‘Inside the DigiD storm’ – keynote Pieter van Oordt op Cybersec

Afhankelijkheid van buitenlandse technologiepartners kan onaanvaardbare risico’s opleveren. Dat werd glashelder bij de voorgenomen overname van Solvinity, beheerder van DigiD. Klokkenluider Pieter van Oordt laat op persoonlijke titel in zijn keynote op Cybersec Netherlands zien hoe een ogenschijnlijk commerciële overname kon uitgroeien tot een vraagstuk over de bedreiging van publieke belangen.

Zodra een kritieke it-leverancier van eigenaar verandert, worden de vragen over digitale soevereiniteit ineens concreet. Heeft buitenlandse wetgeving invloed op de controle over de systemen en de data-integriteit? En is de continuïteit van essentiële dienstverlening gegarandeerd?

De voorgenomen overname van het Nederlandse it-bedrijf Solvinity door het Amerikaanse Kyndryl maakte die vragen zichtbaar. Solvinity beheert het platform Picard waarop belangrijke digitale overheidsdiensten als DigiD, MijnOverheid en Digipoort draaien. Een verandering van eigendom van Solvinity riep daarmee vragen op die veel verder gingen dan een reguliere commerciële transactie. Welke gevolgen heeft dit voor de maatschappij en de veiligheid? Welke wetgeving is van toepassing op een beheerder van een platform? Wie kan toegang krijgen tot systemen en data van de digitale overheid? En wat gebeurt er wanneer geopolitieke ontwikkelingen rechtstreeks invloed krijgen op een technologiepartner?

Juist deze casus vormt de basis voor de keynote ‘Inside the DigiD storm: digital sovereignty and the story of a whistleblower’, die Pieter van Oordt verzorgt tijdens Cybersec Netherlands 2026. Vanuit zijn persoonlijke betrokkenheid bij de Solvinity-casus laat hij zien hoe een ogenschijnlijk commerciële overname kan uitgroeien tot een vraagstuk over de bedreiging van publieke belangen, waaronder de nationale veiligheid en het functioneren van vitale diensten in de samenleving.

Eigendom is geen controle

Een belangrijke misvatting rond digitale soevereiniteit is dat het voldoende is om data fysiek binnen Nederland of Europa op te slaan. In werkelijkheid is de vraag veel complexer. Controle wordt bepaald door factoren als waar de systemen draaien, wie de cryptografische sleutels beheert, wie toegang heeft, welke contracten zijn afgesloten en onder welke jurisdictie een leverancier valt. Kan een technologiepartner buitenlandse inmenging daadwerkelijk uitsluiten of is er wetgeving in het land van de moederonderneming die ingrijpt op het Europese grondgebied? En kan toepassing van die wetgeving afgedwongen worden?

Daarmee kan een organisatie op papier eigenaar zijn van haar data, maar in de praktijk toch afhankelijk blijven van een externe partij die bepaalt hoe die data wordt verwerkt, beveiligd of beschikbaar gesteld. Voor publieke organisaties wordt dat vraagstuk nog gevoeliger. Diensten als DigiD, MijnOverheid en DigiPoort vormen een essentieel onderdeel van de digitale overheid. Een verstoring daarvan raakt niet alleen it, maar direct burgers, bedrijven en de continuïteit van de publieke dienstverlening.

Europese strijd om digitale soevereiniteit

Zoals het grondgebied van de Europese Unie onbetwist is, zo zou ook de digitale soevereiniteit van de Europese Unie onbetwist moeten zijn. Dat is een eenvoudige stelling die lastig uit te voeren is. En met de overname van Solvinity is dit de plek waar daadwerkelijk een strijd wordt gevoerd. Het gaat namelijk om DigiD met 700 miljoen authenticaties per jaar, MijnOverheid met 100 miljoen overheidsbrieven en 10 miljoen digitale brievenbussen en DigiPoort als knooppunt om vertrouwelijke gegevens tussen overheidsorganisaties te laten werken. Waar cybersecurity het veld van toegankelijkheid, data-integriteit en continuïteit bestrijkt, zou de overname van Solvinity aan de VS de mogelijkheid geven om al deze onderdelen te beïnvloeden.

Het overnameverbod van Solvinity is een ijkpunt in de Europese strijd om digitale soevereiniteit. Digitale afhankelijkheid is dan ook een juridisch en geopolitiek vraagstuk waarmee bedrijven, organisaties en overheden rekening moeten houden. En bij iedere strategische technologiekeuze hoort ook de vraag wat er gebeurt als de omstandigheden veranderen.

Soevereiniteit wordt governance

Digitale soevereiniteit betekent niet dat iedere organisatie volledig onafhankelijk moet worden van buitenlandse technologie. Dat is in een mondiale digitale economie vaak simpelweg niet realistisch. Het gaat veel meer om een risicogestuurde aanpak en het behouden van voldoende handelingsvrijheid. Kun je overstappen wanneer dat nodig is? Kun je je data en systemen daadwerkelijk verplaatsen? Zijn contracten ingericht op een wijziging van eigendom? Zijn verantwoordelijkheden binnen de organisatie helder? En is er een realistisch exit-scenario wanneer een leverancier niet langer aanvaardbaar is?

Daarmee wordt soevereiniteit uiteindelijk een governance-vraagstuk. Niet alleen de cio of ciso, maar ook bestuur, inkoop, juridische functies en privacyverantwoordelijken moeten gezamenlijk bepalen welke afhankelijkheden acceptabel zijn.

Niet wachten tot crisis

De Solvinity-casus laat zien dat digitale soevereiniteit vaak pas serieus wordt besproken wanneer er daadwerkelijk iets op het spel staat. Juist daarom is het belangrijk om de logische vragen niet pas tijdens een crisis te stellen. Organisaties kunnen nu een risico- en impactanalyse doen. Daarbij zijn change-of-control-bepalingen, alternatieve leveranciers, migratiemogelijkheden, exit-strategiën, contractuele waarborgen en de verdeling van verantwoordelijkheden aandachtspunten. Zijn de soevereiniteitsrisico’s in kaart gebracht en beheersbaar? En zijn de stakeholders geïnformeerd?

Dat is ook de kern van de keynote ‘Inside the DigiD storm: digital sovereignty and the story of a whistleblower’, die Pieter van Oordt verzorgt tijdens Cybersec Netherlands 2026. Vanuit zijn persoonlijke ervaring met de Solvinity-casus laat hij zien hoe digitale afhankelijkheid, juridische macht en nationale veiligheid in de praktijk samenkomen. De belangrijkste vragen die daaruit volgen zijn hoeveel controle organisaties werkelijk hebben over de systemen waarvan ze afhankelijk zijn en welke risico’s en impact inbreuken hebben op de digitale soevereiniteit.