Vraag 1

Kunt u toelichten waarom de voor DigiD benodigde digitale infrastructuur en diensten niet rijksbreed zijn georganiseerd, maar via afzonderlijke aanbestedingen en contracten worden ingekocht? Welke afwegingen liggen hieraan ten grondslag?

De genoemde voorzieningen zijn rijksbreed georganiseerd. Logius is rijksbreed verantwoordelijk voor het beheer en de doorontwikkeling van voorzieningen als DigiD. De verschillende leveranciers die hierbij zijn betrokken zijn geselecteerd via verschillende Europese aanbestedingen. Logius maakt hierbij gebruik van geldende regels rondom aanbestedingen en van rijksbrede kaders ten aanzien van digitalisering, zoals bijvoorbeeld het Rijkscloudbeleid.
Bij het vormgeven van deze aanbestedingen stond de ondersteuning van de continuïteit van de dienstverlening, digitale weerbaarheid en efficiënt gebruik van IT-diensten centraal.
De voorkeur is om op langere termijn gebruik te maken van de soevereine overheidscloud voor de levering van het platform, infrastructuur en datacenters. Hiervoor is het van essentieel belang dat de overheidscloud klaar is om de continuïteit en veiligheid van Logius dienstverlening te waarborgen.

Vraag 2

Wanneer gaat het kabinet kritieke digitale overheidsvoorzieningen, zoals DigiD, MijnOverheid, Digipoort en vergelijkbare voorzieningen, wél rijksbreed organiseren of ten minste rijksbreed normeren?

De genoemde voorzieningen zijn rijksbreed georganiseerd. Logius voert het beheer uit van deze overheidsvoorzieningen ten behoeve van andere overheidsdienstverleners. De normering voor risicomanagement en cybersecurity volgt uit de Cyberbeveiligingswet (Cbw).

Vraag 3

Hoe en wanneer geeft het kabinet uitvoering aan de aangenomen motie-Van den Berg c.s. over een rijksbreed dataclassificatie- en datalocatiebeleid (Kamerstuk 26 643, nr. 1482)?

De motie verzoekt het opstellen en uitrollen van een rijksbreed dataclassificatie- en datalocatiebeleid. Een rijksbreed dataclassificatiebeleid is reeds vastgesteld in het VIR-BI 2025. Daarbij geldt dat voor de zwaarste categorieën (Staatsgeheim, of Te Beschermen Belangen 1–3) het gebruik van publieke cloud niet toegestaan is. Wanneer voor de opslag en verwerking van dergelijk gerubriceerde data een externe leverancier wordt overwogen, moet deze leverancier voldoen aan de eisen van de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten (ABRO). De ABRO stelt onder andere eisen aan sleutelbeheer voor encryptie. Controle of de leverancier hieraan voldoet, bij zowel aanvang als tijdens de looptijd van de overeenkomst wordt gecontroleerd door het Nationaal Bureau Industrie Veiligheid (NBIV). De ABRO is in december 2025 goedgekeurd, organisaties krijgen twee jaar de tijd om de ABRO in te voeren, daarom verschilt de ingangsdatum per organisatie. Andere overheidsonderdelen en leveranciers die onder de Wet weerbaarheid kritieke entiteiten vallen, kunnen in de toekomst verplicht worden de ABRO te gebruiken.
Daarnaast stelt het huidige rijksbreed cloudbeleid dat de data bij gebruik van publieke clouddiensten moet worden verwerkt binnen de landen van de Europese Economische Ruimte (EER), in landen waarvoor de Europese Commissie een adequaatheidsbesluit heeft genomen, of in landen die anderszins voldoen aan de eisen van art. 46, AVG. De uit te voeren risicoanalyse, onderdeel van het beleid, geeft de organisatie ook inzichten in de vraag of het land van de cloudprovider via extraterritoriale wetgeving toegang kan krijgen tot de data. Daarnaast moeten er plannen ter schadebeperking worden overwogen. Dit is een vorm van het door u voorgestelde te implementeren localisatiebeleid.
Later dit jaar wordt het herziene rijksbrede cloudbeleid met uw Kamer gedeeld. De werking van het cloudbeleid wordt verbreed van de rijksdienst naar de Rijksoverheid. Ook is er in dit beleid meer aandacht voor geopolitieke risico’s in situaties waarin een leverancier (mede) onder een niet-Europese jurisdictie valt. Voor bepaalde toepassingen wordt het gebruik van dergelijke leveranciers of van de publieke cloud niet langer toegestaan. Op deze manier zijn wij voornemens om de motie uit te voeren.

Vraag 4

Welke concrete stappen zijn sinds aanneming van deze motie gezet, welke bewindspersoon is eerstverantwoordelijk en wanneer ontvangt de Kamer een voortgangsrapportage?

Zoals toegelicht in het antwoord op vraag 3 ontvangt de Kamer dit jaar het herziene rijksbrede cloudbeleid 2026. Daarnaast stelt de Rijksoverheid voor gevoelige overheidsdata en processen beveiligingseisen verplicht op basis van de BIO2 via de Cyberbeveiligingswet (Cbw). Verder wordt het belang van «veilig inkopen» en de risico’s van mogelijke buitenlandse inmenging in toenemende mate erkend. De ABRO stelt eisen aan de veiligheid bij de leverancier. Waar uit de risicoanalyses blijkt dat het risico van statelijke actoren reëel is, bieden de BIO2, de Aanbestedingswet op defensie- en veiligheidsgebied (ADV) en ABRO (de laatste twee in het kader van inkoop), middelen om de risico’s goed te beheren. Op basis van deze beleidskaders en wettelijke verplichtingen worden overheidsorganisaties geholpen bij het maximaal beschermen van data en beveiligingsmaatregelen. Aan de hand van deze kaders, zoals het uitvoeren van een risicoanalyse, kunnen organisaties zelf vaststellen hoe en waar zij data veilig kunnen opslaan en bewerken.
Daarnaast wordt op dit moment, in het kader van de Nederlandse Digitaliseringsstrategie, gewerkt aan de verkenning naar de realisatie van een soevereine overheidscloud. Dit zal hand in hand gaan met de verdere ontwikkeling van het daarmee samenhangende beleid.
De Rijksoverheid versterkt continu haar integrale weerbaarheid. Binnen dit verband, zoals toegelicht in deze brief, zijn de afgelopen jaren verschillende beveiligingskaders, -normen en wetten aangepast zoals VIR-BI2025, BIO2, de ABRO. Ook bereiden we ons voor op aankomende wetgeving zoals de Wet weerbaarheid kritieke entiteiten (Wwke) en de Cbw. De effectieve toepassing van deze wetten verhoogt de basisbeveiliging, zoals ook het beheer en opslag van data van overheidsorganisaties. Gezien het feit dat een deel van deze regelgeving pas recent is ingegaan of op korte termijn ingaat, en gelet op de nadere verwachte EU wet- en regelgeving op dit gebied, kies ik er vooralsnog voor nu geen aanvullend beleid te maken, maar eerst te bezien of de nieuwe wet- en regelgeving ook de beoogde verbetering van weerbaarheid bereikt.

Vraag 5

Welke voorzieningen kwalificeert het kabinet, naast DigiD, als kritieke digitale overheidsinfrastructuur?

Op dit moment ligt dat besloten in de «Aanpak Vitaal». Deze wordt later dit jaar vervangen door de Wet weerbaarheid Kritieke Entiteiten (Wwke). De betrokken vakministers bepalen welke overheidsvoorzieningen onder deze wet zullen vallen.

Vraag 6

Bestaat er inmiddels een rijksbreed overzicht van kritieke digitale overheidsvoorzieningen en de daarbij betrokken niet-Nederlandse of niet-Europese leveranciers? Zo nee, waarom niet?

Er bestaat geen rijksbreed overzicht van kritieke digitale overheidsvoorzieningen.
Het Besluit beveiliging netwerk- en informatiesystemen (Bbni) stelt eisen aan aanbieders ten aanzien van de beveiliging van ICT-systemen. De later dit jaar van kracht wordende Cyberbeveiligingswet stelt eisen aan risico- en ketenmanagement. Daarmee zullen overheidsorganisaties die kritieke digitale overheidsvoorzieningen beheren, inzage moeten hebben in welke niet-Nederlandse of niet-Europese leveranciers in de keten een rol spelen. De mogelijke risico’s daarvan moeten worden beoordeeld en worden gemitigeerd of geaccepteerd.
Er bestaat geen centraal register van dergelijke leveranciers per kritieke overheidsvoorziening. Als reactie op het onderzoek «Van Kwetsbaar naar weerbaar», dat is uitgevoerd in opdracht van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, wordt door de Taskforce Continuïteit ICT Dienstverlening een pilot uitgevoerd voor het monitoren van belangrijke leveranciers voor de overheid.

Vraag 7

Wanneer komt er een dergelijk overzicht, inclusief inzicht in cloud, hosting, beheer, datatoegang, encryptiesleutels, operationele zeggenschap, onderaannemers, ketenafhankelijkheden en exittermijnen?

Een dergelijk overzicht is er niet. Het is in het kader van veiligheid ook niet wenselijk dat er een dergelijk overzicht komt. Dergelijke data op één plaats vastleggen zou namelijk een operationeel veiligheidsrisico vormen.

Vraag 8

Wat is het doel van het kabinet ten aanzien van de toekomstige inrichting van DigiD? Is het streven gericht op andere technologie, een andere leverancier, Europese of Nederlandse zeggenschap, publiek beheer of een combinatie daarvan?

Het streven is met name gericht op het vormgeven van het nieuwe aanbestedingstraject op basis van de aanbestedingswet Defensie en Veiligheid (ADV), zoals vermeld in de Kamerbrief van 4 juni jl.1 Deze aanbesteding ziet op het opnieuw aanbesteden van het beheer van het huidige platform. De ADV biedt meer mogelijkheden dan een reguliere Europese aanbesteding om risico’s voor de nationale veiligheid te beperken. Zodra een nieuwe leverancier is geworven, zal er een overdracht moeten plaatsvinden. Omdat het maatwerk betreft, is kennis van en ervaring met het platform noodzakelijk om de Logius-voorzieningen goed te laten draaien. Hiervoor wordt een periode van 6–12 maanden gehanteerd.
De voorkeur is om op langere termijn gebruik te maken van de soevereine overheidscloud voor de levering van het platform, infrastructuur en datacenters.

Vraag 9

Welke rol speelt digitale soevereiniteit precies bij de toekomstige inrichting van DigiD? Welke concrete risico’s worden hiermee beoogd te verminderen?

Zoals hiervoor aangegeven biedt een ADV-aanbesteding meer mogelijkheden dan een reguliere Europese Aanbesteding om risico’s voor de nationale veiligheid te beperken. Op dit moment treft Logius de voorbereidingen voor het uitvoeren van de aanbesteding.

Vraag 10

Hoe verhoudt het Nederlandse beleid zich tot landen die eveneens streven naar digitale autonomie, maar daarbij gebruikmaken van technologie van niet-Europese aanbieders?

Er is geen overzicht van keuzes die andere Europese landen maken voor het inrichten van hun digitale infrastructuur. In de «Verkenning naar de soevereine overheidscloud» in het kader van de NDS wordt een eerste set keuzes voor de vormgeving van een soevereine overheidscloud gepubliceerd. Deze wordt naar verwachting vóór het zomerreces nog aan uw Kamer verstuurd.
De Europese Commissie heeft recent het voorstel voor de Cloud and AI Development Act (CADA) gepubliceerd. Deze verwoordt de ambitie van de Commissie om te komen tot sterkere en uniforme eisen aan de soevereiniteit van door overheden gebruikte cloudoplossingen. Het Nederlandse beleid zal in de toekomst hier verder op afgestemd worden. De verwachting is dat overheden in lidstaten als gevolg van de CADA op een uniforme manier risicobeoordelingen maken voor het gebruik van public clouddiensten en gebruik zullen maken van passende, erkende soevereine clouddiensten. Een BNC-fiche over het wetsvoorstel voor de CADA wordt op korte termijn met de Tweede Kamer gedeeld.

Vraag 11

In de kabinetsreactie van 23 mei 2025 op de motie-Koekkoek (Kamerstuk 26 643, nr. 1338) werd gesteld dat er kwalitatief hoogwaardige Europese clouddiensten beschikbaar zijn. Op welke concrete marktverkenning, technische toets of aanbestedingservaring was die conclusie gebaseerd? Zag die conclusie bovendien op generieke clouddiensten, of ook op kritieke digitale identiteitsinfrastructuur zoals DigiD, MijnOverheid en Digipoort?

In de genoemde Kamerbrief2 wordt gesteld dat deze conclusie gebaseerd is op een quickscan onderzoek naar de verschillen in technische, juridische en organisatorische aspecten van het dienstenaanbod van Nederlandse en Europese aanbieders van clouddiensten ten opzichte van de drie grootste aanbieders van buiten de EU. Dit onderzoek is in opdracht van het Ministerie van Economische Zaken en Klimaat uitgevoerd door KPMG.3 Dit onderzoek zag op de gehele markt voor clouddiensten en had geen specifieke focus op kritieke digitale identiteitsinfrastructuur.

Vraag 12

Welke concrete stappen zijn tussen 23 mei 2025 en 2 juni 2026 gezet om Nederlandse of Europese alternatieven daadwerkelijk geschikt te maken voor het beheer van DigiD of vergelijkbare kritieke voorzieningen?

De ADV-aanbesteding biedt meer mogelijkheden dan een reguliere Europese aanbesteding om risico’s voor nationale veiligheid te beperken. In de aanbestedingsfase worden de (beveiligings)technische en operationele eisen gesteld waaraan een leverancier moet voldoen om in aanmerking te komen. Deze eisen zijn specifiek toegesneden op het beheer van kritieke digitale infrastructuur op nationale schaal. Op dit moment treft Logius de voorbereidingen voor het uitvoeren van de aanbesteding onder de ADV.

Vraag 13

In eerdere beantwoording heeft u gesteld dat sprake is van gelijkwaardige technologieën van Europese en Nederlandse aanbieders. Wat verstaat het kabinet precies onder een «gelijkwaardig alternatief» voor de huidige DigiD-dienstverlening?

Onder een gelijkwaardig alternatief verstaat het kabinet andere Nederlandse en Europese IT-dienstverleners die in staat zijn om diensten te leveren die functioneel, kwalitatief en beveiligingstechnisch vergelijkbaar zijn met de dienstverlening die Solvinity momenteel aan Logius levert, namelijk de beheerwerkzaamheden van het PICARD-platform. Het gaat daarbij om aanbieders die aantoonbaar kunnen voldoen aan de eisen voor continuïteit, beveiliging, compliance en schaalbaarheid van de DigiD-dienstverlening.

Vraag 14

Welke criteria worden gehanteerd om vast te stellen of een alternatief gelijkwaardig is? Wordt daarbij gekeken naar functionaliteit, schaalbaarheid, beveiliging, beschikbaarheid, betrouwbaarheid, certificeringen, prestaties, migratierisico’s, operationele ervaring, continuïteit en bewezen beheer van kritieke digitale infrastructuur op nationale schaal?

Criteria worden verwoord en van weging voorzien gedurende het proces om te gaan aanbesteden, bij het uitvragen van een behoefte naar de algehele markt en conform processen die voortvloeien uit diverse kaders (financieel, juridisch, technisch, etc.). Een opdrachtgever is hiervoor verantwoordelijk en zal daarbij ondersteund worden door een multidisciplinair team. Het wisselt dus per opdrachtgever en per opdracht welke criteria gehanteerd worden (dan wel hoe zwaar die wegen). De hele gedachte van een aanbestedingsproces is om de pluraliteit van de markt te benutten en een te grote afhankelijkheid te vermijden.

Vraag 15

Deelt u de opvatting dat DigiD vanwege zijn unieke en kritieke rol moeilijk één-op-één vergelijkbaar is met generieke cloud-, hosting- of authenticatiediensten? Zo nee, waarom niet? Zo ja, kunt u toelichten hoe deze unieke rol van DigiD zich verhoudt tot de conclusie van de ACM dat er voldoende concurrentie overblijft omdat er andere IT-dienstverleners zijn die soortgelijke diensten leveren?

Zoals in het antwoord op vraag 8 aangegeven betreft de technische inrichting van DigiD maatwerk. Omdat het maatwerk betreft, is kennis van en ervaring met het platform noodzakelijk om de Logius-voorzieningen goed te laten draaien. In de overdrachtsperiode van 6–12 maanden kan een nieuwe contractant deze ervaring opbouwen.

Vraag 16

Wat verstaat het kabinet in dit verband onder «soortgelijke diensten»? Gaat het daarbij om algemene IT-dienstverlening, of specifiek om bewezen beheer van kritieke digitale identiteitsinfrastructuur op nationale schaal?

In het geval van DigiD en andere Logius-voorzieningen verstaat het kabinet onder «soortgelijke» diensten het overnemen van de beheerwerkzaamheden van het PICARD-platform. In de aanbestedingsfase worden de (beveiligings)technische en operationele eisen gesteld waaraan een leverancier moet voldoen om in aanmerking te komen. Deze eisen zijn specifiek toegesneden op het beheer van kritieke digitale infrastructuur op nationale schaal.

Vraag 17

Welke minimale eisen gelden voor cloud, hosting, beheer, encryptiesleutels, toegangsbeheer, logging, monitoring, incidentrespons, onderaannemers en operationele zeggenschap bij DigiD?

DigiD voldoet aan strenge eisen en regelgeving rondom veiligheid en privacy. Daarvoor worden verschillende vormen van toegangsbeveiliging en versleuteling toegepast.
Alle informatie over de werking van DigiD is terug te vinden op de website van Logius. Op de website is alle documentatie terug te vinden ten aanzien van het aansluiten op DigiD door afnemers, de functionele beschrijvingen van DigiD (inclusief verwerking persoonsgegevens), en de technische documentatie over de werking van DigiD.
U kunt de informatie terugvinden via de volgende link: https://www.logius.nl/onze-dienstverlening/toegang/digid/documentatie

Vraag 18

Hoe wordt geborgd dat encryptiesleutels, beheerrechten en operationele toegang tot DigiD niet onder zeggenschap vallen van niet-Europese moederbedrijven of buitenlandse wettelijke bevoegdheden?

Op 21 mei jl. bent u middels een vertrouwelijke technische briefing geïnformeerd over de situatie bij Logius. Daarnaast biedt een aanbesteding via de ADV mogelijkheden om risico’s voor de nationale veiligheid te beperken.

Vraag 19

Heeft iedere kritieke digitale overheidsvoorziening een actueel exitplan? Zo ja, hoe vaak worden deze exitplannen getest?

Het, nog vast te stellen, herziene rijksbrede cloudbeleid scherpt de eis van een exitstrategie aan naar het hebben van een exitplan. Dat exitplan moet jaarlijks op actualiteit worden beoordeeld. Exitplannen zijn contractuele afspraken over de (geplande of plotselinge) afronding van een contract. Het is wel van belang dat hierin realistische afspraken worden opgenomen afhankelijk van de situatie en context van de specifieke voorziening.
De aanstaande Wet weerbaarheid kritieke entiteiten stelt eisen aan de weerbaarheid en continuïteit van de dienstverlening voor organisaties die daaronder vallen. Dit geldt eveneens als er geen gebruik van clouddiensten wordt gemaakt.

Vraag 20

Welke kritieke digitale voorzieningen hebben een verwachte migratietermijn van meer dan zes maanden, en welke continuïteitsrisico’s levert dat op?

Zie het antwoord op vraag 6. Daarnaast is – gezien de aanbestedingsverplichtingen waar overheidsorganisaties aan dienen te voldoen – zes maanden überhaupt een zeer korte termijn. Het herziene rijksbrede cloudbeleid geeft aan dat de Rijksoverheid organisaties beschikken over een exitplan waarin ook rekening wordt gehouden met het onverwacht niet-beschikbaar zijn van de gebruikte clouddienst. De organisatie moet een plan maken hoe de betrokken overheidsdienst binnen acceptabele termijn kan worden hersteld. De meeste migraties nemen meer tijd in beslag. Migratietermijnen kunnen vanuit technisch oogpunt jaren duren, afhankelijk van de type dienstverlening en kenmerken.

