Nieuwe aanbesteding DigiD in de maak, maar Kamer blijft bezorgd
In dit artikel:
In maart wordt waarschijnlijk een nieuwe aanbesteding gepubliceerd voor het technisch beheer van DigiD; de opvolger van Solvinity zou daardoor uiterlijk in 2028 in huis kunnen zijn. Dit bleek tijdens een technische briefing van de Vaste Kamercommissie Digitale Zaken over de voorgenomen verkoop van Solvinity aan de Amerikaanse dienstverlener Kyndryl. De Tweede Kamer hoopt echter dat de overname niet doorgaat: er bestaan grote zorgen over Amerikaanse zeggenschap over een platform dat persoonlijke gegevens van miljoenen Nederlanders beheert.
De belangrijkste risico’s die aan de orde kwamen zijn tweeërlei: volgens wetgeving in de VS zouden Amerikaanse inlichtingendiensten toegang kunnen eisen tot systemen, en er is ook een politiek risico — denk aan een Amerikaanse president die instructies geeft die de continuïteit van DigiD in gevaar brengen. DigiD is vitaal: het telt 16,6 miljoen gebruikers en kende vorig jaar 550 miljoen authenticaties.
Er zijn drie hoofdroutes om de bezorgdheid weg te nemen. Ten eerste kan de overname wettelijk worden tegengehouden of onder voorwaarden worden toegestaan. De Wet ongewenste zeggenschap telecom (WOZT) en de Wet veiligheidstoets investeringen, fusies en overnames (Vifo) (via het Bureau Toetsing Investeringen) bieden instrumenten om transacties te blokkeren of te conditioneren wanneer nationale veiligheid in het geding is. Ten tweede kan Solvinity door een Nederlandse of EU-partij worden overgenomen; Kamerlid Barbara Kathmann stelde zelfs een gouden aandeel van de Staat voor als mogelijk beschermingsmiddel, eventueel met inzet van Invest-NL. Ten derde kan het huidige contract met Solvinity in augustus worden beëindigd — formeel eindigt de overeenkomst dan volgens het aanbestedingsbestek, maar er bestaat een optionele verlenging van twee jaar waarvan onduidelijk is of Logius die wil lichten.
Logius, onderdeel van BZK en eigenaar van de intellectuele eigendomsrechten, benadrukt dat het platform niet opnieuw opgebouwd hoeft te worden. Het ministerie streeft er op termijn naar het technisch beheer weer zelf te doen en een overheidscloud in te zetten, maar zo’n cruciaal systeem als DigiD is in de beginfase van zo’n transitie nog niet geschikt voor volledige migratie.
De Interdepartementale Taskforce Digitale Veiligheid voert onderhandelingen met Solvinity en Kyndryl over aanvullende maatregelen om risico’s te beperken. Volgens programmacoördinator Hilly Buyne is er overeenstemming over zo’n 70–80% van de maatregelen, maar de gesprekken zijn grillig en partijen verschillen van opzet: Kyndryl wil Solvinity sterk integreren, iets wat Haagse ministeries juist willen beperken. Technische saneringen lopen per hostingvorm uiteen; dedicated private hosting is makkelijker te beveiligen dan shared omgevingen waarin ook politie en andere instanties draaien. Op de huidige platforms van Solvinity draaien circa 150 applicaties; per applicatie wordt de risicoanalyse uitgevoerd en mogelijk worden bepaalde functies elders ondergebracht.
Een deel van de briefing was besloten vanwege de lopende onderhandelingen. Kamerleden krijgen in een volgende vergadering de gelegenheid om ministers hierover aan te spreken; sommige aanwezigen merkten op dat de discussie in een minder gespannen geopolitiek klimaat anders zou verlopen.