Kabinet blokkeert Amerikaanse overname van cloudbedrijf Solvinity (DigiD)

Terecht dat dit is geblokkeerd, want DigiD is geen “dienst” maar de voordeur van de staat, en die geef je niet aan een bedrijf dat onder de CLOUD Act kan vallen zodra Washington zin heeft. Tegelijk is het paradoxaal dat we nu stoer soevereiniteit spelen terwijl we al jaren onze hele digitale ruggengraat op Amerikaanse lagen stapelen, van identity tot hosting tot tooling. Het publieke belang is blijkbaar pas heilig als er een overnamebericht op NU.nl staat… wat zegt dit over ons dat we veiligheid pas serieus nemen als het een handtekening onder een deal is?

Snap de blokkade, maar het echte risico zit ’m niet alleen in de eigenaar: als DigiD/MijnOverheid afhankelijk is van Amerikaanse software, remote beheer, of zelfs maar updates/patchkanalen, dan heb je nog steeds een “kill switch” via leveranciers. Laat het kabinet dan ook meteen eisen: volledige ketentransparantie (hosting, adminrechten, subcontractors) én een exitplan dat je binnen bv. 6-12 maanden kunt uitvoeren zonder dat alles omvalt, anders is dit vooral symboliek toch? En dat vertrouwelijke BTI-rapport… hoe kan de Kamer nou controleren of “publiek belang” niet gewoon een politieke vlag is?

Feit is: DigiD is niet alleen privacy, het is ook zorg, denk aan inloggen bij je huisartsportaal, medicatieoverzichten en straks steeds meer uitwisseling via MijnOverheid. Als daar ooit gedoe komt met beheer, beschikbaarheid of een juridische tik uit de VS, dan zit je meteen met uitgestelde zorg en mensen die hun uitslagen of herhaalrecepten niet kunnen regelen. Blokkeren is één ding, maar regel dan ook meteen dat er een noodscenario is als DigiD er een dag uit ligt, want dat gebeurt nu al te vaak.

Hier op het land: als mijn melktank stuk is kan ik morgen bij een ander koelen, maar als DigiD plat ligt staat half NL stil en dan mag je “privacy” roepen wat je wil. blokkeer die overname prima, maar zorg dan ook dat er niet één club is die alles beheert en dat gemeenten/zorg gewoon een offline noodroute hebben, want die afhankelijkheid is het echte probleem. En stop met die geheimzinnige rapporten, als het zo’n risico is leg dan op z’n minst in normale taal uit wát er mis kan gaan.

Tsja, ze doen nu alsof het om een vlaggetje op het bedrijfspand gaat, maar de echte ellende zit in de kennis: als de club die het draait straks vol ingehuurde externen is en iedereen na 2 jaar weer weg, ben je alsnog afhankelijk van “iemand anders” als het piept en kraakt. In de vaart noem je dat gewoon geen eigen bemanning aan boord hebben, dan kan je schip Nederlands zijn wat je wil.

Iedereen focust nu op “Amerikaans” en CLOUD Act, maar wie is in dit verhaal eigenlijk de opdrachtgever/eigenaar van de DigiD/MijnOverheid-contracten: Logius toch? Waarom kan een leverancier dan überhaupt zó’n strategische asset verkopen zonder dat de staat al vooraf een veto/instemmingsrecht in de contracten had staan? En dat BTI-rapport blijft geheim “want publiek belang” — ok, maar welke concrete maatregel is er nu genomen behalve blokkeren: audit, her-aanbesteding, extra toezicht, bron??

Mooi dat ze ‘m blokkeren, maar dit voelt ook als symptoombestrijding: je kunt eigendom NL houden en tóch je beheer, tooling en kennis uitbesteden aan de goedkoopste club met een Jira-board. Even rekenen: als je DigiD echt kritisch vindt, dan hoort er een staats-architectuur bij met harde eisen (open standaarden, escrow, key management in NL, periodieke failover-tests) en niet alleen “geen Amerikaan aan de deur”. En dat BTI-rapport geheim houden is lekker makkelijk: roep “publiek belang” en niemand mag checken of het echt om risico’s gaat of om politieke paniek na een petitie.

