Vraag 1

Bent u bekend met het bericht dat PHP alleen voor de vier nog ondersteunde versies een reparatie heeft uitgebracht, terwijl naar schatting zestig tot zeventig procent van de PHP-servers op oudere versies draait?1

Vraag 2

Hoe zorgt de Baseline Informatiebeveiliging Overheid 2 (BIO2) ervoor dat software die helemaal geen updates meer krijgt, op tijd wordt vervangen?

Vraag 3

Hebben controles zoals ENSIA, de Auditdienst Rijk of de Algemene Rekenkamer de afgelopen jaren verouderde software bij de overheid aan het licht gebracht? Wat is daar vervolgens mee gedaan?

Vraag 4

Hoeveel systemen van de overheid draaien op dit moment op software die geen beveiligingsupdates meer krijgt, en is dat overzicht volledig?

Vraag 5

Gaan de Inkoopeisen Cybersecurity Overheid en de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten ook over de onderliggende software in een product, zoals PHP, of alleen over het product zelf?

Vraag 6

Hoe vaak is de afgelopen jaren gehandhaafd op deze inkoopeisen, bijvoorbeeld toen een leverancier zijn product niet meer bijwerkte?

Vraag 7

Hoe wordt bij de Cyberbeveiligingswet getoetst of organisaties weten welke verouderde onderdelen er in de software van hun leveranciers zitten?

Vraag 8

Hoe wordt de veiligheid geborgd van systemen die de overheid al jaren gebruikt, nu de eisen uit de Cyber Resilience Act alleen gelden voor producten die vanaf december 2027 op de markt komen?

Vraag 9

Blijft er, ondanks deze Europese regels, een gat over dat Nederland zelf moet dichten? Zo ja, hoe wilt u dat doen en op welke termijn?

Vraag 10

Is de ondersteuning door de Informatiebeveiligingsdienst genoeg voor gemeenten, provincies en waterschappen om verouderde software zelf op te sporen en te vervangen?

Vraag 11

Kunt u deze vragen afzonderlijk van elkaar en voor het commissiedebat Online veiligheid en cybersecurity beantwoorden?

Vraag 1

Kunt u reageren op het nieuws dat verschillende overheidswebsites offline zijn gehaald vanwege het risico op hacks?1

Vraag 2

Welke websites van de overheid en belangrijke instanties zijn (tijdelijk) offline gehaald? Welke gevolgen heeft dit (gehad) voor burgers en organisaties?

Vraag 3

Wat gaat u doen om problemen die ontstaan als gevolg van het (tijdelijk) offline halen van deze websites op te lossen? Bij welke belangrijke processen, zoals inloggen met DigiD of het maken van een online afspraak, is hier mogelijk sprake van?

Vraag 4

Wanneer waren de kwetsbaarheden bekend?2 Hoeveel tijd zat er tussen de ontdekking en het openbaar maken van deze informatie? Is er een aanleiding om te denken dat de kwetsbaarheid is misbruikt door hackers?

Vraag 5

Hoe heeft u gereageerd om zo snel mogelijk het risico op hacks te voorkomen? Welke afstemming vindt er plaats om de reactie met alle getroffen overheden en bedrijven te coördineren?

Vraag 6

Welke rol heeft het Nationaal Cyber Security Center (NCSC) in het ondersteunen van overheden en organisaties die wellicht dezelfde kwetsbare programmeertaal gebruiken, maar hier geen weet van hebben?

Vraag 7

Hoe wordt actuele en belangrijke informatie met de juiste partijen gedeeld als de website van het NCSC zelf ook offline is gehaald? Waar kunnen burgers en organisaties betrouwbare informatie in dit geval vinden?

Vraag 8

Ligt er een plan klaar voor het tijdig beschermen van belangrijke websites en instanties zodra een dergelijke kwetsbaarheid wordt gevonden? Zo ja, wat is het beleid hiervoor?

Vraag 9

Ziet u, gezien het groeiende aantal kwetsbaarheden, storingen en cyberaanvallen, aanleiding om bestaande wetten en beleid aan te scherpen? Zo ja, wat moet aangepast worden en op welke termijn gaat u hier voorstellen voor doen?

Vraag 10

Kunt u deze vragen afzonderlijk van elkaar en zo spoedig mogelijk beantwoorden?

Vraag 1

Bent u bekend met de Belgische werkwijze om online misleiding tegen te gaan, waarbij internetgebruikers die een als malafide aangemerkte website proberen te bezoeken, automatisch worden doorgeleid naar een waarschuwingspagina?1 Bent u tevens bekend met de resultaten van deze aanpak, die ertoe heeft geleid dat reeds honderdduizenden Belgische consumenten op deze wijze zijn gewaarschuwd?2

Vraag 2

Herinnert u zich de antwoorden op mijn eerder gestelde schriftelijke vragen, waarin u schreef dat weren van advertenties door zoekmachines onvoldoende is om consumenten te beschermen, omdat bijvoorbeeld ook reguliere zoekresultaten naar websites van malafide bedrijven leiden? (Aanhangsel Handelingen II, 2025–2026, nr. 1809). Deel u de mening dat de Belgische werkwijze een antwoord biedt op deze constatering?

Vraag 3

Bent u bereid te verkennen of een vergelijkbare aanpak in Nederland kan worden ingevoerd, mede gezien de meldingen van online fraude en malafide websites bij de Autoriteit Consument & Markt (ACM)? Zo ja, op welke termijn kunt u de Kamer hierover informeren? Zo nee, waarom niet?

Vraag 4

Klopt het dat artikel 2.7, eerste lid, van de Wet handhaving consumentenbescherming de Autoriteit Consument en Markt (ACM) al de bevoegdheid geeft om consumenten door te leiden naar een waarschuwingspagina als zij een website van malafide partijen bezoeken? Hoe vaak heeft de ACM van deze bevoegdheid gebruikgemaakt en welke mogelijkheden biedt deze bepaling voor een aanpak naar Belgisch voorbeeld?

Vraag 5

Kunt u reflecteren op de Belgische wetgeving en aanpak om advertenties van malafide aanbieders van zoekmachines te weren? Hoe verhouden deze zich tot de Nederlandse wetgeving en aanpak? Bent u bereid om in gesprek met uw Belgische ambtsgenoot te bezien welke lessen uit het Belgische voorbeeld voor Nederland kunnen worden getrokken? Zo nee, waarom niet?

Vraag 1

Bent u bekend met het bericht: «Nederland weet amper hoeveel stroom en water zijn datacentra opslokken»?1

Vraag 2

Weet u hoeveel stroom en water onze datacentra opslokken?

Vraag 3

Zo ja, kunt u deze gegevens publiceren en duidelijk maken welke datacentra het meest verbruiken?

Vraag 4

Wat is uw reactie op het artikel en het onderzoek van Lighthouse Reports?

Vraag 5

Deelt u de mening dat het publieke belang van transparantie over het stroomverbruik, zwaarder weegt dan het zogenaamd bewaken van bedrijfsgeheimen?

Vraag 6

Wat is uw visie op enerzijds het digitaal autonoom maken van Nederland en Europa, en anderzijds de groeiende vraag om stroom en water voor datacentra?

Vraag 7

Klopt het dat deze bedrijven hun milieudata zoals stroom en waterverbruik moeten publiceren?

Vraag 8

Hoeveel verbruiken de overheidsdatacentra? Kunt u hier actuele gegevens over delen?

Vraag 9

Hoe zorgt u ervoor dat het stroomverbruik van datacentra niet ten koste gaat van het verbruik door huishoudens en ander maatschappelijk belangrijk gebruik?

Vraag 10

Bent u bereid in de onderhandelingen over het Europese Tech Sovereignty Package te pleiten voor duurzaamheids- en transparantieverplichtingen voor datacentra?

Vraag 11

Welke plannen heeft u om overheidsdatacentra te verduurzamen?

Vraag 12

Kunt u de aanname van netbeheerder Tennet, dat per 2030 ongeveer 10 tot 15 procent van de Nederlandse stroom naar datacentra gaat, onderbouwen? Hoe wordt de Energy Efficiency Directive (EED) Europees of in Nederland gehandhaafd?

Vraag 13

Wat zijn de gevolgen voor een bedrijf dat weigert om aan de EED-richtlijnen te voldoen?

Vraag 14

Kunt u laten weten welke bedrijven zich momenteel niet aan deze eisen houden?

Vraag 15

Hoe en door wie worden andere milieuregels voor datacentra gehandhaafd?

Vraag 16

Kunt u deze vragen afzonderlijk van elkaar en vóór het commissiedebat Digitale autonomie van 19 november 2026 beantwoorden?

Vraag 1

Bent u bekend met de artikelen in Trouw Toenemend verzet werkt irritatie bij datacentra: «Het zijn cave people»1 en Van driekwart van datacentra is volstrekt onduidelijk over water- en stroomgebruik2?

Vraag 2

Hoe kan het dat de Rijksdienst voor Ondernemend Nederland (RVO) van slechts 104 datacenters gegevens heeft over de milieubelasting, terwijl er in ieder geval 186 commerciële datacentra gevestigd zijn in Nederland met een vermogen van meer dan 500 kilowatt?

Vraag 3

Hoe wordt gehandhaafd dat datacenters gegevens over hun elektriciteit- en waterverbruik rapporteren? Welke maatregelen kan het Rijk of het RVO nemen als datacenters deze gegevens niet of onvolledig aanleveren?

Vraag 4

Worden gegevens over de milieubelasting van datacentra, zoals het energie- en watergebruik, aangemerkt als bedrijfsgevoelige informatie?

Vraag 5

Bent u het ermee eens dat het publieke belang van transparantie over de milieubelasting van datacenters zwaarder weegt dan het bedrijfsgeheim? Zo nee, waarom niet?

Vraag 6

Erkent u dat uit het toenemende lokale verzet tegen de vestiging van datacenters blijkt dat het gaat om een publiek belang?

Vraag 7

Het Centraal Bureau voor de Statistiek (CBS) meldde in 2024 dat het elektriciteitsgebruik van datacenters was gegroeid naar 4,6% van het landelijk elektriciteitsverbruik. Wat was het aandeel van datacenters in het Nederlandse elektriciteitsverbruik in 2025?

Vraag 8

Is het kabinet bereid zich binnen de Europese Unie in te zetten voor meer transparantie over de milieubelasting van datacenters, bijvoorbeeld door rapportage en openbaarmaking van belangrijke gegevens te verplichten en hierop hand te haven?

Vraag 9

Bent u het eens met de Europese Commissie dat de datacentrumcapaciteit in de Europese Unie in de komende vijf tot zeven jaar zou moet verdrievoudigen? Vindt u dat dit ook geldt voor de Nederlandse datacentrumcapaciteit?

Vraag 1

Bent u bekend met het inmiddels bijna 10 jaar oude artikel «Google moet stoppen met automatisch discrimineren»1, dat aankaart dat de zoekmachine van Google in sommige gevallen discriminerende vraagsuggesties geeft?

Vraag 2

Bent u bekend met het feit dat dit nog steeds niet is opgelost, wat blijkt uit dat bij het intypen van «alle Marokkanen z» op google.nl bij gebruik van een incognitovensterop op 11 augustus 2026, Google deze vraagsuggestie aanvulde met discriminerende teksten zoals «alle Marokkanen zijn kanker ratten» of «alle Marokkanen weg»?

Vraag 3

Bent u daarnaast bekend met het feit dat na het indienen van de zoekopdracht «overlast» in combinatie met de naam van een gemeente op google.nl bij gebruik van een incognitovenster op 11 augustus, in het geval van onder meer de gemeenten Veenendaal, Tiel, Culemborg, Oosterhout, Hoogezand, Zutphen en Weert, Google de «Meer om te vragen»-suggesties «Hoeveel Marokkanen wonen/zijn er in [gemeente x]?» of «Hoeveel Turken wonen/zijn er in [gemeente x]?» opperde en dat de knop om ongepaste suggesties te melden bij dit type zoekresultaat ontbreekt?

Vraag 4

Bent u ook bekend met de berichtgeving van Euronews2 en Le Monde3 dat het AI-gegeneerde antwoord van Google eind augustus 2026 op de zin «ik ben alleen met een Italiaan» gesprekstips betrof, maar bij dezelfde zin met «Algerijn» in plaats van «Italiaan», het model vroeg of je in gevaar was en je het nummer van de politie toonde?

Vraag 5

Deelt u de mening dat dergelijke vraagsuggesties en AI-antwoorden, die automatisch gegenereerd en getoond worden, een discriminerend verband leggen door overlast of gevaar te koppelen aan afkomst?

Vraag 6

Hoe beoordeelt u de aanpak van Google om, net als bij de vraagsuggesties, dit soort patronen pas na ophef of een melding bij te sturen, en dan vooral voor de vraag die in het nieuws kwam, terwijl hetzelfde patroon in het model kan blijven zitten en bij andere vragen onopgemerkt blijft?

Vraag 7

Welke risico's ziet u daarbij nu dezelfde modellen de basis vormen van steeds meer toepassingen, waardoor zulke vooroordelen niet in elk geval zichtbaar worden maar wel ongemerkt kunnen doorwerken?

Vraag 8

Hoe kijkt u naar de verantwoordelijkheid van Google en andere leveranciers van grote AI-modellen om vooroordelen uit de trainingsdata vooraf, bij het ontwerp en bij de toetsing van hun modellen, te herkennen en in het model zelf te corrigeren, bijvoorbeeld via red-teaming of bias-audits, in plaats van de uitkomsten per geval bij te sturen nadat gebruikers of media ze toevallig hebben opgemerkt?

Vraag 9

Deelt u de mening dat het onacceptabel is dat een groot en invloedrijk platform als Google op deze manier bijdraagt aan het in stand houden en versterken van vooroordelen, en dat de omvang en het bereik van Google diens verantwoordelijkheid alleen maar groter maken?

Vraag 10

Bent u hierover in gesprek met Google en andere leveranciers van grote AI-modellen, en is bij u bekend of zij structureel testen op discriminerende associaties in hun zoeksuggesties, aanbevelingsalgoritmes, autocomplete-functies en AI-antwoorden? Zo ja, wat heeft dat gesprek tot nu toe opgeleverd? Zo nee, bent u bereid dit gesprek aan te gaan en dit bij hen na te vragen?

Vraag 11

Heeft u inzicht in de wijze waarop dergelijke vraagsuggesties en AI-antwoorden van Google tot stand komen? Zo nee, welke maatregelen treft u om dit inzicht wel te krijgen, en in hoeverre kan de digitaledienstenverordening (DSA) hierbij worden ingezet om transparantie van Google over de werking van deze systemen af te dwingen?

Vraag 12

Hoe verklaart u dat deze discriminerende suggesties jarenlang zichtbaar zijn gebleven, terwijl Google onder de DSA al verplicht is de risico's van discriminatie in kaart te brengen en zich daarop jaarlijks onafhankelijk te laten controleren? Gelden deze verplichtingen wat u betreft ook voor de AI-antwoorden in de zoekmachine van Google, en zo ja, hoe wordt daarop toegezien?

Vraag 13

Welke verplichtingen hebben aanbieders van grote AI-modellen onder de AI-verordening om vooroordelen in hun modellen te beoordelen en te beperken, en wie ziet daarop toe?

Vraag 14

Welke oplossingsrichtingen ziet u om vooroordelen in zoeksuggesties en in grote AI-modellen structureel op te sporen en te beperken, in plaats van per geval na meldingen, bijvoorbeeld via onafhankelijke audits of algoritmetoezicht?

Vraag 15

Bent u bereid in Europees verband te bepleiten dat platformen en aanbieders van AI-modellen zoals Google niet alleen moeten rapporteren dát zij hun systemen toetsen op discriminatie, maar ook openbaar moeten maken wat die toetsing oplevert en wat zij met de uitkomsten doen?

Vraag 16

Bent u bereid Google op korte termijn aan te spreken op het ontbreken van een meldknop bij de «Meer om te vragen» suggesties en op de voorbeelden uit deze vragen?

Vraag 17

Bent u bereid deze situatie ook te melden bij de Autoriteit Consument en Markt en de Europese Commissie, en de Kamer te informeren over de reacties?

Vraag 18

Bent u bereid de Nationaal Coördinator tegen Discriminatie en Racisme te betrekken bij de aanpak van discriminatie door zoekmachines en AI-systemen?

Vraag 19

Kunt u de vragen afzonderlijk van elkaar beantwoorden?

Vraag 1

Bent u bekend met het bericht «Anthropic-onderzoeker neemt ontslag: OpenAI en Anthropic handelen onverantwoordelijk en gokken met ons leven»1 en het bericht «Anthropic-medewerker: kans bestaat dat AI de mensheid uitroeit»2, waarin onderzoekers van vooraanstaande AI-bedrijven waarschuwen voor ernstige veiligheidsrisico’s van steeds krachtigere AI-systemen?

Vraag 2

Hoe beoordeelt u de waarschuwingen van deze onderzoekers dat de ontwikkeling van zeer geavanceerde AI-systemen sneller verloopt dan de ontwikkeling van adequate veiligheidsmaatregelen en beheersingsmechanismen? Welke conclusies verbindt u daaraan?

Vraag 3

Heeft het kabinet scenarioanalyses laten uitvoeren naar de gevolgen van geavanceerde AI voor de nationale veiligheid, waaronder cyberaanvallen, beïnvloeding van democratische processen, sabotage van vitale infrastructuur, militaire toepassingen en andere hybride dreigingen? Zo ja, kunt u de belangrijkste bevindingen met de Kamer delen?

Vraag 4

In hoeverre acht u het bestaande nationale, Europese en internationale normatieve kader, waaronder de AI Act, toereikend voor het beheersen van risico's die voortvloeien uit de ontwikkeling van zeer krachtige algemene AI-modellen en toekomstige frontier AI-systemen?

Vraag 5

Welke aanvullende maatregelen acht u noodzakelijk om de digitale weerbaarheid van Nederland te versterken tegen risico's die samenhangen met geavanceerde AI-systemen, in het bijzonder waar het gaat om vitale infrastructuur, overheidsorganisaties, defensie en de bescherming van burgers?

Vraag 6

Hoe geeft het kabinet, mede in het licht van het streven naar een digitaal weerbare samenleving, invulling aan het voorzorgsbeginsel bij de ontwikkeling en toepassing van zeer geavanceerde AI-systemen waarvan de maatschappelijke gevolgen mogelijk verstrekkend en onomkeerbaar zijn?

