Bert Voorbraak stopt onverwachts als algemeen directeur bij Logius, de uitvoeringsorganisatie die de DigiD-software ontwikkelt en beheert. De Logius-topman kondigt op zijn 64ste zijn pensioen aan, iets eerder dan collega-ambtenaren die gemiddeld op de leeftijd van 65 jaar en 2 maanden vertrekken. Zijn vertrek vindt plaats na een turbulente periode rond DigiD-infrastructuur.
Nog niet bekend is wie Voorbraak gaat opvolgen. Een vacature is inmiddels uitgezet. In een mail aan zijn contacten schrijft hij meer tijd met zijn gezin en familie te willen doorbrengen. Hij blijft aan tot zijn opvolger is aangesteld.
De affaire Solvinity, de Amsterdamse dienstverlener die de technische infrastructuur onder DigiD beheert, heeft diepe sporen bij Logius achtergelaten.
Toen bekend werd dat Solvinity overgenomen zou worden door het Amerikaanse Kyndryl, ontstond er grote maatschappelijke en politieke ophef. Men vreesde voor de privacy, digitale soevereiniteit en de mogelijke invloed van de Amerikaanse overheid (via de US Cloud Act) op cruciale Nederlandse infrastructuur.
Klokkenluider
De affaire kwam in een stroomversnelling toen de chief privacy officer (cpo) van Logius, Pieter van Oordt, als klokkenluider naar buiten trad. Van Oordt beschuldigde het ministerie van Binnenlandse Zaken en de leiding van Logius van het negeren van de privacy- en veiligheidsrisico’s en van het bewust buiten beschouwing laten van DigiD in rapportages en Kamerbrieven.
Voorbraak, gesteund door de ambtelijke top van BZK, nam het Van Oordt kwalijk dat hij naar buiten trad met zijn zorgen over de overname van Solvinity.
Dit leidde tot zijn schorsing van de chief privacy officer bij Logius, een besluit waar een deel van het Logius-personeel moeite mee had. Voorbraak wordt gezien als de man die klokkenluider Van Oordt het (ambtelijk) leven zuur maakte.
Gevoelige zaak
Een woordvoerder van Logius ontkent dat het vertrek van Voorbraak die 2 jaar en 9 maanden deze uitvoeringsorganisatie van het ministerie van BZK heeft geleid, neerkomt op een vervroegde pensionering. De vraag is wat het dan wel is.
Vaststaat dat het dossier Solvinity zeer gevoelig is voor fouten. Logius voerde als beheerder van DigiD een interne veiligheids- en risicoanalyse uit. Hierin waarschuwde de organisatie expliciet voor de veiligheids- en privacyrisico’s van een Amerikaanse overname.
Uit openbaar gemaakte informatie bleek dat de voorgestelde risicobeperkende maatregelen ‘niet waterdicht’ waren. Ook klonk er kritiek over het feit dat deze risicoanalyse niet (of onvolledig) werd gedeeld met de Tweede Kamer.
Onvoldoende kennis
Uit de affaire bleek dat Logius niet zomaar afscheid kon nemen van de omstreden hoster. Het kabinet liet weten dat Logius zelf over onvoldoende kennis, capaciteit en infrastructuur beschikt om het beheer van het platform op korte termijn volledig in eigen hand te nemen, waardoor de overheid in een afhankelijke positie zat.
Begin dit jaar had Logius een kans om van Solvinity als DigiD-hoster af te komen. De Tweede Kamer deed op 21 april een dringend beroep op de regering om af te zien van verlenging van het DigiD-contract met Solvinity. Maar kort daarna bleek dat het ministerie van BZK al op 27 maart had besloten dat Logius zijn contract met Solvinity mag verlengen met twee jaar. Alles was dus al bekokstoofd. De verlenging ging in augustus in.
Tech-expert Bert Hubert zei eerder dat verhuizing van DigiD binnen een half jaar valt te regelen. Dit betekent dat als Logius in januari was begonnen met de voorbereiding van de migratie, een overstap mogelijk was geweest. Ook om deze reden is er al geruime tijd discussie over de rol van deze uitvoeringsorganisatie.