Vraag 21

Welke onderdelen van de TFEV- of BTI-analyse rond Solvinity/Kyndryl kunnen openbaar met de Kamer worden gedeeld, en welke onderdelen kunnen vertrouwelijk worden verstrekt?

Wat betreft de analyse van het Bureau Toetsing Investeringen (BTI) maakt het kabinet de onderliggende adviezen, risicoanalyses en vertrouwelijke overwegingen die ten grondslag liggen aan een advies niet openbaar. Deze stukken bevatten vertrouwelijke bedrijfsinformatie en informatie die raakt aan de bescherming van de nationale veiligheid. Openbaarmaking zou afbreuk kunnen doen aan de belangen die de wet juist beoogt te beschermen. Wat betreft de bespreking in de Taskforce Economische Veiligheid (TFEV) geldt dat ook deze vertrouwelijk is en informatie bevat die raakt aan de bescherming van de nationale veiligheid. Het kabinet hecht tegelijkertijd aan een goede informatievoorziening van de Kamer. Daarom is de Kamer in de gelegenheid gesteld om in de vertrouwelijke technische briefing van 10 juni jl. te worden geïnformeerd over de analyse en toetsing onder de Wet ongewenste zeggenschap Telecommunicatie die door BTI is verricht en met advies aan de Staatssecretaris Digitale Economie en Soevereiniteit is voorgelegd.

Vraag 22

Kunt u de vragen afzonderlijk en voor het commissiedebat inzake Bescherming persoonsgegevens en grote datalekken van 25 juni aanstaande beantwoorden?

Ja

Vraag 1

Bent u bekend met het bericht van de NOS dat hackersgroep ShinyHunters, die eerder verantwoordelijk was voor de hack bij Odido, nu ook gegevens van miljoenen studenten, docenten en onderwijsmedewerkers via onderwijsplatform Canvas heeft buitgemaakt?1

Ja, daar ben ik mee bekend.

Vraag 2

Hoe beoordeelt u de ernst van dit datalek, mede gelet op de gevoeligheid van de buitgemaakte persoonsgegevens en mogelijk ook privécommunicatie van studenten, docenten en onderwijsmedewerkers?

De hack en de tijdelijke ontkoppeling van het systeem Canvas zorgde voor een enorm vervelende situatie voor diegenen van wie mogelijk data is buitgemaakt en voor studenten en medewerkers die hiervan hinder hebben ondervonden in het onderwijs en hun werk. De MBO-raad, UNL en VH hebben mij laten weten dat het op dit moment niet volledig is vastgesteld welke gegevens de hackersgroep precies heeft buitgemaakt. Hierover is contact tussen de instellingen en het bedrijf Instructure als leverancier van Canvas. Dit betekent dat er op dit moment nog geen goede schatting kan worden gemaakt door de instellingen van hoeveel studenten, docenten en onderwijsmedewerkers naar schatting zijn getroffen. De AVG is van toepassing op inbreuken in verband met persoonsgegevens (kortweg: datalekken). Er is door instellingen een voorlopige melding gedaan bij de Autoriteit Persoonsgegevens.

Vraag 3

Hoeveel studenten, docenten en onderwijsmedewerkers van Nederlandse onderwijsinstellingen zijn naar schatting getroffen en welke typen persoonsgegevens zijn daarbij buitgemaakt?

De MBO-raad, UNL en VH hebben mij laten weten dat op dit moment alleen bekend is welke instellingen getroffen zijn. Zij geven aan dat Instructure, de leverancier van Canvas, nog niet heeft aangegeven welke gegevens precies zijn buitgemaakt. Vermoedelijk gaat het om gegevens zoals namen en e-mailadressen van studenten en medewerkers en berichtenverkeer. De instellingen staan in contact met Instructure om hier meer duidelijkheid over te krijgen. Dat doen zij afzonderlijk van elkaar in verband met de individuele contracten van instellingen met deze leverancier. Instructure heeft de instellingen toegezegd dit overzicht op korte termijn te zullen verschaffen. Op dit moment kan er daarom nog geen goede schatting worden gemaakt van het aantal personen dat is getroffen door de hack.

Vraag 4

Welke gevolgen kan dit datalek hebben voor studenten, docenten en onderwijsmedewerkers, bijvoorbeeld in de vorm van phishing, identiteitsfraude of andere vormen van digitale criminaliteit en hoe kan worden voorkomen dat zij hiervan slachtoffer worden?

Als er sprake is van een datalek is het belangrijk om nu en in de komende tijd extra waakzaam te zijn voor mogelijke phishingmails en andere verzoeken waarbij persoonsgegevens of inloggegevens worden gevraagd. De instellingen wijzen hun studenten en medewerkers hier ook op. Op dit moment is nog niet volledig vastgesteld welke gegevens precies zijn buitgemaakt. Zodra hierover meer duidelijk is, zullen betrokkenen volgens de geldende procedures door de instellingen hierover worden geïnformeerd. De instellingen hebben hun studenten en medewerkers ook opgeroepen om zich te melden als zij getroffen worden naar aanleiding van de hack en zullen waar nodig passende ondersteuning bieden.

Vraag 5

Heeft u contact met de onderwijskoepels over wat nodig is om de gevolgen van dit datalek te beperken? Zo nee, bent u bereid hierover alsnog contact met hen op te nemen?

Het Ministerie van OCW heeft nauw contact met de onderwijskoepels en SURF over de situatie en gevolgen van de hack. De instellingen houden zelf, als contracthouders met Instructure voor deze onderwijssoftware, contact met de leverancier. Daarin is het ministerie geen partij. Voorts nemen de instellingen hun verantwoordelijkheid in het informeren van hun studenten en medewerkers over de situatie en de gevolgen van de hack.

Vraag 6

Welke ondersteuning en informatie worden momenteel geboden aan getroffen studenten, docenten en onderwijsmedewerkers om misbruik van hun persoonsgegevens te voorkomen? Acht u deze ondersteuning voldoende en welke rol ziet u hierin voor uzelf?

Zie hiervoor het antwoord op vraag 4 en vraag 5.

Vraag 7

Is voor studenten, docenten en onderwijsmedewerkers voldoende duidelijk welke persoonsgegevens via onderwijsplatformen zoals Canvas worden verwerkt, met welke externe partijen deze gegevens worden gedeeld en hoe deze gegevens worden beschermd?

Het is de bevoegdheid van instellingen zelf om te bepalen of, en zo ja hoe, zij onderwijsplatformen zoals Canvas inzetten. Het is daarbij hun verantwoordelijkheid zich bewust te zijn van de gegevens die daarmee worden verwerkt. Daarbij zijn ze gehouden aan de hiervoor geldende wet- en regelgeving (AVG). Het verschilt per instelling welke keuzes zij daarbij hebben gemaakt en welke gegevens worden verwerkt, met welke externe partijen deze worden gedeeld en hoe deze gegevens worden beschermd. Conform de geldende wet- en regelgeving is de instelling vervolgens ook zelf verantwoordelijk om in een (privacy) statement aan de betrokkenen gebruikers aan te geven welke gegevens er worden verwerkt en hoe deze worden beschermd.

Vraag 8

Vindt u het wenselijk dat Nederlandse onderwijsinstellingen onderhandelen met hackersgroep ShinyHunters naar aanleiding van het ultimatum rondom de hack op Canvas, waarbij wordt gedreigd buitgemaakte gegevens van studenten, docenten en medewerkers openbaar te maken, of bent u van mening dat overheids- en onderwijsinstellingen nooit zouden moeten ingaan op dergelijke eisen van cybercriminelen?

Instellingen geven aan niet benaderd te zijn door de hackgroep om losgeld te betalen. Instructure heeft gemeld een akkoord te hebben gesloten met de hackers en dat de buitgemaakte gegevens zouden zijn vernietigd. Instructure zegt hiervan bewijs te hebben ontvangen. Of er losgeld is betaald door Instructure is mij en de instellingen niet bekend. Het is aan ieder bedrijf om een eigen afweging te maken. Het dringende advies vanuit de overheid is om geen losgeld te betalen. Het betalen van losgeld biedt geen garantie dat criminelen systemen weer toegankelijk maken of gestolen data niet doorverkopen aan andere criminelen. Het uitbetalen van losgeld houdt bovendien het verdienmodel van criminelen in stand en lokt daarmee mogelijk nieuwe aanvallen op organisaties uit.

Vraag 9

Welke lessen trekt u uit dit incident en op welke wijze wordt deze kwestie betrokken bij de ontwikkeling van een duidelijk handelingskader voor slachtoffers van datalekken?2

De instellingen hebben aangegeven dit incident zowel afzonderlijk als in de sector te evalueren en de lessen die hieruit getrokken worden mee te nemen in de verdere ontwikkeling van hun beleid. Ik blijf hierover met hen in contact.
Het kabinet geeft in overleg met betrokken toezichthouders en andere experts uitvoering aan de motie-Rajkowksi c.a. (36 800 VII, nr.78), opdat een duidelijk handelingskader voor slachtoffers van grote datalekken beschikbaar is. Ook de relevante lessen uit dit incident worden daarbij betrokken. Het streven is om uw Kamer spoedig nader te informeren over de uitvoering van deze motie.

Vraag 1

Is de Staatssecretaris bekend met deze uitspraken van mevrouw Virkkunen1, Vice-President van de Europese Commissie, waarin ze stelt dat het niet zo kan zijn dat straks in de Europese Unie VPN’s gebruikt kunnen gaan worden voor het omzeilen van leeftijdsverificatie op het internet?

Ja.
Overigens noemt mevrouw Virkunnen in deze persconferentie VPN’s niet, noch stelt zij dat VPN’s verboden zouden moeten worden. Zij stelt alleen dat er gekeken wordt hoe omzeiling van online leeftijdsverificatie mechanismen zo veel mogelijk kan worden voorkomen, en benadrukt dat ook een niet waterdicht systeem beter is dan geen systeem.

Vraag 2

Wat is het standpunt hieromtrent van de Nederlandse regering? Is het beperken of zelfs verbieden van VPN’s in de Europese Unie voor de Nederlandse regering bespreekbaar?

Het kabinet is geen voorstander van het beperken dan wel verbieden van VPN’s, om daarmee eventuele omzeiling van een leeftijdsgrens te voorkomen. VPN’s zijn een belangrijke technologie voor het beveiligen van communicatie via het internet. Er zijn tal van legitieme toepassingen voor die communicatie via het internet veiliger maken, zoals beveiliging van bedrijfsnetwerken of bij het gebruik van openbare WiFi-netwerken.

Vraag 1

Kunt u meer toelichten over de raamovereenkomst die is gesloten met het Europese cloudplatform STACKIT?1

Strategisch Leveranciersmanagement (SLM) Rijk heeft de opdracht om, binnen de kaders van wet- en regelgeving en vigerend beleid, het afnemen van (cloud)diensten te faciliteren voor rijksorganisaties. Hiervoor sluit SLM Rijk de zogenaamde «Framework Agreements» (hierna: raamovereenkomst) af met cloud leveranciers waarin waarborgen zijn opgenomen voor het op verantwoorde wijze gebruiken van (cloud-)diensten.
De keuze voor aankoop en gebruik van een (cloud)dienst onder een door SLM Rijk gecontracteerde raamovereenkomst ligt bij de rijksorganisatie zelf. De raamovereenkomst bevat geen verplichtingen voor daadwerkelijke afname van diensten. De rijksorganisatie dient af te wegen of de aan te schaffen dienst past op haar specifieke vraag en situatie, waaronder de (gevoeligheid van) data die de organisatie wenst te laten verwerken.2
Rijksorganisaties die clouddiensten willen inkopen, kunnen gebruik maken van de door het Rijk afgesloten raamovereenkomst met STACKIT. Bij hun inkooporganisatie kunnen zij informeren hoe de verwerving van clouddiensten georganiseerd dient te worden.

Vraag 2

Kunt u de raamovereenkomst aan de Kamer doen toekomen?

Nee. De raamovereenkomst met STACKIT bevat grotendeels bedrijfsvertrouwelijke informatie. Het delen van deze informatie zou nadelige consequenties voor de Staat hebben, omdat leveranciers (met de wetenschap dat bedrijfsvertrouwelijke contracten gedeeld zouden kunnen worden) niet meer genegen zouden zijn (maat-)werkafspraken met de Staat te maken. Er is ook een geldige Non-Disclosure Agreement (NDA) van kracht met de leverancier.
In vraag 4 en 5 wordt antwoord gegeven op een aantal specifieke inhoudelijke vragen.

Vraag 3

Hoe ziet u de rol van de Rijksoverheid als lancerende klant van autonome Europese IT-diensten? Hoe draagt de raamovereenkomst met STACKIT bij aan dit doel?

Het kabinet kijkt naar de mogelijkheden om als launching customer op te treden bij de inkoop van clouddienstverlening en bij aanbesteding van dergelijke diensten de mogelijkheden van een Europees voorkeursprincipe te benutten met behoud van de voordelen van een open markt.
Zoals gesteld in beantwoording op vraag 1 kunnen rijksorganisaties met het sluiten van de raamovereenkomst onder veilige en gunstige voorwaarden clouddienstverlening afnemen bij leveranciers. Dit kan een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze leveranciers. Met de inkoop van dienstverlening bij Europese leveranciers, zoals STACKIT, kan de overheid als lancerende klant bijdragen aan de concurrentiepositie van Europese cloudleveranciers. Ook kan dit bijdragen aan een meer divers leveranciersbestand, waarmee afhankelijkheden van niet-Europese aanbieders bij rijksorganisaties worden afgebouwd. Dit draagt bij aan de digitale autonomie van Nederland.
Daarbij dient wel te worden opgemerkt dat het sluiten van de raamovereenkomst niet inhoudt dat de dienstverlening van STACKIT al daadwerkelijk door onderdelen van de Rijksoverheid is ingekocht.

Vraag 4

Met welk doel is de raamovereenkomst gesloten? Zijn er ook afspraken gemaakt over de afname van deze diensten?

Het doel van de raamovereenkomst is om door SLM Rijk onderzochte Europese cloud-alternatieven op verantwoorde wijze beschikbaar te stellen voor rijksorganisaties.
SLM Rijk heeft geen afspraken gemaakt over de afname van diensten; die beslissing ligt bij de rijksorganisaties zelf. Zie ook de beantwoording op vraag 1.

Vraag 5

Welke «veilige en gunstige voorwaarden» heeft u afgesproken met STACKIT? Op welke manier dragen deze voorwaarden bij aan de digitale autonomie van Nederland?

Doeltreffende maatregelen m.b.t. de bescherming van persoonsgegevens zijn getroffen naar aanleiding van de door SLM uitgevoerde Data Protection Impact Assessment (DPIA). Conform de uitgevoerde DPIA is in de raamovereenkomst vastgelegd dat alle data exclusief worden verwerkt binnen de EER, inclusief persoonsgegevens. Ook zijn er afspraken gemaakt over (voortijdige) contractbeëindiging bij wijzigingen in eigenaarschap, bijvoorbeeld als STACKIT wordt overgenomen door een buiten de EER gelegen eigenaar.
Zoals gesteld in beantwoording op vraag 1 kunnen rijksorganisaties met het sluiten van de raamovereenkomst onder veilige en gunstige voorwaarden clouddienstverlening afnemen bij leveranciers. Dit kan een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze leveranciers. Met de inkoop van dienstverlening bij Europese leveranciers, zoals STACKIT, kan de overheid als lancerende klant bijdragen aan de concurrentiepositie van Europese cloudleveranciers. Ook kan dit bijdragen aan een meer divers leveranciersbestand, waarmee afhankelijkheden van niet-Europese aanbieders bij rijksorganisaties worden afgebouwd. Dit draagt bij aan de digitale autonomie van Nederland.

Vraag 6

Hoe draagt het sluiten van een raamovereenkomst met één leverancier bij aan een eerlijk en open speelveld voor Nederlandse en Europese techbedrijven?

Zoals onder vraag 5 toegelicht kan het sluiten van de raamovereenkomst een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze Europese leverancier. Daarnaast sluit het afsluiten van een raamovereenkomst met één partij de mogelijkheid tot het sluiten van gelijksoortige raamovereenkomsten met andere partijen geenszins uit.
Tegelijkertijd is meedingen in individuele aanbestedingstrajecten voor clouddienstverlening van de Rijksoverheid niet exclusief voorbehouden aan partijen die een raamovereenkomst met SLM Rijk hebben afgesloten. Dit betekent dat aanbieders zonder raamovereenkomst met SLM Rijk evengoed kunnen meedingen in aanbestedingen voor clouddienstverlening.
Het is tevens relevant te benadrukken dat SLM Rijk de intentie heeft met meer Europese cloudaanbieders een raamovereenkomst te sluiten. Zo is er reeds een onderzoek bezig naar OVHcloud en ESET, een Europese leverancier voor securitydiensten. Ook is SLM Rijk in gesprek met Nederlandse cloudbedrijven om de mogelijkheden voor het sluiten van een raamovereenkomst te verkennen.

Vraag 7

Hoe borgt u in het sluiten van een raamovereenkomst de diversificatie en keuzevrijheid tussen leveranciers, zoals wel beoogd wordt door een privaat initiatief zoals de Open Cloud Alliantie?2

Er geldt geen afnameverplichting voor het gebruik van STACKIT door rijksorganisaties.
Dit betekent dat net als STACKIT iedere andere cloudaanbieder inclusief leden van bijvoorbeeld de Open Cloud Alliantie, kan meedingen in aanbestedingen.

Vraag 8

Welke diensten levert STACKIT? Kunt u concreet maken voor welke belangrijke IT-processen u van plan bent de clouddiensten van STACKIT af te nemen?

STACKIT levert clouddiensten, bijvoorbeeld rekenkracht en opslag. Onder de reikwijdte van de raamovereenkomst zijn deze diensten meegenomen.
Zoals toegelicht in de beantwoording van vragen 1 en 4 zijn afspraken over de afname van diensten geen onderdeel van de raamovereenkomst.

Vraag 9

Erkent u dat opslag binnen de Europese Economische Ruimte (EER) geen afdoende bescherming is tegen inzageverzoeken van niet-Europese overheden, als de bedrijven die de opslag beheren onder niet-Europese wetgeving vallen?

Ja, dat erken ik. Omdat dit risico niet van toepassing is op de diensten in scope van de raamovereemkomst met STACKIT, verwijs ik voor een gedetailleerde juridische analyse naar andere door SLM gepubliceerde DPIA’s.4 Zo wordt hierop in de recent gepubliceerde tweede update DPIA op M365 Copilot gedetailleerd ingegaan, specifiek in paragraaf 8.3.4.
Op dit moment zijn er geen afhankelijkheden van niet-Europese bedrijven geconstateerd voor de diensten van STACKIT die zijn opgenomen in de scope van de raamovereenkomst. Zie ook de beantwoording op vraag 11.

Vraag 10

Is uitgesloten dat de clouddiensten van STACKIT op welke manier dan ook afhankelijk zijn van niet-Europese techbedrijven in het beheer, onderhoud, de beveiliging, of andere essentiële processen?

Dit is contractueel uitgesloten. Mocht er worden geconstateerd dat de feitelijke situatie in een later stadium zou afwijken van de contractuele waarborgen, dan kan het contract direct worden opgezegd.

Vraag 11

Indien dit niet uit te sluiten is, kunt u dan toelichten welke afhankelijkheden STACKIT heeft van niet-Europese bedrijven? Zijn deze afhankelijkheden weg te nemen?

Op dit moment zijn er geen afhankelijkheden van niet-Europese bedrijven geconstateerd voor de diensten van STACKIT die zijn opgenomen in de scope van de raamovereenkomst.

Vraag 12

Welke analyses heeft u gemaakt om te bevestigen dat STACKIT daadwerkelijk volledig Europees en autonoom is? Kunt u deze met de Kamer delen?

