Experts eisen inzicht in verkoop Nederlandse DigiD-hoster aan Amerikaans Kyndryl

Een groep wetenschappers, opiniemakers, privacyvoorvechters en journalisten eist inzicht in de geplande overname van het Nederlandse cloudbedrijf Solvinity door het Amerikaanse techbedrijf Kyndryl. Solvinity draait onder meer DigiD, waarmee Nederlanders zich digitaal identificeren.

De stichtingen Privacy First en The Firewall en een groep opiniemakers, wetenschappers en andere experts willen zo snel mogelijk duidelijkheid van het Bureau Toetsing Investeringen over de geplande overname. "We tasten compleet in het duister", zegt initiatiefnemer Eric Smit in de Volkskrant. Die journalist is medeoprichter van Follow the Money en bestuursvoorzitter bij Firewall, een nieuw platform voor onderzoeksjournalistiek.

De verenigde experts maken zich zorgen over de koop van Solvinity door Kyndryl. Het Nederlandse bedrijf, dat sinds 2019 in handen is van de Britse investeerder Vitruvian Partners, biedt clouddiensten aan onder meer de Nederlandse overheid, die daar DigiD draait. Het portfolio van Solvinity omvat hybride en privéclouds, maar beoogd koper Kyndryl claimt ook soevereine clouds te bieden. Het Amerikaanse bedrijf valt wel onder de Cloud Act van de Verenigde Staten, waarmee de Amerikaanse overheid data bij bedrijven kan vorderen, ook als die data in het buitenland is opgeslagen.

Gevaar van cloudblokkades

Naast het risico dat Nederlandse data in handen van de regering van de VS komt, is er het gevaar dat de Amerikaanse overheid digitale dienstverlening kan blokkeren, zoals het kritieke DigiD. "Als een deel van onze vitale digitale infrastructuur in Amerikaanse handen wordt gelegd, vergroot dit de kwetsbaarheid van Nederland voor uitval, manipulatie of zelfs chantage", schrijft de groep experts nu in een brandbrief aan de minister van Economische Zaken.

De huidige ontwikkelingen in de VS onder de regering van Donald Trump maken deze kwestie volgens hen nog veel urgenter. Het afsluiten van clouddiensten voor rechters van het Internationaal Strafhof (ICC) in Den Haag is een praktijkvoorbeeld van de afhankelijkheid, het risico, de impact en de reikwijdte van Amerikaanse grip op technologiegebruik in andere landen. De regering-Trump legde afgelopen jaar meerdere ICC-rechters sancties op.

'Onterecht vertrouwen in voormalige bondgenoten'

Terwijl het ICC nu stappen zou zetten om over te stappen van het Amerikaanse Microsoft naar de Duitse software openDesk, lijkt de verkoop van Solvinity een tegengestelde beweging. De groep experts die met de brandbrief transparantie eist, meent dat de Nederlandse overheid dit niet goed ziet of beseft. Initiatiefnemer Smit beticht de demissionaire staatssecretaris voor Digitalisering van 'overdreven vertrouwen in onze voormalige Amerikaanse bondgenoten, inclusief de bedrijven'.

Volgens Smit is dat vertrouwen van de demissionaire bewindsman 'volkomen onterecht'. "We mogen niet leunen op ondernemingen die de autoritaire aspiraties van hun regering openlijk steunen." Hoogleraar Reijer Passchier, die een van de ondertekenaars van de brandbrief is, legt uit dat technologie een breekijzer is geworden in internationale machtsstrijd. Hij waarschuwt dat de soevereiniteit van Nederland en de daarop gebaseerde democratische rechtsstaat 'in groot gevaar zijn'.

Reacties (117)

[NEK]

Ik begrijp hier echt wederom niets van want het betreft heir geen technisch detail of contractkwestie maar een hele belangrijke soevereiniteitsvraag. DigiD is vitale nationale infrastructuur want het is de primaire digitale toegangspoort tot belastingen, zorg, justitie en sociale zekerheid. Systemen zoals dezen en van dit niveau vallen inhoudelijk onder wat in EU- en nationaal recht wordt aangemerkt als essentiële diensten (o.a. NIS2-richtlijn 2022/2555). De verkoop van een Nederlandse DigiD-hoster aan een Amerikaans bedrijf creëert wederom en het zoveelste structurele juridisch risico dat niet kan worden dichtgecontracteerd.