Vraag 7

Deelt u de zorg dat een internationale concurrentiestrijd tussen staten en marktpartijen kan leiden tot een situatie waarin veiligheidsbelangen ondergeschikt raken aan technologische en economische belangen? Zo ja, hoe wordt dit risico in het kabinetsbeleid geadresseerd?

Vraag 8

Herkent u de zorgen die leven rondom superintelligente AI en het risico dat de mens niet meer in staat is deze ontwikkeling te stoppen? Deelt u de mening dat een verbod hierop wenselijk is?

Vraag 9

Bent u bereid binnen de Europese Unie en internationale gremia te pleiten voor aanvullende afspraken over de ontwikkeling van geavanceerde AI, een verbod op superintelligente AI, en de mogelijkheid om tijdelijk een pas op de plaats te maken bij de ontwikkeling van krachtige AI-systemen zonder dat de risico’s voldoende helder zijn?

Vraag 10

Kunt u de Kamer voor het einde van dit jaar informeren over de kabinetsinzet en de mogelijkheden en wenselijkheid van aanvullende waarborgen voor geavanceerde, superintelligente AI, waaronder de mogelijkheid van een tijdelijke ontwikkelpauze voor de krachtigste AI-systemen?

Vraag 1

Hoe beoordeelt u de effectiviteit van zelfregulering in deze sector, nu een zelf opgelegde norm bij een groot nieuw project ruim wordt overschreden?1

Vraag 2

Kunt u toelichten welke informatie het Rijk op dit moment structureel ontvangt over het feitelijke drinkwatergebruik per datacenter in Nederland?

Vraag 3

Kunt u toelichten op welke juridische grondslag een bevoegd gezag het drinkwatergebruik van een nieuwe vestiging kan meewegen bij de verlening van een omgevingsvergunning?

Vraag 4

Deelt u de opvatting dat de beschikbaarheid van drinkwater in het huidige stelsel vooral achteraf wordt geregeld via de leveringsrelatie met het drinkwaterbedrijf, en niet vooraf in het ruimtelijk spoor?

Vraag 5

Kunt u toelichten welke wijzigingen in wet- en regelgeving nodig zouden zijn om waterbeschikbaarheid een expliciete afwegingsgrond te maken bij vergunningverlening aan grootverbruikers?

Vraag 6

Kunt u toelichten of het juridisch en uitvoeringstechnisch denkbaar is om de logica van de verdringingsreeks ook vooraf toe te passen, bij het toestaan van nieuw grootschalig drinkwatergebruik, in plaats van uitsluitend bij feitelijke schaarste? Zo ja, hoe kijkt u naar een dergelijke aanpassing?

Vraag 7

Kunt u toelichten in hoeverre de zorg- en leveringsplicht uit de Drinkwaterwet zich uitstrekt tot laagwaardig industrieel gebruik, zoals koeling?

Vraag 8

Kunt u toelichten hoe u opvolging geeft aan de aanbeveling uit het Rli-advies «Zorg voor water» om de systeemverantwoordelijkheid voor de drinkwatervoorziening actiever in te vullen?2

Vraag 9

Kunt u toelichten hoe een nieuwe aansluiting van deze omvang zich verhoudt tot het doel uit het Nationaal Plan van Aanpak Drinkwaterbesparing om het zakelijke drinkwatergebruik in 2035 met 20 procent te verminderen ten opzichte van de referentieperiode 2016–2019?3

Vraag 10

Bent u bereid te verkennen of het besluitmoment over meer sturende maatregelen, dat nu is voorzien bij de herijking van dat plan in 2028, naar voren kan worden gehaald?

Vraag 1

Erkent u dat het onwenselijk is dat een nieuw commercieel datacenter jaarlijks circa 1,1 miljard liter drinkwater gebruikt, zeker tijdens een periode van uitzonderlijke droogte?1

Vraag 2

Deelt u de opvatting dat drinkwater niet gebruikt zou moeten worden voor de koeling van datacenters, zeker wanneer alternatieve koeltechnieken beschikbaar zijn?

Vraag 3

Bent u ervan op de hoogte dat het directe watergebruik van datacenters slechts een beperkt deel vormt van hun totale watervoetafdruk en dat het overgrote deel van het waterverbruik indirect is?

Vraag 4

Kunt u actuele, onafhankelijke cijfers over de totale watervoetafdruk van datacenters (direct en indirect) in Nederland met de Kamer delen, uitgesplitst naar:

Vraag 5

Kunt u aangeven welk aandeel dit vormt van de totale Nederlandse waterconsumptie?

Vraag 6

Wordt bij de vergunningverlening en ruimtelijke afweging van datacenters rekening gehouden met de watervoetafdruk van de benodigde elektriciteitsproductie? Zo nee, waarom niet?

Vraag 7

Welke landelijke wettelijke mogelijkheden heeft u om het gebruik van drinkwater door datacenters te verbieden of aan een bindend maximum te onderwerpen, mede gelet op de aangenomen motie-Grinwis c.s.?2

Vraag 8

Hoe staat het met de uitvoering van de motie-Grinwis c.s. over het aanscherpen van de juridische criteria voor hyperscale datacenters en het stellen van effectieve wettelijke voorwaarden aan datacenters?3 Wat is de tijdlijn en wanneer krijgen we resultaten te zien?

Vraag 9

Waarom gelden er op dit moment vooral landelijke vestigingsregels voor hyperscale datacenters, maar geen vergelijkbare landelijke begrenzingen voor watergebruik, elektriciteitsgebruik en maatschappelijke en ecologische belasting door andere grote datacenters?

Vraag 10

Bent u bereid de bestaande landelijke regels uit te breiden naar datacenters die op dit moment niet onder de huidige definitie van hyperscale vallen, maar wel een groot beslag leggen op drinkwater of het elektriciteitsnet?

Vraag 11

Bent u bereid om in landelijke regelgeving vast te leggen dat nieuwe datacenters geen drinkwater mogen gebruiken voor koeling?

Vraag 12

Als een volledig verbod volgens u niet mogelijk is, bent u dan bereid een strikt landelijk maximum per datacenter en voor de sector als geheel vast te leggen? Zo nee, welke andere effectieve maatregelen bent u dan wel bereid te nemen?

Vraag 13

Erkent u dat de ontwikkeling van kunstmatige intelligentie en de daarmee samenhangende groei van datacenters zo snel verloopt dat wet- en regelgeving, democratische controle en maatschappelijke besluitvorming deze ontwikkeling onvoldoende kunnen bijbenen? Zo nee, hoe onderbouwt u dat?

Vraag 14

Welke publieke voorwaarden moeten volgens u worden gesteld voor nieuwe datacenters of grootschalige AI-infrastructuur, zodat de baten aantoonbaar ten goede komen aan de Nederlandse samenleving en niet hoofdzakelijk terechtkomen bij buitenlandse technologiebedrijven?

Vraag 15

Hoeveel van de datacenters in Nederland komt ten goede aan de Nederlandse en Europese digitale autonomie?

Vraag 16

Bent u het eens met de stelling dat er gezien de schaarse ruimte in Nederland geen ruimte moet zijn voor datacenters voor big-tech-bedrijven buiten Europa? Zo nee, waarom niet en ten koste waarvan mogen zulke big-tech-datacenters dan gaan volgens u?

Vraag 17

Bent u bereid om per direct een tijdelijk landelijk moratorium in te stellen op datacenters, totdat bindende landelijke wetgeving is vastgesteld over onder meer het directe en indirecte watergebruik, het energiegebruik, de belasting van het elektriciteitsnet en de gevolgen voor woningbouw en andere maatschappelijke functies? Zo nee, waarom niet?

Vraag 18

Erkent u dat het maatschappelijk onaanvaardbaar is wanneer woningbouwprojecten door netcongestie vertragen of stilvallen, terwijl nieuwe energie-intensieve datacenters wel capaciteit kunnen krijgen en een datacenter al snel een capaciteit van 40 MW vraagt, wat in dezelfde ordergrootte is als 100.000 huishoudens? Zo nee, waarom niet?

Vraag 19

Hoeveel elektriciteit gebruikt het voorgenomen datacenter in Amsterdam naar verwachting maximaal, en hoeveel netcapaciteit is daarvoor nodig?

Vraag 20

Deelt u de opvatting dat woningbouw, zorg, openbaar vervoer, verpleeghuizen, scholen en andere vitale maatschappelijke functies voorrang moeten hebben op commerciële datacenters bij de verdeling van schaarse netcapaciteit? Zo nee, waarom niet?

Vraag 21

Waarom zijn datacenters niet als afzonderlijke categorie opgenomen in het prioriteringskader voor nieuwe aansluitingen op het elektriciteitsnet? Welke prioriteit krijgen datacenters precies op dit moment in het kader?

Vraag 22

Staat er een evaluatie van dit prioriteringskader gepland, om te zien in hoeverre netbeheerder hierdoor maatschappelijke aspecten meewegen bij het verdelen van netcapaciteit? Zo nee, bent u bereid deze evaluatie alsnog te doen?

Vraag 23

Bent u bereid wettelijk vast te leggen dat nieuwe datacenters geen aansluiting krijgen zolang daardoor capaciteit wordt verdrongen die nodig is voor woningbouw of andere maatschappelijke prioriteiten? Zo nee, waarom niet?

Vraag 24

Bent u bereid een landelijke vergunningsvoorwaarde in te voeren waarin datacenters verplicht worden hun elektriciteitsvraag flexibel af te schakelen tijdens piekbelasting en netcongestie?

Vraag 25

Welke mogelijkheden ziet u om datacenters verplicht te laten bijdragen aan netverzwaring, flexibiliteit, opslag en lokaal energiebeheer, zodat de kosten niet op huishoudens en andere gebruikers worden afgewenteld?

Vraag 26

Erkent u dat de gevolgen van datacenters voor drinkwater, elektriciteit, ruimte, warmte en klimaat het lokale belang overstijgen en daarom om landelijke regie vragen? Zo nee, waarom niet?

Vraag 27

Kunt u deze vragen afzonderlijk en binnen de daarvoor geldende termijn beantwoorden?

Vraag 1

Op welke wijze is binnen het ministerie geborgd dat de wettelijke en procedurele informatieplicht richting de parlementaire enquêtecommissie volledig, tijdig en controleerbaar is nageleefd bij de omgang met de desbetreffende datakluis? Classificeert u deze borging met het huidige inzicht als afdoende en doeltreffend? Zo ja, waarom wel? Zo nee, waarom niet?1

Het Ministerie van Financiën heeft de informatieplicht richting de parlementaire enquêtecommissie Fraudebeleid en Dienstverlening (PEFD) met verschillende waarborgen omkleed. Het uitgangspunt is altijd volledige medewerking in het belang van het onderzoek geweest. De informatiefase en het leveren van documenten zijn met zorgvuldigheid uitgevoerd. Onderzoekskeuzes en zoekmethoden zijn vastgelegd en transparant met de enquêtecommissie gedeeld. Daarnaast heeft het Ministerie van Financiën de Auditdienst Rijk (ADR) als onafhankelijke derde gevraagd de inrichting en uitvoering van het gehanteerde werkproces bij de levering van stukken aan de parlementaire PEFD te onderzoeken. Het doel van het onderzoek was om inzicht te geven in het doorlopen proces om zo witte vlekken in kaart te brengen en verbeteringen in de werkwijze door te voeren voor de volgende parlementaire enquête.
Ten aanzien van de datakluis zijn, zoals ook blijkt uit het BDO-rapport: «in de periode na 2019 verschillende activiteiten ondernomen, waaronder: het formuleren van KPI's voor opschoning en vernietiging; het opstellen van plannen van aanpak per directie; het uitvoeren van inventarisaties van de inhoud van de datakluis; het ontwikkelen van pilots en voorstellen voor (gedeeltelijke) ontsluiting. Uit interviews en verslaglegging volgt dat de uitvoering van deze activiteiten per directie en periode varieerde en dat de voortgang afhankelijk was van beschikbare capaciteit, prioritering en inzicht in de data.» De kennis over de datakluis was dus aanwezig in de organisatie. De in het rapport benoemde medewerker heeft in elk geval zorgvuldig gehandeld door de datakluis onder de aandacht te brengen.
Dat de datakluis desondanks niet is meegenomen in de zoekslag voor de PEFD had nooit mogen gebeuren. In onze brief van 10 juli 2026 hebben wij opgenomen dat wij de aanbeveling van BDO onverkort overnemen. Dit betekent dat wij de door BDO aanbevolen vervolgonderzoeken zullen doen, waaronder een onderzoek naar signalen in het proces van informatievoorziening. Hierin zal aandacht worden besteed aan mogelijke andere signalen over de datakluis, ook bij andere zoekslagen, en aan het oppakken van deze signalen.

Vraag 2

Hoe is vastgesteld dat de betrokken medewerker, die reeds in 2022 kennis had van de datakluis, heeft gehandeld in overeenstemming met de interne zorgvuldigheids-, informatie- en archiveringsnormen die gelden bij parlementaire informatieverstrekking?

Zie antwoord vraag 1.

Vraag 3

Kan worden uitgesloten dat sprake is geweest van actieve selectie, filtering of afbakening van informatie, die aan de parlementaire enquêtecommissie is verstrekt? Zo ja, op basis van welke toetsing is die conclusie getrokken?

Zie antwoord vraag 1.

Vraag 4

Op welke wijze is de bestuurlijke verantwoordelijkheid voor het handelen of nalaten van de betrokken medewerker in dit proces vastgesteld, beoordeeld en intern gedocumenteerd? Classificeert u deze procedure met het huidige inzicht als afdoende en doeltreffend? Zo ja, waarom wel? Zo nee, waarom niet?

Zie antwoord vraag 1.

Vraag 5

Hoe verhoudt de stelling dat het niet verstrekken van de documenten uit de datakluis «geen impact heeft gehad op de conclusies van de parlementaire enquêtecommissie» zich tot het feit dat deze commissie de desbetreffende informatie zelf niet heeft kunnen beoordelen? Op welke objectieve en verifieerbare onderbouwing is deze conclusie gebaseerd en op welke grond meent het kabinet zich daarover uit te kunnen laten?

De bevindingen van de PEFD zijn zeer stevig. Het gaat hierbij om onder meer:
Het kabinet heeft deze conclusies volledig omarmd en maakt hier werk van. De Staatssecretaris Herstel Toeslagen zal uw Kamer in het najaar berichten over de voortgang van de aanbevelingen die de PEFD heeft gedaan. Op dit moment is er geen zicht op de gehele inhoud van de bestanden die in de datakluis zitten. Wel is, zoals aangegeven in de Kamerbrief van 15 april, uit steekproeven gebleken dat in de datakluis documenten zitten die geleverd hadden moeten worden aan de PEFD. Het heeft onze prioriteit om op kortst mogelijk termijn op zorgvuldige wijze inzicht te geven in de exacte inhoud van de datakluis.
Graag willen we net als in de brief van 15 april 2026 benadrukken dat het aantreffen van deze gegevens geen invloed heeft op eerder genomen besluiten waarin ouders als gedupeerde zijn aangemerkt in het herstelproces. Ook verandert het niets aan de uitgangspunten van de hersteloperatie dat het verhaal van de ouder altijd leidend is en dat zij ruimhartig worden gecompenseerd voor geleden schade.

Vraag 6

Classificeert u het feit dat zeven ambtsvoorgangers reeds van het bestaan van de datakluis afwisten en desondanks deze bewust of onbewust hebben achtergehouden als dermate problematisch dat daaraan straf- of bestuursrechtelijke consequenties verbonden moeten worden? Zo nee, waarom niet?

Op basis van de feiten die blijken uit het BDO-rapport herken ik de in de vraag 6 en 7 geschetste situatie niet.
De datakluis is in 2019 ingericht omdat de Belastingdienst achterliep met het opschonen en vernietigen van gegevens van de Q-schijf in het kader van de AVG en de archiefwet. Hierover is de Kamer destijds geïnformeerd.2 De datakluis komt ook terug in het rapport van de ADR uit datzelfde jaar.
Dat als gevolg van de datakluis bepaalde, zwaarwegende, vorderingen niet zijn nagekomen en mogelijk regels zijn overtreden is zeer ernstig. Er zijn in het onderzoek van BDO geen aanwijzingen dat dit opzettelijk is gebeurd met als doel voordeel te behalen.

Vraag 7

Kunt u aangeven waarom u niet actief wil kijken naar strafrechtelijke vervolging nu blijkt dat het complete stelsel, van ambtenaren tot bewindspersonen, jarenlang en stelselmatig zowel de Kamer als gedupeerden heeft voorgelogen, mede terwijl zij onder ede verklaarden? Zo nee, wat is er volgens u nog meer nodig om hiervoor wel in aanmerking te komen?

Zie antwoord vraag 6.

Vraag 1

Bent u bekend met het artikel «Laat Financiën niet wegkomen met dit onderzoek naar de achtergehouden datakluis» van Pieter Omtzigt en Renske Leijten en met het onderliggende BDO-rapport voor het Ministerie van Financiën, waaruit blijkt dat sinds 2019 een datakluis bestaat met 64 miljoen documenten die niet aan het parlement, niet aan toeslagenouders, niet aan Woo-verzoekers en niet aan de parlementaire enquêtecommissie fraudebestrijding en dienstverlening zijn verstrekt?1 2

Ja.

Vraag 2

Sinds wanneer was de politieke en ambtelijke top van het Ministerie van Financiën op de hoogte van het bestaan van de datakluis en de daarin opgeslagen documenten?

De datakluis is in 2019 ontstaan als mitigerende maatregel naar aanleiding van een advies van de ADR, hierover is de Kamer destijds geïnformeerd3. Ook is de inrichting van de datakluis besproken in het Directieteam Belastingdienst. Dit blijkt ook uit het BDO-rapport en de geleverde stukken bij de Kamerbrief van 10 juli 2026. Het bestaan van de datakluis is daarmee bekend bij de ambtelijke en politieke leiding van destijds vanaf het moment van ontstaan. Er is nog geen zicht op de volledige inhoud van de datakluis.

Vraag 3

Welke bewindspersonen zijn sinds 2019 geïnformeerd over het bestaan van deze datakluis, en wat waren hun beweegredenen om dit geheim te houden?