Ja jong, blokkeren is prima maar dan wil ik ook weten wie er allemaal bij kan: al die onderaannemers, externen met laptop thuis en support uit weet-ik-veel-welk-land. ge kunt wel “NL eigendom” roepen maar als de sleutelbos overal rondzwerft hebde er nog niks aan.

Feit blijft dat eigendom maar één laag is, je kunt het “Nederlands” houden en tóch via beheercontracten, monitoring en updatekanalen afhankelijk zijn van buitenlandse partijen. Wat ik mis: een harde eis dat Logius periodiek een echte DigiD-storing oefent mét gemeenten en zorg, inclusief alternatieve inlog/identificatie, want als dit ding plat ligt zie je meteen gemiste afspraken, geen herhaalrecepten en stress bij kwetsbare mensen. Blokkeren voelt lekker stoer, maar zonder verplicht failover- en noodproces is het gewoon wachten op de volgende paniekdag…

Nou ja, iedereen heeft het over wetten en cloud, maar ik wil gewoon weten waarom we zo’n cruciale club überhaupt laten “verkopen” alsof het een fietsenwinkel is, zet er dan een gouden aandeel of staatsdeelname op en klaar, anders zitten we over 2 jaar weer met dezelfde paniek bij de volgende koper hoor, toch.

Ik merk dat iedereen (logisch) op “Amerikaans” en wetgeving zit, maar de echte pijn is: DigiD is gebouwd op vertrouwen, en dat gevoel is zó fragiel dat je met één overname-gerucht al onrust in de hele maatschappij krijgt. Dan kun je de deal blokkeren, maar als je daarna weer alles achter “vertrouwelijk BTI” verstopt, blijft die schimmige energie hangen en gaan mensen juist denken dat er meer speelt. Geef dan op z’n minst een publiek stuk met: welke scenario’s waren het, wat is nu wél afgedekt, en wanneer is het hele DigiD/MijnOverheid echt in eigen regie te draaien zonder dat we bij de volgende aandeelhouderswissel weer in paniek schieten.

Vanuit mijn praktijk: iedereen heeft het over CLOUD Act en eigendom, maar niemand over het collectieve stressveld dat we zelf bouwen als je je hele identiteit aan één digitale poort hangt en dan verbaasd bent dat mensen onrustig worden. DigiD is intussen bijna een energetische “chakra” van de staat: als die dichtklapt (storing, dreiging, gedoe) gaat bij miljoenen het zenuwstelsel aan en krijg je wantrouwen en verkramping, en dat los je niet op met alleen een veto op een Amerikaan. Zet naast techniek ook in op echte digitale veerkracht: minder dwang, meer menselijke routes, en transparantie zodat het systeem weer kan ademen i.p.v. alles achter vertrouwelijke rapporten dicht te metselen.

Blokkeren is leuk, maar waarom is DigiD überhaupt “één grote knop” waar half NL op leunt zonder fatsoenlijke fallback? als je als burger je identiteit alleen via één leverancier + één loginpad kan bewijzen is dat gewoon slechte UX van de overheid: maak een tweede route (bv. eID/eHerkenning-light of fysieke baliecode) en test dat elke maand, dan is zo’n overname ineens veel minder spannend.

Weet je wat het is: als DigiD er hier in het ziekenhuis uit klapt, dan sta je dus letterlijk met je handen in het haar omdat patiënten ineens niet meer bij hun uitslagen/portaal kunnen en de balie alles mag gaan “uitprinten” alsof het 2003 is. Blokkeren van zo’n overname is prima, maar regel dan ook meteen fatsoenlijke redundantie en een noodprocedure die wérkt, want nu hangt half NL aan één digitale stekker en dat voelt elke keer als Russische roulette.

