehaald als best practice.

De soevereine werkplek is een PHP-applicatie

In deze programma's wordt digitale soevereiniteit in de praktijk beschreven door specifieke software te benoemen.

De Bundescloud van het ITZBund bevat de SIB-Box, gebouwd op Nextcloud, die ongeveer 300.000 federale gebruikers bedient. openDesk, de soevereine werkplek gebouwd door het Zentrum für Digitale Souveränität, integreert Nextcloud naast Collabora, Element, Open-Xchange, OpenProject en XWiki. Dit is verankerd in het Duitse coalitieakkoord: tegen oktober 2028 moet de federale administratie een digitaal soeverein alternatief hebben voor propriëtaire IT-werkplekken. De deelstaat Baden-Württemberg is al bijna 60.000 werkplekken voor leraren gemigreerd; de Bundeswehr heeft een raamovereenkomst; het Robert Koch Instituut en verschillende ministeries draaien componenten in productie. Het Internationaal Strafhof in Den Haag is van plan dit over te nemen.

De Nextcloud Server is een PHP-applicatie: versies 33 en 34 ondersteunen PHP 8.2 tot 8.5, en de administratiehandleiding opent het installatiehoofdstuk nog steeds met de PHP-configuratie. Die bewering behoeft een nuance, want het beeld is veranderd: de Files High Performance Backend is geschreven in Rust, en de ADA-engine die in 2026 werd aangekondigd, herschrijft de bestandstoegangslaag in PHP, Go en Rust. PHP draagt de applicatie en de bedrijfslogica, maar de I/O-gebonden paden doen dat steeds minder. MediaWiki, waar Wikipedia op draait, is op dezelfde manier gebouwd.

De asymmetrie

108 miljoen euro voor één nationale migratie. 770 sites bij de Europese Commissie. 370 verspreid over de Australische overheid. Ongeveer 300.000 gebruikers in de Duitse federale cloud. Tienduizenden werkplekken voor leraren in slechts één Duitse deelstaat.

En 730.534 dollar aan bijdragen aan The PHP Foundation in 2025, afkomstig van 536 organisaties en individuen — aanzienlijk minder dan het jaar ervoor, waarbij de uitgaven de donaties met ongeveer 139.000 dollar overstegen. Dit was een bewuste keuze om het aantal technische medewerkers te behouden. Dertien gecontracteerde engineers onderhouden de taal die onder al dit alles ligt.

Ik wil voorzichtig zijn met de conclusie, want niemand in dit verhaal heeft verkeerd gehandeld. Wat de cijfers laten zien is een structureel gat: de instellingen die het meest afhankelijk zijn van PHP, hebben geen vastgesteld mechanisme waardoor die afhankelijkheid wordt omgezet in financiering voor onderhoud. Niemand heeft dit gat bewust ontworpen; dit is wat er gebeurt wanneer infrastructuur gratis is op het moment van gebruik.

Eén instelling heeft dit mechanisme al gebouwd. De Sovereign Tech Agency, gefinancierd door de Duitse overheid, gaf opdracht voor werk dat resulteerde in de PHP-FPM Web Services Tool en de evolutie van de stream layer van PHP voor async, beveiliging en prestaties. Publiek geld ging in het substraat en er kwam functionele capaciteit uit. Het mechanisme bestaat en het werkt. Wat ontbreekt is de gewoonte om het te gebruiken.

Wat het normaal zou maken

Tijdens Drupal4Gov EU stelde Tiffany Farriss, nu interim-CEO van de Drupal Association, een reeks wijzigingen in aanbestedingen voor die direct vertaalbaar zijn naar elk taalecosysteem. Het is de moeite waard deze hier te herhalen, omdat ze geen goede wil vereisen, enkel een wijziging in hoe aanbestedingen worden gescoord, en omdat de eerste ervan past binnen een kader dat Europese aanbestedingen al gebruiken:

• Een soevereiniteits-criterium met echt gewicht: Twintig procent van de evaluatiepunten van de aanbesteding wordt toegekend voor geverifieerde open-source bijdragen, als een apart beoordelingscriterium onder het MEAT-kader (Most Economically Advantageous Tender). Dat plaatst softwaretransparantie en digitale soevereiniteit naast de kwalitatieve, milieu- en sociale criteria die een aanbesteding al mag scoren.
• Een budgetpost voor onderhoud: Een deel van de contractwaarde wordt toegewezen aan het upstream onderhoud van de componenten waar de levering van afhankelijk is, waarbij dit aan het begin wordt gebudgetteerd in plaats van later te worden gezocht. Farriss stelt geen vast getal voor, maar wil graag dat dit publiekelijk wordt bepaald; haar eigen schatting is 2 tot 5 procent, afhankelijk van het budget en de duur van het project, en tot 10 procent bij complexe projecten.
• Een 30-dagen upstream-regel: Niet-gevoelige code die is ontwikkeld onder een publiek contract moet binnen 30 dagen worden teruggegeven (contributed back), zodat de volgende administratie deze erft in plaats van er opnieuw voor te betalen.

Een administratie die dit overneemt, hoeft niet te weten of te begrijpen dat hun CMS in PHP is geschreven. Ze hoeven alleen te accepteren dat de code waar ze van afhankelijk zijn, onderhouders heeft, en dat die onderhouders budgetten nodig hebben.

Wat we vragen

Als u werkt in of met een openbare administratie: de software waar uw organisatie van afhankelijk is, bevat vrijwel zeker verschillende PHP-applicaties, en zeer waarschijnlijk zelfs de applicaties waar uw soevereiniteitsstrategie op is gebouwd. De drie bovenstaande voorstellen horen in uw volgende aanbesteding thuis, in plaats van in uw volgende strategiedocument.

Als u een bureau bent dat deze contracten uitvoert: neem de budgetpost voor onderhoud op in het bod. U bent beter gepositioneerd dan wie dan ook om upstream onderhoud te maken tot een normale kost van levering in plaats van een daad van liefdadigheid.

En als u een geval kent dat we hebben gemist — een ministerie, een gemeente, een gezondheidsdienst of een statistiekbureau dat op PHP draait — laat het ons weten. Dit artikel bestrijkt Europa en één Australisch platform, omdat het onderzoek tot daar reikte. We zouden deze gevallen graag hier publiceren, geschreven door de mensen die ze hebben gebouwd.