Kamer baalt vrijwel unaniem dat DigiD in Amerikaanse handen dreigt te vallen, maar is machteloos

Dat “machteloos” is precies het probleem: we hebben DigiD jarenlang als nutsvoorziening gebruikt, maar het juridisch behandeld als een willekeurig ICT-contractje dat je aan de markt overlaat. En dan verbaasd doen dat de VS via hun CLOUD Act straks gewoon kan meegrabbelen als er ergens een server of moederbedrijf onder Amerikaans recht valt; succes met je “waarschuwen”. Maak dit gewoon staatskritische infrastructuur met een Nederlandse (of desnoods EU-) beheerder en een gouden aandeel, anders is privacy hier een hobby en geen recht.

Vanuit het buitenland gezien is dit weer typisch NL: jaren “marktwerking” en managers met PowerPoints, en als het misgaat staat de Kamer ineens met grote ogen te roepen dat ze machteloos zijn. DigiD is geen hip appje maar de sleutel tot je hele leven, en toch hebben ze blijkbaar nergens een plan B of een simpele exit-clausule geregeld… tja, dan kun je nu waarschuwen tot je blauw ziet en de VS lacht zich rot.

Los van “VS kan meekijken”: het echte risico is ook gewoon continuïteit en lock-in. Als zo’n nieuwe eigenaar besluit te snijden, prijzen op te schroeven of support te verhuizen, dan zit je met de inlog voor belasting/uitkeringen/zorg die ineens hapert en niemand kan ingrijpen. En die CLOUD Act is niet eens het enige; ook metadata en beheertools (logging, monitoring) zijn vaak genoeg om een profiel te bouwen, zelfs als data “in NL” staat… waarom is er geen harde eis: broncode/keys/operatie onder NL/EU-recht en een noodknop om het over te nemen?

“Machteloos” is vooral zelfgekozen: bij dit soort overnames heb je in NL én EU gewoon instrumenten (screening vitale aanbieders, NIS2-achtige eisen, vergunning/contractvoorwaarden) maar dan moet je ze wél vooraf inbouwen i.p.v. achteraf piepen. En dat CLOUD Act-spook is maar de helft; als je operationele toegang, updates en incidentrespons onder US control zet, ben je bij de eerste ransomware-avond al gijzelaar van een board meeting in Texas. Zet er dan tenminste harde eisen op: keys en adminrechten onder NL/EU-recht, audit/escrow, en een echte step-in clause zodat de Staat kan overnemen als het misgaat, anders is dit weer “marktwerking” tot het breekt.

Even serieus: als DigiD straks via een US-owner te “subpoena’en” is, dan is dat niet alleen privacy-gejank maar gewoon nationale security en ook economisch risico; één geopolitieke ruzie of sanctieronde en je hele overheidslogin hangt aan een boardroom in de VS. En de markt ziet dit ook hoor: als NL dit laat gebeuren stijgt de risicopremie op alles wat “digitale overheid” raakt, dus uiteindelijk betalen we weer consultancy-miljarden omdat iemand ooit goedkoop wilde outsourcen… bullish voor Solvinity, bearish voor vertrouwen.

machteloos my ass als mijn ov chipkaart bij een overname ineens niet meer werkt staat heel amsterdam in brand maar bij digid de sleutel van je hele bestaan doen ze schouderophalen en zeggen ja contractje jammer dan echt bestuur op windows xp vibes rip

“Machteloos” is gewoon onzin: als de Staat morgen zegt “DigiD mag alleen draaien onder NL/EU-recht, anders trekken we de opdracht/vergunning in”, dan is die overname ineens héél bespreekbaar. En los van de CLOUD Act: als je identity-provider in US-handen valt, kan je hele rechtsbescherming (AVG, Wob/Woo, logging, audits) praktisch verdampen omdat je bij elk incident achter een buitenlandse board en hun advocaten aan mag… maar ok, blijf vooral doen alsof dit een normaal bedrijfje is en niet de sleutel tot ieders dossier.