Staatssecretaris Willemijn Aerdts (Economische Zaken en Klimaat) verbiedt de overname van Solvinity door het Amerikaanse Kyndryl. Hiermee wordt voorkomen dat DigiD onder de invloedssfeer van de regering Trump komt.
Aerdts volgt met deze vergaande maatregel het advies van het Bureau Toetsing Investeringen (BTI). De toezichthouder die de veiligheidsrisico’s van de voorgenomen transactie onderzocht, adviseert een volledig verbod.
BTI concludeert dat deze beoogde overname van Solvinity mogelijk een risico vormt voor het publieke belang. Deze toetsing is gebaseerd op de Wet ongewenste zeggenschap telecommunicatie (WOZT). Solvinity, die het beheer van het DigiD-platform ondersteunt, geldt als onderdeel van de digitale infrastructuur. Het besluit van Aerdts is op Pinkstermaandag genomen. Er was haast mee omdat voltooiing van de transactie aanstaande was. Het gebeurt zelden dat het BTI overnames verbiedt.
BTI
De staatssecretaris benadrukt in een brief aan de Tweede Kamer dat de investeringstoets risico-gebaseerd is. Het BTI oordeelt landenneutraal. Dat wil zeggen dat er geen sprake is van anti-Amerikaanse gevoelens. Het gaat er alleen om risico’s voor het publieke belang te voorkomen. De WOZT is gelijkelijk van toepassing op alle investeerders, ongeacht het land van herkomst. Aerdts voegt hier aan toe dat Nederland grote waarde hecht aan de aanwezigheid van buitenlandse, waaronder nadrukkelijk ook Amerikaanse technologiebedrijven en hun bijdrage aan de Nederlandse economie en digitale infrastructuur.
Doemscenario
De brief laat onvermeld welke risico’s precies zijn meegewogen. De Tweede Kamer krijgt daar in een vertrouwelijk overleg nog een toelichting op. Vooral uitval van DigiD als de regering in Washington Nederland wil ‘straffen’ is een doemscenario dat zeker onder ogen zal zijn genomen. Ook was er brede maatschappelijke angst dat persoonlijke gegevens van Nederlandse burgers bij de regering Trump zouden belanden. Er bestonden ook twijfels of mitigerende maatregelen voldoende zouden zijn om de beschikbaarheid en privacy te waarborgen. Kyndryl zegt in een persverklaring ‘uiterst teleurgesteld’ te zijn over het verbod. De it-dienstverlener voelt zich slachtoffer van ‘de politisering van het proces’.
Nou nou, digid gered.
Feiteljk is een overname geblokkeerd en zo melden andere media dit ook.
Interessant, dat politiek bochtenwerk.
Geen anti-Amerikaanse gevoelens.
Ze vormen alleen een risico, ze zijn namelijk niet betrouwbaar gebleken 😉
“Aerdts voegt hier aan toe dat Nederland grote waarde hecht aan de aanwezigheid van buitenlandse, waaronder nadrukkelijk ook Amerikaanse technologiebedrijven en hun bijdrage aan de Nederlandse economie en digitale infrastructuur.”
Maar vervolgens het doemscenario.
In het kader van openheid, pas toe of leg uit, doen ze dat dus niet 😛
Dan krijg je van die berichtgeving als: “dat zeker onder ogen zal zijn genomen”
Kyndryl is boos en vindt zich slachtoffer van de “politisering van het proces”.
Het gejammer als ze zelf een keer “the cards” niet hebben.
Gelukkig voelt de politiek zich blijkbaar nog steeds verantwoordelijk voor de nationale veiligheid.
Nu nog een great verzoeningsgesprek met “the wonderful people of Kyndryl”.
Het kan heel goed zijn dat Kyndryl in een rechtszaak aanbrengt dat de overheid zijn meest gevoelige communicatie (email van de Tweede Kamer en regering) bij een Amerikaans bedrijf onderbrengt en dat die gehouden zijn aan de CLOUD Act en dat het verbieden van deze overname daarom politiek gemotiveerd en geen extra risico’s met zich meebrengt.
Ik durf niet te stellen dat ze daarin ongelijk gaan krijgen.
Op zich een goed besluit. Maar waarom heeft het zo lang moeten duren voordat dit genomen werd? Waarom heeft het BTI er zolang over moeten nadenken dat dit een slecht idee was?
