ACM keurt overname van DigiD-beheerder Solvinity door Amerikaanse partij goed

Update: 26-05-2026

De politieke en maatschappelijke onrust rond DigiD heeft een hoogtepunt bereikt nu staatssecretaris voor Digitale Economie Willemijn Aerdts (D66) heeft besloten de voorgenomen overname van IT-dienstverlener Solvinity door het Amerikaanse technologieconcern Kyndryl te verbieden. Aanleiding voor het besluit is een negatief advies van het Bureau Toetsing Investeringen (BTI), de overheidsinstantie die onderzoekt of buitenlandse investeringen of overnames risico’s kunnen opleveren voor de nationale veiligheid, digitale autonomie en vitale infrastructuur van Nederland.

Volgens het BTI brengt de overname mogelijk risico’s met zich mee voor het publieke belang en voor de controle over essentiële digitale voorzieningen van de Nederlandse overheid. Daarmee ontstaat voor het kabinet een juridische basis om in te grijpen en de overname tegen te houden.

Solvinity speelt een belangrijke rol binnen de digitale infrastructuur van de Nederlandse overheid. Hoewel DigiD eigendom blijft van overheidsorganisatie Logius, verzorgt Solvinity delen van de technische hosting- en infrastructuurdiensten die nodig zijn om het systeem betrouwbaar en continu te laten functioneren. DigiD geldt als een cruciale voorziening binnen de Nederlandse samenleving: miljoenen burgers gebruiken het systeem voor toegang tot onder meer de Belastingdienst, gemeenten, UWV, zorginstanties en andere overheidsdiensten.

De voorgenomen overname door Kyndryl leidde de afgelopen maanden tot grote zorgen in de Tweede Kamer, onder cybersecurityspecialisten, privacyorganisaties en diverse experts op het gebied van digitale soevereiniteit. De kern van de kritiek was dat een Nederlands bedrijf met een sleutelrol in de digitale overheidsinfrastructuur onder Amerikaans eigendom zou komen te vallen. Daarbij werd gewezen op Amerikaanse wetgeving, waaronder de CLOUD Act, die Amerikaanse autoriteiten onder bepaalde omstandigheden toegang kan geven tot gegevens die worden beheerd door Amerikaanse ondernemingen, ook wanneer die gegevens buiten de Verenigde Staten zijn opgeslagen.

Critici stelden dat Nederland hierdoor afhankelijker zou kunnen worden van buitenlandse wetgeving en geopolitieke verhoudingen. Verschillende deskundigen waarschuwden dat een vitale digitale voorziening als DigiD zoveel mogelijk onder Nederlandse of Europese controle zou moeten blijven om risico’s rond buitenlandse inmenging, politieke druk of juridische conflicten te beperken. Daarbij werd benadrukt dat het niet alleen gaat om feitelijke toegang tot data, maar ook om strategische afhankelijkheid van buitenlandse technologiebedrijven.

In de Tweede Kamer ontstond vrijwel unanieme politieke weerstand tegen de overname. Vrijwel alle partijen, met uitzondering van JA21, spraken uit dat het kabinet alles moest doen om de transactie te blokkeren. Kamerleden drongen er daarnaast op aan alternatieven te onderzoeken, waaronder het onderbrengen van de infrastructuur bij een volledig Nederlandse publieke of Europese partij. Tegelijkertijd lag de zaak juridisch ingewikkeld, omdat een overname niet zomaar verboden kan worden zonder een formeel negatief oordeel van toezichthouders zoals de Autoriteit Consument & Markt (ACM) of het BTI.

De ACM gaf eerder al aan geen concurrentieproblemen te zien in de overname en keurde de transactie vanuit mededingingsperspectief goed. Daarmee kwam de nadruk volledig te liggen op de nationale veiligheids- en autonomieaspecten die door het BTI werden onderzocht.

Het kabinet lag ondertussen onder vuur omdat Logius kort geleden nog een contractverlenging met Solvinity had overeengekomen. Tegenstanders zagen dat als tegenstrijdig, omdat tegelijkertijd grote zorgen bestonden over de mogelijke Amerikaanse overname. Voorstanders van continuering wezen erop dat een onmiddellijke overstap naar een andere leverancier technisch complex en risicovol zou kunnen zijn voor de continuïteit van DigiD.

Met het negatieve BTI-advies heeft staatssecretaris Aerdts nu alsnog besloten de overname te blokkeren. Het besluit wordt gezien als een belangrijk politiek signaal dat Nederland kritischer kijkt naar buitenlandse invloed op vitale digitale infrastructuur. De kwestie heeft bovendien het bredere debat over digitale onafhankelijkheid in Europa verder aangewakkerd. Zowel in de politiek als binnen de cybersecuritywereld klinkt al langer de roep om minder afhankelijk te worden van grote Amerikaanse technologiebedrijven voor essentiële overheidsdiensten en gevoelige data.

Daarnaast ontstond extra onrust door berichtgeving over onderzoeken en interne problemen bij Kyndryl in de Verenigde Staten. Daarbij werd melding gemaakt van onderzoek naar mogelijke onregelmatigheden binnen het concern en het vertrek van meerdere topfunctionarissen. Hoewel niet duidelijk is in hoeverre die ontwikkelingen direct hebben meegewogen in het Nederlandse besluit, droegen ze volgens critici wel bij aan de zorgen over stabiliteit, toezicht en betrouwbaarheid.

De affaire rond Solvinity en DigiD wordt inmiddels gezien als een van de belangrijkste Nederlandse discussies van de afgelopen jaren over digitale autonomie, nationale veiligheid en de vraag in hoeverre vitale digitale systemen nog afhankelijk mogen zijn van buitenlandse commerciële partijen.