SLM Rijk heeft de DPIA op STACKIT door een extern bureau laten uitvoeren waarin de potentiële gegevensuitwisselingen met STACKIT zijn onderzocht. Conform de uitgevoerde DPIA is in de raamovereenkomst vastgelegd dat alle gegevens exclusief worden verwerkt binnen de EER, inclusief persoonsgegevens. Ook zijn er afspraken gemaakt over (voortijdige) contractbeëindiging bij wijzigingen in eigenaarschap, bijvoorbeeld als STACKIT wordt overgenomen door een buiten de EER gelegen eigenaar. Zie ook de beantwoording op vraag 5.

Vraag 13

Hoe gaat de Rijksoverheid toezien of STACKIT zich aan de afspraken houdt? Welke toezichthouder is hiertoe aan zet?

SLM Rijk zal dat doen door middel van uitoefening van het bedongen auditrecht, dit is onderdeel van regulier contractbeheer. De toezichthouder is in casu dus niet aan zet.

Vraag 14

Kunt u de vragen afzonderlijk van elkaar en zo snel mogelijk beantwoorden?

Ja.

Vraag 1

Is het duidelijk voor alle relevante rijksorganisaties wat de gevolgen zijn van het herziene cloudbeleid? (Kamerstuk 26 643, nr. 1541) Kunt u aangeven of er organisaties zijn die bij voorbaat aangeven niet aan het herziene beleid te kunnen of zullen voldoen?

Vraag 2

Hebben rijksorganisaties voldoende beeld op hun eigen cloudgebruik om de herziene regels effectief na te leven? Op welke delen van het cloudlandschap van de overheid ontbreekt er nog overzicht?

Vraag 3

Welke rol krijgt de veelbelovende Nederlandse Digitale Dienst om zeker te stellen dat alle rijksorganisaties aan het herziene cloudbeleid kunnen en zullen voldoen? Bent u bereid de organisatie hiertoe de nodige capaciteit en instrumenten te geven?

Vraag 4

Kunt u een schematisch overzicht geven van maatregelen die ook overwogen zijn voor het herziene cloudbeleid, met een onderbouwing waarom deze uiteindelijk niet zijn opgenomen?

Vraag 5

Welke concrete doelen heeft het kabinet om digitaal onafhankelijk te worden? Wordt het doel vastgesteld op 30% digitaal onafhankelijk per 2029, zoals gevraagd in de motie-Thijssen/Bruyning (Kamerstuk 36 574, nr. 5) en de initiatiefnota Wolken aan de Horizon (Kamerstuk 36 574, nr. 2)?

Vraag 6

Hoeveel digitaal onafhankelijker wordt de Rijksoverheid door het herziene cloudbeleid in de komende jaren? Wordt het doel van 30% in 2029 gehaald?

Vraag 7

Kunt u heel concreet uitleggen welke rol u heeft, als coördinerend Staatssecretaris (EZK) en als Staatssecretaris verantwoordelijk voor uitvoeringsdiensten (BZK), om dit beleid te handhaven?

Vraag 8

Welke instrumenten heeft u om het herziene cloudbeleid daadwerkelijk uit te voeren? Met hoeveel zekerheid kunt u zeggen dat dit beleid zal leiden tot een digitaal onafhankelijke Rijksoverheid?

Vraag 9

Heeft u overwogen om het coördinatiebesluit, waarin de bevoegdheden van bewindspersonen zijn vastgelegd, uit te breiden zodat u dwingender kan optreden om het herziene cloudbeleid uit te voeren? Waarom heeft u dit niet gedaan, cf. de motie-Six Dijkstra (Kamerstuk 26 643, nr. 1294)?

Vraag 10

Waarom is er, ondanks de hoge ambities in het coalitieakkoord, geen budget beschikbaar gesteld voor de herziening van het cloudbeleid?

Vraag 11

Wat bedoelt u met de «scherpe keuzes» en «herprioritering» die nodig zijn omdat het kabinet geen middelen reserveert voor haar eigen digitale ambities?

Vraag 12

Met welke investeringen zou het herziene cloudbeleid sneller en effectiever toegepast kunnen worden? Hoe kan voorkomen worden dat door «scherpe keuzes» en «herprioritering» geen vaart wordt gemaakt met de nodige maatregelen om digitaal onafhankelijk te worden?

Vraag 13

Kunt u de overgangstermijn van vier jaar onderbouwen? In welke gevallen wordt hier van afgeweken? Hoe voorkomt u dat migraties van bestaand cloudgebruik allemaal vertraagd worden wegens «hoge kosten of risico’s»?

Vraag 14

Wat bedoelt u ermee dat het «afgeraden» wordt om e-mail- en documentbeheer in de publieke cloud te zetten? Betekent dit dat binnen vier jaar alle mailservers en documentbeheer daadwerkelijk uit de publieke cloud worden gehaald?

Vraag 15

Welke aanpassingen in het IT-inkoopbeleid zijn nodig om het herziene cloudbeleid verder te ondersteunen? Heeft u plannen om het inkoopbeleid aan te scherpen, en zo ja, welke?1

Vraag 16

Waarom wordt een generiek cloud-tenzij beleid enkel «afgeraden»? Waarom formuleert u dit niet dwingender?

Vraag 17

Hoe wordt er op toegezien dat rijksorganisaties binnen 12 maanden een exitplan opstellen voor bestaand cloudgebruik?2 Bent u van plan dit per organisatie te monitoren en met de Kamer te delen? Welke gevolgen zijn er als een organisatie niet op tijd een exitplan aanlevert?

Vraag 18

Worden organisaties verplicht om opvolging te geven aan de «aanwijzingen» van de Chief Information Security Officer (CISO) Rijk, als blijkt dat aangeleverde cloudplannen, de risicoanalyse en/of het exitplan niet in lijn zijn met het beleid?

Vraag 19

Waarom is er niet voor gekozen om de CISO Rijk of de Staatssecretaris belast met Digitale Zaken de bevoegdheid te geven om cloudplannen, de risicoanalyse en/of het exitplan als geheel af te wijzen, als deze niet voldoen aan het herziene cloudbeleid?

Vraag 20

Hoe verwacht u dat rijksorganisaties de «geopolitieke risico’s» van cloudgebruik in hun risicoanalyse in kaart brengen? Welke criteria worden hiervoor gebruikt?

Vraag 21

Hoe bent u van plan aan de Kamer te rapporteren over de opgestelde risicoanalyses en exitplannen van rijksorganisaties?

Vraag 22

Wat bedoelt u met het gegeven dat overheidsdocumenten en mailberichten «bij voorkeur» niet in de publieke cloud worden ondergebracht? Waarom bent u hier niet dwingender in, gezien de gevoeligheid van deze gegevens en de erkende risico’s van de publieke cloud?

Vraag 23

Kunt u concreet maken wanneer aan de drie uitzonderingsgronden is voldaan om tóch mailverkeer en documenten in de publieke cloud te mogen houden? Na hoeveel tijd wordt bezien of deze uitzonderingsgronden nog steeds gelden?

Vraag 24

Wat bedoelt u met het gegeven dat het sleutelbeheer van versleutelde vertrouwelijke gegevens «bij voorkeur» niet bij de cloudleverancier wordt neergelegd? Waarom belegt u het niet per definitie in eigen beheer?

Vraag 25

Onder welke voorwaarden is het volgens u acceptabel om bijzondere persoonsgegevens alsnog in de publieke cloud te verwerken? Hoe wordt vastgesteld dat de mitigerende maatregelen afdoende zijn?

Vraag 26

Wat bedoelt u ermee dat het rijksbrede cloudbeleid «waar mogelijk» toegepast zal worden bij uitgezonderde organisaties? Worden de uitgezonderde organisaties wel geacht om hun eigen cloudbeleid aan te scherpen?

Vraag 27

Kunt u «kleinschalige doelen» noemen waarvoor het rijksbrede cloudbeleid een uitzondering zou maken? Hoe en door wie wordt bepaald of iets wel of niet uitgezonderd wordt?

Vraag 28

Kunt u deze vragen afzonderlijk en vooraf aan het commissiedebat «Digitaliserende overheid en toezicht» van 30 september 2026 beantwoorden?

Vraag 1

Bent u bekend met het bericht «Europees Parlement stemt in controversiële spoedprocedure alsnog voor het checken van berichten op beelden van kindermisbruik»?1

Vraag 2

Wat vindt u van het verlengen van «chatcontrol 1.0»2 en de manier waarop dit via een spoedprocedure, mede onder druk van de Europese Commissie en grote techbedrijven, is geforceerd?

Vraag 3

Wat is de zienswijze van dit kabinet op deze vorm van chatcontrole? Volgt u nog steeds de beide aangenomen moties-Kathmann (Kamerstukken 32 317, nr. 891 & 32 317, nr. 981) die vragen om zich tegen chatcontrole te verzetten?

Vraag 4

Wat zijn de gevolgen van deze stemming voor de privacy van Nederlandse burgers, nu vrijwillige chatcontrol niet alleen opnieuw is ingevoerd, maar is uitgebreid ten opzichte van de vorige vrijstelling?

Vraag 5

Op welke manier mogen techbedrijven AI toepassen om berichtenverkeer tussen burgers te surveilleren? Kunt u duidelijk maken wat voor techniek hiervoor wordt toegepast door de relevante bedrijven?

Vraag 6

Hoe wordt voorkomen dat onschuldige burgers op basis van valse positieven verdacht worden gemaakt en worden gemeld bij de politie of Europol?

Vraag 7

Deelt u de zorgen van de indiener dat, zolang het scannen van online berichtenverkeer is toegestaan, er een reëel risico is dat deze techniek ook voor andere doeleinden zal worden gebruikt als gevolg van «mission creep»?

Vraag 8

Hoe staat het met de onderhandelingen voor de CSAM-verordening, waar een vorm van chatcontrole tot dusver altijd een onderdeel van is geweest? Wanneer verwacht u dat hierover een stemming zal plaatsvinden?

Vraag 9

Bent u bereid de Kamer een beslismoment voor te leggen als er een belangrijke (voor)stemming nadert met betrekking tot chatcontrole, zodat zij tijdig en goed geïnformeerd de kabinetsinzet kan sturen?

Vraag 10

Kunt u bevestigen dat Nederland zich ten alle tijden en onomwonden zal verzetten tegen voorstellen die het scannen van versleutelde berichten mogelijk maken, al dan niet via een omweg?

Vraag 11

Kunt u deze vragen afzonderlijk en zo spoedig mogelijk beantwoorden?

Vraag 1

Hoe luidt uw reactie op het bericht «Jodenhaat op sociale media groeit explosief»?1

Vraag 2

Hoe beoordeelt u de conclusie dat het aantal antisemitische uitingen op Nederlandse sociale media tussen 2021 en 2024 is verdubbeld en dat directe bedreigingen tegen Joden zijn vervijfvoudigd?

Vraag 3

Hoe beoordeelt u de constatering dat antisemitische uitingen steeds vaker gepaard gaan met gewelddadige retoriek, waaronder oproepen tot uitroeiing en moord op Joden?

Vraag 4

Hoe beoordeelt u de constatering dat antisemitische uitingen zich niet langer beperken tot vooral binnen rechts-radicale en complotgerichte online kringen, maar zich vanaf 2023 ook verspreiden naar radicaallinkse kringen?

Vraag 5

Hoe beoordeelt u de constatering dat buitenlandse extremistische influencers en netwerken een steeds grotere invloed hebben op Nederlandse gebruikers van sociale media? Welke mogelijkheden ziet u om deze beïnvloeding tegen te gaan?

Vraag 6

Welke concrete maatregelen neemt u momenteel om online antisemitisme op sociale media en andere online platforms tegen te gaan?

Vraag 7

Geeft het onderzoek aanwijzingen over in hoeverre zeer grote online platforms hun verplichtingen onder de Digital Services Act (DSA) om antisemitische uitingen tegen te gaan voldoende nakomen?

Vraag 8

Meent u dat het wettelijk kader van de DSA toereikend is in het bestrijden van antisemitisme op online platforms? Zo nee, wat is er volgens u meer nodig?

Vraag 9

Welke gesprekken voert u met online platforms over de bestrijding van antisemitische content gericht op Nederlandse gebruikers?

Vraag 10

In hoeverre vallen platforms als 4chan en Soyzellig onder de reikwijdte van de DSA? Welke verplichtingen gelden voor dergelijke platforms? Acht u het huidige toezicht toereikend als dergelijke platforms een belangrijke rol spelen bij de verspreiding van antisemitische uitingen?

Vraag 11

Acht u de huidige capaciteit en mogelijkheden van de toezichthouder, politie, het Openbaar Ministerie en opsporingsdiensten voldoende om online antisemitisme effectief te bestrijden? Zo nee, welke stappen gaat u ondernemen?

Vraag 12

Welke aanvullende maatregelen overweegt u naar aanleiding van de bevindingen uit dit onderzoek?

Vraag 1

Bent u bekend met het NRC-artikel «Frankrijk wil op eigen AI-benen staan en gaat stoppen met gebruik Amerikaans Palantir voor inlichtingendienst DGSI»?1

Vraag 2

In welke mate ziet u, net als uw Europese collega’s doen, risico’s voor Defensie en politie in het blijven werken met het Amerikaanse Palantir, en kunt u deze uitleggen?

Vraag 3

Bent u in contact met uw Franse collega en heeft u aangegeven dat u graag bijdraagt aan de ontwikkeling van een Europees alternatief? Zo nee, waarom niet?

Vraag 4

Overweegt u om ook binnen de Nederlandse overheid Palantir volledig te vervangen met een Europees alternatief?

Vraag 5

Wat zou, met in acht neming van juridische haalbaarheid, het snelste pad zijn naar een volledige breuk met Palantir binnen onze overheid?

Vraag 6

Bent u van mening dat nu kiezen voor Europese alternatieven betekent dat we dan niet meer de beste systemen kunnen gebruiken?

Vraag 7

Zo ja, kunt u reflecteren op de self fulfiling prophecy dat wij geen alternatieven kunnen opbouwen als we daar geen politieke keuzes voor maken?

Vraag 8

Bent u van mening dat we in Europa een eigen AI-industrie nodig hebben om niet afhankelijk te zijn van niet-Europese techbedrijven? Zo ja, welke stappen zet u nu om hiertoe te komen?

Vraag 9

Kunt u uitleggen waarom het kabinet ervoor heeft gekozen om niet aan te sluiten op de tender vanuit de Europese Unie voor een gigafabriek in Nederland?

Vraag 10

Kunt u uitleggen waarom er geen middelen gereserveerd zijn voor de digitale ambities in het coalitieakkoord, inclusief de Nederlandse Digitaliseringsstrategie? En welke rol kan defensie hierin spelen?

Vraag 11

Welk tijdspad ziet u als realistisch om de afhankelijkheid van Amerikaanse tech-industrie voldoende afgebouwd te hebben? En kunt u een beeld schetsen van wat u als voldoende acht in deze kwestie?

Vraag 12

Kunt u deze vragen afzonderlijk van elkaar beantwoorden?

Vraag 1

Bent u bekend met de berichtgeving dat Anthropic op 12 juni 2026, na een Amerikaans exportcontrolebesluit, de modellen Fable 5 en Mythos 5 wereldwijd heeft uitgeschakeld voor niet-Amerikaanse staatsburgers?

Vraag 2

Klopt het dat Nederlandse en Europese gebruikers hierdoor abrupt hun toegang tot een frontier-AI-model (grensmodel) verloren, uitsluitend op grond van een binnenlands Amerikaans besluit en zonder enige Europese inspraak of beroepsmogelijkheid?

Vraag 3

Was u vooraf op de hoogte van dit besluit of het risico daarop en op welke wijze zijn Nederland en de EU hierover geïnformeerd of geconsulteerd?

Vraag 4

Deelt u de analyse dat dit incident blootlegt hoe afhankelijk Nederland en Europa zijn van een handvol Amerikaanse aanbieders voor de meest geavanceerde AI, en dat die toegang aantoonbaar als geopolitiek drukmiddel kan worden in- en uitgeschakeld? Hoe verhoudt zich dat tot uw constatering in de beleidsbrief Economische Zaken en Klimaat van 24 april 2026 dat Nederland «niet chantabel» moet zijn door strategische afhankelijkheden af te bouwen?1

Vraag 5

Welk Europees of Nederlands alternatief kan op dit moment een frontier-model van vergelijkbaar niveau leveren wanneer Amerikaanse toegang wegvalt, en hoe beoordeelt u de situatie indien een dergelijk alternatief ontbreekt?

Vraag 6

Welke concrete risico’s brengt de blokkade van dit model met zich mee voor het Nederlandse bedrijfsleven, in het bijzonder wanneer toegang als drukmiddel wordt ingezet, en geldt dit risico naar uw oordeel ook voor andere frontier-modellen van Amerikaanse aanbieders zoals OpenAI (ChatGPT) en Google (Gemini)?

Vraag 7

Heeft de plotselinge uitschakeling van Mythos – een model dat eerder met een select aantal organisaties in vitale sectoren werd gedeeld om softwarekwetsbaarheden op te sporen voordat kwaadwillenden deze konden misbruiken – gevolgen gehad voor de cyberweerbaarheid van Nederlandse of Europese organisaties die dit model gebruikten?

Vraag 8

Welke risico’s ziet u in het gegeven dat een AI-model met dergelijke geavanceerde capaciteiten voor het opsporen van cyberkwetsbaarheden zowel defensief als offensief inzetbaar wordt geacht, en in hoeverre weegt dit mee in de Nederlandse of Europese beoordeling van AI-systemen met een hoog risicoprofiel?

Vraag 9

Beschikken de rijksoverheid en de beheerders van vitale infrastructuur over een continuïteits- of exitstrategie voor het geval dat Amerikaanse frontier-modellen waarop hun diensten draaien plotseling wegvallen, en zo nee, bent u voornemens een dergelijke strategie te ontwikkelen?

Vraag 10

Welke maatregelen treft u op korte termijn, al dan niet in Europees verband, om een dergelijke situatie te voorkomen of op te vangen?

Vraag 11

Hoe versnelt u de totstandkoming van een Europees alternatief op topniveau, bijvoorbeeld door opschaling van de samenwerking met Mistral of door investeringen in rekencapaciteit?

Vraag 12

Bent u bekend met het scenario «Europe 2031», waarin wordt beschreven hoe Europa bij voortzetting van de huidige AI-koers afglijdt naar irrelevantie?2

Vraag 13

Onderschrijft u de bevinding dat Europa nog circa 5 procent van de wereldwijde AI-compute beheerst tegenover circa 80 procent in de Verenigde Staten en dat de 200 miljard euro aan InvestAI grotendeels herverpakt geld betreft dat in het niet valt bij één jaar Amerikaanse investeringen? Zo nee, op welke punten en op basis van welke cijfers wijkt uw beeld af?

Vraag 14

Deelt u de tijdsdiagnose dat de zomer van 2026 het laatste reële moment is om bij te sturen voordat de achterstand zichzelf versterkt? Zo nee, welk eigen ijkpunt hanteert u en waarop baseert u dat?

Vraag 15

Bent u bereid dit incident en andere mogelijke strategische AI-afhankelijkheden te (laten) bestuderen en de Kamer te informeren hoe Nederland zich voorbereidt op een scenario waarin de toegang tot buitenlandse AI-modellen voor Nederlandse burgers abrupt wordt beperkt of als drukmiddel wordt ingezet, en daarbij in te gaan op de economische, strategische en soevereiniteitsgevolgen voor Nederland?

Vraag 16

Wat doet u om meer strategische technologie te ontwikkelen waarvan anderen juist afhankelijk zijn – naar het voorbeeld van ASML – zodat de kans kleiner wordt dat Nederland wordt afgesloten van kritieke technologie zoals AI?