De Amerikaanse CLOUD Act is geen theoretisch scenario maar afdwingbaar Amerikaans recht. Amerikaanse bedrijven zijn verplicht om data, metadata en technische toegang te verstrekken aan Amerikaanse autoriteiten, ongeacht waar die data fysiek staat of wie er mee bediend wordt. Europese contracten of "data blijft in Nederland" veranderen daar juridisch echt helemaall niets aan. Ook beheersinterfaces, logs en systeemtoegang vallen hieronder. EN dit is wederom exact het probleem dat door het Hof van Justitie van de EU in Schrems II is vastgesteld, wanneer derde-landwetgeving overheidsinzage toestaat zonder gelijkwaardige rechtsbescherming, is er geen adequaat beschermingsniveau, ongeacht aanvullende technische of contractuele maatregelen.

AVG-compliance (my ass) is hier dus wederom onvoldoende. De AVG vereist bij doorgifte naar derde landen een gelijkwaardig beschermingsniveau en dat bestaat aantoonbaar niet bij Amerikaanse surveillancewetgeving zoals de CLOUD Act en FISA 702. Dat is herhaaldelijk bevestigd door Europese toezichthouders en de EDPB. SCC’s, audits en toezichtsmechanismen lossen dit niet op zolang buitenlandse wetgeving toegang kan afdwingen. Verwijzingen naar strenge contracten en toezicht missen daarom de kern en slaan de plank mis. Contracten werken achteraf. Soevereiniteit vereist preventieve zeggenschap omdat simpelweg staatsveiligheid is geen SLA-vraagstuk.

Als Nederland nu eens een keer een digitale autonomie werkelijk serieus zou nemen, dan had de overheid moeten ingrijpen door de overname te blokkeren of te toetsen als strategische infrastructuur, zelf overnemen of onderbrengen bij een publieke entiteit, of minimaal een gouden aandeel of vetorecht behouden. Andere landen doen dit expliciet bij kritieke infrastructuur. Nederland niet, en dat is een beleidskeuze en lopen weer achter de feiten aan, de zoveelste

Dit gaat niet over vertrouwen in een leverancier maar over juridische macht. Zolang buitenlandse wetgeving toegang kan afdwingen tot systemen die de kern van de Nederlandse digitale identiteit vormen,is er geen sprake van digitale onafhankelijkheid. Dat is geen mening, maar een juridisch vastgesteld feit.

Dus.............

[debom]

Inmiddels zijn drie petities gestart die ik zo snel kon vinden, waarvan twee het meest ondertekend worden:
https://petities.nl/petitions/stop-de-overname-van-onze-digid-partner-onze-digitale-identiteit-niet-als-handelswaar?locale=nl
https://petities.nl/petitions/bescherm-digid-data-en-staatsveiligheid-stop-de-amerikaanse-overname-solvinity?locale=nl

[NEK]

Ik snap dat mensen een petitie starten maar dat is achteraf. Onze Nederlandse regering is niet capabel of ze willen gewoon weg simpel niet nadenken. Het is spijtig te zien dat de Nederlandse regering zo enorm laks is......

[R_Zwart]

Ik denk dat ze juist wel capabel zijn en dat maakt het mogelijk nog erger. Gezien alle discussies die er nu al een tijdje lopen en dat het hele proces gewoon doorgaat doet vermoeden dat ze het wel prima vinden dat het naar de Amerikanen gaat.

[Fishbeast]

[quote]Ik denk dat ze juist wel capabel zijn[/quote]

De gang van zaken spreekt dit juist tegen. Gezien de richtlijnen die gelden, opgesteld door onze overheid, zoals @NEK duid, in de vorm van o.a. de NIS2, houden ze zichzelf niet aan de richtlijn door deze overname goedgekeurd te hebben.

De overname van deze kritike infrastructuur had getoets moeten worden tegen deze richtlijnen en dan was de conclusie automatisch 'dit mag niet' geweest. Door dit niet gedaan te hebben, óf de uitkomst van deze toetsingen te negeren, laat de overheid alleen maar zien dat ze niet capabel zijn geweest, in deze.

[RSH]

Ze zouden zich aan de richtlijnen houden als de directe harde consequentie zou zijn dat door deze overname elke hosting, dienstverlening, service enz. tot een einde zou komen en een duidelijke exit bepaald was waardoor de data beschermd zou blijven.

Ik “vermoed” echter dat hier op geen enkel vlak sprake van is.

[Dragon_Lee]

Sterker nog dat had juist de "contractuele bescherming" moeten zijn waar ze nu over spreken als wanneer het al in buitenlandse handen zou zijn.

