Den Haag greep in bij DigiD. Wie grijpt in bij jou?

Het kabinet greep in, terwijl de gegevens in de EU bleven

Op 25 mei 2026 verbood staatssecretaris Aerdts de overname van Solvinity, het bedrijf dat de infrastructuur onder DigiD en MijnOverheid levert, door het Amerikaanse Kyndryl. Er stonden geen servers op het punt om Nederland te verlaten. Geen rack, geen kabel, geen beheerder zou verhuizen.

Toch was Den Haag maandenlang in rep en roer, want iedereen begreep ineens waar het werkelijk om draait: niet waar je data staat, maar wie er de baas over is.

Ik heb kamerleden geadviseerd om de overname te blokkeren, argumenten gegeven, en indien nodig met Nederlandse bedrijven een beter bod te doen.

Wat voor DigiD geldt, geldt net zo goed voor jouw CRM, jouw mail, jouw klantdossiers en de AI-assistent die je medewerkers sinds vorig jaar gebruiken. De vraag is niet of jouw IT goed draait maar wie de stekker eruit kan trekken en bij je (meta)gegevens kan, en of jij dat kan tegenhouden.

Een server in een weiland maakt nog geen Europese cloud

Veel bestuurders denken dat het geregeld is zodra de leverancier belooft dat de data "in Europa" staat. Klinkt als een mooie belofte. Dat is residency: de plek van de hardware en de gegevens.

Soevereiniteit is iets anders, want jurisdictie volgt de eigenaar en niet de locatie. Heeft je leverancier een Amerikaans moederbedrijf, dan valt hij onder de CLOUD Act en FISA 702. Amerikaanse autoriteiten kunnen dan jouw data opvragen, en via een gag order mag de leverancier jou daar niet eens iets over vertellen.

Maar nog belangrijker: ze kunnen je ook gewoon afsluiten. Een Amerikaanse server wordt niet Europees omdat hij hier in een weiland staat, en een "sovereign cloud" van een Amerikaanse partij blijft residency met een mooi label. Dat noem ik soevereiniteitswashing.

Zo moet jij ook jouw leveranciers toetsen: niet alleen waar staat het, maar wie bezit het, wie beheert het, onder welk recht valt het, en kan ik eruit met mijn data in een open formaat.

En dan heb ik het nog niet eens over de metadata. Zoals ik eerder schreef: wat een leverancier zelf logt over jouw klanten, bezoekers en medewerkers, is zijn eigendom en niet het jouwe. Ook als je alles netjes versleutelt.

Wat nooit zou gebeuren, is al gebeurd

Drie ontwikkelingen die elk jarenlang "nooit zouden gebeuren", zijn tegelijk gebeurd.

Geopolitiek. In mei 2025 verloor de hoofdaanklager van het Internationaal Strafhof in Den Haag de toegang tot zijn Microsoft-mail, na Amerikaanse sancties. Een ander land besloot dat jouw ICT uit kon, omdat het jouw handelen niet beviel, wat je daar inhoudelijk ook van kan vinden. Het Strafhof heeft daarna zo'n 1.800 werkplekken van Microsoft 365 af gehaald. Vertaal dat eens naar je eigen bedrijf: geen mail, geen documenten, geen salaris meer uit te keren, en geen dienst meer naar de klant om te factureren. Instant uit, en mogelijk failliet.

Regelgeving. Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse NIS2. Ruwweg 8.000 tot 10.000 organisaties vallen er direct onder, en het bestuur is zelf verantwoordelijk voor de zorgplicht. Via inkoopeisen trekt de wet ook het mkb de keten in, dus "wij zijn te klein" gaat niet meer op, je moet eraan voldoen als je klant eraan moet voldoen. Tegelijk helpt de EU Data Act je juist weerbaar te worden: overstapkosten en egress-kosten bij het wisselen van cloudleverancier vervallen per 12 januari 2027. De exitdeur gaat open. De zwaarste verplichtingen van de AI Act zijn vooralsnog uitgesteld naar eind 2027, maar AI-geletterdheid en transparantie gelden al.

Den Haag. Er is een staatssecretaris voor Digitale Economie en Soevereiniteit, en het Solvinity-besluit laat zien dat het kabinet een harde grens durft te trekken. De richting is duidelijk: soevereiniteit wordt een inkoopeis. Wie aan de overheid levert, krijgt dat vroeg of laat in zijn aanbesteding terug.

Wat soevereiniteit niet is

De discussie loopt vaak vast op misverstanden, dus laat ik die eerst opruimen.

• Geen afzondering. Je trekt de stekker niet uit het internet en je mag gewoon internationale diensten gebruiken.
• Geen anti-Amerikaans sentiment. Het gaat om juridische, technische en strategische controle, niet om een boycot.
• Geen afvinkpuntje op een tender. Een server in Amsterdam, Frankfurt, Dublin of Parijs lost niets op als de eigenaar in San Francisco zit.
• Geen alles of niets. Soevereiniteit is een schuifknop, geen lichtschakelaar. Elke stap is winst, want je wordt per stap minder kwetsbaar.
• Geen IT-issue. Dit is een vraag over macht, continuïteit en aansprakelijkheid, en die hoort aan de bestuurstafel en bij de RvC of RvT. Niet bij de helpdesk.

Waarom slimme organisaties toch stilstaan

De techniek is zelden het probleem. Europese en open-source alternatieven zijn er voor vrijwel elke laag, van cloud en opslag tot mail, samenwerken en AI. Wat organisaties tegenhoudt, is bijna altijd menselijk, en eerlijk is eerlijk: het is allemaal begrijpelijk en tegelijkertijd niet onoverkomelijk.

