Het Rijk legt digitale onafhankelijkheid steviger vast in contracten
Het Rijk koopt jaarlijks voor zo’n € 20 miljard in en wil daarmee voortaan ook digitaal onafhankelijker en veiliger worden. Dat staat in de nieuwe inkoopvisie van 16 oktober.
Wat er gebeurde
Het kabinet wil zijn inkoop van zo’n € 20 miljard per jaar gebruiken om digitaal onafhankelijker en veiliger te worden. Dat staat in de Visie op Rijksinkoop die het op 16 oktober vaststelde.
Het Rijk koopt in bij zo’n 25.000 bedrijven. De nieuwe visie geldt vijf jaar, voor alle ministeries en rijksdiensten; Defensie sluit aan waar dat kan. Ze bouwt voort op de strategie Inkopen met Impact uit 2019. Het Rijk wil met zijn inkoop de economie en vernieuwing steunen, de veiligheid vergroten en efficiënter inkopen met minder regels. Bij veiligheid gaat het om digitale onafhankelijkheid, ICT-diensten die blijven werken en toegang tot belangrijke grondstoffen. Dat is nodig, schrijft het kabinet, omdat het Rijk afhankelijk is van sommige landen en multinationals.
Concreet wil het kabinet veiligheid en digitale autonomie steviger in contracten vastleggen, risico’s al vóór een contract in kaart brengen en ze tijdens de hele levering blijven volgen. Ook wil het Rijk vaker de eerste klant zijn van vernieuwende bedrijven die bijdragen aan Nederlandse en Europese digitale autonomie. Staatssecretaris Eric van der Burg vindt dat er in de loop der jaren te veel regels zijn ontstaan voor inkopers en voor bedrijven die met het Rijk zakendoen.
Dezelfde dag verscheen de Rijksbrede Risicoanalyse Nationale Veiligheid, die onderzoekers van onder meer RIVM, TNO, Clingendael, AIVD en MIVD eens in de vier jaar maken in opdracht van de NCTV. Die raadt aan risicovolle afhankelijkheden af te bouwen, en waarschuwt dat het uitstellen van zulke keuzes de nationale veiligheid schaadt. Twee dagen eerder had het kabinet het verbod op de overname van Solvinity door het Amerikaanse Kyndryl in stand gehouden. Solvinity host onder meer DigiD en MijnOverheid.
Breng risico’s al vóór het contract in kaart en volg ze tijdens de hele levering.
Uit de Visie op Rijksinkoop van 16 oktober 2026, samengevat
De achtergrond
Wat er al geldt
Een deel van de nieuwe koers is al begonnen. Sinds 1 januari 2026 gelden de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten (ABRO) voor opdrachten waarbij de nationale veiligheid op het spel staat, bijvoorbeeld omdat een bedrijf gevoelige informatie krijgt. Het Nationaal Bureau Industrieveiligheid kijkt dan naar de organisatie en het bestuur, de betrouwbaarheid van medewerkers en de fysieke en digitale beveiliging, tot en met de clouddiensten. Voldoet een bedrijf niet of niet meer, dan krijgt het de opdracht niet of kan die worden stopgezet.
Ministeries en de politie voeren de eisen in 2026 en 2027 stap voor stap in. Het kabinet wil dat ook gemeenten, provincies, waterschappen en energiebedrijven aansluiten.
Hoe afhankelijk Nederland is
In januari onderzocht de NOS 16.500 domeinnamen van overheden, zorginstellingen, scholen en vitale bedrijven. Daarvan was 67 procent gekoppeld aan minstens één Amerikaanse clouddienst, en 49 procent aan Microsoft. ‘We zitten in de houdgreep’, zei Kamerlid Barbara Kathmann (GroenLinks-PvdA) daarover.
In juli schreven de ACM, de AFM, de AP, De Nederlandsche Bank en de RDI samen dat digitale autonomie niet om volledige onafhankelijkheid draait, maar om keuzevrijheid. Zij vragen bij inkoop om open standaarden, systemen die met elkaar kunnen samenwerken en de mogelijkheid om over te stappen. Sterke afhankelijkheid van niet-Europese aanbieders maakt overstappen volgens hen duur en ingewikkeld.