Het is ronduit raar dat het niet waterdicht vastgelegd is dat bij een overname van het cloud bedrijf alle gehoste overheidsdiensten en gegevensopslag gestopt wordt en bij een vertrouwde landelijke partij ondergebracht wordt.

Waarschijnlijk was de hele overname dan niet eens "doorgegaan", maar goed.

Sowieso lijkt het mij veel wenselijker om dergelijke infrastructuur gewoon bij de overheid zelf te hosten.

[colleoni]

Lobby, belangen, en 1 partij is er altijd bij met hun slogan: als VVD doen we altijd met de amerikanen mee

[NEK]

Daar ben ik ook bang voor maar toch.......

[dmantione]

De Nederlandse overheid is het mijn inziens verleerd om als mogendheid te denken en is een uitvoeringsorganisatie van Europese wetgeving en internationale verdragen geworden.

[drdelta]

Waarom was het ingrijpen bij Nexperia dan wel mogelijk?

[dmantione]

Omdat een keer een minister na begon te denken. Eén zwaluw maakt evenwel nog geen zomer.

[Teigetje!]

Dat was echter wel veel te laat. Die afweging had al plaats moeten vinden toen de toko werd overgenomen. Nederland is van nature te goed van vertrouwen lijkt het. Dat de wereld ondertussen is veranderd daar heeft de overheid het nog moeilijk mee

[Belboer]

Naar mijn mening meer een uitvoeringsorganisatie van lobbyisten.

[NEK]

Absoluut! 100% mee eens!

[rbr320]

Nederlandse overheid is [...] een uitvoeringsorganisatie van Europese wetgeving en internationale verdragen geworden.

Zelfs als dat zo is doen ze het nog niet goed, want NIS2 is gewoon een Europese richtlijn, in Nederland geïmplementeerd onder de Cyberbeveiligingswet. (bron)

[Henk1827]

Alles helpt, maar als je een klein bedrag kan missen heb je meer impact door bv aan https://www.thefirewall.eu te doneren.

[SPee]

DigiD is vitale nationale infrastructuur want het is de primaire digitale toegangspoort tot belastingen, zorg, justitie en sociale zekerheid. Systemen zoals dezen en van dit niveau vallen inhoudelijk onder wat in EU- en nationaal recht wordt aangemerkt als essentiële diensten (o.a. NIS2-richtlijn 2022/2555). De verkoop van een Nederlandse DigiD-hoster aan een Amerikaans bedrijf creëert wederom en het zoveelste structurele juridisch risico dat niet kan worden dichtgecontracteerd.

Er zit wel een groot verschil, in dat het een hoster is. Ze maken het DigiD platform niet zelf en hebben geen invloed op de inhoud. Ze krijgen enkel van Logius het verzoek om op enkele servers een app te draaien. En deze apps samen vormen de dienst "DigiD". In principe kan Logius over naar een andere hosting partij (of meerdere). Ook in hoeverre de hoster bij de inhoud kan, ligt aan hoe Logius hun systemen maakt, waarbij je best veel dicht kan zetten waardoor zelf de hoster er niet bij kan.

Momenteel zijn men niet zo bang voor invloed, dat men het contract niet openbreekt.

[dmantione]

Nou, als Logius makkelijk over kan naar een andere hoster, dan was deze discussie er niet. Ik ga er vanuit dat er een bepaalde lock-in is, Solvinity zal meer leveren dan een paar Linuxservertjes.

Dan kun je alles vercijferen wat je wilt, als de boel simpelweg uitgezet wordt heb je daar natuurlijk helemaal niets aan.

[NEK]

Alles wat de Nederlandse overheid en haar systemen betreft, dient per definitie te worden ondergebracht bij een Nederlands bedrijf zonder Amerikaanse (Buiten de EU) belangen of belanghebbenden.

[rbr320]

Ze krijgen enkel van Logius het verzoek om op enkele servers een app te draaien.

Zelfs dat niet. Ik heb jaren geleden in het team gezeten dat technisch beheer deed van DigiD en dat werd toen gedaan door een Nederlandse IT dienstverlener. Solvinity deed destijds nog wat Identity & Access Management voor toegang tot het platform en verzorgende licenties, maar niet meer dan dat (@dmantione).

Ik vermoed dat Logius en de beheerpartij van DigiD momenteel echt wel aan het kijken zijn naar een alternatieve hostingpartij. Er gelden voor DigiD echter strikte richtlijnen met betrekking tot onder andere de beschikbaarheid, dus niet elke hosting partij zal zomaar voldoen. Bovendien is het overheid dus beslissingen gaan traag en als er eenmaal concreet iets gebeurd is moet het daarna uitvoerig worden getest, hertest en nog een keer getest voordat daadwerkelijk de knop om mag om met het nieuwe platform live te gaan.