Tsja, iedereen roept “Amerika eruit”, maar morgen ligt DigiD weer plat door een lullige update en dan staat de hele overheid te kijken alsof de motor ineens geen diesel lust. Blokkeer die overname prima, maar zet er dan ook gewoon boetes op uitval en verplicht echte redundantie, anders is het alleen politiek stoerdoenerij.

In de praktijk: je kunt zo’n overname blokkeren, maar zolang de overheid zelf al jaren alles uitknijpt op prijs en elke paar jaar weer aanbesteedt, blijft het een stoelendans met kennis en sleutelrechten. Zet er dan ook meteen in: vaste lange contracten met harde eisen op data/keys in NL én echte boetes bij storingen, anders is het over 2 jaar gewoon een andere “niet-Amerikaanse” club met dezelfde afhankelijkheid. En dat Kyndryl roept dat het politiek is… ja duh, DigiD is geen webshopje.

Mooi dat ze ‘m blokkeren, maar ondertussen loopt half ambtenarij en zorg al jaren in op Microsoft/Google‑auth en Amerikaanse securitytools… dan is DigiD “NL” op papier en zit je alsnog onder diezelfde druk als Washington fluit. En dat BTI-rapport geheim omdat het publiek belang raakt is precies die omgekeerde wereld: zij willen met DigiD alles van jou weten, maar wij mogen niet eens weten wát er dan zo gevaarlijk is!!

Die “publiek belang”-toets is mooi, maar het echte pijnpunt is dat we DigiD überhaupt als een soort verhandelbaar IT-project zijn gaan zien in plaats van als staatsfunctie met staatsverantwoordelijkheid. Als de overheid morgen zegt: dit hoort in een publieke uitvoeringsorganisatie met salarissen die niet lachwekkend zijn en een eigen opleidingslijn, dan ben je ineens van 80% van dit gedoe af. Paradoxaal dat we wel bang zijn voor Amerikaanse wetten, maar niet voor onze eigen reflex om alles te runnen als aanbestedingscircus met contractmanagers en PowerPoints… wat zegt dit over ons dat “soevereiniteit” pas op tafel komt als er een koper aan de deur staat?

Dit is precies waarom je “soevereiniteit” niet moet ophangen aan een paspoort van de eigenaar, maar aan harde technische keuzes: eigen key management, geen data/metadata naar US-telemetrie, en vooral stoppen met die hyperscaler-reflex alsof er geen alternatief ecosysteem bestaat. En ja, dat vertrouwelijke BTI-rapport… lekker makkelijk, maar ondertussen blijft de grootste olifant in de kamer dat we onze digitale infrastructuur bouwen op een keten die elke maand weer een nieuwe afhankelijkheid introduceert, en dan verbaasd doen als de biodiversiteit aan leveranciers verdwijnt.

goed dat ’t geblokkeerd is, maar kunnen we het ook ff hebben over het verdienmodel hier: een private club die aan overnames en shareholder value doet, beheert letterlijk je toegang tot de staat — dat is geen “markt”, dat is infrastructuur. als je DigiD essentieel vindt, maak het dan publiek (of minstens non-profit) met fatsoenlijke salarissen en eigen engineers, anders blijven we elke paar jaar in paniek “soevereiniteit” roepen terwijl we alles blijven outsourcen omdat het zogenaamd goedkoper is, oh ja want bezuinigen is altijd neutraal...

blokkeren is prima, maar laten we ook eerlijk zijn: als solvinity omvalt of straks geen mensen meer kan houden door dit gedoe, heb je alsnog een probleem want dan ligt digid op vrijdagmiddag weer te stuiteren. zet dan meteen in de contracten keihard: broncode/infra documentatie in escrow, verplicht 2e beheerpartij die kan overnemen en boetes als de beschikbaarheid weer “storinkje” wordt, anders is dit alleen politiek scoren en maandag gewoon weer doorprutsen.