Door: Drifter

Update: 05-06-2026

Nederland kan bij toekomstige aanbesteding DigiD-hosting niet-EU-bedrijven uitsluiten om nationale veiligheid beter te waarborgen

De Nederlandse overheid krijgt bij de toekomstige aanbesteding voor de hosting van DigiD meer mogelijkheden om bedrijven van buiten de Europese Unie uit te sluiten. Dit blijkt uit een brief van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties aan de Tweede Kamer. De maatregel hangt samen met het belang van DigiD als essentieel onderdeel van de digitale infrastructuur van de Nederlandse overheid en met zorgen over de bescherming van gevoelige persoonsgegevens en nationale veiligheidsbelangen.

DigiD vormt de digitale toegangspoort voor miljoenen Nederlanders tot overheidsdiensten. Via het systeem kunnen burgers onder meer inloggen bij gemeenten, de Belastingdienst, zorginstellingen en andere publieke organisaties. Ook diensten zoals MijnOverheid zijn afhankelijk van een veilige en betrouwbare digitale infrastructuur. Omdat hierbij grote hoeveelheden persoonsgegevens worden verwerkt, worden de eisen aan de hostingomgeving en de betrokken leveranciers steeds strenger.

Het huidige hostingcontract is ondergebracht bij Solvinity. Eerder werd dit contract al met twee jaar verlengd, waardoor de overeenkomst doorloopt tot augustus 2028. In aanloop naar het aflopen van deze overeenkomst werkt uitvoeringsorganisatie Logius inmiddels aan de voorbereidingen voor een nieuwe aanbestedingsprocedure.

Volgens staatssecretaris Eric van der Burg zal deze aanbesteding niet via een reguliere Europese aanbestedingsprocedure verlopen, maar via de Aanbestedingswet op Defensie- en Veiligheidsgebied (ADV). Deze wet biedt overheidsorganisaties extra mogelijkheden om risico’s voor de nationale veiligheid mee te wegen bij de selectie van leveranciers. Daardoor kunnen aanvullende voorwaarden worden gesteld aan bedrijven die willen deelnemen aan de aanbesteding.

Een belangrijk gevolg hiervan is dat ondernemingen die niet in een lidstaat van de Europese Unie zijn gevestigd, onder bepaalde omstandigheden kunnen worden uitgesloten van deelname. De overheid krijgt daarmee meer ruimte om rekening te houden met geopolitieke risico’s, buitenlandse invloed en de bescherming van kritieke digitale systemen. Het doel is te voorkomen dat essentiële overheidsdiensten afhankelijk worden van partijen waarop mogelijk minder directe Europese regelgeving of toezicht van toepassing is.

De kwestie kreeg extra aandacht nadat bekend werd dat een Amerikaanse partij op het punt stond Solvinity over te nemen. Hoewel het huidige contract daardoor niet direct veranderde, leidde de situatie tot vragen over de mate waarin vitale digitale overheidsvoorzieningen afhankelijk mogen zijn van ondernemingen die uiteindelijk onder buitenlandse zeggenschap vallen. De nieuwe aanbestedingsaanpak moet de overheid meer mogelijkheden geven om dergelijke risico’s vooraf te beoordelen en waar nodig te beperken.

Naast de voorbereidingen voor de nieuwe aanbesteding worden ook aanvullende beveiligingsmaatregelen genomen. Deze maatregelen volgen op een kwetsbaarhedenscan waarvan de resultaten niet openbaar zijn gemaakt. Uit voorzorg worden verschillende onderdelen van de digitale infrastructuur verder versterkt.

Zo wordt de bescherming van persoonsgegevens binnen DigiD en MijnOverheid uitgebreid door verbeterde versleutelingstechnieken toe te passen. Hierdoor worden gegevens beter beschermd tegen ongeautoriseerde toegang, zowel tijdens opslag als bij verwerking binnen de systemen.

Daarnaast worden extra back-upvoorzieningen ingericht in een ander overheidsdatacenter. Door gegevens op meerdere locaties veilig beschikbaar te houden, wordt de weerbaarheid tegen storingen, technische incidenten en andere verstoringen vergroot. Deze maatregel moet bijdragen aan de continuïteit van essentiële overheidsdiensten, zelfs wanneer zich onverwachte problemen voordoen op een van de bestaande locaties.

Ook de monitoring van het hostingplatform wordt verder aangescherpt. Het aantal detectieregels waarmee verdachte activiteiten, mogelijke aanvallen en afwijkend systeemgedrag worden opgespoord, wordt uitgebreid. Hierdoor kunnen beveiligingsincidenten sneller worden gesignaleerd en kunnen passende maatregelen eerder worden genomen.

De overheid benadrukt dat de combinatie van strengere aanbestedingsvoorwaarden, aanvullende beveiligingsmaatregelen en een versterkte monitoring moet bijdragen aan een hogere mate van digitale weerbaarheid. Gezien de centrale rol van DigiD en MijnOverheid binnen de Nederlandse digitale overheid wordt het beschermen van deze systemen beschouwd als een belangrijk onderdeel van de nationale veiligheidsstrategie.

De Tweede Kamer zal opnieuw worden geïnformeerd zodra de aanbestedingsprocedure is afgerond en duidelijk is welke partij vanaf 2028 verantwoordelijk wordt voor de hosting van de DigiD-infrastructuur. Daarbij zal ook worden toegelicht op welke wijze de veiligheids- en continuïteitseisen zijn meegewogen bij de uiteindelijke keuze van de nieuwe leverancier.

Door: Drifter