[Dooxed]

God, het wordt tijd dat de hele stack tot op het metaal onder het recht gaat vallen. Alsof de infra los gezien kan worden. Helaas is er nog veel geloof in het papieren recht.

[Skywalker27]

MAND

[NEK]

Met of zonder gat?

[Carry2Web]

Uitstekende argumenten.

Nu nog politieke daadkracht

[NEK]

Dank u! Jammer dat ons land langzamerhand steeds sneller achteruit gaat.

[Handjes]

Het is inderdaad heel naïef gedacht dat het niet zo'n vaart zal lopen met die Cloud Act, of dat voldoen aan de AVG voldoende zou zijn.

We kunnen momenteel de regering in de VS niet op hun woord geloven. De 'afspraken' waar ze het over hebben kunnen eenvoudigweg genegeerd of geschonden worden. Het land gaat hard achteruit, staat aan de vooravond van een economische en culturele instorting, is een weg ingeslagen die andere landen 90 jaar en langer geleden ook insloegen, et cetera.

Zulke infrastructuur wil je op dit moment niet bij een Amerikaanse club hebben ondergebracht. We moeten stoppen met naïef zijn.

[Reactie gewijzigd door Handjes op 16 januari 2026 09:34]

[NEK]

Op geopolitiek niveau is het een totaal ander schaakspel dan dat wij gewend zijn. En je hebt gelijk, stoppen met naief zijn.

[allurenl]

Daar komt nog bij: als het eenmaal in Amerikaanse handen is, wordt het ook wel weer een keer verkocht aan iemand met een zak geld. Daar heb je dan geen zeggenschap meer over.

De NL overheid moet dit zelf ontwikkelen. Ik wist niet dat het al in Britse handen was, dat is ook al niet goed.

[skimine]

Follow the Money heeft hier laatst een uitgebreid artikel over geschreven: https://www.ftm.nl/artikelen/amerikanen-hebben-straks-wel-toegang-tot-digid-ondanks-belofte-van-staats-secretaris

Paar belangrijke punten: Er wordt veel geleund op afspraken over toegang tot data. Maar volgens experts is dat niet genoeg (afspraken zijn gewoon te negeren en een rechtszaak daarover maakt de data natuurlijk niet ineens weer privé). Er wordt verder weinig transparantie gegeven over waar Solvinity precies bij kan. Verder wordt aangedragen dat het een erg slecht idee is om zulke kritieke infrastructuur uit handen te geven: "(...) je geeft een vreemde mogendheid de mogelijkheid om de belastinginning totaal lam te leggen."


Dit feest is overigens breder dan alleen DigiD: https://www.ftm.nl/artikelen/niet-alleen-digid-ook-geheime-info-rechtspraak-en-justitie-in-geding-bij-overname-it-leverancier

"De diensten van het bedrijf zijn ‘essentieel’ voor het ministerie van Justitie en Veiligheid (JenV), het Openbaar Ministerie (OM), de rechtspraak en alle andere partijen in de justitieketen."

Hier kan het ook gaan om data die mogelijk staatsgeheim is.

[TheekAzzaBreek]

"De diensten van het bedrijf zijn ‘essentieel’ voor het ministerie van Justitie en Veiligheid (JenV), het Openbaar Ministerie (OM), de rechtspraak en alle andere partijen in de justitieketen."

Dat is deels verouderde informatie. Justitie was al langer bezig de gevoeligste systemen naar overheidsdatacentra te verhuizen.

[skimine]

Zonder bijbehorende bron is dit niet op waarde te schatten. Verder staan bij DigiD de servers gewoon in een datacentrum van de overheid, alleen wordt de boel wel beheerd door Solvinity: https://www.logius.nl/actueel/digid-en-blijft-nederlands. De locatie van de servers zegt dus ook niet alles.

