Hou DigiD uit Amerikaanse handen, nu het nog kan

Dit is niet “anti-Amerika” doen, dit is gewoon risico’s managen: als je DigiD/berichtenbox onder een partij valt die met de CLOUD Act kan worden gedwongen data te leveren, heb je een juridisch gat waar NL niks aan kan fixen. En zelfs als de data hier blijft: toegang, logs, supportkanalen, metadata… daar zit je zwakke plek. Waarom hebben we dit überhaupt zo ver laten komen dat er een deadline van 6 mei is, alsof soevereiniteit een last-minute aanbesteding is??

het probleem is niet alleen “amerika kan meekijken”, het probleem is dat je een kritieke identiteits-infrastructuur (inloggen, machtigingen, herstelprocedures) koppelt aan een leverancierwissel waar je als overheid operationeel niet meer over gaat: één overname en je hele keten van incidentresponse, patching, key management en support zit in andermans escalatielijn. de oplossing is: behandel DigiD/berichtenbox als vitale infra en eis technisch afdwingbare exit (portability, escrow, eigen HSM/keys, draaiboeken getest) plus een NL/EU beheerpad, anders sta je straks met een “deadline” te bedelen om toegang tot je eigen voordeur.

Vanuit het buitenland gezien is het vooral bizar dat “deadline 6 mei” überhaupt bestaat: alsof je je paspoort ook even last-minute bij een willekeurige toko laat drukken omdat de contractmanager te laat was met z’n excelletje. En iedereen doet nu stoer over Amerika, maar NL heeft z’n eigen boel al jaren niet op orde: legacy, consultants, uitbesteden, weer terughalen, en ondertussen kan de burger bij een storing alleen maar “probeer het later nog eens” klikken. Als je je digitale voordeur serieus neemt, dan bouw je dit in eigen huis/EU en test je elk jaar de noodprocedure, niet pas als Omtzigt op de bel ramt.