Kabinet blokkeert overname DigiD door Amerikanen

Feit is dat je DigiD niet alleen tegen Amerikanen moet beschermen, maar ook tegen onze eigen ondermijning, als criminelen via leveranciers, “consultants” of corrupte schakels mee kunnen kijken ben je net zo ver. In de praktijk zie ik bij elke grote storing meteen gedoe in de zorg, geen portalen, geen herhaalrecepten, mensen die afhaken, dus prima dat ze die overname blokkeren maar regel dan ook een keihard noodspoor dat wél werkt als het misgaat. En dat SKOC-rapport laat vooral zien, veiligheid is niet één knop omzetten, het is continu onderhoud anders vreet het zich overal tussendoor.

Gelukkig geblokkeerd, maar laten we niet doen alsof “Amerikanen buiten de deur” het probleem oplost — we outsourcen hier al jaren alles aan consultants en marktpartijen die op uurtje-factuurtje draaien en dan verbaasd zijn dat de boel lek is. SKOC-rapport zegt eigenlijk hetzelfde: als je de overheid kapotbezuinigt en publieke systemen als business case behandelt, krijg je vanzelf een parallelle macht — oh ja want security is blijkbaar een Excel-sheet.

Goed dat dit is tegengehouden, want bij DigiD gaat het niet alleen om “data”, maar om toegang tot je hele leven en daar hoort gewoon Nederlandse/EU‑jurisdictie bij. Echter als je SKOC-rapport leest, zit het echte risico ook in de laag eronder: wie bouwt en beheert het, wie heeft adminrechten, en hoe snel kun je iemand die rot blijkt eruit knikkeren. Daarentegen hoor je zelden dat er standaard een harde integriteitstoets en doorlopende screening komt voor iedereen met sleuteltoegang, inclusief ingehuurde IT’ers, en dáár win je of verlies je dit gevecht.

snap de blokkade wel, maar kunnen we ook ff eerlijk zijn dat de gemiddelde burger nu al vastloopt in DigiD met wachtwoorden, sms’jes en “probeer het later opnieuw” en dan moet je maar hopen dat je niet nét je zorgtoeslag of verhuizing moet regelen… veiligheid is top, maar maak het ook menselijk en betrouwbaar, want vertrouwen is ook een vorm van liefde en verbinding. hoop echt dat ze dit moment pakken om DigiD simpeler én sterker te maken, niet alleen “niet Amerikaans”.

Wat moet je, blij dat het geblokkeerd is, maar ik ben vooral bang voor de volgende “grote storing” op maandagochtend als half NL moet inloggen voor toeslagen en zorg en dan kan niemand wat. In de winkel zie ik mensen al stressen om een appje, laat staan DigiD, dus zorg dan ook dat je gewoon iemand kan bellen en dat het niet meteen vastloopt.

Terecht geblokkeerd, maar het debat blijft te veel hangen op “Amerikanen” alsof het alleen om nationaliteit gaat. Het echte issue is extraterritoriale wetgeving en cloudketens: als je core identity ergens draait waar een buitenlandse rechter of inlichtingendienst bij kan, ben je je digitale soevereiniteit gewoon kwijt, punt. En als Den Haag dit serieus meent, dan moet je ook stoppen met die halfslachtige constructies met buitenlandse moederbedrijven en “EU datacenter”-stickers, want dat is security theater. SKOC-rapport erbij: ondermijning zit precies in die leverancierslaag waar niemand echt eigenaar is en iedereen naar de contractmanager wijst.

Terecht dat ze die overname blokkeren, maar ik mis één ding in dit hele DigiD-verhaal: we doen alsof “eigendom” het probleem is, terwijl de zwakke plek vaak gewoon de mens achter het scherm is, met een admin-account, een pasje, een vriendje bij een leverancier of een ambtenaar die net iets te veel schulden heeft. In mijn tijd bij de KLM was het simpel: je kunt de beste cockpitdeur hebben, maar als je de sleutel uitdeelt alsof het snoep is, ben je alsnog de pineut, en dat SKOC-rapport schreeuwt eigenlijk dat we in NL veel te soft zijn op integriteit, controles en consequenties. En dan nog wat: als DigiD zó cruciaal is, waarom is het dan niet gewoon een “kritieke infrastructuur” met dezelfde harde eisen als luchtverkeersleiding, inclusief echte noodprocedures en niet alleen een persbericht na de volgende storing…?

In de praktijk vraag ik me vooral af hoe dit überhaupt “te koop” op tafel kon komen bij iets waar je belasting, zorg en je hele dossier mee open klikt, dat hoort gewoon niet in dezelfde categorie als een random IT-bedrijf. En als ze nu toch ingrijpen, maak dan meteen die inlog ellende minder breekbaar, want elke keer dat DigiD eruit ligt kan je hele leven dus even niet verder.

Men vergeet gemakkelijk dat zo’n verbod alleen iets zegt over eigendom, niet over afhankelijkheid: als DigiD ondertussen op Amerikaanse software, updates en certificaten draait, ben je nog steeds één politieke ruzie of exportregel verwijderd van ellende. En dat SKOC-rapport over ondermijning raakt precies de zenuw: de zwakke plek is vaak geld en chantage, dus begin eens met keiharde schuldenchecks en leefstijltoezicht voor mensen met sleuteltoegang, ook bij de “netjes ingehuurde” partijen. Anders blokkeren we een overname en laten we de achterdeur wagenwijd open staan.