[sniker]

niet zo relevant waar de data staat. Wie erbij kan is de vraag. Aangezien een amerikaans bedrijf alle data onder hun beheer moeten overdragen indien de amerikaanse overheid dit vraagt. let op die woordkeuze "onder hun beheer". Als ik dan hoor zeggen dat het beheer aan een amerikaans bedrijf overgedragen wordt dan vind ik het niet meer relevant waar die data fysiek zich bevind. Dat is overigens ook al in het verleden aangegeven mbt de europese datacenters van amerikaanse bedrijven, die data valt net zo goed onder deverplichtingen die de amerikaanse overheid aan hun bedrijven oplegd.

simpel gezegd, dat het datacenter in nederland ligt en de locatie of zelfs de servers in die locatie fysiek eigendom van een nederlandse partij zijn wil nog niet zeggen dat een amerikaans bedrijf vanuit hun beheerders functie niet bij die data kan. oftewel een amerikaans bedrijf dat officieel toegang heeft tot de data is al voldoende, al het andere zijn randzaken die geen significant verschil maken. Je kan bergen rechtzaken starten of een beheerder wel of niet die data mocht afgeven aan de amerikaanse overheid dat weerhoud hem er niet van dit te doen. En als een bedrijf moet kiezne tussen een rechterlijke strijd thuis of in pislandje nederland is die keuze snel gemaakt.

[NotWise]

Dit krijg je nu als (een deel van) bevolking op incompetente politici stemt. Hoe is het in vredesnaam mogelijk dat een staatssecretaris als Eddie van Marum over digitale zaken gaat, met nul(!) ervaring op dit gebied. Als het straks mis gaat dan is deze vogel gevlogen en kan ook niet meer aansprakelijk worden gesteld.

[duvekot]

Speciaal voor deze discussie hebben we een apart topic:

Overheid en onafhankelijkheid van Amerikaanse leveranciers

[Evertt]

Wordt tijd voor een Europese systeem met een eigen Europese servers.

[dmantione]

Europees is niet goed genoeg: Een soevereine overheid mag voor zijn basisfuncties niet afhankelijk zijn van een andere soevereine overheid.

[Hemingr]

De illusie hebben dat Nederland ook maar enige vorm van soevereiniteit heeft is toch wel een beetje naief.

[thePiett]

Ik begrijp totaal niet waarom deze overname toegestaan is. Hebben we nu niks geleerd de afgelopen jaren?

[Neurosis]

Dat er een overeenkomst is tussen de overheid en een privaatbedrijf, betekent niet dat de overheid dan meer te zeggen heeft in wat voor bedrijfskeuzes het bedrijf mag maken buiten dan wat er in de overeenkomst staat. Solvinity mag die beslissing gewoon nemen.

Als de overheid in de overeenkomst een ontbindende voorwaarde zet dat het bedrijf simpelweg eigenaarschap moet houden in de EU, dan was het juridisch heel makkelijk geweest. Dan ging de overname gepaard met het verlies van een groot contract. Moeilijker is (en zou blijven) een alternatief snel vinden die hetzelfde kan doen, zowel in-house als in de markt.

[Reactie gewijzigd door Neurosis op 15 januari 2026 13:53]

[dmantione]

De juiste aanpak lijkt mij hier een wet aan te nemen zoals die er ook voor de kerncentrale van Borsele is: DigiD en zijn infrastuctuur dient zich op het grondgebied van het Koninkrijk der Nederlanden te bevinden en mag geen buitenlandse eigenaar hebben.

De overheid kan zich verder in dit geval beroepen op de staatsveiligheid en de Wet Beschikbaarheid Goederen zoals voor Nexperia ingezet lijkt me ook toepasbaar.

[Neurosis]

Ik denk dat je goed naar die wet moet kijken, omdat een persoonsgegeven niet perse een Goed is in juridische zin, terwijl elektriciteit of chips dat wel zijn. Nog los dat de politieke backlash van Nexperia zelfs de minister heeft terug laten komen op de juistheid van dat besluit.

Verder kun je de vraag stellen hoeveel gegevens die met DigID gemoeid zouden zijn al op Amerikaanse servers staan, door het gebruik van services aangeboden door Google, Microsoft en social media bedrijven als Meta. Sterker nog: zeuren op Facebook dat de VS je data in handen krijgt door de overheid.

Verder is er naast DigID ook eIDAS als Europees alternatief.

[Reactie gewijzigd door Neurosis op 15 januari 2026 16:38]

[dmantione]

Nou ja, de wet spreekt over goederen en inderdaad in brede juridische zin. De wet staat toe om een bevel te geven om een goed vast te houden op een bepaalde plaats en te veranderen dat er iets aan die goederen veranderd.

Hij is evenwel toegepast op het bedrijf Nexperia, niet op de chips zelf. Het bedrijf Nexperia moest blijven waar het is en er mochten geen onderdelen verplaatst worden. Dus een bedrijf is kennelijk een goed.

