Vraag 1

Kunt u meer toelichten over de raamovereenkomst die is gesloten met het Europese cloudplatform STACKIT?1

Strategisch Leveranciersmanagement (SLM) Rijk heeft de opdracht om, binnen de kaders van wet- en regelgeving en vigerend beleid, het afnemen van (cloud)diensten te faciliteren voor rijksorganisaties. Hiervoor sluit SLM Rijk de zogenaamde «Framework Agreements» (hierna: raamovereenkomst) af met cloud leveranciers waarin waarborgen zijn opgenomen voor het op verantwoorde wijze gebruiken van (cloud-)diensten.
De keuze voor aankoop en gebruik van een (cloud)dienst onder een door SLM Rijk gecontracteerde raamovereenkomst ligt bij de rijksorganisatie zelf. De raamovereenkomst bevat geen verplichtingen voor daadwerkelijke afname van diensten. De rijksorganisatie dient af te wegen of de aan te schaffen dienst past op haar specifieke vraag en situatie, waaronder de (gevoeligheid van) data die de organisatie wenst te laten verwerken.2
Rijksorganisaties die clouddiensten willen inkopen, kunnen gebruik maken van de door het Rijk afgesloten raamovereenkomst met STACKIT. Bij hun inkooporganisatie kunnen zij informeren hoe de verwerving van clouddiensten georganiseerd dient te worden.

Vraag 2

Kunt u de raamovereenkomst aan de Kamer doen toekomen?

Nee. De raamovereenkomst met STACKIT bevat grotendeels bedrijfsvertrouwelijke informatie. Het delen van deze informatie zou nadelige consequenties voor de Staat hebben, omdat leveranciers (met de wetenschap dat bedrijfsvertrouwelijke contracten gedeeld zouden kunnen worden) niet meer genegen zouden zijn (maat-)werkafspraken met de Staat te maken. Er is ook een geldige Non-Disclosure Agreement (NDA) van kracht met de leverancier.
In vraag 4 en 5 wordt antwoord gegeven op een aantal specifieke inhoudelijke vragen.

Vraag 3

Hoe ziet u de rol van de Rijksoverheid als lancerende klant van autonome Europese IT-diensten? Hoe draagt de raamovereenkomst met STACKIT bij aan dit doel?

Het kabinet kijkt naar de mogelijkheden om als launching customer op te treden bij de inkoop van clouddienstverlening en bij aanbesteding van dergelijke diensten de mogelijkheden van een Europees voorkeursprincipe te benutten met behoud van de voordelen van een open markt.
Zoals gesteld in beantwoording op vraag 1 kunnen rijksorganisaties met het sluiten van de raamovereenkomst onder veilige en gunstige voorwaarden clouddienstverlening afnemen bij leveranciers. Dit kan een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze leveranciers. Met de inkoop van dienstverlening bij Europese leveranciers, zoals STACKIT, kan de overheid als lancerende klant bijdragen aan de concurrentiepositie van Europese cloudleveranciers. Ook kan dit bijdragen aan een meer divers leveranciersbestand, waarmee afhankelijkheden van niet-Europese aanbieders bij rijksorganisaties worden afgebouwd. Dit draagt bij aan de digitale autonomie van Nederland.
Daarbij dient wel te worden opgemerkt dat het sluiten van de raamovereenkomst niet inhoudt dat de dienstverlening van STACKIT al daadwerkelijk door onderdelen van de Rijksoverheid is ingekocht.

Vraag 4

Met welk doel is de raamovereenkomst gesloten? Zijn er ook afspraken gemaakt over de afname van deze diensten?

Het doel van de raamovereenkomst is om door SLM Rijk onderzochte Europese cloud-alternatieven op verantwoorde wijze beschikbaar te stellen voor rijksorganisaties.
SLM Rijk heeft geen afspraken gemaakt over de afname van diensten; die beslissing ligt bij de rijksorganisaties zelf. Zie ook de beantwoording op vraag 1.

Vraag 5

Welke «veilige en gunstige voorwaarden» heeft u afgesproken met STACKIT? Op welke manier dragen deze voorwaarden bij aan de digitale autonomie van Nederland?

Doeltreffende maatregelen m.b.t. de bescherming van persoonsgegevens zijn getroffen naar aanleiding van de door SLM uitgevoerde Data Protection Impact Assessment (DPIA). Conform de uitgevoerde DPIA is in de raamovereenkomst vastgelegd dat alle data exclusief worden verwerkt binnen de EER, inclusief persoonsgegevens. Ook zijn er afspraken gemaakt over (voortijdige) contractbeëindiging bij wijzigingen in eigenaarschap, bijvoorbeeld als STACKIT wordt overgenomen door een buiten de EER gelegen eigenaar.
Zoals gesteld in beantwoording op vraag 1 kunnen rijksorganisaties met het sluiten van de raamovereenkomst onder veilige en gunstige voorwaarden clouddienstverlening afnemen bij leveranciers. Dit kan een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze leveranciers. Met de inkoop van dienstverlening bij Europese leveranciers, zoals STACKIT, kan de overheid als lancerende klant bijdragen aan de concurrentiepositie van Europese cloudleveranciers. Ook kan dit bijdragen aan een meer divers leveranciersbestand, waarmee afhankelijkheden van niet-Europese aanbieders bij rijksorganisaties worden afgebouwd. Dit draagt bij aan de digitale autonomie van Nederland.

Vraag 6

Hoe draagt het sluiten van een raamovereenkomst met één leverancier bij aan een eerlijk en open speelveld voor Nederlandse en Europese techbedrijven?

Zoals onder vraag 5 toegelicht kan het sluiten van de raamovereenkomst een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze Europese leverancier. Daarnaast sluit het afsluiten van een raamovereenkomst met één partij de mogelijkheid tot het sluiten van gelijksoortige raamovereenkomsten met andere partijen geenszins uit.
Tegelijkertijd is meedingen in individuele aanbestedingstrajecten voor clouddienstverlening van de Rijksoverheid niet exclusief voorbehouden aan partijen die een raamovereenkomst met SLM Rijk hebben afgesloten. Dit betekent dat aanbieders zonder raamovereenkomst met SLM Rijk evengoed kunnen meedingen in aanbestedingen voor clouddienstverlening.
Het is tevens relevant te benadrukken dat SLM Rijk de intentie heeft met meer Europese cloudaanbieders een raamovereenkomst te sluiten. Zo is er reeds een onderzoek bezig naar OVHcloud en ESET, een Europese leverancier voor securitydiensten. Ook is SLM Rijk in gesprek met Nederlandse cloudbedrijven om de mogelijkheden voor het sluiten van een raamovereenkomst te verkennen.

Vraag 7

Hoe borgt u in het sluiten van een raamovereenkomst de diversificatie en keuzevrijheid tussen leveranciers, zoals wel beoogd wordt door een privaat initiatief zoals de Open Cloud Alliantie?2

Er geldt geen afnameverplichting voor het gebruik van STACKIT door rijksorganisaties.
Dit betekent dat net als STACKIT iedere andere cloudaanbieder inclusief leden van bijvoorbeeld de Open Cloud Alliantie, kan meedingen in aanbestedingen.

Vraag 8

Welke diensten levert STACKIT? Kunt u concreet maken voor welke belangrijke IT-processen u van plan bent de clouddiensten van STACKIT af te nemen?

STACKIT levert clouddiensten, bijvoorbeeld rekenkracht en opslag. Onder de reikwijdte van de raamovereenkomst zijn deze diensten meegenomen.
Zoals toegelicht in de beantwoording van vragen 1 en 4 zijn afspraken over de afname van diensten geen onderdeel van de raamovereenkomst.

Vraag 9

Erkent u dat opslag binnen de Europese Economische Ruimte (EER) geen afdoende bescherming is tegen inzageverzoeken van niet-Europese overheden, als de bedrijven die de opslag beheren onder niet-Europese wetgeving vallen?

Ja, dat erken ik. Omdat dit risico niet van toepassing is op de diensten in scope van de raamovereemkomst met STACKIT, verwijs ik voor een gedetailleerde juridische analyse naar andere door SLM gepubliceerde DPIA’s.4 Zo wordt hierop in de recent gepubliceerde tweede update DPIA op M365 Copilot gedetailleerd ingegaan, specifiek in paragraaf 8.3.4.
Op dit moment zijn er geen afhankelijkheden van niet-Europese bedrijven geconstateerd voor de diensten van STACKIT die zijn opgenomen in de scope van de raamovereenkomst. Zie ook de beantwoording op vraag 11.

Vraag 10

Is uitgesloten dat de clouddiensten van STACKIT op welke manier dan ook afhankelijk zijn van niet-Europese techbedrijven in het beheer, onderhoud, de beveiliging, of andere essentiële processen?

Dit is contractueel uitgesloten. Mocht er worden geconstateerd dat de feitelijke situatie in een later stadium zou afwijken van de contractuele waarborgen, dan kan het contract direct worden opgezegd.

Vraag 11

Indien dit niet uit te sluiten is, kunt u dan toelichten welke afhankelijkheden STACKIT heeft van niet-Europese bedrijven? Zijn deze afhankelijkheden weg te nemen?

Op dit moment zijn er geen afhankelijkheden van niet-Europese bedrijven geconstateerd voor de diensten van STACKIT die zijn opgenomen in de scope van de raamovereenkomst.

Vraag 12

Welke analyses heeft u gemaakt om te bevestigen dat STACKIT daadwerkelijk volledig Europees en autonoom is? Kunt u deze met de Kamer delen?

SLM Rijk heeft de DPIA op STACKIT door een extern bureau laten uitvoeren waarin de potentiële gegevensuitwisselingen met STACKIT zijn onderzocht. Conform de uitgevoerde DPIA is in de raamovereenkomst vastgelegd dat alle gegevens exclusief worden verwerkt binnen de EER, inclusief persoonsgegevens. Ook zijn er afspraken gemaakt over (voortijdige) contractbeëindiging bij wijzigingen in eigenaarschap, bijvoorbeeld als STACKIT wordt overgenomen door een buiten de EER gelegen eigenaar. Zie ook de beantwoording op vraag 5.

Vraag 13

Hoe gaat de Rijksoverheid toezien of STACKIT zich aan de afspraken houdt? Welke toezichthouder is hiertoe aan zet?

SLM Rijk zal dat doen door middel van uitoefening van het bedongen auditrecht, dit is onderdeel van regulier contractbeheer. De toezichthouder is in casu dus niet aan zet.

Vraag 14

Kunt u de vragen afzonderlijk van elkaar en zo snel mogelijk beantwoorden?

Ja.

Vraag 1

Bent u bekend met het Follow The Money-artikel «Marechaussee werkte met omstreden techreus Palantir: Minister van Weel verzweeg contract voor Tweede Kamer»?1

Ja.

Vraag 2

Was uw eerdere antwoord op Kamervragen in juli 2025 over gebruik van Palantir binnen de Nederlandse overheid correct en compleet?2 Zo nee, wat heeft u dan verzaakt te melden?

De Kamervragen zijn destijds gesteld aan en beantwoord door de Minister van Justitie en Veiligheid (JenV), op basis van de toen geldende portefeuilleverdeling binnen het kabinet. Daarnaast werden er Kamervragen over het mogelijke gebruik van Palantir gesteld aan meerdere bewindspersonen van andere departementen (Defensie, VWS, IenW, FIN, BZK). Grenstoezicht door de KMar, waarvoor Palantir-software in het verleden is ingezet, viel onder verantwoordelijkheid van de Minister van AenM. Daarom is deze toepassing van Palantir niet meegenomen ten tijde van de beantwoording van de Kamervragen in augustus 2025.
Inmiddels is het Ministerie van Asiel en Migratie opgegaan in het Ministerie van Justitie en Veiligheid. Daardoor is in navolging van een Woo-verzoek van JenV recent een contract verstrekt. Het Programma Vernieuwing Grensmanagement, onderdeel van de Programmadirectie Identiteitsmanagement en Immigratie (IDMI), had contracten afgesloten voor het gebruik van Palantir voor het API-systeem dat gebruikt werd door de KMar voor het grenstoezicht. IDMI was onderdeel van het Directoraat Generaal Vreemdelingenzaken (DGVZ), thans DGM. Zoals hierboven uitgelegd, viel dit betreffende beleidsonderdeel ten tijde van de beantwoording van de Kamervragen in augustus 2025 niet onder de politieke verantwoordelijkheid van de Minister van JenV.
De stukken die hierover inmiddels naar aanleiding van het Woo-besluit van JenV zijn gedeeld en de inzet van Palantir-softwarelicenties, zullen nader worden betrokken bij de afhandeling van het Woo-verzoek dat aan de Minister van Asiel en Migratie is gestuurd.

Vraag 3

Was u op de hoogte van het contract tussen Palantir en de Programmadirectie Identiteitsmanagement en Immigratie (IDMI) in 2014?

Zie antwoord vraag 2.

Vraag 4

Zo ja, waarom heeft u dat contract niet genoemd in uw eerdere antwoord? Zo nee, waarom bent u niet voldoende op de hoogte over Amerikaanse tech-afhankelijkheden binnen uw eigen ministerie?

Zie antwoord vraag 2.

Vraag 5

Kunt u een kloppend overzicht geven van alle lopende, aanstaand of verlopen contracten tussen de Nederlandse overheid, inclusief sub-overheden en Zelfstandig Uitvoeringsorganen (ZBO’s), en het Amerikaanse Palantir?

Er is geen Rijksbrede overeenkomst met Palantir. Een overzicht van alle lopende, aanstaande en verlopen contracten is niet voorhanden. Aanbestedende diensten zijn zelf verantwoordelijk voor de aanbestedingsprocedures en het contracteren van leveranciers, er is geen centraal overzicht dat door mijn ministerie kan worden aangeboden.

Vraag 6

Bent u van mening dat ongepaste of onethische uitspraken van het bestuur van een bedrijf een reden moet zijn dat de Nederlandse overheid geen zaken meer moet doen met het bedrijf in kwestie? Zo nee, waarom niet?

Het kabinet stelt de bescherming van mensenrechten en de democratische rechtsstaat voorop en zet zich daarvoor in, ook bij de inzet van technologie. Het is niet aan het kabinet om opvattingen van het bestuur van een bedrijf van een oordeel te voorzien.
In relatie tot de huidige toepassing van Palantir bij de politie en Defensie hecht ik er, met de Staatssecretaris van Defensie, aan te benadrukken dat dit gebruik van veel waarborgen is voorzien. Tegelijkertijd worden mogelijke alternatieven verkend om de toekomstbestendigheid en flexibiliteit te vergroten, zoals ook aan uw Kamer toegelicht door de Staatssecretaris van Defensie tijdens het Vragenuur van 2 juni jl.
Voor een reactie op de vraag of de Nederlandse overheid zaken kan blijven doen met het bedrijf in kwestie wordt u verwezen naar de Kamerbrief van de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties over de uitvoering aangenomen ontraden moties over ICT-onderwerpen ingediend tijdens het Notaoverleg over de Nederlandse Digitaliseringsstrategie d.d. 29 september 2025.3 Hierin is ingegaan op de uitvoering van de aangenomen motie4 (motie 5) van het lid Six Dijkstra c.s. over het onafhankelijk maken van de Nederlandse overheid van Palantir.

Vraag 7

Bent u voornemens alle lopende en aanstaande contracten tussen de Nederlandse overheid en Palantir in belang van nationale veiligheid te annuleren, dan wel niet te verlengen? Zo nee, waarom niet?

Zie antwoord vraag 6.

Vraag 8

Kunt u deze vragen apart van elkaar en voor 12 mei 2026 beantwoorden?

Dat is helaas niet gelukt.

Vraag 1

Bent u bekend met het bericht in het NRC over het AI-model Mythos dat mogelijk in handen is gevallen van onbevoegden?1

Ja.

Vraag 2

Deelt u de analyse dat ongecontroleerde verspreiding van geavanceerde AI-modellen risico’s kan vergroten op cyberaanvallen, geautomatiseerde fraude en andere schadelijke toepassingen? Zo ja, welke risico’s acht u het meest urgent? Zo nee, waarom niet?

Het is goed om te benadrukken dat de risico’s niet voortkomen uit één specifiek geavanceerd AI-model. Geavanceerde capaciteiten zijn niet enkel meer voorbehouden aan gesloten, zogeheten «frontier-only» modellen. Ook open, vrij toegankelijke AI-modellen komen steeds dichterbij dergelijke geavanceerde capaciteiten. Zo laat gelekte broncode van Anthropic’s Claude Code product zien dat de capaciteiten van een AI-model niet enkel of grotendeels voortkomen uit het model zelf, maar juist uit de technische infrastructuur (het «harnas») om het AI-model heen.
De ontwikkelingen volgen elkaar in snel tempo op, risico’s zijn dan ook zeer situationeel afhankelijk. Eén van de risico’s die het kabinet ziet, is dat geavanceerde AI-modellen onder andere kunnen worden ingezet om technische kwetsbaarheden in software op te sporen. Dit kan dankzij dergelijke AI-modellen in veel kortere tijd en op grotere schaal worden gedaan dan eerder mogelijk was. Hierdoor kan de tijd tussen ontdekking van een kwetsbaarheid en het moment dat deze wordt uitgebuit significant worden verkort.
Ook zijn geavanceerde AI-modellen tot dusver afkomstig van commerciële bedrijven en veelal afkomstig uit niet-Europese landen waar andere wet- en regelgeving geldt dan in de EU. Dat kan ertoe leiden dat (a) er weinig tot geen inzicht bestaat in de onderliggende systemen en software van dergelijke systemen en (b) die systemen niet voldoen aan Europese wet- en regelgeving. Het (verder) integreren van AI-modellen in Nederlandse digitale (kern)processen, waarbij de AI-modellen op infrastructuur van niet-Europese aanbieders draait, kan leiden tot toenemende afhankelijkheid.
Ook draaien veel geavanceerde AI-modellen op niet-Europese cloudinfrastructuur. Integratie in Nederlandse digitale processen vergroot daarmee de afhankelijkheid van niet-Europese aanbieders, met bijbehorende risico’s op gebied van datasoevereiniteit, continuïteit, vertrouwelijkheid en strategische afhankelijkheid. Aanbieders kunnen toegang tot specifieke modellen beperken, updates kunnen de uitkomsten veranderen zonder dat de afnemer dat in de hand heeft, en de rekenkracht voor geavanceerde AI is geconcentreerd bij een klein aantal niet-Europese partijen.

Vraag 3

Welke rol spelen geavanceerde AI-modellen op dit moment in het dreigingsbeeld? Welke gevolgen heeft de uitrol van Mythos, binnen afzienbare tijd ook aan het grotere publiek, voor dit dreigingsbeeld?

Geavanceerde AI-modellen spelen in algemene zin op twee manieren een rol in het huidige dreigingsbeeld. Enerzijds kunnen AI-modellen worden ingezet door kwaadwillenden om systemen aan te vallen. Zo kan AI worden ingezet om kwetsbaarheden op te sporen, code te ontwikkelen, phishing te personaliseren of grote hoeveelheden data te verwerken. Dit kan ervoor zorgen dat actoren sneller en op grotere schaal cyberaanvallen kunnen uitvoeren. Anderzijds kunnen AI-modellen worden ingezet ter verdediging. Zo kan AI worden ingezet voor detectie van afwijkend netwerkverkeer, het geautomatiseerd controleren van systemen of het reageren op incidenten. Ook hiervoor geldt dat dergelijke processen sneller en op grotere schaal kunnen worden uitgevoerd. De mogelijke risico's zoals beschreven in het antwoord op vraag 2 gelden voor de bredere trend waarbinnen dergelijke geavanceerde AI-systemen breder beschikbaar worden, waaronder de uitrol van Mythos.

Vraag 4

Bent u van mening dat overheden toegang moeten krijgen tot Mythos zodat zij het kunnen gebruiken om preventief kwetsbaarheden op te sporen en te dichten? Kan dit op een veilige en verantwoorde manier?

Het kabinet bepleit terughoudendheid ten aanzien van toegang tot operationeel gebruik van een niet-Europees leveranciersmodel als oplossingsrichting voor preventieve kwetsbaarheidsdetectie. Drie overwegingen liggen hieraan ten grondslag.
In de eerste plaats laat onafhankelijk onderzoek zien dat toegang tot AI-frontiermodellen in veel gevallen niet noodzakelijk is voor effectieve detectie van kwetsbaarheden. Het verschil tussen frontiermodellen en minder geavanceerde modellen is mogelijk minder groot dan de berichtgeving rond grote modelaankondigingen suggereert. In de tweede plaats zijn er nu aanbieders, van modellen zoals Mythos, die de toegang en voorwaarden bepalen. Toegang via dergelijke constructies kan daarmee ook de afhankelijkheid van die (niet-Europese) partijen vergroten. In de derde plaats kan preventieve kwetsbaarheidsdetectie via AI veilig en verantwoord worden ingericht, mits losgekoppeld van één specifieke leverancier. Het is afhankelijk van de specifieke omstandigheden, voorwaarden en afhankelijkheden en telkens een brede weging in welke mate toegang noodzakelijk is.

Vraag 5

Hoe bereidt u overheidsorganisaties voor op de cyberveiligheidsrisico’s die gepaard gaan met de uitrol van Mythos? Kunt u uiteenzetten welke acties u neemt om de veiligheid van persoonsgegevens van burgers en de ICT-processen van de overheid te garanderen?

Het beschermen van persoonsgegevens van burgers en het waarborgen van de veiligheid van systemen van de overheid vraagt voortdurende aandacht. Zoals beschreven in het antwoord op vraag 2 komen de risico’s die van invloed zijn op het waarborgen hiervan niet voort uit één specifiek geavanceerd AI-model zoals Mythos. Om die reden is het noodzakelijk dat overheidsorganisaties rekening houden met bredere ontwikkelingen die mogelijke risico’s zijn voor de bescherming van persoonsgegevens of de beveiliging van hun netwerk- en informatiesystemen.
Voor de bescherming van persoonsgegevens geldt dat dit wordt geregeld in de Algemene verordening gegevensbescherming (AVG). De AVG kent onder meer de verplichting tot het treffen van passende technische en organisatorische maatregelen ter beveiliging bij de verwerkingen van persoonsgegevens. Daarbij geldt dat een beoordeling van het passende beveiligingsniveau moet worden uitgevoerd waarbij rekening wordt gehouden met de risico’s met betrekking tot de verwerking van persoonsgegevens. Voorafgaand aan een voorgenomen verwerking van persoonsgegevens, die waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen, moet voorts een data protection impact assessment (DPIA) uitgevoerd worden om de risico’s voor de rechten en vrijheden van betrokkenen in kaart te brengen. Daarbij moet onder meer worden beoordeeld welke maatregelen getroffen worden om de risico’s aan te pakken, waaronder veiligheidsmaatregelen en een mechanisme om de bescherming van persoonsgegevens te garanderen. Ook volgt uit de AVG de verplichting om voor het verrichten van verwerkingen van persoonsgegevens uitsluitend gebruik te maken van andere partijen die namens de overheid persoonsgegevens verwerken als verwerkers, indien zij voldoende garanties bieden met betrekking tot het toepassen van passende technische en organisatorische maatregelen, zodat aan de (andere) verplichtingen op grond van de AVG wordt voldaan. Op de naleving van verplichtingen uit de AVG houdt de Autoriteit Persoonsgegevens toezicht.
Vanuit de AI-verordening gelden bovendien regels voor de ontwikkeling en het gebruik van AI-systemen, ook aan de cyberveiligheid van hoog-risico systemen. Bovendien kent de AI-verordening de verplichting tot uitvoering van een Fundamental Rights Impact Assessment (FRIA) bij hoog-risico AI-systemen, om impact van deze systemen op fundamentele rechten van de mens te beoordelen. In de Kamerbrief van 20 april heeft de Staatssecretaris van Digitale Economie en Soevereiniteit u geïnformeerd over de wijze waarop het kabinet voornemens is het toezicht op de naleving van de Europese AI-verordening vorm te geven.2
Vanaf het moment van inwerkingtreding van de Cyberbeveiligingswet, waarin de Europese NIS2-richtlijn zal worden geïmplementeerd, gelden op grond van die wet verplichtingen voor de in die wet genoemde organisaties met betrekking tot de beveiliging van hun netwerk- en informatiesystemen. Het voorstel voor deze wet ligt op dit moment ter behandeling voor bij de Eerste Kamer. Deze wet zal gaan gelden voor organisaties uit verschillende sectoren, waaronder ook de overheid. Onderdeel van deze wet zal een zorgplicht zijn die inhoudt dat organisaties die onder de wet vallen verplicht zijn tot het nemen van passende en evenredige, technische, operationele en organisatorische maatregelen, om de risico’s met betrekking tot de beveiliging van hun netwerk- en informatiesystemen te beheersen. Daarbij geldt dat organisaties maatregelen moeten nemen die zorgen voor een beveiligingsniveau dat is afgestemd op de risico’s die voor hun organisatie gelden. Deze risico’s kunnen voor die organisaties als gevolg van onder meer veranderende dreigingen of nieuwe technologieën wijzigen, waardoor zij aanvullende maatregelen zullen moeten nemen. Deze zorgplicht wordt in het Cyberbeveiligingsbesluit, de algemene maatregel van bestuur onder de Cyberbeveiligingswet, en in ministeriële regelingen van de voor de sectoren verantwoordelijke vakministers, nader uitgewerkt.
De maatregelen die organisaties, die onder de Cyberbeveiligingswet vallen, moeten nemen betreffen onder meer beleid over risicoanalyses en incidentenbehandeling en de beveiliging van de toeleveringsketen. Krachtens het Cyberbeveiligingsbesluit geldt als maatregel onder meer ook dat organisaties bij attenderingen op voor hun relevante kwetsbaarheden of, dreigingen en beveiligingsadviezen door relevante partijen zoals CSIRTs, moeten beoordelen of op basis hiervan aanpassingen of aanvullingen nodig zijn op hun maatregelen (art. 17 Cbb). Daarnaast is voor overheidsorganisaties die onder de Cbw vallen, voorzien dat in de regeling van de Minister van Binnenlandse Zaken en Koninkrijksrelaties als maatregel, die zij in het kader van de zorgplicht moeten nemen, komt te gelden dat zij de normen en overheidsmaatregelen in de Baseline Informatiebeveiliging Overheid (BIO2), het reeds bestaande normenkader voor informatiebeveiliging bij de overheid, toepassen. Op de naleving van de verplichtingen in de Cyberbeveiligingswet en de daar onderliggende regelgeving wordt toezicht gehouden. Voor overheidsorganisaties zal de Rijksinspectie voor Digitale infrastructuur (RDI) als toezichthouder optreden.
Terugkomend in bovengenoemde wet- en regelgeving is dat gegevensbescherming en beveiliging van netwerk- en informatiesystemen een continue en cyclisch proces is. Organisaties dienen voortdurend te toetsen of bestaande maatregelen nog steeds voldoende zijn om risico’s te beheersen. Ook risico’s als gevolg van het bestaan van AI-modellen, waaronder Mythos, zullen onderdeel zijn van deze continue risico-inschatting door organisaties.

Vraag 6

Welke rol zou een onafhankelijke AI-raad, zoals voorgesteld in de motie-Kathmann/Six Dijkstra (Kamerstuk 26 643, nr. 1403), kunnen spelen om de veiligheidsrisico’s van geavanceerde AI te monitoren en af te dekken? Hoe wordt deze motie nu uitgevoerd?

