Overname DigiD gaat door; wat nu?

Amerikaanse overname DigiD goedgekeurd

De Autoriteit Consument & Markt (ACM) keurde vorige week de voorgenomen overname van Solvinity door de Amerikaanse techgroep Kyndryl goed, omdat er volgens de toezichthouder geen directe concurrentieproblemen ontstaan door de transactie. Hiermee lijkt een belangrijke stap richting afronding van de deal gezet. Solvinity levert onder meer hosting en cloud-infrastructuur voor DigiD, het centrale digitale inlogsysteem van de Nederlandse overheid waar miljoenen burgers maandelijks gebruik van maken.

ACM-woordvoerders benadrukken dat hun toetsing puur op concurrentie is gericht, en dus niet op nationale veiligheid of digitale autonomie. Volgens de onafhankelijke toezichthouder blijven er na overname voldoende alternatieven voor publieke afnemers van IT-diensten. Dit betekent niet direct dat de overname van DigiD doorgaat, omdat de goedkeuring wordt gedeeld met het Bureau Toetsing Investeringen (BTI), dat juist weer onderzoekt of de overname risico’s kan opleveren voor de nationale veiligheid en continuïteit van kritieke systemen.

Experts wijzen erop dat het beheer van DigiD door een Amerikaanse firma kan betekenen dat Nederlandse persoonsgegevens blootstaan aan Amerikaanse wetgeving en mogelijk gecontroleerd kunnen worden door de Amerikaanse overheid. Aangezien het hier gaat over belastingzaken, zorggegevens en pensioeninformatie, is dit volgens velen niet wenselijk.

Belastingdienst besteedt btw-systeem uit

Tegelijkertijd kwam er ook naar buiten dat de Belastingdienst het btw-verwerkinssysteem uitbesteedt aan het Amerikaanse softwarebedrijf FAST Enterprises. 

Wat aanvankelijk een contract voor softwarelevering leek, omvat nu volledige uitvoering, onderhoud en beheer van het btw-systeem door de Amerikaanse leverancier, met beheer op afstand. Critici waarschuwen dat dit kan leiden tot een aanzienlijke afhankelijkheid van buitenlandse technologie en dat het de digitale autonomie van de Nederlandse overheid ondermijnt, zeker in samenhang met de overname van DigiD.

GroenLinks-PvdA-Kamerlid Barbara Kathmann noemde het plan in de media zelfs ‘onbestaanbaar’ en waarschuwde dat Nederland met deze aanpak een financieel kritieke infrastructuur in handen van een buitenlandse partij legt. Tech-analisten hebben geschetst dat de banden tussen het nieuwe btw-systeem en andere belasting- en staatsapplicaties ook raakvlakken hebben, wat de risico’s kan vergroten.

Wat nu?

Of de overname van DigiD doorgaat en of het btw-verwekingssysteem weer in Nederlandse handen komt, dat is nog de vraag. Als IT-beslisser kan je wel al een aantal dingen doen. Digitale afhankelijkheid is immers geen exclusief overheidsprobleem.

1. Herijk je cloud- en sourcingstrategie

Organisaties doen er goed aan hun cloudarchitectuur opnieuw tegen het licht te houden:
 

• Waar staan kritieke data fysiek opgeslagen?
• Onder welke jurisdictie vallen leveranciers?
• Is er sprake van multi-cloud of single-vendor afhankelijkheid?

Een expliciete risicoanalyse rond geopolitieke afhankelijkheid hoort inmiddels bij volwassen IT-governance.

2. Voorkom onbedoelde vendor lock-in

Contractuele flexibiliteit en technische portabiliteit worden belangrijker dan ooit. Let op:
 

• Open standaarden en interoperabiliteit
• Exit-scenario’s in contracten
• Data-exportmogelijkheden
• Transparantie in beheer en toegang

Zonder exit-strategie is digitale autonomie vooral een papieren ambitie.

3. Integreer juridische toetsing in IT-besluitvorming

IT-architectuur is niet langer alleen een technische discipline. Juridische en compliance-aspecten spelen een steeds grotere rol. Overweeg daarom:
 

• Impactanalyse rond buitenlandse wetgeving (zoals de CLOUD Act)
• Data residency-beleid
• Europese alternatieven of sovereign cloud-oplossingen

Samenwerking tussen IT, legal en risk management wordt structureel noodzakelijk.

4. Denk in scenario’s, niet in aannames

De afgelopen jaren hebben laten zien dat geopolitieke stabiliteit geen vanzelfsprekendheid is. Scenario-planning hoort daarom thuis in strategische IT-planning:
 

• Wat gebeurt er bij sancties?
• Wat als toegang tot bepaalde infrastructuur wordt beperkt?
• Hoe snel kan migratie plaatsvinden?

Digitale infrastructuur is inmiddels net zo strategisch als energie of telecom.

Op naar strategische controle

De overname van DigiD en de uitbesteding van het btw-systeem illustreren hoe IT-beslissingen steeds vaker politieke en geopolitieke implicaties hebben.

Voor IT-professionals en CIO’s betekent dit dat sourcingkeuzes niet langer uitsluitend draaien om kosten, prestaties en schaalbaarheid. Strategische controle, juridische autonomie en exit-mogelijkheden worden minstens zo belangrijk.