Voor het antwoord op deze vraag baseren wij ons op de tijdlijn die op 10 juli 2026 aan uw Kamer is verzonden. Daaruit blijkt dat de volgende bewindspersonen op de hoogte konden zijn of zijn van het bestaan van de datakluis:
Het BDO-rapport noch de tijdlijn bevat aanwijzingen dat de datakluis bewust niet is betrokken in eerdere informatievoorziening met als doel om informatie achter te houden. Wij hebben aangegeven het te betreuren is dat de Belastingdienst niet adequaat heeft gehandeld toen de datakluis had moeten worden meegenomen in de zoekslag ten behoeve van de PEFD of andere informatieverzoeken en dat het lang heeft geduurd voordat de informatie juist, tijdig en volledig mogelijk het kabinet en uw Kamer heeft bereikt.

Vraag 4

Op welke momenten tussen 2019 en 2026 is er met de bewindspersonen en met de topambtenaren gesproken over de datakluis en de inhoud daarvan, en op welke momenten hebben zij hierover mondeling of schriftelijk informatie ontvangen? Kunt u daarvan een precies overzicht geven?

De tijdlijn die met onze brief van 10 juli 2026 is meegestuurd geeft inzicht in belangrijke formeel vastgelegde momenten in de periode 2017 en 2026, waaronder contacten tussen ambtenaren en bewindspersonen

Vraag 5

Kunt u de volgende stukken die in het BDO-rapport genoemd worden per ommegaande aan de Kamer doen toekomen: het memo «Juridisch Kader datakluis» (voetnoot 15)3, e-mail 22 juni 2022.pdf (voetnoot 106), e-mail juni 2025 (paragraaf 387 van het BDO-rapport), alle nota’s die aan de bewindspersonen en/of de (plaatsvervangend) secretaris-generaal zijn voorgelegd, Nota BD inventarisatie datakluis.pdf (voetnoot 148)?

De door u gevraagde documenten zijn reeds openbaar gemaakt als bijlage bij onze Kamerbrief van 10 juli 2026.

Vraag 6

Zijn de geïsoleerde persoonlijke omgevingen overgedragen aan en/of opgevraagd door het Openbaar Ministerie? Zo ja, wanneer, en zo nee, waarom niet? Bent u bereid dat alsnog te doen?

Naar aanleiding van de aangifte van het vermoeden van strafbare feiten door de Staatssecretarissen van Financiën op 19 mei 2020 heeft de Belastingdienst onder meer mailboxen en digitale omgevingen van organisatieonderdelen en teams die voorkomen in de aangifte in een afgeschermde omgeving opgeslagen. Afgeschermde omgevingen bestaan naast de datakluis en zijn in de loop der tijden bij de Belastingdienst ontstaan naar aanleiding van uiteenlopende verzoeken, waaronder interne verzoeken, strafrechtelijke trajecten en andere formele opdrachten. Het veiligstellen in deze afgeschermde omgeving was bedoeld om aan een eventuele vordering van het Openbaar Ministerie te voldoen. U leest dit als zodanig terug in het rapport van BDO. Het is aan het Openbaar Ministerie om een toelichting te geven op de wijze waarop zij dit onderzoek hebben verricht en welke informatie daarvoor is opgevraagd of bekeken. Het Openbaar Ministerie stelde vast dat geen sprake was van een strafrechtelijke verdenking en daarmee zien wij geen aanleiding – ongevraagd – informatie aan het Openbaar Ministerie te verstrekken.

Vraag 7

Deelt u de opvatting dat het, gezien het feit dat het Ministerie van Financiën en de Belastingdienst eerder jarenlang 14 wetten hebben overtreden waardoor burgers ernstig in de problemen zijn gekomen, ongepast is de Belastingdienst nog langer zelf opdrachtgever te laten zijn van een onderzoek naar zichzelf, nu er mogelijk nieuwe overtredingen zijn van de Grondwet (Artikel 68, informatierecht), de Wet open overheid en het Wetboek van Strafrecht (artikel 192b, het niet verschaffen van informatie aan een parlementaire enquêtecommissie)?

Wij delen de opvatting dat het verstandig is om de Belastingdienst niet zelf opdrachtgever te laten zijn van onderzoek over de datakluis bij de Belastingdienst. Daarom heeft BDO, een partij die nooit eerder iets voor de Belastingdienst heeft onderzocht, het onderzoek uitgevoerd en wordt er een onafhankelijke externe commissie ingesteld die toegang krijgt tot alle informatie die zij noodzakelijk acht voor haar werkzaamheden.

Vraag 8

Bent u bereid ervoor te zorgen dat hiervan aangifte wordt gedaan en dat de Rijksrecherche en het Openbaar Ministerie onderzoek doen naar alle mogelijke overtredingen c.q. (ambts)misdrijven?

Uit het onderzoek van BDO komen geen aanwijzingen naar voren dat opzettelijk gegevens zijn achtergehouden in de datakluis met als doel voordeel te behalen, bepaalde gegevens te verbergen of bepaalde belastingplichtigen te benadelen.
Ook als er door of binnen het ministerie of de Belastingdienst fouten zijn gemaakt, zal dit nog niet betekenen dat sprake is van strafbaar gedrag.

Vraag 9

Kunt u deze vragen zelf en binnen drie weken beantwoorden, aangezien het volstrekt ongepast is dat de bewindspersonen voor Financiën dit doen?

De vragen zijn beantwoord binnen drie weken. De vragen zijn op verzoek van de Minister-President door ons beantwoord, aangezien de vragen betrekking hebben op onze portefeuilles.

Vraag 1

Bent u bekend met het artikel «Stroomnet kwetsbaar voor cyberaanval: «Geen kwestie van óf, maar wanneer»»1?

Ja.

Vraag 2

Hoe beoordeelt u de waarschuwing van cybersecurity- en energiespecialisten dat de toenemende digitalisering van het elektriciteitssysteem, waaronder slimme netten, thuisbatterijen, zonnepanelen, laadpalen en andere verbonden apparaten, ook leidt tot een groter aanvalsoppervlak voor kwaadwillenden?

De ontwikkeling naar een meer decentrale energievoorziening maakt lokale opwek en opslag mogelijk en is onderdeel van een succesvolle energietransitie. Deze decentralisatie gaat gepaard met een digitaliseringsslag. Zo kunnen decentrale assets bijvoorbeeld op afstand een (beveiligings)update ontvangen of op afstand worden aangestuurd. Dit is onder meer noodzakelijk om de beveiliging van de assets up-to-date te houden en biedt kansen voor bijvoorbeeld een slimmer gebruik van het elektriciteitsnet. Naast deze voordelen brengt de digitalisering van het energiesysteem ook risico’s met zich mee.
Digitale verbindingen maken de toegang tot deze assets op afstand makkelijker waardoor deze verbindingen een aanvalsoppervlak kunnen vormen voor kwaadwillenden om decentrale assets te manipuleren. Daarom gelden voor (consumenten)apparatuur cybersecurity eisen op basis van wet- en regelgeving zoals de Radio Equipment Directive 3.3 en de Cyber Resilience Act. Om de digitale weerbaarheid van het energiesysteem verder te verhogen en risico’s te mitigeren, treft het kabinet daarnaast nog andere maatregelen. Deze maatregelen zijn toegelicht in de beantwoording van vraag 3.

Vraag 3

In hoeverre wordt digitale weerbaarheid momenteel als randvoorwaarde meegenomen bij de uitvoering van de energietransitie en de uitbreiding van het elektriciteitsnet?

In het ontwerp van het energiesysteem houdt het kabinet rekening met digitale risico’s. Zo worden cybersecurityeisen gesteld aan digitale systemen van energiepartijen en wordt kritieke (digitale) energie-infrastructuur geïdentificeerd en weerbaarder gemaakt. Een concreet voorbeeld is het meenemen van (digitale) weerbaarheid als voorwaarde bij de vergunningsverleningsinstrumenten van nieuwe windparken op zee. Hierbij zijn weerbaarheid en nationale veiligheidszorgen onderzocht en zijn vervolgens veiligheidsmaatregelen genomen, zoals het stellen van voorwaarden voor de herkomst van windmolenonderdelen op basis van de Europese Net Zero Industry Act (NZIA).2
Ook voor bestaande energie-infrastructuur gelden strenge eisen en is er toezicht om de digitale weerbaarheid te verhogen. Met de inwerkingtreding van de Cyberbeveiligingswet (Cbw) op 15 augustus jl. is het bestaande wettelijke cybersecuritykader voor energie-infrastructuur versterkt en worden energiebedrijven verplicht om zorg te dragen voor de beveiliging van hun (digitale) systemen om hun bedrijfscontinuïteit te waarborgen. Aanvullend op de Cbw geldt de Netcode voor Cybersecurity Gedelegeerde Verordening (EU) 2024/1366 (NCCS) ter versterking van de digitale weerbaarheid van het Europese elektriciteitsnet om de veiligheid, continuïteit en betrouwbaarheid ervan te waarborgen. Onderdelen van de NCCS zijn al geïmplementeerd; de NCCS wordt volledig van kracht per 2028.
Het kabinet werkt doorlopend aan het verder versterken van de weerbaarheid van het energiesysteem. Zo is er in de actualisatie van het Nationaal Plan Energiesysteem (NPE) aandacht voor een (digitaal) weerbaar energiesysteem om de betrouwbaarheid en betaalbaarheid van energie te kunnen waarborgen. Het geactualiseerde NPE wordt met Prinsjesdag aan de Kamer verstuurd. Een verdere toelichting op de kansen en risico’s van de digitalisering van het energiesysteem, inclusief een uitwerking van benodigde acties, is opgenomen in de Actieagenda Digitalisering Energiesysteem (ADE)3.

Vraag 4

Kunt u aangeven welke risicoanalyses zijn uitgevoerd naar de cybersecurity van decentrale energiebronnen, zoals thuisbatterijen, zonnepanelen, laadpalen en energiebeheersystemen, en welke conclusies daaruit zijn getrokken?

Het Ministerie van EZK werkt samen met andere overheidsorganisaties, netbeheerders, energiebedrijven en onderzoeksinstellingen om zoveel mogelijk kennis en inzichten te verzamelen over de risico’s in het decentrale energiesysteem. Uit deze analyses komen kwetsbaarheden naar voren die worden vertaald naar beleid en wet- en regelgeving. Een voorbeeld is het rapport van Energy Innovation NL (in opdracht van de Rijksdienst voor Ondernemend Nederland) over de cyberveiligheid van zonnepanelen.4 Een conclusie uit dit rapport is dat het verhogen van de digitale weerbaarheid van decentrale energie assets een gedeelde verantwoordelijkheid is van alle spelers in de keten waarbij samenwerking essentieel is. Om uitvoering te geven aan de wet- en regelgeving op digitale weerbaarheid, zoals toegelicht in de beantwoording op vraag 2 en 3, werkt het kabinet samen met verschillende energiebedrijven en brancheverenigingen. Daarnaast stimuleert het kabinet de ontwikkeling van sectorale Information Sharing and Analyses Centers (ISACs), zoals de ISAC voor de zonne-energiesector. Het doel van een ISAC is om de digitale weerbaarheid te vergroten binnen een sector via vertrouwelijke informatie-uitwisseling over dreigingen en incidenten en het delen van handelingsperspectief en gedeelde lessen. Daarnaast bevordert het kabinet samenwerkingsinitiatieven zoals het sectorpact «Weerbaar Energiesysteem» van Energie Nederland en Netbeheer Nederland.
Het kabinet zet verschillende stappen om cybersecurity via wet- en regelgeving te versterken, zoals toegelicht in de beantwoording op vraag 3. Daarnaast voeren sectorpartijen zelf risicoanalyses uit en nemen zij indien nodig passende maatregelen om risico’s te mitigeren. Zo worden bijvoorbeeld bij grote aanbestedingen door de netbeheerders risicoanalyses gemaakt en passende maatregelen genomen.5 De Cbw en NCCS verplichten bedrijven om een risicoanalyse uit te voeren en rekening te houden met risico’s in hun toeleveringsketen en bij het verwerven, ontwikkelen of onderhouden van (digitale) producten en diensten in hun netwerk- en informatiesystemen.

Vraag 5

Hoe beoordeelt u de stelling dat de Europese energie-infrastructuur steeds vaker doelwit is van cyberaanvallen? In hoeverre spelen achterstallige modernisering van systemen, verouderde technologie en tekortschietende basisbeveiliging daarbij een rol? Kunt u uw antwoord toelichten?

Zoals in het Cybersecurity Beeld Nederland 2025 is aangegeven, blijven alle vitale sectoren een aantrekkelijk doelwit voor kwaadwillende actoren. De digitalisering van het energiesysteem zorgt voor een nauwere verwevenheid tussen het digitale en fysieke energiesysteem. Zo wordt verouderde operationele technologie (OT) vaker gekoppeld aan slimme informatietechnologie (IT)-systemen. Het nemen van passende beheersmaatregelen om risico’s van mogelijk verouderde OT te mitigeren, zoals netwerksegmentatie, wordt met de Cbw en NCCS wettelijk verankerd. Energiepartijen dienen op grond van de Cbw en NCCS in hun IT- en OT-architectuur rekening te houden met deze risico’s en passende en evenredige maatregelen te nemen, ook voor de beveiliging van OT. De Rijksinspectie Digitale Infrastructuur (RDI) houdt toezicht op de energiesector vanuit deze verplichtingen in de Cbw en NCCS. Het National Cyber Security Center (NCSC) deelt daarnaast diverse kennis- en informatieproducten met de energiesector, onder meer vanuit samenwerking met Europese partners, over basisbeveiliging voor digitale weerbaarheid en over risicomanagement van verouderde OT-systemen.

Vraag 6

Op welke wijze werken de ministeries van Klimaat en Groene Groei en Economische Zaken en Klimaat samen om ervoor te zorgen dat investeringen in de energietransitie gepaard gaan met investeringen in digitale veiligheid?

Investeringen in de energietransitie gaan onlosmakelijk gepaard met investeringen in digitale veiligheid omdat slimme energienetten en hernieuwbare bronnen sterk afhankelijk zijn van digitale aansturing. Binnen het Ministerie van EZK wordt het onderwerp van digitale weerbaarheid en energie (security) daarom integraal opgepakt.

Vraag 7

Worden er regelmatig gezamenlijke crisisoefeningen gehouden waarbij zowel een fysieke verstoring van het elektriciteitsnet als een cyberaanval wordt gesimuleerd? Zo ja, welke lessen zijn daaruit getrokken? Zo nee, waarom niet?

Ja, op lokaal, regionaal, nationaal en Europees niveau vinden regelmatig crisisoefeningen over stroomuitval plaats. Het betreft wisselende scenario’s, variërend van fysieke verstoringen, cyberaanvallen en een combinatie daarvan. Daarnaast wordt er deelgenomen aan PENTA6 oefeningen, waarbij de Europese verordening voor risicoparaatheid in de elektriciteitssector centraal staat. In het Nationaal Crisisplan Elektriciteit (NCP-E) zijn daarnaast afspraken gemaakt om regelmatig gezamenlijk of per organisatie te oefenen. De Algemene Rekenkamer heeft mede op basis van bovengenoemde crisisoefeningen recent geconstateerd dat het Ministerie van EZK en TenneT goede maatregelen hebben getroffen om crises op het hoogspanningsnet te voorkomen en dat zij goed zijn voorbereid op mogelijke storingen.7
Een vast onderdeel van een crisisoefening is een evaluatie door de betrokken organisaties. Uit de evaluaties van de crisisoefeningen van de afgelopen jaren zijn verschillende lessen getrokken met betrekking tot de crisisstructuur en werkprocessen. Zo kwam bijvoorbeeld naar voren dat de Rijksoverheid in crisissituaties beter kan afspreken welke informatie wanneer wordt gedeeld en dat sommige plannen te abstract zijn. Deze lessen worden meegenomen in de actualisatie van het Nationaal Crisisplan Elektriciteit (NCP-E) naar een Landelijk Crisisplan Elektriciteit, dat naar verwachting begin 2027 met de Kamer zal worden gedeeld.

Vraag 8

Deelt u de opvatting dat een succesvolle energietransitie alleen mogelijk is wanneer burgers en bedrijven erop kunnen vertrouwen dat het energiesysteem digitaal veilig en weerbaar is? Zo ja, welke aanvullende stappen bent u bereid te zetten om dit vertrouwen te versterken?

Ja, het kabinet deelt deze opvatting. Daarom werkt het kabinet aan het digitaal veilig en weerbaar houden van het energiesysteem, zoals beschreven in de beantwoording bij de vorige vragen. Aanvullend worden in opdracht van het Ministerie van EZK Nederlandse Technische Afspraken (NTA's) ontwikkeld door het Nederlands Normalisatie Instituut (NEN) voor het slim en interoperabel maken van netintensieve apparaten. Dit voorziet dat laadpalen, zonne-omvormers, thuisbatterijen, warmtepompen en overkoepelend de Home Energy Management Systemen (HEMS) als aansturend systeem slim ingesteld kunnen worden en met elkaar kunnen communiceren. Deze afspraken worden opgesteld volgens Europese cybersecuritystandaarden, zodat eindgebruikers kunnen rekenen op een veilige aansturing.8

Vraag 9

Welke gevolgen heeft de toenemende cyberveiligheidsopgave voor de huidige opgave rond de uitbreiding en verzwaring van het elektriciteitsnet? Worden aanvullende eisen aan digitale veiligheid meegenomen in de planning, uitvoering en kosten van deze uitbreidingen? Zo ja, op welke wijze? Zo nee, waarom niet?

Het is niet mogelijk om alle risico’s volledig uit te sluiten. Tegen deze achtergrond zet het kabinet in op het zoveel mogelijk minimaliseren van risico’s via een risico gebaseerde aanpak die de weerbaarheid effectief en efficiënt verhoogt. Dit betekent dat wordt gekeken naar de doelmatigheid, proportionaliteit en evenredigheid van maatregelen. Voor toekomstige energie-infrastructuur geldt dat maatregelen ten behoeve van (digitale) weerbaarheid het meest effectief en het meest kostenefficiënt zijn wanneer ze aan de voorkant van een traject worden geïmplementeerd. In het vormgeven van ruimtelijk beleid en het fysieke ontwerp van het energiesysteem wordt het aspect (digitale) weerbaarheid ook meegenomen. Binnen het fysieke ontwerp van het nationale energiesysteem gaat dit bijvoorbeeld om het wel of niet clusteren van energieproductielocaties en het wel of niet bundelen van energie-infrastructuur. De effecten van het fysieke ontwerp van het nationale energiesysteem op weerbaarheid zullen nader worden onderzocht, waarna keuzes zullen worden vastgelegd in het Programma Energiehoofdstructuur (PEH II). De hoofdlijnenbrief hierover zal begin 2027 naar de Tweede Kamer worden verzonden en het programma zal in 2028 worden vastgesteld.

