Tweede Kamer wil geen contractverlenging DigiD-hoster bij Amerikaanse overname

De Tweede Kamer verbiedt verlenging van het hostingcontract voor DigiD als het Nederlandse cloudbedrijf Solvinity in Amerikaanse handen komt. Een motie daarvoor is vandaag met meerderheid aangenomen. Het huidige contract met Solvinity verloopt pas in 2028.

Als de koop van Solvinity door de Amerikaanse ict-dienstverlener Kyndryl doorgaat, wordt het contract van de Nederlandse overheid met Solvinity voor hosting van DigiD niet verlengd. Dit bepaalt de Tweede Kamer nu met het aannemen van een motie van Kamerlid Barbara Kathmann (Progressief Nederland, voorheen GroenLinks-PvdA). Onder meer Binnenlands Bestuur schrijft hierover.

Gegevenstoegang en blokkademogelijkheden

De voorgenomen verkoop zorgt al maanden voor onrust, omdat DigiD daarmee binnen bereik komt van Amerikaanse wetgeving. Daardoor kan de regering van de Verenigde Staten gevoelige gegevens van alle Nederlanders inzien en kan zelfs de hele dienst laten blokkeren.

Risicobeperkende maatregelen die de DigiD-beheerder Logius zou kunnen nemen, zijn niet sluitend. Dit staat in een interne veiligheidsanalyse van Logius. De hoogste privacyambtenaar bij dat overheidsorgaan is nu klokkenluider geworden. Hij onthulde dat deze veiligheidsanalyse nooit met de Tweede Kamer is gedeeld.

Daar komt nu ook verandering in. Staatssecretaris Eric van der Burg van Binnenlandse Zaken (BZK) meldt in een brief aan de Kamercommissie Digitale Zaken dat de Tweede Kamer alsnog de volledige veiligheidsanalyse krijgt. Eerder was alleen een samenvatting beschikbaar. De analyse belicht de gevolgen van de geplande overname van Solvinity door Kyndryl.

Overheid wist al maanden van verkoop

Het Nederlandse bedrijf liet de overheid in maart 2025 al weten dat het op zoek was naar een koper. Die mededeling onder embargo was aan Logius, de overheidsorganisatie die DigiD beheert. In april vorig jaar informeerde Solvinity ook een directeur bij het ministerie van Justitie en Veiligheid.

In mei werd het met Logius afgesproken embargo deels opgeheven zodat de verkoopintentie gedeeld kon worden met een kleine groep mensen in het ministerie van Binnenlandse Zaken en Koninkrijksrelaties. De Nederlandse overheid was toen niet geïnteresseerd om Solvinity zelf over te nemen, om het uit handen van een mogelijk buitenlandse koper te houden.

Reacties (41)

[jumbos7]

Een aangenomen motie hoeft toch niet uitgevoerd te worden door het Kabinet? Dus tenzij de Tweede Kamer moet instemmen met het verlengen van het hostingcontract van Digid of het Kabinet besloten heeft om de motie uit te voeren weet ik nog niet of het zeker is dat de verlenging niet door gaat bij een Amerikaanse overname. Maar misschien zie ik toch iets over het hoofd.

[Reactie gewijzigd door jumbos7 op 21 april 2026 21:31]

[Tom Paris]

Dat klopt. De Tweede Kamer 'verzoekt de regering'. De Kamer kan niet zelf verbieden, dus de titel is erg misleidend. De motie is hier te downloaden: https://www.tweedekamer.nl/kamerstukken/moties/detail?id=2026Z08340&did=2026D18701

De Kamer,

gehoord de beraadslaging,

overwegende dat het contract met Solvinity voor de DigiD-diensten in 2028 afloopt;

verzoekt de regering om het DigiD-contract met Solvinity in 2028 niet te verlengen als de overname door een Amerikaans bedrijf doorgaat,

en gaat over tot de orde van de dag.

