'Inside the DigiD storm' - keynote Pieter van Oordt op Cybersec

In dit artikel:

De voorgenomen overname van het Nederlandse it-bedrijf Solvinity door het Amerikaanse Kyndryl maakte duidelijk dat een commerciële transactie ook gevolgen kan hebben voor de nationale veiligheid en de continuïteit van publieke diensten. Solvinity beheert het Picard-platform, waarop onder meer DigiD, MijnOverheid en Digipoort draaien. Het overnameverbod geldt daarom als een belangrijk ijkpunt in de Europese discussie over digitale soevereiniteit.

De casus staat centraal in de keynote ‘Inside the DigiD storm: digital sovereignty and the story of a whistleblower’, die klokkenluider Pieter van Oordt tijdens Cybersec Netherlands 2026 verzorgt. Hij bespreekt daar op persoonlijke titel hoe de eigendomswisseling vragen opriep over de toegang tot overheidssystemen en -data, de toepasselijke wetgeving en de invloed van geopolitieke ontwikkelingen op een kritieke technologiepartner.

Digitale soevereiniteit draait volgens de auteur niet alleen om de fysieke locatie van data. Ook de vestigingsplaats en jurisdictie van de leverancier, het beheer van cryptografische sleutels, toegangsrechten, contractuele afspraken en de mogelijkheid van buitenlandse overheidsinmenging bepalen hoeveel controle een organisatie werkelijk heeft. Een organisatie kan formeel eigenaar zijn van haar data, maar toch afhankelijk blijven van een leverancier die bepaalt hoe systemen worden beveiligd, verwerkt en beschikbaar gehouden.

Die afhankelijkheid is extra gevoelig bij digitale overheidsdiensten. DigiD verwerkt jaarlijks ongeveer 700 miljoen authenticaties, terwijl MijnOverheid miljoenen digitale berichten en brievenbussen ondersteunt. Digipoort faciliteert de uitwisseling van vertrouwelijke gegevens tussen overheidsorganisaties. Een verstoring of ongewenste beïnvloeding kan daardoor direct burgers, bedrijven en de publieke dienstverlening raken.

Volledige onafhankelijkheid van buitenlandse technologie is volgens het artikel niet realistisch. Organisaties moeten wel voldoende handelingsvrijheid behouden. Dat vereist onder meer afspraken over eigendomswijzigingen, alternatieve leveranciers, migratie van data en systemen en een uitvoerbaar exit-scenario. Digitale soevereiniteit is daarmee vooral een governancevraagstuk, waarbij bestuur, it, security, inkoop, juridische en privacyfuncties gezamenlijk bepalen welke afhankelijkheden aanvaardbaar zijn.

De Solvinity-casus onderstreept dat organisaties zulke risico’s vooraf moeten beoordelen, in plaats van pas tijdens een crisis. Een risico- en impactanalyse, duidelijke verantwoordelijkheden en contractuele waarborgen kunnen helpen om de gevolgen van een ongewenste overname of geopolitieke verandering beheersbaar te houden.