Een privacy-adviseur van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties waarschuwt dat een overname of uitbesteding van DigiD de nationale veiligheid kan ondermijnen. Het gaat om de digitale inlogdienst die miljoenen Nederlanders gebruiken voor overheid en zorg. In Den Haag speelt de vraag of het beheer van dit systeem bij de staat moet blijven of kan verschuiven naar een externe partij. De discussie raakt aan Europese digitalisering, gevolgen bedrijfsleven en strengere regels rond data en algoritmen.
DigiD is kritieke infrastructuur
DigiD is het digitale identiteitsmiddel van de Nederlandse overheid, beheerd door Logius, waarmee burgers veilig inloggen bij publieke diensten. De app en sms-controle zijn vormen van tweestapsverificatie, een extra beveiligingslaag naast een wachtwoord. Omdat DigiD toegang geeft tot zorgdossiers, belastinggegevens en uitkeringen, wordt het in de praktijk als kritieke infrastructuur behandeld. Een ingreep in beheer of eigendom raakt dus direct de continuïteit van publieke dienstverlening.
De kern van de zorg is dat een nieuwe eigenaar technische, operationele of juridische zeggenschap krijgt over inlogmiddelen en authenticatieservers. Wie de sleutel tot toegang beheert, kan in theorie metadata over inloggedrag verzamelen. Dat is gevoelig onder de AVG, die dataminimalisatie en doelbinding eist. Ook het risico op storingen of misconfiguraties groeit als ketens complexer worden.
Nederland heeft eerder ingezet op één betrouwbaar overheidsmiddel voor burgers (DigiD) en eHerkenning voor bedrijven. Die keuze verkleint fragmentatie en maakt toezicht overzichtelijk. Een overname kan die helderheid doorbreken en nieuwe afhankelijkheden creëren. Dit speelt terwijl digitale dreigingen en phishingcampagnes blijven toenemen.
“DigiD is het digitale identiteitsmiddel van de Nederlandse overheid voor toegang tot online publieke diensten.”
Uitbesteding vergroot afhankelijkheid
Bij een commerciële of buitenlandse eigenaar ontstaat risico op leverancierslock-in: overstappen wordt duur of technisch lastig. Ook kan buitenlandse wetgeving, zoals onderzoeksbevoegdheden, druk uitoefenen op toegang tot gegevens of systemen. Zelfs als persoonsgegevens versleuteld zijn, blijft de beheerslaag van belang voor updates, certificaatbeheer en incidentafhandeling. Dat zijn knoppen waar je als overheid zelf aan wilt kunnen draaien.
Technisch gezien gaat het om beheer van broncode, authenticatieprotocollen en beveiligde hardwaremodules voor sleutels. Elke extra schakel in de keten vergroot de kans op een supplychain-incident. Onder NIS2 moeten organisaties aantonen dat ze juist dit risico beheersen. Uitbesteden vraagt dus om zwaardere contracten, audits en continuïteitsregelingen.
Operationeel betekent dit strengere servicelevels en noodscenario’s bij storingen. Denk aan fallback-inlogroutes, prioriteit voor zorg en sociale zekerheid, en 24/7 response op beveiligingsincidenten. Zonder harde garanties kunnen gemeenten, ziekenhuizen en uitvoeringsinstanties hun dienstverlening niet borgen. De maatschappelijke schade bij uitval van DigiD is direct en breed voelbaar.
Wetgeving stelt strenge eisen
De AVG vereist dat de overheid een Data Protection Impact Assessment (DPIA) uitvoert voor zo’n ingrijpende wijziging. Daarbij horen dataminimalisatie, versleuteling en duidelijke verwerkersafspraken. Ook moet worden aangetoond dat data binnen de EU blijven en niet onder buitenlandse jurisdictie vallen. Schrems II-jurisprudentie maakt dat extra scherp.
