Rechter buigt zich over DigiD‑veto terwijl clouddienstverlener uithaalt: ‘Als we zo gevoelig zijn, waarom kocht de Staat ons niet?’
It-dienstverlener Solvinity vindt het onbegrijpelijk waarom de Nederlandse Staat geen interesse toonde om het Amsterdamse bedrijf over te nemen dat de infrastructuur onder DigiD regelt. Als Solvinity zo belangrijk zou zijn voor de bescherming van gevoelige data dan had de overheid meteen kunnen toehappen, menen de advocaten van Solvinity en de Britse investeerder Vitruvian Partners.
Dit bleek maandag 6 juli tijdens de behandeling van de zaak van Solvinity tegen het ministerie van Economische Zaken. De rechtbank Rotterdam boog zich over de blokkade op de verkoop van Solvinity aan het Amerikaanse Kyndryl. Dit gebeurde op advies van het Bureau Toetsing Investeringen (BTI) dat de transactie betitelt als een risico voor het publieke belang.
Solvinity verweert zich tegen het veto, niet in de laatste plaats omdat nooit helemaal duidelijk is geworden welke gevaren het ministerie precies ziet. D66-staatssecretaris Willemijn Aerdts (Digitale Economie en Soevereiniteit) en haar ambtenaren willen echter niets van openbaarmaking weten. Want dat zou Logius, de dienst van Binnenlandse Zaken die DigiD in de lucht houdt, kunnen schaden. Om die reden was een deel van de druk bezochte rechtszitting maandag besloten.
Onterechte toetsing
Wat nog tijdens het openbare deel naar buiten kwam, was dat Solvinity een toetsing op grond van de Wet ongewenste zeggenschap telecommunicatie (WOZT) onterecht vindt. Bovendien claimt het bedrijf maatregelen te kunnen bieden die de zorgen technisch kunnen wegnemen. Volgens tech-expert Bert Hubert erkent Solvinity daarmee dat er een gevaar is. Logius zou overigens akkoord zijn gegaan met de handreiking van het bedrijf.
De advocaten van het ministerie ontkennen ten stelligste dat het verbod een politiek gedreven achtergrond heeft en geen feitelijke basis kent. In het besloten deel werd daar meer over gezegd. Ook weerspraken zij de stelling van Solvinity dat de gehele Nederlandse digitale infrastructuur al jaren in gevaar zou zijn als Amerikaans eigenaarschap van leveranciers een probleem vormt. ‘Er is echt zorgvuldig onderzoek geweest. ‘De staatssecretaris heeft wel degelijk oog gehad voor de belangen van Solvinity,’ aldus de landsadvocaat.
‘Maar Solvinity heeft toegang tot allemaal bijzondere overheidsinformatie. En deze informatie kan door Amerikaanse wetgeving opgevraagd worden,’ aldus de advocaat die stelt dat Solvinity echt een apart verhaal is. De rechter onderzoekt nu of er haast bij is om het verbod te stoppen maar er is de nodige twijfel. Zoiets gebeurt alleen als de overheid een enorme fout heeft gemaakt die niet meer te herstellen is. De rechter geeft aan dat dit erg moeilijk te bewijzen is. De voorzieningenrechter doet binnen twee weken uitspraak.
Dat de Staat Solvinity niet wilde kopen staat los van het verkoopverbod. Alleen omdat de Staat het niet wilde kopen geeft de eigenaren van Solvinity niet een mandaat om het bedrijf te verkopen aan een Amerikaans bedrijf als daarmee de nationale veiligheid wordt geschaad.
De overheid loopt zich wel weer in een hoek te verven door de motivatie geheim te houden en te baseren op geheime onderzoeken van de AIVD. Waarom niet gewoon openlijk uitten dat het Amerikaanse CLOUD Act hier debet aan is?
Het zijn net bange schapen daar in Den Haag.
De opmerking van Bert Hubertus is naar mijn mening ook maar zand in de ogen strooien. Elk bedrijf kan meer doen aan beveiliging, alleen het is altijd een balans tussen werkbaarheid en risico.
Ik denk niet dat Solvinity de beveiliging had kunnen verbeteren zodat er geen risico meer was geweest. Versleutelde databases zijn mogelijk, maar zeer ingewikkeld om te ontwikkelen (ik spreek hier uit ervaring) en wordt daarom vrijwel nooit toegepast. Zeker niet als er toch geen sancties zijn als het mis gaat.
Ik vermoed dat Solvinity wat cosmetische ingrepen heeft voorgesteld, zoals logging of toegangscontrole, om een argument te hebben in een rechtszaak of een overnameverbod.
Het grootste probleem is volgens mij dat de Amerikaanse wet het mogelijk maakt om data op te vragen waarbij de betrokkenen niet geïnformeerd mogen worden (“gag order”). Dat maakt het vrijwel onmogelijk voor de Nederlandse overheid om te controleren en is een ontoelaatbaar risico. Dat geldt overigens voor alle Amerikaanse ICT diensten, inclusief e-mail van Microsoft, Google etc.
Eventueel zelf kopen staat inderdaad los van verkoopverbod.
Die balans tussen werkbaarheid en risico wordt wel lastig te bepalen als de staat zo geheimzinnig doet over de risico’s. Eerst werd de tweede kamer helemaal niet ingelicht. Nu wel, maar het publiek niet. Wie praat nu over wat met welke informatie ?
Ik hoor trouwens niets meer over dat vermeende Nederlandse bedrijf dat Solvinity wilde overnemen maar het mis liep op “een paar miljoen euro.”