Rechter toetst blokkade DigiD-deal

Wie online belastingaangifte doet, een toeslag controleert of inlogt bij een overheidsdienst, komt langs DigiD. Het is de nationale toegangspoort tot de digitale overheid. De meeste Nederlanders staan nauwelijks stil bij wat daaronder ligt. Toch is juist dat de kern van de zaak.

Het platform waarop DigiD draait, wordt beheerd door het private bedrijf Solvinity (AG Connect). Toen het Amerikaanse IT-concern Kyndryl Solvinity wilde overnemen, blokkeerde de Nederlandse overheid die transactie op grond van de nationale veiligheid. In juni vocht Solvinity dat besluit aan bij de rechtbank in Rotterdam. Een deel van de zitting vond achter gesloten deuren plaats (Tweakers). Daarmee wordt "digitale soevereiniteit", een term waar politici graag naar grijpen, ineens een concrete juridische vraag: wie mag eigenaar zijn van de bedrijven die de overheid online draaiende houden?

De controlekamer achter het net

Digitale overheidsdiensten lijken in zekere zin op een openbaar elektriciteitsnet. De staat bepaalt de regels en zet zijn naam op de voorkant. Maar achter die voorkant heeft een private leverancier vaak de sleutels van de controlekamer in handen: de onderhoudsdocumentatie, de encryptiesleutels en de operationele kennis die nodig is om de dienst ook onder druk overeind te houden (policyreview.info). Voor een deel van de Nederlandse digitale staat was Solvinity precies zo'n leverancier.

Op 26 mei 2026 blokkeerde staatssecretaris Willemijn Aerdts de overname formeel (Logius). De volledige risicoanalyse is niet openbaar gemaakt. De Tweede Kamer kreeg vertrouwelijke informatie, en ook in de rechtszaal werd gevoelige informatie buiten het zicht van journalisten besproken (Tweede Kamer).

Wel openbaar is de politieke zorg die eraan voorafging. Kamerleden vrezen dat Amerikaans eigendom Washington in staat kan stellen gegevens op te vragen of, in het uiterste geval, de toegang tot diensten te verstoren waarvan burgers dagelijks afhankelijk zijn (NOS). De Amerikaanse CLOUD Act speelde in dat debat een hoofdrol.

Die wet bestaat, en het risico is niet denkbeeldig. Amerikaanse wetgeving kan een aanbieder onder Amerikaanse jurisdictie verplichten gegevens af te geven die onder zijn "possession, custody, or control" vallen, ook wanneer die gegevens in Europa staan opgeslagen (Cornell LII). Dat is een reële juridische kwetsbaarheid. Wat de CLOUD Act níet doet, is Washington een afstandsbediening geven om systemen door te bladeren of een dienst met één opdracht uit te zetten. De bredere vrees voor een "kill switch" hoort in een andere categorie: afhankelijkheid van leveranciers, contractconflicten, verlies van beheertoegang of de praktische onmogelijkheid om in een crisis snel van aanbieder te wisselen. Die risico's zijn serieus, maar ze zijn niet hetzelfde als de CLOUD Act. Wie ze op één hoop gooit, maakt een sterk structureel argument onnodig kwetsbaar voor het verwijt van complotdenken.

Dat structurele argument is immers krachtig genoeg. Als de geruststelling luidt dat "de data in Europa blijft", wordt de verkeerde vraag beantwoord. De locatie van data is één laag. De diepere laag is zeggenschap: wie kan systemen beheren, updates doorvoeren en de dienst in de lucht houden als de commerciële relatie vastloopt?

Drie landen, drie benaderingen

Frankrijk probeert soevereiniteit saai en afdwingbaar te maken. Wie als cloudaanbieder gevoelig werk voor de staat wil doen, moet voldoen aan SecNumCloud, een certificering waarbij moet worden aangetoond dat buitenlandse wetgeving niet eenvoudig bij de dienst kan komen (Alliancy). Zo wordt een politieke leus een aanbestedingsfilter: je kwalificeert, of je doet niet mee.

Zweden kiest een andere route. In plaats van iedere leverancier afzonderlijk te screenen, zorgt de staat ervoor dat hij de wortel van digitale identiteit zelf controleert. Het ministerie van Justitie heeft een nieuwe door de staat uitgegeven identiteitskaart voorgesteld, met biometrie en ingebouwde elektronische identificatie (Dagens.se). Zweden heeft bovendien een leidende rol gespeeld bij het certificeringsstelsel voor de komende Europese digitale-identiteitswallet (Digg). Private bedrijven mogen het leidingwerk verzorgen, maar de hoofdsleutel blijft bij de staat.

Nederland oogt daarentegen reactiever. Uit Kamerstukken blijkt wel dat er breder wordt nagedacht over soevereine clouddiensten (1848.nl). Maar de zaak-Solvinity draait om een specifieke overname die na een vertrouwelijke risicoanalyse is tegengehouden en nu bij de rechter wordt verdedigd.

Wat de rechter werkelijk beslist

De EU probeert geen apart internet te bouwen. Zij bouwt instrumenten waarmee overheden overnames kunnen toetsen, cybersecuritywaarborgen kunnen eisen en cloudleveranciers beter vervangbaar kunnen maken. De screening van buitenlandse investeringen geeft lidstaten de mogelijkheid overnames in gevoelige sectoren te beoordelen (Paul Weiss). De NIS2-richtlijn legt beveiligings- en ketenverplichtingen op aan aanbieders van kritieke infrastructuur (European Commission). De Data Act regelt onder meer overstappen tussen cloudaanbieders en bescherming tegen onrechtmatige buitenlandse dataverzoeken (EUR-Lex). Geen van deze instrumenten lost het probleem alleen op. Samen verschuiven ze de vraag van "waar staat de server?" naar "wie beheerst de afhankelijkheid?"

De Rotterdamse zaak zal die vraag scherper maken. Als de overheid gelijk krijgt, wordt het principe versterkt dat eigendomswisselingen in publieke digitale infrastructuur kunnen worden geblokkeerd, ook wanneer de volledige risicoanalyse geheim blijft. Als Solvinity wint, kan de staat worden gedwongen beter te laten zien dat minder ingrijpende opties zijn onderzocht: contractuele waarborgen, het afsplitsen van gevoelige activiteiten van de buitenlandse moeder, verplichte exitplannen. De rechter bepaalt hoeveel bewijs een staat moet tonen wanneer hij een overname blokkeert om een dienst te beschermen waar burgers zich feitelijk niet aan kunnen onttrekken. Voor de miljoenen mensen die zonder erbij na te denken inloggen met DigiD, is dat precies de vraag die ertoe doet.