Bert Voorbraak stopt onverwachts als algemeen directeur bij Logius, de uitvoeringsorganisatie die de DigiD-software ontwikkelt en beheert. De Logius-topman kondigt op zijn 64ste zijn pensioen aan, iets eerder dan collega-ambtenaren die gemiddeld op de leeftijd van 65 jaar en 2 maanden vertrekken. Zijn vertrek vindt plaats na een turbulente periode rond DigiD-infrastructuur.
Nog niet bekend is wie Voorbraak gaat opvolgen. Een vacature is inmiddels uitgezet. In een mail aan zijn contacten schrijft hij meer tijd met zijn gezin en familie te willen doorbrengen. Hij blijft aan tot zijn opvolger is aangesteld.
De affaire Solvinity, de Amsterdamse dienstverlener die de technische infrastructuur onder DigiD beheert, heeft diepe sporen bij Logius achtergelaten.
Toen bekend werd dat Solvinity overgenomen zou worden door het Amerikaanse Kyndryl, ontstond er grote maatschappelijke en politieke ophef. Men vreesde voor de privacy, digitale soevereiniteit en de mogelijke invloed van de Amerikaanse overheid (via de US Cloud Act) op cruciale Nederlandse infrastructuur.
Klokkenluider
De affaire kwam in een stroomversnelling toen de chief privacy officer (cpo) van Logius, Pieter van Oordt, als klokkenluider naar buiten trad. Van Oordt beschuldigde het ministerie van Binnenlandse Zaken en de leiding van Logius van het negeren van de privacy- en veiligheidsrisico’s en van het bewust buiten beschouwing laten van DigiD in rapportages en Kamerbrieven.
Voorbraak, gesteund door de ambtelijke top van BZK, nam het Van Oordt kwalijk dat hij naar buiten trad met zijn zorgen over de overname van Solvinity.
Dit leidde tot zijn schorsing van de chief privacy officer bij Logius, een besluit waar een deel van het Logius-personeel moeite mee had. Voorbraak wordt gezien als de man die klokkenluider Van Oordt het (ambtelijk) leven zuur maakte.
Gevoelige zaak
Een woordvoerder van Logius ontkent dat het vertrek van Voorbraak die 2 jaar en 9 maanden deze uitvoeringsorganisatie van het ministerie van BZK heeft geleid, neerkomt op een vervroegde pensionering. De vraag is wat het dan wel is.
Vaststaat dat het dossier Solvinity zeer gevoelig is voor fouten. Logius voerde als beheerder van DigiD een interne veiligheids- en risicoanalyse uit. Hierin waarschuwde de organisatie expliciet voor de veiligheids- en privacyrisico’s van een Amerikaanse overname.
Uit openbaar gemaakte informatie bleek dat de voorgestelde risicobeperkende maatregelen ‘niet waterdicht’ waren. Ook klonk er kritiek over het feit dat deze risicoanalyse niet (of onvolledig) werd gedeeld met de Tweede Kamer.
Onvoldoende kennis
Uit de affaire bleek dat Logius niet zomaar afscheid kon nemen van de omstreden hoster. Het kabinet liet weten dat Logius zelf over onvoldoende kennis, capaciteit en infrastructuur beschikt om het beheer van het platform op korte termijn volledig in eigen hand te nemen, waardoor de overheid in een afhankelijke positie zat.
Begin dit jaar had Logius een kans om van Solvinity als DigiD-hoster af te komen. De Tweede Kamer deed op 21 april een dringend beroep op de regering om af te zien van verlenging van het DigiD-contract met Solvinity. Maar kort daarna bleek dat het ministerie van BZK al op 27 maart had besloten dat Logius zijn contract met Solvinity mag verlengen met twee jaar. Alles was dus al bekokstoofd. De verlenging ging in augustus in.
Tech-expert Bert Hubert zei eerder dat verhuizing van DigiD binnen een half jaar valt te regelen. Dit betekent dat als Logius in januari was begonnen met de voorbereiding van de migratie, een overstap mogelijk was geweest. Ook om deze reden is er al geruime tijd discussie over de rol van deze uitvoeringsorganisatie.
Het blijft een vreemde gang van zaken daar. Pieter van Oordt heeft zijn nek uitgestoken omdat mannen zoals Voorbaak zijn signaal bagatelliseerde. Vervolgens is onder andere hierdoor wel een bal gaan rollen en is gelukkig ingegrepen door de overheid om te voorkomen dat de vitale infrastructuur in de handen van een bedrijf uit de Verenigde Staten is gevallen. Ook is heel duidelijk gezegd dat we dit soort vitale zaken onder eigen soevereine vleugels moeten houden. Maar voor zover mij bekend is de heer van Oordt nog niet in ere hersteld. Misschien moeten ze hem als dank voor zijn aanhoudende zorgen maar opvolgen maken van de heer Voorbaak?
DigiD was helemaal niet vitaal geweest als het goed in elkaar had gezeten. Het had alleen maar hoeven kunnen zeggen: “Dit is inderdaad de persoon waarvan jij toen en toen hebt gezegd dat het die en die was”. Maar door het communiceren van gevoelige data en de daardoor noodzakelijke structuur met backchannels is het een kwetsbaarheid met landelijke dekking geworden waarbij duizenden instellingen en instanties moeten worden beheerd en geaccrediteerd.
Al met al wordt er door de staat iets in de lucht gehouden waarop marktpartijen onderling hadden kunnen concurreren en waarbij iedere afnemer kon kiezen uit door de dienstverlener toegelaten aanbieders. Momenteel zijn aanbieders doodgelukkig als ze naast DigiD ook sms- en email-verificatie aanbieden. Anders was Nederland de afgelopen jaren/maanden al een aantal keren in rep en roer geweest.
Het ontwerp biedt wel mooie mogelijkheden als je er nog andere dingen mee wilt dan bedoeld.
Ai, ai. Ik bedoel: “Momenteel zijn dienstverleners (niet aanbieders) doodgelukkig als ze naast DigiD ook sms- en email-verificatie aanbieden”