Het kabinet onderschrijft het belang van het monitoren en beheersen van veiligheidsrisico’s van geavanceerde AI en deelt de opvatting dat dit een aanpak vereist die stevig is verankerd in inhoudelijke expertise. Mede naar aanleiding van de aangenomen motie over een onafhankelijke AI-raad3, ingediend op 29 september 2025, is gekeken naar een passende structuur om hier invulling aan te geven.
Zoals eerder aan de Kamer gemeld4, werd in eerste instantie bezien welke rol de NDS-raad hierin kon vervullen. Nu besloten is om de oprichting van de raad niet te formaliseren5, worden alternatieve invullingen verkend. Zo loopt er tot september 2026 onder andere een interdepartementale verkenning, uitgevoerd door de Digitale Doetank, naar de inrichting van een onafhankelijk AI-veiligheidsinstituut, naar voorbeeld van internationale initiatieven zoals het AI Safety Institute (AISI) in het Verenigd Koninkrijk. Het kabinet houdt daarbij rekening met de verschillende bestaande instituten die de overheid en private organisaties reeds voorzien van advies en expertise op het gebied van AI.

Vraag 7

Heeft u voldoende zicht op de risico’s van model leakage, model theft en ongeautoriseerde verspreiding van geavanceerde AI-systemen in Nederland en Europa? Zo ja, hoe wordt dit inzicht benut voor beleid en toezicht? Zo nee, welke maatregelen neemt u om dit inzicht te verbeteren?

Aanbieders van bepaalde AI-systemen, zoals systemen met een hoog risico en AI-modellen voor algemene doeleinden, inclusief modellen met een systeemrisico, moeten op grond van de Europese AI-verordening bepaalde informatie over deze systemen openbaar maken. De regels voor AI-modellen voor algemene doeleinden en die met een systeemrisico zijn op 2 augustus 2025 in werking getreden. Voor krachtige AI-modellen met systeemrisico’s gelden volgens deze verordening aanvullende verplichtingen om deze risico’s in kaart te brengen. Hierdoor hebben lidstaten en de Europese Commissie meer zicht op deze risico’s. De AI-verordening kent hiervoor een toezichtstelsel, waarbij zowel nationale toezichthouders als de Europese Commissie nauwlettend toezicht houden op deze risico’s. Zo kunnen zij hoog-risico AI-systemen die niet aan de verplichtingen voldoen van de markt halen. Daarnaast vindt er kennisuitwisseling plaats tussen (nationale) toezichthouders, de Europese Commissie en experts uit de lidstaten binnen de door de AI-verordening opgerichte Comité voor Artificiële Intelligentie (European AI Board).

Vraag 8

Hoe beoordeelt u de toereikendheid van bestaande beveiligingsnormen en toezichtmechanismen voor ontwikkelaars en beheerders van krachtige AI-modellen, mede in relatie tot de implementatie van de AI-verordening?

De Europese AI-verordening stelt regels aan AI-modellen voor algemene doeleinden waarbij de regels steviger zijn voor dit soort modellen met systeemrisico’s, deze regels zijn op 2 augustus 2025 in werking getreden. Hier vallen de meest krachtige AI-modellen onder. Alle AI-modellen voor algemene doeleinden moeten technische documentatie opstellen waarin in ieder geval informatie staat over het beoogde doel van het model, trainingsmethoden en gebruikte data. Aanbieders van modellen met een systeemrisico moeten daarbovenop risico’s in kaart brengen en kwetsbaarheden in het model opsporen. Daarnaast moeten zij ernstige incidenten en mogelijk corrigerende maatregelen bijhouden. Het toezicht op al deze modellen is Europees centraal belegd bij de Europese Commissie. Daarnaast kunnen aanbieders aansluiten bij de Europese General-Purpose AI Code of Practice die op 10 juli 2025 is gepubliceerd. Deze vrijwillige praktijkcode bevat onder andere informatie over hoe aanbieders kunnen voldoen aan de beveiligingsnormen uit de AI-verordening. Het kabinet is positief over deze vereisten en stimuleert aanbieders om zich aan te sluiten bij de praktijkcode. Het is nog niet mogelijk een sluitend oordeel te vellen over de effectiviteit van deze eisen. Samen met de Europese Commissie en andere lidstaten houden we de werking van deze vereisten nauwlettend in de gaten en dragen we bij aan de evaluaties hiervan.

Vraag 9

Welke kansen ziet u om via veilige ontwikkeling en deployment van AI de digitale veiligheid te versterken, bijvoorbeeld voor cyberdetectie, opsporing en publieke dienstverlening?

Zie antwoord vraag 3.

Vraag 10

Ziet u in deze casus aanleiding om in Europees verband te pleiten voor versterkte samenwerking rond monitoring van toegangsbeheer, auditing en incidentrespons? Zo ja, op welke wijze?

Organisaties zijn in de eerste plaats zelf verantwoordelijk voor hun eigen digitale weerbaarheid en daarmee onder meer ook voor het voorkomen en detecteren van cyberincidenten. De recente ontwikkelingen rondom AI benadrukken nogmaals het belang van het versterken van de digitale weerbaarheid van organisaties en de samenwerking daartoe bij digitale dreigingen, kwetsbaarheden en incidenten. In Nederland zijn er verschillende organisaties, zoals CSIRTS, die organisaties kunnen ondersteunen door het geven van adviezen en handelingsperspectieven, het verstrekken van informatie over dreigingen en incidenten en het assisteren bij incidentmanagement.
In het geval van grensoverschrijdende incidenten coördineert het Nationaal Cyber Security Centrum (NCSC), vanuit de Nederlandse overheid, de samenwerking met internationale(cyber) partners en werkt daartoe intensief samen met die partijen in onder meer het Europese CSIRT-netwerk. Binnen dit netwerk kunnen CSIRTs snel en effectief operationele informatie met elkaar uitwisselen met ondersteuning door het European Network and Information Security Agency (ENISA). Bovendien wordt binnen dit netwerk en diverse andere EU-samenwerkingsverbanden (zoals de NIS Cooperation Group en het CyCLONe-netwerk) aandacht besteed aan de invloed van de ontwikkeling van AI-modellen op cybersecurity.

Vraag 11

Hoe beoordeelt u de wenselijkheid van meer transparantieverplichtingen voor aanbieders van geavanceerde AI-systemen over beveiligingsmaatregelen, incidenten en misbruikrisico’s?

Zoals ook opgenomen in het antwoord op vraag 8 is het nog te vroeg om aanvullende eisen op te stellen. De verplichtingen vanuit de AI-verordening zijn immers pas recent van kracht geworden.

Vraag 12

Kunt u de vragen afzonderlijk beantwoorden en in ieder geval vóór het rondetafelgesprek cyberveiligheid en informatiebeveiliging van 20 mei 2026?

Aangezien niet alle benodigde informatie op tijd was ontvangen is het niet gelukt de beantwoording met uw Kamer te delen voor het rondetafelgesprek cyberveiligheid en informatiebeveiliging van 20 mei 2026.

Vraag 1

Bent u bekend met het bericht «Ukraine Creates UK-Backed «A1» AI Hub to Develop EW-Resistant Drones and Predict Russian Moves»?1

Ja.

Vraag 2

Naar aanleiding van uw bezoek aan Oekraïne in maart 2026 werd bekend dat Nederland intensief gaat meekijken bij de Oekraïense inzet van drones op het slagveld, om meer te leren over de mogelijkheden voor Nederlandse productie en innovatie van onbemenste systemen; sluit dit aan op het initiatief in de berichtgeving?

Nee, dit staat los van het in de berichtgeving genoemde initiatief. Nederland is bekend met het Oekraïense AI-centrum A1, ook wel het Center of Innovations and Defence Technologies Development. Vanuit Defensie wordt contact gezocht met de initiatiefnemers van dit centrum, onder meer in het kader van lessons learned en mogelijke samenwerking.

Vraag 3

Heeft de Nederlandse industrie toegang tot de beschikbare informatie en zo ja, hoe waarborgt u dat deze informatie eerlijk toegankelijk is voor alle geïnteresseerde marktpartijen?

Defensie heeft op dit moment zelf geen directe toegang tot deze specifieke informatie, omdat Nederland niet betrokken is bij dit initiatief. Daardoor beschikt Defensie ook niet over een informatiepositie die met de Nederlandse defensie-industrie kan worden gedeeld of waarvoor Defensie de toegang kan reguleren. Nederlandse bedrijven die zelf actief zijn in Oekraïne kunnen uiteraard via hun eigen contacten met Oekraïense eindgebruikers operationele feedback of gefilterde informatie ontvangen. Dat betreft echter geen door Defensie beheerde of via Defensie beschikbaar gestelde informatiepositie. Tegelijkertijd wordt verkend op welke wijze Nederland in de toekomst kan aansluiten bij initiatieven gericht op kennis- en informatie-uitwisseling, mede om lessen uit Oekraïense innovaties breder toegankelijk te maken voor relevante Nederlandse stakeholders.

Vraag 4

Is Nederland ook voornemens om zelf een soevereine database aan te vullen voor het trainen van AI-modellen (al dan niet met Europese partners)? Wordt de Nederlandse industrie aangesloten bij een mogelijk initiatief?

Geschikte data voor het trainen van AI-modellen voor militaire doeleinden is schaars. Daarom erkent Defensie het belang van een database met dergelijke data. Defensie verkent verschillende mogelijkheden voor het verkrijgen van data van hoogwaardige kwaliteit, waarmee robuuste militaire AI kan worden ontwikkeld. Denk hierbij ook aan alternatieven zoals synthetische data. Industriepartners worden actief betrokken.

Vraag 5

Ziet u ook een kans om als Nederland koploper in Europa te worden in het ontwikkelen van verantwoorde AI? Wat gaat u op korte termijn initiëren om dit te bewerkstelligen?

Nederland zet zich al geruime tijd in voor de verantwoorde ontwikkeling, verwerving en inzet van militaire AI. Met de eerste Responsible AI in the Military Domain (REAIM) Summit in het voorjaar van 2023 heeft Nederland het thema verantwoorde AI in het militaire domein voor het eerst op de internationale agenda gezet. Nederland was bij alle REAIM summits co-host, in 2023, 2024 en 2025. Daarnaast speelt Nederland een actieve rol in de Governmental Group of Experts on Lethal Autonomous Weapon Systems (GGE LAWS). Van 2024 tot en met 2026 zit Nederland deze groep voor. Het doel is om consensus te bereiken over elementen van toekomstige afspraken over autonome wapensystemen. Tijdens de GGE LAWS bijeenkomsten gaat het ook over de huidige en toekomstige rol van AI in LAWS. Nederland blijft nauw betrokken bij het mogelijke vervolg van REAIM en de GGE LAWS. Daarnaast is Defensie nadrukkelijk bezig met het proces van verantwoorde verwerving van AI. Tot slot wordt onderzocht hoe Defensie militaire AI kan verifiëren en valideren voor veilig gebruik en inzet.

Vraag 6

Hoe weegt u het risico van het niet zelf hebben van een soevereine database voor het trainen van AI-modellen en van welke landen verwacht u afhankelijk te zijn?

De data waarop de AI-modellen worden getraind is grotendeels afkomstig en in beheer van Defensie. Daarnaast zullen er technische maatregelen worden getroffen om de daadwerkelijke uitkomsten van de AI-modellen te kunnen valideren, voordat deze daadwerkelijk (operationeel) worden ingezet. Bijvoorbeeld door eerst in een simulatieomgeving te werken. Op dit moment onderzoekt Defensie op Europees niveau met welke aanbieders en partnerlanden hiervoor een samenwerking kan worden gestart.

Vraag 7

Sluit u aan bij de gedachten dat we de standaarden voor militair gebruik van AI niet aan externe machten overlaten, maar dat we die zelf bepalen?

Het internationaal recht, waaronder het humanitair oorlogsrecht, is onverkort van toepassing op het militair gebruik van AI. Het gebruik van AI in het militaire domein mag niet leiden tot schendingen van dit recht. Dit zijn bestaande afspraken. Daarnaast onderschrijft Nederland bijvoorbeeld de NAVO-principes voor het verantwoord gebruik van AI. Voor de effectiviteit van nieuwe internationale afspraken, specifiek ten aanzien van AI in het militaire domein, is het van belang dat staten die actief zijn op het gebied van de ontwikkeling van state-of-the-art AI hieraan meedoen. Nederland zet zich op verschillende manieren actief in om nieuwe afspraken te maken, bijvoorbeeld in het kader van REAIM en van de GGE LAWS.

Vraag 8

Ziet u mogelijkheden om aan te haken op het samenwerkingsverband tussen Duitsland en Oekraïne, die hun defensiesamenwerking verder hebben geïntensiveerd door een memorandum te tekenen op het gebied van delen van data van het slagveld, waarbij Duitsland ook toegang krijgt tot real-time DELTA battlefield management system?

Ja, Defensie ziet deze mogelijkheden. Defensie kijkt expliciet naar en werkt samen met Oekraïne om lessen van het slagveld te vertalen o.a. door het delen van relevante informatie. In het deel van de organisatie belast met de militaire steun aan Oekraïne wordt actief gekeken naar innovatie en zo genoemde Lessons Learned en de disseminatie daarvan. Daarnaast werkt Defensie aan het verbinden van Nederlandse en voor Defensie relevante kennisinstellingen met Oekraïense kennis en innovatie instituten

Vraag 9

Ziet u het belang van in Europees verband initiatieven organiseren voor een strategisch autonome battlefield management architectuur die interoperabiliteit tussen de (gefragmenteerde) Europese systemen waarborgt?

Ja. Defensie onderschrijft het belang van samenwerking in Europees verband gericht op een meer strategisch autonome battlefield management architectuur. Interoperabiliteit tussen nationale systemen is essentieel voor het effectief gezamenlijk optreden van Europese krijgsmachten, onder meer binnen NAVO- en EU-verband.

Vraag 10

Onderneemt Defensie andere initiatieven om een strategisch autonome battlefield management architectuur te maken? Zo niet, kunt u een risicoafweging van afhankelijkheden geven? Zo ja, bent u bereid een plan van aanpak te maken en te delen?

Defensie heeft reeds een aantal battlefield management architecturen in gebruik, zowel aangekocht als zelf ontwikkeld. De insteek is dat primaire componenten van toekomstige battlefield management architecturen in de basis door Defensie zelf ontwikkeld worden.

Vraag 11

Kunt u de bovenstaande vragen afzonderlijk van elkaar beantwoorden?

Ja.

Vraag 1

Bent u bekend met het bericht «Eigenaar Ticketmaster schuldig aan monopolie en te hoge prijzen voor concerten in VS»?1

Ja, ik ben bekend met de berichtgeving over het betreffende jury-oordeel in deze rechtszaak in de Verenigde Staten tegen het bedrijf Live Nation, dat onder andere eigenaar is van Ticketmaster.

Vraag 2

Herkent u dat dezelfde combinatie van ticketverkoop, concertpromotie en afspraken met zalen ook in Nederland grotendeels via dit ene concern verloopt?

Het concern Live Nation is ook in Nederland op verschillende aanverwante markten een belangrijke speler, onder meer via dochterbedrijven Ticketmaster en Mojo Concerts. Dat neemt niet weg dat de marktstructuur en concurrentiedruk in Nederland en Europa anders is dan in de Verenigde Staten.
Er zijn in Nederland bijvoorbeeld ook andere partijen actief die toegangskaarten voor concerten, festivals en andere evenementen verkopen, evenementen initiëren en promotie verzorgen. Zalen, poppodia en festivals in Nederland kunnen daarmee in beginsel kiezen uit verschillende bedrijven die namens de organisatie de kaartverkoop verzorgen. Daarnaast kent Nederland een andere opzet van het podia- en zaalaanbod, met een sterke inbedding in het lokale en regionale cultuuraanbod. De conclusies in de Amerikaanse rechtszaak zijn dan ook niet één-op-één toepasbaar op de situatie in Nederland.

Vraag 3

Krijgt u signalen van consumenten, kleinere zalen en onafhankelijke promotors over prijzen, service fees en voorwaarden bij Ticketmaster?

Het kabinet is niet bekend met signalen van consumenten en kleinere zalen over prijzen, service fees en voorwaarden bij Ticketmaster. De Autoriteit Consument en Markt (ACM) doet in de regel geen mededelingen over signalen die zien op de naleving van de consumenten- en mededingingsregels door individuele partijen. Ten aanzien van Ticketmaster ontvangt de ACM maandelijks slechts enkele signalen over uiteenlopende onderwerpen met betrekking tot de (door)verkoop van toegangskaarten, bijvoorbeeld over het herroepingsrecht. Echter die signalen duiden niet op een achterliggend collectief consumentenprobleem.
TicketSwap heeft bij de ACM in 2023 een handhavingsverzoek ingediend, omdat Ticketmaster de doorverkoopmogelijkheden van mobiele tickets zou beperken. De ACM heeft de gedragingen van Ticketmaster onderzocht en een aantal mededingingsrisico’s geïdentificeerd. Ticketmaster heeft aan de ACM toezeggingen gedaan om aan deze risico’s tegemoet te komen. Hiervoor verwijs ik verder naar het antwoord op vraag 6.

Vraag 4

Bent u bereid de New Competition Tool zo vorm te geven dat deze ook kan worden ingezet tegen structurele marktmacht in verticaal geïntegreerde markten zoals ticketing, zonder dat er een recente fusie nodig is?

Het doel van een nieuwe marktremediebevoegdheid (MRB; oftewel: New Competition Tool) voor de ACM is dat hiermee structurele concurrentieverstoringen in markten gerichtkunnen worden geadresseerd. Uitgangspunt bij de verdere vormgeving van deze bevoegdheid is dat concurrentieverstoringen als gevolg van toegenomen marktconcentraties of marktmacht onder de reikwijdte kunnen vallen. Gedacht moet worden aan concurrentieverstoringen waarbij geen sprake is van een overtreding van de Mededingingswet.
Met een MRB kan de ACM gericht onderzoek doen naar dergelijke concurrentieverstoringen en tijdelijke maatregelen (remedies) opleggen of aan de wetgever adviseren die specifiek gericht zijn op het geconstateerde marktfalen. Indien concurrentieverstoringen in de ticketing markt worden geconstateerd, kan de MRB worden ingezet om maatregelen te nemen in deze markt. Hiervoor is een recente fusie geen vereiste.

Vraag 5

Wat vindt u van dynamic pricing en service fees die pas aan het einde van het bestelproces zichtbaar worden? Zijn de huidige consumentenregels hier toereikend, en worden ze in de praktijk nageleefd?

Een verkoopprijs moet onder het consumentrecht aan het begin van het bestelproces reeds worden vermeld inclusief onvermijdbare bijkomende kosten zoals servicekosten. Als de onvermijdbare bijkomende kosten vast zijn, moeten ze in de verkoopprijs zijn verwerkt. Als de onvermijdbare bijkomende kosten variabel zijn, dan moeten ze bij de verkoopprijs worden vermeld.
Dynamische beprijzing, waarbij de ticketprijs fluctueert, is in opkomst bij de verkoop van toegangskaarten. In andere markten, zoals bij hotels, vliegtickets en taxi’s is dit al langer gebruikelijk.2 Het is primair aan organisatoren en artiesten om hier bij de verkoop van toegangskaarten zelf afwegingen in te maken. In het kader van de aankomende Digital Fairness Act wordt door de Europese Commissie een maatregel overwogen rondom dynamische beprijzing van tickets. Op basis van deze mogelijke maatregel zouden ticketverkopers verplicht kunnen worden om transparant te zijn over hoeveel tickets er beschikbaar zijn voor de startprijs en/of de huidige prijs weer te geven op het moment dat consumenten in de virtuele wachtrij staan. Ik sta positief tegenover deze mogelijke maatregel. Het voorstel van de Europese Commissie voor de Digital Fairness Act wordt in Q4 van dit jaar verwacht.

Vraag 6

Welke bestaande bevoegdheden – artikel 24 Mededingingswet, (Europese) mededingings- en consumentenregels – kunt u nu al inzetten, vooruitlopend op nieuwe wetgeving?

De Autoriteit Consument en Markt (ACM) kan op grond van haar bestaande bevoegdheden onderzoek doen en handhavend optreden als sprake is van een overtreding van de mededingings- of consumentenregels. Zo kan de ACM besluiten tot een onderzoek naar misbruik van een economische machtspositie. ACM is hierin onafhankelijk en bepaalt haar eigen prioriteiten.
In 2024 heeft de ACM een toezeggingsbesluit genomen over Ticketmaster om mededingingsrisico’s weg te nemen bij de doorverkoop van tickets. De ACM had onderzoek gedaan naar de voorwaarden van Ticketmaster bij de doorverkoop van mobiele tickets. Ticketmaster heeft in dat kader toegezegd dat consumenten die hun mobiele Ticketmaster-tickets willen doorverkopen dat kunnen blijven doen buiten het platform van Ticketmaster. Onlangs heeft de Rechtbank Rotterdam naar aanleiding van een handhavingsverzoek van het bedrijf Ticketswap besloten om het besluit van de ACM volledig in stand te laten.3
Op dit moment zie ik zelf geen reden tot aanvullend (wetgevend) ingrijpen in de markt voor ticketing.

Vraag 7

Zet u zich in Brussel in voor een Europese aanpak van marktmacht in de ticketingsector?

De Europese mededingingsregels bieden in beginsel een afdoende kader om misbruik van marktmacht op Europees niveau tegen te gaan. Voor wat betreft de problematiek rond woekerhandel bij de (door)verkoop van tickets heeft het kabinet in 2025 aangegeven eventuele toekomstige Europese initiatieven voor een effectieve aanpak voor de gehele EU te zullen steunen.
In het kader van het eerder vermelde voorstel voor een Digital Fairness Act (verwacht in Q4 2026) wordt door de Europese Commissie een maatregel overwogen op basis waarvan professionele doorverkoop van tickets voor winst verboden zou worden. Nederland heeft aangegeven een positieve grondhouding te hebben ten aanzien van deze beleidsoptie en aandacht gevraagd de handhaafbaarheid hiervan. Sommige partijen die tickets professioneel doorverkopen zijn namelijk buiten de EU gevestigd.

Vraag 8

Kunt u de Kamer vóór het zomerreces informeren over de voortgang van de call-in bevoegdheid en NCT, gesprekken met de ACM over ticketing, en de Nederlandse inzet in Europa?

Voor wat betreft de Nederlandse markt voor (door)verkoop van toegangskaarten is de Kamer laatst bij brief van 27 maart 20254 geïnformeerd dat uit gesprekken met ACM en stakeholders naar voren kwam dat de markt zich snel ontwikkelt en innoveert en dat daarbij geen van de belanghebbenden een verbod op doorverkoop wil. Zodra er ontwikkelingen zijn met betrekking tot doorverrkoop in Europa, zal ik uw Kamer daarover informeren.
Momenteel werk ik aan de voorbereiding van een conceptwetsvoorstel ter invoering van een marktremediebevoegdheid. In het commissiedebat marktordening en consumentenbescherming van 19 maart jl. heb ik toegezegd om in het najaar met een internetconsultatie te willen starten en uw Kamer voorafgaand nader te informeren. Eerder vind ik gelet op de nog te maken beleidskeuzes en te melden voortgang niet opportuun.
Voor de call-in bevoegdheid heeft het Kamerlid Bushoff (PRO) op 16 april jl. een initiatiefwetsvoorstel bij uw Kamer ingediend.5 Ik heb uw Kamer aangegeven hier in beginsel positief tegenover te staan. Wanneer het initiatiefwetsvoorstel in uw Kamer wordt behandeld, zal ik daar namens het kabinet op reageren.

Vraag 1

Bent u bekend met de voorgenomen overname van Solvinity Group B.V. door Kyndryl Netherlands B.V., de rol van Solvinity als leverancier van het platform waarop DigiD draait, en de eerdere beantwoording van Kamervragen over deze casus?

Ja, daar ben ik mee bekend.

Vraag 2

Kunnen de Verenigde Staten volgens u gezien worden als een bondgenoot? Zo nee, waarom niet?

Ja, de Verenigde Staten zijn een belangrijke bondgenoot van Nederland, zoals ik ook tijdens het vragenuur op dinsdag 26 mei heb benadrukt: «de Verenigde Staten zijn een belangrijke NAVO-partner, handelspartner en bondgenoot».

Vraag 3

Acht u het waarschijnlijk dat een NAVO-bondgenoot als de Verenigde Staten doelbewust DigiD of vergelijkbare Nederlandse kritieke digitale overheidsinfrastructuur zou uitschakelen? Graag een onderbouwing op basis van dreiging, intentie, capaciteit, precedent en diplomatieke consequenties.

Het kabinet hecht grote waarde aan de aanwezigheid van buitenlandse, waaronder nadrukkelijk ook Amerikaanse, technologiebedrijven. Het kabinet waardeert hun bijdrage aan de Nederlandse economie en digitale infrastructuur.
Een afhankelijkheid van informatie en diensten uit derde landen, ongeacht welk land het is en of het een NAVO-bondgenoot is, kan onzekerheden met zich meebrengen. Dit blijkt ook uit het Cybersecuritybeeld Nederland Nederland 20251. Het is vervolgens aan de overheid om op een objectieve, risicogebaseerde, landenneutrale en proportionele manier risico’s te wegen. De gevraagde onderbouwing kan niet als generiek standpunt aangeleverd worden. Daarvoor is dit te situationeel afhankelijk en kan het alleen op case-by-case basis worden ingeschat.
Ieder departement is zelf verantwoordelijk voor de inrichting van haar digitale overheidsinfrastructuur en het afwegen van de risico’s van de verschillende schakels binnen die infrastructuur.

Vraag 4

Acht u een dergelijk scenario realistisch, of gaat het primair om een theoretische mogelijkheid die in de risicoanalyse wel moet worden meegenomen, maar niet gelijkgesteld mag worden aan een waarschijnlijke dreiging? Graag een expliciet onderscheid tussen «mogelijk», «aannemelijk», «waarschijnlijk» en «urgent».

Zie antwoord op vraag 3.

Vraag 5

Kunt u per juridisch instrument, CLOUD Act, FISA Section 702, Executive Order 12333 en eventuele andere relevante Amerikaanse bevoegdheden, uiteenzetten wat de wettelijke grondslag is, welke autoriteit bevoegd is, welk type gegevens kan worden gevorderd of verzameld, welke rechterlijke toetsing plaatsvindt, of kennisgeving aan de betrokkene, Logius of de Nederlandse Staat verplicht, verboden of beperkt kan zijn en hoe dit zich verhoudt tot de Algemene verordening gegevensbescherming (AVG), verwerkersovereenkomsten en contractuele geheimhoudingsplichten?

