Digitale soevereiniteit is nog niet zo eenvoudig: wat er aan de hand is bij de overname van Solvinity

Digitale soevereiniteit klinkt als een helder streven: zelf kunnen bepalen wie toegang heeft tot onze data, onze systemen en onze digitale infrastructuur. Maar in de praktijk blijkt vaak hoe ingewikkeld die ambitie is. De discussie rond DigiD en Solvinity laat dat scherp zien. Want als de digitale sleutel tot belastingzaken, zorggegevens, pensioenen en overheidsdiensten afhankelijk is van commerciële leveranciers, buitenlandse eigenaren en internationale wetgeving, wie heeft dan uiteindelijk de controle? Het kabinetsbesluit om de overname van Solvinity door het Amerikaanse Kyndryl te blokkeren, is daarom een goed voorbeeld van de uitdagingen bij digitale soevereiniteit. Wat is er precies aan de hand?

Wat is er aan de hand?

Op dinsdag 26 mei kopte de NRC “Kabinet blokkeert Amerikaanse overname van cloudbedrijf Solvinity (DigiD)”. De geplande overname zou zijn door het Amerikaanse Kyndryl, een IBM-spin-off. Daarmee zou DigiD dus in Amerikaanse handen komen. Parlementariërs, burgers en opiniemakers kwamen hier al eerder tegen in verzet, o.a. met rechtszaken en een online petitie waarin werd opgeroepen de overname te blokkeren. Ook de Tweede Kamer wilde de overname blokkeren.

Het uiteindelijke besluit om de geplande overname van Solvinity door Kyndryl te blokkeren is gebaseerd op een advies van het Bureau Toetsing Investeringen (BTI): de overname is getoetst aan de Wet ongewenste zeggenschap telecommunicatie (WOZT). De staatssecretaris voor digitalisering, Willemijn Aerdts, heeft dit dinsdag 26 mei in een brief aan de Tweede Kamer met een uiterst beknopte samenvatting gedeeld. Ze schrijft dat BTI heeft geconcludeerd dat de beoogde overname van Solvinity “mogelijk een risico vormt voor het publieke belang” en daarom een “volledig verbod” adviseert. Dat neemt ze over.

Bescherming van digitale infrastructuur

Het punt is dat de Nederlandse burger met behulp van DigiD inlog toegang krijgt tot zo’n beetje alles, van overheidsdiensten (bijv. belastingdienst) en pensioengegevens tot medische dossiers (EPD). En Solvinity beheert tevens Mijn Overheid. Door de overname door het Amerikaanse Kyndryl komt de Nederlandse digitale soevereiniteit dus ernstig in gevaar. Amerika zou daarmee in staat zijn om de digitale toegang van Nederlandse burgers tot deze diensten via DigiD te blokkeren. Geen fijn vooruitzicht.

Het besluit om Kyndryl te verbieden Solvinity te kopen is een ingrijpend en uniek besluit. Maar wel een stap die past in een trend om internationale spelers minder snel een belangrijk rol te geven in cruciale sectoren. Het beschermen van digitale infrastructuur is een politieke kwestie geworden.

Petra Claessen van de BTG zegt hier (terecht) over: “Cloud, dataopslag, digitale identiteit en connectiviteit zijn geen gewone bedrijfsprocessen meer. Ze vormen de ruggengraat van de digitale samenleving. Wanneer daar risico’s ontstaan of onduidelijkheid over bestaat, moet sneller duidelijk worden welke afwegingen worden gemaakt en welke publieke belangen voorop staan.”

In de aflevering van 2 juni 2026 van de podcast Schaduwoorlog (“Bondgenoot of bully?: hoe de VS Nederlandse tech handhavers intimideert”) analyseren Annieke Kranenberg en Huib Modderkolk de omslag in de relatie met de Verenigde Staten, die onder druk van de tech lobby steeds vaker opereert als een agressor in plaats van als een bondgenoot. Europese pogingen om Big Tech te reguleren via de Digital Services Act (DSA) worden in Washington geframed als een ideologische strijd: ‘censuur’, ‘protectionisme’ vanuit Europa. Steen des aanstoots voor Amerikaanse tech bedrijven en het Witte Huis. Terwijl wij als Europa juist bevreesd zijn voor de Cloud Act van Amerika (sinds 2018): een wet die ervoor zorgt dat Amerikaanse federale autoriteiten U.S.-based technologiebedrijven kan dwingen om data aan te leveren die waar ook ter wereld is opgeslagen.

Soevereiniteit al eerder in het geding

Duiken we hier iets dieper in dan zien we dat het van oorsprong Nederlandse bedrijf dat DigiD beheert (Solvinity) en hoofdzakelijk voor de Nederlandse overheid werkt reeds in 2014 in Britse handen is gekomen: “Vitruvian verwierf in 2014 een meerderheid in het van oorsprong Nederlandse Solvinity” (NRC, 27 mei 2026).

Je zou dus kunnen betogen dat het toen al aardig is misgegaan met betrekking tot digitale soevereiniteit (‘avant-la-lettre’). Sindsdien is Solvinity in Britse handen. De eigenaar, Vitruvian Partners, had het bedrijf al langer dan beoogd in bezit en wilde het bedrijf graag verkopen. Door de verkoop aan Kyndryl hoopten ze eraan te verdienen, maar dat gaat nu dus niet door.

