In Nederland groeit de discussie over de toekomst van DigiD, het inlogsysteem van de overheid. Er klinkt zorg over de inzet van Amerikaanse clouddiensten voor zulke publieke systemen. De kernvraag is of data en identiteiten van miljoenen Nederlanders onder Amerikaanse jurisdictie mogen vallen. De timing is urgent, omdat de overheid meer naar de cloud wil en Europa nieuwe regels voor digitale identiteit invoert.
Zorgen over DigiD-hosting
DigiD is de digitale sleutel voor zorg, belastingen en uitkeringen. Het systeem wordt beheerd door Logius, onderdeel van het ministerie van Binnenlandse Zaken. Als delen van DigiD of aanverwante diensten naar een Amerikaanse public cloud gaan, verandert de risicobalans. Dan speelt niet alleen techniek, maar ook buitenlandse wetgeving een rol.
De overheid kiest vaker voor cloud vanwege schaal, beschikbaarheid en kosten. Dat werkt goed voor generieke IT, maar identiteitsdiensten zijn kritieke infrastructuur. Uitbesteding kan, maar alleen met strikte waarborgen voor privacy en continuïteit. Anders staat het vertrouwen in digitale overheidsdiensten onder druk.
Voor burgers is de impact direct: inloggen moet altijd veilig en beschikbaar zijn. Ook moeten gegevens zo min mogelijk worden verwerkt en waar mogelijk worden versleuteld. Die principes volgen uit de AVG en uit de Wet digitale overheid, die het stelsel van inloggen en machtigen regelt. Zonder stevige waarborgen is het risico op juridische en operationele afhankelijkheid te groot.
Wetgeving botst op clouddruk
Europese en Nederlandse regels stellen hoge eisen aan persoonsgegevens en overheids-IT. De AVG verlangt dataminimalisatie, versleuteling en een Data Protection Impact Assessment. Voor vitale of essentiële diensten geldt aanvullend NIS2, met strengere beveiligings- en meldplichten. Daarbovenop eist de Wet digitale overheid transparantie en controle over het inlogstelsel.
Tegelijk geldt in de VS extraterritoriale wetgeving zoals de CLOUD Act en FISA 702. Die wetten kunnen Amerikaanse aanbieders verplichten data te overhandigen, ook als die in de EU staan. Contracten en standaardclausules beperken dat risico niet altijd voldoende sinds het Schrems II-arrest. Technische maatregelen zoals end-to-end versleuteling met eigen sleutels worden daarom cruciaal.
De CLOUD Act is een Amerikaanse wet die providers kan verplichten gegevens te verstrekken, ongeacht waar die gegevens fysiek zijn opgeslagen.
De praktijk is complex: Bring Your Own Key helpt, maar alleen als sleutels buiten de invloedssfeer van de leverancier blijven. Hardware Security Modules en sovereign key management bieden extra bescherming. Ook is toezicht nodig op toegangslogboeken en audit-trails. Zonder deze combinatie blijft er een juridisch residurisico bestaan.
Europese opties beschikbaar
Europa werkt aan een European Digital Identity Wallet via eIDAS 2.0. Die wallet moet burgers laten inloggen en identiteitsbewijzen delen binnen alle lidstaten. Lidstaten houden de regie en stellen eisen aan veiligheid en privacy. Nederland kan DigiD en toekomstige wallets zo inbedden in een Europees, publiek kader.
Er zijn ook technologische alternatieven dichter bij huis. Denk aan Europese of Nederlandse datacenters met strikte soevereiniteitsgaranties. Daarnaast bestaan privacyvriendelijke inlogmiddelen zoals Yivi, die attributen delen zonder onnodige data te lekken. Zulke bouwstenen passen bij dataminimalisatie en verkleinen afhankelijkheid van buitenlandse platformen.
Certificering helpt bij keuze en aanbesteding. Het Europese cloudschema (EUCS) en nationale standaarden sturen op controle over data en beheer. Het Forum Standaardisatie hanteert “pas toe of leg uit” voor open standaarden in de overheid. Daarmee blijft uitwisselbaarheid en exit-mogelijkheid gewaarborgd.
Gevolgen voor burgers en diensten
Voor gebruikers telt dat DigiD altijd werkt, ook tijdens piekbelasting. Cloud kan daarbij helpen met schaalbare capaciteit. Maar beschikbaarheid is niet alleen techniek: ook jurisdictie en leverancierstrouw spelen mee. Lock-in of juridische conflicten kunnen tot storingen of beperkingen leiden.
Privacy is meer dan een checkbox in de instellingen. Burgers moeten erop vertrouwen dat hun gegevens niet worden ingezien voor andere doeleinden. Dat vraagt heldere doelen, minimale dataverwerking en versleuteling standaard. Transparantie achteraf via inzage en logging vergroot dat vertrouwen.
Inclusie blijft een harde eis. Niet iedereen kan of wil een smartphone-app gebruiken. Fysieke balies, machtigen en papieren alternatieven moeten blijven bestaan. Zo blijft de digitale overheid toegankelijk, ook bij strengere beveiliging zoals meervoudige verificatie.
Wat de overheid moet borgen
Allereerst hoort een DPIA en een soevereiniteitsanalyse verplicht bij elke keuze voor hosting. Daarin staat wie toegang kan krijgen, onder welke wet, en welke technische barrières gelden. Encryptie met eigen, buitenlands-onafhankelijke sleutels is het vertrekpunt. Zero trust-principes en strenge segmentatie beperken impact bij een incident.
Aanbestedingen moeten gericht zijn op open standaarden en exit-strategieën. Dat betekent portabiliteit van data en configuraties, en geen gesloten API’s. Contracten moeten auditrecht, incidentmeldingen en duidelijke subverwerker-lijsten verplichten. Toezicht door de Autoriteit Persoonsgegevens en security-audits houden partijen scherp.
Tot slot vraagt eIDAS 2.0 om Europese interoperabiliteit. Koppeling van DigiD met de European Digital Identity Wallet moet veilig en transparant zijn. Zo ontstaat een robuust stelsel dat binnen Europese wetgeving past. Dat is goed voor vertrouwen, en voor de Europese digitalisering met gevolgen voor bedrijfsleven en overheid.
Politieke keuzes en timing
Op het moment van schrijven werken ministeries aan cloud- en digitaliseringslijnen voor de komende jaren. Besluiten over identiteitsdiensten hebben lange doorwerktijd en veel afhankelijkheden. Voorzichtigheid en stapsgewijze migratie liggen voor de hand. Publieke verantwoording richting Tweede Kamer en Rekenkamer hoort daarbij.
Een heldere scheiding tussen generieke IT en identiteitskritieke componenten helpt. Niet alles hoeft naar de public cloud, en zeker niet in één keer. Voor DigiD en toekomstige wallets is Europese verankering logisch. Daarmee blijft zeggenschap en controle bij overheid en burgers.
De kern is vertrouwen. Dat bouw je met techniek, juridische waarborgen en transparante governance. Wie dat op orde heeft, hoeft niet terug naar pen en papier. Maar zonder die zekerheden is terugschakelen beter dan risico’s nemen met ieders digitale identiteit.