De Wet digitale overheid (Wdo) regelt betrouwbaarheidniveaus voor inlogmiddelen en stelt eisen aan identificatie en toezicht. Voor certificaten en vertrouwensdiensten geldt Europees toezicht via eIDAS; in Nederland houdt de Rijksinspectie Digitale Infrastructuur hierop toezicht. Incidentmeldingen en risicobeheer vallen onder NIS2, met meldplichten binnen 24 uur bij zware incidenten. De Autoriteit Persoonsgegevens bewaakt intussen de rechtmatigheid van elke gegevensverwerking.
Deze stapels van regels hebben één doel: publieke regie op essentiële toegangssystemen. Wie DigiD beheert, moet voldoen aan Europese en nationale normen. Dat geldt ook voor leveranciers in de keten. Zonder aantoonbare naleving is uitbesteding juridisch en praktisch kwetsbaar.
Impact voor burgers en diensten
Voor burgers is DigiD de sleutel tot zorgverzekeraars, gemeenten, UWV en de Belastingdienst. Iedere wijziging in beheer raakt dus het dagelijks leven, van medicijnvergoedingen tot toeslagen. Storingen of vertragingen hebben direct effect op afspraken, betalingen en aangiftes. Vertrouwen in de overheid is daarbij cruciaal.
Instellingen die op DigiD leunen moeten hun risicoanalyse actualiseren als het eigendom of beheer verschuift. Denk aan extra penetratietesten, strengere contracteisen en noodprocedures. Ook gebruikerscommunicatie is belangrijk bij elke wijziging in inlogstappen of apps. Heldere uitleg voorkomt phishing en zoektijd bij burgers.
Voor het bedrijfsleven, dat via eHerkenning en koppelvlakken integreert, kan de verandering extra test- en migratielast opleveren. Europese digitalisering gevolgen bedrijfsleven worden dan ook zichtbaar in integratiekosten en compliance. Goede planning en een overgangsperiode beperken verstoringen. Zonder dat lopen projecten en dienstverlening vast.
Opties voor veilig beheer
Een eerste optie is publiek beheer behouden binnen Logius, met aanvullende waarborgen voor capaciteit en innovatie. De staat kan wel componenten sourcen, maar houdt regie op sleutels, releasebeleid en incidentrespons. Open standaarden en onafhankelijke audits vergroten transparantie. Zo blijft de kern van het systeem in publieke handen.
Een tweede route is een Europees consortium met strikte eisen: dataopslag in de EU, immuniteit tegen niet-Europese wetgeving en certificering onder het EU Cloud Security-schema (EUCS). Contracten leggen dan exitrechten, broncode-escrow en continuïteitsdiensten vast. Dit vermindert lock-in en versnelt herstel bij calamiteiten. Toezichthouders kunnen daarbij scherper toetsen.
Welke keuze ook valt, heldere governance is vereist: wie beslist wanneer, bij welk risico, met welke middelen. Publieke-privatesamenwerking kan, maar alleen met aantoonbare controleerbaarheid. Transparante rapportages aan Tweede Kamer en toezichthouders helpen vertrouwen te borgen. Zo blijft digitale toegang een zeker publiek goed.
Europese wallet maakt keuze urgent
Met de komst van eIDAS 2.0 en de Europese Digitale Identiteitswallet verandert het speelveld. Lidstaten bouwen een wallet die burgers grensoverschrijdend laat inloggen en gegevens delen. Nederland zal DigiD en toekomstige wallet naast elkaar moeten laten werken in een overgang. Dat vraagt strakke architectuur en rolverdeling.
De wallet biedt kansen voor betere regie op data door de gebruiker, maar vergt stevige beveiliging en interoperabiliteit. Daarmee wordt de vraag wie de kerninfrastructuur beheert nog belangrijker. Een overname nu kan de toekomstige integratie sturen of juist blokkeren. Publieke regie houdt opties open voor Europese samenwerking.
Uiteindelijk draait de keuze om digitale soevereiniteit: controle houden over toegang tot vitale diensten. Beleid, techniek en toezicht moeten samen optrekken. Besluiten over eigendom en beheer verdienen daarom een zorgvuldige, openbare onderbouwing. Dat is in het belang van burgers, instellingen en de staat als geheel.