Rel rond DigiD bereikt climax: staatssecretaris verbiedt overname door Amerikaanse onderneming

DigiD is geen hip start-upje maar de sleutel van de voordeur van de staat; daar laat je geen Amerikaanse aandeelhouder tussen, punt. We hebben al genoeg ellende gezien met “cloud first” en contracten waar je als overheid later niet meer onderuit komt. Ben wel benieuwd waarom dit pas bij de climax wordt verboden: was er echt niemand die eerder bedacht dat identiteit en buitenlandse jurisdictie niet lekker mengen??

Goed dat het nu verboden wordt, maar het echte probleem zit ’m niet alleen in “Amerikaans” of “buitenlandse jurisdictie”, het is dat we DigiD überhaupt als een soort leverancierstrucje zijn gaan zien in plaats van kritieke infrastructuur waar je zélf de touwtjes in handen houdt, inclusief broncode, sleutelbeheer en noodprocedures als er morgen een ruzie is over geld of aansprakelijkheid. In mijn tijd bij de KLM had je voor vluchtplannen en crew-systemen ook altijd die vendors die zeiden “geen zorgen, wij regelen het”, tot er een storing was op zaterdagavond en je ineens merkte dat je afhankelijk bent van een helpdesk in een andere tijdzone en een contract vol kleine lettertjes. En ondertussen blijft iedereen doen alsof DigiD alleen een inlogscherm is, terwijl het gewoon de toegangspoort is tot belasting, zorg, uitkeringen, noem maar op; als je dit serieus neemt, hoort het in een staatsbedrijf of op z’n minst onder keiharde eisen dat je het morgen zelf kunt draaien zonder die leverancier.

Men vergeet gemakkelijk dat zo’n overnameverbod nog niks zegt over wat er al in de keten hangt: Amerikaanse libraries, supportclubs, audittools, misschien zelfs hosting via een omweg; dan heb je nog steeds de CLOUD Act aan je broek, alleen met een Hollands stickertje erop. En waarom horen we nu pas wie de toezichthouder was die dit had moeten zien aankomen, en welke ambtenaar het “geen issue” vond tot het politiek te heet werd?? Als DigiD echt staatskritiek is, dan wil ik ook transparantie over de contracten en de afhankelijkheden, niet alleen een stoer persbericht.

Verbieden is leuk, maar juridisch gezien is dit ook gewoon schadebeperking: zodra zo’n club Amerikaans wordt, krijg je discovery/subpoena-gedoe en CLOUD Act-risico’s waar je met “contractueel afgesproken” precies niks tegenin brengt. Ten tweede: waarom is dit überhaupt overnamebaar als het de toegang tot belasting/zorg is; zet dan in de wet dat de identiteitstack (incl. BSN-koppelingen, authenticatie en sleutelbeheer) onder een niet-verhandelbare publieke entiteit valt, anders speel je elk jaar hetzelfde toneelstukje maar ok.

Juridisch gezien is zo’n overnameverbod vooral een bestuursrechtelijke pleister; de echte vraag is wat er in de contracten staat over escrow, step-in rights en audit/recht op broncode bij “change of control”. Als de leverancier nu al een exit-clausule of prijsherziening heeft bij overname/verbod, dan betaalt de staat straks alsnog de facto afkoopsom of “transitiefee”, alleen heet het dan geen overname maar continuïteit. Benieuwd of de Kamer ook die stukken krijgt, want zonder dat blijft het stoer doen met een persbericht.

Ja jong, allemaal druk om “Amerikaans”, maar ik wil vooral dat DigiD niet elke keer plat ligt of weer een storing heeft net als ge iets met toeslagen moet regelen. Maak het voor gewone mensen gewoon betrouwbaar en met een fatsoenlijke telefoonlijn die opneemt, want nou zit ge weer met paniek en wachtwoorden en niemand die helpt.

Hier op het land: als mijn melktank of voercomputer het niet doet, kan ik altijd nog handmatig melken/voeren en desnoods de monteur uit de buurt bellen. Met DigiD kan de burger niks, je zit gewoon op slot bij toeslagen, zorg en gemeente, en dan moet je dus ook een simpele noodroute hebben die wél werkt zonder app of “storing bij leverancier”. Verbieden van zo’n overname oké, maar regel dan meteen dat je bij uitval gewoon aan een balie of via telefoon fatsoenlijk geholpen wordt, anders is het straks weer: sorry meneer, probeer het maandag nog eens...