Ach blokkeren is leuk voor de bühne maar wie draait straks de 24/7 storingsdienst en waar liggen die backups, want als DigiD weer plat gaat op maandagochtend staat heel NL te vloeken en niemand weet wie je moet bellen toch

Iedereen doet nu alsof “Amerikaans eigendom” het kwaad is, maar de echte vraag is: waarom hebben we DigiD überhaupt als iets dat je kunt outsourcen alsof het schoonmaak is? Als identiteit de sleutel tot zorg, belasting, uitkeringen is, dan hoort het beheer en de kernkennis inherent bij de staat zelf, met salarissen en loopbanen die niet na 18 maanden eindigen in een consultancydeck. Paradoxaal genoeg willen we een digitale overheid die 24/7 feilloos werkt, maar we organiseren ’m als een projectje dat je elk paar jaar opnieuw aanbesteedt… wat zegt dat over ons dat we “publiek belang” pas ontdekken als er een overname langskomt.

Nuance: zelfs als Solvinity 100 procent Nederlands blijft, kan je data alsnog via Amerikaanse infra lopen als er ergens Azure/AWS, monitoring of remote support in de keten zit, dan ben je nog steeds kwetsbaar. En als huisarts zie ik vooral het praktische risico: bij storing kunnen patiënten niet in hun portaal, geen herhaalrecept, geen uitslag, en dan loopt de telefoonlijn hier meteen vast. Blokkeren oké, maar laat de overheid dan ook verplicht een simpele fallback regelen, desnoods tijdelijk met balie-identificatie of een noodlogin, want digitaal is nu te vaak alles-of-niets.

Ik merk dat iedereen nu blijft hangen op “Amerikaans of niet”, maar de échte vraag is: waarom is DigiD überhaupt gebouwd als iets dat je bij een commerciële partij neerlegt alsof het een willekeurige IT-dienst is. Als je voelt dat dit de voordeur van het land is, dan hoort de kern (sleutels, identity, logging, incident response) gewoon onder directe publieke regie te vallen en leveranciers alleen als uitvoerende schil, anders blijf je dit soort energie van paniek-debatten houden bij elke overname. En dat BTI-rapport geheim… tja, dan krijg je dus wantrouwen als standaard bij burgers, ook als het besluit misschien terecht is.

Nou ja, iedereen heeft het over Amerika en wetten, maar ik zit vooral met die praktische ellende: als DigiD weer eens hapert sta je meteen bij de balie met een nummertje en “kunt u online inloggen mevrouw”, maak dan óók een fatsoenlijke papieren of balie-route die gewoon werkt, anders is het één grote digitale gijzeling, wie het ook bezit hoor, toch.

ach ja, allemaal druk om “amerikaans”, maar ik word pas echt gek van DigiD dat er weer eens uit ligt als je net iets moet regelen voor je moeder of toeslagen, en dan is er nul fatsoenlijke hulp of alternatief. blokkeer die deal prima, maar zorg dan eerst dat het spul gewoon stabiel werkt en dat je iemand aan de lijn krijgt die je niet na 40 minuten wegdrukt.

Eindelijk een keer dat ze “nee” zeggen, maar waarom moet dat BTI-rapport dan weer geheim… dat is precies die bestuurscultuur waar we tijdens corona ook tegenaan liepen: vertrouw ons maar, wij weten het beter!! En iedereen wijst naar de VS, maar ik wil vooral weten wie er hier in NL aan die knoppen zit en welke draaideurtypes straks bij Solvinity/Kyndryl (of de volgende partij) op de loonlijst staan, want dat lek zit net zo goed gewoon in Den Haag en bij de consultants. Ik was zelf ook zo dat ik dacht: ach, DigiD is gewoon veilig geregeld… tot je ziet hoe snel “publiek belang” een rookgordijn wordt!!

Blokkeren is leuk voor de bühne, maar als DigiD weer eens hapert sta je alsnog met een rij chagrijnige mensen bij de balie “ja meneer zonder inloggen kan ik niks” en dan mag je met je cloud-soevereiniteit zwaaien. maak dan ook eens een simpele noodgeval-knop: tijdelijk met paspoort + afspraaknummer door kunnen, want nu is het echt één stekker en heel NL staat te prutsen.