Vraag 17

Bent u bereid de positie uit de brief aan de Kamer van 31 maart 2026 – dat er binnen de huidige begroting geen ruimte is voor de financiële verplichting om deel te nemen aan de Europese aanbesteding van rekencapaciteit en daarmee aanspraak te maken op het fonds van 20 miljard euro voor maximaal vijf AI-gigafabrieken – te heroverwegen, nu het Fable-incident precies de geopolitieke verstoring is die in diezelfde brief als reden werd genoemd waarom Nederland en Europa zelfstandig AI-modellen moeten kunnen ontwikkelen en hosten?3

Vraag 18

Hoe verhoudt de ambitie om nationale rekencapaciteit op te bouwen zich tot de huidige netcongestie, de schaarse ruimte en het verbod op hyperscale-datacenters op nieuwe locaties, en welke concrete randvoorwaarden op het gebied van energie, netaansluiting en vergunningverlening neemt u op welke termijn weg?

Vraag 19

Bent u bereid de oprichting van een Nederlands European Lab for Learning and Intelligent Systems (ELLIS) Instituut als nationaal AI-onderzoekscentrum, zoals aanbevolen in het rapport-Wennink, op korte termijn mogelijk te maken en te financieren? Zo nee, waarom niet?

Vraag 20

Hoe beoordeelt u het feit dat Nederland, anders dan het Verenigd Koninkrijk en de Verenigde Staten, niet over een eigen AI Safety Institute beschikt en daarmee geen onafhankelijke capaciteit heeft om de frontier-modellen waarvan onze economie en vitale sectoren afhankelijk zijn zelf te beoordelen of te testen – zoals het Britse AI Safety Institute wel doet via toegangsafspraken met onder meer Anthropic, Google en OpenAI – mede in het licht van het gegeven dat juist een jailbreak (gevangenisuitbraak) van Mythos de aanleiding vormde voor het uitschakelen van Fable? Bent u bereid een Nederlands AI Safety Institute met die taak en passende bevoegdheden op te richten?

Vraag 21

Onderschrijft u het feit dat het versterken van de brede strategische relevantie van op Nederland gerichte investeringen vraagt om technologische doorbraken over meerdere domeinen, en niet alleen in AI? Welke rol ziet u daarbij voor het Nationaal Agentschap voor Disruptieve Innovatie (NADI) als motor voor disruptieve doorbraken over de volle breedte van de door Wennink benoemde strategische domeinen (digitalisering en AI, veiligheid en weerbaarheid, gezondheid en biotechnologie, energie- en klimaattechnologie)?

Vraag 22

Bent u bereid te laten onderzoeken of het NADI volgens de ARPA-methode een programma kan opzetten dat de ontwikkeling van AI-infrastructuur op Europese bodem versterkt, in het bijzonder chips en de bijbehorende ontwerp- en productietooling?

Vraag 23

Bent u bereid de Kamer vóór Prinsjesdag een samenhangend tijdpad te sturen voor het vergroten van de strategische relevantie van Nederland op AI- en breder technologisch gebied, met daarin in elk geval de besluitvorming over nationale rekencapaciteit en energie, een ELLIS Instituut, een AI Safety Institute, de versnelde oprichting van het NADI en de opschaling van de Nationale Investeringsinstelling?

Vraag 1

Heeft u kennisgenomen van het artikel «Waarom AI zo’n energieslurper is: deze cijfers laten zien wat ChatGPT en datacenters van de planeet vragen»?1

Vraag 2

Hoe beoordeelt u de waarschuwingen van onderzoekers en de VN dat de snelle groei van hyperscale-datacenters voor AI de energie- en klimaattransitie in gevaar brengt?

Vraag 3

Bent u het ermee eens dat datacenters die gebruikmaken van hernieuwbare energie niet automatisch duurzaam zijn? Zo nee, waarom niet?

Vraag 4

Deelt u de mening dat het onwenselijk is om nieuwe energieslurpende AI-gigafabrieken te faciliteren zolang Nederland kampt met netcongestie en grote uitdagingen bij het behalen van de klimaatdoelen? Zo nee, waarom niet?

Vraag 5

In de brief aan de Kamer over AI-gigafabrieken geeft u aan private investeringen in AI-gigafabrieken te willen faciliteren door de juiste randvoorwaarden te creëren; welke randvoorwaarden worden hier bedoeld?2

Vraag 6

Kunt u bevestigen dat AI-gigafabrieken volledig moeten voldoen aan de bestaande regels die gelden voor grootschalige datacenters? Zo ja, waarin verschilt het faciliteren van AI-gigafabrieken dan feitelijk van het bestaande beleid? Zo nee, welke uitzonderingen worden overwogen?

Vraag 7

Hoe verhoudt het faciliteren van AI-gigafabrieken zich tot de uitvoering van de aangenomen motie Grinwis c.s. om de vestiging van hyperscale-datacenters juist strenger te reguleren?3

Vraag 8

Deelt u de mening dat de maatschappelijke kosten van AI-infrastructuur, waaronder het beslag op energie, water, ruimte en netcapaciteit, expliciet moeten worden meegewogen bij toekomstige besluiten over de vestiging van nieuwe hyperscale-datacenters en AI-gigafabrieken? Zo nee, waarom niet?

Vraag 9

Bent u bereid bij de vergunningverlening van datacenters een milieu-effect­rapportage verplicht te stellen waarbij alle gevolgen voor koolstof, water en land worden afgewogen? Zo nee, waarom niet?

Vraag 1

Bent u bekend met het bericht «Gedoodverfd opvolger van DigiD is niet te gebruiken zonder Gmail-account of Apple-ID»?1

Vraag 2

Deelt u de mening dat apps en oplossingen die ontwikkeld worden door de Rijksoverheid altijd zo toegankelijk mogelijk zouden moeten zijn voor elke Nederlander? Zo ja, hoe beoordeelt u dan de keuze tot verplichting van een Google-account of Apple-ID voor het gebruik van NL Wallet?

Vraag 3

Deelt u de mening dat ook mensen die geen gebruik maken van telefoons met Google of van telefoons met Apple-ID in staat zouden moeten zijn om gebruik te maken van NL Wallet? Zijn deze mogelijkheden bij de ontwikkeling van NL Wallet verkend? Zo ja, waarom is dan gekozen om alsnog voor deze technische voorwaarden te gaan voor NL Wallet? Zo nee, waarom niet?

Vraag 4

Deelt u de mening dat in het kader van toegankelijkheid ook mensen die geen gebruik willen of kunnen maken van een smartphone de app NL Wallet zouden moeten kunnen gebruiken? Zo nee, waarom niet?

Vraag 5

Kunt u uitleggen waarom DigiD wel te gebruiken is voor mensen zonder iOS-telefoon of Google-account of zonder smartphone? Waarin verschilt DigiD van NL Wallet waardoor dit voor NL Wallet niet mogelijk zou zijn?

Vraag 6

Hoe complex is het om de NL Wallet zo om te bouwen dat het hebben van een Apple Account of Google Account niet voorwaardelijk is?

Vraag 7

Kunt u garanderen dat NL Wallet niet de rol van DigiD in de toekomst zal overnemen, zo lang voor het gebruik van NL Wallet een Apple-ID of Google-account voorwaardelijk is? Zo ja, hoe? Zo nee, waarom niet?

Vraag 8

Kunt u garanderen dat organisaties die op dit moment DigiD ondersteunen en die NL Wallet willen ondersteunen, in de toekomst DigiD ook blijven ondersteunen naast NL Wallet? Zo nee, deelt u de mening dat dat betekent dat Nederlanders tot het gebruik van een Google-account of Apple-ID worden gedwongen?

Vraag 9

Kunnen gebruikers van NL Wallet van wie het Google-account of de Apple-ID om wat voor reden dan ook door Google of Apple wordt geblokkeerd gebruik blijven maken van NL Wallet? Zo nee, kunt u dan garanderen dat Nederlanders die gebruik maken van NL Wallet niet in de problemen komen? Zo ja, kunt u aangeven waarom dit acceptabel is?

Vraag 10

Hoe kijkt u vanuit het oogpunt van digitale soevereiniteit naar de keuze om een Google-account of Apple-ID voor een NL Wallet voorwaardelijk te maken?

Vraag 11

Hoe bent u van plan om in het vervolg, bij ontwikkeling van apps door de overheid, het gemak van de ontwikkeling af te wegen tegen digitale soevereiniteit en toegankelijkheid?

Vraag 12

Kunt u deze vragen afzonderlijk van elkaar en binnen de gestelde termijn beantwoorden?

Vraag 1

Kunt u toelichten waarom de voor DigiD benodigde digitale infrastructuur en diensten niet rijksbreed zijn georganiseerd, maar via afzonderlijke aanbestedingen en contracten worden ingekocht? Welke afwegingen liggen hieraan ten grondslag?

De genoemde voorzieningen zijn rijksbreed georganiseerd. Logius is rijksbreed verantwoordelijk voor het beheer en de doorontwikkeling van voorzieningen als DigiD. De verschillende leveranciers die hierbij zijn betrokken zijn geselecteerd via verschillende Europese aanbestedingen. Logius maakt hierbij gebruik van geldende regels rondom aanbestedingen en van rijksbrede kaders ten aanzien van digitalisering, zoals bijvoorbeeld het Rijkscloudbeleid.
Bij het vormgeven van deze aanbestedingen stond de ondersteuning van de continuïteit van de dienstverlening, digitale weerbaarheid en efficiënt gebruik van IT-diensten centraal.
De voorkeur is om op langere termijn gebruik te maken van de soevereine overheidscloud voor de levering van het platform, infrastructuur en datacenters. Hiervoor is het van essentieel belang dat de overheidscloud klaar is om de continuïteit en veiligheid van Logius dienstverlening te waarborgen.

Vraag 2

Wanneer gaat het kabinet kritieke digitale overheidsvoorzieningen, zoals DigiD, MijnOverheid, Digipoort en vergelijkbare voorzieningen, wél rijksbreed organiseren of ten minste rijksbreed normeren?

De genoemde voorzieningen zijn rijksbreed georganiseerd. Logius voert het beheer uit van deze overheidsvoorzieningen ten behoeve van andere overheidsdienstverleners. De normering voor risicomanagement en cybersecurity volgt uit de Cyberbeveiligingswet (Cbw).

Vraag 3

Hoe en wanneer geeft het kabinet uitvoering aan de aangenomen motie-Van den Berg c.s. over een rijksbreed dataclassificatie- en datalocatiebeleid (Kamerstuk 26 643, nr. 1482)?

De motie verzoekt het opstellen en uitrollen van een rijksbreed dataclassificatie- en datalocatiebeleid. Een rijksbreed dataclassificatiebeleid is reeds vastgesteld in het VIR-BI 2025. Daarbij geldt dat voor de zwaarste categorieën (Staatsgeheim, of Te Beschermen Belangen 1–3) het gebruik van publieke cloud niet toegestaan is. Wanneer voor de opslag en verwerking van dergelijk gerubriceerde data een externe leverancier wordt overwogen, moet deze leverancier voldoen aan de eisen van de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten (ABRO). De ABRO stelt onder andere eisen aan sleutelbeheer voor encryptie. Controle of de leverancier hieraan voldoet, bij zowel aanvang als tijdens de looptijd van de overeenkomst wordt gecontroleerd door het Nationaal Bureau Industrie Veiligheid (NBIV). De ABRO is in december 2025 goedgekeurd, organisaties krijgen twee jaar de tijd om de ABRO in te voeren, daarom verschilt de ingangsdatum per organisatie. Andere overheidsonderdelen en leveranciers die onder de Wet weerbaarheid kritieke entiteiten vallen, kunnen in de toekomst verplicht worden de ABRO te gebruiken.
Daarnaast stelt het huidige rijksbreed cloudbeleid dat de data bij gebruik van publieke clouddiensten moet worden verwerkt binnen de landen van de Europese Economische Ruimte (EER), in landen waarvoor de Europese Commissie een adequaatheidsbesluit heeft genomen, of in landen die anderszins voldoen aan de eisen van art. 46, AVG. De uit te voeren risicoanalyse, onderdeel van het beleid, geeft de organisatie ook inzichten in de vraag of het land van de cloudprovider via extraterritoriale wetgeving toegang kan krijgen tot de data. Daarnaast moeten er plannen ter schadebeperking worden overwogen. Dit is een vorm van het door u voorgestelde te implementeren localisatiebeleid.
Later dit jaar wordt het herziene rijksbrede cloudbeleid met uw Kamer gedeeld. De werking van het cloudbeleid wordt verbreed van de rijksdienst naar de Rijksoverheid. Ook is er in dit beleid meer aandacht voor geopolitieke risico’s in situaties waarin een leverancier (mede) onder een niet-Europese jurisdictie valt. Voor bepaalde toepassingen wordt het gebruik van dergelijke leveranciers of van de publieke cloud niet langer toegestaan. Op deze manier zijn wij voornemens om de motie uit te voeren.

Vraag 4

Welke concrete stappen zijn sinds aanneming van deze motie gezet, welke bewindspersoon is eerstverantwoordelijk en wanneer ontvangt de Kamer een voortgangsrapportage?

Zoals toegelicht in het antwoord op vraag 3 ontvangt de Kamer dit jaar het herziene rijksbrede cloudbeleid 2026. Daarnaast stelt de Rijksoverheid voor gevoelige overheidsdata en processen beveiligingseisen verplicht op basis van de BIO2 via de Cyberbeveiligingswet (Cbw). Verder wordt het belang van «veilig inkopen» en de risico’s van mogelijke buitenlandse inmenging in toenemende mate erkend. De ABRO stelt eisen aan de veiligheid bij de leverancier. Waar uit de risicoanalyses blijkt dat het risico van statelijke actoren reëel is, bieden de BIO2, de Aanbestedingswet op defensie- en veiligheidsgebied (ADV) en ABRO (de laatste twee in het kader van inkoop), middelen om de risico’s goed te beheren. Op basis van deze beleidskaders en wettelijke verplichtingen worden overheidsorganisaties geholpen bij het maximaal beschermen van data en beveiligingsmaatregelen. Aan de hand van deze kaders, zoals het uitvoeren van een risicoanalyse, kunnen organisaties zelf vaststellen hoe en waar zij data veilig kunnen opslaan en bewerken.
Daarnaast wordt op dit moment, in het kader van de Nederlandse Digitaliseringsstrategie, gewerkt aan de verkenning naar de realisatie van een soevereine overheidscloud. Dit zal hand in hand gaan met de verdere ontwikkeling van het daarmee samenhangende beleid.
De Rijksoverheid versterkt continu haar integrale weerbaarheid. Binnen dit verband, zoals toegelicht in deze brief, zijn de afgelopen jaren verschillende beveiligingskaders, -normen en wetten aangepast zoals VIR-BI2025, BIO2, de ABRO. Ook bereiden we ons voor op aankomende wetgeving zoals de Wet weerbaarheid kritieke entiteiten (Wwke) en de Cbw. De effectieve toepassing van deze wetten verhoogt de basisbeveiliging, zoals ook het beheer en opslag van data van overheidsorganisaties. Gezien het feit dat een deel van deze regelgeving pas recent is ingegaan of op korte termijn ingaat, en gelet op de nadere verwachte EU wet- en regelgeving op dit gebied, kies ik er vooralsnog voor nu geen aanvullend beleid te maken, maar eerst te bezien of de nieuwe wet- en regelgeving ook de beoogde verbetering van weerbaarheid bereikt.

Vraag 5

Welke voorzieningen kwalificeert het kabinet, naast DigiD, als kritieke digitale overheidsinfrastructuur?

Op dit moment ligt dat besloten in de «Aanpak Vitaal». Deze wordt later dit jaar vervangen door de Wet weerbaarheid Kritieke Entiteiten (Wwke). De betrokken vakministers bepalen welke overheidsvoorzieningen onder deze wet zullen vallen.

Vraag 6

Bestaat er inmiddels een rijksbreed overzicht van kritieke digitale overheidsvoorzieningen en de daarbij betrokken niet-Nederlandse of niet-Europese leveranciers? Zo nee, waarom niet?

Er bestaat geen rijksbreed overzicht van kritieke digitale overheidsvoorzieningen.
Het Besluit beveiliging netwerk- en informatiesystemen (Bbni) stelt eisen aan aanbieders ten aanzien van de beveiliging van ICT-systemen. De later dit jaar van kracht wordende Cyberbeveiligingswet stelt eisen aan risico- en ketenmanagement. Daarmee zullen overheidsorganisaties die kritieke digitale overheidsvoorzieningen beheren, inzage moeten hebben in welke niet-Nederlandse of niet-Europese leveranciers in de keten een rol spelen. De mogelijke risico’s daarvan moeten worden beoordeeld en worden gemitigeerd of geaccepteerd.
Er bestaat geen centraal register van dergelijke leveranciers per kritieke overheidsvoorziening. Als reactie op het onderzoek «Van Kwetsbaar naar weerbaar», dat is uitgevoerd in opdracht van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, wordt door de Taskforce Continuïteit ICT Dienstverlening een pilot uitgevoerd voor het monitoren van belangrijke leveranciers voor de overheid.

Vraag 7

Wanneer komt er een dergelijk overzicht, inclusief inzicht in cloud, hosting, beheer, datatoegang, encryptiesleutels, operationele zeggenschap, onderaannemers, ketenafhankelijkheden en exittermijnen?

Een dergelijk overzicht is er niet. Het is in het kader van veiligheid ook niet wenselijk dat er een dergelijk overzicht komt. Dergelijke data op één plaats vastleggen zou namelijk een operationeel veiligheidsrisico vormen.

Vraag 8

Wat is het doel van het kabinet ten aanzien van de toekomstige inrichting van DigiD? Is het streven gericht op andere technologie, een andere leverancier, Europese of Nederlandse zeggenschap, publiek beheer of een combinatie daarvan?

Het streven is met name gericht op het vormgeven van het nieuwe aanbestedingstraject op basis van de aanbestedingswet Defensie en Veiligheid (ADV), zoals vermeld in de Kamerbrief van 4 juni jl.1 Deze aanbesteding ziet op het opnieuw aanbesteden van het beheer van het huidige platform. De ADV biedt meer mogelijkheden dan een reguliere Europese aanbesteding om risico’s voor de nationale veiligheid te beperken. Zodra een nieuwe leverancier is geworven, zal er een overdracht moeten plaatsvinden. Omdat het maatwerk betreft, is kennis van en ervaring met het platform noodzakelijk om de Logius-voorzieningen goed te laten draaien. Hiervoor wordt een periode van 6–12 maanden gehanteerd.
De voorkeur is om op langere termijn gebruik te maken van de soevereine overheidscloud voor de levering van het platform, infrastructuur en datacenters.

Vraag 9

Welke rol speelt digitale soevereiniteit precies bij de toekomstige inrichting van DigiD? Welke concrete risico’s worden hiermee beoogd te verminderen?

Zoals hiervoor aangegeven biedt een ADV-aanbesteding meer mogelijkheden dan een reguliere Europese Aanbesteding om risico’s voor de nationale veiligheid te beperken. Op dit moment treft Logius de voorbereidingen voor het uitvoeren van de aanbesteding.

Vraag 10

Hoe verhoudt het Nederlandse beleid zich tot landen die eveneens streven naar digitale autonomie, maar daarbij gebruikmaken van technologie van niet-Europese aanbieders?

Er is geen overzicht van keuzes die andere Europese landen maken voor het inrichten van hun digitale infrastructuur. In de «Verkenning naar de soevereine overheidscloud» in het kader van de NDS wordt een eerste set keuzes voor de vormgeving van een soevereine overheidscloud gepubliceerd. Deze wordt naar verwachting vóór het zomerreces nog aan uw Kamer verstuurd.
De Europese Commissie heeft recent het voorstel voor de Cloud and AI Development Act (CADA) gepubliceerd. Deze verwoordt de ambitie van de Commissie om te komen tot sterkere en uniforme eisen aan de soevereiniteit van door overheden gebruikte cloudoplossingen. Het Nederlandse beleid zal in de toekomst hier verder op afgestemd worden. De verwachting is dat overheden in lidstaten als gevolg van de CADA op een uniforme manier risicobeoordelingen maken voor het gebruik van public clouddiensten en gebruik zullen maken van passende, erkende soevereine clouddiensten. Een BNC-fiche over het wetsvoorstel voor de CADA wordt op korte termijn met de Tweede Kamer gedeeld.