Vraag 10

Bent u bereid de Kamer vóór het einde van dit jaar te informeren over de samenhang tussen de voortgang van de energietransitie en de digitale weerbaarheid van de Nederlandse energie-infrastructuur?

Aankomende Prinsjesdag wordt de Tweede Kamer verder geïnformeerd over het toekomstige energiesysteem, onder andere middels het geactualiseerde NPE en de kabinetsreactie op het Energy Innovation NL rapport «Autonoom en Veilig». Hierin wordt de samenhang tussen de voortgang van de energietransitie en digitale weerbaarheid nader toegelicht.

Vraag 11

Kunt u de vragen los van elkaar beantwoorden?

Ja.

Vraag 1

Is het duidelijk voor alle relevante rijksorganisaties wat de gevolgen zijn van het herziene cloudbeleid? (Kamerstuk 26 643, nr. 1541) Kunt u aangeven of er organisaties zijn die bij voorbaat aangeven niet aan het herziene beleid te kunnen of zullen voldoen?

Ja, alle rijksorganisaties zijn tijdens het beleidstraject op verschillende momenten in diverse voorportalen meegenomen. De uitvoeringsorganisaties zijn via de betrokken koepelorganisaties geïnformeerd. Het herziene rijksbrede cloudbeleid is vastgesteld in de ministerraad. Op basis van de terugkoppeling vanuit het Netwerk van Publieke Dienstverleners (NPD) is het beleid op een aantal punten verduidelijkt en aangepast om overheidsorganisaties beter in staat te stellen om aan het beleid te kunnen voldoen. Op dit moment zijn geen organisaties bekend die niet aan het herziene beleid kunnen of zullen voldoen. Daarnaast is voor rijksorganisaties ook duidelijk dat in het coalitieakkoord geen extra middelen beschikbaar zijn voor het herziene cloudbeleid en het beleid ingepast moet worden binnen de bestaande departementale begrotingen. Hierdoor kan de implementatie langere tijd in beslag nemen, moeten scherpe keuzes gemaakt worden en moet waar nodig herprioritering plaatsvinden.

Vraag 2

Hebben rijksorganisaties voldoende beeld op hun eigen cloudgebruik om de herziene regels effectief na te leven? Op welke delen van het cloudlandschap van de overheid ontbreekt er nog overzicht?

Rijksorganisaties zijn zelf verantwoordelijk voor hun eigen cloudgebruik en de naleving van de herziene regels. Naar aanleiding van het Rekenkamer-rapport «Het Rijk in de Cloud»1 hebben de departementen een aanzienlijke inhaalslag gemaakt om hun cloudgebruik inzichtelijk te krijgen. De inzichten zijn in het CIO Beraad gedeeld.

Vraag 3

Welke rol krijgt de veelbelovende Nederlandse Digitale Dienst om zeker te stellen dat alle rijksorganisaties aan het herziene cloudbeleid kunnen en zullen voldoen? Bent u bereid de organisatie hiertoe de nodige capaciteit en instrumenten te geven?

Zoals nu voorzien gaat de Nederlandse Digitale Dienst (NDD) geen rol in de uitvoering van het herziene rijksbrede cloudbeleid spelen. De uitvoering van het beleid is primair de verantwoordelijkheid van de overheidsorganisaties waarbij CIO Rijk een monitorende taak heeft, zoals ook vastgelegd in het Besluit CIO-stelsel Rijksdienst 2026.2

Vraag 4

Kunt u een schematisch overzicht geven van maatregelen die ook overwogen zijn voor het herziene cloudbeleid, met een onderbouwing waarom deze uiteindelijk niet zijn opgenomen?

Zoals toegelicht in de beantwoording van vraag 1 is voor de herziening van het rijksbrede cloudbeleid een lang, interdepartementaal traject doorlopen. Het beleid is aangescherpt met het oog op geopolitieke en organisatorische ontwikkelingen, zodat de Rijksoverheid veilig gebruik kan maken van clouddiensten. Er zijn geen maatregelen overwogen die niet uiteindelijk in het cloudbeleid zijn opgenomen. In overleg met het NPD is de invoeringstermijn aangepast, omdat het stellen van een uniforme overgangstermijn bij een aantal organisaties een te grote impact op de bestaande planningen en het kostenniveau zou veroorzaken. In het beleid is nu voorzien dat in het geval dat een migratie of aanpassing aan het herziene cloudbeleid tot onoverkomelijke kosten of risico’s zal leiden, deze migratie of aanpassing kan worden ingepland op een logisch (en eventueel later) moment in de levenscyclus van de betrokken systemen of applicaties.

Vraag 5

Welke concrete doelen heeft het kabinet om digitaal onafhankelijk te worden? Wordt het doel vastgesteld op 30% digitaal onafhankelijk per 2029, zoals gevraagd in de motie-Thijssen/Bruyning (Kamerstuk 36 574, nr. 5) en de initiatiefnota Wolken aan de Horizon (Kamerstuk 36 574, nr. 2)?

De 30%-norm van de motie Thijssen (PRO)/Bruyning (NSC), evenals de initiatiefnota «Wolken aan de Horizon», is opgenomen als drijfveer van het herziene cloudbeleid en daarin expliciet opgenomen.
Het is niet vooraf vast te stellen wat de impact van één beleidsstuk is op de digitale afhankelijkheid van de Rijksoverheid. Om te zien wat het doel is van het kabinet t.a.v. digitale autonomie verwijs ik u graag naar de Visie Digitale Autonomie en Soevereiniteit van de Overheid.3 Ook Europese ontwikkelingen, zoals het recent gepubliceerde wetsvoorstel voor de Cloud & AI Development Act (CADA), kunnen bijdragen aan grotere digitale onafhankelijkheid en het bereiken van de 30%-norm.

Vraag 6

Hoeveel digitaal onafhankelijker wordt de Rijksoverheid door het herziene cloudbeleid in de komende jaren? Wordt het doel van 30% in 2029 gehaald?

Zie antwoord vraag 5.

Vraag 7

Kunt u heel concreet uitleggen welke rol u heeft, als coördinerend Staatssecretaris (EZK) en als Staatssecretaris verantwoordelijk voor uitvoeringsdiensten (BZK), om dit beleid te handhaven?

Conform de portefeuilleverdeling van het kabinet Jetten op dit onderwerp is de taakverdeling tussen de beide bewindspersonen als volgt:
CIO-Rijk kan organisaties binnen de Rijksoverheid, die vallen onder het herziene rijksbrede cloudbeleid, aanspreken op het toepassen van het cloudbeleid.

Vraag 8

Welke instrumenten heeft u om het herziene cloudbeleid daadwerkelijk uit te voeren? Met hoeveel zekerheid kunt u zeggen dat dit beleid zal leiden tot een digitaal onafhankelijke Rijksoverheid?

Ter ondersteuning van de uitvoering van het herziene cloudbeleid zal ook het bijbehorende implementatiekader worden herzien. Deze herziening zal in samenwerking met een aantal grote uitvoeringsorganisaties plaatsvinden en is erop gericht om een aantal praktische werkwijzen aan te geven waarmee risicoanalyses, exitstrategieën en plannen kunnen worden uitgevoerd. Opgedane ervaring met migreren naar passende voorzieningen zal worden gedeeld met organisaties die onder het herziene cloudbeleid vallen.
Een digitaal soevereine Rijksoverheid gaat overigens verder dan alleen cloudgebruik. Dat neemt echter niet weg dat het herziene cloudbeleid hier wel een belangrijke rol in speelt. Autonomie is in brede zin één van de primaire drijvers geweest in de herziening van het beleid. Zoals toegelicht in het cloudbeleid, indien organisaties besluiten af te wijken van dit beleid dan wordt, in overleg met het kerndepartement, vooraf melding gedaan aan CIO Rijk. Meldingen aan CIO Rijk kunnen, na inhoudelijke afstemming en beoordeling, leiden tot aanwijzingen van de CISO Rijk om aanvullende maatregelen te nemen.

Vraag 9

Heeft u overwogen om het coördinatiebesluit, waarin de bevoegdheden van bewindspersonen zijn vastgelegd, uit te breiden zodat u dwingender kan optreden om het herziene cloudbeleid uit te voeren? Waarom heeft u dit niet gedaan, cf. de motie-Six Dijkstra (Kamerstuk 26 643, nr. 1294)?

Om de departementale autonomie te behouden is hier niet voor gekozen. Departementen zijn en blijven zelf verantwoordelijk voor hun eigen bedrijfsvoering, waaronder ICT. Conform het Besluit CIO-stelsel Rijksdienst 2026 heeft ieder departement een eigen CIO en CISO. Hierbij is CIO Rijk en CISO Rijk kaderstellend en coördinerend. Dit doet verder niet af aan voorgenoemde departementale autonomie.

Vraag 10

Waarom is er, ondanks de hoge ambities in het coalitieakkoord, geen budget beschikbaar gesteld voor de herziening van het cloudbeleid?

Voor de herziening van het cloudbeleid zijn in het coalitieakkoord geen extra middelen beschikbaar gesteld. Dit betekent dat het beleid ingepast moet worden binnen bestaande IV-mogelijkheden en de huidige kaders van de departementale begroting.

Vraag 11

Wat bedoelt u met de «scherpe keuzes» en «herprioritering» die nodig zijn omdat het kabinet geen middelen reserveert voor haar eigen digitale ambities?

Voor rijksorganisaties die aan het herziene cloudbeleid moeten voldoen zullen er inderdaad keuzes gemaakt moeten worden t.a.v. wat er wanneer plaats kan vinden qua activiteiten rondom bijvoorbeeld het migreren van ICT-diensten. Dit betreft naast financiële middelen ook de beschikbaarheid van personeel om dergelijke trajecten te verzorgen, evenals bestaande overeenkomsten met al-dan-niet langere looptijden. Het herziene cloudbeleid komt hieraan tegemoet door hier rekening in te houden met de overgangstermijn.

Vraag 12

Met welke investeringen zou het herziene cloudbeleid sneller en effectiever toegepast kunnen worden? Hoe kan voorkomen worden dat door «scherpe keuzes» en «herprioritering» geen vaart wordt gemaakt met de nodige maatregelen om digitaal onafhankelijk te worden?

Er is geen investeringsoverzicht opgesteld. Departementen en uitvoeringsorganisaties zullen hier zelf keuzes in moeten maken binnen de in het herziene cloudbeleid genoemde overgangstermijnen. Als er aanvullende middelen beschikbaar kunnen worden gesteld, of bestaande middelen kunnen worden vrijgemaakt voor de implementatie van de soevereine overheidscloud, kan dit een platform bieden om systemen daarop te laten landen en daarmee te laten voldoen aan het herziene rijksbrede cloudbeleid.

Vraag 13

Kunt u de overgangstermijn van vier jaar onderbouwen? In welke gevallen wordt hier van afgeweken? Hoe voorkomt u dat migraties van bestaand cloudgebruik allemaal vertraagd worden wegens «hoge kosten of risico’s»?

De termijn van vier jaar is gekozen omdat deze termijn redelijk lijkt te ziin voor cloumigraties. Daarbij is ruimte om de bestaande meerjaren implementatie-planning niet te ingrijpend te hoeven aan te passen en een dergelijke termijn voorkomt voor rijksorganisaties ook grote desinvesteringen. Uit het overleg met het NPD is echter gebleken dat in sommige gevallen deze termijn toch een forse impact kan hebben op continuïteit en kosten. Om daarmee rekening te houden, is de optie toegevoegd dat, in die gevallen, de aanpassingen op een later moment in de levenscyclus van een applicatie of omgeving kan worden ingepast. Op dit moment zijn nog geen eventuele uitzonderingen bekend.

Vraag 14

Wat bedoelt u ermee dat het «afgeraden» wordt om e-mail- en documentbeheer in de publieke cloud te zetten? Betekent dit dat binnen vier jaar alle mailservers en documentbeheer daadwerkelijk uit de publieke cloud worden gehaald?

E-mail en documentenbeheer worden in het nieuwe rijksbrede cloudbeleid aangemerkt als een nationaal belang, en bij voorkeur niet in de publieke cloud ondergebracht. Dit wordt nader gepreciseerd in het beleid met de uitleg dat e-mail en documenten niet in de publieke cloud mogen worden verwerkt, tenzij rijksorganisaties voldoen aan de volgende drie voorwaarden: onafhankelijk is vastgesteld dat de continuïteit van de dienstverlening anders in gevaar komt, een risicoanalyse en exit plan volgens dit beleid zijn gemaakt en getoetst, en het besluit is geaccordeerd door de betrokken Minister in overeenstemming met de bewindspersoon voor digitalisering.

Vraag 15

Welke aanpassingen in het IT-inkoopbeleid zijn nodig om het herziene cloudbeleid verder te ondersteunen? Heeft u plannen om het inkoopbeleid aan te scherpen, en zo ja, welke?1

Dit najaar ontvangt uw Kamer door de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties de visie op rijksinkoop. Deze visie neemt verdere stappen, zoals ook het herziene cloudbeleid, op digitale soevereiniteit. Richtlijnen voor het ontwerpen, ontwikkelen en inkopen van ICT-systemen vinden onder meer hun weg naar de inkooppraktijk via het categoriemanagement ICT, waarmee de Rijksoverheid de vraag naar ICT bundelt en de ICT gezamenlijk inkoopt en aanbesteedt. De noodzaak om mede via het herziene cloudbeleid versneld digitaal soeverein te worden heeft daarnaast gevolgen voor het strategisch leveranciersmanagement (SLM). Aan uw Kamer is toegezegd dat SLM zich meer gaat richten op de marktsectoren waarvan de digitale voorzieningen nodig zijn (zoals bijvoorbeeld clouddiensten) en er daar vanuit keuzes worden gemaakt voor de meest passende leverancier, contractvormen en exit-constructies.5

Vraag 16

Waarom wordt een generiek cloud-tenzij beleid enkel «afgeraden»? Waarom formuleert u dit niet dwingender?

Het kabinet vertrouwt erop dat het herziene rijksbrede cloudbeleid en gekozen woordkeuze een duidelijk kader is voor alle rijksorganisaties.

Vraag 17

Hoe wordt er op toegezien dat rijksorganisaties binnen 12 maanden een exitplan opstellen voor bestaand cloudgebruik?2 Bent u van plan dit per organisatie te monitoren en met de Kamer te delen? Welke gevolgen zijn er als een organisatie niet op tijd een exitplan aanlevert?

Het opstellen en beoordelen van exitplannen is een verantwoordelijkheid van het departement of organisatie zelf. Daarnaast wordt beoogd materieel cloudgebruik gemeld bij CISO Rijk, waar ook een deling van de exitplannen integraal onderdeel van is. Dit zal niet met de Kamer gedeeld worden, aangezien dit operationele bedrijfsvoering betreft. Zie verder de beantwoording van vraag 21.

Vraag 18

Worden organisaties verplicht om opvolging te geven aan de «aanwijzingen» van de Chief Information Security Officer (CISO) Rijk, als blijkt dat aangeleverde cloudplannen, de risicoanalyse en/of het exitplan niet in lijn zijn met het beleid?

Een aanwijzing dient te allen tijde te worden opgevolgd door organisaties die onder het coördinatiebesluit vallen. Voor andere organisaties zal dat via, bijvoorbeeld politiek/bestuurlijke, gesprekken dienen plaats te vinden.

Vraag 19

Waarom is er niet voor gekozen om de CISO Rijk of de Staatssecretaris belast met Digitale Zaken de bevoegdheid te geven om cloudplannen, de risicoanalyse en/of het exitplan als geheel af te wijzen, als deze niet voldoen aan het herziene cloudbeleid?

Het is een politieke keuze geweest om de ministeriële verantwoordelijkheden in deze ongewijzigd te laten. Het herziene rijksbrede cloudbeleid bevat voldoende aangrijpingspunten om bij geconstateerde tekortkomingen, in goed overleg tot een gepaste oplossing te komen.

Vraag 20

Hoe verwacht u dat rijksorganisaties de «geopolitieke risico’s» van cloudgebruik in hun risicoanalyse in kaart brengen? Welke criteria worden hiervoor gebruikt?

In de komende maanden zal het Implementatiekader risicoafweging cloudgebruik aangepast worden aan het herziene rijksbrede cloudbeleid. Hierin zal ook voor dit punt aandacht zijn.

Vraag 21

Hoe bent u van plan aan de Kamer te rapporteren over de opgestelde risicoanalyses en exitplannen van rijksorganisaties?

Het kabinet is niet van plan om aan de Kamer te rapporteren over de opgestelde risicoanalyses en exitplannen van rijksorganisaties, Dit omdat het opstellen en beoordelen van de opgestelde risicoanalyses en exitplannen operationele bedrijfsvoering binnen de overheid betreft, en tevens omdat de uitkomsten van de risicoanalyses vertrouwelijk worden behandeld om geen informatie te delen waarmee wij de risico’s voor die rijksorganisaties zouden vergroten.

Vraag 22

Wat bedoelt u met het gegeven dat overheidsdocumenten en mailberichten «bij voorkeur» niet in de publieke cloud worden ondergebracht? Waarom bent u hier niet dwingender in, gezien de gevoeligheid van deze gegevens en de erkende risico’s van de publieke cloud?

Zie antwoord op vraag 14.

Vraag 23

Kunt u concreet maken wanneer aan de drie uitzonderingsgronden is voldaan om tóch mailverkeer en documenten in de publieke cloud te mogen houden? Na hoeveel tijd wordt bezien of deze uitzonderingsgronden nog steeds gelden?

Zie antwoord op vraag 14. Daarnaast blijft elke organisatie zelf verantwoordelijk voor haar eigen risicobeleid en -acceptatie van risico’s en worden uitzonderingen geaccordeerd door de betrokken Minister in overeenstemming met de bewindspersoon voor digitalisering.