Ook vind ik de passage dat het besluit niet anti-Amerikaans is en dat NL grote waarde hecht aan Amerikaanse technologie verontschuldigend overkomt. Wij hoeven helemaal geen excuses te geven voor een besluit wat onze nationale veiligheid beschermt.
Ook kan dit nog een staartje krijgen omdat de VVD aan de kant van de grote bedrijven staat en hier politieke consequenties aan gaat verbinden (Aerdts is van D66).
Als Nederland werkelijk vreest dat een bondgenoot een cruciale digitale dienst zou kunnen beïnvloeden, dan zegt dat minder over DigiD en meer over hoe afhankelijk onze digitale infrastructuur inmiddels is geworden van buitenlandse technologie. De Solvinity-discussie gaat tenslotte niet over een vlag op een datacenter maar over de vraag wie de juridische, economische en technische machtspositie bezit over zoiets als Internet wanneer de belangen botsen.
De mogelijkheid dat Amerikaanse autoriteiten gegevens kunnen opeisen geldt immers ook voor onze eigen veiligheids- en inlichtingendiensten. Het fundamentele vraagstuk is ook niet zozeer welke overheid bevoegdheden heeft maar welke waarborgen burgers hebben tegen misbruik van deze bevoegdheden. Want veel discussies gaan over risico’s van buitenlandse invloed terwijl de meest directe invloed vaak afkomstig is van onze eigen overheid. Deze koppelt burgers tenslotte aan een administratieve werkelijkheid van registraties, identificatiemiddelen en een gegevensuitwisseling vanwege financiële belangen. Want zodra belastingen, zorg, onderwijs, toeslagen, pensioen, vergunningen, uitkeringen en identificatie aan één digitale identiteit worden gekoppeld ontstaat er iets wat meer invloed heeft op het dagelijkse leven van de burger dan de regering Trump.
Ik zat te denken: volgens mij kunnen de Amerikanen al lang bij de data van DigiD want Solvinity is eigendom van een Brits investeringsfonds en die heeft weer een kantoor in Amerika. Die zijn daardoor gehouden aan de Amerikaanse wetgeving inclusief de CLOUD Act.
De Amerikanen (bij monde van de ambassadeur) wilden dat er natuurlijk niet inwrijven maar volgens mij hebben ze wel zoiets gesuggereerd.
De ambassadeur heeft gewezen op een mogelijke dubbele agenda want het Verenigd Koninkrijk maakt deel uit van de Five Eyes-inlichtingenalliantie met de Verenigde Staten, Canada, Australië en Nieuw-Zeeland. Historisch is al meermaals gebleken dat binnen deze samenwerking informatie wordt verzameld en gedeeld over bevriende Europese landen wanneer nationale belangen daarom vragen. Als Amerikaanse invloed werkelijk de doorslaggevende factor was dan blijft er uitleg nodig waarom een Britse eigenaar kennelijk wel acceptabel is.
Maar de interessantere vraag ligt misschien ergens anders want terwijl het debat zich richt op de nationaliteit van een aandeelhouder groeit DigiD ondertussen uit tot één centrale toegangspoort met alle consequenties van dien. Wie zorgtoeslag wil aanvragen, belastingaangifte wil doen, pensioeninformatie wil bekijken of met de overheid wil communiceren moet immers langs dezelfde toegangspoort. En daarmee ontstaat een monopolie wat niet wordt gedreven door een marktvraag maar door bestuurlijke keuzes.
De vraag is niet alleen wie DigiD mag hosten maar ook wie dat nog wil want een dienst die zo essentieel is voor de belastinginning, uitkeringen, zorg, pensioenen en identificatie wordt politiek gevoelig en daarmee juridisch risicovol. Dat maakt de kring van potentiële aanbieders kleiner terwijl afhankelijkheid van de overheid van deze aanbieders steeds groter wordt. Want het eerdere debacle met DigiNotar ging niet om een nationaliteit maar governance, toezicht en de vraag wat er gebeurt als een onmisbare schakel faalt.
Ik ben niet helemaal op de hoogte van de Britse wetgeving maar volgens mij hebben ze niet extraterritoriale wetgeving die gegevens kan opvragen in het buitenland zoals de CLOUD Act.
Ook realiseer ik mij dat Logius niets anders is dan een inkooporganisatie van de overheid. Er zit daar vrijwel geen technische kennis. Men koopt alleen maar diensten en software in van derde partijen. Zo hoeven de ambtenaren zelf niets te doen en kunnen ze lekker de hele dag koffie drinken.