Vraag 11

In de kabinetsreactie van 23 mei 2025 op de motie-Koekkoek (Kamerstuk 26 643, nr. 1338) werd gesteld dat er kwalitatief hoogwaardige Europese clouddiensten beschikbaar zijn. Op welke concrete marktverkenning, technische toets of aanbestedingservaring was die conclusie gebaseerd? Zag die conclusie bovendien op generieke clouddiensten, of ook op kritieke digitale identiteitsinfrastructuur zoals DigiD, MijnOverheid en Digipoort?

In de genoemde Kamerbrief2 wordt gesteld dat deze conclusie gebaseerd is op een quickscan onderzoek naar de verschillen in technische, juridische en organisatorische aspecten van het dienstenaanbod van Nederlandse en Europese aanbieders van clouddiensten ten opzichte van de drie grootste aanbieders van buiten de EU. Dit onderzoek is in opdracht van het Ministerie van Economische Zaken en Klimaat uitgevoerd door KPMG.3 Dit onderzoek zag op de gehele markt voor clouddiensten en had geen specifieke focus op kritieke digitale identiteitsinfrastructuur.

Vraag 12

Welke concrete stappen zijn tussen 23 mei 2025 en 2 juni 2026 gezet om Nederlandse of Europese alternatieven daadwerkelijk geschikt te maken voor het beheer van DigiD of vergelijkbare kritieke voorzieningen?

De ADV-aanbesteding biedt meer mogelijkheden dan een reguliere Europese aanbesteding om risico’s voor nationale veiligheid te beperken. In de aanbestedingsfase worden de (beveiligings)technische en operationele eisen gesteld waaraan een leverancier moet voldoen om in aanmerking te komen. Deze eisen zijn specifiek toegesneden op het beheer van kritieke digitale infrastructuur op nationale schaal. Op dit moment treft Logius de voorbereidingen voor het uitvoeren van de aanbesteding onder de ADV.

Vraag 13

In eerdere beantwoording heeft u gesteld dat sprake is van gelijkwaardige technologieën van Europese en Nederlandse aanbieders. Wat verstaat het kabinet precies onder een «gelijkwaardig alternatief» voor de huidige DigiD-dienstverlening?

Onder een gelijkwaardig alternatief verstaat het kabinet andere Nederlandse en Europese IT-dienstverleners die in staat zijn om diensten te leveren die functioneel, kwalitatief en beveiligingstechnisch vergelijkbaar zijn met de dienstverlening die Solvinity momenteel aan Logius levert, namelijk de beheerwerkzaamheden van het PICARD-platform. Het gaat daarbij om aanbieders die aantoonbaar kunnen voldoen aan de eisen voor continuïteit, beveiliging, compliance en schaalbaarheid van de DigiD-dienstverlening.

Vraag 14

Welke criteria worden gehanteerd om vast te stellen of een alternatief gelijkwaardig is? Wordt daarbij gekeken naar functionaliteit, schaalbaarheid, beveiliging, beschikbaarheid, betrouwbaarheid, certificeringen, prestaties, migratierisico’s, operationele ervaring, continuïteit en bewezen beheer van kritieke digitale infrastructuur op nationale schaal?

Criteria worden verwoord en van weging voorzien gedurende het proces om te gaan aanbesteden, bij het uitvragen van een behoefte naar de algehele markt en conform processen die voortvloeien uit diverse kaders (financieel, juridisch, technisch, etc.). Een opdrachtgever is hiervoor verantwoordelijk en zal daarbij ondersteund worden door een multidisciplinair team. Het wisselt dus per opdrachtgever en per opdracht welke criteria gehanteerd worden (dan wel hoe zwaar die wegen). De hele gedachte van een aanbestedingsproces is om de pluraliteit van de markt te benutten en een te grote afhankelijkheid te vermijden.

Vraag 15

Deelt u de opvatting dat DigiD vanwege zijn unieke en kritieke rol moeilijk één-op-één vergelijkbaar is met generieke cloud-, hosting- of authenticatiediensten? Zo nee, waarom niet? Zo ja, kunt u toelichten hoe deze unieke rol van DigiD zich verhoudt tot de conclusie van de ACM dat er voldoende concurrentie overblijft omdat er andere IT-dienstverleners zijn die soortgelijke diensten leveren?

Zoals in het antwoord op vraag 8 aangegeven betreft de technische inrichting van DigiD maatwerk. Omdat het maatwerk betreft, is kennis van en ervaring met het platform noodzakelijk om de Logius-voorzieningen goed te laten draaien. In de overdrachtsperiode van 6–12 maanden kan een nieuwe contractant deze ervaring opbouwen.

Vraag 16

Wat verstaat het kabinet in dit verband onder «soortgelijke diensten»? Gaat het daarbij om algemene IT-dienstverlening, of specifiek om bewezen beheer van kritieke digitale identiteitsinfrastructuur op nationale schaal?

In het geval van DigiD en andere Logius-voorzieningen verstaat het kabinet onder «soortgelijke» diensten het overnemen van de beheerwerkzaamheden van het PICARD-platform. In de aanbestedingsfase worden de (beveiligings)technische en operationele eisen gesteld waaraan een leverancier moet voldoen om in aanmerking te komen. Deze eisen zijn specifiek toegesneden op het beheer van kritieke digitale infrastructuur op nationale schaal.

Vraag 17

Welke minimale eisen gelden voor cloud, hosting, beheer, encryptiesleutels, toegangsbeheer, logging, monitoring, incidentrespons, onderaannemers en operationele zeggenschap bij DigiD?

DigiD voldoet aan strenge eisen en regelgeving rondom veiligheid en privacy. Daarvoor worden verschillende vormen van toegangsbeveiliging en versleuteling toegepast.
Alle informatie over de werking van DigiD is terug te vinden op de website van Logius. Op de website is alle documentatie terug te vinden ten aanzien van het aansluiten op DigiD door afnemers, de functionele beschrijvingen van DigiD (inclusief verwerking persoonsgegevens), en de technische documentatie over de werking van DigiD.
U kunt de informatie terugvinden via de volgende link: https://www.logius.nl/onze-dienstverlening/toegang/digid/documentatie

Vraag 18

Hoe wordt geborgd dat encryptiesleutels, beheerrechten en operationele toegang tot DigiD niet onder zeggenschap vallen van niet-Europese moederbedrijven of buitenlandse wettelijke bevoegdheden?

Op 21 mei jl. bent u middels een vertrouwelijke technische briefing geïnformeerd over de situatie bij Logius. Daarnaast biedt een aanbesteding via de ADV mogelijkheden om risico’s voor de nationale veiligheid te beperken.

Vraag 19

Heeft iedere kritieke digitale overheidsvoorziening een actueel exitplan? Zo ja, hoe vaak worden deze exitplannen getest?

Het, nog vast te stellen, herziene rijksbrede cloudbeleid scherpt de eis van een exitstrategie aan naar het hebben van een exitplan. Dat exitplan moet jaarlijks op actualiteit worden beoordeeld. Exitplannen zijn contractuele afspraken over de (geplande of plotselinge) afronding van een contract. Het is wel van belang dat hierin realistische afspraken worden opgenomen afhankelijk van de situatie en context van de specifieke voorziening.
De aanstaande Wet weerbaarheid kritieke entiteiten stelt eisen aan de weerbaarheid en continuïteit van de dienstverlening voor organisaties die daaronder vallen. Dit geldt eveneens als er geen gebruik van clouddiensten wordt gemaakt.

Vraag 20

Welke kritieke digitale voorzieningen hebben een verwachte migratietermijn van meer dan zes maanden, en welke continuïteitsrisico’s levert dat op?

Zie het antwoord op vraag 6. Daarnaast is – gezien de aanbestedingsverplichtingen waar overheidsorganisaties aan dienen te voldoen – zes maanden überhaupt een zeer korte termijn. Het herziene rijksbrede cloudbeleid geeft aan dat de Rijksoverheid organisaties beschikken over een exitplan waarin ook rekening wordt gehouden met het onverwacht niet-beschikbaar zijn van de gebruikte clouddienst. De organisatie moet een plan maken hoe de betrokken overheidsdienst binnen acceptabele termijn kan worden hersteld. De meeste migraties nemen meer tijd in beslag. Migratietermijnen kunnen vanuit technisch oogpunt jaren duren, afhankelijk van de type dienstverlening en kenmerken.

Vraag 21

Welke onderdelen van de TFEV- of BTI-analyse rond Solvinity/Kyndryl kunnen openbaar met de Kamer worden gedeeld, en welke onderdelen kunnen vertrouwelijk worden verstrekt?

Wat betreft de analyse van het Bureau Toetsing Investeringen (BTI) maakt het kabinet de onderliggende adviezen, risicoanalyses en vertrouwelijke overwegingen die ten grondslag liggen aan een advies niet openbaar. Deze stukken bevatten vertrouwelijke bedrijfsinformatie en informatie die raakt aan de bescherming van de nationale veiligheid. Openbaarmaking zou afbreuk kunnen doen aan de belangen die de wet juist beoogt te beschermen. Wat betreft de bespreking in de Taskforce Economische Veiligheid (TFEV) geldt dat ook deze vertrouwelijk is en informatie bevat die raakt aan de bescherming van de nationale veiligheid. Het kabinet hecht tegelijkertijd aan een goede informatievoorziening van de Kamer. Daarom is de Kamer in de gelegenheid gesteld om in de vertrouwelijke technische briefing van 10 juni jl. te worden geïnformeerd over de analyse en toetsing onder de Wet ongewenste zeggenschap Telecommunicatie die door BTI is verricht en met advies aan de Staatssecretaris Digitale Economie en Soevereiniteit is voorgelegd.

Vraag 22

Kunt u de vragen afzonderlijk en voor het commissiedebat inzake Bescherming persoonsgegevens en grote datalekken van 25 juni aanstaande beantwoorden?

Ja

Vraag 1

Heeft u kennisgenomen van berichtgeving dat vertrouwelijke dossierinformatie van een gedetineerde met een zware risicostatus zichtbaar is geweest voor een andere gedetineerde binnen de Extra Beveiligde Inrichting (EBI)?1

Vraag 2

Hoe beoordeelt u het feit dat juist binnen de zwaarst beveiligde inrichting van Nederland vertrouwelijke strafrechtelijke informatie kennelijk bij een andere gedetineerde terecht heeft kunnen komen?

Vraag 3

Klopt het dat de voorgeschreven veiligheidsprocedures in dit geval niet zijn gevolgd? Zo ja, hoe heeft dit kunnen gebeuren?

Vraag 4

Geeft dit incident aanleiding tot het herzien van de veiligheidsprocedures? Zo nee, waarom niet?

Vraag 5

Kan worden uitgesloten dat vertrouwelijke informatie van andere gedetineerden eveneens onbevoegd is ingezien? Zo nee, waarom niet?

Vraag 6

Deelt u de mening dat een dergelijke blunder ernstige veiligheidsrisico’s met zich kan brengen voor lopende strafzaken, getuigen, slachtoffers, personeel en de openbare veiligheid? Zo nee, waarom niet?

Vraag 7

Acht u het verantwoord dat gedetineerden met een zware risicostatus zonder toezicht toegang hebben tot apparatuur waarmee dergelijke fouten kennelijk kunnen ontstaan? Zo ja, waarom?

Vraag 8

Bent u bereid te onderzoeken of dossierinzage voor hoogrisicogedetineerden voortaan uitsluitend onder toezicht en op papier dient plaats te vinden, zodat deze gedetineerden in zijn geheel geen toegang meer hebben tot laptops, waar wij al eerder voor hebben gepleit, en dit soort datalekken daardoor onmogelijk wordt? Zo nee, waarom niet?

Vraag 9

Welke disciplinaire, organisatorische of personele consequenties worden verbonden aan het niet naleven van de veiligheidsprocedures die tot dit incident hebben geleid? Gaat de toedracht van dit incident worden onderzocht op mogelijk opzettelijk handelen?

Vraag 10

Kunt u garanderen dat zich binnen de EBI momenteel geen vergelijkbare beveiligingslekken voordoen waardoor gedetineerden toegang kunnen krijgen tot informatie die niet voor hen bestemd is? Zo nee, waarom niet?

Vraag 1

Bent u bekend met het bericht «AI-pornovideo’s met downsyndroom op Instagram, X en Telegram»?1

Vraag 2

Hoe reageert u op dit bericht?

Vraag 3

Kunt u meer vertellen over de aard en de omvang van de AI-beelden die zijn gemaakt en verspreid van jonge vrouwen?

Vraag 4

Waar kunnen slachtoffers van de gemaakte AI-beelden terecht voor mentale of juridische ondersteuning? Hoe worden zij gewezen op deze mogelijkheden?

Vraag 5

Hoe wordt bij het informeren van de slachtoffers rekening gehouden met (digitale) toegankelijkheid zodat melden en hulp zoeken altijd laagdrempelig is?

Vraag 6

Kunt u uitleggen hoe het Europese verbod op uitkleed-apps deze vorm van deepfakes bestrijdt of voorkomt? Hoe gaat het verbod er praktisch uitzien en hoe wordt het gehandhaafd?2

Vraag 7

Waarom hebben Meta en X pas na vragen van De Telegraaf de AI-beelden verwijderd? Wat kunt u doen om deze beelden zo snel mogelijk verwijderd te krijgen?

Vraag 8

Is er sprake van een gecoördineerd netwerk dat AI-beelden maakt van jonge vrouwen en ze afbeeldt met amputaties, letsel, of een zichtbare beperking?

Vraag 9

Vindt u het voldoende dat Meta en X hun eigen onderzoek voeren naar wie deze AI-beelden maken en verspreiden? Weet u meer over de omvang en de aard van deze onderzoeken?

Vraag 10

Kunt u ook onafhankelijk onderzoek laten uitvoeren, waarbij wetenschappers toegang krijgen tot de algoritmes van deze techbedrijven om te controleren hoe deze AI-beelden zich verspreiden?

Vraag 11

Welke instanties hebben de taak om toe te zien dat beelden van willekeurige mensen niet worden gebruikt om AI-beelden te maken van verminking en seksueel geweld? Kunt u uiteenzetten hoe deze instanties daartegen optreden?

Vraag 12

Kunt u deze vragen afzonderlijk van elkaar en vóór het commissiedebat over digitale inclusie van 24 juni 2026 beantwoorden?

Vraag 1

Bent u bekend met de bevindingen uit de twee Bloomberg-onderzoeken van 29 januari 20261 en 28 april 20262?

Vraag 2

Beschouwt u het als zorgwekkend dat de onderzoeker stelt dat Meta alle tekstberichten, foto's, audio- en video-opnames in onversleutelde vorm kan opslaan en bekijken en dat Meta sinds ten minste 2019 een «gelaagd machtigingssysteem» hanteert dat toegang verleent aan opdrachtnemers en een significant aantal buitenlandse medewerkers in India?

Vraag 3

Beschouwt u de verklaringen van voormalige opdrachtnemers van Accenture dat zij en Meta-medewerkers «onbeperkte toegang» hadden tot versleutelde WhatsApp-berichten als zorgwekkend?

Vraag 4

Indien het antwoord op ten minste een van bovenstaande twee vragen bevestigend luidt, welke consequenties verbindt u hieraan voor het gebruik van WhatsApp door Nederlandse burgers, bewindspersonen en ambtenaren?

Vraag 5

Bent u bekend met de Amerikaanse CLOUD Act, op grond waarvan de Amerikaanse overheid van in de VS gevestigde bedrijven zoals Meta kan eisen dat zij toegang verlenen tot opgeslagen gebruikersdata, ook wanneer deze betrekking heeft op buitenlandse gebruikers? Zo ja, welke consequenties verbindt de regering hieraan voor het gebruik van WhatsApp door Nederlandse burgers, bewindspersonen en ambtenaren?

Vraag 6

Acht u het mogelijk dat vertrouwelijke communicatie – ondanks de maatregelen die voortvloeien uit de Archiefwet – via Whatsapp wordt verstuurd door ambtenaren en bewindspersonen?

Vraag 7

Welke concrete maatregelen treft u op korte termijn om te voorkomen dat vertrouwelijke bestuurlijke communicatie via WhatsApp plaatsvindt, mede gelet op de ernstige twijfels over de daadwerkelijke end-to-endversleuteling?

Vraag 8

Bent u bereid een onafhankelijk onderzoek in te stellen naar de vraag of WhatsApp-berichten daadwerkelijk end-to-end versleuteld zijn en niet toegankelijk zijn voor Meta, haar medewerkers, opdrachtnemers of andere derden? Zo nee, waarom niet?

Vraag 9

Zijn er op dit moment voor bewindspersonen en ambtenaren alternatieve communicatiediensten met end-to-end-versleuteling beschikbaar? Zo ja, welke, en worden deze in de praktijk gebruikt?

Vraag 10

Hanteert u bij de selectie van communicatiediensten voor overheidsgebruik als criterium dat de implementatie van end-to-end-versleuteling onafhankelijk verifieerbaar moet zijn via openbare broncode, en zo nee, is de regering bereid dit criterium alsnog in te voeren?

Vraag 11

Bent u bereid het NCSC te verzoeken een vergelijkende veiligheidsanalyse op te stellen van beschikbare open source communicatiediensten – waaronder Signal, Element/Matrix en Wire – met als specifiek doel te beoordelen welke dienst geschikt is voor vertrouwelijke bestuurlijke communicatie?

Vraag 12

Bent u bereid een voorlichtingscampagne te starten gericht op burgers, ambtenaren en bewindspersonen, waarin wordt gewezen op de ernstige twijfels die bestaan over de vertrouwelijkheid van WhatsApp-berichten? Zo nee, waarom niet?

Vraag 1

Bent u bekend met het bericht van de NOS dat hackersgroep ShinyHunters, die eerder verantwoordelijk was voor de hack bij Odido, nu ook gegevens van miljoenen studenten, docenten en onderwijsmedewerkers via onderwijsplatform Canvas heeft buitgemaakt?1

Ja, daar ben ik mee bekend.

Vraag 2

Hoe beoordeelt u de ernst van dit datalek, mede gelet op de gevoeligheid van de buitgemaakte persoonsgegevens en mogelijk ook privécommunicatie van studenten, docenten en onderwijsmedewerkers?

De hack en de tijdelijke ontkoppeling van het systeem Canvas zorgde voor een enorm vervelende situatie voor diegenen van wie mogelijk data is buitgemaakt en voor studenten en medewerkers die hiervan hinder hebben ondervonden in het onderwijs en hun werk. De MBO-raad, UNL en VH hebben mij laten weten dat het op dit moment niet volledig is vastgesteld welke gegevens de hackersgroep precies heeft buitgemaakt. Hierover is contact tussen de instellingen en het bedrijf Instructure als leverancier van Canvas. Dit betekent dat er op dit moment nog geen goede schatting kan worden gemaakt door de instellingen van hoeveel studenten, docenten en onderwijsmedewerkers naar schatting zijn getroffen. De AVG is van toepassing op inbreuken in verband met persoonsgegevens (kortweg: datalekken). Er is door instellingen een voorlopige melding gedaan bij de Autoriteit Persoonsgegevens.

Vraag 3

Hoeveel studenten, docenten en onderwijsmedewerkers van Nederlandse onderwijsinstellingen zijn naar schatting getroffen en welke typen persoonsgegevens zijn daarbij buitgemaakt?