Als je dat toepast op Solvinity dat betekent dat er niets aan Solvinity veranderd mag worden. Het zal misschien niet kunnen tegenhouden dat de aandelen van eigenaar wisselen, wel dat de nieuwe eigenaar iets met die aandelen kan doen. De overheid is dan simpelweg de baas bij het bedrijf.

[R4gnax]

Dat er een overeenkomst is tussen de overheid en een privaatbedrijf, betekent niet dat de overheid dan meer te zeggen heeft in wat voor bedrijfskeuzes het bedrijf mag maken buiten dan wat er in de overeenkomst staat.

Dat hangt er vanaf hoe kritisch de dienstverlening of producten van het bedrijf voor de nationale kritieke infrastructuur zijn. Daar kan Nexperia je nog één en ander over vertellen, geloof ik.

[Neurosis]

Tuurlijk. Maar die overeenkomst is gesloten op een moment dat werken met bedrijven uit de VS niet perse een probleem was. Het belang van die infrastructuur (en dus de Nederlandse afhankelijkheid) is ook groter geworden.

[pepsiblik]

Dit klinkt mij inderdaad in de oren als een fout van gigantische proporties!

Er bestaat zoiets als EU Alternatives (European Alternatives). En dan gaan ze dit doen! Geen DigiD dan maar?!?

[Reactie gewijzigd door pepsiblik op 15 januari 2026 13:38]

[vogelaarke135]

Helemaal eens. Andersom zou de VS ook nooit overname van een bedrijf dat zulke gevoelige info beheert door een Europees bedrijf ook nooit goedkeuren (dunkt me). Welke dwaas heeft dit laten gebeuren?

[hoosterb]

Vrij simpel, het huidige kabinet heeft twee smaken... en beide zijn allerminst kritisch op het bedrijfsleven, ook niet uit de USA.

[DropjesLover]

De vraag stellen is hem beantwoorden. Nee, er is helemaal niks geleerd.
Open markt is prima, maar binnen de EU. Alles buiten de EU is domweg een enorm risico aan het worden. Al helemaal China, de VS en India (die kopen ook enorm veel op!).

[R_Zwart]

Kijk eens op welke partijen jarenlang veel gestemd is. Verbaasd het je dan nog? VVD en PVV vinden het wel.prima.

[skimine]

Het Bureau Toetsing Investeringen kan de overname eventueel tegenhouden op basis van de Wet veiligheidstoets investeringen, fusies en overnames. Of die al een besluit hebben genomen en wat dat besluit dan zou zijn is niet duidelijk. Vandaar dat de in het artikel genoemde groep nu opheldering vraagt bij dat bureau. Voor meer informatie zie het gelinkte artikel van Follow the Money of de website van The Firewall.

Het is dus momenteel niet duidelijk of de overname toegestaan is.

[axtg]

Straks kan de overheid zelf niet de GDPR naleven. Want als onder het mom van Cloud, Patriot of FISA, zonder informeringsplicht, mijn data wordt opgevraagd vanwege een Trump-gerelateerde tweet vooraf aan mijn vlucht richting de VS (ofzo), dan is de controller van mijn data, de overheid, aansprakelijk voor die inbreuk. Daar moeten ze hun vingers toch niet aan willen branden?

[Jazzy]

Solvinity heeft geen toegang tot persoonsgegevens, denk niet dat GDPR hier van toepassing is.

[Caelorum]

Hoe werkt dat dan? DigiD draait op hun servers toch? Dus de koppeling met mij als persoon (gevoelig) is gewoon op die servers, al dan niet unencrypted in geheugen.

[Jazzy]

Ik baseer me op de informatie van Logius: https://www.digid.nl/solvinity/

DigiD verstrekt tijdens het inloggen alleen het BSN. Dit BSN kan niet ingezien worden door een partij als Solvinity.

Heb geen reden om hier aan te twijfelen, klinkt logisch.

[Reactie gewijzigd door Jazzy op 15 januari 2026 13:52]

[abelebo]

als solvinity het BNS doorgeeft kan solvinity dit inzien lijkt me.

[Jazzy]

Solvinity geeft geen BSN door. Ze leveren het platform waar DigiD op gebouwd is, de onderliggende infrastructuur. Ze hebben geen toegang tot de data die door DigiD verwerkt wordt.

[Caelorum]

Als jij het platform levert heb je toegang tot de data. Punt. Net zo goed als dat als wij een applicatie in Azure hosten ze er bij zouden kunnen. Kunnen ze nog zoveel safegaurds optuigen, maar die data leeft uiteindelijk (vluchtig) unencrypted in het geheugen van een stukje hardware daar waar onze app service op draait.