De CLOUD Act is een amendement op de Stored Communications Act (SCA). De CLOUD Act maakt het mogelijk voor Amerikaanse autoriteiten om ten behoeve van wetshandhavingsdoeleinden toegang te verkrijgen tot elektronische communicatie en daaraan gerelateerde gegevens. Bevoegde autoriteiten die een verzoek kunnen indienen zijn bijvoorbeeld de FBI en het Department of Justice. De CLOUD Act kan worden ingezet voor het opvragen van elektronische gegevens in het kader van strafrechtelijk onderzoek en vervolging. Het gaat daarbij in beginsel om de opsporing en vervolging van zware criminaliteit, zoals terrorisme of drugshandel.
Op grond van de CLOUD Act kunnen ondernemingen die onder de Amerikaanse rechtsmacht vallen verplicht worden gegevens te verstrekken, ook wanneer deze gegevens zich (op servers) buiten de Verenigde Staten bevinden. Daarbij is bepalend of de onderneming «possession, custody or control» heeft over de gegevens. Het gaat hierbij onder meer om aanbieders van elektronische communicatie- en clouddiensten.
Voor verzoeken die betrekking hebben op de inhoud van elektronische communicatie of bestanden is in beginsel toestemming van een Amerikaanse rechter vereist. Voor bepaalde verzoeken tot verstrekking van metadata, zoals gegevens over gebruikers of toegangsgegevens, kan onder omstandigheden geen voorafgaande rechterlijke toestemming vereist zijn.
Een dienstverlener die een bevel tot gegevensverstrekking ontvangt, hoeft daaraan niet mee te werken indien de gegevens versleuteld zijn en de dienstverlener niet beschikt over de encryptiesleutel. De CLOUD Act verplicht ondernemingen namelijk niet om gegevens te ontsleutelen. Indien een onderneming feitelijk geen toegang heeft tot de gegevens vanwege encryptie, bestaat in beginsel dus ook geen verplichting om deze gegevens te verstrekken.
Daarnaast kan een dienstverlener de rechter verzoeken het bevel te vernietigen of te wijzigen, bijvoorbeeld wanneer de naleving daarvan strijd oplevert met de wetgeving van het land waar de gegevens zich bevinden of indien de persoon op wie het verzoek betrekking heeft geen Amerikaans staatsburger is.
FISA Section 702 is in 2008 ingevoerd en maakt onderdeel uit van de Foreign Intelligence Surveillance Act 1978. FISA Section 702 maakt het Amerikaanse inlichtingendiensten, zoals de NSA, CIA en FBI, mogelijk zonder gerechtelijk bevel informatie te verzamelen over niet-Amerikaanse staatsburgers waarvan wordt aangenomen dat zij zich buiten de Verenigde Staten bevinden en die mogelijk betrokken zijn bij terrorisme, spionage, massavernietigingswapens, beïnvloedingsactiviteiten in opdracht van een vijandige buitenlandse mogendheid of cybercriminaliteit. Kennisgeving aan de betrokkene is geen vereiste.
Onder het toepassingsbereik van deze wetgeving vallen alle Amerikaanse entiteiten die toegang hebben tot apparaten waarop communicatie wordt opgeslagen of via welke communicatie wordt verzonden, zoals telecommunicatiebedrijven, internet- en e-maildienstverleners, aanbieders van remote computing services. Zij kunnen worden verplicht toegang te geven tot gegevens, zoals e-mails, elektronische berichten en bestanden. Het kan zowel om de inhoud als metadata gaan.
Executive Order 12333 heeft het meest verstrekkende bereik. Deze regelgeving maakt het mogelijk dat Amerikaanse inlichtingendiensten buitenlandse inlichtingen verzamelen. Daarvoor is geen toestemming van een rechter vereist, mits het gaat om gegevens van niet-Amerikaanse personen. De regelgeving is primair gericht op buitenlandse inlichtingenvergaring ten behoeve van de nationale veiligheid van de Verenigde Staten.
Op grond van Executive Order 12333 kunnen Amerikaanse inlichtingendiensten buitenlandse inlichtingen verzamelen via uiteenlopende middelen, waaronder interceptie van communicatie, radiosignalen en andere elektromagnetische communicatie, maar ook via satellieten, camerasystemen, menselijke bronnen en samenwerking met buitenlandse inlichtingendiensten. Vereist is echter wel dat de verzamelde informatie uitsluitend voor rechtmatige doeleinden onder Amerikaanse wetgeving wordt gebruikt.
Kyndryl Inc. valt als Amerikaanse onderneming binnen het bereik van de bovengenoemde wetten. Kyndryl rapporteert periodiek hoeveel verzoeken om inlichtingen zij heeft ontvangen.2
Kyndryl’s US zeggenschap over haar buitenlandse dochters, Kyndryl Nederland B.V. en eventueel overgenomen partijen, heeft tot gevolg dat deze ook binnen het bereik vallen van de bovengenoemde wetten.
De verstrekking van persoonsgegevens door Nederlandse dochter(s) op basis van een bevel van een Amerikaanse rechter kan in strijd zijn met de AVG. Daarnaast houdt de Nederlandse dochter zich in dat geval ook niet aan de overeenkomst, inclusief de verwerkingsovereenkomst, met de Nederlandse opdrachtgever.
Kyndryl US heeft wel juridische mogelijkheden om zich te verzetten tegen verzoeken tot verstrekking van persoonsgegevens die worden beheerd door haar Nederlandse dochter(s) op grond van het feit dat voldoen aan een dergelijk verzoek in strijd is met de AVG en de gemaakte contractuele afspraken (o.a. in de verwerkersovereenkomst). Daarover moet de Amerikaanse rechter zich dan uitlaten.

Vraag 6

Kunt u expliciet onderscheid maken tussen toegang tot gegevens enerzijds en operationele zeggenschap over systemen anderzijds? Klopt het dat wetgeving zoals de CLOUD Act primair ziet op toegang tot elektronische gegevens en niet zonder meer op het met «één druk op de knop» uitschakelen van infrastructuur?

Ja, dat klopt. De Amerikaanse wetgeving als bedoeld bij vraag 5 heeft betrekking op het verzamelen van bewijs c.q. inlichtingen. Deze wetgeving maakt het niet mogelijk om een opdracht te geven tot uitschakeling van infrastructuur.
De Amerikaanse overheid kan sancties tegen personen, organisaties of landen uitvaardigen, waarna Amerikaanse bedrijven de dienstverlening moeten staken. Dat gebeurt echter niet op grond van de bovengenoemde wetgeving.

Vraag 7

Hoe verhoudt de stelling dat Solvinity in beginsel geen toegang heeft tot burgerservicenummers, adres en telefoonnummer van DigiD-gebruikers zich tot de eerdere kabinetsuitspraak dat Amerikaanse autoriteiten «in theorie» toegang kunnen krijgen tot gegevens die door Solvinity in opdracht van de Staat worden verwerkt?

Medewerkers van Solvinity hebben bij het uitvoeren van reguliere beheerwerkzaamheden geen toegang tot de database waarin gegevens van burgers en gegevens over waar burgers inloggen staan opgeslagen. Dit sluit niet uit dat medewerkers toegang kunnen krijgen tot deze databases. Het zal hierbij dan gaan om (on)geautoriseerde toegang. Mogelijk is daarmee de medewerker strafbaar.

Vraag 8

Bent u van mening dat er momenteel geen gelijkwaardige technologieën zijn op Nationaal/Europees gebied? Zo ja, bent u dan van mening dat hierdoor de continuiteit van de dienstverlening juist onder druk komt te staan?

Het kabinet is van mening dat er momenteel wel gelijkwaardige technologieën zijn van Nederlandse en Europese aanbieders. In een Kamerbrief in reactie op de motie van het lid Koekkoek (Volt) over «in EU verband pleiten voor versnelde investeringen in Europese cloudalternatieven en digitale infrastructuur» heeft het kabinet de Kamer vorig jaar geïnformeerd dat er kwalitatief hoogwaardige Europese clouddiensten op de markt beschikbaar zijn.
Specifiek ten aanzien van de dienstverlening die door de Rijksoverheid bij Solvinity wordt afgenomen, concludeerde de ACM in haar concentratiebesluit dat er ook na een eventuele overname voldoende concurrentie over zou blijven. Uit het onderzoek blijkt dat afnemers uit de publieke sector op het moment van een (her)aanbesteding voldoende keuze houden uit andere IT-dienstverleners die soortgelijke diensten leveren, waaronder zowel Nederlandse als Europese aanbieders.
Wel kan het versneld onderbrengen van de dienstverlening van Solvinity bij een andere beheerorganisatie leiden tot risico’s. In het geval van Logius geldt een overdrachtsperiode van 6 tot 12 maanden wanneer de dienstverlening die Solvinity levert, ondergebracht wordt bij een andere beheerorganisatie. Deze periode is nodig om een andere beheerorganisatie kennis en ervaring te laten opdoen met het beheer van het platform om zo de continuïteit en veiligheid van DigiD en andere voorzieningen te garanderen. Deze overdrachtsperiode kan pas ingaan wanneer een nieuwe contractant is geworven.

Vraag 9

Kunt u reflecteren op de gehele Amerikaanse verwevenheid met technologie, zoals de hardware waar de applicaties van Solvinity op draait, de datacenters en eveneens de zeekabels? Zijn deze componenten/diensten ook in handen van Amerikaanse bedrijven? Bent u het daarom eens met de mening dat het nationaliseren van Solvinity geen enkel effect heeft op deze risico’s, gezien de verwevenheid in de keten?

Het kabinet ziet dat de EU erg afhankelijk is geworden van een klein aantal niet-Europese tech-aanbieders, waarbij het kabinet de bijdragen van deze aanbieders aan de Europese en Nederlandse economie waardeert en in algemene zin openstaat voor zakendoen met buitenlandse partijen. Afhankelijkheden kunnen echter ook risico’s met zich meedragen, bijvoorbeeld als er geen alternatieven beschikbaar zijn of er risico’s zijn voor ongewenste toegang tot data. Voor risicovolle strategische afhankelijkheden zet het kabinet in op mitigatie van de risico’s, bijvoorbeeld door het versterken van de Europese markt.
De gevolgen van voortzetting van het huidige eigenaarschap en andere scenario’s zijn onderdeel van de analyses die vallen binnen het TFEV-onderzoek van deze casus.

Vraag 10

Welke concrete risico’s bestaan er momenteel volgens u op het gebied van het opvragen van data, inzage in data en het (eenzijdig) stopzetten van dienstverlening, en van welke vormen van dienstverlening maakt de overheid op dit moment gebruik bij niet-Nederlandse of niet-Europese partijen?

Er wordt niet centraal bijgehouden welke overheidsorganisaties gebruik maken van diensten van niet-Nederlandse of niet-Europese leveranciers.
De Nederlandse overheid wil haar digitale autonomie en digitale soevereiniteit versterken om publieke waarden, veiligheid en continuïteit te waarborgen. Het onderbrengen van data bij niet-Nederlandse of niet-Europese leveranciers, kan in specifieke gevallen strategische, juridische en geopolitieke risico’s met zich meebrengen. Daarom kiest de overheid voor een risicogebaseerde, strategisch gecoördineerde aanpak.3

Vraag 11

Welke aanvullende (theoretische) risico’s zouden volgens u kunnen ontstaan op deze punten als gevolg van de beoogde overname van Solvinity door Kyndryl?

Ik kan in deze openbare beantwoording niet ingaan op risico’s die er mogelijk zouden kunnen zijn ten aanzien van gegevensvergaring en stopzetting van dienstverlening. Ik verwijs u door naar de vertrouwelijke technische briefing van BTI. Inmiddels heeft de Staatssecretaris Digitale Economie en Soevereiniteit het besluit genomen om de overname te verbieden.

Vraag 12

Kunt u allen de voorgaande vragen los van elkaar beantwoorden?

Ja.

Vraag 1

Bent u bekend met het bericht «Grootste dronebouwer van Oekraïne komt niet naar Nederland, «te veel bureaucratie»»?1

Ja.

Vraag 2

Hoe beoordeelt u de constatering van de directeur van Fire Point dat de Nederlandse vergunningsprocedures aanvoelen als «rennen met een loodzware rugzak», mede in het licht van de toezegging van de Minister-President om flink te investeren in de gezamenlijke productie van drones?

Wij herkennen het geschetste beeld in het artikel van Nieuwsuur niet. Om te leren van Oekraïense innovaties zet het kabinet in op het versterken van de industriesamenwerking met Oekraïne. Dit doen we onder andere door het organiseren van handelsmissies, het verwerven bij de Oekraïense defensie industrie en het scheppen van de randvoorwaarden voor succesvolle samenwerking tussen Oekraïense en Nederlandse bedrijven. Nederland neemt om deze reden actief deel aan het initiatief Build With Ukraine, waarmee coproductie met Oekraïense bedrijven in Nederland mogelijk gemaakt wordt. Dit creëert een win-win-win: de productiecapaciteit van bewezen effectieve systemen voor Oekraïne wordt vergroot, de Nederlandse industrie wordt opgeschaald en we krijgen toegang tot innovaties van het slagveld. Op 10 oktober jl. heeft Nederland hierover een Memorandum van Overeenstemming (MoU) getekend met Oekraïne. Op 16 april jl. is een belangrijke volgende stap gezet – VDL heeft een licentieovereenkomst getekend met het Oekraïense GreentechHarvest voor de productie van twee typen drones in Born. Dit is het eerste coproductieproject tussen Nederland en Oekraïne. We zoeken actief naar volgende projecten waarin de kracht van de Oekraïense en Nederlandse defensie-industrie elkaar kunnen versterken.

Vraag 3

Herkent u (de Minister van Defensie) het beeld dat bureaucratie een belemmering vormt voor de vestiging en opschaling van de defensie-industrie in Nederland? Is dit een knelpunt dat specifiek speelt bij de productie van drones en aanvalswapens, of herkent u dit bij de defensie-industrie in den brede?

Oekraïne is een land in oorlog, en kent momenteel andere wet- en regelgeving dan Europese landen, bijvoorbeeld op het gebied van veiligheid en milieu. Tegelijkertijd bevinden wij ons in een grijs gebied tussen vrede en oorlog. We moeten ons voorbereiden op een Hoofdtaak 1 scenario – de verdediging van het eigen en bondgenootschappelijk grondgebied. Dit vraagt om flexibele randvoorwaarden. Voor concrete interventies wordt gewacht op de uitkomsten van de economische beleidsanalyse (EBA).
Met de Defensie Strategie voor Industrie en Innovatie (D-SII) wil het kabinet de opschaling van de defensie-industrie faciliteren door knelpunten te adresseren. Zo werkt Defensie bijvoorbeeld samen in het publiek-private platform Defport om financieringsknelpunten te adresseren.2 Daarnaast werken we samen in EU-verband, bijvoorbeeld met de Defensie Omnibus. Dit is een pakket met wetgevingsvoorstellen die beogen de juridische en administratieve lastendruk te verminderen, procedures voor aanbestedingen en vergunningen te versnellen en grensoverschrijdende samenwerking te verbeteren voor de gehele defensie-industrie.

Vraag 4

Welke stappen onderneemt u om defensie-innovatiebedrijven uit landen als Oekraïne, die onder oorlogsomstandigheden een ongekend innovatietempo hebben ontwikkeld, te laten aansluiten op het Nederlandse defensie-ecosysteem zonder dat zij vastlopen in vergunningsstelsels die op vredestijd zijn ingericht?

Om te leren van Oekraïense innovaties werkt Defensie aan coproductie van Oekraïense systemen door Nederlandse bedrijven (Build With Ukraine). Hiermee wil het kabinet de industriesamenwerking met Oekraïne versterken. De Nederlandse insteek van Build With Ukraine is de productie van Oekraïense systemen door Nederlandse bedrijven en in bestaande productiefaciliteiten, in plaats van de vestiging van Oekraïense bedrijven op Nederlands grondgebied, zoals bij Denemarken het geval is. Dit maakt in onze situatie productie sneller mogelijk gezien de grote druk op de fysieke leefomgeving.

Vraag 5

Welke concrete stappen heeft u sinds uw aantreden gezet om vergunningsprocedures voor de vestiging en opschaling van defensie-industrie in Nederland te versnellen? Kunt u daarbij specifiek ingaan op de doorlooptijd van vergunningen voor de productie van drones?

Het verminderen van regeldruk en het verbeteren van het vestigingsklimaat in Nederland zijn belangrijk onderwerpen in het coalitieakkoord. Hierover is de Kamer op 5 september jl. separaat geïnformeerd.3 Over de aanpak wordt periodiek aan uw kamer gerapporteerd door het Ministerie van Economische Zaken en Klimaat. Het doel is om generiek tot verbeteringen te komen, er bestaan geen specifieke initiatieven voor de defensie-industrie.
Het kan per project verschillen of een vergunning nodig is voor militaire productie en zo ja, hoe lang een procedure duurt. Dit is onder andere afhankelijk van de locatie en de complexiteit van het project. Zeker als er gevaarlijke stoffen, milieubelastende behandelingen en/of de assemblage van munitie worden voorzien zijn de vergunningprocedures in Nederland complexer. Daarom staat Defensie in goed overleg met decentrale overheden om te onderzoeken hoe militaire productie zo snel mogelijk van start kan gaan, bijvoorbeeld via een eventuele gedoogconstructie. Uiteindelijk is het aan decentrale overheden als bevoegd gezag om hierover te besluiten.

Vraag 6

Lopen er op dit moment initiatieven om het vestigingsklimaat voor defensie-innovatiebedrijven in Nederland gericht te verbeteren? Zo ja, welke zijn dat en op welke termijn verwacht u daar resultaat van?

Zie het antwoord op vraag 5.

Vraag 7

Hoe verloopt de afstemming tussen de Ministeries van Defensie en van Economische Zaken en Klimaat over het wegnemen van knelpunten voor de defensie-industrie? Welk departement heeft hierbij de regie?

De ministeries van Defensie en Economische Zaken en Klimaat werken doorlopend met elkaar samen, ook in afstemming met brancheverenigingen en koepelorganisaties, bijvoorbeeld op het gebied van het wegnemen van knelpunten voor de opschaling van de defensie-industrie. Zo hebben de ministeries van Defensie en Economische Zaken en Klimaat gezamenlijk de Defensie Strategie voor Industrie en Innovatie 2025–2029 geschreven.4
Het specifieke deelonderwerp bepaalt welk ministerie de regie heeft en welk ministerie daarbij ondersteunend is.

Vraag 8

Bent u bereid om, naar Deens voorbeeld, een versnelde vergunningprocedure in te richten specifiek voor defensie-innovatiebedrijven die willen produceren in Nederland? Zo nee, waarom niet?

De Nederlandse defensie-industrie is van strategisch belang voor onze nationale veiligheid en economische weerbaarheid. Het kabinet deelt de ambitie om innovatie en opschaling te versnellen. Het Ministerie van Economische Zaken en Klimaat zet hiervoor in op twee sporen: vermindering van regeldruk en verbetering van het vestigingsklimaat.
Het Deense voorbeeld van versnelde defensieprojecten neemt het Ministerie van Economische Zaken en Klimaat mee in de afwegingen. Echter, Nederland heeft een eigen juridisch en bestuurlijk kader, waarin we moeten zoeken naar praktische oplossingen die passen bij onze context. In nauw overleg met collega’s van de betrokken ministeries worden knelpunten in kaart gebracht en waar mogelijk opgelost. De Kamer wordt tijdig geïnformeerd over de voortgang en eventuele beleidswijzigingen.

Vraag 9

Hoe voorkomt u dat Nederland achter landen als Denemarken aanloopt als vestigingsland voor defensie-innovatie, gegeven het feit dat Denemarken bewust regelgeving heeft aangepast aan de urgentie van de huidige veiligheidssituatie?

De Nederlandse insteek van Build With Ukraine is de productie van Oekraïense systemen door Nederlandse bedrijven en in bestaande productiefaciliteiten, in plaats van de vestiging van Oekraïense bedrijven op Nederlands grondgebied, zoals bij Denemarken het geval is. Dit maakt in onze situatie productie sneller mogelijk gezien de beperkte beschikbare ruimte en de grote druk op de fysieke leefomgeving. Een voorbeeld hiervan is het eerste coproductieproject tussen VDL en het Oekraïense GreentechHarvest voor de productie van twee typen drones in Born. We zoeken actief naar volgende projecten waarin de kracht van de Oekraïense en Nederlandse defensie-industrie elkaar kunnen versterken.

Vraag 10

Hoe staat het met de operationalisering van het Nationaal Agentschap voor Disruptieve Innovatie (NADI)?

Het Nationaal Agentschap voor Disruptieve Innovatie (NADI), dat is aangekondigd in het coalitieakkoord, gaat zich richten op het realiseren van technologische doorbraken voor maatschappelijke vraagstukken. NADI gaat werken met challenge-based programma’s waar parallel verschillende technologische oplossingen voor een probleem worden verkend. Dit kunnen zowel dual-use als civiele programma’s zijn. Voorafgaand aan de zomer zal ik uw Kamer informeren over de stappen die nodig zijn om NADI te realiseren.

Vraag 11

Kunt u een tijdlijn geven voor de oprichting van de Nederlandse Defensie Innovatie Autoriteit naar het voorbeeld van het Amerikaanse Defense Advanced Research Projects Agency (DARPA)?

In de aankomende Defensienota, die voor de zomer met uw Kamer zal worden gedeeld, zal meer bekendgemaakt worden over de oprichting van een Nederlandse autoriteit voor defensie-innovatie en opschaling.

Vraag 12

Bent u bereid om een concreet plan van aanpak met de Kamer te delen waarin de knelpunten voor de vestiging en opschaling van defensie-industrie in Nederland worden geïnventariseerd en weggenomen? Zo ja, op welke termijn? Zo nee, waarom niet?

Om randvoorwaarden voor versnelling voor de gehele defensie-industrie te creëren, zal het kabinet de Defensie Strategie voor Industrie en Innovatie concretiseren, conform de motie van het lid Van Lanschot c.s. over de Defensie Strategie voor Industrie en Innovatie herzien. We zullen dit meenemen in de uitwerking hiervan, welke in Q3 2026 met uw Kamer wordt gedeeld.

Vraag 1

Bent u bekend met het bericht «Grootste dronebouwer van Oekraïne komt niet naar Nederland, «te veel bureaucratie»»?1

Ja.

Vraag 2

Deelt u de mening dat het cruciaal is voor de Nederlandse veiligheid én voor onze economische groei dat wij koplopers op het gebied van defensietechnologie, zoals de Oekraïense drone-industrie, faciliteren om zich in Nederland te vestigen?

Ja.

Vraag 3

In hoeverre belemmert de huidige Nederlandse terughoudendheid bij de productie van aanvalswapens en -munitie volgens u de samenwerking met innovatieve Oekraïense partners?

Nederland sluit niks uit op het gebied van productie van militair materieel, zolang dit in lijn is met nationale regelgeving en internationale verdragen en past binnen de fysieke leefomgeving. Zo verkent het Ministerie van Defensie op dit moment de mogelijkheden voor coproductie van kapitale en drone- munitieproductie in Nederland. Het kabinet zet dit met prioriteit voort en streeft ernaar munitieproductie binnen drie jaar te realiseren, afhankelijk van factoren die buiten de invloedssfeer van Defensie liggen, zoals vergunningverlening.
Om te leren van Oekraïense innovaties zet het kabinet in op het versterken van de industriesamenwerking met Oekraïne. Nederland neemt actief deel aan het initiatief Build With Ukraine, waarmee coproductie met Oekraïense bedrijven in Nederland mogelijk gemaakt wordt. Dit creëert een win-win-win: de productiecapaciteit van bewezen effectieve systemen voor Oekraïne wordt vergroot, de Nederlandse industrie wordt opgeschaald en we krijgen toegang tot innovaties van het slagveld. Op 10 oktober jl. heeft Nederland hierover een Memorandum van Overeenstemming (MoU) getekend met Oekraïne. Op 16 april jl. is een belangrijke volgende stap gezet – VDL heeft een licentieovereenkomst getekend met het Oekraïense GreentechHarvest voor de productie van twee typen drones in Born. Dit is het eerste coproductieproject tussen Nederland en Oekraïne. We zoeken actief naar volgende projecten waarin de kracht van de Oekraïense en Nederlandse defensie-industrie elkaar kunnen versterken.

Vraag 4

Hoe beoordeelt u het feit dat dit bedrijf de Nederlandse bureaucratie omschrijft als «rennen met een loodzware rugzak»?

Oekraïne is een land in oorlog, en kent momenteel andere wet- en regelgeving dan Europese landen, bijvoorbeeld op het gebied van veiligheid en milieu. Tegelijkertijd bevinden wij ons in een grijs gebied tussen vrede en oorlog. We moeten ons voorbereiden op een Hoofdtaak 1 scenario – de verdediging van het eigen en bondgenootschappelijk grondgebied. Dit vraagt om flexibele randvoorwaarden.
Met de Defensie Strategie voor Industrie en Innovatie 2025–2029 (D-SII) wil het kabinet de opschaling van de defensie-industrie faciliteren.2 Zo werkt Defensie bijvoorbeeld samen in het publiek-private platform Defport om financieringsknelpunten te adresseren.3 Daarnaast werken we hieraan samen in EU-verband, bijvoorbeeld met de Defensie Omnibus. Dit is een pakket met wetgevingsvoorstellen die beogen de juridische en administratieve lastendruk te verminderen, procedures voor aanbestedingen en vergunningen te versnellen en grensoverschrijdende samenwerking te verbeteren voor de defensie-industrie.

Vraag 5

Wat is uw reactie op de uitspraak van de directeur van Fire Point dat hij in Oekraïne in twee dagen een nieuwe productielijn opzet, terwijl hij in Europa (en Nederland) veel te veel tijd kwijt is aan papierwerk?

Zie antwoord vraag 4.

Vraag 6

Deelt u de analyse van de Oekraïense inspecteur-generaal Myronenko dat traditionele militaire bureaucratie «de grootste vijand van innovatie» is?

De oorlog in Oekraine laat het sterk toegenomen belang van kortere innovatiecycli zien die zich rechtstreeks vertalen in inzetbare gevechtscapaciteiten. Het is daarom zaak om de vereiste zorgvuldigheid bij verwervingsprocedures te betrachten en tegelijkertijd ruimte in te bouwen voor flexibiliteit en, conform de doelstellingen van de Defensie Strategie voor Industrie en Innovatie (D-SII), het proces van innovatie voor Defensie te versnellen.4 Zie hiervoor het antwoord onder vraag 14.

Vraag 7

Kunt u specifiek toelichten welke Nederlandse of Europese regels en vergunningsplichten (zoals op het gebied van exportcontrole, milieu of ruimtelijke ordening) in dit concrete geval de grootste hindernis vormden voor de vestiging van deze dronebouwer?

Nee. Er hebben geen gesprekken plaatsgevonden met de betreffende producent over mogelijke vestiging in Nederland. Zowel het Ministerie van Defensie als het Ministerie van Economische Zaken en Klimaat waren niet op de hoogte van de interesse van deze droneproducent om productie te verplaatsen naar Nederland.

Vraag 8

Is er vanuit de Ministeries van Defensie of Economische Zaken en Klimaat direct contact geweest met Fire Point om de specifieke knelpunten te achterhalen? Zo ja, wat was daarvan de uitkomst? Zo nee, waarom niet?

Nee. Er hebben geen gesprekken plaatsgevonden tussen Fire Point en het Ministerie van Defensie of Economische Zaken en Klimaat over mogelijke productie in Nederland omdat de producent deze interesse niet kenbaar heeft gemaakt. Om deze reden is er ook niet in kaart gebracht welke Nederlandse of Europese regels of vergunningsplichten belemmerend zouden zijn voor de betreffende producent. Na de publicatie van het betreffende artikel van Nieuwsuur heeft Defensie Fire Point uitgenodigd voor een gesprek, zie het antwoord op vraag 9 en 10.

Vraag 9

Zijn er na de afwijzing door Fire Point nog extra pogingen ondernomen vanuit de overheid of regionale ontwikkelingsmaatschappijen (ROM’s) om het bedrijf alsnog te faciliteren in Nederland?

Ja. Defensie heeft Fire Point uitgenodigd voor een gesprek. Hier is tot op heden geen gehoor aan gegeven. Nederland verwelkomt alle initiatieven in het kader van Build with Ukraine en gaat graag met producenten in gesprek over mogelijkheden voor samenwerking met Nederlandse bedrijven, waarbij gezamenlijk wordt verkend hoe productie in Nederland vorm kan krijgen.

Vraag 10

Bent u bereid om alsnog proactief het gesprek aan te gaan met Fire Point om te bezien of en op welke manier bureaucratische belemmeringen weggenomen kunnen worden, zodat vestiging in Nederland alsnog mogelijk wordt?

Zie antwoord vraag 9.

Vraag 11

Wat is uw reactie op het feit dat Denemarken volgens de dronebouwer wel bereid was om regels «overboord te gooien» om snel zakendoen mogelijk te maken?

Op 2 september 2025 maakte Denemarken bekend dat Fire Point zich in Denemarken vestigt om vaste raketbrandstof te produceren. De Deense regering maakt gebruik van een recent ingevoerde wet die de mogelijkheid biedt om nationale defensie- of crisisgerelateerde projecten versneld door te voeren.
De Nederlandse insteek van Build With Ukraine is de productie van Oekraïense systemen door Nederlandse bedrijven en in bestaande productiefaciliteiten, in plaats van de vestiging van Oekraïense bedrijven op Nederlands grondgebied, zoals bij Denemarken het geval is. Dit maakt in onze situatie productie sneller mogelijk gezien de grote druk op de fysieke leefomgeving.