Wat er met Solvinity gebeurde
Solvinity begon als Nederlands bedrijf, is nu in Britse handen en zou worden overgenomen door het Amerikaanse Kyndryl. Het slaat de gegevens op waarmee DigiD werkt, en host ook MijnOverheid en het beveiligde berichtensysteem van het ministerie van Justitie en Veiligheid. Experts en Kamerleden vreesden dat Amerikaanse wetten de Amerikaanse overheid de mogelijkheid geven om de toegang tot DigiD te blokkeren of in het geheim gegevens op te vragen.
Op 26 mei verbood staatssecretaris Willemijn Aerdts de overname, op advies van het Bureau Toetsing Investeringen. Kyndryl was naar eigen zeggen uiterst teleurgesteld. Solvinity maakte bezwaar, maar op 14 oktober bleef het kabinet bij het verbod. Het contract voor DigiD loopt tot 2028; het kabinet wil dat de opvolger een Nederlands of in elk geval Europees bedrijf is.
Onze analyse
Onafhankelijkheid begint bij kunnen overstappen
De visie klinkt groot, maar het nieuwsbericht bevat nog geen harde nieuwe eisen. Het noemt geen voorkeur voor Europese leveranciers en geen eisen over overstappen. Wat al wel scherp is, is de ABRO, en die geldt alleen voor opdrachten die de nationale veiligheid raken. Wie aan het Rijk levert, krijgt dus eerst vooral meer vragen, en pas later meer regels. Hoe de visie in aanbestedingen landt, moet nog blijken.
De zaak-Solvinity laat zien waarom risico’s volgen tijdens de levering ertoe doet. Een leverancier die als Nederlands bedrijf begon, is nu Brits en had midden in een contract Amerikaans kunnen worden. Een goede keuze bij het afsluiten beschermt je daar niet tegen. De toezichthouders wijzen op kunnen overstappen: open standaarden en systemen die met elkaar samenwerken. Wij zouden daar afspraken aan toevoegen over wat er gebeurt als een leverancier van eigenaar wisselt. Dat werkt ook als een Europese leverancier wordt overgenomen.
Onze inschatting: deze vragen zakken door naar gemeenten, zorginstellingen en de leveranciers van leveranciers. Kun je uitleggen waar je software draait, van wie de diensten zijn waarop je bouwt en hoe je zou overstappen, dan sta je sterk, als leverancier en als klant.
Wat opvalt
- Een eigenaar kan wisselen tijdens het contract Solvinity begon als Nederlands bedrijf, is nu Brits en was bijna Amerikaans geworden, midden in het contract voor DigiD.
- De strengste eisen gelden al Sinds januari controleert het Nationaal Bureau Industrieveiligheid leveranciers van gevoelige rijksopdrachten, tot en met hun clouddiensten.
- De visie noemt nog geen Europese voorkeur Het nieuwsbericht over de visie noemt geen voorkeur voor Europese leveranciers. De visie geeft vooral een richting.
- Twee derde hangt aan een Amerikaanse cloud Van 16.500 domeinnamen van overheden, zorg, scholen en vitale bedrijven was 67 procent gekoppeld aan minstens één Amerikaanse clouddienst.
Wat het voor jou betekent
Lever je aan het Rijk? Dan krijg je vaker vragen over veiligheid en over hoe afhankelijk het Rijk van jou wordt.
- Afhankelijkheid wordt een inkoopvraag Het Rijk weegt digitale autonomie en veiligheid mee en volgt risico’s tijdens de hele levering. Zorg dat je kunt uitleggen waar je software draait en waar die van afhangt.
- Kijk ook naar je eigen afhankelijkheden De risicoanalyse raadt aan risicovolle afhankelijkheden af te bouwen. Stel jezelf dezelfde vraag: welke leverancier of dienst kun je niet zomaar vervangen?
- Software die je kunt meenemen Heb je de broncode, de gegevens en de uitleg, dan kun je overstappen als dat moet. Dat maakt een afhankelijkheid een stuk kleiner.
Wat wij ermee kunnen · Ontwikkeling
We bouwen software die je kunt meenemen
We bouwen maatwerk en koppelingen die goed over te dragen zijn, zodat je niet aan ons vastzit. En wie AI liever dicht bij huis houdt, kan ook kijken naar AI op een eigen server.
Kun je jullie software meenemen als het moet?
Vertel ons waar jullie software nu draait en wie erbij kan. We denken mee en reageren altijd binnen één werkdag.