Kyndryl en Defensie en het programma GrIT

Nog even terug naar dat bedrijf Kyndryl, maar dan in verband met Defensie. Het Amerikaanse bedrijf is namelijk ook betrokken bij de ICT-infrastructuur van Defensie. Als onderdeel van het miljarden programma GrIT, Grensverleggende IT, zijn ze sinds 2014 betrokken bij de verbouwing van de hele ICT-infrastructuur. Het roept natuurlijk de vraag op waarom Kyndryl wel betrokken kan zijn bij Defensie, maar niet DigiD mag beheren.

In de Tweede Kamer hadden ze hier ook vraagtekens bij (NRC, 26 februari). Het antwoord van Defensie komt erop neer dat de situatie wezenlijk anders is. Medewerkers van Kyndryl hebben, na screening door de MIVD, toegang tot onderdelen van de Defensie-omgeving. Maar volgens Defensie kan Kyndryl die infrastructuur niet zelfstandig aan- of uitschakelen. Ook loopt de data van Defensie niet via platformen of apparatuur die Kyndryl zelf beheert. Bij DigiD zou dat risico anders liggen.

Toch maakt deze vergelijking duidelijk hoe complex digitale soevereiniteit in de praktijk is. Kyndryl wordt blijkbaar wél vertrouwd als partner in een langdurig en strategisch Defensieprogramma, maar niet als mogelijke eigenaar van een bedrijf dat een cruciale digitale toegangspoort voor Nederlandse burgers beheert. Dat verschil laat zien dat het niet alleen gaat om de nationaliteit van een leverancier, maar vooral om zeggenschap, toegang, afhankelijkheden en de mogelijkheid om in te grijpen.

Daarbij speelt ook de tijdgeest mee. Toen GrIT in 2014 van start ging, stond digitale soevereiniteit nog lang niet zo prominent op de politieke agenda als nu. De afhankelijkheid van Amerikaanse technologie werd toen minder snel als strategisch risico gezien. Inmiddels is dat veranderd. De discussie rond Solvinity en DigiD laat zien dat de overheid scherper kijkt naar wie controle heeft over digitale infrastructuur die essentieel is voor burgers, overheid en samenleving.

Hoe nu verder met Solvinity?

De overheid kan diensten zoals DigiD op dit moment niet zelf beheren, omdat de ministeries niet genoeg mensen hebben met de juiste technische kennis. Daardoor is de overheid afhankelijk van de markt en zal dat voorlopig dus ook blijven van Solvinity. De overheid heeft het DigiD-contract met Solvinity dit voorjaar dan ook verlengd tot augustus 2028 (NU.nl, 6 mei 2026). Voorlopig verandert er dus weinig aan het beheer van DigiD.

Het ministerie van Binnenlandse Zaken bereidt inmiddels voor de periode daarna een nieuwe aanbesteding van het DigiD-contract voor. Ondanks dat het geen garantie biedt voor de toekomst, ligt het wel voor de hand dat daarin specifieke eisen staan, zoals een voorkeur voor een Nederlands of anders een Europees bedrijf. Overigens is er eerder interesse geweest vanuit Nederlandse ondernemers om Solvinity over te nemen. Zij hebben Vitruvian Partners een bod gedaan, maar dat heeft uiteindelijk niet tot serieuze onderhandelingen geleid (NRC, 27 mei 2026).

NL Wallet, een mogelijke opvolger

Er bestaat ook al een opvolger van DigiD, genaamd NL Wallet. Vermoedelijk neemt op termijn dit identificatiesysteem de plaats in van DigiD. NL Wallet kan straks meer dan DigiD. In alle lidstaten van de Europese Unie kunnen burgers zich er op een veilige manier mee identificeren. Ze kunnen er ook documenten mee delen, bijvoorbeeld een inkomensverklaring met een verhuurder, of een schooldiploma met een universiteit. En NL Wallet kan ook worden gebruikt voor het ondertekenen van een digitaal document.

Maar in een artikel op 2 juni 2026 van Follow The Money lezen we hierover: “Gedoodverfd opvolger van DigiD is niet te gebruiken zonder Gmail-account of Apple-ID.” Oftewel: zonder Amerikaanse tech zou je dan nog steeds niet het identificatiesysteem kunnen gebruiken. Dit zou dan nogal van de regen in de drup zijn en past nog steeds niet echt binnen het streven naar digitale soevereiniteit.

Kort geding

In de tussentijd liet Solvinity het er niet bij zitten en hebben ze een kort geding aangespannen tegen de Nederlandse Staat. Ze claimden dat het verbod het voortbestaan van het bedrijf in gevaar brengt en dat het onderzoek naar de risico’s onzorgvuldig en onvolledig was. De rechter heeft inmiddels uitspraak gedaan en grijpt niet in. Solvinity zal de lopende bezwaarprocedure moeten doorlopen en afwachten op een beslissing van de staatssecretaris, uiterlijk in september. Voorlopig blijft het verbod op de overname door Kyndryl dus staan en zullen we moeten afwachten hoe deze interessante soevereiniteitskwestie gaat eindigen.