Kabinet ziet geen vertraging van nieuw inlogstelsel door verkoop Solvinity

De mogelijke verkoop van DigiD-beheerder Solvinity aan het Amerikaanse Kyndryl vertraagt de bouw van het nieuwe overheidsinlogstelsel niet, schrijft staatssecretaris Willemijn Aerdts in antwoorden aan de Eerste Kamer.

Dat stelsel heet Stelsel Toegang: het afsprakenstelsel plus de technische infrastructuur waarmee een overheidsorganisatie in één keer aansluit op alle erkende inlogmiddelen en machtigingsdiensten, van DigiD tot eHerkenning. Het is begin 2027 in de basis technisch beschikbaar en publieke dienstverleners kunnen datzelfde jaar starten met aansluiten. In 2027 komt daar de open toelating van private inlogmiddelen voor publieke dienstverlening bij. Wie eHerkenning inkoopt, software levert aan een gemeente of zorginstelling, of een klantportaal bouwt dat op die inlogmiddelen leunt, heeft daarmee een datum om op te plannen.

Wat het kabinet toezegt

De PVV-fractie in de Eerste Kamer vroeg om inzicht: loopt de ontwikkelfase vertraging op door recente ontwikkelingen zoals de verkoop van Solvinity aan Kyndryl? Aerdts antwoordt dat zij ten opzichte van de huidige ontwikkelagenda geen vertraging ziet ontstaan als rechtstreeks gevolg van mogelijke verkopen van ketenpartners aan buitenlandse partijen. Het Stelsel Toegang is volgens haar geen statisch eindproduct maar kent een dynamische doorontwikkeling, waarin ontwikkelingen rond autonomie en soevereiniteit meegenomen kunnen worden.

De antwoorden dateren van 17 augustus en gingen mede namens staatssecretaris Eric van der Burg (Binnenlandse Zaken) naar de Eerste Kamer. Ze horen bij de evaluatie van de Wet digitale overheid (Wdo), het wettelijk kader waaraan het Stelsel Toegang invulling geeft.

Wat het stelsel kost

De PVV vroeg ook om een kostenoverzicht en een prognose, en die staan er nu bij. Sinds de vaststelling van de Wdo medio 2023 is 37,6 miljoen euro beschikbaar gesteld voor de realisatie, met realisatiecijfers tot eind 2025. Voor 2026 is de prognose ongeveer 11 miljoen euro, voor 2027 nog eens 7 miljoen. Daarmee komt de totale kostprognose op zo'n 55,6 miljoen euro en is het stelsel volgens het kabinet in de basis gereed.

Geen extra beleid tegen buitenlandse eigenaren

De fractie wilde verder weten of de kwestie Solvinity nieuw beleid nodig maakt, zodat IT-diensten die de toegang tot publieke dienstverlening raken nooit in buitenlandse handen vallen. Het kabinet ziet daar geen aanleiding toe en wijst op instrumenten die er al liggen. Sinds 1 januari 2026 gelden nieuwe beveiligingseisen, de ABRO-eisen, voor bedrijven die overheidsopdrachten uitvoeren met risico's voor de nationale veiligheid. Er is een Rijksbrede IT-sourcingstrategie waarmee het Rijk risicogebaseerd besluit over IT-inkoop en leverancierskeuze, en het herziene Rijkscloudbeleid van 3 juli 2026 geeft nieuwe kaders voor het gebruik van clouddiensten. Voor eigendom is er het stelsel van investeringstoetsing, dat overnames beoordeelt op ongewenste strategische afhankelijkheden, continuïteit van vitale processen en de integriteit van informatie.

Eén deur blijft open: het kabinet onderzoekt of er bovenop de bestaande Wdo-eisen aanvullende eisen aan inlogmiddelen nodig zijn vanwege soevereiniteit. Voor aanbieders van inlogmiddelen kan dat betekenen dat de toelatingslat in 2027 hoger ligt dan de wet nu voorschrijft.

Waar de overnamestrijd staat

De verkoop zelf ligt nog altijd stil. De voorzieningenrechter in Rotterdam wees op 14 juli het verzoek van Solvinity en eigenaar Vitruvian Partners af om het overnameverbod te schorsen, waarmee het verbod voorlopig in stand blijft; de inhoudelijke beroepsprocedure loopt nog. De zaak reikt inmiddels tot buiten Den Haag, want de Amerikaanse ambassadeur noemde het weren van Amerikaanse techbedrijven een rode lijn en haalde daarbij het Solvinity-verbod aan.

Wat nog niet werkt

De evaluatie van de Wdo laat ook zien hoe weinig van die wet in de praktijk terechtkomt. Dat komt deels doordat het Stelsel Toegang er nog niet is: zonder stelsel is er geen open toelating van inlogmiddelen en geldt de bijbehorende acceptatieplicht nog niet. Verplichtingen die al wel gelden, zoals het classificeren van betrouwbaarheidsniveaus, liggen bij de dienstverleners zelf. Het ministerie controleert die classificatie pas als een organisatie zich meldt om aan te sluiten.

Een concreet knelpunt voor iedereen die werk uit handen geeft: vrijwillig machtigen kan op dit moment niet op betrouwbaarheidsniveau substantieel of hoger, omdat de registratie van een machtiging moet passen bij het niveau van de dienst die je afneemt. In 2025 begon de vernieuwing van DigiD Machtigen, met als doel dat het als vrijwillige machtigingsvoorziening binnen het Stelsel Toegang gaat werken. Het kabinet streeft naar begin 2027 voor een passende oplossing, waarna de aanpassingen pas kunnen starten.

Twee sporen die naast elkaar lopen

De geruststelling van Aerdts is smal. Ze zegt dat een verkoop van een ketenpartner het stelsel niet rechtstreeks vertraagt, niet dat er geen andere vertraging dreigt bij een stelsel dat al sinds 2014 in ontwikkeling is. Hard is vooral de agenda: begin 2027 staat de basis, in datzelfde jaar sluiten de eerste publieke dienstverleners aan en opent de markt voor private inlogmiddelen.

Naast die agenda loopt een tweede spoor, over wie de sleutels vasthoudt. De eigendomsstrijd rond Solvinity en de kabinetsvoorkeur om DigiD op termijn op een soevereine overheidscloud te draaien, met een aanbesteding via de wet voor defensie- en veiligheidsopdrachten gaan over dezelfde vraag. Het eerste spoor bepaalt wanneer je aansluit, het tweede bij wie je dat doet.