Podcast De Dag: DigiD-gate ontleed

DigiD en MijnOverheid aan een Amerikaans bedrijf geven, dat is alsof je je huissleutel aan de eerste de beste toerist op het Hoofdstation meegeeft “omdat ie zo’n nette jas aan heeft”. En dat kabinet grijpt niet in omdat iedereen eerst 6 memo’s, 3 werkgroepen en een “impactanalyse” wil, tot het misgaat en we ineens moeten doen alsof niemand het zag aankomen.

Het hele “kabinet kan niet ingrijpen want procedures” verhaal is ook een soort morele outsourcing: alsof verantwoordelijkheid pas begint ná de ACM en een auditrapport. DigiD is geen marktproduct maar een publieke relatie tussen burger en staat, en die relatie verkoop je nu feitelijk door aan aandeelhouderslogica die per definitie elders woont. Paradoxaal dat we privacy steeds framen als “data”, terwijl het hier gaat om vertrouwen als infrastructuur: wat zegt dat over ons dat we dat vertrouwen blijkbaar prima in een M&A-deck laten passen??

Ach ze lullen over CLOUD act en lock-in maar niemand heeft het over continuiteit: als zo’n Amerikaanse toko ruzie krijgt met z’n bank of een sanctie aan z’n broek, ligt jouw DigiD er zomaar uit en kan je niet eens meer je toeslag of paspoortzaak regelen toch

Tsja, iedereen roept CLOUD Act en lock-in, maar het gaat ook gewoon om continuïteit: als er gedoe is met die nieuwe eigenaar, wie draait dan ’s nachts de boel weer op zodat mensen hun toeslag of zorg kunnen regelen? Op een schip verkoop je de stuurhut ook niet aan een investeerder “met SLA”, want als het misgaat sta je zelf in de mist.

Wat ik mis in de hele “VS-bedrijf eng” discussie: het echte risico zit ook in governance en continuïteit. Als die eigenaar straks reorganiseert, failliet gaat of gewoon besluit “dit product past niet meer”, dan heb je als staat een identiteitsketen die je niet even in 3 maanden opnieuw bouwt; migraties van auth/PKI en koppelingen met honderden loketten duren zo 2-5 jaar. Waarom ligt er niet al lang een wettelijk verplicht exitplan + periodieke “we kunnen morgen weg”-test, net zoals bij banken stresstests?

klopt dat het vooral vaag blijft wát er nou precies “overgenomen” wordt, maar als burger maakt me dat eerlijk gezegd nog onrustiger: als niemand het helder kan uitleggen, hoe moet je dan controleren waar je inlog en je berichten straks landen? En dat kabinet “kan niet ingrijpen” is vaak gewoon: contract loopt, leverancier heeft de mensen/kennis en we durven de stekker er niet uit te trekken omdat dan alles stilvalt.

los van al die CLOUD-act en lock-in discussies: dit gaat ook gewoon over basisvertrouwen van burgers hè, ik wil niet dat ik straks bij een lek hoor “sorry, was een dochterbedrijf in Delaware” terwijl ik nergens anders kan inloggen voor m’n toeslagen. en waarom voelt het altijd alsof we pas wakker worden als het al verkocht is… zet dan nu gewoon in de wet: digitale identiteit = publiek, niet verhandelbaar, klaar.