[familyman]

De kamer zou van de motie een wet kunnen maken, en dan verbiedt zij wel degelijk.

[latka]

Een wetsvoorstel. Grote kans dat het niet zo ver komt.

[ZwolschBalletje]

De Kamer kan ook een amendement (op de begroting) hieraan wijden, door de begroting voor het potje DigiD op te hogen en daar de voorwaarde aan te verbinden dat het contract opnieuw aan een Europese partij wordt gegund.

Begrotingen zijn wetten, dus dan moet de minister het wel verplicht doen. Deze motie is dus inderdaad niet verplichtend, maar zeker ook niet zo vrijblijvend als @jumbos7 en @Tom Paris hierboven het lijken te verwoorden: de Tweede Kamer heeft manieren om naleven ervan wel af te dwingen.

[Reactie gewijzigd door ZwolschBalletje op 21 april 2026 23:11]

[P. vd Loo]

Een begroting is zeker geen wet. Je kunt er ook geen wetten aan koppelen. Het is een financiële afspraak.

[familyman]

Een wetsvoorstel kan van het kabinet of van de kamer komen.

Als het wordt aangenomen, door beide kamers, dan heeft het kabinet geen optie en moet het uitgevoerd worden.

Het is aan de indiener die steun te zoeken, dus ofwel de minister ofwel het kamerlid. Ministers kunnen meestal leunen op hun coalitie, en daarom zien we het niet vaak. Voor amendementen gaat dat wat makkelijker voor kamerleden.

Mijn punt is, goedkeuren of verbieden kan wel degelijk door de kamer gebeuren.

(En het zou best wat vaker mogen gebeuren imho)

[Skit3000]

Of in het uiterste geval de regering kunnen dwingen op te stappen.

Door de bocht genomen worden de meeste moties wel in de geest van de Kamer uitgevoerd.

[Tom Paris]

Ik had het beter moeten opschrijven, de Kamer kan niet verbieden met een motie idd. Er zou een wet aangenomen kunnen worden, maar met welk doel? Huidige aanbestedingswetten bieden al handvatten om obv nationale veiligheid partijen uit te sluiten (bijv. buiten de EU). Het gaat in deze zaak m.i. meer om politieke wil dan om de (on)mogelijkheden in het recht.

[JaspB]

Wat je hier zegt, is technisch correct (en dat is het beste soort correct). Mijn aanvankelijke kop was te kort door de bocht (waar anderen me ook even op wezen). Nu aangepast.

Dank voor je scherpe blik!

[P. vd Loo]

Netjes gedaan. Dat gebeurt niet altijd. Zo stond er onlangs een artikel hier op tweakers dat Intel en recordwaarde had bereikt op de beurs, waar gewoon niet waar is. Want de marktwaarde was in het jaar 2000 hoger dan nu. Ik vind het schandalig dat een site als tweakers onjuistheden als nieuws brengt.

[oNNoZeLe]

worden deze diensten niet gewoon per aanbesteding uitgevoerd?

[wiseger]

Nee, diensten waar veiligheid bij betrokken is, kan je uitsluiten van openbare aanbestedingen door de specifieke eisen op te stellen zoals hosting binnen de EU, geen toegang tot de systemen door andere state actors et cetera.

[Reactie gewijzigd door wiseger op 21 april 2026 21:39]

[Thonz]

Heb je een bron? Ik ben benieuwd naar de regels omtrent een dergelijke aanbesteding

[wiseger]

https://www.rijksoverheid.nl/onderwerpen/zakendoen-met-het-rijk/beveiligingseisen-abro#:~:text=Vanaf%201%20januari%202026%20gelden%20er%20nieuwe,een%20opdracht%20uitvoeren%20met%20risico's%20voor%20de

[Thonz]

Dank!

[familyman]

In dit geval, er kan ook opnieuw worden aanbesteed, nadat ze geen gebruik maken van de optie tot verlenging.

