Ministerie: alleen Europese bedrijven mogen straks DigiD beheren
In dit artikel:
Het ministerie van Binnenlandse Zaken (BZK) heeft besloten de aanbesteding voor hosting van DigiD en MijnOverheid te beperken tot Europese partijen en het proces via de Aanbestedingswet op defensie- en veiligheidsgebied (ADV) te laten lopen. Die route maakt het mogelijk niet-Europese bedrijven uit te sluiten en de procedure deels geheim te houden. De stap is een directe reactie op de voorgenomen overname van huidige beheerder Solvinity door het Amerikaanse Kyndryl.
Solvinity, van oorsprong Nederlands en eigendom van investeerder Vitruvian Partners, host de systemen tot augustus 2028; daarna moet het platformbeheer opnieuw worden aanbesteed. BZK informeerde de Kamercommissie Digitale Zaken op 21 mei over het voornemen. De keuze volgt op zorgen dat Amerikaanse wetgeving Amerikaanse autoriteiten de mogelijkheid geeft om toegang tot systemen als DigiD af te dwingen; onderzoek van Follow the Money toonde in december aan dat die vrees reëel is. Eerder probeerde staatssecretaris Eddie van Marum die zorgen te pareren (november 2025), maar die geruststelling bleek onvoldoende.
De nieuwe aanbestedingskoers heeft directe financiële en bestuurlijke gevolgen: zonder zicht op het lucratieve DigiD-contract vanaf 2028 — naar schatting goed voor tientallen miljoenen omzet — wordt de overname van Solvinity minder aantrekkelijk voor Kyndryl. Vorige week verbood staatssecretaris Willemijn Aerdts (EZK), op advies van het Bureau Toetsing Investeringen, daarom de voorgenomen overname. Staatssecretaris Eric van der Burg (BZK) kondigde aan naar de aanbestedingseisen te kijken en “uiteraard te leren van het verleden.”
Het uitsluiten van niet-Europese partijen is geen allesomvattende oplossing. Een bedrijf kan na toewijzing alsnog van eigenaar veranderen. Veelal wordt in zulke contracten daarom een change-of-control-clausule opgenomen, waarmee BZK de overeenkomst kan beëindigen als eigendomssituaties veranderen. Daarnaast is een uitgewerkte exitstrategie essentieel om hosting snel naar een andere aanbieder over te zetten — iets wat BZK eerder niet kon: het contract met Solvinity is onlangs verlengd tot 2028 omdat een overstap te weinig tijd zou kosten (normaal 6–12 maanden).
Daarnaast brengt Solvinity dienstverlening aan het ministerie van Justitie en Veiligheid, het Openbaar Ministerie, de rechtspraak en andere ketenpartners in beeld. Deze contracten verwerken uiterst gevoelige data (strafdossiers, e-mailverkeer, interne netwerken) die aantrekkelijk zijn voor buitenlandse inlichtingendiensten. JenV moet zijn contract vanaf 2032 opnieuw aanbesteden, en ook daar rijst de vraag of Amerikaanse partijen mogen meedingen.
Kortom: BZK kiest voorlopig voor Europese leveranciers en meer geheimhouding om risico’s van buitenlandse greep op vitale overheidssystemen te verkleinen, maar juridische waarborgen, exitregelingen en bredere ketenrisico’s blijven onopgeloste aandachtspunten.