Dat is met Solvinity niet anders. De data kan dan in het netwerk daar misschien nog encrypted zijn tussen client en server, maar zodra het daar de applicatielaag haalt zal de server applicatie van DigiD er iets mee moeten.

Tenzij het volledig end to end encrypted is naar het achterliggend systeem. Dus tussen client, helemaal naar bijv Toeslagen.nl, maar dat kan ik mij in het ontwerp van DigiD niet voorstellen. Aangezien ik ook namens iemand kan worden gemachtigd. Moet DigiD toch weten wie ik ben.

[dmantione]

• Ze leveren het platform waar DigiD op gebouwd is, de onderliggende infrastructuur.
• Ze hebben geen toegang tot de data die door DigiD verwerkt wordt.

Beide uitspraken zijn strijdig met elkaar.

[SPee]

security en encryptie zorgen dat het kan

[dmantione]

Daar kan geen sprake van zijn: Vercijferde data is niet leesbaar en de Digid-software moet toch echt je BSN kunnen lezen.

[vlaaing peerd]

Sterker nog, het lijkt al een breuk van de GDPR. Ze hebben namelijk privegevoelige data gestald bij een operator die op basis van buitenlandse wetgeving onze dataveiligheid niet kan garanderen.

Ik zal het nog opzoeken, maar zover ik uit mijn hoofd weet, is dit niet toegestaan.

[ErikT738]

Hahahaha we staan op het randje van een gewapend conflict met de VS en we geven nog steeds kritieke digitale infrastructuur uit handen aan de Amerikanen. Dit land wordt geleid door dwazen.

[DropjesLover]

Nouja, deze Staatssecretaris is.... tromgeroffel... van de BBB. https://www.parlement.com/biografie/e-eltje-van-marum
Verbaast het je dan nog?

[netblade]

Ik denk dat een gemiddelde VVD'er hetzelfde zou hebben gedaan, uiteindelijk gaat het puur om de centjes en het besparen ervan. Daarnaast bestaat politiek voornamelijk uit opportunisten die niet verder kunnen kijken dan hun neus lang is en niemand die ze corrigeert want we doen hier niet aan een directe democratie.

[Reactie gewijzigd door netblade op 15 januari 2026 13:54]

[ErikT738]

Meer directe democratie zou niet helpen, dan maak je enkel van alles een populariteitswedstrijd, in plaats van dat er gewoon competente mensen op een positie worden gezet. Niet dat dit nu het geval is, maar het zou in ieder geval nog kunnen.

[DropjesLover]

De VVD doet het nog voor de centen, de BBB is gewoonweg incompetent...

[dmantione]

Hmmm... BBB bestaat vooral uit ondernemers, als je kijkt wie erop de lijsten staan zijn het vooral ondernemers uit de agrarische sector. Boeren, maar zeker ook andere bedrijven. Daar zit op zich echt wel wat kennis. Vrijwel niemand bij de BBB heeft evenwel een academische opleiding en dat is waar hem de schoen wringt en BBB kundigheid tekort komt.

[killercow]

Je bent pas ondernemer als je ook de verliezen zelf draagt, de bbb en eigenlijk het grootste deel van de nederlandse boeren is hobby boer, een hobby mag immers (ons?) geld kosten.

[beeldbuijs]

Hoewel er best veel 'hobbyboeren' zijn, mensen die het er naast hun baan bij doen of al gepensioneerd zijn, is dat maar 1/3, niet het grootste deel. Sowieso zijn dat per definitie kleine bedrijfjes met minder dan 25K aan jaaropbrengst. Oftewel, hoewel er relatief veel hobbyboeren zijn, is dat niet waar de agrarische tak (financieel) om draait. Een gemiddelde boer heeft een bruto jaarinkomen dat 5x zo hoog ligt. Daar staan gemiddeld ook 8,5 ton schuld tegenover en 4,4 miljoen aan bezit, vooral in de vorm van grond. Het is immers lastig boeren zonder landbouwgrond, aardappelopslagschuur, trekkers etc.

[killercow]

Een groot deel van dat jaarinkomen is subsidies, zonder die subsidies draaien ze verlies, ergo ook die grote lui zijn gewoon een het hobbien, alleen dan op onze kosten ipv hun eigen hobby-budget.

[beeldbuijs]

In Nederland is gemiddeld maar 12,5% van het boeren-inkomen subsidie.