En dan de voorwaarden zo kiezen dat je amerikanen en chinezen uitsluit.

Dat zou in ieder geval sowieso makkelijker moeten kunnen. Fransen zijn er berucht om, en ook Amerika kan er wat van. Soms voelt het alsof alleen wij het niet willen snappen.

[Robtimus]

Klopt, maar als een van de eisen is "gehost onder NL of EU beheer" dan voldoet Kyndryl daar niet aan en vallen ze dus automatisch buiten de boot.

[Djerro123]

De hosting is gewoon in NL toch? Ik dacht dat het om support ging?

[Blinkin]

Het bedrijf wat het nu overneemt is niet Nederlands noch Europees maar is gevestigd in de VS. Hoewel alles in Nederland blijft staan zou dit het wettelijk wel mogelijk maken dat men toegang tot de data kan afdwingen. Wat de locatie van de data is is voor het Amerikaanse Cloud Act niet relevant.

[dmantione]

Dan moet je de eisen wat slimmer opstellen: Een aanbieder die gebonden is aan wetten buiten Nederland (of EU), of werknemers inzet die gebonden zijn aan wetten buiten (EU), wordt uitgesloten van deelname aan de aanbesteding.

[batjes]

In zo'n aanbesteding is het prima mogelijk te eisen dat de organisatie van Nederlandse of EU bodem moet zijn.

[Darses]

Bedoel je dat je weet dat dat kan, of dat je denkt dat dat zou kunnen?

Naar mijn beste weten kan dat namelijk helemaal niet, vooral vanwege internationale verdragen die Nederland zelf gesloten heeft. Zie ook de uitleg op PIANOo, het kenniscentrum over aanbestedingen.

[icecreamfarmer]

Wanneer het op veiligheid aankomt kan heel veel. Of denk je dat het toeval is dat in Frankrijk altijd een Franse partij de defensie aanbestedingen wint? En in Duitsland Duitse.

[familyman]

Dat is dan weer nationale veiligheid. Tgv en ice zijn betere voorbeelden, denk ik.

[Darses]

DigiD is geen defensie aanbesteding en de huidige aanbesteding heeft naar mijn weten geen specifieke veiligheidseisen als uitsluitingsgrond. Ik wil best mee gaan in het idee dat je met veiligheidseisen wat kan sturen, maar heb er een hard hoofd in dat DigiD die drempel haalt.

[dmantione]

Dat kan zonder problemen. Er moet een beroep gedaan worden op de staatsveiligheid en dat moet gemotiveerd worden, zodat partijen het bij de rechter kunnen laten toetsen.

[Guru Evi]

Ik denk dat als EU staat je niet langer kan opeisen dat iets op de bodem van je staat moet gebeuren. Daarnaast moeten er ook bedrijven zijn die iets kunnen aanbieden op de schaal dat een overheid nodig heeft (en niet gewoon AWS doorverkopers) wat de deelname sterk vermindert.

En ja, je kunt misschien wel mensen vinden die ergens een datacenter staan hebben, maar de dienstverlening en kosten zijn ook navenant eenmaal het een overheidscontract wordt. En dan klagen wij dat er teveel belastinggeld verspilt wordt.

IMHO zou de overheid uit veel van die dingen moeten blijven. Een digitale identiteitskaart is niet precies nodig, genoeg landen die volledig zonder identiteitskaarten werken, daarnaast zijn er ook gedecentraliseerde en open source opties tegenwoordig voor identiteitsbewijs.

[Jeebus]

Waarom nemen we als Nederland dit bedrijf niet gewoon over? Ok, overheid en ICT gaan niet altijd goed samen. Maar dit functioneert gewoon.

[djmuggs]

Dit zou makkelijk in de Overheids Datacenters gehost kunnen worden.

Wat Solvinity aan oplossingen bied kwa hosting hebben de Overheids Datacenters ook in hun portefeuille.