Ik ken ze allemaal, ook van binnenuit. Bij Jet-Stream liep onze transcoding bij Amazon. Makkelijk, vertrouwd, en het werkte. Toen we zeven jaar geleden al onze IT in kaart brachten, bleek dat precies het soort gemak dat je later duur betaalt. Nu doen we het zelf (en eerlijk is eerlijk: dat is ook gewoon leuk). Herken je deze?

• "Niemand wordt ontslagen voor Microsoft." Het is makkelijk kiezen voor de bekende naam, daar hoefde je tot nu toe niet voor te verdedigen.
• IT is uitbesteed. De kennis was buiten de deur belegd, en de prikkel om iets te veranderen daarmee ook.
• De IT-chef komt uit Big Tech. Loyaliteit aan een vertrouwd ecosysteem won het van strategische onafhankelijkheid.
• Alles hangt aan elkaar. Eén ding vervangen voelt als alles vervangen. Jezelf in de spaghetti gedraaid, kom er maar eens uit.
• Het CFO-CTO-dilemma. Een migratie kost nu geld, terwijl het risico abstract lijkt. Tot de dag dat het concreet wordt. Dan zijn de kosten extreem.
• De dagelijkse operatie wint altijd van de strategische prioriteit. Het is druk en de waan van de dag vecht met lange termijn doelstellingen.

Daarom werkt "gewoon overstappen!" niet zomaar. Harder roepen helpt niet; je moet de angst wegnemen. Afhankelijkheid van één grote partij is je single point of failure, compliance is een commerciële voorwaarde om in de keten te blijven, en soeverein is niet per se duurder. Bij Jet-Stream laten we al jaren zien dat goedkoop, goed, groen én soeverein prima samengaan. Wie zegt dat hij "een zorgvuldige afweging" wil maken, gaat er eigenlijk al van uit dat het niet samen kan.

Wat je morgen gaat doen

Geen mega grote migratie, want die is duur, te riskant en te kwetsbaar voor terugval. Wel een bestuurlijk besluit om te beginnen:

1. 1Breng al je IT en je leveranciers in kaart. Welke kritieke processen en data vallen onder buitenlandse jurisdictie? Welke techniek draait waar? Dit is je nulmeting.
2. 2Neem de eerste maatregelen. Gebruik je eigen encryptie, neem controle over certificaten, regel backups in de EU, bij een EU leverancier en beheer je wachtwoorden zelf.
3. 3Leg inkoopvoorwaarden vast met knock-out criteria. De wet is de wet: AVG, NIS2, en gebruik het EU Cloud Sovereignty framework.
4. 4Kies de eerste service. Identificeer de meest kwetsbare dienst en gegevens, benoem een eigenaar, geef budget en een tijdlijn. En door naar de volgende.
5. 5Begin met soevereine AI. Medewerkers voeren nu bedrijfsgeheimen aan publieke Amerikaanse chatbots. Een goede, vertrouwde AI-assistent in een soevereine omgeving stopt dat lek en laat mensen ervaren dat het alternatief niet onderdoet. Enthousiasme vervangt dan weerstand.
6. 6Financier de verandering, niet alleen de techniek. De techniek lost zichzelf op, de cultuur niet.

En het belangrijkste: het doel is niet meteen 100%, maar werk snel toe naar niveau 3 en uiteindelijk 4 op het EU Cloud Sovereignty Framework, voor de gehele keten, inclusief alle onderaannemers.

Hoe wij dat bij Jet-Stream stap voor stap hebben gedaan, lees je in Digitale soevereiniteit: van praten naar doen.

Zeven vragen voor de RvC en RvT

Als toezichthouder hoef je geen techneut te zijn. Ik sprak eens met een groep voorzitters van raden van toezicht. Hoe vaak spreken jullie de CFO? Vaak, uiteraard. En de CTO? Daar bleef het stil, sommigen wisten niet eens wie dat was. Terwijl een verkeerde keuze van de CTO je hele organisatie op zwart kan zetten. Ga dus met die persoon in gesprek, en stel de vragen die anderen aan tafel liever niet stellen:

• Welke van onze kritieke diensten kunnen morgen uitgezet worden door een buitenlandse overheid, en hoe lang overleven we dat?
• En wat betekent dit voor de core processen, maar ook voor de betalingen van klanten en voor onze uitbetalingen aan leveranciers en personeel?
• Onder welk recht vallen onze belangrijkste leveranciers, en hun onderaannemers?
• Hebben we een getest exitplan, met data in open formaten?
• Wie in het bestuur is eigenaar van dit risico onder de Cyberbeveiligingswet?
• Welke bedrijfsinformatie verdwijnt er vandaag in AI-tools waar we geen grip op hebben?
• Welke medewerkers vallen (ook) onder niet-EU recht en tot welke gegevens hebben zij toegang?

Wacht niet op Brussel

Wacht niet tot jouw leverancier wordt overgenomen of tot een ander land jouw ICT uitzet. Leun op de rugwind uit Brussel en Den Haag, maar wacht er niet op, want het initiatief ligt bij jou.

Digitale soevereiniteit is geen vinkje op een inkoopformulier. Het gaat om het voortbestaan van je organisatie. En dat is precies waar een bestuur en een raad van toezicht voor zijn.

Ik werk al zeven jaar volledig aan privacy en digitale onafhankelijkheid, en heb het met Jet-Stream in de praktijk gebracht. Geen papieren consultant, maar als CEO de hele organisatie en operatie digitaal soeverein gemaakt. Wil je weten waar jouw organisatie staat, met een briefing voor je bestuur of RvC, of een audit van je afhankelijkheden? Neem contact met me op voor een open gesprek.