Vraag 24

Wat bedoelt u met het gegeven dat het sleutelbeheer van versleutelde vertrouwelijke gegevens «bij voorkeur» niet bij de cloudleverancier wordt neergelegd? Waarom belegt u het niet per definitie in eigen beheer?

Er is een overgangstermijn van vier jaar in het herziene cloudbeleid opgenomen om de organisaties zowel richting te geven als ruimte om hun systemen en processen daaraan te laten voldoen. De inrichting van cryptografisch sleutelbeheer is een technisch complexe zaak die niet op korte termijn door iedere organisatie zelfstandig zal kunnen worden ingeregeld. Het is raadzaam om eerst praktisch uitvoerbare oplossingen voor de juiste omvang beschikbaar te hebben, voordat er juridisch of beleidsmatige situaties worden verboden of verhinderd. Als de data risico’s voor de nationale veiligheid raken, zal de inkoop onder de ABRO worden uitgevoerd voor o.a. de departementen en agentschappen.

Vraag 25

Onder welke voorwaarden is het volgens u acceptabel om bijzondere persoonsgegevens alsnog in de publieke cloud te verwerken? Hoe wordt vastgesteld dat de mitigerende maatregelen afdoende zijn?

Verwerking van bijzondere persoonsgegevens vindt bij voorkeur niet in de publieke cloud plaats. In het geval dat er bijzondere persoonsgegevens in een publieke cloud worden verwerkt, moeten aanvullende maatregelen, zoals «Privacy Enhancing Technologies» worden toegepast. Dit kan bijvoorbeeld het pseudonimiseren van de gegevens zijn, of het toepassen van encryptie. Dit zal in de Data Protection Impact Assesment (DPIA) en risicoanalyse moeten worden beschreven.
Het ligt in de lijn der verwachting dat de specifieke maatregelen in samenwerking met de relevante toezichthouders, zoals de RDI, zullen worden ontwikkeld.

Vraag 26

Wat bedoelt u ermee dat het rijksbrede cloudbeleid «waar mogelijk» toegepast zal worden bij uitgezonderde organisaties? Worden de uitgezonderde organisaties wel geacht om hun eigen cloudbeleid aan te scherpen?

Artikel 5.1 gaat vooral over systemen die verband houden met internationale samenwerking. Daarbij is het gebruik van een soevereine, Europese oplossing niet altijd praktisch of heeft de Nederlandse overheidsorganisatie geen of weinig invloed op gemaakte technologische keuzes. Bij een dergelijke uitzondering geldt dat, waar mogelijk, het beleid zoveel als mogelijk wordt toegepast. Bijvoorbeeld door het maken van een risico analyse en het maken van een exitplan. Voor de overige systemen en cloudgebruik van een dergelijke geldt het herziene cloudbeleid onverkort, inclusief de noodzaak om een eigen cloudbeleid te hebben.

Vraag 27

Kunt u «kleinschalige doelen» noemen waarvoor het rijksbrede cloudbeleid een uitzondering zou maken? Hoe en door wie wordt bepaald of iets wel of niet uitgezonderd wordt?

In het herziene rijksbrede cloudbeleid, Art 5.3, is een uitzondering voor «kleinschalige of tijdelijke email verwerking» opgenomen. Hiervoor geldt dat voor specifieke, kleinschalige doelen, waarbij bijvoorbeeld online samenwerking van belang is, een uitzondering kan worden gemaakt. Hierbij moet vooraf een risicoanalyse gemaakt zijn en in geval van gerubriceerde documenten, encryptie worden toegepast. Uiteindelijk is elke organisatie zelf verantwoordelijk voor de continuïteit van de onder haar verantwoordelijkheid vallende vitale en essentiële processen en de afweging welke onderdelen voor welke tijd kunnen worden gemist.

Vraag 28

Kunt u deze vragen afzonderlijk en vooraf aan het commissiedebat «Digitaliserende overheid en toezicht» van 30 september 2026 beantwoorden?

Ja.

Vraag 1

Bent u bekend met het bericht «Europees Parlement stemt in controversiële spoedprocedure alsnog voor het checken van berichten op beelden van kindermisbruik»?1

Vraag 2

Wat vindt u van het verlengen van «chatcontrol 1.0»2 en de manier waarop dit via een spoedprocedure, mede onder druk van de Europese Commissie en grote techbedrijven, is geforceerd?

Vraag 3

Wat is de zienswijze van dit kabinet op deze vorm van chatcontrole? Volgt u nog steeds de beide aangenomen moties-Kathmann (Kamerstukken 32 317, nr. 891 & 32 317, nr. 981) die vragen om zich tegen chatcontrole te verzetten?

Vraag 4

Wat zijn de gevolgen van deze stemming voor de privacy van Nederlandse burgers, nu vrijwillige chatcontrol niet alleen opnieuw is ingevoerd, maar is uitgebreid ten opzichte van de vorige vrijstelling?

Vraag 5

Op welke manier mogen techbedrijven AI toepassen om berichtenverkeer tussen burgers te surveilleren? Kunt u duidelijk maken wat voor techniek hiervoor wordt toegepast door de relevante bedrijven?

Vraag 6

Hoe wordt voorkomen dat onschuldige burgers op basis van valse positieven verdacht worden gemaakt en worden gemeld bij de politie of Europol?

Vraag 7

Deelt u de zorgen van de indiener dat, zolang het scannen van online berichtenverkeer is toegestaan, er een reëel risico is dat deze techniek ook voor andere doeleinden zal worden gebruikt als gevolg van «mission creep»?

Vraag 8

Hoe staat het met de onderhandelingen voor de CSAM-verordening, waar een vorm van chatcontrole tot dusver altijd een onderdeel van is geweest? Wanneer verwacht u dat hierover een stemming zal plaatsvinden?

Vraag 9

Bent u bereid de Kamer een beslismoment voor te leggen als er een belangrijke (voor)stemming nadert met betrekking tot chatcontrole, zodat zij tijdig en goed geïnformeerd de kabinetsinzet kan sturen?

Vraag 10

Kunt u bevestigen dat Nederland zich ten alle tijden en onomwonden zal verzetten tegen voorstellen die het scannen van versleutelde berichten mogelijk maken, al dan niet via een omweg?

Vraag 11

Kunt u deze vragen afzonderlijk en zo spoedig mogelijk beantwoorden?

Vraag 1

Bent u bekend met het artikel: «Slimme fondsenwerving of privacyschending? De onzichtbare technologie achter donaties»?1

Ja.

Vraag 2

Hoe beoordeelt u de praktijk waarbij goede doelen op basis van minimale input (zoals enkel een gedeelde postcode en huisnummer) persoonsgegevens verrijken met buurtkenmerken, WOZ-waarden en leefstijlen zonder dat donateurs hiervan op de hoogte zijn of hier vooraf toestemming voor hebben gegeven?

Goede doelen opereren bij de verwerking van persoonsgegevens binnen het kader van de Algemene Verordening Gegevensbescherming (AVG). In de casus zoals deze wordt geschetst in de vraag zou sprake kunnen zijn van gegevensverrijking en profilering ten behoeve van directe marketing. Het verwerken van persoonsgegevens is alleen toegestaan als daarvoor een grondslag bestaat. Artikel 6 van de AVG noemt in dit verband toestemming van de betrokkene, maar ook gerechtvaardigd belang van de verwerkingsverantwoordelijke of van een derde. Hiervan kan sprake zijn als de verwerking van gegevens noodzakelijk is voor de behartiging van het gerechtvaardigde belang en als de rechten en vrijheden van de betrokkenen niet zwaarder wegen. Of hier sprake is van een gerechtvaardigd belang en of is voldaan aan de overige vereisten die de AVG stelt, is niet aan mij om vast te stellen. Dit moet worden beoordeeld aan de hand van de omstandigheden van het specifieke geval, in de eerste plaats door de goededoelenorganisatie zelf als verwerkingsverantwoordelijke. De Functionaris voor Gegevensbescherming (FG) en uiteindelijk de Autoriteit Persoonsgegevens (AP) houden toezicht op de naleving van de AVG.
Daarnaast geldt dat – ongeacht de verwerkingsgrondslag – de verwerkingsverantwoordelijke op grond van artikelen 12–14 AVG verplicht is transparantie te bieden over de gegevensverwerking. Dit gebeurt doorgaans met een privacyverklaring, waarin onder andere staat welke gegevens worden verwerkt, voor welke doelen dat gebeurt, welke grondslag van toepassing is, hoe lang de gegevens bewaard worden en met wie deze worden gedeeld. Zoals aangegeven is het toezicht hierop belegd bij de FG en uiteindelijk de AP. Ook daarin is voor mij geen rol weggelegd.
Voor ruim zevenhonderd erkende goede doelen geldt dat het CBF, de onafhankelijke toezichthouder op de goededoelensector, het privacy- en informatiebeveiligingsbeleid van de organisaties controleert en handhaaft waar nodig.2 Het CBF kan daarbij vragen naar de onderbouwing van het beroep op gerechtvaardigd belang. Sinds 2026 houdt het CBF hier scherper toezicht op en doet dat, waar nodig, in afstemming met de AP.

Vraag 3

Deelt u de mening dat het gebruik van voorspellende AI-software (zoals Dataro) om specifiek de «nalatenschapsbereidheid» of toekomstige erfenissen van individuele donateurs te voorspellen, een inbreuk is op de persoonlijke levenssfeer die nooit onder de Algemene Verordening Gegevensbescherming (AVG)-grondslag «gerechtvaardigd belang» mag vallen? Acht u het ethisch verantwoord dat goede doelen dergelijke technologie inzetten?

De AVG is technologie-neutraal en kent aan artificiële intelligentie (hierna: AI) geen aparte status toe. Wel verplicht artikel 35 van de AVG tot het doen van een DPIA (Data Protection Impact Assessment) als de verwerking waarschijnlijk een hoog risico inhoudt, zoals bij systematische en grootschalige profilering of innovatie met nieuwe technologie. Daarvan kan sprake zijn bij AI-toepassingen. Of sprake is van verantwoord gebruik van technologische verwerkingsmiddelen of -methoden moet in eerste instantie worden beoordeeld door de goededoelenorganisatie als verwerkingsverantwoordelijke, aan de hand van de omstandigheden van het specifieke geval. Artikel 5 van de AVG kent daarbij een verantwoordingsplicht, op grond waarvan de verwerkingsverantwoordelijke het voorgaande moet kunnen aantonen. De AP houdt daarop toezicht.
Met de inzet van AI door organisaties of bedrijven is in principe niets mis, ook niet als goede doelen dat doen. Sterker nog, AI kan in bepaalde situaties juist helpen om dienstverlening of bescherming van consumenten, donateurs en burgers te verbeteren. De inzet van AI dient daarbij plaats te vinden binnen de wettelijke kaders. Het is uiteindelijk aan de toezichthouders om te bepalen of de inzet rechtmatig plaatsvindt.

Vraag 4

Hoe beoordeelt u het belangenconflict dat kan ontstaan wanneer goede doelen via investeringsfondsen financieel deelnemen in commerciële AI-bedrijven die worden ingezet voor het analyseren van hun eigen donateurs? Deelt u de zorg dat hierdoor maatschappelijke en commerciële belangen met elkaar verstrengeld raken, ten koste van de privacy van donateurs?

Het staat stichtingen en verenigingen vrij om investeringen te doen mits de opbrengst daarvan volledig ten goede komt aan het statutaire doel. Stichtingen en verenigingen kunnen ook een ANBI (algemeen nut beogende instelling) status hebben wanneer zij aan verschillende voorwaarden voldoen. Zo moet de organisatie zich onder andere voor minstens 90% inzetten voor het algemeen nut, geen winstoogmerk hebben, en aan strikte integriteits- en transparantie-eisen voldoen. Het is bij investeringen in leveranciers van data- en AI-diensten van belang dat schijn of feitelijke verstrengeling worden voorkomen via transparantie, strikte functiescheiding, onafhankelijke toetsing van privacy- en ethische risico’s en naleving van de toepasselijke wettelijke en sectorspecifieke normen. Dit is vastgelegd in het normenkader van het CBF waaraan erkende goede doelen moeten voldoen (normen 5.3.1 en 5.3.2).

Vraag 5

Hoe beoordeelt u de praktijk dat sommige goede doelen na opzegging van een periodieke schenking wel de incasso beëindigen, maar de relatie met de voormalige donateur voortzetten door deze te blijven benaderen voor nieuwe donaties?

Het moet eenvoudig zijn voor donateurs om relaties met en periodieke donaties aan goededoelenorganisaties te beëindigen of aan te passen. Sinds 1 januari 2025 geldt hiervoor ook een aparte norm voor erkende goededoelenorganisaties, inclusief voor commerciële bureaus die werken in opdracht van erkende goede doelen. Hier houdt het CBF toezicht op.4 Daarbij kijkt het onder andere naar de aanwezigheid, vindbaarheid en laagdrempeligheid van de opzegmogelijkheden. Goede doelen hebben daarnaast onder de AVG en Reclame Code de mogelijkheid om oud-donateurs te benaderen na het opzeggen van de relatie, mits dit binnen de door de Reclame Code gestelde klanttermijn valt. Onder de Code Telemarketing geldt bijvoorbeeld een maximum klanttermijn van drie jaar.5 Donateurs en voormalige donateurs hebben daarbij altijd de mogelijkheid van bezwaar.
Donaties aan goede doelen vallen niet onder het algemene consumentenrecht. Dit zijn namelijk overeenkomsten zonder tegenprestatie en kwalificeren niet als dienst in de zin van artikel 6:230g, eerste lid, onderdeel d, Burgerlijk Wetboek. Ik zie geen aanleiding om het consumentenrecht uit te breiden naar goededoelenorganisaties. Uw Kamer heeft ook in 2024 en 2026 verzocht om goede doelen uit te zonderen van aanscherpingen ter bevordering van consumentenbescherming.6

Vraag 6

De Wet Van Dam2 beschermt consumenten tegen onnodige belemmeringen bij het beëindigen van doorlopende overeenkomsten. Hoe beoordeelt u het feit dat goede doelen, die hun fondsenwerving veelal uitbesteden aan commerciële bureaus, in de praktijk drempels hanteren die in de commerciële sector juist zijn uitgebannen? Deelt u de opvatting dat donateurs dezelfde bescherming zouden moeten genieten als consumenten en dat ook op deze praktijken op vergelijkbare wijze zou moeten worden toegezien?

Zie antwoord vraag 5.

Vraag 7

Bent u bereid om samen met de Autoriteit Consument & Markt (ACM) te bezien of de huidige consumentenbescherming voldoende aansluit bij de werkwijze van goede doelen en de commerciële fondsenwervingsbureaus waarvan zij gebruikmaken? Welke maatregelen gaat u nemen om ervoor te zorgen dat een donateur een periodieke donatie net zo eenvoudig kan beëindigen als een consument een commercieel abonnement? 2 Burgerlijk Wetboek, boek 2, artikelen 35, 36 en boek 6, artikelen 236, 237.

De ACM is een onafhankelijke toezichthouder. De ACM houdt geen toezicht op (de fondsenwervingsactiviteiten van) goede doelen omdat deze niet onder het algemene consumentenrecht vallen. Het CBF houdt wel toezicht op de werkwijzen van goede doelen, waaronder de wervingsmethoden van commerciële fondsenwervingsbureaus waarvan goede doelen gebruik maken. Zoals ook aangegeven in mijn antwoord op vragen 5 en 6, geldt sinds 1 januari 2025 een aparte norm voor het gemakkelijk kunnen opzeggen van een donateursrelatie of periodieke donatie. Ik heb nauw contact met het CBF, onder andere over haar toezicht en ontwikkelingen in de filantropische sector.

Vraag 1

Bent u bekend met het Reglement van Orde van de Tweede Kamer, die ziet op de Regeling vertrouwelijke stukken?1

Ja.

Vraag 2

Kunt u toelichten waarom de vertrouwelijke stukken inzake Solvinity pas gedurende het zomerreces worden gedeeld?

Ik achtte het wenselijk om de Kamer dezelfde informatiepositie te geven als de bij het verzoek om voorlopige voorziening inzake Solvinity betrokken stichtingen. De betreffende stukken zijn kort voorafgaand aan de zitting op maandag 6 juli jl. vertrouwelijk beschikbaar gesteld, daarmee samenvallend met de start van het zomerreces.

Vraag 3

Kunt u toelichten waarom de vertrouwelijke stukken inzake Solvinity slechts kunnen worden ingezien tot en met 31 juli 2026, aangezien het stellen van een dergelijke termijn zeer ongebruikelijk is?

Het stellen van een termijn aan de ter inzagelegging van vertrouwelijke stukken is verplicht onder artikel 4b van de regeling vertrouwelijke stukken.

Vraag 4

Kunt u beamen dat indien de vertrouwelijke stukken gedurende het zomerreces worden gedeeld en anderzijds slechts inzichtelijk zijn tot en met 31 juli 2026 (midden in het zomerreces), dit negatieve invloed heeft op de informatiepositie van de Kamerleden gezien de afwezigheid van de vele Kamerleden?

De voorgestelde ter inzagelegging was gebaseerd op de dan beschikbare informatie t.a.v. de voorlopige voorzieningszitting op 6 juli. Ik hecht eraan de kamer zo ruim mogelijke inzage te geven binnen de kaders die er zijn. Om uw Kamer tegemoet te komen en te voorzien van een betere informatiepositie, heb ik de termijn van ter inzagelegging verlengd tot 31 augustus. Dit heb ik ook opgenomen met de griffie van de Kamer.

Vraag 5

Kunt u toelichten waarom de door u gekozen termijn voor inzage van 31 juli 2026, niet is onderbouwd in de aanbiedingsbrief? Volgens Artikel 4b van de Regeling vertrouwelijke stukken, moet namelijk duidelijk gemotiveerd worden waarom het stuk slechts tijdelijk ter inzage wordt gebracht.

Deze onderbouwing is abusievelijk niet meegenomen in de aanbiedingsbrief. Zie voor de onderbouwing van deze termijn het antwoord op vraag 4.

Vraag 6

Kunt u deze Kamervragen zo spoedig mogelijk beantwoorden in verband met het spoedeisende belang van het feit dat Kamerleden gedurende deze resterende periode met zomerreces zijn, en de informatiepositie van de Kamerleden niet ondermijnd mag worden?

Ja.