Vraag 12

Welke lessen trekt u uit de Deense aanpak om het Nederlandse vestigingsklimaat voor defensiebedrijven concurrerender te maken?

De Nederlandse defensie-industrie is van strategisch belang voor onze nationale veiligheid en economische weerbaarheid. Het kabinet deelt de ambitie om innovatie en opschaling te versnellen. Het Ministerie van Economische Zaken en Klimaat zet hiervoor in op twee sporen: vermindering van regeldruk en verbetering van het vestigingsklimaat. Hierover is de Kamer op 5 september jl. separaat geïnformeerd.5 Over de aanpak wordt periodiek aan uw kamer gerapporteerd door het Ministerie van Economische Zaken en Klimaat.
Het Deense voorbeeld van versnelde defensieprojecten neemt het Ministerie van Economische Zaken en Klimaat mee in de afwegingen. Echter, Nederland heeft een eigen juridisch en bestuurlijk kader, waarin we moeten zoeken naar praktische oplossingen die passen bij onze context. In nauw overleg met collega’s van de betrokken ministeries worden knelpunten in kaart gebracht en waar mogelijk opgelost. De Kamer wordt tijdig geïnformeerd over de voortgang en eventuele beleidswijzigingen.

Vraag 13

Bent u bereid om, gezien de noodzaak tot economische groei en versterking van de defensiesector, de vergunningsprocedures voor de defensie-industrie drastisch te versnellen? Bent u bereid om bij de aankomende Vereenvoudigingswet hiervoor concrete vereenvoudigingen door te voeren?

Zie antwoord vraag 12.

Vraag 14

Welke (verdere) concrete maatregelen gaat u nemen om te voorkomen dat (militaire) innovaties worden vertraagd, terwijl deze essentieel zijn voor het overleven van onze bondgenoten en onze eigen veiligheid?

Het belang van innovatie voor de slagkracht van onze krijgsmacht is één van de kernideeën achter de D-SII, waarin meerdere maatregelen worden aangekondigd om het proces van innovatie voor Defensie te versnellen.6 Defensie zet daarbij in op nieuwe vormen van samenwerking met kennisinstellingen, zoals TNO, NLR en Marin, om de nieuwste kennis sneller naar een hoger Technology Readiness Level te brengen, onder meer via constructies zoals scientists on the job. Daarnaast worden nieuwe financieringsinstrumenten gerealiseerd, zoals het SecFund, en wordt private financiering gemobiliseerd om innovatieve bedrijven te stimuleren.
Ook maken we werk van een steeds meer innovatiegericht inkoopproces via het SDIR kader, waarbij ruimte is voor experimenten en het opschalen van bewezen innovaties.7 Verder wordt gewerkt aan een nauwere samenwerking met Oekraïne op het gebied van kennisopbouw en -uitwisseling. Tot slot zal de oprichting van een defensie innovatie autoriteit bijdragen aan het versneld opschalen en implementeren van succesvolle innovaties binnen de krijgsmacht.

Vraag 15

Kunt u de Kamer informeren over de huidige status van de gesprekken met Oekraïense defensiebedrijven en de resultaten die tot nu toe zijn geboekt?

Nederland wil de industriesamenwerking met Oekraïne versterken om te leren van Oekraïense innovaties. Om deze reden nemen we actief deel aan het initiatief Build With Ukraine, waarmee de coproductie van Oekraïense systemen door Nederlandse bedrijven mogelijk gemaakt wordt. Op 10 oktober jl. heeft Nederland hierover een Memorandum van Overeenstemming (MoU) getekend. Op 16 april jl. is hier een belangrijke volgende stap in gezet – VDL heeft een licentieovereenkomst getekend met het Oekraïense GreentechHarvest voor de productie van twee typen drones. Dit is het eerste coproductieproject tussen Nederland en Oekraïne.
We zoeken actief naar volgende projecten die de industriesamenwerking met Oekraine verder versterken en verwelkomen aanvullende initiatieven voor gezamenlijke productie in Nederland. Over de status van lopende gesprekken met Oekraïense defensiebedrijven kan geen uitspraak gedaan worden in het kader van commerciële vertrouwelijkheid.

Vraag 1

Bent u bekend met het bericht van de NOS over hacks bij Basic-Fit en Booking.com waarbij klantgegevens zijn buitgemaakt?1

Ja.

Vraag 2

Hoe beoordeelt u deze incidenten als indicatie van structurele tekortkomingen in de beveiliging van persoonsgegevens bij grote, digitaal opererende bedrijven?

De berichten over grootschalige datalekken zijn zorgwekkend, vooral gezien de mogelijk schadelijke gevolgen voor getroffen betrokkenen. Het is belangrijk dat getroffen burgers, wanneer het waarschijnlijk een hoog risico betreft, goed worden geïnformeerd zodat zij weten waar zij aan toe zijn en daartoe gepaste stappen kunnen ondernemen. Ik wil voorzichtig zijn met het spreken van «structurele tekortkomingen». Elk incident is anders en kan een eigen oorzaak hebben, en het is niet uitgesloten dat er sprake kan zijn van een zeer geavanceerde cyberaanval waartegen zelfs goed beveiligde bedrijven kwetsbaar zijn.

Vraag 3

Heeft u voldoende structureel inzicht in de aard, omvang en frequentie van datalekken en cyberaanvallen in Nederland? Zo ja, hoe wordt dit overzicht benut voor beleid en toezicht? Zo nee, welke maatregelen neemt u om dit inzicht te verbeteren?

Organisaties die persoonsgegevens verwerken zijn verplicht om alle datalekken te documenteren, bijvoorbeeld in een register. Naast het lek zelf moeten ook de feiten en de gevolgen van het datalek en de genomen corrigerende maatregelen worden geregistreerd. Het doel van een dergelijk register is bewustwording en te leren van eerdere datalekken, alsook het nemen van effectieve maatregelen om de kans op nieuwe, soortgelijke datalekken te verminderen. Ook stelt het de toezichthouder in staat te controleren of de meldplicht wordt nageleefd. Daarnaast houdt de Autoriteit Persoonsgegevens (AP) de bij haar gemelde datalekken bij. Niet alle datalekken worden gemeld of zijn meldplichtig: een melding bij de AP is alleen verplicht als de inschatting is gemaakt dat het waarschijnlijk is dat het datalek een risico oplevert voor de rechten en vrijheden van betrokkenen, zoals de bescherming van hun persoonsgegevens en persoonlijke levenssfeer. De AP rapporteert jaarlijks over de meldplicht datalekken. Het kabinet beschikt niet over een register van alle datalekken, maar ziet vooralsnog niet dat sprake is van een tekort aan inzicht en van de noodzaak tot het treffen van maatregelen om dat te verbeteren.

Vraag 4

Deelt u de opvatting dat herhaalde datalekken kunnen wijzen op onvoldoende structurele naleving van de Algemene verordening gegevensbescherming? Zo ja, welke systeemfouten signaleert u hierbij? Zo nee, waarom niet?

Een datalek hoeft niet te duiden op onvoldoende structurele naleving van de AVG; ook goed beveiligde organisaties, overheden en bedrijven kunnen worden getroffen. Daarbij betekent een datalek op zich niet dat er ook sprake is van een overtreding van de AVG. Het gaat er verder vooral om hoe bedrijven handelen nadat een datalek is geconstateerd. Dat handelen kan bestaan uit het nemen van (extra) beveiligingsmaatregelen, het naleven van de meldingsplicht en transparante communicatie richting de getroffen betrokkenen. Organisaties die persoonsgegevens verwerken zijn – als verwerkingsverantwoordelijke – gehouden om gedegen risico-analyses te maken en een daaraan gekoppelde passende interne beveiligingscultuur en snel en adequaat te handelen in geval van een incident.

Vraag 5

Acht u de toezicht- en handhavingscapaciteit van de Autoriteit Persoonsgegevens toereikend om structurele naleving af te dwingen? Zo ja, waarom? Zo nee, welke versterkingen zijn nodig?

Het kabinet is van mening dat de AP over voldoende middelen beschikt om de (toezicht- en handhavings)taken die voortvloeien uit de AVG en de UAVG uit te voeren. De AP mag zelf bepalen hoe zij de middelen die zij voor AVG-toezicht ontvangt, verdeelt over de afzonderlijke AVG-toezichtstaken. Zoals genoemd in de beleidsreactie op de evaluatie van de AP2 wil het kabinet samen met de AP stappen zetten om te komen tot een meer objectieve basis die ondersteunend is bij de besluitvorming over een passende hoogte van het budget van de AP. Een landenvergelijkend onderzoek kan daarbij een nuttig instrument zijn.

Vraag 6

Ziet u aanleiding om te komen tot strengere, afdwingbare beveiligingsnormen voor bedrijven die op grote schaal persoonsgegevens verwerken? Zo nee, waarom niet?

De AVG biedt in principe voldoende normen voor het nemen van passende beveiligingsmaatregelen voor alle organisaties en bedrijven die (op grote schaal) persoonsgegevens verwerken. Passende beveiligingsmaatregelen houden concreet onder meer in dat organisaties en bedrijven bij risicovolle en/of grootschalige gegevensverwerkingen vooraf een Data Protection Impact Assessment (DPIA) dienen uit te voeren. Dit is een instrument om voorafgaand aan de verwerking de privacyrisico’s in kaart te brengen om daarmee de impact op de rechten van betrokkenen te beoordelen en gerichte maatregelen te nemen om deze risico’s te verkleinen. Daarnaast zijn organisaties en bedrijven in het geval van grootschalige gegevensverwerking vaak verplicht om een functionaris voor gegevensbescherming (FG) aan te stellen. De FG is een onafhankelijke toezichthouder binnen een organisatie of bedrijf die toeziet op de naleving van de AVG en adviseert over het zorgvuldig verwerken van persoonsgegevens. De verwerkingsverantwoordelijke heeft voor het treffen van passende beveiligingsmaatregelen een verantwoordingsplicht. Gelet hierop zie ik geen noodzaak voor extra (strenge) maatregelen. Wel geldt straks voor organisaties en bedrijven die opereren in voor de samenleving cruciale sectoren, waaronder onder andere de transport- en energiesector, het bankwezen en de digitale infrastructuur, de Cyberbeveiligingswet. Deze wet is op 15 april jl. door uw Kamer aangenomen en treedt later dit jaar in werking. De Cyberbeveiligingswet is de doorvertaling van de Europese NIS2- en CER-richtlijn die lidstaten weerbaarder moeten maken tegen gevaren van buitenaf, waaronder cyberdreigingen. De wet verplicht onder andere tot het uitvoeren van een risicoanalyse en het op basis daarvan treffen van passende en evenredige maatregelen voor het betreffende netwerk- en informatiesysteem. Ook hebben organisaties en bedrijven op grond van deze wet een zorg-, meld- en registratieplicht.

Vraag 7

In het kader van dataminimalisatie: ziet u kansen dat de ontwikkeling van de EDI-wallet in Nederland kan bijdragen aan het verkleinen van het risico op datalekken bij organisaties, doordat consumenten hun persoonsgegevens minder vaak rechtstreeks hoeven te delen met verschillende partijen?

Ja. De Europese Digitale Identiteit (EDI) stelt burgers in staat binnen de hele Europese Unie digitaal te legitimeren of in te loggen op websites. Het veilig delen van persoonsgegevens behoort daar ook toe, waarbij enkel de gegevens worden gebruikt die strikt noodzakelijk zijn.

Vraag 8

Kunt u de vragen afzonderlijk beantwoorden?

De vragen zijn afzonderlijk beantwoord.

Vraag 1

Kent u het rapport Excess Oil Profits in Times of War van Energy Comment Hamburg1, waarin wordt geanalyseerd dat oliemaatschappijen in de EU sinds het uitbreken van de oorlog in het Midden-Oosten dagelijks meer dan € 80 miljoen extra winst maken door hogere marges op diesel en benzine?

Ja.

Vraag 2

Hoe beoordeelt u de analyse dat de brandstofprijzen aan de pomp veel sterker zijn gestegen dan de onderliggende prijs van ruwe olie, en dat dit wijst op buitensporige winstmarges in de fossiele brandstofsector?

In de Kamerbrief over de «Acties weerbaarheid energieschok»1 heeft het kabinet een eerste analyse gemaakt van mogelijke overwinsten in de olie- en gassector. In deze analyse is geconcludeerd dat de marges met name bij de productie van ruwe olie zijn opgelopen, maar dit wordt vrijwel volledig in het buitenland gematerialiseerd. Daarnaast heeft het kabinet ook indicaties van toegenomen marges in de raffinagesector. Hierbij is echter een belangrijke kanttekening dat het kabinet geen zicht heeft op de prijsafspraken die individuele bedrijven maken. Operators verhandelen olievolumes bijvoorbeeld (deels) middels een vast-prijscontract tegen een vooraf vastgestelde prijs, waardoor de invloed van hogere prijzen op de winsten mogelijk uitblijft. Bovendien betekent een hogere marge nog niet dat sprake is van een (in Nederland eventueel te belasten) overwinst. Tot slot heeft het kabinet geen indicatie dat de marges bij pomphouders zijn toegenomen. In de onlangs gepubliceerde monitor brandstofprijzen van het ACM worden deze conclusies bevestigd.

Vraag 3

Herkent u de conclusie dat de marges vooral zijn opgelopen in lidstaten met een hoge koopkracht, waaronder Nederland?

Het kabinet heeft geen onderzoek gedaan naar de prijsontwikkeling in andere Europese lidstaten.

Vraag 4

Het rapport concludeert dat oliemaatschappijen in Nederland vanwege de oorlog in het Midden-Oosten per dag 2,9 miljoen euro overwinst maken door hogere marges te rekenen voor de prijs van benzine en met name diesel, en dat in geen enkel ander Europees land de prijsstijging van diesel zo fors is als in Nederland; hoe kijkt u aan tegen dit rapport en deze conclusies?

Zie het antwoord op vraag 2 en 3.

Vraag 5

Is er in dit geval volgens u sprake van «graaiflatie», waarbij bedrijven misbruik maken van geopolitieke spanningen om winsten te behalen ten koste van burgers? Zo nee, waarom niet?

Zie het antwoord op vraag 2 en 3.

Vraag 6

Deelt u de opvatting dat het maatschappelijk onwenselijk is dat fossiele bedrijven extra profiteren van geopolitieke spanningen en oorlog, terwijl burgers de rekening betalen? Zo nee, waarom niet?

Het is in een vrije markteconomie normaal dat winsten fluctueren, afhankelijk van vraag-aanbod en prijsontwikkelingen. In Nederland hebben raffinaderijen bijvoorbeeld periodes van lagere winsten, maar ook periodes van hogere winsten. Dat gezegd hebbende is het niet de bedoeling dat fossiele bedrijven profiteren van geopolitieke spanningen en oorlog.

Vraag 7

Hoe gaat u ervoor zorgen dat olie- en gasbedrijven geen misbruik kunnen maken van oorlogssituaties of andere rampen om vervolgens de prijzen op te stuwen?

Het kabinet deelt het belang om de kosten- en prijsontwikkeling bij olie- en gasbedrijven goed in de gaten te houden. De ACM publiceert sinds halverwege deze maand daarom iedere week een monitor brandstofprijzen. Op basis hiervan concludeert het kabinet dat er geen aanwijzingen zijn dat pomphouders momenteel hogere winstmarges realiseren als gevolg van het conflict in het Midden-Oosten. Dit is naar verwachting wel het geval in de raffinagesector, waarvan een deel in Nederland staat. Daarnaast worden ook extra winsten gemaakt bij de productie van ruwe olie. Dit zit echter vrijwel volledig in het buitenland. Conform de aangenomen motie van de leden Klaver en Paternotte2 pleit het kabinet in Europees verband voor een aanpak van eventuele overwinsten bij energiebedrijven.

Vraag 8

Welke mogelijkheden ziet u om overwinsten van olie- en gasbedrijven tijdelijk of permanent extra te belasten, zodat deze middelen kunnen worden ingezet voor verlaging van energierekeningen en versnelling van de energietransitie?

Het kabinet heeft recent een aantal maatregelen genomen om de eerste effecten van de economische schok bij burger en bedrijven op te vangen, de weerbaarheid op de langere termijn te vergroten en de afhankelijkheid van energie uit het buitenland te verminderen. Eventuele extra winsten in de olie- en gassector leiden ook tot meer inkomsten in de vennootschapsbelasting. Deze sectoren zijn sterk internationaal verweven. Voor het belasten van eventuele extra winsten bovenop de vennootschapsbelasting, kiest het kabinet daarom een Europese aanpak. Zo roept het kabinet de Europese Commissie op tot een nadere analyse van het ontstaan van eventuele overwinsten bij olie- en gasbedrijven als gevolg van de huidige hoge prijzen. Daarnaast roept het kabinet op om de juridische mogelijkheden te verkennen voor het invoeren van een belasting op overwinsten als er inderdaad sprake is van overwinsten.

Vraag 9

Welke nationale of Europese wetgeving is nodig om oorlogswinst of overwinsten van fossiele energiebedrijven zwaarder te belasten?

De Commissie heeft onlangs aangegeven geen voorstel voor een geharmoniseerde overwinstbelasting te gaan publiceren. De Commissie heeft in de Accelerate EU mededeling van 22 april jl. wel steun aan lidstaten aangeboden voor het vormgeven van nationale maatregelen toegespitst op het belasten van overwinsten van olie- en gasbedrijven. De Nederlandse oliemarkt is sterk verweven met die van andere Europese landen. In de discussie over het belasten van overwinsten is het daarom van belang om te blijven optrekken met andere Europese lidstaten. Ook in de andere lidstaten speelt deze discussie, maar heeft het nog niet tot nieuwe concrete voorstellen voor wetgeving geleid. Het kabinet blijft echter aandacht vragen bij de Commissie om in Europees verband tot een aanpak voor het belasten van eventuele overwinsten te komen en zal hierbij ook zoveel mogelijk optrekken met andere gelijkgestemde lidstaten.

Vraag 10

Welke gesprekken heeft u hierover gevoerd met Europese collega’s of in EU-verband, en bent u bereid dit onderwerp actief op de Europese agenda te zetten?

Het kabinet heeft tijdens de Ecofinraad van 4 en 5 mei opgeroepen tot een nadere analyse van het ontstaan van eventuele overwinsten bij olie- en gasbedrijven als gevolg van de huidige hoge prijzen. Daarnaast heeft het kabinet opgeroepen op EU-niveau de juridische mogelijkheden te verkennen voor het invoeren van een belasting op overwinsten als er inderdaad sprake is van overwinsten, op zowel de Ecofinraad van 4 en 5 mei als op de informele Energieraad van 12 en 13 mei. Deze oproep heeft vooralsnog niet geleid tot een nadere analyse of voorstel van de Europese Commissie (hierna: Commissie). De Commissie heeft onlangs aangegeven geen voorstel voor een geharmoniseerde overwinstbelasting te gaan publiceren. De Commissie heeft in de Accelerate EU mededeling van 22 april jl. wel steun aan lidstaten aangeboden voor het vormgeven van maatregelen toegespitst op het belasten van overwinsten van olie- en gasbedrijven. De Nederlandse oliemarkt is sterk verweven met die van andere Europese landen. In de discussie over het belasten van overwinsten is het daarom van belang om te blijven optrekken met andere Europese lidstaten. Ook in de andere lidstaten speelt deze discussie, maar heeft het nog niet tot nieuwe concrete voorstellen voor wetgeving geleid. Het kabinet blijft aandacht vragen bij de Commissie om in Europees verband tot een aanpak voor het belasten van eventuele overwinsten te komen en zal hierbij ook zoveel mogelijk optrekken met andere gelijkgestemde lidstaten.

Vraag 11

Zal Nederland de oproep aan de Europese Commissie van Duitsland, Italië, Spanje, Portugal en Oostenrijk rond overwinstbelastingen steunen? Ja nee, waarom niet?

Zie het antwoord op vraag 10.

Vraag 12

Hoe gaat u uitvoering geven aan de aangenomen motie Teunissen over overwinsten van oliebedrijven inzetten voor tijdelijke steun aan kwetsbare huishoudens?

Het kabinet heeft recent een aantal maatregelen genomen om de eerste effecten van de economische schok bij burger en bedrijven op te vangen, de weerbaarheid op de langere termijn te vergroten en de afhankelijkheid van energie uit het buitenland te verminderen. Het tijdelijk of permanent extra belasten van overwinsten van olie- en gasbedrijven is daar geen onderdeel van, hier kiest het kabinet namelijk een Europese aanpak.

Vraag 13

Tijdens het debat over de economische gevolgen van de oorlog in het Midden-Oosten gaf de Minister van Financiën aan dat er op dit moment procedures lopen met energiebedrijven, onder andere vanwege definitiekwesties; kunt u aangeven hoeveel juridische procedures er zijn aangespannen door bedrijven tegen de Nederlandse Staat, met betrekking tot de tijdelijke solidariteitsbijdrage uit 2022?

De betreffende EU Verordening c.q. de Wet tijdelijke solidariteitsbijdrage (en de tijdelijke verhoging van de cijns) leiden tot meerdere procedures. Het gaat daarbij zowel om nationaalrechtelijke bezwaar- en beroepsprocedures als om arbitrageprocedures. Tegen de tijdelijke solidariteitsbijdrage en tijdelijke verhoging van de cijns zijn in totaal 33 bezwaren ingediend bij de Belastingdienst, met een gezamenlijk bestreden bedrag van circa 2,7 miljard euro. Van deze bezwaren zijn er inmiddels twee in beroep aanhangig bij de rechtbank. De overige bezwaren zijn nog in behandeling. Daarnaast is een aantal partijen een arbitrageprocedure gestart, bijvoorbeeld op grond van het Energiehandvestverdrag. Het is onder meer met het oog op de fiscale geheimhoudingsplicht van artikel 67 van de Algemene wet inzake rijksbelastingen (AWR) en de vertrouwelijkheid van de arbitrageprocedures niet aan het kabinet om een volledig overzicht van de betrokken partijen en de geschilpunten te geven. Het kabinet verwijst voor de arbitragezaken waarvan de Kamer reeds op de hoogte is gebracht naar de brieven aan uw Kamer van 20 januari jl. en 18 mei jl.3 Een aantal bedrijven uit de olie- en gassector hebben daarnaast rechtstreeks beroep tegen de EU-verordening ingediend bij het Europees Hof van Justitie.

Vraag 14

Kunt u een zo volledig mogelijk overzicht geven van alle lopende juridische procedures – zowel nationaal als internationaal – met betrekking tot de tijdelijke solidariteitsbijdrage uit 2022, inclusief de betrokken partijen, het type procedure en de huidige stand van zaken?

Zie het antwoord op vraag 13.

Vraag 15

Kunt u nader toelichten welke beroepsprocedures in september en oktober bij Nederlandse rechtbanken starten, en welke zaken momenteel aanhangig zijn bij het Europese Hof van Justitie? Wat zijn de centrale juridische geschilpunten in deze procedures?

Het kabinet verwijst naar het antwoord op vraag 13.

Vraag 16

Kunt u bevestigen welke energiebedrijven betrokken zijn bij deze procedures, en op welke gronden zij de solidariteitsbijdrage aanvechten?

Het kabinet verwijst naar het antwoord op vraag 13.

Vraag 17

Kunt u bevestigen of en in hoeverre de solidariteitsbijdrage onderdeel uitmaakt van bredere juridische geschillen met bedrijven zoals Shell en ExxonMobil, bijvoorbeeld in het kader van de arbitrages rond de afbouw van de gaswinning in Groningen?

Ik kan bevestigen dat de tijdelijke solidariteitsbijdrage onderdeel uitmaakt van bredere juridische geschillen tussen Shell en ExxonMobil en de Staat. Uw Kamer is hierover eerder geïnformeerd, onder meer in de Kamerbrief inzake de start van de AoH-arbitrage.4 Ik kan ook bevestigen dat de tijdelijke solidariteitsbijdrage onderdeel uitmaakt van een arbitrageprocedure tussen Petrogas en het Koninkrijk der Nederlanden.5 Indien gewenst kan uw Kamer een vertrouwelijke briefing ontvangen over deze procedures. Dit vanwege de verplichte geheimhouding ten aanzien van de inhoud van de arbitrageprocedure.

Vraag 18

Kunt u bevestigen of bedrijven internationale arbitrageprocedures zijn gestart tegen Nederland in relatie tot fiscale maatregelen zoals de solidariteitsbijdrage of andere belastingmaatregelen (zoals de conditionele bronbelasting op renten, royalty’s en dividenden)? Zo ja, om welke zaken gaat het en op basis van welke verdragen worden deze claims ingediend?

Ja. Het kabinet verwijst naar de brief van het kabinet aan uw Kamer van 20 januari jl. en 18 mei jl.6

Vraag 19

Kunt u bevestigen of Petrogas een arbitrageprocedure is gestart op basis van het bilaterale investeringsverdrag tussen Nederland en Oman, en of deze procedure (mede) betrekking heeft op de solidariteitsbijdrage en/of andere fiscale maatregelen?2

Ja. Het kabinet verwijst naar de brief aan uw Kamer van 18 mei jl.8

Vraag 20

U gaf aan dat de solidariteitsbijdrage «waarschijnlijk kwetsbaar» was en dat deze kwetsbaarheid zich nu materialiseert; kunt u nader specificeren waar deze juridische kwetsbaarheid precies uit bestaat?

Het kabinet heeft inderdaad aangegeven dat een overwinstbelasting aandachtspunten kent. Het gaat dan bijvoorbeeld om de afbakening van het subject (de belastingplichtige) en het object (de belastbare grondslag). Om die reden zijn vorige kabinetten terughoudend geweest met het invoeren van een solidariteitsbijdrage.9 Als gevolg van de geopolitieke situatie en de daaruit ontstane zeer uitzonderlijke omstandigheden in 2022 is een EU-verordening aangenomen met daarin een tijdelijke solidariteitsbijdrage. Het kabinet Rutte IV heeft – ingevolge deze EU-verordening – de tijdelijke solidariteitsbijdrage voor 2022 ingevoerd. Over deze tijdelijke solidariteitsbijdrage worden momenteel meerdere juridische procedures gevoerd (zie ook het antwoord op vraag 13). Indien gewenst kan uw Kamer hier een vertrouwelijke briefing over ontvangen.

Vraag 21

Welke implicaties hebben deze lopende procedures voor de mogelijkheid om in de toekomst nieuwe belastingen op overwinsten of andere crisisgerelateerde heffingen in te voeren?

Het introduceren van een nieuwe overwinstbelasting of crisisheffing is niet per definitie onmogelijk, maar elke specifieke situatie vergt een afzonderlijke weging. Voor nu kiest het kabinet voor een Europese aanpak bij het belasten van eventuele extra winsten bij olie- en gasbedrijven.

Vraag 22

Welke bredere juridische risico’s ziet u voor het invoeren of aanpassen van belastingmaatregelen die gericht zijn op het tegengaan van excessieve winsten, belastingontwijking of het beschermen van het publieke belang?

Het kabinet verwijst naar het antwoord op vraag 20 en 21.

Vraag 23

Hoe beoordeelt u het feit dat energiebedrijven, die aanzienlijke winsten hebben behaald als gevolg van geopolitieke crisis, juridische procedures starten tegen maatregelen die bedoeld zijn om deze winsten gedeeltelijk af te romen ten behoeve van huishoudens en de samenleving?

Het staat in onze rechtsstaat vrij om naar de rechter te stappen tegen overheidsmaatregelen. Daarnaast heeft Nederland afspraken gemaakt over basisstandaarden van goed bestuur in verdragen waardoor bedrijven die hebben geïnvesteerd vanuit een ander land waarmee Nederland een dergelijk verdrag heeft onder bepaalde omstandigheden een arbitrageprocedure kunnen starten. Het gaat hierbij om basisstandaarden zoals we die ook in ons nationale recht kennen.
Het staat partijen vrij om gerechtelijke toetsing van maatregelen te vragen bij een tribunaal dat daarover rechtsmacht heeft, wat afhangt van de specifieke omstandigheden van elk afzonderlijk geval. Uiteraard zal de Staat in dergelijke procedures verweer voeren. Het indienen van een vordering staat derhalve niet gelijk aan het toegewezen krijgen daarvan.

