Kabinet wil DigiD op termijn op een soevereine overheidscloud

Het kabinet wil DigiD op termijn het liefst laten draaien op een soevereine overheidscloud, los van de commerciële leveranciers waar het inlogsysteem nu op leunt. Dat schrijft staatssecretaris Van der Burg (Binnenlandse Zaken) in zijn antwoord van 25 juni op Kamervragen. Voor een systeem waarmee Nederlanders in 2024 ruim 550 miljoen keer inlogden bij de overheid, is dat geen technisch detail maar een principekeuze: wie houdt de sleutel tot de digitale overheid in handen?

DigiD is voor miljoenen mensen de voordeur naar de Belastingdienst, hun zorgverzekeraar, het pensioenfonds, de gemeente en hun zorgdossier. Juist daarom raakt de vraag waar en door wie dat systeem draait niet alleen Logius, maar elke organisatie die erop is aangesloten.

Wat het kabinet opschrijft

De kern van het antwoord is een duidelijke voorkeur. Op de langere termijn moet de levering van het platform, de infrastructuur en de datacenters achter DigiD bij voorkeur via een soevereine overheidscloud lopen, aldus de staatssecretaris. De aanbesteding wil het kabinet bovendien niet als gewone Europese aanbesteding doen, maar via de wet voor defensie- en veiligheidsopdrachten. Die route geeft meer ruimte om risico's voor de nationale veiligheid mee te wegen dan een standaardprocedure.

Logius, de beheerder en ontwikkelaar van DigiD, bereidt die aanbesteding voor. Omdat DigiD technisch maatwerk is, bouwt het kabinet een overgangsperiode van zes tot twaalf maanden in, zodat kennis kan worden overgedragen aan een eventuele nieuwe dienstverlener. Een hard tijdpad is er nog niet: de voorkeur is uitgesproken, de procedure moet nog beginnen.

Waarom de vraag nu op tafel ligt

De aanleiding zijn vragen van JA21-Kamerlid Van den Berg over de buitenlandse afhankelijkheden achter DigiD. Twee namen vallen daarbij steeds: hostingbedrijf Solvinity en het Amerikaanse Kyndryl. Toen het kabinet de verkoop van Solvinity blokkeerde om de digitale autonomie te beschermen, werd pijnlijk zichtbaar hoe verweven kritieke overheids-IT is met commerciële, deels buitenlandse partijen.

Die zorg staat niet op zichzelf. AP-voorzitter Wolfsen waarschuwde dat de halve Nederlandse overheid stil kan vallen als de VS dat wil, en het Rijk onderzoekt Nextcloud als soeverein alternatief voor Microsoft 365 om de eigen werkplek terug onder controle te krijgen. De DigiD-koers past in diezelfde beweging: soevereiniteit verschuift van speeches naar aanbestedingsdocumenten.

Wat dit voor jou betekent

Ben je een zorgaanbieder, pensioenuitvoerder, onderwijsinstelling, gemeente of woningcorporatie die op DigiD is aangesloten, dan verandert er voorlopig niets aan de koppeling zelf. Wel verandert de richting: de overheid kiest bewust voor leveranciers die zij juridisch en operationeel in eigen hand kan houden. Dat beinvloedt op termijn welke cloud- en IT-partijen overheidsopdrachten winnen, en dus ook met wie de sectoren daaromheen zakendoen.

Voor elk ander bedrijf is de les vooral een spiegel. Stel jezelf dezelfde vraag die het kabinet nu over DigiD stelt: als een leverancier morgen wegvalt of onder een ander rechtsregime komt te vallen, kan ik dan door? Dat is geen geopolitiek, maar risicobeheer dat op de directietafel hoort en niet in het partijdebat.

De voorkeur is uitgesproken, de aanbesteding moet nog beginnen en de overgang zal jaren duren. Maar de richting is helder: de voordeur van de digitale overheid wil Nederland voortaan zelf op slot kunnen doen.