Vraag 7

Kunt u de Kamervragen los van elkaar beantwoorden?

Ja.

Vraag 1

Bent u bekend met de uitspraak van het Amerikaanse Hooggerechtshof in de zaak Trump v. Slaughteren het bericht van privacywaakhond noyb hierover?1 2

Ja.

Vraag 2

Hoe reageert u op de uitspraak van het Amerikaanse Hooggerechtshof en de inhoudelijke analyse van noyb, die stelt dat de uitspraak de onafhankelijkheid van Amerikaanse toezichthouders aantast en dit grote gevolgen kan hebben voor de Data Privacy Framework tussen de Europese Unie en de Verenigde Staten?

De uitspraak van het Amerikaanse Hooggerechtshof van 29 juni 2026 in
De Commissie heeft in de context van de meest recente raadswerkgroep gegevensbescherming d.d. 6 juli jl. lidstaten geïnformeerd en aangegeven de impact van de beslissing van Hooggerechtshof te onderzoeken, en ziet dat in dit verband ook een brede evaluatie van het functioneren van de VS-rechtssysteem nodig is. Tegelijkertijd benadrukt de Commissie daarbij dat het adequaatheidsbesluit tot nader order van kracht blijft. Indien de Commissie zou besluiten over te gaan tot (gedeeltelijke) intrekking, wordt uw Kamer daarover geïnformeerd.

Vraag 3

Heeft u vertrouwen in de houdbaarheid van de Data Privacy Framework in het licht van de uitspraak in de zaak Trump v. Slaughter?

Het is aan de Commissie om, met inachtneming van alle feiten en omstandigheden, actuele ontwikkelingen te wegen in het licht van het adequaatheidsbesluit en de houdbaarheid daarvan. Zij is daartoe niet alleen bevoegd, maar ook bij uitstek toegerust. Ik vind het niet verstandig vooruitlopend op de bevindingen van de Commissie zelfstandig een oordeel te vormen. Als zou blijken dat structurele doorgiften onder het DPF niet langer een met het EU recht vergelijkbaar beschermingsniveau bieden, kan de Commissie bij uitvoeringshandeling het adequaatheidsbesluit (gedeeltelijk) schorsen, wijzigen of intrekken. Dit is een besluit van de Commissie dat in het op artikel 93 AVG gebaseerde comitologie comité met de lidstaten, waaronder Nederland, wordt besproken. Uw Kamer wordt daarover geïnformeerd.

Vraag 4

Deelt u onze zorgen dat deze uitspraak gevolgen kan hebben voor de rechtmatige data-uitwisseling tussen de Europese Unie en de Verenigde Staten? Wat zouden die gevolgen volgens u kunnen zijn?

Het is vanzelfsprekend van groot belang dat doorgiften van persoonsgegevens aan derde landen in overeenstemming met de AVG plaatsvinden. De nationale toezichthouders voor gegevensbescherming, in Nederland de Autoriteit Persoonsgegevens (AP), zien daar op toe. Zoals uiteengezet in het antwoord op vraag 2, beoordeelt de Commissie de implicaties van de uitspraak van het Hooggerechtshof van de VS in het kader van haar verantwoordelijkheid voor adequaatheidsbesluiten. Als de Commissie het besluit (gedeeltelijk) zou intrekken of schorsen, dan zouden voor doorgiften niet langer op het DPF kunnen worden gebaseerd. Doorgiften zouden dan plaats moeten vinden op basis van andere AVG-instrumenten, zoals mogelijk model contractbepalingen (SCC), bindende bedrijfsvoorschriften (BCR)4 of, bij uitzondering, de uitzonderingen van artikel 49 AVG.

Vraag 5

Bent u bereid de gevolgen van de uitspraak te bespreken in Europees verband met oog op mogelijke juridische stappen die de Data Privacy Framework ongeldig kunnen maken?3

Zoals uiteengezet in het antwoord op vraag 3, ligt de verantwoordelijkheid voor de beoordeling of het DPF en de vraag of het adequaatheidsbesluit al dan niet gedeeltelijk dient te worden ingetrokken primair bij de Commissie. Zoals uiteengezet in het antwoord op vraag 2, volgt Nederland de ontwikkelingen op de voet.

Vraag 6

Is Nederland voorbereid op een scenario waar de Data Privacy Framework ongeldig wordt verklaard? Welke maatregelen kunt u nemen om hier op voor te bereiden, zoals ook uiteengezet door uw voorganger?4

Na het ongeldig verklaren van het DPF kunnen doorgiften niet langer op het DPF berusten. Welke gevolgen dit voor Nederland heeft, hangt af van de desbetreffende sector en de verwerkingen van persoonsgegevens die daarbinnen plaatsvindt. Een algemeen antwoord valt hierop dan ook niet te geven.
Zonder adequaatheidsbesluit zal elke verwerkingsverantwoordelijke een doorgifte van persoonsgegevens aan een (gecertificeerde) partij in de VS op een ander doorgifte-instrument uit de AVG moeten kunnen baseren. Hierbij kan gedacht worden aan SCC, BCR of aan de uitzonderingen zoals benoemd in artikel 49 AVG.
Verwerkingsverantwoordelijken kunnen voorzorgsmaatregelen treffen om te voorkomen dat een eventuele ongeldigverklaring van het DPF ertoe leidt dat de doorgifte van persoonsgegevens moet worden gestaakt. Een geheel of gedeeltelijke intrekking of ongeldigverklaring van het DPF hoeft niet te betekenen dat Amerikaanse clouddienstverleners niet meer gebruikt kunnen worden. Wel is het voor clouddiensten die gegevens in de VS opslaan of verwerken, of waarbij een Amerikaanse partij rechtstreeks toegang heeft tot gegevens, in ieder geval nodig om een passende oplossing te vinden. Dit kan bijvoorbeeld door data te hosten in Europese datacenters van dezelfde aanbieder en/of de rechtstreekse toegang door Amerikaanse partijen te beperken of, als dat niet mogelijk is, met aanvullende technische maatregelen zoals sterke encryptie of het inrichten van autonome voorzieningen.
Voor de rijksdienst geldt op basis van het cloudbeleid dat opslag en verwerking van gegevens in principe binnen de Europese Economische Ruimte (EER) en Zwitserland plaatsvinden.7 Gebruik buiten deze landen kan alleen met een formele uitzondering, onderbouwd met een goede reden, een risicoanalyse en zo nodig aanvullende mitigerende maatregelen. Voor bestaand cloudgebruik is bovendien een exitplan verplicht dat rekening houdt met het wegvallen van een voorziening en dus verder reikt dan alleen het hiervoor beschreven scenario. Dit exitplan kan ook worden ingezet als een verwerking om andere redenen niet kan worden voortgezet. Onderdeel hiervan is dat organisaties zelf een actueel overzicht bijhouden van alle gebruikte clouddiensten.

Vraag 7

Als de Data Privacy Framework ongeldig wordt verklaard, welke autoriteit moet dan toezien op de (on)rechtmatige uitwisseling van data met Amerikaanse partijen? Kunt u deze autoriteit vragen om advies om dit scenario samen uit te werken?

De nationale toezichthouders voor gegevensbescherming blijven bevoegd; in Nederland is dat de AP. Zij houden toezicht op verwerkingsverantwoordelijken en verwerkers, inclusief internationale doorgiften. Coördinatie tussen toezichthouders verloopt in EU-verband via de EDPB. De Commissie gaat over het adequaatheidsbesluit zelf, niet over individuele handhaving.
Als het DPF ongeldig zou worden verklaard, zou dat betekenen dat de bepalingen uit de AVG voor doorgifte aan derde landen waarvoor geen adequaatheidsbesluit geldt, opnieuw van toepassing worden. De AP heeft voor dergelijke situaties uitgebreide informatie op haar website staan.8 Mocht het zo ver komen, dan ben ik bereid de AP te vragen of zij een gedeelte daarvan specifiek zouden willen toespitsen op de VS. Als het adequaatheidsbesluit zou komen te vervallen, blijft te allen tijde de verwerkingsverantwoordelijke zelf verantwoordelijk voor naleving van de normen uit de AVG, ook bij doorgifte aan derde landen.

Vraag 8

Zijn er scenario’s denkbaar waarin aanvullende maatregelen niet volstaan en data niet meer rechtmatig met Amerikaanse partijen gedeeld kan worden? Welke implicaties heeft dat?

Ja. Als aanvullende maatregelen niet volstaan, rest uitsluitend een incidentele doorgifte op basis van een toepasselijke bepaling in artikel 49 AVG (zoals expliciete geïnformeerde toestemming, noodzaak voor een overeenkomst met de betrokkene, zwaarwegend algemeen belang, rechtsvorderingen, vitale belangen of openbaar register). Deze uitzonderingsbepalingen zijn uitzonderlijk, niet bedoeld voor structurele of grootschalige stromen, en vereisen strikte proportionaliteit, transparantie en volledige documentatie. Past geen derogatie voor de specifieke doorgifte, dan is de doorgifte niet toegestaan.

Vraag 9

Deelt u de mening dat de enige zekere maatregel om onrechtmatige data-uitwisseling met de Verenigde Staten te voorkomen is om veel minder afhankelijk te worden van Amerikaanse techbedrijven?

Nee. Minder afhankelijk worden van Amerikaanse leveranciers kan risico’s verkleinen, maar is niet de enige mogelijke maatregel. Rechtmatige doorgifte kan ook worden geborgd met doorgifte instrumenten onder de AVG, zoals SCC of BCR. Als die combinatie de risico’s niet voldoende wegneemt, is doorgifte niet toegestaan en moet deze worden beëindigd.

Vraag 10

Kunt u deze vragen afzonderlijk van elkaar beantwoorden?

Ja.

Vraag 1

Hoe luidt uw reactie op het bericht «Jodenhaat op sociale media groeit explosief»?1

De bevindingen zijn zeer zorgelijk. Antisemitisme, zowel offline als online, is onacceptabel. Joden moeten zich in Nederland vrij en veilig kunnen voelen. Het kabinet zet zich daarom actief in voor de bestrijding van antisemitisme, waaronder online antisemitisme.

Vraag 2

Hoe beoordeelt u de conclusie dat het aantal antisemitische uitingen op Nederlandse sociale media tussen 2021 en 2024 is verdubbeld en dat directe bedreigingen tegen Joden zijn vervijfvoudigd?

Dat het onderzoek laat zien dat het aantal antisemitische uitingen op Nederlandse sociale media in enkele jaren is verdubbeld en het aantal directe bedreigingen zelfs is vervijfvoudigd, is een uiterst ernstige ontwikkeling. Hoewel het kabinet terughoudend is met het trekken van conclusies uit één onderzoek, sluiten de bevindingen aan bij bredere signalen van onder meer politie, het Openbaar Ministerie, de Nationaal Coördinator Antisemitismebestrijding (NCAB) en maatschappelijke organisaties dat online antisemitisme de afgelopen jaren is toegenomen.
Antisemitisme tast niet alleen de veiligheid van Joden aan, maar ook de open en democratische rechtsstaat. Het kabinet veroordeelt deze ontwikkeling daarom nadrukkelijk.

Vraag 3

Hoe beoordeelt u de constatering dat antisemitische uitingen steeds vaker gepaard gaan met gewelddadige retoriek, waaronder oproepen tot uitroeiing en moord op Joden?

Het kabinet beoordeelt deze ontwikkeling als buitengewoon ernstig. Oproepen tot moord, uitroeiing of geweld tegen Joden zijn niet «slechts» kwetsende uitingen, maar kunnen afhankelijk van de inhoud en context strafbare feiten opleveren, zoals het aanzetten tot haat of geweld of bedreiging. Dergelijke uitingen dragen bovendien bij aan een online klimaat waarin intimidatie en discriminatie worden genormaliseerd en kunnen ook leiden tot reële veiligheidsrisico's voor Joden.
Waar sprake is van strafbare uitingen en een aangifte daarvan, is het aan politie en OM om daartegen op te treden. Wanneer uitingen kwalificeren als terroristische online-inhoud kan er daarnaast melding worden gemaakt bij het online meldpunt van de Autoriteit online Terroristisch en Kinderpornografisch Materiaal (ATKM). De ATKM is bevoegd om verwijderbevelen uit te vaardigen aan platformen en hostingbieders om terroristische content binnen één uur offline te halen of ontoegankelijk te maken.

Vraag 4

Hoe beoordeelt u de constatering dat antisemitische uitingen zich niet langer beperken tot vooral binnen rechts-radicale en complotgerichte online kringen, maar zich vanaf 2023 ook verspreiden naar radicaallinkse kringen?

Het klopt dat antisemitisme zich breed manifesteert en dat dit zeker niet alleen uit rechts-radicale en complotgerichte online kringen komt. Vanuit allerlei extremistische ideologische hoeken, van links tot rechts, alsook vanuit religieus extremisme, komt jodenhaat voor. Internationale spanningen werken daarbij door in het publieke debat en op sociale media, waar antisemitische uitingen in sommige kringen steeds vaker openlijk worden geuit of genormaliseerd. Antisemitisme is onacceptabel, waar het ook vandaan komt.

Vraag 5

Hoe beoordeelt u de constatering dat buitenlandse extremistische influencers en netwerken een steeds grotere invloed hebben op Nederlandse gebruikers van sociale media? Welke mogelijkheden ziet u om deze beïnvloeding tegen te gaan?

Het kabinet onderkent dat buitenlandse extremistische netwerken en influencers steeds meer gebruik maken van sociale media om antisemitische propaganda, complottheorieën en haatdragende narratieven internationaal te verspreiden. Online platformen kennen geen landsgrenzen, waardoor dergelijke boodschappen ook Nederlandse gebruikers bereiken en polarisatie kunnen versterken.
De Digital Services Act (DSA) verplicht zeer grote online platformen om illegale content te modereren en systeemrisico's, waaronder de verspreiding van illegale content alsook eventuele werkelijke of voorzienbare negatieve effecten op de uitoefening van de grondrechten met name o.a. het in artikel 21 van het Handvest van de grondrechten van de Europese Unie verankerde grondrecht op non-discriminatie, te analyseren en passende maatregelen te nemen. Daarnaast werkt Nederland nauw samen met de Europese Commissie en andere lidstaten om grensoverschrijdende online risico’s op beïnvloeding aan te pakken. Tegelijkertijd blijft het versterken van digitale weerbaarheid en mediawijsheid essentieel om gebruikers weerbaarder te maken tegen dergelijke beïnvloeding.

Vraag 6

Welke concrete maatregelen neemt u momenteel om online antisemitisme op sociale media en andere online platforms tegen te gaan?

Het kabinet zet zich op verschillende manieren in om online antisemitisme op sociale media en andere online platforms tegen te gaan. De aanpak van online antisemitisme maakt deel uit van de Strategie Bestrijding Antisemitisme 2024–20302. Deze strategie vormt het samenhangende beleidskader voor de bestrijding van antisemitisme en omvat maatregelen op het gebied van bescherming en handhaving, onderwijs, preventie en het versterken van Joods leven en herdenken.
Ten aanzien van de online omgeving zet het kabinet in op een combinatie van regulering, handhaving en samenwerking met nationale en internationale partners.
Online platformen zijn gebonden aan de DSA. Deze verordening heeft als doel te zorgen voor een veilige, voorspelbare en betrouwbare online omgeving, waarin de verspreiding van illegale online inhoud en de maatschappelijke risico’s die de verspreiding van desinformatie of andere inhoud met zich kunnen brengen, worden aangepakt, en waarin de in het Handvest verankerde grondrechten doeltreffend worden beschermd. Voor dat doel bevat de DSA verschillende zorgvuldigheidsverplichtingen voor verschillende typen tussenhandeldiensten, waaronder online platforms. Zo moeten zij een zorgvuldig beleid ten aanzien van inhoudsmoderatie opnemen in hun algemene voorwaarden en dat beleid ook zorgvuldig toepassen in de praktijk (artikel 14). Zij moeten verder een toegankelijk en gebruiksvriendelijk systeem hebben waarin gebruikers of derden melding kunnen doen van illegale inhoud, waaronder haatzaaiende of discriminerende inhoud, en dat leidt tot tijdige en zorgvuldige besluiten over die meldingen (artikel 16). Zeer ernstige strafbare feiten moeten worden gemeld bij de bevoegde rechtshandhavende autoriteiten (artikel 18). De verordening verplicht aanbieders van online platforms verder om gebruikers die frequent kennelijk illegale inhoud verspreiden, tijdelijk te schorsen (artikel 23 van de verordening).
De zogenaamde zeer grote online platforms- en zoekmachines, die als zodanig moeten worden aangewezen door de Europese Commissie,3 moeten verder ten minste één keer per jaar de zogeheten systeemrisico’s die voortvloeien uit het ontwerp of uit de werking van hun dienst en de daaraan verbonden systemen, identificeren en beperken. Systeemrisico’s omvatten onder meer de verspreiding van illegale inhoud en de eventuele werkelijke of voorzienbare negatieve effecten op de openbare veiligheid of de uitoefening van grondrechten, waaronder het grondrecht op non-discriminatie. Risicobeperkende maatregelen van zeer grote online platforms kunnen onder meer de naleving van gedragscodes omvatten. In dat kader is relevant dat de Gedragscode voor de bestrijding van illegale haatzaaiende uitlatingen online+ in 2025 in de DSA is geïntegreerd. Deze gedragscode heeft tot doel de verspreiding van illegale haatzaaiende uitlatingen op onlineplatforms te voorkomen en aan te pakken door middel van toezeggingen op het gebied van algemene voorwaarden, herziening van de tijd van kennisgevingen, transparantie van inhoudsmoderatieacties, samenwerking tussen meerdere belanghebbenden en bewustmaking. De ondertekenaars,4 waaronder zeven zeer grote online platforms, verbinden zich ertoe de verbintenissen uit de code na te leven.
In Nederland is Meld Online Discriminatie (MOD) aangewezen als betrouwbare flagger onder de DSA. MOD beoordeelt meldingen van mogelijk illegale discriminatoire content en kan platforms verzoeken deze content te verwijderen.
Daarnaast blijft het kabinet online platforms aanspreken op hun verantwoordelijkheid om een veilige online omgeving te creëren. Nederland neemt deel aan internationale samenwerking, waaronder een meerjarige werkgroep van de Europese Commissie over de bestrijding van antisemitisme. Ook heeft het kabinet tijdens het ministeriële EU Internet Forum5 van 4 maart aandacht gevraagd voor de verantwoordelijkheid van platforms om online antisemitisme effectief tegen te gaan.
De Nationaal Coördinator Antisemitismebestrijding (NCAB) speelt eveneens een belangrijke rol. De NCAB zit een internationale werkgroep voor van nationale coördinatoren en speciaal gezanten die online platforms aanspreekt op de aanpak van online antisemitisme en organiseert jaarlijks de International Prosecutors Summit on Antisemitism (IPSA), waarin Europese openbaar aanklagers samenwerken aan de versterking van de strafrechtelijke aanpak van onder meer online antisemitisme. Ook laat de NCAB jaarlijks onderzoek naar online antisemitisme in Nederland.
Voor wat betreft het tegengaan van online radicalisering, extremisme en terrorisme coördineert de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) de Versterkte Aanpak Online (VAO). De aanpak omvat diverse interventies onder andere op het gebied van preventie en bewustwording, normerende gesprekken met de internetsector, en de inzet van het bestaande wettelijke kader – waaronder de DSA en de verordening Terroristische Online-Inhoud (TOI). Ook wordt door middel van ondersteunende bijeenkomsten, regionale adviezen via lokaal adviseurs en een verkenning naar een communicatie aanpak over online gevaren, gewerkt aan het versterken van de digitale weerbaarheid van de samenleving. Over deze beleidsinzet en recente ontwikkelingen is uw Kamer op 22 mei jl. geïnformeerd via de Voortgangsbrief Versterkte Aanpak Online inzake extremistische en terroristische content.6

Vraag 7

Geeft het onderzoek aanwijzingen over in hoeverre zeer grote online platforms hun verplichtingen onder de Digital Services Act (DSA) om antisemitische uitingen tegen te gaan voldoende nakomen?