De MBO-raad, UNL en VH hebben mij laten weten dat op dit moment alleen bekend is welke instellingen getroffen zijn. Zij geven aan dat Instructure, de leverancier van Canvas, nog niet heeft aangegeven welke gegevens precies zijn buitgemaakt. Vermoedelijk gaat het om gegevens zoals namen en e-mailadressen van studenten en medewerkers en berichtenverkeer. De instellingen staan in contact met Instructure om hier meer duidelijkheid over te krijgen. Dat doen zij afzonderlijk van elkaar in verband met de individuele contracten van instellingen met deze leverancier. Instructure heeft de instellingen toegezegd dit overzicht op korte termijn te zullen verschaffen. Op dit moment kan er daarom nog geen goede schatting worden gemaakt van het aantal personen dat is getroffen door de hack.

Vraag 4

Welke gevolgen kan dit datalek hebben voor studenten, docenten en onderwijsmedewerkers, bijvoorbeeld in de vorm van phishing, identiteitsfraude of andere vormen van digitale criminaliteit en hoe kan worden voorkomen dat zij hiervan slachtoffer worden?

Als er sprake is van een datalek is het belangrijk om nu en in de komende tijd extra waakzaam te zijn voor mogelijke phishingmails en andere verzoeken waarbij persoonsgegevens of inloggegevens worden gevraagd. De instellingen wijzen hun studenten en medewerkers hier ook op. Op dit moment is nog niet volledig vastgesteld welke gegevens precies zijn buitgemaakt. Zodra hierover meer duidelijk is, zullen betrokkenen volgens de geldende procedures door de instellingen hierover worden geïnformeerd. De instellingen hebben hun studenten en medewerkers ook opgeroepen om zich te melden als zij getroffen worden naar aanleiding van de hack en zullen waar nodig passende ondersteuning bieden.

Vraag 5

Heeft u contact met de onderwijskoepels over wat nodig is om de gevolgen van dit datalek te beperken? Zo nee, bent u bereid hierover alsnog contact met hen op te nemen?

Het Ministerie van OCW heeft nauw contact met de onderwijskoepels en SURF over de situatie en gevolgen van de hack. De instellingen houden zelf, als contracthouders met Instructure voor deze onderwijssoftware, contact met de leverancier. Daarin is het ministerie geen partij. Voorts nemen de instellingen hun verantwoordelijkheid in het informeren van hun studenten en medewerkers over de situatie en de gevolgen van de hack.

Vraag 6

Welke ondersteuning en informatie worden momenteel geboden aan getroffen studenten, docenten en onderwijsmedewerkers om misbruik van hun persoonsgegevens te voorkomen? Acht u deze ondersteuning voldoende en welke rol ziet u hierin voor uzelf?

Zie hiervoor het antwoord op vraag 4 en vraag 5.

Vraag 7

Is voor studenten, docenten en onderwijsmedewerkers voldoende duidelijk welke persoonsgegevens via onderwijsplatformen zoals Canvas worden verwerkt, met welke externe partijen deze gegevens worden gedeeld en hoe deze gegevens worden beschermd?

Het is de bevoegdheid van instellingen zelf om te bepalen of, en zo ja hoe, zij onderwijsplatformen zoals Canvas inzetten. Het is daarbij hun verantwoordelijkheid zich bewust te zijn van de gegevens die daarmee worden verwerkt. Daarbij zijn ze gehouden aan de hiervoor geldende wet- en regelgeving (AVG). Het verschilt per instelling welke keuzes zij daarbij hebben gemaakt en welke gegevens worden verwerkt, met welke externe partijen deze worden gedeeld en hoe deze gegevens worden beschermd. Conform de geldende wet- en regelgeving is de instelling vervolgens ook zelf verantwoordelijk om in een (privacy) statement aan de betrokkenen gebruikers aan te geven welke gegevens er worden verwerkt en hoe deze worden beschermd.

Vraag 8

Vindt u het wenselijk dat Nederlandse onderwijsinstellingen onderhandelen met hackersgroep ShinyHunters naar aanleiding van het ultimatum rondom de hack op Canvas, waarbij wordt gedreigd buitgemaakte gegevens van studenten, docenten en medewerkers openbaar te maken, of bent u van mening dat overheids- en onderwijsinstellingen nooit zouden moeten ingaan op dergelijke eisen van cybercriminelen?

Instellingen geven aan niet benaderd te zijn door de hackgroep om losgeld te betalen. Instructure heeft gemeld een akkoord te hebben gesloten met de hackers en dat de buitgemaakte gegevens zouden zijn vernietigd. Instructure zegt hiervan bewijs te hebben ontvangen. Of er losgeld is betaald door Instructure is mij en de instellingen niet bekend. Het is aan ieder bedrijf om een eigen afweging te maken. Het dringende advies vanuit de overheid is om geen losgeld te betalen. Het betalen van losgeld biedt geen garantie dat criminelen systemen weer toegankelijk maken of gestolen data niet doorverkopen aan andere criminelen. Het uitbetalen van losgeld houdt bovendien het verdienmodel van criminelen in stand en lokt daarmee mogelijk nieuwe aanvallen op organisaties uit.

Vraag 9

Welke lessen trekt u uit dit incident en op welke wijze wordt deze kwestie betrokken bij de ontwikkeling van een duidelijk handelingskader voor slachtoffers van datalekken?2

De instellingen hebben aangegeven dit incident zowel afzonderlijk als in de sector te evalueren en de lessen die hieruit getrokken worden mee te nemen in de verdere ontwikkeling van hun beleid. Ik blijf hierover met hen in contact.
Het kabinet geeft in overleg met betrokken toezichthouders en andere experts uitvoering aan de motie-Rajkowksi c.a. (36 800 VII, nr.78), opdat een duidelijk handelingskader voor slachtoffers van grote datalekken beschikbaar is. Ook de relevante lessen uit dit incident worden daarbij betrokken. Het streven is om uw Kamer spoedig nader te informeren over de uitvoering van deze motie.

Vraag 1

Heeft u kennisgenomen van het bericht dat het UWV vanaf half mei een pilot start met Microsoft Copilot en daarmee stopt met het gebruik van het Europese alternatief Le Chat?1

Vraag 2

Hoe beoordeelt u het besluit van het UWV om een Europees AI-alternatief in te ruilen voor een Amerikaanse toepassing, mede in het licht van de kabinetsambities op het gebied van digitale soevereiniteit en het verminderen van afhankelijkheden van niet-Europese technologiebedrijven?

Vraag 3

Deelt u de opvatting dat publieke organisaties, zeker wanneer zij werken met grote hoeveelheden gevoelige persoonsgegevens, bij de inzet van generatieve AI, rekening zouden moeten houden met Europese datasoevereiniteit en strategische autonomie? Zo nee, waarom niet?

Vraag 4

Welke risico’s ziet u in de keuze die het UWV heeft gemaakt om co-pilot in te gebruiken, in het bijzonder waar het gaat om toegang tot persoonsgegevens, vendor lock-in en geopolitieke afhankelijkheden?

Vraag 5

Kunt u aangeven op welke wijze is beoordeeld of Microsoft Copilot voldoet aan de eisen rondom privacy, gegevensbescherming en gegevenssoevereiniteit en kunt u aangeven welke persoonsgegevens of interne gegevens van het UWV binnen deze pilot verwerkt kunnen worden?

Vraag 6

Hoe verhoudt deze keuze zich tot eerdere signalen vanuit Europese landen, waaronder Duitsland en Frankrijk, waarin juist gezocht wordt naar alternatieven voor afhankelijkheid van Microsoft?

Vraag 7

In referentie naar de aangenomen motie van het lid El Boujdaini c.s. over het principe «Europees tenzij» te hanteren en digitale soevereiniteit en digitale autonomie als expliciet criterium op te nemen in aanbestedingen, wat is de status van de uitvoering van die motie?2

Vraag 8

Kunt u aangeven wat er momenteel al gebeurt om Europese en soevereine AI-oplossingen binnen de Nederlandse overheid te stimuleren? En bent u bereid om samen met uitvoeringsorganisaties en andere overheidsinstanties te werken aan het breder implementeren van Europese en soevereine AI-oplossingen binnen de Nederlandse overheid? Zo nee, waarom niet?

Vraag 9

Eind 2026 worden de uitkomsten van de pilot met Microsoft Copilot geëvalueerd, kunt u toezeggen dat de Kamer actief wordt geïnformeerd over de uitkomsten van de pilot?

Vraag 1

Is de Staatssecretaris bekend met deze uitspraken van mevrouw Virkkunen1, Vice-President van de Europese Commissie, waarin ze stelt dat het niet zo kan zijn dat straks in de Europese Unie VPN’s gebruikt kunnen gaan worden voor het omzeilen van leeftijdsverificatie op het internet?

Ja.
Overigens noemt mevrouw Virkunnen in deze persconferentie VPN’s niet, noch stelt zij dat VPN’s verboden zouden moeten worden. Zij stelt alleen dat er gekeken wordt hoe omzeiling van online leeftijdsverificatie mechanismen zo veel mogelijk kan worden voorkomen, en benadrukt dat ook een niet waterdicht systeem beter is dan geen systeem.

Vraag 2

Wat is het standpunt hieromtrent van de Nederlandse regering? Is het beperken of zelfs verbieden van VPN’s in de Europese Unie voor de Nederlandse regering bespreekbaar?

Het kabinet is geen voorstander van het beperken dan wel verbieden van VPN’s, om daarmee eventuele omzeiling van een leeftijdsgrens te voorkomen. VPN’s zijn een belangrijke technologie voor het beveiligen van communicatie via het internet. Er zijn tal van legitieme toepassingen voor die communicatie via het internet veiliger maken, zoals beveiliging van bedrijfsnetwerken of bij het gebruik van openbare WiFi-netwerken.

Vraag 1

Bent u bekend met de berichten «Meta blokkeert opnieuw tientallen queer accounts op Instagram» en «Meta heft de blokkade van queer-Instagramaccounts deels op, maar de angst voor herhaling blijft: «Het duwt je terug de kast in»»?1, 2

Ja, daar zijn we mee bekend.

Vraag 2

Vindt u het acceptabel dat Meta wederom eenzijdig de accounts van tientallen queerorganisaties en queer personen heeft geblokkeerd of zelfs permanent heeft verwijderd?

De online publieke ruimte moet veilig, toegankelijk en inclusief zijn. Het is onacceptabel als de toegang tot de online publieke ruimte, waar het maatschappelijk debat en commercie plaatsvindt, ongelijk zou zijn op grond van identiteitskenmerken. Discriminatie is in strijd met wet- en regelgeving.

Vraag 3

Heeft u sinds de beantwoording op de vragen van de leden Dassen en Kathmann over een soortgelijke situatie in december 2025, meer informatie gekregen over de moderatiekeuzes door Meta?3

Nee, over de moderatiekeuzes van Meta en soortgelijke situaties hebben wij niet meer informatie gekregen sinds december 2025.

Vraag 4

Bent u sinds de beantwoording op de bovengenoemde vragen nog verder in contact geweest met Meta over het eenzijdig blokkeren van queer accounts? Zo ja, wat was uw inzet bij deze gesprekken?

Ja, de Staatssecretaris van Digitale Economie en Soevereiniteit heeft deze signalen in een recent gesprek met Meta aan de orde gebracht. Daarbij is het belang van een sociaal veilige omgeving voor iedereen benadrukt. Er is ook op ambtelijk niveau contact geweest met Meta om meer informatie te ontvangen.

Vraag 5

Herkent u de signalen van de getroffen accounts dat het vaak niet lukt om in contact te komen met een echt persoon bij Meta om bezwaar te kunnen maken? Wat kan u hiertegen doen?

De signalen van de getroffen accounts dat het niet altijd lukt om in contact te komen met een echt persoon bij Meta zijn bij ons bekend. Op grond van artikel 12 van de digitaledienstenverordening (Digital Services Act, «DSA») is Meta er echter toe verplicht om afnemers van de dienst de mogelijkheid te bieden om rechtstreekse en efficiënte communicatiemiddelen te kiezen die niet uitsluitend op geautomatiseerde instrumenten berusten. Ook moet zij op grond van artikel 20 DSA een gemakkelijk toegankelijk en gebruikersvriendelijk klachtenafhandelingssysteem hebben. Hierin moeten gebruikers voldoende nauwkeurige en naar behoren gemotiveerde klachten in kunnen dienen. Besluiten over die klachten moeten worden genomen onder toezicht van gekwalificeerd personeel en niet alleen op basis van geautomatiseerde middelen. Niet-naleving van deze verplichting kan resulteren in handhavend optreden door de bevoegde toezichthouder. In oktober 2025 heeft de Commissie voorlopige bevindingen gepubliceerd in het onderzoek naar Meta. Daarin concludeert zij dat Meta de DSA overtreedt, onder meer door gebruikers niet voldoende in staat te stellen om inhoudsmoderatiebeslissingen aan te vechten. Meta wordt nu in staat gesteld hierop te reageren, waarna de Commissie een definitief oordeel velt.4

Vraag 6

Zijn er signalen dat online accounts worden getroffen door gecoördineerde massameldingen van gebruikers of groepen die het oneens zijn met de inhoud van de accounts? Wat doet Meta om zulke gecoördineerde massameldingen tegen te gaan, met name als deze zich richten tegen minderheidsgroepen?

Nee, informatie over eventuele gecoördineerde massameldingen is bij ons niet bekend. Platforms, waaronder Meta, zijn zelf het best in staat om uit te leggen wat zij doen om dergelijke activiteiten tegen te gaan.

Vraag 7

Kunt u ingaan op de onevenredig grote gevolgen die zulke blokkades hebben voor queerorganisaties en personen die voor hun zichtbaarheid en bereik afhankelijk zijn van grote online platforms?

Wanneer accounts van personen en organisaties op zeer grote online platforms worden geschorst of verwijderd, kan dit aanzienlijke gevolgen hebben voor hun zichtbaarheid, community-opbouw en hun inkomsten. Het zonder geldige reden blokkeren van lhbtiq+ personen en lhbtiq+-organisaties kan ervoor zorgen dat deze organisaties en personen, uit angst voor repercussies, niet meer het gevoel hebben dat ze zich vrij kunnen uiten en deel kunnen nemen aan het publieke debat. Dat druist in tegen het recht op vrijheid van meningsuiting. Dit is niet alleen pijnlijk en schadelijk voor de getroffenen, maar ook voor de gemeenschappen waartoe zij behoren of voor wie zij opkomen. De effecten beperken zich niet slechts tot de getroffenen, maar iedereen die zich met die persoon of organisatie identificeert. En daarmee treft het onze hele vrije democratische samenleving.

Vraag 8

Hoe ziet u het blokkeren van queer accounts in het licht van artikel 35 van de Digital Services Act (DSA) die stelt dat platforms structurele risico’s op haat en discriminatie moet bestrijden?

Op grond van artikel 34 en 35 van de DSA moeten aangewezen zeer grote online platforms, waaronder Instagram en Facebook, de zogenaamde systeemrisico’s die voortvloeien uit het ontwerp of uit de werking van hun dienst en de daaraan verbonden systemen, identificeren en beperken. Tot deze risico’s behoren ook eventuele werkelijke of voorzienbare negatieve effecten op de uitoefening van de grondrechten. Voorbeelden hiervan zijn het recht op non-discriminatie, negatieve effecten met betrekking tot gendergerelateerd geweld en negatieve gevolgen voor het lichamelijke en geestelijke welzijn. Als zeer grote online platforms structureel lhbtiq+-accounts blokkeren of anders behandelen, voldoen zij niet aan deze verplichting. In dat geval kan de Europese Commissie, als primaire toezichthouder van de DSA ten aanzien van zeer grote online platforms, handhavend optreden.

Vraag 9

Vindt u dat Meta een verantwoordelijkheid heeft om een veilige en vrije omgeving te bieden voor queer content? Hoe spant u zich vanuit het perspectief van emancipatie in om dit te waarborgen?

Ja, iedereen heeft een verantwoordelijkheid voor het creëren van een sociaal veilige omgeving voor iedereen. Dat geldt zeker voor grote socialemediaplatforms zoals Meta, maar ook voor bedrijven, maatschappelijke organisaties, burgers en de overheid zelf. Dit uitgangspunt heeft de Staatssecretaris van Digitale Economie en Soevereiniteit recentelijk aan de orde gebracht in een gesprek met Meta. Het uitgangspunt staat ook centraal in ons interdepartementaal Plan van aanpak tegen online discriminatie.5 Binnen dit plan werken we nauw samen met de Ministeries van Justitie en Veiligheid en Sociale Zaken en Werkgelegenheid.
In het plan is aandacht voor de veiligheid van lhbtiq+ personen evenals in de Versterkte aanpak lhbtiq+-veiligheid.6 Een van de doelstellingen uit de Versterkte aanpak is dat verschillende organisaties op dit thema elkaar versterken.
We zullen de Kamer informeren over de voortgang van beide plannen voor het einde van 2026. Ook kan de Kamer in september de Emancipatienota van dit kabinet verwachten, met daarin de inzet van het kabinet voor het bevorderen van gelijkwaardigheid voor iedereen.
Aanvullend gaan we naar aanleiding van deze berichtgeving samen verkennen of, en zo ja, welke aanvullende maatregelen mogelijk zijn om de positie van lhbtiq+ personen online te versterken.

Vraag 10

Bent u bereid om te onderzoeken of de aanname klopt dat minderheidsgroepen onevenredig vaak en hard worden geraakt door de niet-transparante moderatie van Meta?

Het is aan de bevoegde toezichthouder om na te gaan of (zeer grote online) platforms zich houden aan de DSA. Relevant in dit verband is ook dat de DSA voorziet in een mechanisme voor erkende onderzoekers om toegang te krijgen tot gegevens van zeer grote online platforms voor onderzoek dat bijdraagt aan het analyseren van systeemrisico’s en de doeltreffendheid van risicobeperkende maatregelen daartegen.

Vraag 11

Bent u bereid zich in te zetten om de geblokkeerde of verwijderde accounts Nederlandse personen en organisaties te herstellen? Welke mogelijkheden heeft u hiertoe?

Op het moment van beantwoording van deze vragen is een aantal geblokkeerde en/of verwijderde accounts van Nederlandse personen en organisaties hersteld. Niet alle problemen zijn echter verholpen. Het is niet een taak van de overheid om in individuele geschillen te treden. Inmiddels is bekend geworden dat een aantal organisaties Meta heeft gesommeerd om aan de verplichtingen op grond van de DSA te voldoen.7 Het kabinet staat voor strikte naleving van de DSA en (bestuursrechtelijke en civielrechtelijke) handhaving daarvan. Daarnaast zet het kabinet, vanuit het plan van aanpak tegen online discriminatie, in op het makkelijker maken voor gebruikers om hun rechten ten opzichte van de platforms uit te oefenen.

Vraag 12

Is het blokkeren van accounts, zonder waarschuwing of motivering, in strijd met de DSA?

Ja. Op grond van artikel 17 van de DSA moeten hostingdiensten, waaronder online platforms, een duidelijke en specifieke motivering geven wanneer zij bepaalde beperkingen opleggen aan afnemer van de dienst. Hieronder valt ook het beperken van de zichtbaarheid van door de afnemer verstrekte informatie of gehele of gedeeltelijke schorsing of beëindiging van diens account. Ook moeten zij de gebruiker in staat stellen gratis en elektronisch een klacht in te dienen tegen dat besluit. Afnemers kunnen op grond van de DSA geschillen met een online platform over inhoudsmoderatie voorleggen aan gecertificeerde buitengerechtelijke geschillenbeslechtingsorganen. Dit kan onverminderd hun recht om hetzelfde geschil aan de rechter voor te leggen.8 Wanneer online platforms zich niet aan deze verplichtingen houden, dan is sprake van een overtreding van de DSA en kan de bevoegde toezichthouder daartegen optreden.

Vraag 13

Welke gevolgen zijn er voor grote online platforms die zich herhaaldelijk niet aan de DSA houden? Wat hebben toezichthouders nodig om harder en sneller op te kunnen treden?