Ik merk dat het niet alleen om “Amerikaans” gaat maar om die hele energie van afhankelijkheid: als één partij DigiD draait en iedereen eromheen bouwt, dan heb je gewoon een single point of falen, ook als het een oer-Hollandse BV is. en waarom praten we nooit over: wie heeft de encryption keys en wie kan bij de logs, want dáár zit de echte macht en de verleiding om mee te gluren als het spannend wordt. Blokkeren is oké, maar maak dan ook wettelijk dat dit soort kernspul in publiek beheer moet met echte tegenmacht, niet alleen een contract met boeteclausules.

Ik merk dat iedereen het nu over de eigenaar heeft, maar de echte vraag is: wie kan morgen met één admin-account of certificaat de boel “resetten” en wie merkt dat pas als half NL niet meer kan inloggen. Blokkeren voelt goed voor de energie van controle, maar als je keybeheer, logging en incidentrespons niet keihard publiek en transparant organiseert, dan blijft het gewoon dezelfde kwetsbaarheid met een ander logo op de deur. en die geheimhouding van het BTI-rapport… daar gaan mensen juist van aan, want dan voelt het alsof er nóg iets onder de tafel zit.

Typisch dat we pas “publiek belang” roepen als er een Amerikaan op de stoep staat, maar intussen hangt DigiD al jaren aan contracten met boeteclausules en licenties waar je als overheid niet eens fatsoenlijk uit komt. Als Solvinity nu in NL blijft, prima, maar wie betaalt dan de rekening voor alles dubbel uitvoeren, extra audits en her-aanbestedingen? Reken maar dat dat geen €2 miljoen is maar eerder €20-€50 miljoen, en dat verdwijnt straks weer in een projectnaam met 3 consultants en nul resultaat.

goed dat ze ‘m blokkeren, maar hoe kan een partij die zo’n cruciale dienst draait überhaupt “te koop” zijn zonder dat de staat al lang een gouden aandeel of instemmingsrecht heeft geregeld? voelt weer als achteraf brand blussen omdat het nu pas in de krant staat, terwijl je dit soort vitale infra gewoon vooraf dichttimmert in contracten en governance.

Ik merk dat iedereen het heeft over eigendom en wetgeving, maar niemand over vertrouwen: als DigiD straks “gewoon” door een buitenlandse moeder wordt gerund, haken mensen met wantrouwen af en gaan ze weer brieven en balies opzoeken, die energie van onzekerheid voel je meteen in de samenleving. Blokkeer je dit, prima, maar maak dan ook een NL cloud/infra plan waar je trots op kan zijn, anders blijven we elke paar jaar in paniek schieten bij de volgende overname…

Oké blokkeren klinkt stoer, maar wat gebeurt er nu met Solvinity zelf: blijft het dan gewoon in private handen en kan het over 6 maanden aan een andere buitenlandse partij verkocht worden, of komt er eindelijk een structurele “golden share”/instemmingsrecht bij dit soort vitale leveranciers? En dat BTI-advies is geheim, maar de staatssecretaris kan toch wél in algemene termen zeggen of het ging om CLOUD Act, supply chain, key management, personeelstoegang… wat dan precies? Anders is dit vooral Haagse damage control na Kamervragen en een petitie, en mag niemand checken of het risico echt technisch/juridisch was of gewoon politiek. Bron naar die Kamerbrief trouwens?

blokkeren snap ik, maar waar ik echt buikpijn van krijg is dat 17 miljoen mensen dan nog steeds met één DigiD-sleuteltje overal naar binnen moeten… als dat ding lekt of phishers slaan toe ben je alles kwijt. maak het nou standaard met extra check (paspoort/app/face of wat dan ook) voor gevoelige dingen en leer mensen beter herkennen wat nep is, beetje digitale zelfverdediging en niet alleen “wie is de eigenaar”. meer liefde en verbinding begint ook bij elkaar beschermen, hoop dat ze dat nu eindelijk eens serieus gaan doen.