Vraag 24

Bent u het ermee eens dat geschillen over belastingmaatregelen primair thuishoren bij de nationale rechter en – in voorkomend geval – het Europese Hof van Justitie, en niet in private arbitrageprocedures?

Het kabinet verwijst naar het antwoord op vraag 23.

Vraag 25

Welke juridische en financiële risico’s ziet u voortvloeien uit Nederlandse bilaterale investeringsverdragen met investor-state dispute settlement (ISDS) clausules in relatie tot fiscale maatregelen zoals de solidariteitsbijdrage?

De Nederlandse overheid handelt bij de voorbereiding en uitvoering van (fiscale) maatregelen binnen de geldende nationale en internationale juridische kaders. Het staat investeerders echter op grond van investeringsbeschermingsovereenkomsten met ISDS-clausules vrij om een geschil aan te spannen bij een tribunaal wanneer zij menen dat de in het verdrag vastgelegde bescherming is geschonden. In investeringsbeschermingsovereenkomsten betreft dat afspraken over goed bestuur zoals we die ook in het nationale recht kennen. Maar een zaak aanspannen wil niet zeggen dat die zaak ook gewonnen wordt. Wanneer een tribunaal in een concreet geval toch tot het oordeel komt dat Nederland een verdragsverplichting heeft geschonden, kan dit financiële gevolgen hebben, bijvoorbeeld in de vorm van schadevergoeding.

Vraag 26

Hoe verhouden deze risico’s zich tot het bredere kabinetsbeleid ten aanzien van investeringsbescherming en de hervorming of beëindiging van ISDS, mede in het licht van recente discussies over beleidsruimte voor klimaat- en energiebeleid?

In beginsel worden de materiële bepalingen van investeringsbeschermingsovereenkomsten opgesteld om wederzijdse investeringen tussen twee staten aanvullende bescherming te bieden. Dit beoogt het investeringsklimaat in beide landen te versterken. Wanneer een investeerder van de andere verdragspartij meent dat de staat een dergelijke beschermingsbepaling schendt kan deze, onder voorwaarden, op basis van de in de overeenkomst opgenomen procedures een geschil aanhangig maken bij een arbitragetribunaal. Het kabinet hecht hierbij belang aan het expliciet verduidelijken van de beleidsruimte van overheden in investeringsbeschermingsovereenkomsten en helder afgebakende beschermingsstandaarden. Dit vormt daarom ook een onderdeel van de moderniseringsinzet van het kabinet. De modernisering van dat stelsel herbevestigt expliciet het recht van Staten om in het publieke belang te reguleren, zoals op het terrein van klimaat- en energiebeleid. De gemoderniseerde Nederlandse modeltekst bevat daarbij ook bepalingen over duurzame ontwikkeling, waaronder een bepaling waarin de verplichtingen uit multilaterale overeenkomsten op het gebied van milieubescherming, zoals het Klimaatakkoord van Parijs, worden bevestigd.

Vraag 27

Kunnen deze vragen worden beantwoord voorafgaand aan het plenaire debat over de maatregelen van het kabinet inzake de hoge energie- en brandstofprijzen?

Vraag 1

Heeft u kennisgenomen van het bericht «Rouwkaart versturen die binnen 24 uur moet aankomen? Dat gaat je enkele euro’s per kaart kosten»?1

Ja.

Vraag 2

Klopt het dat vanaf juli voor bezorging van rouwpost binnen 24 uur een apart en aanzienlijk hoger tarief zal gaan gelden dan het reguliere posttarief? Zo ja, hoe wordt dit tarief vastgesteld?

Ja, voor bezorging van rouwpost binnen 24 uur gaat per 1 juli 2026 inderdaad een hoger tarief gelden. Voor rouwpost is PostNL bezig een apart proces in te richten, waarbij deze post via het pakketnetwerk meegenomen en bezorgd wordt. De hogere kosten die daarmee gepaard gaan, worden doorberekend in het hogere tarief. Burgers hebben ook de mogelijkheid om een brief niet als rouwbrieven aan te bieden, maar als reguliere UPD-brief. In dat geval gelden de wettelijke eisen voor rouwpost niet en wordt de brief binnen twee dagen bezorgd tegen het tarief van reguliere UPD-post.
De tariefruimte en tarieven voor de UPD-post worden elk jaar getoetst door de ACM, waarna PostNL daarbinnen de tarieven per UPD-postsoort kan vaststellen. Na de beoordeling door de ACM, zal PostNL hierover extern communiceren wat de definitieve tarieven worden.

Vraag 3

Vind u het wenselijk dat nabestaanden in een periode van rouw mogelijk geconfronteerd worden met fors hogere kosten voor het informeren van familie en kennissen?

De periode na het overlijden van een dierbare is voor mensen een roerige tijd, daar ben ik mij bewust van. Per 1 juli 2026 worden de kwaliteitseisen voor de UPD-post aangepast. Vanaf dan geldt voor reguliere UPD-post een bezorgtermijn van twee dagen (D+2), met een bezorgbetrouwbaarheid van ten minste 90%. De kwaliteitseisen voor rouwpost blijven ongewijzigd, namelijk bezorging binnen één dag (D+1) met 95% bezorgzekerheid.
Om te kunnen blijven voldoen aan bezorging van rouwpost binnen één dag richt PostNL een apart proces in. Deze post zal voortaan via het pakketnetwerk bezorgd worden. De hogere kosten die daarmee gepaard gaan, worden doorberekend in een nieuw, hoger tarief.
De burger heeft ook de keuze om rouwpost niet als zodanig aan te bieden, maar als reguliere UPD brief te versturen. In dat geval gelden de wettelijke eisen voor rouwpost niet en wordt de brief bezorgd binnen de voor reguliere UPD-post geldende termijn van twee dagen (en per 1 juli 2027 drie dagen). Hiervoor hanteert PostNL het tarief van reguliere UPD-post. Gelet op het speciale karakter van deze post, komt PostNL wel met een passende rouwpostzegel.
Daarbij hebben mensen ook de mogelijkheid om rouwpost met een langere overkomstduur tegen een lager tarief te versturen, of te kiezen voor een digitaal bericht. Dat wordt al veel gedaan.

Vraag 4

Hoe groot is het aandeel van rouwpost binnen de universele postdienst, zowel in aantallen als in verhouding tot het totale postvolume?

Van PostNL begrijp ik dat zij in 2025 ongeveer 5 miljoen stukken rouwpost heeft verwerkt. In 2025 bedroeg het totale aantal UPD-brieven ongeveer 115 miljoen. Rouwpost vertegenwoordigt daarmee zo’n 4% van het totale aantal UPD-brieven. De volumedaling van rouwpost gaat met hetzelfde percentage als het totale brievenvolume: in 2025 ongeveer 8% ten opzichte van 2024.
Overigens gebruiken mensen voor het snel informeren over het overlijden van iemand al veelvuldig digitaal verzonden berichten.

Vraag 5

Vindt u dat er voldoende wettelijke of beleidsmatige waarborgen bestaan om een tijdige, toegankelijke en betaalbare bezorging van rouwpost te bewerkstelligen?

In het gewijzigde Postbesluit heb ik de bestaande eisen voor de overkomstduur en bezorgbetrouwbaarheid van deze postsoort gehandhaafd. Daarmee blijft de wettelijke verplichting voor de UPD-verlener om rouwpost en medische post binnen 24 uur te bezorgen. De ACM stelt ieder jaar de tariefruimte vast voor de postdiensten die onder de reikwijdte van de UPD vallen. Dit betreft de maximale gemiddelde prijs die PostNL mag rekenen voor deze postdiensten.
Zolang PostNL invulling geeft aan de wettelijke verplichting om rouwpost binnen één dag te bezorgen, is het aan PostNL om eventueel ook dit soort post als een reguliere UPD-brief te bezorgen waarbij een andere overkomstduur of tarief van toepassing is. Het is vervolgens aan de burger om op basis van deze opties een keuze te maken.

Vraag 6

In hoeverre bent u van mening dat rouwpost een bijzondere maatschappelijke functie vervult die een uitzonderingspositie rechtvaardigt ten opzichte van reguliere post?

Ik ben van mening dat tijdige en betrouwbare bezorging in het geval van zowel rouwpost als medische post belangrijk is. Daarom heb ik in het gewijzigde Postbesluit ook gekozen voor andere wettelijke kwaliteitseisen voor bezorging van rouwpost en medische post ten opzichte van de reguliere UPD-post. Daarmee is bezorging van rouwpost en medische post binnen 24 uur en met een betrouwbaarheid van 95% nog steeds gewaarborgd. Tegelijkertijd ben ik niet van mening dat het een dusdanig bijzondere maatschappelijke functie vervult om daarvoor een uitzondering te maken.

Vraag 7

Zijn er alternatieven onderzocht om de kosten voor rouwpost te beperken, bijvoorbeeld via een sociaal tarief, compensatieregeling of uitzonderingsregeling? Zo nee, waarom niet?

Nee. Hoewel ik mij kan voorstellen dat de prijsstijging van de rouwpost voor mensen in tijden van rouw zwaar kan vallen, is het PostNL dat ervoor kiest om de hogere kosten die zij maakt voor de bezorging van rouwpost ook door te voeren in de prijs die mensen ervoor betalen. De verhoging is namelijk een weerspiegeling van stijgende kosten. Verder past het binnen de wettelijke tariefruimte.

Vraag 8

Welke rol spelen de Autoriteit Consument & Markt (ACM) en het kabinet bij de beoordeling van nieuwe tarieven voor spoedpost, waaronder rouwpost?

Rouwpost en medische post zijn onderdeel van de UPD. De ACM stelt jaarlijks de tariefruimte vast voor de postdiensten die onder de reikwijdte van de UPD vallen. Dit betreft de maximale gemiddelde prijs die PostNL mag rekenen voor deze postdiensten. Eind mei 2026 verstrekt PostNL de gegevens aan de ACM die nodig zijn voor de vaststelling van de tariefruimte voor 2027.
Het staat PostNL overigens vrij om te bepalen hoe ze de bezorging van UPD-post, waaronder rouwpost, logistiek organiseert. PostNL kan ervoor kiezen rouwpost via haar pakketnetwerk te bezorgen.
Het kabinet heeft de wettelijke kaders bepaald waarbinnen de ACM de tariefruimte voor de UPD vaststelt. De ACM toetst of de tarieven van UPD-producten daarbinnen passen. Het kabinet heeft geen rol bij de vaststelling van tarieven die PostNL rekent voor UPD en niet-UPD post.
PostNL heeft aan ACM laten weten dat er een algemeen prioriteitsproduct buiten de UPD komt voor consumentenpost met bezorging binnen 24 uur. Rouwpost en medische post vallen niet onder dit prioriteitsproduct. Daarnaast bieden ook andere marktpartijen prioriteitsproducten aan. Het prioriteitsproduct van PostNL wordt binnen één dag (D+1) bezorgd en PostNL zal hiervoor een hogere prijs rekenen dan voor de UPD-post. Het prioriteitsproduct valt buiten de reikwijdte van de UPD en het tarief ervan maakt dan ook geen deel uit van de tariefmelding door PostNL aan de ACM.

Vraag 9

Verwacht u dat de aangekondigde wijzigingen ook gevolgen zullen hebben voor medische post of andere maatschappelijk urgente poststromen? Zo ja, welke?

Zoals in vraag 3 en 5 toegelicht, heb ik in het gewijzigde Postbesluit gekozen voor behoud van de huidige wettelijke verplichting van de UPD-verlener om bezorging van rouwpost en medische post binnen 24 uur en met een hoge bezorgzekerheidseis van ten minste 95% aan te bieden. De voorgenomen wijziging in het Postbesluit om de overkomstduur naar D+2 te verlengen voor reguliere UPD-post vanaf 1 juli 2026 heeft dus geen invloed op de overkomstduur en bezorgzekerheid van rouwpost en medische post.
PostNL heeft ervoor gekozen om medische post – net als rouwpost – vanaf juli 2026 via het pakkettennetwerk te gaan bezorgen tegen een hoger tarief. Het voorgenomen nieuwe tarief voor medische post is vergelijkbaar met het voorgenomen nieuwe tarief voor rouwpost binnen de UPD en is onderdeel van de tariefmelding bij de ACM. Voor rouwpost en medische post die binnen twee dagen wordt bezorgd, hanteert PostNL het tarief van reguliere UPD-post.

Vraag 10

Bent u bereid in overleg te treden met PostNL en relevante stakeholders om te voorkomen dat tijdige bezorging van rouwpost voor mensen onbetaalbaar wordt, en de Kamer hierover te informeren?

Vanuit mijn verantwoordelijkheid voor de UPD ben ik regelmatig in contact met de ACM, PostNL en andere relevante stakeholders. Het is aan de ACM om te toetsen of de voorgenomen tarieven van PostNL voor producten onder de reikwijdte van de UPD vallen binnen de door de ACM volgens de wettelijke kaders vastgestelde tariefruimte.

Vraag 1

Heeft u kennisgenomen van het TNO-rapport «Zonder Robotisering verdwijnt de Nederlandse Maakindustrie: Urgente actie is noodzakelijk»1?

Ja.

Vraag 2

Hoe beoordeelt u de constatering in dit rapport dat de robotiseringsgraad van de Nederlandse maakindustrie achterblijft ten opzichte van internationale koplopers?

Ik deel de constatering dat Nederland wat betreft robotisering van de industrie achterblijft ten opzichte van de internationale koplopers zoals Zuid-Korea, China en Duitsland. Nederland staat wereldwijd op de twaalfde plek qua robotdichtheid, aldus het rapport. Maar de mate van robotisering moet ook worden bezien in de context van de samenstelling van de Nederlandse industrie die in vergelijking met andere landen bijvoorbeeld een betrekkelijk kleine auto-industrie heeft terwijl in deze sector wereldwijd veel robots geïnstalleerd zijn.2

Vraag 3

Kunt u de Kamer een actuele, sectorale uitsplitsing sturen van robotadoptie in de Nederlandse maakindustrie, inclusief een onderscheid tussen het mkb en het grootbedrijf?

Deze exacte cijfers worden niet jaarlijks bijgehouden door de regering of het Centraal Bureau voor de Statistiek (CBS). In 2023 heeft het CBS hier een enquête over uitgestuurd. De CBS Internationaliseringsmonitor Digitalisering 2023 – III laat zien dat medium- en medium-hoog technologische bedrijven (respectievelijk 38% en 35% van de bedrijven) in Nederland vaker robots in het productieproces gebruiken dan laag- en hoogtechnologische bedrijven (respectievelijk 25% en 20% van de bedrijven). De categorie medium- en medium-hoogtechnologische sectoren omvat sectoren zoals de chemische industrie, de metaalindustrie en de elektronische industrie. Ook maken bedrijven met boven de 100 werkzame personen vaker gebruik van robots dan bedrijven met minder dan 100 werkzame personen.3 Daarnaast laat een dataset van het CBS uit 2025 over ICT-gebruik bij kleine bedrijven zien dat bedrijven met meer dan 250 werkzame personen vaker gebruik maken van robotondersteunde procesautomatisering en servicerobots of autonome voertuigen (respectievelijk 25% en 15% van de bedrijven) dan bedrijven met minder dan 250 werkzame personen (respectievelijk 2% en 1% van de bedrijven).4

Vraag 4

Welke belemmeringen voor robotisering in de Nederlandse maakindustrie wegen volgens u op dit moment het zwaarst?

Over het algemeen spelen verschillende macro-economische factoren zoals handelsbarrières, loonkosten en conjunctuur een rol. Daarnaast zijn onder meer de vaardigheden van personeel, digitale gereedheid en acceptatie van het bedrijf en de hoge investeringen met lange terugverdienkosten belemmeringen voor adoptie van robotisering. Het is lastig om aan te geven welke van deze factoren het zwaarste weegt. De mate waarin deze factoren de adoptie van robotisering verhinderen kan namelijk per bedrijf verschillen. Een bedrijf met een lagere liquiditeit zal bijvoorbeeld minder snel in robots investeren dan een kapitaalkrachtiger bedrijf.

Vraag 5

Op welke Nederlandse evaluaties, studies of modelanalyses baseert het kabinet zijn oordeel over het effect van robotisering op arbeidsproductiviteit, leveringszekerheid en concurrentiekracht?

Er is in het recente verleden veel onderzoek gedaan naar automatisering en robotisering. Bijvoorbeeld door het Centraal Planbureau (CPB),5 het Joint Research Center (JRC) van de Europese Commissie,6 de Organisatie voor Economische Samenwerking en Ontwikkeling (OESO),7 de Internationale Federatie van Robotica (IFR)8 en wetenschappelijke studies.9 In algemene zin laten deze studies zien dat robotisering in de korte termijn kan bijdragen aan gematigde productiviteitsverhoging via een hogere benuttingsgraad van productielocaties, een vermindering van fouten en snellere doorlooptijden. Effecten op productiviteitsverhoging zijn vaak vertraagd zichtbaar door implementatiekosten, organisatorische aanpassingen en leercurves van werknemers.
Op middellange termijn kan robotisering een bijdrage leveren aan het concurrentievermogen van de maakindustrie via een verbetering van de kwaliteit, schaalbaarheid en kostenefficiëntie van productie.
Op de lange termijn kan robotisering ook een bijdrage leveren aan de leveringszekerheid. Zo kunnen kostenvoordelen en hogere kwaliteit leiden tot reshoring van productie vanuit het buitenland naar Nederland en maakt robotisering ons minder afhankelijk van schaars technisch personeel. Voor leveringszekerheid is het van belang om naast robotadoptie ook enige vorm van controle te hebben over relevante software, hardware, technische (onderhouds-) skills en componenten. Een risico is namelijk dat Nederland met een hogere mate van robotisering ook meer afhankelijk wordt van de benodigde besturingssystemen, grondstoffen en onderdelen, zoals batterijen en chips.
Deze studies geven een vergelijkbaar beeld als het TNO-rapport Zonder Robotisering verdwijnt de Nederlandse Maakindustrie: Urgente actie is noodzakelijk.

Vraag 6

Welke bestaande rijksinstrumenten kunnen mkb-maakbedrijven momenteel benutten voor automatisering, digitalisering en robotisering? Kunt u ook aangeven hoe vaak hier gebruik van wordt gemaakt?

Het kabinet heeft, samen met de EU en de provincies de Europese Digitale Innovatiehubs (EDIH’s) verlengd tot en met 2028. De vijf EDIH’s hebben tot doel om de digitalisering van het innovatieve- en innovatievolgend mkb in vooral de maakindustrie te versnellen. Daarbij gaat het er om dat mkb-bedrijven daadwerkelijk de stap zetten naar toepassing van digitalisering, inclusief automatisering en robotisering. Hiertoe krijgen ze ondersteuning bij het in kaart brengen van hun digitaliseringsvraag, het berekenen van hun business-case en testen van technologie vóór investering, het trainen van medewerkers en management en het vinden van passende partners en financiering. Daarnaast co-financiert het kabinet de productiviteitsagenda Smart Industry van de FME, Metaalunie en TNO tot en met 2028. Dit is een agenda van en voor de maakindustrie om de digitalisering van het mkb te versnellen. Hiertoe worden mkb-ondernemers geactiveerd, bijvoorbeeld via bijeenkomsten, en methodieken ontwikkeld. Bewezen methodieken worden vervolgens op grotere schaal uitgerold door de EDIH’s. Een voorbeeld is de ontwikkeling van een standaard stappenplan om de digitale fabriek te realiseren. Over het bereik van de EDIH’s in de eerste periode (2023–2025) zijn voorlopige cijfers beschikbaar: Ruim 10.000 mkb-bedrijven hebben gebruik gemaakt van de diensten van de EDIH’s. De definitieve cijfers voor alle EDIH’s zijn in juli beschikbaar.

Vraag 7

Zijn er fiscale prikkels, vereenvoudigingen van procedures en/of maatregelen die de regeldruk verlagen om robotinvesteringen te versnellen? Zoja, welke zijn het kansrijkst?

Ja, er bestaan belangrijke fiscale prikkels die innovatie en investeringen van bedrijven en ondernemers stimuleren, waaronder die in robotica, zoals bijvoorbeeld de WBSO10 en de Innovatiebox11. Daarnaast zijn er Fieldlabs zoals Robo-house die specifiek gericht zijn op robotisering.
Ten aanzien van regeldruk/administratieve lastenverlichting wordt er scherp gekeken naar mogelijkheden om procedures te vereenvoudigen en onnodige regels te schrappen. Ook voor de WBSO en de Innovatiebox wordt gekeken naar hoe de aanvraag makkelijker kan. Of daarmee het investeringsproces echt versnelt is de vraag, omdat dit ook van andere factoren afhangt.
Het kabinet zet daarnaast in op structurele vermindering van regeldruk voor ondernemers. Zo is de ambitie om voor de zomer voor 500 regels de regeldruk te verminderen voor ondernemers, waarbij uw Kamer in juli over de tussenstand wordt geïnformeerd. Hierna is de kabinetsambitie om jaarlijks 500 regels voor burgers en ondernemers te schrappen of vereenvoudigen.
In de Prinsjesdagbrief (september 2026) over de WBSO wordt u verder geïnformeerd over de WBSO en de Innovatiebox, en in het bijzonder over administratieve lastenverlaging voor deze regelingen.

Vraag 8

In hoeverre vormen energiekosten, netcongestie en langdurige vergunningsprocedures momenteel een belemmering voor robotisering in de Nederlandse maakindustrie?

De energiekostenstijging heeft een beperkt effect voor sectoren die veel robots inzetten zoals de auto en elektronische industrie. In algemene zin geldt dat een kostenstijging ertoe kan leiden dat bedrijven bepaalde investeringsbeslissingen uitstellen.
De gevolgen van netcongestie worden breed gevoeld in de samenleving en de economie. Bedrijven lopen aan tegen oplopende wachtrijen voor een nieuwe of zwaardere aansluiting. Dat geldt ook voor bedrijven die een bestaande productiefaciliteit willen uitbreiden of een nieuwe faciliteit willen bouwen waarin met behulp van robotica wordt geproduceerd.
Ten aanzien van vergunningsverlening behoeft de inzet van robots in het productieproces over het algemeen geen aparte vergunning, zo lang deze aan de bestaande regels voor o.a. machines en arbeidsveiligheid voldoet. Bij de bouw van een nieuwe productiefaciliteit of een aanpassing van een fabriekshal moet een ondernemer soms wel een vergunning aanvragen, bijvoorbeeld onder de Omgevingswet.

Vraag 9

Kunt u in kaart brengen in welke mate Nederlandse maakbedrijven afhankelijk zijn van niet-Europese leveranciers van industriële robots, sensoren, controllers, AI-software en cloud- of operationele technologiecomponenten?

Het kabinet houdt niet centraal bij in welke mate individuele Nederlandse maakbedrijven afhankelijk zijn van niet-Europese leveranciers van industriële robots, sensoren, controllers, AI-software en cloud- of operationele technologiecomponenten.
Wel brengt de interdepartementale Taskforce Strategische Afhankelijkheden (TFSA) risicovolle strategische afhankelijkheden (RSAs) in kaart op nationaal niveau. In de kabinetsaanpak en voortgangsbrieven Strategische Afhankelijkheden en de Agenda Digitale Open Strategische Autonomie (DOSA) geeft het kabinet aan dat op basis van deze (RSA) analyses handelingsopties worden ontwikkeld om risico’s te mitigeren, zoals diversificatie van leveranciers, versterking van Europese productiecapaciteit, versterking van publiek-private samenwerking en strategische voorraden.
Ook op Europees niveau wordt gewerkt aan het mitigeren van risicovolle strategische afhankelijkheden, onder meer via Europese risicobeoordelingen van kritieke technologieën. Daarbij is ook aandacht voor risico’s van extraterritoriale wetgeving, en voor het versterken van de Europese digitale en technologische weerbaarheid.
De specifieke uitkomsten van de RSA-analyses zijn vanwege gevoeligheden niet openbaar.

Vraag 10

Welke inzet pleegt het kabinet op het gebied van standaardisatie en interoperabiliteit bij industriële robotica en hoe wordt vendor lock-in daarbij voorkomen?

Er is geen specifieke kabinetsinzet ten aanzien van standaardisatie voor industriële robotica. In bredere zin sluit de inzet van het kabinet rondom standaardisatie aan op het Europese beleid, zoals de Europese Normalisatiestrategie.12 Zo zet het kabinet bij herziening van de Normalisatieverordening in 2026 in op het sneller ontwikkelen van Europees geharmoniseerde standaarden. Daarnaast zet het kabinet in op het vergroten van de Nederlandse en Europese invloed binnen internationale standaardisatieorganisaties om zo invloedrijk te blijven op internationaal toneel.

Vraag 11

Hoe beoordeelt het kabinet de rol van open-sourcecomponenten in industriële robotica, mede in het licht van beheerkosten, aansprakelijkheid en cybersecurity?

Open source is een concept dat vooral een rol speelt bij de ontwikkeling en distributie van software, inclusief robotica software. Het kabinet staat in beginsel positief tegenover open source software omdat dit de mededinging, leveringszekerheid en innovatie ten goede kan komen. Tegelijkertijd kan ook commerciële software, waarbij de broncode van software proprietary is, een bijdrage leveren aan het borgen van deze publieke belangen, dus ook in de ontwikkeling van robotica software. In de praktijk zal de toepassing van open source componenten case-by-case bepaald moeten worden op zijn merites. De veiligheid en daarmee de kosten van de ontwikkeling van (open source) software worden uiteindelijk bepaald door de kwaliteit van de ontwikkelings- en onderhoudsprocessen.

Vraag 12

Welke ondersteuning is of wordt beschikbaar gesteld aan maakbedrijven, in het bijzonder mkb-bedrijven, om verbonden robots en andere operationele technologie-systemen cyberveilig in te richten en te beheren?

Het is in de eerste plaats een eigen verantwoordelijkheid van bedrijven om hun bedrijfsprocessen cyberveilig te houden, als onderdeel van de bredere verantwoordelijkheid voor hun eigen bedrijfsvoering. Daarnaast is er ook een rol voor de overheid in het ondersteunen van bedrijven in cyberveiligheid en weerbaarheid. Nationaal Cybersecuritycentrum (NCSC)13 biedt één loket voor bedrijven met een breed scala aan bronnen om de digitale weerbaarheid van alle bedrijven in Nederland te versterken. Op grond van de subsidieregeling «Mijn Cyberweerbare Zaak» kunnen kleinere mkb-er tot 50 medewerkers subsidie krijgen voor het nemen van cybersecuritymaatregelen. Daarnaast onderzoekt het kabinet een passend vervolg op de subsidieregeling «Versterken Cyberweerbaarheid», die was gericht op het creëren van samenwerkingsverbanden en het stimuleren van uitwisseling van kennis en kunde over cyberweerbaarheid.
Daarbij moeten aanbieders van producten met digitale componenten (alle hardware, software en componenten) die na 11 december 2027 op de markt komen in het kader van de Europese Cyber Resilience Act aan essentiële cybersecurityvereisten gaan voldoen en actief informatie over incidenten en kwetsbaarheden gaan delen. De uitvoeringswet van de verordening die dit gaat regelen is aangeboden aan Staten-Generaal. Het aannemen van deze wet maakt het onder andere mogelijk voor de Rijksinspectie Digitale Infrastructuur (RDI) om markttoezicht te houden op fabrikanten, importeurs en distributeurs van digitale producten en voor het NCSC om een meldpunt in te richten voor incidenten en geëxploiteerde kwetsbaarheden.

