Nederlandse cloudfirma Solvinity komt in handen van…

[Fons1920]

Artikel: nieuws: Nederlandse cloudfirma Solvinity komt in handen van Amerikaans ict-be...
Auteur: @JaspB
Kyndryl heeft vestigingen in HongKOng en China. Zou de Nederlandse regering zich zorgen moeten maken wat er, met een omweg, mogelijk is met de database van Digid? Wat mij betreft wel!
groeten Jan

[JaspB]

Nou, ook zonder aanwezigheid in een land kan een (vastberaden, goed geoutilleerde) hackgroep interessant geachte data buitmaken; ik moet terugdenken aan de inbraak en datadiefstal in 2015 bij het Office of Personnel Management (OPM) van de Amerikaanse overheid (zeg maar de hr-afdeling van overheidspersoneel in de VS). Daarbij zijn toen ook vingerafdrukken buitgemaakt.

[Rembert]

Op zijn minst is dit nieuws FP waardig. Het staat nu ook pontificaal op NOS.

[mphilipp]

Ja, mijn haren gingen ook al recht overeind staan toen ik dit las. Je zou zeggen dat de overheid hier meteen voor ging liggen. Immers, we hebben wetgeving die onze overheid in staat stelt om dergelijke overnames te blokkeren omdat het kritieke infrastructuur betreft.
Omdat ik geen jurist heb, heb ik aan mijn AI overlord (Gemini Pro) gevraagd of de betreffende wet (Vifo) hierop van toepassing kan zijn. Dit is het antwoord:

De voorgenomen overname van Solvinity door het Amerikaanse Kyndryl is een schoolvoorbeeld van een casus waar de nieuwe veiligheidswetten (Wet Vifo) voor bedoeld zijn. De overheid is naar aanleiding van deze deal zelfs al alert en er zijn Kamervragen over gesteld.

Hier zijn de specifieke redenen waarom de wet hier een rol speelt:

1. Solvinity is een cruciale schakel voor de overheid
Hoewel Solvinity een commercieel bedrijf is, leunt de Nederlandse overheid zwaar op hun diensten. Ze beheren de 'achterkant' van zeer gevoelige systemen:

DigiD en MijnOverheid: Solvinity beheert servers en infrastructuur voor deze diensten.

Ministerie van Justitie en Veiligheid: Ze leveren beveiligde cloudomgevingen voor justitiële diensten (bijv. de 'Trusted Cloud').

Gemeenten en CJIB: Veel data van lagere overheden en het Centraal Justitieel Incassobureau loopt via Solvinity.

Dit maakt Solvinity feitelijk tot een beheerder van vitale processen. Als Solvinity uitvalt of gecompromitteerd raakt, heeft dat directe gevolgen voor de continuïteit van de Nederlandse staat.

2. Datasoevereiniteit (Cloud Act risico)
Het grootste pijnpunt is niet zozeer dat Kyndryl onbetrouwbaar zou zijn (de VS is een bondgenoot), maar wel dat het een Amerikaans bedrijf is.

Cloud Act: Amerikaanse bedrijven vallen onder de CLOUD Act. Dit betekent dat Amerikaanse inlichtingendiensten in theorie gegevens kunnen opeisen bij Amerikaanse bedrijven, ook als die data in Nederland op servers staat.

Tot nu toe koos de overheid vaak bewust voor Solvinity omdat het een Nederlands bedrijf was, en dus niet onder deze Amerikaanse wetgeving viel. Door de overname valt die buffer weg.

3. Politieke en juridische status
Kamervragen: Er zijn direct zorgen geuit in de Tweede Kamer (o.a. door SGP en experts). Men vindt het onwenselijk dat DigiD-data indirect onder Amerikaanse zeggenschap komt.

Toetsing door BTI: Omdat Solvinity actief is op de overheidsmarkt met kritieke infrastructuur, zal deze deal vrijwel zeker gemeld moeten worden bij het Bureau Toetsing Investeringen. De minister moet dan beoordelen of de risico's (bijvoorbeeld via de Cloud Act) te mitigeren zijn.

Conclusie
De overheid kan deze overname blokkeren, of (waarschijnlijker) strenge voorwaarden opleggen. Mogelijke uitkomsten zijn:

Harde voorwaarden: De overname mag doorgaan, maar de overheidsdata moet in een juridisch afgeschermde entiteit ('b.v.') blijven waar Kyndryl geen directe toegang toe heeft.

Gedwongen afsplitsing: De overheid kan eisen dat de contracten voor DigiD/Justitie worden ondergebracht bij een andere, wel volledig Nederlandse partij, voordat de rest van Solvinity verkocht mag worden.

Blokkade: Als de risico's voor de staatsveiligheid (privacy burgers, justitiedata) niet afdoende kunnen worden afgedekt, kan de minister de overname verbieden.

Kortom: Dit is geen gewone commerciële deal; de overheid zit hier als klant én als toezichthouder bovenop.

Ja, het is AI, maar volgens mij klopt dit gewoon. Hopelijk zorgen ze dat dergelijke systemen binnen ons land blijven. Misschien maar even het lijstje afgaan van andere systemen waarbij medische, strafrechtelijke, fiscale en andere gevoelige data en processen gemoeid zijn en die bedrijven opleggen nooit samen te gaan of zich te laten overnemen door een buitenlands partij. Zelfs een Belgische partij mag dit wat mij betreft niet. Wij moeten zelf verantwoordelijk blijven voor deze data en processen.

[Cobb]

Ze gaan het hoogstwaarschijnlijk wel blokkeren, maar zonder 'onderzoek' is dit Juridisch onverstandig.