DDoS-aanval verstoort DigiD en toegang tot de Belastingdienst

Een DDoS-aanval maakte DigiD en DigiD Machtigen op 30 oktober 58 minuten deels onbeschikbaar; het AD meldde dat ook de toegang tot de Belastingdienst werd geraakt.

Een deel van de ondernemers die DigiD voor Mijn Belastingdienst Zakelijk gebruiken, kon tijdelijk niet inloggen. De storing viel op de dag voor de uiterste datum van de btw-aangifte over het derde kwartaal, 31 oktober. Het portaal accepteert ook eHerkenning en Europese inlogmiddelen, dus DigiD-uitval trof niet iedere zakelijke gebruiker op dezelfde manier.

De DigiD-site bleef online

De storing zat in de inlogvoorziening; DigiD.nl zelf bleef online. Het AD meldde dat sommige gebruikers niet via de app konden inloggen. Omdat DigiD ook toegang geeft tot Mijn Belastingdienst Zakelijk, raakte de storing ook een deel van de fiscale toegang.

Logius registreerde het begin om 13.22 uur en het einde om 14.20 uur. DigiD was daarna weer volledig beschikbaar. De laatste statusupdate kwam om 14.49 uur. De tijdstippen leggen de duur vast, maar noemen geen aantal mensen dat op dat moment niet kon inloggen.

NL Times meldde dat Allestoringen ongeveer 4.500 klachten over DigiD en net geen 500 over de Belastingdienst registreerde tussen 13.00 en 14.30 uur. Dat zijn meldingen van gebruikers, geen telling van unieke personen of mislukte inlogpogingen. Het meetvenster loopt bovendien tien minuten door na het officiële einde van de storing. De cijfers laten zien dat gebruikers problemen ervoeren, maar geven geen exact aantal mislukte transacties.

Een veelgebruikte digitale voordeur

Logius telde in 2025 645 miljoen DigiD-inlogacties, tegenover ruim 550 miljoen in 2024. DigiD Machtigen werd vorig jaar 16,6 miljoen keer gebruikt. Het gaat om handelingen, niet om unieke gebruikers; de cijfers tonen hoe vaak DigiD onderdeel is van digitaal contact met overheid en bedrijven.

Op 7 oktober meldde staatssecretaris Van der Burg dat DigiD dagelijks DDoS-aanvallen te verwerken krijgt. Het merendeel wordt opgevangen zonder dat de beschikbaarheid terugloopt. In 2026 waren er volgens het kabinet wel meer aanvallen met merkbare impact, die ook ingewikkelder en gerichter werden. De staatssecretaris zei te onderzoeken hoe DigiD daar beter tegen bestand kan worden.

Dezelfde brief noemt voor januari tot en met augustus 2026 een gemiddelde beschikbaarheid van 99,57 procent, tegenover een norm van 99,5 procent. Dat is lager dan 99,93 procent in 2024 en 99,65 procent in 2025. Gepland onderhoud telt niet mee in de meting. Volgens de brief worden veel onderbrekingen binnen vier klokuren verholpen, maar DDoS-aanvallen kunnen langer duren. Deze gemiddelden zeggen niet hoeveel inlogpogingen op 30 oktober mislukten, op welke diensten de storing doorwerkte of hoe lang een individuele gebruiker geen toegang had.

Een oefening ging aan de storing vooraf

Een DDoS-aanval probeert een dienst met zeer veel gelijktijdig verkeer te overbelasten. Op 6 oktober, 24 dagen voor de storing, oefenden Logius en de Belastingdienst samen het herkennen van afwijkend verkeer en hun gezamenlijke respons. De oefening richtte zich op afstemming tussen specialisten en gezamenlijk optreden. Logius schrijft dat de lessen uit de oefening worden gebruikt om de werkwijze te verbeteren.

De openbare terugblik geeft geen resultaten, meetwaarden of voorbeelden van aanpassingen. Daardoor is niet vast te stellen hoe goed de oefening de organisaties op de aanval van 30 oktober voorbereidde. Wel laat de korte afstand tussen oefening en incident zien dat DDoS-bestrijding voor beide diensten een lopend operationeel vraagstuk is.

De overheid heeft eerder een voorkeur uitgesproken om DigiD op termijn op een soevereine overheidscloud te laten draaien. In die aankondiging stond nog geen hard tijdpad; bij de mogelijke overdracht van kennis naar een nieuwe leverancier is zes tot twaalf maanden uitgetrokken, omdat het platform maatwerk is. Die stap gaat over wie de infrastructuur beheert; de aankondiging noemt geen directe oplossing voor deze DDoS-aanval.

De storing is voorbij, het onderzoek loopt

Een DDoS-aanval richt zich op bereikbaarheid. Logius onderzoekt nog de oorzaak en gevolgen, doet aangifte en bekijkt of gegevens van gebruikers zijn buitgemaakt. Wie de aanval uitvoerde is niet bekend. Op basis van de storingsmelding alleen is daarom geen conclusie over datadiefstal te trekken.

Bij Ahold Delhaize startte de politie eerder een onderzoek terwijl de technische details en oorzaak van de cyberaanval onbekend bleven. Dat was een andere gebeurtenis en zegt niets over de techniek of gegevens in de DigiD-zaak.

Voor organisaties die op digitale overheidsdiensten leunen, is de praktische vraag ook wat er tijdens een tijdelijke blokkade met hun eigen klantcontact, deadlines en ondersteuningswerk gebeurt. Een geoefend incidentdraaiboek en alternatieve communicatieroutes helpen die interne continuïteit te organiseren, al kunnen ze de DigiD-dienst zelf niet herstellen.

De storing valt in een jaar waarin het kabinet meer DDoS-aanvallen met merkbare impact op DigiD meldt. De openbare gegevens geven geen aantal mislukte logins of gevolgen voor aangiften. Of gebruikersgegevens zijn buitgemaakt, moet blijken uit het lopende onderzoek van Logius.