Vraag 13

Beschikt het kabinet over een actuele raming van de behoefte aan personeel met kennis van robotica, systeemintegratie, onderhoud, data en operationele technologie-cybersecurity in de maakindustrie? En sluiten de huidige mbo-, hbo- en wo-opleidingen en bestaande om- en bijscholingsinstrumenten daarop aan?

Nee. Het kabinet monitort het tekort aan technisch geschoold personeel via het Actieplan Groene en Digitale Banen. Er is met name een kwantitatieve mismatch tussen het aanbod van technisch geschoolden en de vraag op de arbeidsmarkt. Dat komt onder meer door de vergrijzing, toenemende vraag naar technisch geschoold personeel en minder leerlingen en studenten die kiezen voor een bèta- of techniekopleiding. In 2023 was 18,6% van de studenten ingeschreven in bèta- of technische opleiding, aanzienlijk minder dan het EU gemiddelde 26,9%.14
Het tekort aan talent, waaronder bètatechnici, is een belangrijke belemmering voor het Nederlandse verdienvermogen. Dit constateert ook het rapport Wennink. Alleen meer leerlingen en studenten opleiden voor technische beroepen is onvoldoende om het tekort terug te dringen. Het kabinet werkt daarom aan een nationale talentstrategie. Binnen deze strategie worden instrumenten op het gebied van onderwijs, arbeidsmarkt, productiviteit, gerichte migratie en fiscaliteit nadrukkelijker gericht op sectoren die cruciaal zijn voor het toekomstige verdienvermogen van Nederland. Uw kamer wordt voor de zomer geïnformeerd over de Talentstrategie.

Vraag 14

Hoe verbindt het kabinet civiele robotisering in de maakindustrie met dual-use toepassingen en de versterking van de Nederlandse defensie-industrie?

Robotisering in de civiele maakindustrie kan worden toegepast in de defensie- en dual-use industrie door relevante best practices uit het civiele domein toe te passen voor defensieproductie. Voorbeelden die al eerder publiekelijk zijn gedeeld, zijn o.a. de productie van defensiematerieel door VDL en de samenstelling en productie van onderdelen van militaire satellietcapaciteit door de bestaande toeleveringsketen van hoogwaardige productiemethoden uit de semicon industrie in te zetten.

Vraag 15

Bent u bereid de Kamer een integrale kabinetsreactie op dit rapport van TNO te sturen, waarin in ieder geval wordt ingegaan op het aspect of een nationale robotiseringsagenda noodzakelijk is?

Ik zie geen aanleiding voor een integrale reactie, te meer daar ik in onderhavige antwoorden al ben ingegaan op diverse aspecten die in dit rapport aan bod komen. Wat betreft een nationale robotiseringagenda wordt robotisering in ieder geval meegenomen in de gerichte programma’s van het industriebeleid met focus, in het bijzonder in de programma’s machinebouw en digitale diensten en AI. Daarnaast co-financiert het kabinet de productiviteitsagenda Smart Industry van de FME, Metaalunie en TNO tot en met 2028. Ik geef de voorkeur aan een gefocuste integrale aanpak boven een veelvoud aan aparte agenda’s.

Vraag 16

Kunt u iedere vraag afzonderlijk van elkaar beantwoorden?

Ja.

Vraag 1

Kunnen de Staatssecretaris EZK en de Staatssecretaris J&V toelichten of de Autoriteit Persoonsgegevens al een onderzoek is gestart naar aanleiding van het datalek bij Basic-Fit?

De Autoriteit Persoonsgegevens (AP) doet geen mededelingen over eventuele lopende onderzoeken. Haar onafhankelijkheid brengt bovendien mee dat het aan de AP zelf moet worden gelaten in welke gevallen een onderzoek noodzakelijk en wenselijk is.

Vraag 2

Kunnen de Staatssecretaris EZK en de Staatssecretaris J&V toelichten of er wordt gekeken naar een mogelijke overtreding van artikel 5 AVG?

Over die informatie beschik ik niet. Mocht het inderdaad zo zijn dat de AP onderzoek doet, dan informeert zij het kabinet daar niet over, ook niet desgevraagd. Op grond van artikel 52 AVG treedt de AP volledig onafhankelijk op en blijft zij vrij van externe invloed en vragen.

Vraag 3

Kunnen de Staatssecretaris EZK en de Staatssecretaris J&V toelichten of de regelgeving (voornamelijk de AVG) of de handhaving moet worden aangescherpt, wellicht omdat sommige AVG-artikelen onduidelijk of achterhaald zijn?

Ik beschik niet over aanknopingspunten dat de gegevensbeschermingswetgeving lacunes vertoont, mede gezien de brede werkingssfeer van de AVG. Het komt eerder aan op naleving van de regelgeving; dat deze in voorkomende gevallen tekort schiet, is eerder toe te schrijven aan verschillende andere factoren dan aan de bepalingen in de AVG zelf.

Vraag 4

Basic-Fit valt niet onder de Cyberbeveiligingswet. Deelt u de opvatting dat grote bedrijven met veel data onder de reikwijdte van de Cyberbeveiligingswet zouden moeten vallen als «belangrijke entiteit»? Basic-Fit genereert namelijk zo’n 1,4 miljard omzet.

Omdat de NIS2-richtlijn streeft naar harmonisatie tussen de lidstaten, is in de NIS2-richtlijn bewust bepaald alleen essentiële en belangrijke entiteiten uit specifieke kritieke sectoren, subsectoren en soorten entiteiten onder het toepassingsbereik van de NIS2-richtlijn te brengen die zeer belangrijk zijn voor het functioneren van de economie en maatschappij. Incidenten bij deze entiteiten kunnen leiden tot verstoring of compromittering van hun dienstverlening. Deze kunnen grote economische schade veroorzaken of in sommige gevallen ook tot ontwrichting van de samenleving leiden. Bij de omzetting van de NIS2-richtlijn heeft het kabinet ervoor gekozen om niet meer te regelen dan op grond van de Europese regelgeving noodzakelijk is. Dit zou een nationale kop zijn en het kabinetsbeleid is dat er geen nationale koppen komen op Europese regelgeving.

Vraag 5

Als Basic-Fit onder de Cyberbeveiligingswet zou vallen, had volgens u beiden het datalek dan voorkomen kunnen worden (voornamelijk in het licht van de zorgplicht)?

Op grond van de zorgplicht in de Cyberbeveiligingswet moeten essentiële entiteiten en belangrijke entiteiten passende en evenredige technische, operationele en organisatorische maatregelen nemen om de risico’s voor de beveiliging van de netwerk- en informatiesystemen te beheersen. Zorgplichtmaatregelen dragen bij aan het voorkomen van een incident, het beperken van de impact van een incident, het efficiënt en effectief reageren op een incident en het zo snel mogelijk herstellen van een incident. Het risico op een datalek blijft echter altijd aanwezig en kan daarom nooit geheel worden voorkomen.

Vraag 6

Kunt u beiden iedere vraag afzonderlijk van elkaar beantwoorden?

De vragen zijn afzonderlijk beantwoord.

Vraag 1

Bent u bekend met het bericht «Productiekrimp in bijna driekwart van de Nederlandse industrie: «Je houdt je hart vast»»?1

Ja.

Vraag 2

Hoeveel van deze krimp komt door hoge energieprijzen en klimaatbeleid? Kunt u dat concreet per sector inzichtelijk maken?

Er zijn verschillende factoren die het productieniveau van de Nederlandse industrie beïnvloeden, waaronder energieprijzen, internationale concurrentie en de conjunctuur. Door dit complexe samenspel van factoren en het verschil in energie- en CO2-intensiteit tussen sectoren is het niet mogelijk om het afzonderlijke effect van hoge energieprijzen en klimaatbeleid op de industrie en haar verschillende subsectoren exact inzichtelijk te maken.
Het kabinet heeft sinds 2019 wel jaarlijks een speelveldtoets laten uitvoeren om inzicht te geven in de effecten van het Nederlandse energie- en klimaatbeleid op de concurrentiepositie van de energie-intensieve industrie. De speelveldtoets biedt zo wel enig inzicht in belangrijke factoren waar vervolgens het beleid op kan worden aangepast. Eerdere toetsen concludeerden bijvoorbeeld dat bepaalde nationale beleidsmaatregelen kunnen leiden tot CO2-weglekrisico’s, doordat deze hogere kosten met zich meebrengen ten opzichte van andere (Europese) landen. Mede daarom is ervoor gekozen om de CO2-heffing af te schaffen.

Vraag 3

Hoe beoordeelt u het risico dat verdere productie uit Nederland verdwijnt richting landen met lagere kosten en minder regelgeving, en dat hetzelfde gebeurt met investeringen?

Het verplaatsen van industriële productie naar een ander land met lagere kosten is voor bedrijven soms noodzakelijk om concurrerend te blijven op de wereldmarkt. Nederland is een geavanceerde economie met hoge lonen. Daardoor kunnen we niet in elke internationaal opererende markt concurrerend zijn.
Tegelijkertijd is bekend dat het Nederlands concurrentievermogen op onderdelen onder druk staat. Het Wennink rapport «De route naar toekomstige welvaart»2 benadrukte dit in december nog. Ik werk dan ook aan een versterking hiervan. Zo werkt het kabinet onder andere aan het verminderen van regeldruk met een aanpak om per jaar 500 regels te vereenvoudigen of te schrappen.
Daarnaast neem ik de urgentie en aanbevelingen uit het Wennink rapport om het concurrentievermogen te versterken zeer serieus. Daarom kiest dit kabinet expliciet voor economische groei, en nemen we de inzet op 1,5% structurele economische groei over in het kabinetsbeleid en het versterken van randvoorwaarden. Dat is een kabinetsbrede opgave, en het kabinet is bereid om hiervoor de noodzakelijke keuzes te maken. Met de Taskforce Toekomstige Welvaart en Vestigingsklimaat maken we snel stappen om een hoogproductieve economie met sterke randvoorwaarden mogelijk te maken. De prioriteiten hierbij liggen op het voeren van strategisch industriebeleid, het verbeteren van de economische randvoorwaarden en het versterken van de Nederlandse (durf)kapitaalmarkt.
Specifiek ten aanzien van de energieprijzen en het klimaatbeleid werkt het kabinet aan het verbeteren van een gelijk speelveld voor de energie-intensieve industrie. Allereerst wordt de nationale CO2-heffing afgeschaft. Daarnaast verlaagt het kabinet de elektriciteitskosten om elektrificatie aantrekkelijker te maken en te zorgen voor een gelijker speelveld. Hiervoor heeft het kabinet vanaf 2026 tot en met 2035 significante middelen gereserveerd, oplopend tot 1 miljard per jaar vanaf 2029. Als eerste stap breidt het kabinet de indirecte kostencompensatie voor ETS 1 (IKC-ETS) uit met 22 extra (sub)sectoren, in lijn met de door de EC geboden nieuwe mogelijkheden. De uitbreiding richt zich specifiek op sectoren die door hoge elektriciteitskosten in zwaar weer verkeren, zoals de chemie. Verder heeft het kabinet middelen gereserveerd in een aparte envelop voor elektriciteitskosten waarvoor op dit moment bestedingsopties worden uitgewerkt. Het kabinet informeert de Kamer uiterlijk op Prinsjesdag over de besteding van deze middelen en de uitwerking van de IKC-ETS.
Daarnaast onderneemt het kabinet actie op de gestegen energieprijzen vanwege de situatie in het Midden-Oosten, zoals gecommuniceerd in de kamerbrief «Acties Weerbaarheid Energieschok» van 20 april. Gegeven de huidige ontwikkelingen die zich materialiseren in de economie, neemt het kabinet een aantal maatregelen die burgers en bedrijven een steun in de rug geven, de weerbaarheid op lange termijn vergroten en de afhankelijkheid van energie uit het buitenland verminderen. Deze maatregelen zijn tijdig, tijdelijk en toegepast op de knelpunten die zijn ontstaan door de schok in het energieaanbod en de economische gevolgen daarvan. Daarnaast schaalt het kabinet op naar fase 1 van het Landelijk Crisisplan Olie om goed voorbereid te zijn op ernstigere verstoringen in het aanbod van energie. Met dit pakket erkent het kabinet de ernst van de situatie en blijft het kabinet voorbereid op scenario’s waarin de situatie verder verslechtert en die om een andere mate en manier van overheidsingrijpen vragen.

Vraag 4

Deelt u de zorgen over de huidige krimp in de industrie? Welke concrete maatregelen neemt u om deze ontwikkeling te keren en verdere de-industrialisatie van Nederland te voorkomen?

Zie antwoord vraag 3.

Vraag 5

Ziet u, gelet op de huidige geopolitieke en economische ontwikkelingen, aanleiding om in te grijpen in de energiekosten voor de industrie? Zo nee, waarom niet?

Zie antwoord vraag 3.

Vraag 1

Bent u bekend met het bericht «Opinie: Bescherm de lichamelijke integriteit van vrouwen, ook in de digitale wereld»?1

Ja, het kabinet is hiermee bekend.

Vraag 2

Kunt u het onderzoek van Investico, waaruit is gebleken dat alle grote Nederlandse drogisten, zoals Kruidvat, Etos en Trekpleister, (gevoelige) informatie over de vruchtbaarheid en seksuele gezondheid van klanten delen met Amerikaanse en Chinese techbedrijven, voorzien van een kabinetsreactie?2

Het kabinet vindt het zorgelijk en neemt de signalen over het mogelijk delen van (gevoelige) informatie dan ook serieus. Alleen het beoordelen van specifieke situaties is aan de toezichthoudende autoriteiten, in Nederland is dat de Autoriteit Persoonsgegevens (AP). Het kabinet kan hierover geen uitspraken doen. Een kabinetsreactie hierover ligt dan ook niet in de rede.

Vraag 3

Kunt u specifiek maken welke persoonsgegevens door de onderzochte apps en drogisten worden doorverkocht? Is hier sprake van medische gegevens, die enkel met een wettelijke grondslag of na uitdrukkelijke toestemming verwerkt mogen worden?

Zoals in het antwoord op vraag 2 is aangegeven, is een dergelijke beoordeling niet aan het kabinet, maar aan de toezichthoudende autoriteit.

Vraag 4

Voldoet de gegevensverwerking door de gezondheidsapps en de drogisten aan de nationale privacywetgeving? Zo ja of nee? Kunt u dit op basis van onderzoek onderbouwen?

In zijn algemeenheid merkt het kabinet op dat de verwerking van bijzondere categorieën van persoonsgegevens, waartoe gezondheidsgegevens behoren, verboden is tenzij er een uitzonderingsgrond van toepassing is, bijvoorbeeld wanneer uitdrukkelijke toestemming is gegeven. Het Hof van Justitie van de Europese Unie (HvJEU) heeft geoordeeld dat het begrip «bijzondere persoonsgegevens» in dit soort gevallen ruim dient te worden uitgelegd. Daaronder vallen ook persoonlijke gegevens die bij het online bestellen van geneesmiddelen worden ingevoerd, zoals namen en adressen. Of hier gehandeld wordt in strijd met de Algemene Verordening Gegevensbescherming (AVG) is, zoals eerder al in het antwoord op vraag 2 is aangegeven, aan de toezichthoudende autoriteiten, de AP.

Vraag 5

Zijn de Autoriteit Persoonsgegevens (AP) en de Autoriteit Consument & Markt (ACM) op de hoogte van de mogelijk illegale handel in gezondheidsgegevens? Zo ja, wordt hier naar uw weten nader onderzoek naar gedaan? Zo nee, bent u bereid dit in samenwerking met de toezichthouders wel te doen?

De AP heeft desgevraagd laten weten zich bewust te zijn van de grootschalige dataverzameling en datahandel op het internet. Datahandel (in brede zin) is van 2020 tot 2023 een van de strategische aandachtsgebieden geweest van de AP. Ook nu besteedt de AP nog de nodige aandacht aan datahandel. Zo controleert de AP sinds 2024, en nu nog steeds, strenger op cookiebanners. De AP controleert of websites op de juiste manier toestemming vragen voor cookies en andere volgsoftware en pakt misleidende cookiebanners aan.
De AP en de ACM doen geen mededelingen over individuele zaken en eventuele lopende onderzoeken.

Vraag 6

Wat is uw oordeel over het gebruik van tracking cookies bij online webshops, waardoor mogelijk gevoelige informatie over het koopgedrag van klanten aan derden wordt doorverkocht? Is dit mogelijk in strijd met de privacywetgeving?

Het kabinet deelt de opvatting dat het gebruik van tracking cookies in bepaalde gevallen problematisch kan zijn, bijvoorbeeld waar gebruikers als gevolg van dark patterns, informatie-overload en consentmoeheid toestemming geven terwijl deze mogelijk afwijkt van hun werkelijke voorkeuren. Voor de volledigheid wordt hierbij ook verwezen naar de kabinetsreactie op het rapport De prijs van gratis internet van het Rathenau Instituut, die op 19 december 2025 met de Kamer is gedeeld.
Het gebruik van tracking cookies bij online webshops is onderworpen aan voorwaarden uit de toepasselijke privacyregelgeving, met name AVG en de e-privacyrichtlijn, die in Nederland is geïmplementeerd in de Telecommunicatiewet. Voor het plaatsen van dergelijke cookies is daarom geïnformeerde en ondubbelzinnige toestemming van de gebruiker vereist. Wanneer het gaat om gevoelige persoonsgegevens geldt een versterkt, expliciet toestemmingsvereiste. De beoordeling of sprake is van strijdigheid met de geldende privacyregelgeving is aan de toezichthouder.

Vraag 7

Kunt u expliciet benoemen welke acties u nationaal en in Europees verband neemt om tracking cookies zo veel mogelijk te beperken en het informatie- en toestemmingsrecht van burgers over wat er met hun gegevens gebeurt te versterken?

Het kabinet zet zich nationaal en Europees in om op het gebied van tracking cookies onder meer de informatie- en toestemmingsrechten van burgers te versterken. Zo staat het kabinet positief tegenover de in de Digitale Omnibus voorgestelde automatische gecentraliseerde consentopties, waarmee gebruikers meer controle over hun gegevens krijgen. De onderhandelingen over dit voorstel lopen nog. Voor een weergave van de overige door het kabinet te nemen acties wordt verwezen naar de kabinetsreactie op het rapport De prijs van gratis internet van het Rathenau Instituut, die op 19 december 2025 met de Kamer is gedeeld.

Vraag 8

Indien blijkt dat gezondheidsapps en drogisten in strijd met de wet medische gegevens van personen hebben verwerkt, welke gevolgen heeft dit voor deze bedrijven?

Onder de AVG is het verwerken van medische gegevens, die gelden als bijzondere categorieën van persoonsgegevens, verboden tenzij op dat verbod een uitzondering van toepassing is. Het houden van toezicht op en het handhaven van de rechtmatigheid van gegevensverwerkingen in de private sector is, als gezegd, een taak van de onafhankelijke toezichthouder, de AP. Zij beschikt over een eigen repertoire aan bevoegdheden en handhavingsinstrumenten. Zo kan de AP onderzoek instellen naar de naleving van de gegevensbeschermingswetgeving, boetes en dwangsommen opleggen, alsook stopzetting van gegevensverwerkingen gelasten. Het is aan de AP om te bepalen welke manier van handhaving onder de omstandigheden het meest geëigend is.

Vraag 9

Deelt u de analyse van de indieners dat de lichamelijke integriteit van personen in een digitale wereld ook vraagt om toereikende privacybescherming? Is dit momenteel juridisch goed genoeg beschermd?

Het kabinet onderschrijft dit belang volledig. Alleen beschikt het kabinet niet over aanknopingspunten dat de gegevensbeschermingswetgeving lacunes vertoont.

Vraag 10

Bent u bereid om aanvullende stappen te nemen om de medische gegevens van personen die gezondheidsapps gebruiken of gezondheidsproducten kopen bij drogisten beter te beschermen? Zo ja, hoe gaat u dit doen?

Bij de verwerking van persoonsgegevens is de AVG van toepassing. Het is aan de verwerkingsverantwoordelijke om te voldoen aan de kaders die in de AVG worden gesteld aan de verwerking van persoonsgegevens en aan de strengere eisen die worden gesteld aan de verwerking van bijzondere persoonsgegevens, zoals medische gegevens. Het is aan de AP om toezicht te houden op de naleving van de AVG.

Vraag 11

Hoeveel vrouwen in Nederland maken gebruik van zogeheten «cyclusapps», in het bijzonder van Flo en Clue? Kunt u aangeven of de wijze waarop zij geïnformeerd worden bij het gebruik van deze apps en het delen van hun gegevens, conform de huidige wet- en regelgeving is?

Uit het onderzoek van Rutgers over het gebruik van natuurlijke methoden om een zwangerschap te voorkomen onder de vrouwen van 18 tot en met 29 jaar is gebleken dat 37% van de groep gebruikmaakt van een cyclusapp om hun menstruatie bij te houden, waarvan Flo het vaakst werd benoemd3. Cyclusapps moeten zich bij de verwerking van (bijzonder) persoonsgegevens houden aan de kaders die worden gesteld in de AVG, indien zij zijn gevestigd in de EU. Cyclusapps die buiten de EU zijn gevestigd, dienen ook aan de AVG te voldoen, indien zij diensten of goederen aanbieden in de EU. Zowel Clue, die is gevestigd in Duitsland, als Flo, die is gevestigd in het Verenigd Koninkrijk en de Verenigde Staten, moeten daarmee voldoen aan de AVG.

Vraag 12

Welke mogelijke hiaten ziet u in de bestaande wet- en regelgeving in het effectief optreden tegen het onrechtmatig bewaren en/of delen van gevoelige informatie over bijvoorbeeld miskramen, seksuele activiteit, etcetera met derde partijen, mogelijk voor commerciële doeleinden?

Zoals volgt uit de antwoorden op vragen 10 en 11, is er geen blijk van hiaten in de wet- en regelgeving. Het komt eerder aan op de naleving daarvan. Het doen van onderzoek daarnaar, is als gezegd, een taak van de onafhankelijke toezichthouder.

Vraag 13

Deelt u de zorgen dat het doorverkopen van medische gegevens van vrouwen kan zorgen tot ongewenste profilering, agressieve gerichte advertenties, of zelfs het opstellen van dataprofielen van de medische geschiedenis van vrouwen?

Het kabinet vindt het uiterst belangrijk dat de gegevens van vrouwen niet ten onrechte gebruikt worden voor zaken als ongewenste profilering, agressieve gerichte advertenties of het opstellen van dataprofielen. Het kabinet vindt het dan ook van belang dat de onafhankelijke toezichthouder hier scherp op is. In elk geval, zoals eerder al genoemd is, is het houden van toezicht op en het handhaven van de rechtmatigheid van gegevensverwerkingen in de private sector een taak van de onafhankelijke toezichthouder, namelijk de AP. Het is aan de AP om te bepalen welke manier van handhaving onder de omstandigheden het meest geëigend is.

Vraag 14

Heeft u indicaties voor welke doeleinden de doorverkochte medische gegevens van vrouwen, die zien op hun gezondheid en seksualiteit, worden gebruikt? Is dit in overeenstemming met het doel waarmee de data in eerste instantie met bedrijven is gedeeld?

Desgevraagd heeft het Centrale Bureau Drogisterijbedrijven aan het kabinet laten weten dat er geen persoonlijke gegevens doorverkocht worden. De online drogisterijen hebben privacyverklaringen op hun websites waarin is opgenomen welke gegevens worden verwerkt. Aangezien dit per drogisterij kan verschillen, wordt voor nadere informatie verwezen naar de betreffende websites. Wanneer een gebruiker niet noodzakelijke cookies weigert, worden alleen functionele cookies geplaatst die nodig zijn om de website goed te laten werken. Zonder toestemming worden bovendien geen persoonsgegevens van individuele klanten gedeeld met externe partijen zoals Google of Facebook.
Als gezegd is het beoordelen of specifieke situaties in overeenstemming zijn met de AVG aan de bevoegde toezichthoudende autoriteiten; in Nederland is dat de AP.

Vraag 15

Kunt u deze vragen afzonderlijk van elkaar en zo snel mogelijk beantwoorden?

De vragen zijn zo snel als mogelijk afzonderlijk beantwoord.

Vraag 1

Bent u bekend met het artikel «Besteding van innovatiegeld moet doelmatiger»1 en de onderliggende analyse van Innovatiespotter in het artikel «Whitepaper Regionale groeimatrix»?2

Ja.

Vraag 2

Herkent u het beeld dat met name kleine innovatieve ondernemers relatief weinig gebruik maken van het beschikbare ondersteuningsinstrumentarium? Zo ja, wat zijn volgens u de belangrijkste oorzaken hiervan op basis van de signalen die bij het ministerie zelf binnenkomen?

Nee, voor zover het mijn eigen instrumentarium betreft herken ik dat beeld niet. Uit de periodieke rapportage die ik recent naar uw Kamer heb gestuurd,3 blijkt dat het grootste deel van het EZK innovatie- en ondernemerschapsinstrumentarium doeltreffend is, waarbij doelgroepbereik is meegewogen. Voor zover het financiële ondersteuning betreft (subsidies en dergelijke) is de uitputting van de daarvoor beschikbare middelen op mijn begroting voor de meeste regelingen goed, in het bijzonder voor regelingen die (in belangrijke mate) gericht zijn op het innovatieve mkb. Hiermee kunnen dus niet meer, maar hooguit andere ondernemers bereikt worden.
Ik heb geen beeld van het doelgroepbereik van het regionale ondersteuningsinstrumentarium, wat de meerderheid is van alle ondersteuning. Daar zit ook veel instrumentarium bij dat geen financiële ondersteuning aan bedrijven biedt. Daarbij merk ik op dat onduidelijk is in hoeverre de groep innovatieve bedrijven die Innovatiespotter heeft geïdentificeerd ook doelgroep is van het beschikbare ondersteuningsinstrumentarium. Het doel van het instrumentarium is niet om zoveel mogelijk bedrijven te bereiken, maar om die bedrijven te bereiken die een knelpunt hebben waar een maatschappelijk belang is om dat op te lossen. Niet iedere innovatieve ondernemer heeft ook behoefte aan ondersteuning vanuit de overheid.
Het voorgaande wil niet zeggen dat ik het doelgroepbereik niet verder tracht te verbeteren. Ik verwijs daarbij naar het antwoord op vraag 4 en 5 hierna.

Vraag 3

Deelt u de conclusie dat dit problematisch is en om verbetering vraagt?

Zie antwoord vraag 2.

Vraag 4

Bent u voornemens om de toegankelijkheid en de vindbaarheid van het ondersteuningsinstrumentarium te verbeteren en zo ja, wat is hierop uw inzet?

