Solvinity heeft aangekondigd te worden overgenomen door Kyndryl Nederland, onderdeel van de Amerikaanse IT-dienstverlener Kyndryl, die in 2021 is afgesplitst van IBM als zelfstandig infrastructuurbedrijf. Solvinity levert beveiligde cloud- en infrastructuurdiensten aan meerdere overheidsorganisaties. De onderliggende systemen van onder meer DigiD, MijnOverheid en Digipoort draaien op hun infrastructuur, net als onderdelen van de IT-omgeving van het ministerie van Justitie en Veiligheid. De voorgenomen overname moet nog worden goedgekeurd door de Autoriteit Consument & Markt, maar nu al is zichtbaar dat de impact verder reikt dan één contract of één leverancier.

Binnen ministeries, uitvoeringsorganisaties en gemeenten is onrust ontstaan. In Den Haag en daarbuiten wordt Solvinity al jaren gezien als een partij die de specifieke logica van publieke dienstverlening begrijpt: strenge beveiliging, hoge beschikbaarheid en omgaan met gevoelige gegevens binnen Nederlandse en Europese kaders. Nu blijkt dat deze infrastructuur alsnog in handen komt van een bedrijf onder Amerikaanse zeggenschap, voelen ambtenaren en bestuurders zich verrast, ondanks het gegeven dat Solvinity al langer in de etalage stond. In de Tweede Kamer én in gemeentelijke raden, zoals in Amsterdam, zijn vragen gesteld over de gevolgen voor digitale autonomie en contractuele afspraken met Solvinity.

Tot nu toe gaat een groot deel van de discussie over praktische zaken: welke contractbepalingen gelden, hoe snel kan er worden geswitcht, welke waarborgen zitten er in de huidige afspraken? Dat zijn relevante vragen, maar ze raken vooral de bovenlaag. Ondertussen schuift er iets fundamentelers op de achtergrond: een cruciale laag van de Nederlandse digitale infrastructuur verschuift stilaan buiten directe Nederlandse en Europese invloedssfeer.

Een verschuiving in zeggenschap

De kern van de zorg draait niet om de exacte locatie van servers, maar om het juridisch kader waaraan de nieuwe eigenaar onderworpen is. Kyndryl is een Amerikaans bedrijf en valt daarmee onder Amerikaanse wetgeving. Onder de Amerikaanse CLOUD Act kunnen autoriteiten in de VS providers verplichten data te overhandigen waar zij feitelijke controle over hebben, ook als die gegevens buiten de Verenigde Staten worden opgeslagen. Dat principe geldt in algemene zin voor Amerikaanse dienstverleners, en vormt al jaren een bron van zorg in het debat over Europese digitale soevereiniteit.

Dat betekent niet dat er sprake is van een direct, concreet misbruik van gegevens, of dat Kyndryl geen serieuze security- en compliance-processen zou hanteren. De essentie is dat Nederland zichzelf in een positie brengt waarin toegang tot gevoelige infrastructuur en data mede wordt bepaald door wetgeving en beleidskeuzes waar het geen directe grip op heeft. In een tijd waarin clouddiensten, identiteitsvoorzieningen en log-infrastructuren steeds vaker worden aangemerkt als vitaal, is dat een strategische kwetsbaarheid.

Digitale soevereiniteit begint bij basislagen

Europa investeert de laatste jaren (terecht) fors in regels rond data, platforms en AI, onder andere via de GDPR, de DSA, de DMA, de Data Act en de AI Act. Die regelgeving moet burgers beschermen, marktmacht begrenzen en publieke waarden verankeren in de digitale omgeving. Tegelijkertijd laat de praktijk zien dat de fysieke en logistieke basis onder die ambities – de cloud- en infrastructuurlaag – stap voor stap wordt overgenomen door grote internationale spelers, vaak met hoofdzetel in de Verenigde Staten.

De verkoop van Solvinity past in die ontwikkeling. Eerder gingen al andere Nederlandse ict-partijen die een rol spelen in publieke dienstverlening over in buitenlandse handen, wat de afhankelijkheid van niet-Europese aanbieders verder vergroot. Dat maakt het voor overheden ingewikkelder om diensten af te nemen bij leveranciers die volledig binnen Europese jurisdictie vallen en met wie structurele afspraken mogelijk zijn over transparantie, auditbaarheid en dataminimalisatie.

Bovendien gaat het niet alleen om toegang tot data, maar ook om de richting waarin een infrastructuurplatform zich ontwikkelt. Investeringen, roadmapbeslissingen, prioriteiten in beveiliging, de manier waarop incidentrespons wordt ingericht – al die keuzes worden uiteindelijk gemaakt in de bestuurskamers van het moederbedrijf. Wanneer die keuzes toenemend buiten Europa liggen, wordt het in de praktijk lastiger om publieke waarden voorop te blijven stellen.

Gevolgen voor weerbaarheid en democratische instituties

De infrastructuur waar diensten als DigiD, MijnOverheid en Digipoort op draaien, vormt de digitale ruggengraat van de relatie tussen burger en overheid. Als die ruggengraat afhankelijker wordt van buitenlandse leveranciers en buitenlandse jurisdicties, verschuiven ook de risico’s. Denk aan scenario’s waarin onverwachte juridische verzoeken, geopolitieke spanningen of commerciële koerswijzigingen directe gevolgen hebben voor de beschikbaarheid of beveiliging van overheidsdiensten.

Dit raakt aan democratische weerbaarheid. Overheden moeten erop kunnen vertrouwen dat zij zelf de voorwaarden bepalen voor toegang, beveiliging, logging en toezicht. Als die voorwaarden mede worden beïnvloed door externe juridische kaders en boardrooms buiten Europa, wordt het lastiger om infrastructuur echt in dienst te stellen van publieke doelen. De kwetsbaarheid zit daarbij niet in één incident, maar in de optelsom van afhankelijkheden die zich over jaren opbouwen.

In het licht van deze ontwikkeling wordt de overname van Solvinity door velen gezien als meer dan een gewone marktbeweging. Het is een moment waarop zichtbaar wordt hoe beperkt de speelruimte is geworden om essentiële digitale infrastructuur in eigen handen te houden. Wie zich bezighoudt met digitale veiligheid, publieke dienstverlening of de bescherming van democratische instituties, kan deze overname moeilijk los zien van de bredere vraag hoe Nederland en Europa hun digitale fundamenten willen organiseren.

Auteur: Roemer Wage