Wanneer zeer grote online platforms zich (herhaaldelijk) niet aan de DSA houden, kan de Europese Commissie handhavend optreden. De DSA geeft de Europese Commissie verschillende bevoegdheden, zoals het vaststellen van een niet-nalevingsbesluit en het opleggen van een boete ter hoogte van 6% van de wereldwijde omzet. De eerste boete onder de DSA is eerder dit jaar uitgedeeld aan X. Er lopen diverse andere onderzoeken en procedures tegen andere online platforms, waaronder Facebook en Instagram. De Europese Commissie heeft vooralsnog niet aangegeven dat zij meer of andere bevoegdheden, instrumenten of andere middelen nodig heeft.

Vraag 14

Bent u het ermee eens dat grote online platforms, die dusdanig veel invloed hebben op het publieke debat en het bereik van organisaties, volledige openheid moeten geven over hun moderatiecriteria en werkwijze? Voorziet de DSA voldoende in deze transparantieverplichting volgens u?

Ja. De DSA voorziet in een dergelijke verplichting. Op grond van artikel 14 DSA moeten aanbieders van tussenhandeldiensten, waaronder (zeer grote) online platforms, in hun algemene voorwaarden informatie opnemen over eventuele beperkingen die zij aan het gebruik van hun dienst opleggen met betrekking tot door de afnemers van de dienst verstrekte informatie. Die informatie moet gegevens omvatten over eventuele beleidsmaatregelen, procedures, maatregelen en instrumenten die worden ingezet voor inhoudsmoderatie inclusief algoritmische besluitvorming en menselijke controle, alsook de procedurevoorschriften van hun interne klachtenafhandelingssysteem. De informatie moet in duidelijke, eenvoudige, begrijpelijke, gebruiksvriendelijke en ondubbelzinnige taal worden beschreven. De informatie moet openbaar beschikbaar zijn in een gemakkelijk toegankelijk en machineleesbaar formaat.

Vraag 15

Kunt u deze vragen afzonderlijk en tijdig vóór het commissiedebat sociale media en inmenging van 4 juni 2026 beantwoorden?

Ja.

Vraag 1

Bent u bekend met het bericht «Nog veel meer Instagramaccounts van LHBTIQ+’ers op zwart, veel meldingen uit Nederland» waaruit blijkt dat opnieuw meerdere Instagramaccounts van LHBTIQ+-organisaties, activisten en gemeenschappen, waaronder accounts uit Nederland, offline zijn gehaald of ontoegankelijk zijn gemaakt?1

Ja, daar zijn we bekend mee.

Vraag 2

Bent u eens met de stelling dat het blokkeren van specifieke LHBTIQ+ accounts en content onrechtmatig, discriminerend en onacceptabel is? Bent u het ook eens met de stelling dat het optreden hiervan, meermaals en herhaald in vrij korte tijd, niet steeds door Meta afgedaan kan worden als een incident maar dat het onderdeel lijkt te zijn van hun beleid?

Het zonder motivering blokkeren van lhbtiq+-accounts lijkt in strijd met de verplichtingen die voortvloeien uit de digitaledienstenverordening (Digital Services Act, DSA), zeker als dit herhaaldelijk gebeurt. Wanneer een platform besluit een account te schorsen of te beëindigen, moet dat gebeuren binnen de kaders van de DSA. De DSA verplicht online platforms om, bij het toepassen van inhoudsmoderatie (zoals het schorsen of verwijderen van een account), op zorgvuldige, objectieve en evenredige wijze te handelen met gepaste aandacht voor de rechten, belangen en grondrechten van alle betrokkenen. Het is aan de bevoegde toezichthouder of rechter om daar uiteindelijk een oordeel over te vellen.

Vraag 3

Deelt u de ernstige zorgen dat het blokkeren van LHBTIQ+ personen en LHBTIQ+ organisaties, zonder geldige reden, discriminerend is, de vrijheid van meningsuiting aantast en de acceptatie en het veiligheidsgevoel van LHBTIQ+-gemeenschap onder druk zet? Zo ja, waarom en welke acties onderneemt u om deze ernstige zorgen te adresseren?

Die zorgen delen we. Het zonder geldige reden blokkeren van lhbtiq+ personen en lhbtiq+-organisaties kan ervoor zorgen dat deze organisaties en personen, uit angst voor repercussies, niet meer het gevoel hebben dat ze zich vrij kunnen uiten en deel kunnen nemen aan het publieke debat. Dat druist in tegen het recht op vrijheid van meningsuiting. Dit is niet alleen pijnlijk en schadelijk voor de organisaties en personen die dit overkomt, maar ook voor de gemeenschappen waartoe zij behoren of voor wie zij opkomen. De effecten beperken zich niet slechts tot de getroffenen, maar iedereen die zich met die persoon of organisatie identificeert. En daarmee treft het onze hele vrije democratische samenleving.
Het kabinet is van oordeel dat iedereen een verantwoordelijkheid heeft voor het creëren van een sociaal veilige omgeving voor iedereen. Dat geldt zeker voor grote socialemediaplatforms zoals Meta, maar ook voor bedrijven, maatschappelijke organisaties, burgers en de overheid zelf. Dit uitgangspunt heeft de Staatssecretaris van Digitale Economie en Soevereiniteit recentelijk aan de orde gebracht in een gesprek met Meta. Het uitgangspunt staat ook centraal in ons interdepartementale Plan van aanpak tegen online discriminatie.2 Binnen dit plan werken we nauw samen met de Ministeries van Justitie en Veiligheid, en Sociale Zaken en Werkgelegenheid.
Ook is er aandacht voor de veiligheid van lhbtiq+ personen online in de Versterkte aanpak lhbtiq+-veiligheid.3 Een van de doelstellingen is dat verschillende organisaties op dit thema elkaar versterken.
We zullen de Kamer informeren over de voortgang van beide plannen voor het einde van 2026. Ook kan de Kamer in september de Emancipatienota van dit kabinet verwachten, met daarin de inzet van het kabinet voor het bevorderen gelijkwaardigheid voor iedereen.
Aanvullend gaan we naar aanleiding van deze berichtgeving samen verkennen of, en zo ja, welke aanvullende maatregelen mogelijk zijn om de positie van lhbtiq+ personen online te versterken.

Vraag 4

Is het bij u bekend in hoeverre andere minderheidsgroepen dan LHBTIQ+ ook te maken hebben met structurele discriminatie en aantasting van hun vrijheid van meningsuiting door sociale media platforms?

Voor zover eventuele aantasting van de vrijheid van meningsuiting door socialemediaplatforms zelf plaatsvindt, zijn hierover geen cijfers bij ons bekend. Het recente rapport «Discriminatiecijfers in 2025» laat zien dat veel mensen regelmatig online discriminerende uitingen tegenkomen of zelf ervaren.4 Daarbij gaat het ook om andere minderheidsgroepen dan lhbtiq+ personen. De European Observatory of Online Hate laat eveneens zien dat er sprake is van online haat op socialemediaplatforms.5 Tegelijk weten we dat slechts een klein deel van deze ervaringen uiteindelijk wordt gemeld bij de bevoegde instanties. Online discriminatie is complex en wordt niet eenduidig geregistreerd. De aanwezigheid van online haat en discriminatie op platforms kan negatieve effecten hebben op de mate waarin minderheidsgroepen gebruik (kunnen) maken van hun recht op vrijheid van meningsuiting.

Vraag 5

Kunt u toelichten in hoeverre het blokkeren van deze LHBTIQ+ accounts en content zonder duidelijke uitleg in lijn is met de verplichtingen uit de Digital Services Act, met name ten aanzien van transparantie, motivering en effectieve bezwaarprocedures en welke stappen het kabinet en de Europese Commissie zetten om hier actief op te handhaven?

Het blokkeren van accounts en content zonder duidelijke uitleg is in strijd met de verplichtingen uit de DSA. Op grond van de DSA moeten aanbieders van tussenhandeldiensten, waaronder (zeer grote) online platforms, in hun algemene voorwaarden informatie opnemen over eventuele beperkingen die zij aan het gebruik van hun dienst opleggen met betrekking tot door de afnemers van de dienst verstrekte informatie. Zij zijn verplicht om, bij het toepassen van dergelijke beperkingen, op zorgvuldige, objectieve en evenredige wijze te handelen met gepaste aandacht voor de rechten, belangen en grondrechten van alle betrokkenen. Ook moeten zij een duidelijke en specifieke motivering geven wanneer zij een dergelijk besluit nemen. In dat geval moeten zij ook de gebruiker in staat stellen gratis en elektronisch een klacht in te dienen tegen dat besluit. Wanneer online platforms zich niet aan deze verplichtingen houden, dan is sprake van een overtreding van de DSA en kan de bevoegde toezichthouder daartegen optreden.
Afnemers kunnen op grond van de DSA ook geschillen met een online platform over inhoudsmoderatie voorleggen aan gecertificeerde buitengerechtelijke geschillenbeslechtingsorganen. Dit kan onverminderd hun recht om hetzelfde geschil aan de rechter voor te leggen.6

Vraag 6

Welke acties zijn sinds de vorige blokkades (in december 2025) ondernomen door het kabinet of bevoegde toezichthouders naar aanleiding van deze signalen?

De Staatssecretaris van Digitale Economie en Soevereiniteit heeft de signalen aan de orde gebracht in een gesprek met Meta. In aanvulling daarop is ook op ambtelijk niveau navraag gedaan bij Meta over de blokkades om meer informatie te krijgen. Daarnaast is het signaal met de Europese Commissie gedeeld. De Europese Commissie kan naar aanleiding van deze signalen besluiten om nader onderzoek in te stellen naar de naleving van de DSA door Meta en, indien nodig, handhavend optreden.

Vraag 7

Is er tevens contact geweest met belangenorganisaties van LHBTIQ+ personen om te vragen welke signalen er nog meer zijn en waar behoefte aan is?

De Staatssecretaris van Onderwijs en Emancipatie staat in goed contact met strategische samenwerkingspartners die de belangen van de lhbtiq+-gemeenschap behartigen. De strategische partners zijn zelf niet getroffen door ongemotiveerde schorsingen of verwijderingen. Zij staan wel in contact met de getroffen organisaties. Met hen bespreken we wat de getroffen organisaties hebben ervaren en ook gaan we in gesprek met een aantal van de getroffen organisaties om te horen wat hun ervaringen zijn en waar behoefte aan is.

Vraag 8

Welke mogelijkheden ziet u voor zich om bij sociale media platformen de transparantie over het blokkeren van accounts af te dwingen zodat voor gebruikers duidelijk is op welke gronden een blokkade is ingesteld en waar ze terecht kunnen met klachten of vragen?

Zie het antwoord op vraag 5.

Vraag 9

Welke mogelijkheden heeft u om platforms ertoe te bewegen geblokkeerde accounts te herstellen en/of gedupeerden te ondersteunen bij het herstellen van hun account?

Op het moment van beantwoording van deze vragen is een aantal geblokkeerde en/of verwijderde accounts van Nederlandse personen en organisaties hersteld. Niet alle problemen zijn echter verholpen. Het is niet een taak van de overheid om in individuele geschillen te treden. Inmiddels is bekend geworden dat een aantal organisaties Meta heeft gesommeerd om aan de verplichtingen op grond van de DSA te voldoen.7 Het kabinet staat voor strikte naleving van de DSA en (bestuursrechtelijke en civielrechtelijke) handhaving daarvan. Daarnaast zet het kabinet, vanuit het plan van aanpak tegen online discriminatie, in op het makkelijker maken voor gebruikers om hun rechten ten opzichte van de platforms uit te oefenen.

Vraag 10

Welke maatregelen gaat u nemen tegen sociale media platforms die LHBTIQ+ personen en organisaties discrimineren? En welke aanvullende maatregelen overweegt u om het digitaal targetten van LHBTIQ+ gemeenschappen via sociale media platforms tegen te gaan en de LHBITQ+ gemeenschap beter te beschermen?

Discriminatie is in Nederland en de EU verboden. Platforms als Meta moeten bij het toepassen van hun inhoudsmoderatie rekening houden met grondrechten in het Handvest van de Grondrechten van de Europese Unie, waaronder het recht op non-discriminatie. In het algemeen moeten zij de toepasselijke Europese wetgeving, waaronder de DSA, naleven. Het is aan de bevoegde toezichthouder, in dit geval de Europese Commissie, om deze regelgeving te handhaven. De lopende onderzoeken en procedures naar Meta tonen aan dat de Commissie dit doet. Voor de aanvullende kabinetsinzet op het gebied van het tegengaan van online discriminatie en het bevorderen van gender- en lhbtiq+-gelijkheid verwijzen we u naar antwoorden 3 en 7.

Vraag 11

Kunt u de vragen afzonderlijk beantwoorden?

Ja.

Vraag 1

Klopt het dat op 27 maart 2026 besloten is om het DigiD-contract met Solvinity nogmaals voor twee jaar te verlengen?

Op dit moment heeft Logius een contract met Solvinity dat uiterlijk in augustus 2028 afloopt. Binnen het huidige contract kan er gebruik worden gemaakt van een tweede en laatste verlengingsoptie voor de periode van 7 augustus 2026 tot (uiterlijk) 6 augustus 2028. Het gaat hierbij om het contract met Solvinity voor het uitvoeren van de beheerwerkzaamheden aan het platform waar onder andere DigiD op draait. Het is niet mogelijk om voor augustus 2026 over te stappen naar een andere partij zonder dat hierbij de continuïteit en veiligheid van DigiD en andere voorzieningen in gevaar komen. Derhalve heb ik op 27 maart 2026 ingestemd met een contractverlenging voor de periode van 7 augustus 2026 tot 6 augustus 2028.

Vraag 2

Welke overwegingen liggen ten grondslag aan deze keuze? Is het niet verlengen van het contract serieus overwogen?

De afgelopen maanden zijn er door Logius en BZK verschillende mogelijkheden verkend, zoals het versneld overstappen naar een andere leverancier of het zelf in beheer nemen van het platform waar voorzieningen als DigiD op draaien
Het beheer van het platform vraagt om een ervaren beheerorganisatie om de continuïteit en veiligheid van dienstverlening blijvend te kunnen borgen. Op dit moment is het niet mogelijk om het platform in eigen beheer te nemen vanwege het feit dat Logius niet beschikt over voldoende kennis en capaciteit.
Het beheer van het platform versneld onderbrengen bij een andere beheerorganisatie kan ook leiden tot risico’s. De voornaamste reden hiervoor is dat een nieuwe beheerorganisatie kennis en ervaring moet opbouwen met het platform dat door Logius wordt gebruikt. Onder normale omstandigheden wordt hier een periode van 6 tot 12 maanden voor gehanteerd.
Deze overdracht kan plaatsvinden nadat een aanbestedingstraject is doorlopen en een nieuwe contractant is geselecteerd. Dat maakt het niet mogelijk om de overdracht naar een andere leverancier voor augustus 2026 af te ronden. Het vormgeven van een nieuwe aanbesteding en de overdracht naar een nieuwe leverancier is een langdurig traject dat zorgvuldig moet worden doorlopen, juist om de continuïteit en veiligheid van dienstverlening te borgen.

Vraag 3

Welke andere opties heeft u overwogen, behalve het contract met twee jaar verlengen? Waarom zijn deze opties afgevallen?

Zie het antwoord op vraag 2.

Vraag 4

Welke mogelijkheden heeft u om vóór het definitieve beslismoment begin mei alsnog af te zien van de contractverlenging van twee jaar? Kunt u een beroep doen op een voorwaarde in het contract of een wettelijke bevoegdheid om dit vervroegd te doen?

De Algemene Rijksinkoopvoorwaarden bij IT-opdrachten (ARBIT) zijn op deze overeenkomst van toepassing en bieden middels artikel 30 (onder voorwaarden) mogelijkheden tot het tussentijds ontbinden of opzeggen van de overeenkomst.
Voor het definitieve beslismoment van 6 mei 2026 heb ik geen mogelijkheden om af te zien van de contractverlenging. Zoals in de beantwoording op vraag 2 beschreven, zijn er op dit moment geen mogelijkheden om per augustus 2026 over te stappen naar een andere partij die in voldoende mate continuïteit en veiligheid kan borgen.

Vraag 5

Zo niet, heeft u de mogelijkheid om het contract slechts onder voorbehoud te verlengen zolang Solvinity niet door een Amerikaans bedrijf wordt overgenomen? Bent u bereid om zo’n voorbehoud te maken?

Zie antwoord op vraag 2 en 4.

Vraag 6

Heeft u de aangenomen motie-Stoffer c.s. (Kamerstuk 26 643, nr. 1467) en de twee moties-Kathmann c.s. (Kamerstuk 21 501-33, nr. 1190) (Kamerstuk 26 643, nr. 1507) meegewogen in dit besluit? Zo ja, hoe?

Deze zijn meegenomen in het besluit. Het kabinet wacht het oordeel van de onafhankelijke toezichthouder in het kader van het driesporenbeleid zoals vermeld in de Kamerbrief van 10 februari 20261 en de kabinetsreactie van 21 april 20262 af, om vervolgens een besluit te kunnen nemen.
Om vanaf (uiterlijk) augustus 2028 over te stappen naar een contractant waarbij het zeggenschap in Nederlandse/Europese handen ligt3, 4, wor dt er door Logius samen met de Landsadvocaat gekeken naar onder welke voorwaarden de aanbesteding kan worden uitgezet in de markt. In juni 2026 zullen wij uw Kamer hierover informeren.

Vraag 7

Kunt u concreet uitleggen hoe de continuïteit en veiligheid van de dienstverlening in gevaar komt als het contract niet was verlengd? Op basis van welke onderzoeken concludeert u dat?

Logius heeft een leverancier nodig voor het leveren van diensten die benodigd zijn om het platform waarop voorzieningen zoals DigiD staan, te laten draaien. Logius moet daarom een contract afsluiten met een leverancier. Zie voor verdere toelichting het antwoord op vraag 2.

Vraag 8

Is het mogelijk om de DigiD-diensten, die nu in beheer zijn bij Solvinity, binnen drie maanden over te schakelen naar een ander bedrijf? Is deze optie serieus onderzocht?

Zie beantwoording vraag 2.

Vraag 9

Hoe kunt u het DigiD-contract met Solvinity in zo kort mogelijke tijd ontbinden, nog vóór 2028, als de Amerikaanse overname doorgang vindt? Kunt u de Kamer uiterlijk in juni 2026 informeren over de opties die u hiertoe heeft en wat hiervan de kosten zijn?

Zie antwoord op vraag 4 en 6. Ik zal uw Kamer in juni 2026 nader informeren.

Vraag 10

Kunt u deze vragen afzonderlijk van elkaar en nog vóór het definitieve verlengen van het contract in begin mei beantwoorden?

Ja.

Vraag 1

Heeft u kennisgenomen van het artikel van Follow the Money waarin wordt gesteld dat de Kamer niet volledig is geïnformeerd over een contract met Palantir?1

Ja.

Vraag 2

Erkent u dat het antwoord dat in augustus 2025 is gegeven door de Minister van Justitie en Veiligheid op de vraag of er buiten de bekende voorbeelden binnen Justitie en Veiligheid gebruik is of wordt gemaakt van software van Palantir onjuist of op zijn minst onvolledig was? En erkent u dat de Kamer onjuist en/of onvolledig is geïnformeerd?

De Kamervragen zijn destijds gesteld aan en beantwoord door de Minister van Justitie en Veiligheid (JenV), op basis van de toen geldende portefeuilleverdeling binnen het kabinet. Daarnaast werden er Kamervragen over het mogelijke gebruik van Palantir gesteld aan meerdere bewindspersonen van andere departementen (Defensie, VWS, IenW, FIN, BZK). Grenstoezicht door de KMar, waarvoor Palantir-software in het verleden is ingezet, viel onder verantwoordelijkheid van de Minister van AenM. Daarom is deze toepassing van Palantir niet meegenomen ten tijde van de beantwoording van de Kamervragen in augustus 2025.
Inmiddels is het Ministerie van Asiel en Migratie opgegaan in het Ministerie van Justitie en Veiligheid. Daardoor is in navolging van een Woo-verzoek van JenV recent een contract verstrekt. Het Programma Vernieuwing Grensmanagement, onderdeel van de Programmadirectie Identiteitsmanagement en Immigratie (IDMI), had contracten afgesloten voor het gebruik van Palantir voor het API systeem dat gebruikt werd door de KMar voor het grenstoezicht. IDMI was onderdeel van het Directoraat Generaal Vreemdelingenzaken (DGVZ), thans DGM. Zoals hierboven uitgelegd, viel dit betreffende beleidsonderdeel ten tijde van de beantwoording van de Kamervragen in augustus 2025 niet onder de politieke verantwoordelijkheid van de Minister van JenV.
De stukken die hierover inmiddels naar aanleiding van het Woo-besluit van JenV zijn gedeeld en de inzet van Palantir-softwarelicenties, zullen nader worden betrokken bij de afhandeling van het Woo-verzoek dat aan de Minister van Asiel en Migratie is gestuurd.