Mij lijkt dit een verstandigere keuze dan alles aan 'de wereldmarkt' overlaten. Die wordt bepaald door subsidies en gedumpte overschotten. Dan worden we van nóg een basisbehoefte afhankelijk van buiten-Europese machtsblokken. Waardoor voedsel op lange termijn juist duurder wordt. Die het niet zo nauw nemen met de volksgezondheid, milieu en mensenrechten. Die hun eigen boeren relatief nog meer subsidiëren. Dat is niet bepaald uniek voor de EU. Heel de wereld economie is een machtsspel geworden.

[watercoolertje]

De VVD doet het nog voor de centen, de BBB is gewoonweg incompetent...

Nee voor de boeren, minder datacenters in de EU nodig dan is er meer ruimte voor boeren(uitstoot)

PS je hebt natuurlijk gewoon gelijk!

[qless]

Nee door landverraaders. Ze weten echt wel wat ze doen, maar geld vinden ze belangrijker.

[hermanbrood]

Solvinity heeft zelf deze keuze niet gemaakt. Ze waren eigendom van een private equity partij uit de UK die de aandelen zal verkopen aan de hoogste bieder.

[bobkosse]

Het zou eigenlijk een eis moeten zijn dat overheidsdiensten gehost worden bij Nederlandse bedrijven (misschien in de EU, als daar dezelfde regelgeving geldt), maar zeker niet bij een buitenlands bedrijf. Dit gaat over essentiële infrastructuur en gegevens die je als land absoluut binnenshuis zou willen houden.

[DropjesLover]

Ik zou durven zeggen niet eens hosten bij bedrijven, maar bij de overheid zelf. Of een bedrijf waarin de overheid de enige aandeelhouder is.
Doen we immers ook met netbeheerders, wegbeheerders, spoorbeheerders, waternetten, etc.

[Reactie gewijzigd door DropjesLover op 15 januari 2026 13:46]

[Sand0rf]

Ik kan er ook echt niet bij dat DigiD niet gehost wordt in het overheidsdatacenter (ODC van het SSS-ICT): https://www.ssc-ict.nl/producten-en-diensten/overheidsdatacenter

Dit lijkt me precies zo'n dienst die je daar wil onderbrengen.

[Jazzy]

DigiD wordt wel degelijk gehost in een ODC.

[killercow]

Welke is dat dan? En welke dienstverlening verhuisd er dan?

[Jazzy]

Ik weet niet in welk datacenter precies, maar op https://www.digid.nl/solvinity lees je:

Solvinity levert het platform waar DigiD op draait. Dit platform draait in een overheidsdatacentrum.

[Jazzy]

Solvinity was een Nederlands bedrijf totdat het dit niet meer was.

[NoTechSupport]

En dan moeten deze activiteiten dus ook buiten de deal vallen, volgens het voorstel.

[weebl]

Voor dit soort kritieke applicaties heb je toch gewoon een exit strategie? Kan me niet voorstellen dat we v.w.b. DigiD volledig overgeleverd zijn aan de grillen van de cloudleverancier waar het draait? Misschien ben ik naïef, maar de overheid is toch gewoon eigenaar van de broncode, config files en alles er omheen? Als blijkt dat dit alleen functioneel uitgevraagd is en we vervolgens DigiD dus volledig in handen hebben gelegd van een commerciële partij dan hebben we denk ik een groter probleem dan een eventuele overname door een Amerikaanse partij...

Je wil toch gewoon de dag nadat zo'n overname bekend wordt de migratie naar een andere cloudomgeving in gang gezet hebben?

[Caelorum]

DigiD is ook compleet overheid. De hosting waar het op draait is echter straks in handen van een Amerikaans bedrijf. De hosting had ook gewoon verplicht Europees of zelfs Nederlands ivm staatsveiligheid, maarja.. Ik heb wel eens begrepen dat je dat niet als verplichting in je aanbesteding mag opnemen.

[dmantione]

Nou en of dat mag. Je mag in een aanbesteding niet zomaar buitenlandse partijen weigeren, maar staatsveiligheid is één van de situaties waar dat wel mag.

[Jazzy]

Sterker nog, al in 2000 toen ze de aanbesteding van Logius wonnen was Solvinity feitelijk in Britse handen.

[debom]

Dit lijkt mij een meer dan terechte eis. Het gaat tenslotte over een manier waarop wij als Nederlandse burger ons moeten identificeren voor verschillende overheidsdiensten.

[DMZ]

Geld zal hier harder spreken dan deze mensen, gezien deze overnamen al bekeken is door de Nederlandse overheid.