Nee. Voor het onderzoek heeft Textgain data van Twitter/X Facebook, Instagram, TikTok en YouTube geanalyseerd, maar ook kleinere sites als Dumpert, geenstijl.nl en Marokko.nl en internetfora als 4chan en Soyzellig. De onderzoekers concluderen dat antisemitisme op deze platforms zou zijn toegenomen, maar het onderzoek betreft geen juridisch onderzoek naar de naleving van de DSA door zeer grote online platforms. Het is aan de Europese Commissie als primaire toezichthouder op zeer grote online platforms- en zoekmachine, om te beoordelen of zij hun verplichtingen onder de DSA naleven. De Commissie is daarin onafhankelijk.

Vraag 8

Meent u dat het wettelijk kader van de DSA toereikend is in het bestrijden van antisemitisme op online platforms? Zo nee, wat is er volgens u meer nodig?

Zoals toegelicht in het antwoord op vraag 6, biedt de DSA een belangrijk Europees kader voor een veiligere online omgeving. De DSA bevat enerzijds een kader voor aansprakelijkheid en anderzijds zorgvuldigheidsverplichtingen voor tussenhandeldiensten, waaronder online platforms. Deze verplichtingen zijn erop gericht illegale inhoud op online platforms terug te dringen en ervoor te zorgen dat met name zeer grote online platforms hun verantwoordelijkheid nemen om systeemrisico’s te beperken. De integratie van de Gedragscode voor de bestrijding van illegale haatzaaiende uitlatingen online in de DSA draagt bij aan de naleving en doeltreffende handhaving van de DSA op dit gebied.
Op dit moment heeft het kabinet geen reden om te twijfelen aan de toereikendheid van dit kader. Het toezicht op de DSA begint op stoom te komen, zoals onder meer blijkt uit de handhavingsacties van de Europese Commissie en de nationale toezichthouders. Tegelijkertijd vormt de DSA één onderdeel van een bredere aanpak. Effectieve bestrijding van antisemitisme vraagt eveneens om strafrechtelijke handhaving, internationale samenwerking, onderwijs en maatschappelijke weerbaarheid.
Het kabinet blijft de werking van de DSA volgen. Voor het einde van 2027 zal de DSA door de Europese Commissie worden geëvalueerd. Deze evaluatie resulteert niet automatisch in een herziening van de DSA maar kan desalniettemin kansen bieden om de werking in de praktijk te verbeteren. De Staatssecretaris Digitale Economie en Soevereiniteit coördineert de Nederlandse betrokkenheid bij de evaluatie en gaat hiervoor in gesprek met betrokken ministeries en toezichthouders.

Vraag 9

Welke gesprekken voert u met online platforms over de bestrijding van antisemitische content gericht op Nederlandse gebruikers?

Het kabinet blijft de dialoog met de internetsector zoeken over zowel schadelijke als illegale content, waaronder trends in contentproblematiek, uitdagingen in de moderatiepraktijk, best practices en relevante wet- en regelgeving. In alle gesprekken die we met online platforms voeren worden deze onderwerpen, waaronder ook de bestrijding van antisemitische content, aan de orde gesteld. Daarnaast ondersteun ik, samen met de Staatssecretaris van Economische Zaken – Digitale Economie en Soevereiniteit, de Publiek private Samenwerking Online Content onder neutraal voorzitterschap van ECP.

Vraag 10

In hoeverre vallen platforms als 4chan en Soyzellig onder de reikwijdte van de DSA? Welke verplichtingen gelden voor dergelijke platforms? Acht u het huidige toezicht toereikend als dergelijke platforms een belangrijke rol spelen bij de verspreiding van antisemitische uitingen?

Voor zover mij bekend, betreffen 4chan en Soyzellig beide user-generated content platforms, waarop gebruikers tekst, afbeeldingen en reacties kunnen plaatsen. Of zij onder de reikwijdte van de DSA vallen, hangt af van de vraag of zij kwalificeren als «tussenhandeldienst», meer specifiek als «hosting dienst» en «online platform» als subcategorie van hostingdiensten. Hoewel het aan de bevoegde toezichthouders en/of rechter is om dit vast te stellen, lijkt dit voor beide platforms voorshands het geval, in welk geval zij zullen moeten voldoen aan de verplichtingen in de DSA die gelden voor online platforms. Het betreft onder meer de zorgvuldigheidsverplichtingen zoals toegelicht in het antwoord op vraag 6, met de kanttekening dat 4chan en Soyzellig niet zijn aangewezen als «zeer groot online platform» en dus niet aan de verplichtingen inzake systeemrisico’s hoeven te voldoen. Die verplichtingen gelden enkel voor de platforms met een gemiddeld aantal maandelijks actieve afnemers van 45 miljoen of meer.

Vraag 11

Acht u de huidige capaciteit en mogelijkheden van de toezichthouder, politie, het Openbaar Ministerie en opsporingsdiensten voldoende om online antisemitisme effectief te bestrijden? Zo nee, welke stappen gaat u ondernemen?

Zowel de politie als het OM hebben expertisecentra gericht op de aanpak van discriminatiezaken. Bij de politie levert het Expertise Centrum Aanpak Discriminatie-Politie (ECAD-P) op verschillende manieren expertise met betrekking tot de aanpak van discriminatie (waaronder antisemitisme) aan de politieorganisatie. De capaciteit van het ECAD-P is het afgelopen jaar uitgebreid en bestendigd met structurele middelen. Bij het ECAD-P leveren discriminatierechercheurs ondersteuning aan collega’s in regionale eenheden bij de behandeling van discriminatiezaken en helpen zij de basisteams proactief bij het herkennen en oppakken van meldingen en aangiftes met een discriminatoir karakter. Wanneer iemand melding of aangifte doet van discriminatie in een politie-eenheid dan pakt de medewerker uit die eenheid deze zaak op en rondt deze zelf af. Bij complexere zaken kan een beroep worden gedaan op de discriminatierechercheur die aan de eenheid is gekoppeld. Daarnaast zijn thematische discriminatierechercheurs bij het ECAD-P werkzaam, onder andere specifiek op de thema’s antisemitisme en online discriminatie.
Het Landelijk Expertisecentrum Discriminatie (LECD) van het OM zorgt voor het adviseren en informeren van officieren en andere medewerkers binnen het OM op het gebied van de aanpak van discriminatiezaken. Elk arrondissementsparket heeft officieren van justitie die gespecialiseerd zijn in strafbare discriminatie. Zij behandelen complexe discriminatiezaken en zijn vraagbaak voor andere collega’s. De discriminatieofficieren en andere gespecialiseerde OM-medewerkers komen meerdere keren per jaar met het LECD samen om geïnformeerd te blijven en tijdig nieuwe ontwikkelingen rondom strafbare discriminatie, waaronder online antisemitisme, te signaleren. Het OM is op dit moment bezig om de aanpak van online discriminatie te intensiveren. Binnen het huidige beleid bestaat ruimte om in uitzonderlijke gevallen ook ambtshalve discriminatiezaken op te pakken. Die ruimte wordt binnen het OM de komende periode beter benut door vanuit de discriminatieaanpak nadrukkelijker samen te werken met de aanpak van (online) terrorismezaken.

Vraag 12

Welke aanvullende maatregelen overweegt u naar aanleiding van de bevindingen uit dit onderzoek?

Het kabinet blijft zich onverminderd inzetten voor de strijd tegen (online) antisemitisme en voor de veiligheid van Joden in Nederland. De bevindingen van dit onderzoek neemt het kabinet dan ook serieus en zal deze betrekken bij de verdere uitvoering van de Strategie Bestrijding Antisemitisme 2024–2030 en het Plan van aanpak online discriminatie waar antisemitisme deel van uitmaakt.

Vraag 1

Bent u bekend met het NRC-artikel «Frankrijk wil op eigen AI-benen staan en gaat stoppen met gebruik Amerikaans Palantir voor inlichtingendienst DGSI»?1

Ja.

Vraag 2

In welke mate ziet u, net als uw Europese collega’s doen, risico’s voor Defensie en politie in het blijven werken met het Amerikaanse Palantir, en kunt u deze uitleggen?

Soevereiniteit is een belangrijk aandachtspunt wanneer sprake is van afhankelijkheid van een leverancier.
Om digitale soevereiniteit te waarborgen hanteert het Ministerie van Defensie een tweesporenbeleid2. Het primaire spoor richt zich op de realisatie van een Europees AI-Decision Support System (DSS), waarbij juridische soevereiniteit, open standaarden en datasoevereiniteit belangrijke uitgangspunten zijn. Om te voorkomen dat de Krijgsmacht operationele risico’s loopt op zowel tactische als strategische gebied en om de operationele continuïteit, flexibiliteit en interoperabiliteit o.a. binnen NAVO te borgen, voorziet het tweede spoor in de tijdelijke toepassing van Palantir totdat het door Spoor 1 ontwikkelde Europese AI-DSS operationeel is.
De politie gebruikt de software van Palantir enkel binnen de zogenaamde «Raffinaderij». «De Raffinaderij» is een analyseomgeving waar Palantir onderdeel van uitmaakt. Wat betreft de toepassing van Palantir bij de politie moet worden benadrukt dat dit gebruik van veel waarborgen is voorzien. De data binnen «de Raffinaderij» blijft strikt binnen het domein van de politie en wordt niet met de leverancier gedeeld. Het gaat hierbij alleen om politiedata. De analysesoftware wordt volledig door een eigen team van de politie beheerd en gehost in eigen rekencentra. De thema’s waarop de analyses uit «de Raffinaderij» worden ingezet zijn zeer belangrijk en hebben grote maatschappelijke impact, namelijk bestrijding van zware en georganiseerde criminaliteit en het voorkomen van aanslagen. Met voorgenoemde werkwijze is het gebruik van Palantir door de politie van veel waarborgen voorzien.

Vraag 3

Bent u in contact met uw Franse collega en heeft u aangegeven dat u graag bijdraagt aan de ontwikkeling van een Europees alternatief? Zo nee, waarom niet?

Het Ministerie van Defensie is in contact met o.a. Frankrijk om tot een gezamenlijke ontwikkelagenda voor een Europees AI-DSS te komen.

Vraag 4

Overweegt u om ook binnen de Nederlandse overheid Palantir volledig te vervangen met een Europees alternatief?

Het kabinet kiest ervoor om gericht in te zetten op het afbouwen van de zogenaamde risicovolle strategische afhankelijkheden (RSA’s). Specifiek voor het Ministerie van Defensie geldt dat er op dit moment een onderzoek naar mogelijke technologische alternatieven wordt uitgevoerd.
Vanuit het oogpunt van continuïteit en verhoging van de weerbaarheid is de politie met betrekking tot het totale palet van IT-dienstverlening reeds actief bezig met initiatieven die gericht zijn op het vergroten van de digitale autonomie.3 Er worden stappen gezet om technologieën te ontwikkelen die beter aansluiten bij de behoeften door op zoek te gaan naar robuuste alternatieve oplossingen voor bestaande systemen, zodat de politie altijd kan beschikken over de best mogelijke tools. Deze zoektocht is essentieel om de operationele flexibiliteit en veiligheid te waarborgen in een steeds veranderende digitale omgeving. Het ontwikkelen en implementeren van dergelijke alternatieven is een complex proces dat tijd, financiële middelen en specialistische kennis vraagt en moet passen binnen de kaders van bijvoorbeeld privacy, proportionaliteit en beschikbare financiën. De politie weegt voortdurend de risico’s die verbonden zijn aan het gebruikt van IT-systemen.

Vraag 5

Wat zou, met in acht neming van juridische haalbaarheid, het snelste pad zijn naar een volledige breuk met Palantir binnen onze overheid?

Zoals reeds in antwoord 4 gesteld, zijn zowel het Ministerie van Defensie als de politie actief bezig met het verkennen van alternatieven.

Vraag 6

Bent u van mening dat nu kiezen voor Europese alternatieven betekent dat we dan niet meer de beste systemen kunnen gebruiken?

Dat kan niet in zijn algemeenheid zo gesteld worden. Dit is afhankelijk van de use case en de gevraagde functionaliteiten.

Vraag 7

Zo ja, kunt u reflecteren op de self fulfiling prophecy dat wij geen alternatieven kunnen opbouwen als we daar geen politieke keuzes voor maken?

Zoals reeds in antwoord 4 en 5 gesteld werken bijvoorbeeld het Ministerie van Defensie en de politie aan een onderzoek naar mogelijke technologische alternatieven die tegemoetkomen aan het afbouwen van de zogenaamde risicovolle strategische afhankelijkheden (RSA’s).

Vraag 8

Bent u van mening dat we in Europa een eigen AI-industrie nodig hebben om niet afhankelijk te zijn van niet-Europese techbedrijven? Zo ja, welke stappen zet u nu om hiertoe te komen?

Ja, het kabinet is van mening dat een sterke AI-industrie van strategisch belang is om de digitale soevereiniteit, weerbaarheid, het innovatievermogen en economische concurrentiekracht van Europa te versterken. Om deze reden zet het kabinet zich in Europees verband in voor de ontwikkeling van een concurrerend Europees AI-ecosysteem. Daarbij wordt onder meer ingezet op investeringen in AI-onderzoek en innovatie, versterking van de Europese reken- en data-infrastructuur en ondersteuning voor startups en scale-ups, zoals geschetst in het Europese AI Continent Actieplan.4 Nationaal werkt het kabinet via de Ministeriële Taskforce Toekomstige Welvaart en Vestigingsklimaat momenteel aan een Industrieprogramma Digitale Diensten en AI. AI speelt een toenemende rol in uiteenlopende capaciteiten waar het Ministerie van Defensie nu en in de toekomst over moet beschikken. Het Nederlandse voortzettingsecosysteem dat we hiervoor opbouwen via het Nationaal Programma Defensie Industrie en Innovatie voorziet daarom ook in op te bouwen Nederlandse en Europese AI-capaciteiten. Ook kunnen het nog op te richten Nationaal Agentschap voor Disruptieve Innovatie (NADI), de Nationale Investeringsinstelling (NII) en de Defensie Innovatie en Opschalingsautoriteit (DIOA) bijdragen aan het versterken van het AI-ecosysteem. Eerder is via het Nationaal Groeifonds in AI-programma’s geïnvesteerd (o.a. AiNed en NOLAI), evenals in de AI Fabriek in Groningen.

Vraag 9

Kunt u uitleggen waarom het kabinet ervoor heeft gekozen om niet aan te sluiten op de tender vanuit de Europese Unie voor een gigafabriek in Nederland?

Zoals toegelicht in de brief aan uw Kamer op 31 maart jl.5, heeft het kabinet er voor gekozen om niet mee te doen met een gezamenlijke Europese publieke aanbesteding van rekencapaciteit bij nog te selecteren AI-gigafabrieken. AI-gigafabrieken kunnen vanwege hun commerciële oriëntatie in beginsel volledig privaat gefinancierd worden. De achterliggende inhoudelijke overwegingen zoals genoemd in de brief en de budgettaire situatie hebben samen geleid tot de afweging om geen publieke financiële verplichting aan te gaan in deze gezamenlijke Europese aanbesteding. Ambitieuze private initiatieven en investeringen in AI-infrastructuur die het Nederlandse en Europese AI-ecosysteem versterken worden door het kabinet aangemoedigd. Voor het kabinet ligt voornamelijk een taak om de randvoorwaarden te versterken.

Vraag 10

Kunt u uitleggen waarom er geen middelen gereserveerd zijn voor de digitale ambities in het coalitieakkoord, inclusief de Nederlandse Digitaliseringsstrategie? En welke rol kan defensie hierin spelen?

Zoals in het wetgevingsoverleg over de Jaarverslagen en Slotwetten 2025 van de Ministeries EZ, BZK en JenV voor zover het onderwerpen betreft die zien op digitalisering is toegezegd, krijgt uw Kamer binnenkort een brief over de inzet op digitale ambities, met prioritering en de benodigde keuzes.6 Die brief komt na Prinsjesdag.

Vraag 11

Welk tijdspad ziet u als realistisch om de afhankelijkheid van Amerikaanse tech-industrie voldoende afgebouwd te hebben? En kunt u een beeld schetsen van wat u als voldoende acht in deze kwestie?

Het kabinet kiest ervoor om gericht in te zetten op het afbouwen van de zogenaamde risicovolle strategische afhankelijkheden (RSA’s). Het schetsen van concrete tijdspaden is daarbij niet realistisch, onder meer vanwege de snelle technologische ontwikkelingen. Bovendien wordt er niet in het openbaar gecommuniceerd over RSA’s. Het kabinet acht het afbouwen van een afhankelijkheid als voldoende als het geen RSA meer is. Dit is het geval wanneer het risico van een waardeketenverstoring niet meer als hoog wordt ingeschat.