Ja, ik vind het van groot belang dat een zo groot mogelijk deel van de doelgroep van ondersteuningsinstrumentarium bereikt wordt. Daarbij zijn er verschillende acties vanuit publieke dienstverleners, zowel individueel als gezamenlijk, al dan niet ook samen met private dienstverleners.
Om publieke dienstverleners beter met elkaar en private ondersteuners samen te laten werken ten behoeve van de ondersteuning van ondernemers bestaat de Actieagenda mkb-dienstverlening. Dit programma richt zich op een vernieuwde samenwerking tussen bestuurslagen en private partijen binnen het stelsel van ondernemersdienstverlening voor het brede mkb. Binnen de Actieagenda wordt geëxperimenteerd met regionale, laagdrempelige ondersteuning dicht bij de ondernemer, via vertrouwde adviseurs en met meer praktische oplossingen, kennisdeling en inspiratie van andere ondernemers.
Daarnaast wordt ook gewerkt aan het beter regionaal te ontsluiten van informatie en advies waaronder over subsidieregelingen voor het brede mkb. Binnen het project Programma Generieke Digitale Infrastructuur – bouwsteen AI4 wordt een AI-infrastructuur met een datalaag, interface en ai-kennislaag opgezet waarmee ondernemers eenvoudig inzicht krijgen in voor hen relevante landelijke, provinciale en regionale informatie, advies en (al dan niet financiële) regelingen. Een eerste prototype wordt dit jaar verwacht. Daarbij wordt ingezet op een interface die regionaal kan worden ingezet, want uit onderzoek van KVK blijkt dat bijvoorbeeld voor digitalisering mkb-ers niet zoeken op overheidswebsites, maar eerder informatie halen bij collega ondernemers of brancheverenigingen. Er wordt dus ingezet om de informatie dáár juist ook te ontsluiten in plaats van in te zetten op één overheidswebsite. Een aanvullend onderzoek acht ik daarom niet noodzakelijk.
Dienstverleners werken ook nauw samen binnen het Ondernemersplein om versnippering van dienstverlening tegen te gaan. Op het Ondernemersplein kunnen ondernemers alle informatie en advies van de overheid voor ondernemers vinden. Hier is centraal de informatie beschikbaar van de KvK, Belastingdienst, RVO, CBS en andere overheidsorganisaties.
Naast deze gezamenlijke initiatieven van dienstverleners om het stelsel van ondernemersdienstverlening te verbeteren, werken individuele dienstverleners ook aan het verbeteren van de toegankelijkheid en de vindbaarheid van het ondersteuningsinstrumentarium. Zo maakt RVO zijn aanbod beschikbaar via de Open Data-website en werkt intern aan optimalisatie, zodat regionale en landelijke partijen het makkelijker kunnen integreren in hun platforms. Dit traject helpt om dubbelingen en tegenstrijdigheden te signaleren, waarna RVO actie onderneemt om de toegankelijkheid en vindbaarheid te verbeteren, in samenwerking met andere dienstverleners. Tevens stelt de KvK voor mkb ondernemers de financieringsgids beschikbaar om ondernemers beter te helpen in het vinden van passende financiering en werken de ROM’s binnen de strategie Bovenregionale Samenwerking aan betere aansluiting over de regio-grenzen heen.

Vraag 5

Bent u daarbij bereid te onderzoeken of relevante regelingen en subsidies van het Rijk, regionale overheden en de Europese Unie (EU) beter centraal kunnen worden ontsloten, bijvoorbeeld via één overzichtelijk platform, om versnippering tegen te gaan?

Zie antwoord vraag 4.

Vraag 6

Op welke wijze wordt bij het ontwikkelen van regelingen en subsidies, en bij de communicatie daarover, rekening gehouden met de specifieke noden en behoeften van kleinere ondernemingen en wordt er ook gekeken of een maatregel inderdaad echt aanvullend is aan wat er al is?

Zoals in het antwoord op vragen 2 en 3 aangegeven is het doel van ondersteunende maatregelen om in te spelen op knelpunten van ondernemers waarbij er een maatschappelijke meerwaarde is om daar als overheid wat aan te doen. Daarbij streef ik naar de juiste balans tussen zo min mogelijk instrumentarium om het aantal regelingen en subsidies overzichtelijk te houden en gelijktijdig zo goed mogelijk in te spelen op de verschillende knelpunten van verschillende ondernemers. Als kleinere ondernemingen specifieke knelpunten hebben, dan wordt daar op ingespeeld, maar te veel maatwerk voor specifieke doelgroepen met vergelijkbare problematiek leidt tot versnippering, minder overzicht en hogere uitvoeringslasten. Qua communicatie wordt altijd een communicatiestrategie bepaald waarmee de doelgroep zo goed mogelijk bereikt wordt.

Vraag 7

In hoeverre worden complexiteit en regeldruk voor aanvragers meegenomen in het ontwerp en de evaluatie van dergelijke regelingen?

Bij het ontwerpen van regelingen wordt scherp gekeken hoe deze zo eenvoudig mogelijk vormgegeven kunnen worden, zowel qua administratieve lasten voor ondernemers als qua uitvoeringslast voor de betreffende uitvoeringsorganisatie. Gelijktijdig moeten regelingen doeltreffend en doelmatig zijn, wat met zich meebrengt dat ik aan uw Kamer kan verantwoorden dat daarmee gemoeide middelen een goede en efficiënte besteding van belastinggeld zijn. Dat brengt enige verantwoordingslast voor ondernemers met zich mee, passend bij de omvang van subsidie die een ondernemer ontvangt. Hier zijn regels voor vastgelegd in het Uniform Subsidiekader.5
Onderdeel van evaluaties is onderzoek naar de doelmatigheid. Onderdeel daarvan is onderzoek naar in hoeverre de administratieve lasten en uitvoeringskosten van een regeling in verhouding staan tot de daarmee gemoeide beleidsmiddelen. Een negatief oordeel daarover is altijd aanleiding om de vormgeving van de regeling daarop aan te passen.

Vraag 8

Hoe beoordeelt u het feit dat veel bedrijven zich genoodzaakt zien subsidieadviesbureaus in te huren bij het aanvragen van innovatiegelden?

Dat veel bedrijven gebruik maken van een subsidieadviesbureau is wat mij betreft niet per definitie negatief. De redenen waarom ondernemers een beroep doen op subsidieadviesbureaus of intermediairs is divers en bedrijven maken daarin hun eigen afweging. In de laatste evaluatie van de WBSO is onderzoek gedaan naar de beweegredenen om gebruik te maken van een intermediair. Daaruit blijkt dat andere redenen dan onbekendheid met de regelingen dominant zijn om gebruik te maken van een intermediair. Intermediairs hebben een belangrijke rol in het vergroten van het doelgroepbereik en kunnen ondernemers veel werk uit handen nemen. Dat neemt niet weg dat er bedrijven zijn die gebruik maken van subsidieadviesbureaus, omdat ze geen goed beeld hebben van de subsidiemogelijkheden. Om ondernemers daarbij te helpen lopen er dus verschillende acties zoals benoemd in het antwoord op vraag 4 en 5.
Uit de WBSO-evaluatie bleek dat 80 procent van de WBSO-aanvragers gebruik te maken van een intermediair, maar bij andere regelingen voor het innovatieve mkb zoals het Innovatiekrediet en de regeling Mkb-innovatiestimulering Topsectoren (MIT) wordt 15 à 30 procent van de aanvragen ingediend met behulp van een intermediair. Bij de overige aanvragen kunnen intermediairs soms ook een rol spelen, maar daar is geen zicht op omdat de ondernemer de aanvraag vervolgens wel zelfstandig indient.

Vraag 9

Heeft u inzicht in de vraag welk aandeel van de subsidieaanvragen (bijvoorbeeld binnen de innovatie-instrumenten) tot stand komt met ondersteuning van subsidieadviesbureaus?

Zie antwoord vraag 8.

Vraag 1

Heeft u kennisgenomen van de in het Amerikaanse Huis van Afgevaardigden ingediende MATCH Act, waarin Republikeinse en Democratische politici voorstellen de exportbeperkingen voor chipfabricage machines naar China verder aan te scherpen?

Ja.

Vraag 2

Klopt het dat dit wetsvoorstel beoogt ook voor bedrijven uit bondgenootschappelijke landen, waaronder Nederland en Japan, dezelfde beperkingen te laten gelden als voor Amerikaanse bedrijven?

De MATCH Act is een wetsvoorstel van het Amerikaanse Congres dat zowel in het Huis van Afgevaardigden als in de Senaat wordt geïnitieerd. Het gaat op dit moment om conceptwetgeving, die zowel in het Huis als de Senaat nog de formele processen moet doorlopen. Het gaat bovendien nog om twee eigenstandige teksten in het Huis en de Senaat. De teksten kunnen gedurende de behandeling in zowel het Huis als de Senaat nog worden aangepast.
In de kern stelt de MATCH Act exportcontroles op bepaalde halfgeleiderproductieapparatuur en componenten via diplomatie multilateraal te «harmoniseren». De tekst richt zich daarbij op Amerikaanse bondgenoten en partners. De conceptwetteksten specificeren niet om welke landen het gaat en richten zich op alle partnerlanden die belangrijke («chokepoint») halfgeleiderproductietechnologie maken.
Het Nederlandse bedrijfsleven heeft een positie in halfgeleiderproductieapparatuur, samen met bedrijven uit onder andere Verenigde Staten, Japan, Zuid-Korea, Duitsland en andere Europese landen. In het wetsvoorstel wordt de Amerikaanse regering opgedragen om in coördinatie met bondgenoten en partners tot meer restrictief beleid te komen, met landen-specifieke exportcontroles met als uitgangspunt dat alle aanvragen worden afgewezen («country-wide controls with presumption of denial»). Dit zou moeten gelden voor China, Rusland, Iran, Noord-Korea en andere landen die door het Amerikaanse Ministerie van Buitenlandse Zaken als «land van zorg» worden gezien.
De huidige versie van de MATCH Act omvat ook voorstellen omtrent service- en onderhoudsdiensten voor geavanceerde halfgeleiderapparatuur. Dit zou kunnen betekenen dat voor onderhoud van dergelijke apparatuur bij bepaalde eindgebruikers een vergunning vereist wordt. Dit voorstel van het VS-congres kan ertoe leiden dat bedrijven, ook voor reeds geleverde machines, geen onderhoud of ondersteuning meer mogen verrichten zonder vergunning, en stelt dat bij de vergunningbehandeling het uitgangspunt zou moeten gelden dat deze niet worden verleend («presumption of denial»). De uiteindelijke impact hangt af van de nadere uitwerking in uitvoeringsregelgeving en eventuele uitzonderingen.
Het initiatief voorziet erin dat, als bondgenoten en partners binnen de vastgestelde periodes niet tot geharmoniseerde controles komen, de Verenigde Staten via Amerikaanse wetgeving extraterritoriaal beperkingen kunnen op leggen op export uit deze landen. Het kabinet kijkt daarom met zorg naar de MATCH Act.
Het is aan de leden van het Amerikaanse Congres om hun eigen standpunt over deze conceptwetgeving te bepalen. Gezien de mogelijke impact van de MATCH Act op Nederland bij aanname in huidige vorm, heeft Nederland zijn bezwaren, in het bijzonder over de extraterritorialiteit, zowel bij leden van het Amerikaanse Congres als bij de Amerikaanse regering neergelegd (zie ook vraag 6).

Vraag 3

Klopt het dat de MATCH Act er in de praktijk toe kan leiden dat ASML geen immersie-DUV-lithografiemachines meer aan China mag verkopen en evenmin onderhoud of service mag verrichten aan reeds geleverde machines, onder meer aan bedrijven als SMIC, Hua Hong, Huawei, CXMT en YMTC?

Zie antwoord vraag 2.

Vraag 4

Deelt u de opvatting dat een verbod op onderhoud en service van reeds verkochte machines feitelijk kan neerkomen op gedwongen contractbreuk en daarmee grote juridische en economische risico’s voor ASML met zich mee kan brengen? Zo nee, waarom niet?

Zie antwoord vraag 2.

Vraag 5

Hoe beoordeelt u de mogelijke gevolgen van dit wetsvoorstel voor ASML, de Nederlandse toeleveringsketen en de werkgelegenheid, mede in het licht van het gegeven dat China in 2025 goed was voor 33 procent van de omzet van ASML en ASML zelf aangaf dat dit aandeel in 2026 naar circa 20 procent zou dalen?

Het kabinet is tegen de extraterritoriale werking die uitgaat van het Amerikaanse voorstel. Elk land is verantwoordelijk voor zijn eigen exportcontrolewetgeving.
Dergelijke brede maatregelen kunnen daarnaast potentieel significante invloed hebben op de omzet van halfgeleiderbedrijven, inclusief de Nederlandse, en hun marktpositie verslechteren. Ook kunnen ze de voorspelbaarheid van het handels- en investeringsklimaat aantasten. Dat is ook de boodschap die de Minister-President, de Minister van Buitenlandse Zaken en de Minister van Buitenlandse Handel en Ontwikkelingssamenwerking hebben afgegeven tijdens het bezoek van het Koninklijk Paar aan de Verenigde Staten.

Vraag 6

In hoeverre acht het kabinet het wenselijk dat de Verenigde Staten via eigen wetgeving feitelijk verdere beperkingen opleggen aan de exportmogelijkheden en dienstverlening van een Nederlands bedrijf?

Het kabinet hecht aan goede samenwerking met partners. Nederland heeft als uitgangspunt dat ieder land verantwoordelijk is voor zijn eigen wetgeving en is dus geen voorstander van extraterritoriale wetgeving. Dat maken we altijd duidelijk in onze diplomatieke contacten met andere landen, zo ook met de Verenigde Staten.
Nederland deelt in algemene zin de veiligheidszorgen van zijn partners met betrekking tot de ongecontroleerde export van geavanceerde halfgeleidertechnologie en heeft daartoe zowel nationaal als in multilateraal verband exportcontrolemaatregelen voor ingesteld.
De aanpak van het kabinet is chirurgisch en gebaseerd op nationale veiligheidsrisico’s-, gericht op non-proliferatie en het voorkomen van ongewenst eindgebruik.
De EU Dual Use Verordening is het leidende juridische kader voor Nederland. Daaruit vloeit voort dat het Europese en Nederlandse exportcontrolebeleid landenneutraal is, elke vergunningaanvraag op zijn eigen merites («case-by-case») wordt beoordeeld en exportcontrole geen exportverbod is. Internationaal overleg over exportcontrole is de standaard en de inzet van Nederland is om met zoveel mogelijk landen tot overeenstemming te komen. Uiteindelijk gaat elk land zelf over de exportcontrolemaatregelen die nodig zijn om zijn nationale veiligheid te beschermen. Nationale veiligheidsoverwegingen zijn doorslaggevend bij exportcontrole.

Vraag 7

Is het kabinet hierover reeds in gesprek met de Verenigde Staten, Japan, Taiwan, Zuid-Korea en de Europese Commissie, en wat is daarbij concreet de Nederlandse inzet?

Nederland staat in het kader van exportcontrole continu en op alle niveaus in contact met andere technologiehoudende landen, bilateraal alsook via de multilaterale exportcontroleregimes zoals het Wassenaar Arrangement. De MATCH Act is daar onderdeel van, gezien de nauwe verwevenheid van de internationale halfgeleidersector en de potentiële scope van de MATCH Act. Wegens de diplomatieke vertrouwelijkheid kan het kabinet niet in detail treden over de inhoud deze gesprekken.

Vraag 8

Kunt u aangeven wat de verwachte verdere behandeling van de MATCH Act in de Verenigde Staten is, zowel in het Huis van Afgevaardigden als in de Senaat, en op welke termijn hierover meer duidelijkheid wordt verwacht?

Het kabinet hecht eraan te benadrukken dat het vooralsnog gaat om een voorstel. De inhoud en reikwijdte kunnen in het verdere Amerikaanse wetgevingsproces nog wijzigen, of het voorstel kan uiteindelijk niet worden aangenomen.
De behandeling van deze concept wettekst is in handen van het Amerikaanse Congres. Het is op dit moment niet duidelijk wanneer het Huis en de Senaat verdere behandeling van de concept wettekst zullen agenderen.
Het kabinet blijft in de tussentijd zijn zorgen over de concept wettekst nadrukkelijk onder de aandacht te brengen op alle niveaus.

Vraag 1

Bent u op de hoogte van de hack bij ChipSoft, het bedrijf dat software voor patiëntendossiers en andere digitale systemen voor ziekenhuizen levert?1

Ja.

Vraag 2

Kunt u toelichten wat de ernst is van de hack en hoeveel ziekenhuizen, huisartsenpraktijken en eventuele andere zorgverleners zijn geraakt door de hack?

Patiënten moeten erop kunnen vertrouwen dat hun gegevens veilig zijn. Chipsoft voert momenteel samen met een extern team van cybersecurity-experts forensisch onderzoek uit om de oorzaak, omvang en bron van het incident vast te stellen. ChipSoft levert software aan ongeveer 70% van de Nederlandse ziekenhuizen. Uit voorzorg zijn sinds 8 april 20:00 uur de verbindingen met patiëntportalen die door ChipSoft worden gehost, verbroken. Dit betreft Zorgportaal, HiX Mobile2 en het Zorgplatform. Deze zijn hierdoor tijdelijk niet beschikbaar geweest. Inmiddels is er sinds vrijdag 17 april weer sprake van het gefaseerd opstarten van functionaliteiten, nadat deze veilig zijn bevonden. Op donderdag 16 april heeft ChipSoft gecommuniceerd met de klanten die dat betrof dat er bij de hack ook gegevens zijn gestolen. Hierover heb ik de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april 2026 geïnformeerd3. ChipSoft heeft geen gedetailleerde inzage gegeven in welke klanten op welke wijze getroffen zijn. In de zojuist genoemde Kamerbrief heb ik ons inzicht met u gedeeld. De resultaten van het forensisch onderzoek, die van belang zijn voor de hersteloperatie bij zorginstellingen, zullen, zo heeft ChipSoft ons laten weten, zo snel mogelijk worden gecommuniceerd. In de tussentijd ondersteunt Z-CERT, als expertisecentrum cybersecurity in de zorg, en biedt hulp aan ChipSoft voor analyse, communicatie en incidentmanagement. Z-CERT informeert en adviseert haar deelnemers over deze situatie.

Vraag 3

Wat zijn de gevolgen van de hack voor zorgverleners en hun patiënten, bijvoorbeeld doordat zorginstellingen hun systemen offline hebben moeten halen?

Navraag bij de betrokken zorginstellingen leert dat de zorgprocessen doorlopen en zorgverleners bij de gegevens van patiënten kunnen. Patiënten kunnen echter wel hinder ondervinden bij het online maken van afspraken, dit gaat nu telefonisch. Daarnaast kunnen patiënten momenteel niet zelf hun dossier inzien. Ook is er met name impact op de uitwisseling van gegevens. Tussen zorgverleners, zoals huisarts en ziekenhuizen, kunnen digitale verwijzingen niet goed plaatsvinden.
Ziekenhuizen zijn hier echter op dit soort incidenten voorbereid en zij hebben hiervoor noodprotocollen die ook in werking zijn getreden. Hierdoor kunnen veel zorgprocessen doorlopen, maar vaak met een noodzakelijke extra inzet van personeel.

Vraag 4

Is bepaalde zorg uitgesteld vanwege de hack en zo ja, op welke schaal?

Nee, de zorgprocessen lopen door.

Vraag 5

Is er gevoelige data, zoals patiëntgegevens, in handen gekomen van criminelen?

Patiënten moeten erop kunnen vertrouwen dat hun gegevens veilig zijn. Op donderdag 16 april heeft ChipSoft gecommuniceerd met haar klanten dat er bij de hack patiëntgegevens zijn gestolen. Welke exacte patiëntgegevens hierbij zijn buitgemaakt is nog in onderzoek. Ik heb de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april hierover geïnformeerd.4 Ik vind dit een zeer ernstige zaak. ChipSoft moet alles uit de kast halen en de volle verantwoordelijkheid nemen om snel en zorgvuldig te onderzoeken en duidelijkheid te creëren voor patiënten en zorgverleners, zodat mensen weten of hun data gestolen is en om welke data het gaat.

Vraag 6

Hoe verklaart u de verschillende aanpak van ziekenhuizen na de hack, bijvoorbeeld in het wel of niet offline halen van systemen?

Ziekenhuizen die klant zijn bij ChipSoft hebben op advies van Z-CERT, het expertisecentrum cybersecurity in de zorg, preventieve maatregelen genomen en hebben monitoring op hun lopende systemen geïntensiveerd. De keuzes die gemaakt worden, zijn door de ziekenhuizen of organisaties zelf gemaakt op basis van eigen specifieke situatie en risico inschatting.

Vraag 7

Verschilt de impact van de hack tussen ziekenhuizen die hun gegevens lokaal, hybride of juist in een cloudomgeving opslaan? Kunt u uitleggen welke keuze de meeste weerbaarheid biedt?

De gegevens van de zorgaanbieders die gebruikmaken van de cloudomgeving van ChipSoft zijn gestolen. Van instellingen die de software van ChipSoft in eigen beheer uitvoeren of door derden laten beheren, zijn geen gegevens gestolen. Hierover heb ik de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april geïnformeerd.5
Er valt niet in z’n algemeenheid te zeggen welke keuze de meeste weerbaarheid biedt. Dit hangt af van de lokale context van de zorgaanbieder en de risicoafweging die gedaan is en de beheersmaatregelen die daarbij genomen zijn.

Vraag 8

Welke rol speelt de overheid in de afwikkeling van de hack?

Wat betreft de afwikkeling van de hack en opsporing en/of vervolging ligt de verantwoordelijkheid bij de politie en het Openbaar Ministerie (OM). Diverse toezichthouders doen onderzoek naar de hack. Vanuit onze stelselverantwoordelijkheid ondersteunen we de koepelorganisaties die in het Informatieberaad Zorg zitten met informatie over de digitale aanval en een woordvoeringslijn die zij kunnen gebruiken naar hun leden.
Ook worden bijvoorbeeld handelingsperspectieven uitgewisseld. VWS en organisaties die gesubsidieerd worden door VWS ondersteunen de getroffen zorginstellingen zoveel als mogelijk. Zo financiert de overheid Z-CERT, het expertise centrum cybersecurity in de zorg. Z-CERT, biedt hulp aan ChipSoft voor analyse, communicatie en incidentmanagement. Z-CERT informeert en adviseert haar deelnemers over deze situatie. Vanuit het ministerie volgen we de ontwikkelingen zeer nauw, adviseren we koepels en zorgaanbieders en duiden we de rollen en bevoegdheden, waar nodig.

Vraag 9

Zijn er alternatieven voorhanden bij een hack als deze, bijvoorbeeld alternatieve software waar ziekenhuizen en andere zorgverleners op kunnen terugvallen?

Ziekenhuizen hebben draaiboeken en protocollen voor als systemen niet werken om te zorgen dat het zorgproces door kan blijven gaan. Dit volgt uit de verplichte risico analyse die zij moeten doen. Zo gaan bijvoorbeeld verwijzingen van huisartsen naar Chipsoft-ziekenhuizen niet meer digitaal, maar per mail of telefonisch. Zie ook het antwoord op vraag 3. Het is aan zorgverleners zelf om deze protocollen, gegeven de specifieke situatie van de betreffende zorgverlener, in te richten. De ingebruikname van een ander elektronisch patiëntendossier of andere alternatieve software is niet iets wat in enkele dagen of weken geregeld kan worden. Dit is technisch zeer complex en kent een lange doorlooptijd. Bovendien brengt het hoge kosten en andere risico’s met zich mee.

Vraag 10

Welke eisen gelden er voor leveranciers van cruciale zorg-ICT?

Nederlandse zorgaanbieders zijn wettelijk verplicht om te voldoen aan de norm voor informatiebeveiliging in de zorg, de NEN 7510. De NEN 7510 geeft richtlijnen voor controlemaatregelen en stelt eisen aan het informatiebeveiligingssystemen. De norm vereist ook beheersmaatregelen voor bedrijfscontinuïteit en bereikbaarheid. Bij de inzet van ICT-producten die medische gegevens verwerken, eisen zorgaanbieders van de softwareleveranciers van deze ICT-producten dat ook zij voldoen aan de NEN 7510. Softwareleveranciers dienen dit aan te tonen met een certificaat.
In de nabije toekomst zullen aanvullende eisen voor cyberweerbaarheid worden gesteld in de NIS2-richtlijn die wordt omgezet in de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit. De European Health Data Space-verordening (EHDS) draagt bij aan toegankelijkheid van de zorg-ICT-markt in Nederland en Europa en betere databeschikbaarheid. Deze verordening gaat de nieuwe eis stellen dat EPD-systemen aan de kaders rondom cyberveiligheid moeten gaan voldoen conform de Cyberweerbaarheidsverordening6.

Vraag 11

Is de ketenweerbaarheid op het gebied van ICT in de zorg wat u betreft op orde, onder andere in de domeinen hosting, beheer, en koppelingen? Waarom wel of niet?

Zorgaanbieders zijn verantwoordelijk voor de afspraken die gemaakt worden met hun ICT-leveranciers. Uit deze verantwoordelijkheid volgt dat zij handelingsperspectieven moeten opstellen op basis van de individuele risicoafwegingen en passend bij de eigen context. In de NEN7510 is de verplichting opgenomen een risicobeoordeling uit te voeren en digitale afhankelijkheden in kaart te brengen. Daarnaast gaat de Cyberbeveiligingswet (Cbw) organisaties, waaronder zorgaanbieders, verplichten om hun leveranciersketen in kaart te brengen, en om aan de leveranciers in die keten informatiebeveiligingsnormen te stellen. De Cbw is voorzien medio 2026 in te gaan.

Vraag 12

Deelt u de opvatting dat dit geen incident is, maar een symptoom van te grote afhankelijkheid van een paar dominante leveranciers in de zorg, waarbij een incident bij één leverancier meteen een nationale zorgvraag wordt?

Nee, ik deel die opvatting niet. Zorgaanbieders dienen afspraken te maken met zorg-ICT-leveranciers en hierbij risico’s af te wegen. Het is wel zo dat de omvang van een hack groter kan zijn wanneer een leverancier met een groot marktaandeel wordt getroffen waarbij ook nog eens patiëntgegevens zijn opgeslagen.

Vraag 13

Deelt u de zorgen over de risico’s wanneer één dominante marktpartij de infrastructuur levert voor zorginstellingen of andere essentiële publieke voorzieningen?

Het is belangrijk dat er sprake is van een gezonde marktwerking op de zorg-ICT-markt. Op verzoek van de toenmalige Minister van VWS heeft de Nederlandse Zorgautoriteit (NZa) in januari 2025 een rapport uitgebracht: «Sturing op kwaliteit en betaalbaarheid zorg-ICT». Daarin staat dat onder andere in de ziekenhuiszorg een paar grote leveranciers de markt domineren. Deze marktconcentratie zorgt voor minder concurrentie, wat de prijzen op kan drijven en innovatie kan vertragen. Ook is er een definitieve leidraad goedwerkende markten voor zorg-ICT van de ACM7 gepubliceerd. Het Ministerie van VWS maakt hieruit op dat het voor nieuwe innovatieve spelers moeilijk is voet aan de grond te krijgen, omdat zorginstellingen huiverig zijn om risico’s te nemen door met kleine of nieuwe partijen in zee te gaan. Bovendien wordt toetreding tot de Nederlandse markt van nieuwe buitenlandse leveranciers bemoeilijkt door de complexe, internationaal niet te vergelijken bekostigingssystematiek in onze zorgsector. Een te grote eenzijdige afhankelijkheid kan risico’s met zich brengen voor de continuïteit van zorg. Zorginstellingen zijn zelf verantwoordelijk om deze risico’s in kaart te brengen en keuzes te maken om invulling te geven aan overwegingen van digitale autonomie.
In de brief Voortgang agenda databeschikbaarheid van 20 januari 2026 is de stand van zaken over de zorg-ICT-markt uiteengezet. Om de risico’s te beperken, ga ik de komende tijd aan de slag om de bewustwording en kennis en expertise bij bestuurders over zorg-ICT te vergroten. Ook wordt samen met partijen onderzocht hoe het inkoopproces verbeterd kan worden. Daarnaast wordt er samen met overheidspartijen met een regulerende of toezichthoudende rol in het zorgveld een zogenoemde signaleringstafel opgezet. Daar kunnen signalen over zorg-ICT worden gedeeld en kan vanuit bestaand instrumentarium bekeken worden of en zo ja welke (gezamenlijke) interventie gewenst is. Naast de hierboven genoemde acties zet ik in op de European Health Data Space (EHDS) om de markt toegankelijker te maken voor EPD-leveranciers. Om dat te bereiken worden er op Europees niveau harmoniserende regels gesteld aan interoperabiliteit tussen de EPD-systemen en aan een verplicht loggingsmechanisme voor gebruik van gegevens door zorgverleners. Ook wordt gekeken hoe het toezicht versterkt kan worden op zorg-ICT.

Vraag 14

Zijn er maatregelen die u neemt om dergelijke marktdominantie tegen te gaan, bijvoorbeeld door afspraken te maken over het inkoop- en aanbestedingsbeleid in de zorgsector? Waarom wel of niet?