En dan blijft het geld voor kosten van hosting ook gewoon binnen de overheid en is er meer transparantie.

[bommel845]

Diensten van Logius (DigiD, Mijn Overheid en nog 25 andere) draaien ook in het ODC Amsterdam. Dat ODC is een afgeschermd stuk in het datacenter van Equinix, ook een Amerikaans bedrijf. Solvinity levert het stuk infra en middleware aldaar.

[jongetje]

Precies dit.

Ben het eens dat het niet heel efficiënt is geregeld bij de overheid maar ben het met je eens dat dit prima zelf gehost moet kunnen worden. Die applicaties zijn en worden ook door Logius gemaakt, waarom niet gehost. Desnoods door hun zus SSC-ICT.

[Houtenklaas]

Kyndryl is een dikke 3 miljard waard. Dat geld is niet zomaar beschikbaar EN aangezien ze beursgenoteerd zijn zal je dus aandelen moeten gaan kopen, dat melden wat de prijs opdrijft, etcetera. Dus daar ga je iets van 5 miljard voor betalen als het al lukt. Waar moet dat geld vandaan komen? Dan kan je beter het contract betalen tot 2028 en de boel alsnog in NL houden, dat is goedkoper.

[icecreamfarmer]

Je moet ook niet Kyndryl maar Solvinity kopen.

[Henk1827]

Het is echt knetterbezopen dat we alle Nederlanders hun gevoelige persoongegevens door een Amerikaans bedrijf laten beheren. Natuurlijk wordt er even een kopietje gemaakt voor de CIA en NSA, en natuurlijk wordt dit als leverage gebruikt door Trump. Je hoeft ook niet te veel te verwachten van de overheid, maar dit is toch wel totale onkunde van de bovenste plank. Wat een deuk in het vertrouwen in de politiek gaat dit opleveren.

[latka]

De usa kan ook alle internationale betalingen (ook die waarbij de usa niet betrokken is) inzien via swift. Zo zijn er vast nog wel wat achterdeuren te vinden waar de usa op slinkse wijze meer kan/doet dan wenselijk is. Alle nl betalingen lopen zon beetje via Mastercard. Dat is ook usa. DigiD in usa handen is een slecht idee, maar het is het topje van de ijsberg.

[mountain_lion]

Er mag in mijn ogen ook wel een verklaring komen voor het feit dat die interne veiligheids-analyse van Logius aanvankelijk buiten de TK is gehouden. Vorig kabinet of niet, demissionair of niet, zou daarbij niet uit moeten maken. Sterker nog, het handelen van het demissionaire kabinet is ook in deze kwestie bijzonder schadelijk gebleken.

[bvo2411]

Klopt. Met welke redenen is de volledige analyse achtergehouden? Als je iets hebt achtergehouden, dan heb je vaak wat te verbergen, wat op dat moment even niet uitkomt. Er zal wel gezegd worden, dat een verkorte analyse die men nu al had genoeg zou zijn. Alsof iedere volksvertegenwoordiger een onkundig persoon zou zijn. Hiermee wordt het process door niet transparant te zijn wel ongeloofwaardiger. Geef een ieder de feiten, doe gedegen oderzoek en beslis dan.

[dmantione]

Ik zou zeggen contract niet verlegen én tot die tijd de Wet Beschikbaarheid Goederen inzetten om de verkoop tot die datum te bevriezen. Immers, als de Amerikanen eenmaal een kopietje hebben, kunnen ze daar nog jaren lang van profiteren.

[erikbond]

Bedankt voor je goede werk Barbara. Helaas is er nog een lange weg te gaan, hou vol in de tussentijd!

[jmmk]

Goeie zaak dat men dit stopt.

Maar: pas bij de verlenging in 2028?!? Da's pas over twee jaar, dan is de overname allang rond. Wat gebeurt er met de data in de tussentijd?