Waardevolle lessen uit de NixOS-governancecrisis
Wanneer we binnen de overheid praten over digitale autonomie en open source, gaat het gesprek al snel over broncode, licenties en technische architectuur. Maar de recente gebeurtenissen binnen de NixOS-community herinneren ons er scherp aan dat de sterkste fundering van open software niet uit code bestaat, maar uit mensen en hun onderlinge samenwerking.
Enkele dagen geleden werd bekend dat het Nixpkgs Core Team heeft besloten per direct uit elkaar te gaan. Dit team droeg de afgelopen tien maanden een enorme verantwoordelijkheid voor het stroomlijnen van besluitvorming, het aanstellen van nieuwe beheerders en het afhandelen van beveiligingsincidenten in het NixOS-ecosysteem. De redenen voor hun vertrek zijn even herkenbaar als zorgwekkend: een onhoudbare werkdruk, bestuurlijke frictie met de Steering Committee en een uitputtende omgangscultuur binnen de bredere community.
Binnen onze projecten voor een digitaal autonome werkomgeving gebruiken we NixOS als basis. Met behulp van Nix Flakes kunnen we een exact reproduceerbare en onafhankelijke werkomgeving opbouwen. Het nieuws over het opheffen van het Core Team riep dan ook direct vragen op bij onze betrokken communityleden. Is ons fundament nog wel veilig en blijft de software waar we op bouwen wel overeind?
Technisch is er geen reden tot paniek
Onze infrastructuur en configuraties blijven op de korte termijn exact zo functioneren als gisteren. Dankzij het pinnen van afhankelijkheden via lockfiles zijn we afgeschermd van acute upstream-schommelingen. De code verdwijnt niet en de repositories blijven gewoon beschikbaar. Vanuit de DAWO-blauwdruk vermijden we bewust afhankelijkheid van een specifieke oplossing of leverancier; in de IT geldt immers het principe dat een is geen.
Toch reikt de impact van dit besluit veel verder dan de techniek alleen. Op de langere termijn kan stokkende besluitvorming upstream namelijk wel degelijk leiden tot tragere beveiligingsupdates en vertraging bij het goedkeuren van nieuwe pakketten, als hier geen verandering in komt. Het laat zien dat afhankelijkheid van open source niet zonder risico is als we ons uitsluitend opstellen als passieve consument.
Soevereiniteit is meer dan broncode
Echte digitale soevereiniteit betekent dat we niet alleen bouwen op open broncode, maar dat we ons ook medeverantwoordelijk voelen voor de gezondheid en de governance van de ecosystemen die de code voortbrengen.
Deze situatie onderstreept dat de overheid een actievere rol moet pakken in het open-source landschap. We kunnen niet volstaan met het gratis plukken van de vruchten van de inspanningen van vrijwilligers, om daar vervolgens een kritieke overheidsinfrastructuur op te baseren. Als we bouwen op open-source ecosystemen, moeten we ook bereid zijn bij te dragen aan het beheer, de documentatie en de menselijke organisatie die erachter schuilgaat.
De governancecrisis bij NixOS is een waardevolle les. Ze herinnert ons eraan dat duurzame innovatie bij de overheid niet stopt bij het selecteren van een goed Linux-distributiemodel, maar begint bij het investeren in de mensen die het mogelijk maken.