Staatssecretaris verbiedt Amerikaanse overname Solvinity, bedrijf achter DigiD

Eindelijk een keer een overheid die snapt dat “privacywetgeving” niks waard is als een Amerikaanse moederclub via Cloud Act/FISA gewoon kan gaan duwen en trekken aan onze digitale voordeur. DigiD is kritieke infrastructuur, geen speelgoed voor een overnamefeestje; je zet toch ook je waterleiding niet onder buitenlands beheer?? Nu wel doorpakken: eigen Europese/NL cloud met echte controle, anders blijven we dit soort brandjes blussen terwijl het ecosysteem van vertrouwen verder afbrokkelt.

Goed dat het verboden is, maar laten we niet doen alsof “Nederlands” automatisch veilig is: Solvinity zat al in Britse handen en ondertussen draaien we half Den Haag op Amerikaanse softwarelagen waar je ook geen democratische grip op hebt. Het echte probleem is dat we identiteit hebben omgebouwd tot een logistiek systeem (inloggen, doorzetten, koppelen) en dan pas schrikken als iemand de sleutelbos wil kopen. paradoxaal hoe we soevereiniteit roepen, maar jarenlang vooral op prijs en gemak hebben aanbesteed… wat zegt dit over ons dat vertrouwen een inkoopcategorie is geworden?

Goed dat ze ’m blokkeren, maar ik hoop wel dat iemand nu ook ff kijkt naar de praktijk: op het gemeentehuis staat DigiD er weer eens uit en dan mag je “later terugkomen”, terwijl wij allemaal doen alsof het een stopcontact is. Kritiek infrastructuur is niet alleen wie de eigenaar is, maar ook of het dinsdagmiddag gewoon werkt zonder dat heel Nederland in de wachtrij staat.

Goed dat ze ’m blokkeert, maar het ongemakkelijke punt is: we doen alsof het probleem “Amerika” is, terwijl we intussen overal private partijen tussen burger en staat hebben gezet en dan verbaasd zijn dat die partijen ook macht hebben. Enerzijds wil je digitale soevereiniteit, anderzijds heb je ’m de afgelopen 15 jaar weg-geoutsourcet omdat het lekker efficiënt leek, en nu moet de politiek ineens stoer doen met een veto. En Kyndryl roept “gepolitiseerd” ja duh: DigiD is geen printerpark, dat is de sociale sleutel tot meedoen, dus eigendom is hier gewoon macht macht. Benieuwd of er nu ook eens geld komt voor een publieke/Europese identiteit-stack i.p.v. weer een nieuwe aanbestedingsronde met mooie powerpoint en dezelfde afhankelijkheid in een ander jasje.

snap de angst voor amerika, maar op de werkvloer zie ik vooral dit: als DigiD eruit ligt of iemand z’n telefoon kwijt is, dan kan je dus letterlijk niet meer “bestaan” bij instanties en loopt alles vast van toeslagen tot zorg. Zet die energie niet alleen in eigendom blokkeren, maar zorg voor een fatsoenlijke offline noodroute en hulpbalie, want nu is één storing genoeg om kwetsbare mensen weer de afgrond in te duwen.

Juridisch gezien is dit gewoon de Vifo-wet in actie: als BTI “onaanvaardbaar risico” zegt, kan de staatssecretaris de facto weinig anders dan blokkeren, en Kyndryl kan dan hooguit nog procederen over motivering/proportionaliteit. Maar iedereen staart zich blind op nationaliteit; de echte vraag is of de Staat überhaupt harde contractuele controle heeft op encryptiesleutels, admin-toegang, auditrechten en een onmiddellijke step-in/overname bij incidenten, mits de leverancier gaat dwarsliggen. Als dat niet strak is dichtgetimmerd, ben je ook met een EU-eigenaar gewoon afhankelijk van goodwill en SLA’s.

Tsja, eigendom blokkeren is mooi, maar ik wil vooral weten wie er straks om 03:00 uur opneemt als het misgaat en waar de backups en sleutels fysiek staan. In de binnenvaart noem je dat gewoon: wie heeft de hand aan de afsluiter als het water stijgt.

Nou ja, blokkeren prima, maar wanneer gaan ze eens eisen dat DigiD niet afhankelijk is van één club én één appje op je telefoon, ik zie zat mensen die gewoon vastlopen met nieuw toestel, sms doet het niet, helpdesk onbereikbaar, en dan sta je daar bij de huisarts of het UWV hoor. maak het robuust en simpel, desnoods met een fysieke kaart of balie die wél werkt, want “publiek belang” is ook dat je dinsdagavond gewoon kunt inloggen, toch.

Ik zeg het al jaren: ze doen nu stoer met “publiek belang”, maar ondertussen hebben ze DigiD zó gebouwd dat je overal doorheen MOET en alles aan elkaar geknoopt is, en dan pas schrikken ze wakker als een Amerikaan wil kopen… ik was zelf ook zo dat ik dacht “ach, AVG en toezicht, komt goed”, tot je ziet hoe snel privacy ineens een voetnoot is als er belangen spelen. En sorry hoor, als ex-zorg: al die koppelingen met zorgverzekeraars en pensioenfondsen zijn precies wat je niet in één commerciële cloud-bak moet willen, want als het misgaat (hack, storing, of gewoon druk van buitenaf) ligt meteen het halve leven van mensen open of plat!!

leuk dat ze nu stoer doen met een veto maar zolang digid nog steeds in je browser met 12 trackers en half nederland via “inloggen met digid” op random externe portalen wordt doorgestuurd is het gewoon security theater en wachten we op de volgende datalek speedrun rip