Vraag 3

Kunt u precies uiteenzetten wanneer het contract tussen de Koninklijke Marechaussee (KMar) en Palantir is afgesloten, welke onderdelen van Defensie hierbij betrokken zijn en waarom de Kamer hier niet (volledig) vooraf over is geïnformeerd?

Zie antwoord vraag 2.

Vraag 4

Heeft u kennisgenomen van het 22-punten manifesto van Palantir dat zij op hun sociale media hebben gezet?2 Hoe beoordeelt u dat manifesto? Deelt u de mening dat dit manifesto direct ingaat tegen de normen en waarden van de Nederlandse overheid en dat er mede op basis daarvan geen samenwerking kan plaatsvinden tussen Palantir en de Nederlandse overheid?

Ja, daarvan is kennisgenomen.
Het kabinet stelt de bescherming van mensenrechten en de democratische rechtsstaat voorop en zet zich daarvoor in, ook bij de inzet van technologie. Het is niet aan het kabinet om opvattingen van het bestuur van een bedrijf van een oordeel te voorzien.
In relatie tot de huidige toepassing van Palantir bij de politie en Defensie hecht ik er, met de Staatssecretaris van Defensie, aan te benadrukken dat dit gebruik van veel waarborgen is voorzien. Tegelijkertijd worden mogelijke alternatieven verkend om de toekomstbestendigheid en flexibiliteit te vergroten, zoals ook aan uw Kamer toegelicht door de Staatssecretaris van Defensie tijdens uw Vragenuur van 2 juni jl.
Voor een reactie op de vraag of de Nederlandse overheid zaken kan blijven doen met het bedrijf in kwestie wordt u verwezen naar de Kamerbrief3 van de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties over de uitvoering aangenomen ontraden moties over ICT-onderwerpen ingediend tijdens het Notaoverleg over de Nederlandse Digitaliseringsstrategie d.d. 29 september 2025. Hierin is ingegaan op de uitvoering van de aangenomen motie4 van het lid Six Dijkstra c.s. over het onafhankelijk maken van de Nederlandse overheid van Palantir.

Vraag 5

Kunt u een totaaloverzicht geven van alle samenwerkingen die er hebben plaatsgevonden of plaatsvinden tussen de Nederlandse overheid en Palantir sinds de oprichting in 2003? Mochten er nog lopende samenwerkingen zijn, liggen er exitstrategieën om als Defensie zo snel mogelijk te stoppen met het gebruik van de betreffende software?

Er is geen Rijksbrede overeenkomst met Palantir. Een overzicht van alle lopende, aanstaande en verlopen contracten is niet voorhanden. Aanbestede diensten zijn zelf verantwoordelijk voor de aanbestedingsprocedures en het contracteren van leveranciers, er is geen centraal overzicht dat door mijn ministerie kan worden aangeboden.
Wat betreft uw vraag inzake eventuele exitstrategieën van Defensie het volgende. Binnen de Nederlandse krijgsmacht wordt bij een aantal (operationele) defensieonderdelen gebruik gemaakt van de Palantir-software. Dit gebeurt onder strikte maatregelen en in volledige afgesloten omgevingen. Ook wordt in het kader van interoperabiliteit tussen NAVO-partners onderzocht in hoeverre deze technologie hieraan kan bijdragen. Het afbouwen van afhankelijkheden is een middel om operationele continuïteit te kunnen waarborgen, maar dat kan bijvoorbeeld ook door in de samenwerking met (niet-Europese) technologiebedrijven verschillende contractuele, organisatorische en technische maatregelen te treffen. Tegelijkertijd onderzoekt Defensie de mogelijkheden om, al dan niet samen met bondgenoten, Europese alternatieven te (helpen) ontwikkelen.

Vraag 1

Kunt u meer toelichten over de raamovereenkomst die is gesloten met het Europese cloudplatform STACKIT?1

Strategisch Leveranciersmanagement (SLM) Rijk heeft de opdracht om, binnen de kaders van wet- en regelgeving en vigerend beleid, het afnemen van (cloud)diensten te faciliteren voor rijksorganisaties. Hiervoor sluit SLM Rijk de zogenaamde «Framework Agreements» (hierna: raamovereenkomst) af met cloud leveranciers waarin waarborgen zijn opgenomen voor het op verantwoorde wijze gebruiken van (cloud-)diensten.
De keuze voor aankoop en gebruik van een (cloud)dienst onder een door SLM Rijk gecontracteerde raamovereenkomst ligt bij de rijksorganisatie zelf. De raamovereenkomst bevat geen verplichtingen voor daadwerkelijke afname van diensten. De rijksorganisatie dient af te wegen of de aan te schaffen dienst past op haar specifieke vraag en situatie, waaronder de (gevoeligheid van) data die de organisatie wenst te laten verwerken.2
Rijksorganisaties die clouddiensten willen inkopen, kunnen gebruik maken van de door het Rijk afgesloten raamovereenkomst met STACKIT. Bij hun inkooporganisatie kunnen zij informeren hoe de verwerving van clouddiensten georganiseerd dient te worden.

Vraag 2

Kunt u de raamovereenkomst aan de Kamer doen toekomen?

Nee. De raamovereenkomst met STACKIT bevat grotendeels bedrijfsvertrouwelijke informatie. Het delen van deze informatie zou nadelige consequenties voor de Staat hebben, omdat leveranciers (met de wetenschap dat bedrijfsvertrouwelijke contracten gedeeld zouden kunnen worden) niet meer genegen zouden zijn (maat-)werkafspraken met de Staat te maken. Er is ook een geldige Non-Disclosure Agreement (NDA) van kracht met de leverancier.
In vraag 4 en 5 wordt antwoord gegeven op een aantal specifieke inhoudelijke vragen.

Vraag 3

Hoe ziet u de rol van de Rijksoverheid als lancerende klant van autonome Europese IT-diensten? Hoe draagt de raamovereenkomst met STACKIT bij aan dit doel?

Het kabinet kijkt naar de mogelijkheden om als launching customer op te treden bij de inkoop van clouddienstverlening en bij aanbesteding van dergelijke diensten de mogelijkheden van een Europees voorkeursprincipe te benutten met behoud van de voordelen van een open markt.
Zoals gesteld in beantwoording op vraag 1 kunnen rijksorganisaties met het sluiten van de raamovereenkomst onder veilige en gunstige voorwaarden clouddienstverlening afnemen bij leveranciers. Dit kan een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze leveranciers. Met de inkoop van dienstverlening bij Europese leveranciers, zoals STACKIT, kan de overheid als lancerende klant bijdragen aan de concurrentiepositie van Europese cloudleveranciers. Ook kan dit bijdragen aan een meer divers leveranciersbestand, waarmee afhankelijkheden van niet-Europese aanbieders bij rijksorganisaties worden afgebouwd. Dit draagt bij aan de digitale autonomie van Nederland.
Daarbij dient wel te worden opgemerkt dat het sluiten van de raamovereenkomst niet inhoudt dat de dienstverlening van STACKIT al daadwerkelijk door onderdelen van de Rijksoverheid is ingekocht.

Vraag 4

Met welk doel is de raamovereenkomst gesloten? Zijn er ook afspraken gemaakt over de afname van deze diensten?

Het doel van de raamovereenkomst is om door SLM Rijk onderzochte Europese cloud-alternatieven op verantwoorde wijze beschikbaar te stellen voor rijksorganisaties.
SLM Rijk heeft geen afspraken gemaakt over de afname van diensten; die beslissing ligt bij de rijksorganisaties zelf. Zie ook de beantwoording op vraag 1.

Vraag 5

Welke «veilige en gunstige voorwaarden» heeft u afgesproken met STACKIT? Op welke manier dragen deze voorwaarden bij aan de digitale autonomie van Nederland?

Doeltreffende maatregelen m.b.t. de bescherming van persoonsgegevens zijn getroffen naar aanleiding van de door SLM uitgevoerde Data Protection Impact Assessment (DPIA). Conform de uitgevoerde DPIA is in de raamovereenkomst vastgelegd dat alle data exclusief worden verwerkt binnen de EER, inclusief persoonsgegevens. Ook zijn er afspraken gemaakt over (voortijdige) contractbeëindiging bij wijzigingen in eigenaarschap, bijvoorbeeld als STACKIT wordt overgenomen door een buiten de EER gelegen eigenaar.
Zoals gesteld in beantwoording op vraag 1 kunnen rijksorganisaties met het sluiten van de raamovereenkomst onder veilige en gunstige voorwaarden clouddienstverlening afnemen bij leveranciers. Dit kan een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze leveranciers. Met de inkoop van dienstverlening bij Europese leveranciers, zoals STACKIT, kan de overheid als lancerende klant bijdragen aan de concurrentiepositie van Europese cloudleveranciers. Ook kan dit bijdragen aan een meer divers leveranciersbestand, waarmee afhankelijkheden van niet-Europese aanbieders bij rijksorganisaties worden afgebouwd. Dit draagt bij aan de digitale autonomie van Nederland.

Vraag 6

Hoe draagt het sluiten van een raamovereenkomst met één leverancier bij aan een eerlijk en open speelveld voor Nederlandse en Europese techbedrijven?

Zoals onder vraag 5 toegelicht kan het sluiten van de raamovereenkomst een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze Europese leverancier. Daarnaast sluit het afsluiten van een raamovereenkomst met één partij de mogelijkheid tot het sluiten van gelijksoortige raamovereenkomsten met andere partijen geenszins uit.
Tegelijkertijd is meedingen in individuele aanbestedingstrajecten voor clouddienstverlening van de Rijksoverheid niet exclusief voorbehouden aan partijen die een raamovereenkomst met SLM Rijk hebben afgesloten. Dit betekent dat aanbieders zonder raamovereenkomst met SLM Rijk evengoed kunnen meedingen in aanbestedingen voor clouddienstverlening.
Het is tevens relevant te benadrukken dat SLM Rijk de intentie heeft met meer Europese cloudaanbieders een raamovereenkomst te sluiten. Zo is er reeds een onderzoek bezig naar OVHcloud en ESET, een Europese leverancier voor securitydiensten. Ook is SLM Rijk in gesprek met Nederlandse cloudbedrijven om de mogelijkheden voor het sluiten van een raamovereenkomst te verkennen.

Vraag 7

Hoe borgt u in het sluiten van een raamovereenkomst de diversificatie en keuzevrijheid tussen leveranciers, zoals wel beoogd wordt door een privaat initiatief zoals de Open Cloud Alliantie?2

Er geldt geen afnameverplichting voor het gebruik van STACKIT door rijksorganisaties.
Dit betekent dat net als STACKIT iedere andere cloudaanbieder inclusief leden van bijvoorbeeld de Open Cloud Alliantie, kan meedingen in aanbestedingen.

Vraag 8

Welke diensten levert STACKIT? Kunt u concreet maken voor welke belangrijke IT-processen u van plan bent de clouddiensten van STACKIT af te nemen?

STACKIT levert clouddiensten, bijvoorbeeld rekenkracht en opslag. Onder de reikwijdte van de raamovereenkomst zijn deze diensten meegenomen.
Zoals toegelicht in de beantwoording van vragen 1 en 4 zijn afspraken over de afname van diensten geen onderdeel van de raamovereenkomst.

Vraag 9

Erkent u dat opslag binnen de Europese Economische Ruimte (EER) geen afdoende bescherming is tegen inzageverzoeken van niet-Europese overheden, als de bedrijven die de opslag beheren onder niet-Europese wetgeving vallen?

Ja, dat erken ik. Omdat dit risico niet van toepassing is op de diensten in scope van de raamovereemkomst met STACKIT, verwijs ik voor een gedetailleerde juridische analyse naar andere door SLM gepubliceerde DPIA’s.4 Zo wordt hierop in de recent gepubliceerde tweede update DPIA op M365 Copilot gedetailleerd ingegaan, specifiek in paragraaf 8.3.4.
Op dit moment zijn er geen afhankelijkheden van niet-Europese bedrijven geconstateerd voor de diensten van STACKIT die zijn opgenomen in de scope van de raamovereenkomst. Zie ook de beantwoording op vraag 11.

Vraag 10

Is uitgesloten dat de clouddiensten van STACKIT op welke manier dan ook afhankelijk zijn van niet-Europese techbedrijven in het beheer, onderhoud, de beveiliging, of andere essentiële processen?

Dit is contractueel uitgesloten. Mocht er worden geconstateerd dat de feitelijke situatie in een later stadium zou afwijken van de contractuele waarborgen, dan kan het contract direct worden opgezegd.

Vraag 11

Indien dit niet uit te sluiten is, kunt u dan toelichten welke afhankelijkheden STACKIT heeft van niet-Europese bedrijven? Zijn deze afhankelijkheden weg te nemen?

Op dit moment zijn er geen afhankelijkheden van niet-Europese bedrijven geconstateerd voor de diensten van STACKIT die zijn opgenomen in de scope van de raamovereenkomst.

Vraag 12

Welke analyses heeft u gemaakt om te bevestigen dat STACKIT daadwerkelijk volledig Europees en autonoom is? Kunt u deze met de Kamer delen?

SLM Rijk heeft de DPIA op STACKIT door een extern bureau laten uitvoeren waarin de potentiële gegevensuitwisselingen met STACKIT zijn onderzocht. Conform de uitgevoerde DPIA is in de raamovereenkomst vastgelegd dat alle gegevens exclusief worden verwerkt binnen de EER, inclusief persoonsgegevens. Ook zijn er afspraken gemaakt over (voortijdige) contractbeëindiging bij wijzigingen in eigenaarschap, bijvoorbeeld als STACKIT wordt overgenomen door een buiten de EER gelegen eigenaar. Zie ook de beantwoording op vraag 5.

Vraag 13

Hoe gaat de Rijksoverheid toezien of STACKIT zich aan de afspraken houdt? Welke toezichthouder is hiertoe aan zet?

SLM Rijk zal dat doen door middel van uitoefening van het bedongen auditrecht, dit is onderdeel van regulier contractbeheer. De toezichthouder is in casu dus niet aan zet.

Vraag 14

Kunt u de vragen afzonderlijk van elkaar en zo snel mogelijk beantwoorden?

Ja.

Vraag 1

Bent u bekend met het Follow The Money-artikel «Marechaussee werkte met omstreden techreus Palantir: Minister van Weel verzweeg contract voor Tweede Kamer»?1

Ja.

Vraag 2

Was uw eerdere antwoord op Kamervragen in juli 2025 over gebruik van Palantir binnen de Nederlandse overheid correct en compleet?2 Zo nee, wat heeft u dan verzaakt te melden?

De Kamervragen zijn destijds gesteld aan en beantwoord door de Minister van Justitie en Veiligheid (JenV), op basis van de toen geldende portefeuilleverdeling binnen het kabinet. Daarnaast werden er Kamervragen over het mogelijke gebruik van Palantir gesteld aan meerdere bewindspersonen van andere departementen (Defensie, VWS, IenW, FIN, BZK). Grenstoezicht door de KMar, waarvoor Palantir-software in het verleden is ingezet, viel onder verantwoordelijkheid van de Minister van AenM. Daarom is deze toepassing van Palantir niet meegenomen ten tijde van de beantwoording van de Kamervragen in augustus 2025.
Inmiddels is het Ministerie van Asiel en Migratie opgegaan in het Ministerie van Justitie en Veiligheid. Daardoor is in navolging van een Woo-verzoek van JenV recent een contract verstrekt. Het Programma Vernieuwing Grensmanagement, onderdeel van de Programmadirectie Identiteitsmanagement en Immigratie (IDMI), had contracten afgesloten voor het gebruik van Palantir voor het API-systeem dat gebruikt werd door de KMar voor het grenstoezicht. IDMI was onderdeel van het Directoraat Generaal Vreemdelingenzaken (DGVZ), thans DGM. Zoals hierboven uitgelegd, viel dit betreffende beleidsonderdeel ten tijde van de beantwoording van de Kamervragen in augustus 2025 niet onder de politieke verantwoordelijkheid van de Minister van JenV.
De stukken die hierover inmiddels naar aanleiding van het Woo-besluit van JenV zijn gedeeld en de inzet van Palantir-softwarelicenties, zullen nader worden betrokken bij de afhandeling van het Woo-verzoek dat aan de Minister van Asiel en Migratie is gestuurd.

Vraag 3

Was u op de hoogte van het contract tussen Palantir en de Programmadirectie Identiteitsmanagement en Immigratie (IDMI) in 2014?

Zie antwoord vraag 2.

Vraag 4

Zo ja, waarom heeft u dat contract niet genoemd in uw eerdere antwoord? Zo nee, waarom bent u niet voldoende op de hoogte over Amerikaanse tech-afhankelijkheden binnen uw eigen ministerie?

Zie antwoord vraag 2.

Vraag 5

Kunt u een kloppend overzicht geven van alle lopende, aanstaand of verlopen contracten tussen de Nederlandse overheid, inclusief sub-overheden en Zelfstandig Uitvoeringsorganen (ZBO’s), en het Amerikaanse Palantir?

Er is geen Rijksbrede overeenkomst met Palantir. Een overzicht van alle lopende, aanstaande en verlopen contracten is niet voorhanden. Aanbestedende diensten zijn zelf verantwoordelijk voor de aanbestedingsprocedures en het contracteren van leveranciers, er is geen centraal overzicht dat door mijn ministerie kan worden aangeboden.

Vraag 6

Bent u van mening dat ongepaste of onethische uitspraken van het bestuur van een bedrijf een reden moet zijn dat de Nederlandse overheid geen zaken meer moet doen met het bedrijf in kwestie? Zo nee, waarom niet?

Het kabinet stelt de bescherming van mensenrechten en de democratische rechtsstaat voorop en zet zich daarvoor in, ook bij de inzet van technologie. Het is niet aan het kabinet om opvattingen van het bestuur van een bedrijf van een oordeel te voorzien.
In relatie tot de huidige toepassing van Palantir bij de politie en Defensie hecht ik er, met de Staatssecretaris van Defensie, aan te benadrukken dat dit gebruik van veel waarborgen is voorzien. Tegelijkertijd worden mogelijke alternatieven verkend om de toekomstbestendigheid en flexibiliteit te vergroten, zoals ook aan uw Kamer toegelicht door de Staatssecretaris van Defensie tijdens het Vragenuur van 2 juni jl.
Voor een reactie op de vraag of de Nederlandse overheid zaken kan blijven doen met het bedrijf in kwestie wordt u verwezen naar de Kamerbrief van de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties over de uitvoering aangenomen ontraden moties over ICT-onderwerpen ingediend tijdens het Notaoverleg over de Nederlandse Digitaliseringsstrategie d.d. 29 september 2025.3 Hierin is ingegaan op de uitvoering van de aangenomen motie4 (motie 5) van het lid Six Dijkstra c.s. over het onafhankelijk maken van de Nederlandse overheid van Palantir.

Vraag 7

Bent u voornemens alle lopende en aanstaande contracten tussen de Nederlandse overheid en Palantir in belang van nationale veiligheid te annuleren, dan wel niet te verlengen? Zo nee, waarom niet?

Zie antwoord vraag 6.

Vraag 8

Kunt u deze vragen apart van elkaar en voor 12 mei 2026 beantwoorden?

Dat is helaas niet gelukt.