In de eerste plaats zijn zorgaanbieders zelf verantwoordelijk voor de inkoop, aanbesteding en contractering van zorg-ICT. Wel blijkt uit het NZa rapport «Sturing op kwaliteit en betaalbaarheid zorg-ICT» januari 2025 dat de bewustwording en kennis en expertise bij bestuurders over zorg-ICT vergroot kan worden. Daarom wordt samen met partijen onderzocht hoe het inkoopproces verbeterd kan worden, bijvoorbeeld door de inzet van externe expertise om gezamenlijke inkoop van een kernapplicatie te laten slagen. Dit zorgt voor schaalvoordelen en vergroot de kans op samenwerking. Over dit soort onderwerpen heeft mijn ministerie ook regelmatig overleg met de ICT-gebruikersverenigingen van de ziekenhuizen.

Vraag 15

Hoe zorgt u voor voldoende diversificatie tussen ICT-leveranciers bij zorginstellingen? Is het uw verantwoordelijkheid om monopolievorming in de zorg-ICT tegen te gaan?

De Autoriteit Consument en Markt (ACM) houdt toezicht op eerlijke concurrentie en marktwerking, zo ook op de zorg-ICT markt. In eerste instantie is zij de toezichthouder op basis van de Mededingingswet die toezicht houdt op de markt en ook concentraties (fusies/overnames) beoordeelt. Zij heeft in haar brief op 28 januari 20258 aangegeven dat de zorg-ict markt niet goed werkt omdat ICT-systemen gesloten zijn. De ACM geeft aan dat zij op dit moment onvoldoende instrumenten heeft om eerlijke concurrentie en marktwerking structureel af te dwingen en adviseert het Ministerie van VWS om openheid van digitale informatiesystemen via wetgeving te verplichten.
Ik vind het belangrijk dat de zorg-ICT-markt toegankelijk is, zodat concurrentie en innovatie worden gestimuleerd. Met de EHDS wordt ook ingezet op een zo open mogelijke markt voor onder andere EPD-leveranciers. Ik onderzoek de mogelijkheden om als randvoorwaardelijk onderdeel van de EHDS, te komen tot additionele regulerende instrumenten.

Vraag 16

Is het wenselijk dat zorginstellingen individueel ICT-diensten inkopen en hierover onderhandelen? Welke voor- en nadelen ziet u bij een meer gezamenlijke vorm van inkoop?

In de eerste plaats zijn zorgaanbieders zelf verantwoordelijk voor de inkoop, aanbesteding en contractering. Gezamenlijke inkoop kan schaalvoordelen opleveren, vergroot de kans op samenwerking en versterkt de positie van de zorgaanbieders. Een nadeel kan zijn dat er minder maatwerk wordt geleverd.

Vraag 17

Wat is de status van de uitvoering van de motie-Bushoff/Bevers om bij de evaluatie van de Wet vifo te bezien of bij fusies en overnames vanuit het buitenland van digitale zorginfrastructuur vergelijkbare voorwaarden gesteld kunnen worden als bij andere cruciale sectoren, zoals de chip-, energie- en telecomsector?2

Sinds juni 2023 is de Wet Veiligheidstoets investeringen, fusies en overnames (vifo) van kracht. De Wet vifo introduceerde een mechanisme voor investeringstoetsing in Nederland. Recent is de wet, conform de toezegging aan de Tweede Kamer, geëvalueerd.
Tevens is in december 2025 de herziene Foreign Direct Investment (FDI)-screeningsverordening vastgesteld. Met de wijziging van de Verordening worden de reikwijdte en procedures van de nationale investeringstoetsingsregimes in de Europese Unie gestroomlijnd om economische veiligheidsrisico’s van investeringen op een meer coherente manier aan te pakken. Nadat de herziene FDI verordening formeel is vastgesteld, start de termijn voor omzetting van de Verordening in nationale wetgeving. In Nederland wordt deze Verordening geïmplementeerd in de Wet vifo. Ik koers aan op een verwijzing in de wet vifo naar de (terminologie van de) Wet weerbaarheid kritieke entiteiten (Wwke). Hiermee zullen kritieke entiteiten in de zorg in het geval van vijandige investeringen, fusies of overnames kunnen worden getoetst.

Vraag 18

Deelt u de zorgen van de Autoriteit Consument & Markt (ACM) over gesloten datastandaarden bij ICT-aanbieders in de zorg, aangezien systemen daardoor niet goed met elkaar communiceren en zorgaanbieders minder keuze hebben in hun leveranciers, met monopolievorming tot gevolg?

Ja ik deel deze zorgen. Het niet gebruiken van open standaarden en de geslotenheid van ICT-systemen bevordert niet de door de Nationale, Visie en Strategie10 gewenste interoperabiliteit op weg naar databeschikbaarheid. Om dat te veranderen zal een mix van Europese verplichtingen en nationale keuzes nodig zijn. Met de European Health Data Space (EHDS) verordening wordt ingezet op een zo open mogelijke markt voor EPD-leveranciers. Om dat te bereiken worden er op Europees niveau harmoniserende regels gesteld aan interoperabiliteit tussen de EPD-systemen. Vanuit de NVS-ambitie stuur ik op openstelling van systemen via open gestandaardiseerde koppelvlakken: publiek beschikbare koppelvlakken,
zodat data veilig, herbruikbaar en leverancier-onafhankelijk kan stromen door het hele stelsel. De specificaties van deze open koppelvlakken zijn een publieke verantwoordelijkheid. Zo nodig zal ik deze koppelvlakken ook als open source laten ontwikkelen en beschikbaar stellen aan marktpartijen.

Vraag 19

Wat is de status van de uitvoering van de motie-Bushoff/Kathmann over een routekaart waarlangs ICT-leveranciers in de zorg de komende jaren verplicht worden gebruik te maken van open datastandaarden?3

In mijn brief «stand van zaken landelijk dekkend netwerk» die ik voor het commissiedebat digitale zorg (gepland op 21 mei) naar uw Kamer zal sturen, zal ik dieper ingaan op dit vraagstuk.

Vraag 20

Welke structurele problemen in de zorg-ICT legt deze hack bloot? Wie is er aan zet om deze op te lossen?

Het onderzoek naar deze hack is nog in volle gang. Het is daarmee te vroeg om een verband te leggen tussen deze hack en structurele problemen in de zorg-ICT.

Vraag 21

Welke maatregelen neemt u om de cyberveiligheid en weerbaarheid van zorginstellingen structureel te vergroten?

In het versterken van de cyberweerbaarheid van de zorg neem ik een kader stellende, toezichthoudende, stimulerende en faciliterende rol in. In de brief over informatieveiligheid in de zorg van 4 december 2025 heeft mijn voorganger uw Kamer geïnformeerd over de maatregelen die mijn ministerie neemt12. Ik ondersteun zorginstellingen bij het voorkomen van incidenten door het verhogen van bewustzijn van zorgmedewerkers in het programma Informatieveilig gedrag in de zorg. Een groot deel van cyberincidenten zijn mede veroorzaakt door menselijk handelen. Daarnaast bied ik hulpmiddelen aan om te voldoen aan de NEN7510, de norm voor informatiebeveiliging in de zorg. Deze norm schrijft organisatorische, mensgerichte, fysieke en technologische beheersmaatregelen voor die de digitale weerbaarheid van een organisatie concreet verhogen. Dit met het doel om dreigingen te voorkomen, detecteren of erop te reageren. Tot slot helpt het expertisecentrum cybersecurity in de zorg (Z-CERT) zorginstellingen in het voorkomen van incidenten door te monitoren en eventuele dreigingsinformatie te delen. Daarnaast biedt Z-CERT ondersteuning bij het beperken van de gevolgen wanneer er onverhoopt een incident heeft plaatsgevonden.

Vraag 22

Wat wordt de rol van de Cyberbeveiligingswet, zodra deze is aangenomen, om dergelijke hacks te voorkomen en sneller af te wikkelen? Wat gaat er concreet veranderen in een casus zoals deze?

Voor alle zorgaanbieders is de NEN 7510, de norm voor informatiebeveiliging in de zorg, nu al wettelijk verplicht. De Cyberbeveiligingswet (Cbw) gaat bredere eisen stellen aan netwerk- en informatiebeveiliging voor diverse sectoren waaronder de sector zorg. Zodra de Cbw van kracht is (voorzien medio 2026), hebben organisaties die onder de wet vallen een meldplicht. Dit houdt in dat een significante cyberincident13 binnen 24 uur wordt gemeld bij het portaal van het Nationaal Cyber Security Centrum (NCSC). Het NSCS werkt nauw samen met Z-CERT, het expertisecentrum op het gebied van het cybersecurity in de zorg. Deze meldplicht zorgt ervoor dat alle significante meldingen worden gemonitord en er tijdig wordt gewaarschuwd tegen cyberdreigingen. Daarnaast stelt de Cbw een zorgplicht voor organisaties verplicht. Dit houdt in dat organisaties vallend onder Cbw maatregelen moeten nemen om hun netwerk- en informatiesystemen te beschermen tegen significante incidenten. De Cbw zal cyberincidenten niet voorkomen, maar de cyberweerbaarheid in Nederland en daarmee ook in de sector zorg wordt verhoogd doordat significante cyberincidenten worden gemonitord en vervolgens snel wordt gehandeld om de beveiliging van informatiesystemen en bedrijfscontinuïteit te waarborgen.

Vraag 23

Kunt u deze vragen afzonderlijk van elkaar en nog vóór het commissiedebat over digitale ontwikkelingen in de zorg van 21 mei 2026 beantwoorden?

Ja.

Vraag 1

Bent u bekend met het bericht «Ook Grieken overstag, regering wil verbod op sociale media voor kinderen»?1

Ja.

Vraag 2

Hoe beoordeelt u het voornemen van Griekenland om kinderen tot 15 jaar de toegang tot sociale media te verbieden, mede in het licht van het coalitieakkoord waarin is opgenomen dat wordt gewerkt aan een handhaafbare Europese minimumleeftijd van 15 jaar voor sociale media met privacyvriendelijke leeftijdsverificatie?

Verschillende Europese lidstaten hebben wetsvoorstellen aangekondigd om een minimumleeftijd in te stellen voor sociale media. Lidstaten hebben de bevoegdheid om een minimumleeftijd voor te schrijven voor toegang tot bepaalde producten of online diensten, met inbegrip van sociale mediadiensten.
In het coalitieakkoord is het voornemen geuit voor een Europese minimumleeftijd van 15 jaar voor sociale media, zolang sociale media onvoldoende veilig zijn. Een minimumleeftijd op Europees niveau heeft mijn voorkeur, omdat sociale mediabedrijven grensoverschrijdend opereren. Het is daarom efficiënter om te kiezen voor een gezamenlijke oplossing en uniforme Europese regels, omdat dit versnippering tussen lidstaten voorkomt.

Vraag 3

Welke concrete stappen zet het kabinet op dit moment in Europees verband om te komen tot die handhaafbare Europese minimumleeftijd van 15 jaar voor sociale media?

Nederland heeft tijdens de Informele Telecomraad van 29 en 30 april 2026 het belang uitgedragen van een Europese minimumleeftijd van 15 jaar voor sociale media met privacyvriendelijke leeftijdsverificatie, zolang sociale media onvoldoende veilig zijn. De Kamer zal hier op korte termijn via een verslag nader over worden geïnformeerd.
Daarnaast ga ik de komende periode mogelijkheden voor samenwerking verder verkennen door met verschillende lidstaten in gesprek te gaan. Ik heb onder meer een bijeenkomst op initiatief van Frankrijk bijgewoond, waar ik met andere Europese leiders en de Europese Commissie sprak over een Europese minimumleeftijd voor sociale media.
Tot slot voert de Universiteit van Amsterdam (UvA) momenteel een onderzoek uit naar de juridische inrichting van een Europese minimumleeftijd voor sociale media. Ik zal de resultaten van dit onderzoek uiterlijk voor het zomerreces publiceren.

Vraag 4

Erkent het kabinet dat, in het licht van de ontwikkeling dat steeds meer landen overgaan tot een verbod, nu het moment is om tot een gezamenlijke aanpak te komen?

Het is belangrijk om tot een gezamenlijke Europese aanpak te komen, zoals ik heb aangegeven in de beantwoording van de vragen 2 en 3.

Vraag 5

Trekt Nederland hierbij actief op met andere Europese lidstaten die eveneens willen komen tot strengere regels voor kinderen op sociale media, zoals Griekenland, Frankrijk, en Spanje? Zo ja, op welke wijze?

Zoals aangegeven in het antwoord op vraag 3, zal ik met verschillende lidstaten in gesprek gaan om te verkennen wat de mogelijkheden zijn voor samenwerking. Na deze gesprekken en de resultaten van het onderzoek van de UvA zal ik nagaan wat de meest geschikte vorm van samenwerking is.

Vraag 6

Hoe wil het kabinet een Europese minimumleeftijd juridisch en technisch handhaafbaar vormgeven, in het bijzonder in relatie tot de Digital Services Act (DSA) en de door de Europese Commissie ontwikkelde leeftijdsverificatie-aanpak?

Zoals aangegeven in het antwoord op vraag 3 voert de UvA momenteel een onderzoek uit naar de juridische inrichting van een Europese minimumleeftijd voor sociale media. Daarbij wordt uiteraard ook ingegaan op de relatie tot de DSA als hoeksteen van het Europese platformrecht. De uitkomsten van dit onderzoek worden meegenomen bij de uitvoering van het coalitieakkoord.
Voor wat betreft de technische handhaafbaarheid, geldt dat online leeftijdsverificatie een belangrijk instrument kan zijn, mits fundamentele rechten en grondrechten zoals privacy, gegevensbescherming, non-discriminatie en digitale toegankelijkheid worden gewaarborgd. De toepassing moet proportioneel zijn en steeds per context worden afgewogen; er is geen one size fits all-oplossing. Om de ontwikkeling van privacyvriendelijke leeftijdsverificatie te ondersteunen, heeft de Europese Commissie een blauwdruk voor een Europese white-label leeftijdsverificatie-app gepubliceerd. Het kabinet verkent momenteel of de EU-blauwdruk app in Nederland geïmplementeerd kan worden of dat er ook andere mogelijkheden zijn voor implementatie van leeftijdsverificatie.

Vraag 1

Bent u bekend met de berichtgeving over de cyberaanval op ChipSoft, leverancier van elektronische patiëntendossiers voor een groot deel van de Nederlandse zorginstellingen?1

Ja.

Vraag 2

Kunt u een actueel beeld geven van de aard, omvang en impact van deze aanval, en welke patiënten hierdoor zijn geraakt?

Het Ministerie van VWS onderhoudt geen klantrelatie met Chipsoft en is daarmee geen onderdeel van de informatievoorziening van Chipsoft naar zijn klanten. Uit informele contacten heb ik begrepen dat Chipsoft momenteel samen met een extern team van cybersecurity-experts forensisch onderzoek uitvoert om de oorzaak, omvang en bron van het incident vast te stellen. Naar ik begrepen heb zijn uit voorzorg de verbindingen sinds 8 april 20:00 uur met patiëntportalen die door ChipSoft worden gehost, verbroken. Dit betreft Zorgportaal, HiX Mobile2 en het Zorgplatform. Deze zijn hierdoor tijdelijk niet beschikbaar. Op donderdag 16 april heeft ChipSoft gecommuniceerd met haar klanten dat er bij de hack ook gegevens zijn gestolen. Hierover heb ik de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april 2026 geïnformeerd. De resultaten van het forensisch onderzoek, die van belang zijn voor de hersteloperatie bij zorginstellingen, zullen, zo heeft ChipSoft ons doen laten weten, zo snel mogelijk worden gecommuniceerd. In de tussentijd ondersteunt Z-CERT, als expertisecentrum cybersecurity in de zorg, en biedt hulp aan ChipSoft voor analyse, communicatie en incidentmanagement. Z-CERT informeert en adviseert haar deelnemers over deze situatie.

Vraag 3

In hoeverre heeft deze aanval gevolgen (gehad) voor de continuïteit van zorg, bijvoorbeeld door verminderde toegang tot patiëntgegevens, vertragingen in zorgverlening of het moeten overschakelen op noodprocedures?

Ik heb van de betrokken zorginstellingen begrepen dat de zorgprocessen doorlopen en zorgverleners bij de gegevens van patiënten kunnen. Patiënten kunnen echter wel hinder ondervinden bij het online maken van afspraken, dit gaat nu telefonisch. Daarnaast kunnen patiënten momenteel niet zelf hun dossier inzien Ook is er met name impact op de uitwisseling van gegevens. Tussen zorgverleners, zoals huisarts en ziekenhuizen, kunnen verwijzingen niet goed plaatsvinden. Echter, ziekenhuizen zijn voorbereid op dit soort incidenten en zij hebben hiervoor noodprotocollen die ook in werking zijn getreden. Hierdoor kunnen veel zorgprocessen doorlopen, maar vaak met een noodzakelijke extra inzet van personeel. Deze situatie kan daarmee maar voor een beperkte periode bestaan. Inmiddels zo begreep ik is er sinds vrijdag 17 april weer sprake van het opstarten van functionaliteiten, nadat deze veilig zijn bevonden.

Vraag 4

Zijn er aanwijzingen dat patiëntgegevens zijn ingezien, buitgemaakt of anderszins gecompromitteerd? Hoe wordt dit onderzocht en wanneer verwacht u hierover duidelijkheid te kunnen geven?

Op donderdag 16 april heeft ChipSoft gecommuniceerd met haar klanten dat er bij de hack patiëntgegevens zijn gestolen. Hierover heb ik de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april geïnformeerd. Ik vind dit een zeer ernstige zaak. ChipSoft moet alles uit de kast halen en de volle verantwoordelijkheid nemen om snel en zorgvuldig te onderzoeken en duidelijkheid te creëren voor patiënten en zorgverleners, zodat mensen weten of hun data gestolen is en om welke data het gaat.

Vraag 5

Hoe beoordeelt u de sterke afhankelijkheid van een beperkt aantal commerciële leveranciers voor cruciale zorg-IT, en hoe worden de risico’s daarvan beperkt?

Op verzoek van de toenmalige Minister van VWS heeft de Nederlandse Zorgautoriteit (NZa) in januari 2025 een rapport uitgebracht: «Sturing op kwaliteit en betaalbaarheid zorg-ICT». Daarin staat dat onder andere in de ziekenhuiszorg een paar grote leveranciers de markt domineren. Deze concentratie van marktmacht zorgt ervoor dat er minder concurrentie is, wat de prijzen op kan drijven en innovatie kan vertragen. Ook in de Definitieve leidraad goedwerkende markten voor zorg-ICT van de ACM3 staat dat het voor nieuwe, innovatieve spelers moeilijk is om voet aan de grond te krijgen, omdat zorginstellingen huiverig zijn om risico's te nemen door met kleine of nieuwe partijen in zee te gaan. Bovendien wordt toetreding tot de Nederlandse markt van nieuwe buitenlandse leveranciers bemoeilijkt door de complexe, internationaal niet te vergelijken bekostigingssystematiek in de zorgsector. Een te grote eenzijdige afhankelijkheid kan risico’s met zich brengen voor de continuïteit van zorg. Zorginstellingen zijn zelf verantwoordelijk om deze risico’s in kaart te brengen en keuzes te maken om invulling te geven aan hun digitale autonomie.
Ik ben echter ook van mening dat de ontwikkeling naar een European Health Data Space (EHDS) bij kan dragen om de markt toegankelijker te maken voor EPD-leveranciers. Om dat te bereiken worden er bijvoorbeeld op Europees niveau harmoniserende regels gesteld aan interoperabiliteit tussen de EPD-systemen en het verplicht maken van een loggingsmechanisme voor gebruik van gegevens door zorgverleners. Ook wordt gekeken hoe het toezicht versterkt kan worden. In de brief Voortgang agenda databeschikbaarheid van 20 januari 20264 is de stand van zaken over de zorg-ICT-markt uiteengezet. Om de risico’s te beperken ga ik de komende tijd aan de slag om te bezien hoe de bewustwording en kennis en expertise bij bestuurders over zorg-ICT vergroot kan worden. Daarnaast wordt samen met partijen onderzocht hoe het inkoopproces verbeterd kan worden en zal er samen met overheidspartijen met een regulerende of toezichthoudende rol in het zorgveld een zogenoemde signaleringstafel worden opgezet waar signalen aangaande zorg-IT kunnen worden gedeeld en vanuit bestaand instrumentarium kan worden bekeken of en zo ja welke (gezamenlijke) interventie gewenst is.

Vraag 6

Welke eisen worden momenteel gesteld aan leveranciers van zorg-IT op het gebied van cybersecurity, weerbaarheid en continuïteit, en in hoeverre zijn deze eisen voldoende gezien de kritieke rol van deze partijen voor ons zorgsysteem?

Nederlandse zorgaanbieders zijn momenteel wettelijk verplicht om te voldoen aan de norm voor informatiebeveiliging in de zorg, de NEN 7510. De NEN 7510 geeft richtlijnen voor controlemaatregelen en stelt eisen aan het informatiebeveiligingssystemen. De norm vereist ook beheersmaatregelen voor bedrijfscontinuïteit en bereikbaarheid. Bij de inzet van ICT-producten die medische gegevens verwerken, eisen zorgaanbieders van de softwareleveranciers van deze ICT-producten dat ook zij voldoen aan de NEN 7510. Softwareleveranciers dienen dit aan te tonen met een certificaat. Daarnaast zullen aanvullende eisen voor cyberweerbaarheid worden gesteld in de NIS2 richtlijn die wordt omgezet in de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit. Ik ga hier verder op in bij vraag 8. De EHDS draagt bij aan toegankelijkheid van de zorg-ICT-markt in Nederland en Europa en betere databeschikbaarheid. Deze verordening gaat de nieuwe eis stellen dat EPD-systemen aan de kaders rondom cyberveiligheid moeten gaan voldoen conform de Cyberweerbaarheidsverordening5.

Vraag 7

In hoeverre zijn zorginstellingen verplicht of gestimuleerd om scenario’s uit te werken voor uitval van essentiële IT-systemen, en hoe wordt geborgd dat zorgverlening doorgang kan vinden bij langdurige verstoringen?

Het doen van een risicoanalyse is onderdeel van de norm voor informatieveiligheid in de zorg (NEN7510). Aan deze norm dienen zorgaanbieders aantoonbaar te voldoen. Bij het werken volgens de norm hoort ook het nemen van maatregelen om uitval (door bijvoorbeeld een cyberincident) te voorkomen en de impact te beperken. Een belangrijk onderdeel van de norm is bovendien dat er plannen worden gemaakt voor bedrijfscontinuïteit bij onverwachte verstoringen of uitval en dat deze periodiek getest, geëvalueerd en verbeterd worden.

Vraag 8

Hoe wordt binnen het beleid rond de implementatie van de NIS2-richtlijn specifiek rekening gehouden met de afhankelijkheid van de zorgsector van externe IT-leveranciers?

De NIS2 richtlijn wordt omgezet in de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit. In de Cyberbeveiligingswet is in artikel 10 opgenomen dat de organisaties die onder deze wet vallen verplicht zijn om beleid vast te stellen over de beveiliging van de toeleveringsketen. Dit betekent dat de zorgaanbieders die onder de reikwijdte vallen niet alleen hun eigen netwerk- en informatiesystemen op orde hebben, maar ook die van hun rechtstreekse leveranciers periodiek toetsen. Daarnaast zullen IT-leveranciers ook rechtstreeks onder de reikwijdte van de wet vallen, onder de sector digitale infrastructuur.

Vraag 9

Ziet u aanleiding om aanvullende eisen te stellen aan leveranciers van kritieke zorg-IT, bijvoorbeeld op het gebied van redundantie, interoperabiliteit of exit-strategieën, zodat zorginstellingen minder kwetsbaar zijn bij uitval of incidenten?

Zorgaanbieders zijn verantwoordelijk voor de afspraken die gemaakt worden met hun ICT-leveranciers. Uit deze verantwoordelijkheid volgt dat zij handelingsperspectieven moeten opstellen op basis van de individuele risicoafwegingen en passend bij de eigen context. In de NEN7510 is de verplichting opgenomen een risicobeoordeling uit te voeren en digitale afhankelijkheden in kaart te brengen. Daarnaast verplicht de Cyberbeveiligingswet (Cbw) organisaties, waaronder zorgaanbieders, om hun leveranciersketen in kaart te brengen en om aan de leveranciers in die keten informatiebeveiligingsnormen te stellen.

Vraag 10

In hoeverre wordt gewerkt aan het verminderen van single points of failure in de digitale infrastructuur van de zorg, en welke concrete stappen worden gezet om diversificatie en alternatieven te stimuleren?

Er wordt vanuit verschillende projecten en programma’s gewerkt aan het realiseren van een duurzaam en veilig gezondheidsinformatiestelsel. Bij de totstandkoming van dit stelsel is het uitgangspunt dat er sprake is van een federatief stelsel waarbij data aan de bron blijft. Voor vertrouwen in het gebruik van gezondheidsgegevens zijn enkele (centrale) vertrouwenscomponenten noodzakelijk. Om te waarborgen dat deze voorzieningen geen centrale point-of-failure worden, is bij de realisatie van de techniek rekening gehouden met de mogelijkheden om de data te kunnen repliceren zonder dat daarmee de betrouwbaarheid van data in het geding komt. Zo wordt het Landelijk Register Zorgaanbieders (LRZa) ingericht om adresseerbare punten per zorgaanbieder op te kunnen vragen zodat de decentrale punten direct met elkaar kunnen uitwisselen. Om te voorkomen dat dit een single-point-of-failure wordt, is er synchronisatie van gegevens mogelijk zodat de adresseerbare punten periodiek kunnen worden geharmoniseerd zonder dat dit de betrouwbaarheid van de gegevens in het geding brengt.
Zoals beschreven bij vraag 5 worden er bij de European Health Data Space- verordening regels opgelegd aan leveranciers om de EPD-markt beter te laten functioneren en concurrentie en innovatie te bevorderden. Daarmee wordt het voor nieuwe toetreders aantrekkelijker om toe te treden tot de Nederlandse markt. Ook wordt ingezet op een betere vraagbundeling en vraagarticulatie en het verbeteren van het inkoopproces.

Vraag 11

Welke andere lessen trekt u uit dit incident voor de bredere digitalisering van de zorg, met name op het gebied van digitale autonomie, en hoe worden deze lessen vertaald naar concreet beleid?

Digitale veiligheid is nooit voor honderd procent te garanderen en dit soort aanvallen zijn nooit helemaal te voorkomen. Wat we wel gezamenlijk kunnen doen, is de risico’s zoveel mogelijk beperken en ervoor zorgen dat eventueel misbruik snel wordt gesignaleerd en doeltreffend wordt aangepakt. Ik vind het belangrijk dat zorgaanbieders regie nemen over hun digitale autonomie. Bij digitale autonomie hoort een inzicht én keuzes jegens kwetsbaarheden in veiligheid, maar ook in eenzijdige afhankelijkheden van dominante marktpartijen. Dit vraagstuk is niet specifiek voor de zorg. Hier kan de zorg dus inspiratie putten uit stappen die in andere sectoren gezet worden. Zonder in contractuele verplichtingen te willen treden, zie ik het als mijn taak de zorgsector in deze bredere maatschappelijke beweging mee te krijgen.

Vraag 12

Kunt u de Kamer op korte termijn informeren over de uitkomsten van het onderzoek naar deze aanval, inclusief de implicaties voor het beleid rondom digitale weerbaarheid in de zorg?

In eerste instantie is ChipSoft zelf verantwoordelijk om te communiceren over de bevindingen van het forensisch onderzoek dat zij momenteel, in samenwerking met cybersecurity-experts, laten uitvoeren. Ik volg de zaak uiteraard nauwlettend. Mocht de rapportage van ChipSoft aanleiding zijn voor mij om vanuit mijn systeemverantwoordelijkheid aanvullende acties te ondernemen dan zal ik uw Kamer hierover informeren.