Vraag 12

Kunt u deze vragen afzonderlijk van elkaar beantwoorden?

Ja.

Vraag 1

Bent u bekend met de berichtgeving dat Anthropic op 12 juni 2026, na een Amerikaans exportcontrolebesluit, de modellen Fable 5 en Mythos 5 wereldwijd heeft uitgeschakeld voor niet-Amerikaanse staatsburgers?

Ja.

Vraag 2

Klopt het dat Nederlandse en Europese gebruikers hierdoor abrupt hun toegang tot een frontier-AI-model (grensmodel) verloren, uitsluitend op grond van een binnenlands Amerikaans besluit en zonder enige Europese inspraak of beroepsmogelijkheid?

Ja. Het verliezen van toegang tot deze modellen gold voor alle gebruikers.

Vraag 3

Was u vooraf op de hoogte van dit besluit of het risico daarop en op welke wijze zijn Nederland en de EU hierover geïnformeerd of geconsulteerd?

Nee. Het kabinet is niet vooraf op de hoogte gesteld van dit besluit.

Vraag 4

Deelt u de analyse dat dit incident blootlegt hoe afhankelijk Nederland en Europa zijn van een handvol Amerikaanse aanbieders voor de meest geavanceerde AI, en dat die toegang aantoonbaar als geopolitiek drukmiddel kan worden in- en uitgeschakeld? Hoe verhoudt zich dat tot uw constatering in de beleidsbrief Economische Zaken en Klimaat van 24 april 2026 dat Nederland «niet chantabel» moet zijn door strategische afhankelijkheden af te bouwen?1

Het klopt dat Nederland afhankelijk is van Amerikaanse aanbieders voor de meest geavanceerde AI. Het kabinet onderschrijft het belang van toegang tot geavanceerde AI modellen zoals onder meer beschreven in de Internationale AI Strategie (2026), Internationale Veiligheidsstrategie 2026–20302 en de Kamerbrief Reactie op factsheets digitale strategische autonomie (2025)3 over AI-soevereiniteit. Daarom benadrukken deze ontwikkelingen de urgentie om de Europese en nationale AI-capaciteiten fors te versterken. Daar zet het kabinet dan ook op in. Zo wordt in de Ministeriële Taskforce Toekomstige Welvaart en Vestigingsklimaat momenteel gewerkt aan een Industrieprogramma Digitale Diensten en AI. Ook zullen het nog op te richten Nationaal Agentschap voor Disruptieve Innovatie (NADI) en de Nationale Investeringsinstelling (NII) een rol spelen. Eerder is ook via het NGF in AI-programma’s geïnvesteerd, evenals in de AI Fabriek in Groningen.

Vraag 5

Welk Europees of Nederlands alternatief kan op dit moment een frontier-model van vergelijkbaar niveau leveren wanneer Amerikaanse toegang wegvalt, en hoe beoordeelt u de situatie indien een dergelijk alternatief ontbreekt?

Er zijn momenteel geen Europese alternatieven van vergelijkbaar niveau als Fable en Mythos. Tegelijkertijd zijn geavanceerde capaciteiten niet enkel meer voorbehouden aan gesloten modellen. Ook open, vrij toegankelijke AI-modellen komen in de buurt van de meest geavanceerde modellen. Dit wordt versterkt door het feit dat de capaciteiten van een AI-model niet enkel of grotendeels voortkomen uit het model zelf, maar juist uit de technische infrastructuur (het «harnas») om het AI-model heen. Het is onzeker hoe de markt van AI-modellen en technische infrastructuur zich de komende jaren zal ontwikkelen en welke rol open modellen daarin zullen spelen. Dat houdt het kabinet nauwlettend in de gaten. Omdat Europa niet over eigen geavanceerde AI-modellen beschikt, is het van belang dat Nederland tevens samen met EU-partners en andere gelijkgezinde middle powers werkt aan toegang tot noodzakelijke AI-capaciteiten.4

Vraag 6

Welke concrete risico’s brengt de blokkade van dit model met zich mee voor het Nederlandse bedrijfsleven, in het bijzonder wanneer toegang als drukmiddel wordt ingezet, en geldt dit risico naar uw oordeel ook voor andere frontier-modellen van Amerikaanse aanbieders zoals OpenAI (ChatGPT) en Google (Gemini)?

Vanwege het recent beëindigen van de ingevoerde exportrestricties zullen de gevolgen voor het Nederlandse bedrijfsleven beperkt zijn. Het kabinet schat de directe impact op het concurrentievermogen van een exportverbod op een individueel AI-model laag in, omdat er momenteel nog voldoende hoogwaardige alternatieven modellen beschikbaar zijn. Tegelijkertijd is onduidelijk hoe de markt voor AI-modellen (en daarop gebaseerde toepassingen) zich zal ontwikkelen. De impact van vergelijkbare besluiten in de toekomst kan dus mogelijk anders zijn. Het integreren van frontier AI-modellen buiten de EU in Nederlandse digitale processen vergroot de afhankelijkheid van niet-Europese aanbieders, met bijbehorende risico’s op het gebied van datasoevereiniteit, continuïteit, vertrouwelijkheid en strategische afhankelijkheid. Zoals verder toegelicht in de antwoorden op vragen 7 en 8 kunnen modellen als Mythos in ieder geval impact hebben op de cyberveiligheid.

Vraag 7

Heeft de plotselinge uitschakeling van Mythos – een model dat eerder met een select aantal organisaties in vitale sectoren werd gedeeld om softwarekwetsbaarheden op te sporen voordat kwaadwillenden deze konden misbruiken – gevolgen gehad voor de cyberweerbaarheid van Nederlandse of Europese organisaties die dit model gebruikten?

Zoals toegelicht in de beantwoording op Kamervragen van de leden El Boujdaini en Kathmann van 1 juni jl.5 laat onafhankelijk onderzoek zien dat toegang tot AI-frontiermodellen in veel gevallen niet noodzakelijk is voor effectieve detectie van kwetsbaarheden maar dat ook andere modellen in staat zijn kwetsbaarheden te vinden. Het Nationaal Cyber Security Centrum (NCSC) kijkt daarom naar bredere ontwikkeling van AI-modellen die gebruikt kunnen worden voor cybersecurity doeleinden, en welke kans de toepassing van AI biedt voor het verbeteren van onze digitale weerbaarheid. Het NCSC zoekt actief contact met relevante organisaties in het hele ecosysteem om op de hoogte te blijven van relevante ontwikkelingen op het gebied van deze technologie en de mogelijke gevolgen daarvan voor cyberveiligheid en digitale veerkracht.
Op termijn kan het niet of onvoldoende voor handen hebben van geavanceerde frontier AI-modellen wel tot gevolg hebben dat bedrijven zonder toegang minder zelf in staat worden gesteld kwetsbaarheden te vinden met behulp van AI en deze te verhelpen. Ook daarom is het van belang om binnen Nederland en de EU met urgentie te bouwen aan het versterken van de ontwikkeling van AI en toepassingen hiervan en zolang de eigen capaciteit ontbreekt, samen te werken voor toegang tot noodzakelijke capaciteiten.

Vraag 8

Welke risico’s ziet u in het gegeven dat een AI-model met dergelijke geavanceerde capaciteiten voor het opsporen van cyberkwetsbaarheden zowel defensief als offensief inzetbaar wordt geacht, en in hoeverre weegt dit mee in de Nederlandse of Europese beoordeling van AI-systemen met een hoog risicoprofiel?

De ontwikkelingen volgen elkaar in snel tempo op, risico’s zijn dan ook zeer situationeel afhankelijk. Geavanceerde AI-modellen spelen in algemene zin op twee manieren een rol in het huidige dreigingsbeeld.
Enerzijds kunnen AI-modellen worden ingezet door kwaadwillenden om systemen aan te vallen. Dankzij dergelijke AI-modellen kunnen in veel kortere tijd en op grotere schaal kwetsbaarheden in software worden opgespoord en misbruikt worden voor aanvallen dan eerder mogelijk was. Hierdoor kan de tijd tussen ontdekking van een kwetsbaarheid en het moment dat deze wordt misbruikt significant worden verkort.
Anderzijds kunnen AI-modellen ook worden gebruikt voor digitale verdediging, bijvoorbeeld door ze als softwareontwikkelaar zelf te gebruiken om kwetsbaarheden te vinden maar ook om het patchen, monitoren, detecteren en de respons geautomatiseerd te laten verlopen. Ook hiervoor geldt dat dergelijke processen sneller en op grotere schaal kunnen worden uitgevoerd. De opkomst en het gebruik van geavanceerde AI-systemen kan daarmee leiden tot scheefgroei tussen organisaties die hun digitale verdediging op orde hebben (al dan niet met gebruik van AI) en organisaties die hier minder aandacht aan besteden of minder toe in staat zijn. Aangezien er met behulp van AI onderdelen van de verdediging geautomatiseerd en sneller kunnen worden uitgevoerd, zullen organisaties die niet gebruik (kunnen) maken van geautomatiseerde verdediging en bijvoorbeeld handmatig patchen of reageren, hier minder efficiënt en effectief in zijn en dus relatief kwetsbaarder worden.
Om digitaal weerbaar te zijn en te blijven is het voor individuele organisaties cruciaal om de basismaatregelen continu en tijdig toe te passen. Dit was altijd al het geval, maar de opkomst en toegankelijkheid van AI-modellen onderstreept de urgentie. Wel bepleit het kabinet terughoudendheid ten aanzien van toegang tot operationeel gebruik van een niet-Europees leveranciersmodel als oplossingsrichting voor preventieve kwetsbaarheidsdetectie door de mogelijke afhankelijkheidsrisico’s, zoals beschreven in vraag 6.
Tenslotte stelt de Europese AI-verordening eisen aan AI-systemen en -modellen op basis van het risico van deze systemen. Zo stelt de verordening eisen aan AI-modellen voor algemene doeleinden waarbij de regels steviger zijn voor modellen met systeemrisico’s. Alle AI-modellen voor algemene doeleinden moeten technische documentatie opstellen waarin in ieder geval informatie staat over het beoogde doel van het model, trainingsmethoden en gebruikte data. Aanbieders van modellen met een systeemrisico moeten daarbovenop deze risico’s in kaart brengen en kwetsbaarheden in het model opsporen. Risico’s worden op deze manier ook meegenomen in het toezicht op deze modellen door het Europese AI Office.

Vraag 9

Beschikken de rijksoverheid en de beheerders van vitale infrastructuur over een continuïteits- of exitstrategie voor het geval dat Amerikaanse frontier-modellen waarop hun diensten draaien plotseling wegvallen, en zo nee, bent u voornemens een dergelijke strategie te ontwikkelen?

Op grond van de Cyberbeveiligingswet is het in eerste instantie aan entiteiten, waaronder de Rijksoverheid en aan beheerders van vitale infrastructuur, zelf om vast te stellen welke technische of organisatorische maatregelen passend en evenredig zijn om de risico’s voor de beveiliging van hun netwerk- en informatiesystemen, waaronder AI frontier-modellen, waarmee zij geconfronteerd worden, te kunnen beheersen. Entiteiten hebben immers zelf inzicht in risico’s die hun dienstverlening kunnen raken en hebben de meeste kennis van hun eigen systemen en processen.
De Cyberbeveiligingswet is op 15 augustus 2026 in werking is getreden. De zorgplicht die deze entiteiten onder de Cyberbeveiligingswet hebben, ziet op de maatregelen met het oog op de beveiliging van netwerk- en informatiesystemen die worden toegepast voor de dienstverlening van entiteiten of voor het verrichten van hun activiteiten. Wanneer entiteiten overwegen welke maatregelen in dit verband passend zijn, moeten zij rekening houden met de specifieke kwetsbaarheden van hun rechtstreekse leveranciers en dienstverleners en met de algemene kwaliteit van de producten en de cyberbeveiligingspraktijken van hun leveranciers en dienstverleners. Echter, voor zover de entiteit gebruik maakt van AI frontier modellen is de zorgplicht ook hierop van toepassing. Ten aanzien van de continuïteit van de dienstverlening is in het Cyberbeveiligingsbesluit in artikel 9 opgenomen dat een entiteit over een vastgesteld bedrijfscontinuïteitsbeleid en -plan met betrekking tot haar netwerk- en informatiesystemen moet beschikken. Daarin moeten risico’s voor continuïteit worden meegenomen, zoals in het voorliggende geval via het wegvallen van frontier-modellen. De uitkomsten van de verplichte risicoanalyse die de entiteit heeft uitgevoerd zal bepalen welke mitigerende maatregelen de entiteit moet nemen om de continuïteit van de dienstverlening bij uitval te herstellen. De entiteit legt deze maatregelen vast in haar bedrijfscontinuïteitsplan. Wat een entiteit nodig heeft zal per entiteit verschillen. Het is dan ook niet aan de overheid om ten behoeve van entiteiten continuïteits- of exitstrategieën op te stellen voor de verschillende technieken die entiteiten gebruiken. Wel ondersteunt de Rijksoverheid entiteiten via communicatie om te kunnen voldoen aan de zorgplicht. Zo voorziet de website van het Nationaal Cyber Security Centrum (NCSC) in allerlei adviezen, zoals over het opstellen van een bedrijfscontinuïteitsplan en hoe entiteiten meer grip kunnen krijgen op hun digitale afhankelijkheden.

Vraag 10

Welke maatregelen treft u op korte termijn, al dan niet in Europees verband, om een dergelijke situatie te voorkomen of op te vangen?

Nederland zet zich in EU-verband in voor een gezamenlijke aanpak om risicovolle strategische afhankelijkheden in de AI-waardeketen terug te dringen. Ook blijft het kabinet zich inspannen om de Europese en nationale AI-capaciteiten te versterken. Het kabinet onderschrijft de urgentie hiervan en staat in nauw contact met diverse AI-bedrijven en -experts om te bespreken welke aanvullende inzet nodig is. In het kader van de Ministeriële Taskforce Toekomstige Welvaart en Verdienvermogen is recent bijvoorbeeld een sectortafel omtrent digitale diensten en AI georganiseerd. Daar waar Europa onvoldoende eigen (geavanceerde) AI-capaciteiten heeft, werkt Nederland samen met EU-partners aan het veiligstellen van toegang tot noodzakelijke AI-capaciteiten, met waarborgen voor veiligheid, betrouwbaarheid en bescherming van fundamentele rechten. Voorts neemt Nederland initiatief voor versterking en coördinatie van het externe optreden van de EU op het gebied van AI.

Vraag 11

Hoe versnelt u de totstandkoming van een Europees alternatief op topniveau, bijvoorbeeld door opschaling van de samenwerking met Mistral of door investeringen in rekencapaciteit?

Voor de ontwikkeling van een Europees AI-alternatief op topniveau zijn voldoende rekenkracht, kapitaal, talent en hoogwaardige data randvoorwaardelijk. Het kabinet zet daarom in op nauwe Europese samenwerking en richt zich daarbij in het bijzonder op initiatieven die de Europese AI-capaciteit en technologische slagkracht versterken. Via de EuroHPC Joint Undertaking wordt geïnvesteerd in grootschalige Europese rekencapaciteit, die beschikbaar wordt gesteld aan bedrijven, kennisinstellingen en overheden. De AI-fabriek in Groningen draagt hieraan bij als onderdeel van het Europese netwerk van AI-fabrieken, dat de toegang tot rekenkracht, data en expertise versterkt. Voor de verdere opschaling van rekencapaciteit zet het kabinet daarnaast in op betere randvoorwaarden voor private investeringen, waaronder het stroomlijnen van vergunningsprocedures, zodat nieuwe initiatieven sneller kunnen worden gerealiseerd. Dit sluit aan bij de aanbevelingen uit het rapport-Wennink. Daarnaast dragen de projecten OpenEuroLLM en EuroLLM bij aan de ontwikkeling van hoogwaardige, open en meertalige Europese taalmodellen en daarmee aan een sterker en onafhankelijker Europees AI-ecosysteem. Ook staat het kabinet in nauw contact met relevante AI-bedrijven, waaronder Mistral.
Frankrijk en Duitsland werken samen met de Europese Commissie aan het Frontier AI-initiatief, dat is opgenomen in de Apply AI-strategie. Binnen dit initiatief wordt gewerkt aan de oprichting van een nieuwe publiek-private juridische entiteit die inspeelt op zowel industriële als maatschappelijke behoeften op het gebied van Frontier AI. Het is de bedoeling dat deze entiteit geavanceerde, pre-commerciële en concurrerende AI-systemen gaat ontwikkelen en daarmee de Europese AI-capaciteiten verder versterkt. Voor dit project wordt nog gezocht naar Europese partners die het initiatief kunnen ondersteunen. Nederland heeft tegenover de Europese Commissie onder voorbehoud belangstelling voor betrokkenheid kenbaar gemaakt en onderzoekt momenteel de mogelijkheden om aan dit initiatief bij te dragen.

Vraag 12

Bent u bekend met het scenario «Europe 2031», waarin wordt beschreven hoe Europa bij voortzetting van de huidige AI-koers afglijdt naar irrelevantie?2

Ja.

Vraag 13

Onderschrijft u de bevinding dat Europa nog circa 5 procent van de wereldwijde AI-compute beheerst tegenover circa 80 procent in de Verenigde Staten en dat de 200 miljard euro aan InvestAI grotendeels herverpakt geld betreft dat in het niet valt bij één jaar Amerikaanse investeringen? Zo nee, op welke punten en op basis van welke cijfers wijkt uw beeld af?

Het kabinet onderkent dat Europa momenteel een achterstand heeft ten opzichte van de Verenigde Staten op het gebied van AI-rekencapaciteit en private investeringen in AI. De in de vraag genoemde schattingen van circa 5 procent van de wereldwijde AI-compute voor Europa en circa 80 procent voor de Verenigde Staten zijn gebaseerd op onderzoek van het instituut Epoch AI, zoals gepubliceerd in een artikel uit juni 2025.7 Het kabinet beschikt niet over recentere bronnen die deze percentages bevestigen. Binnen het kader van EuroHPC zal komende jaren de totale rekencapaciteit in Europa vergroot worden met de komst van AI-fabrieken en AI-gigafabrieken onder de controle van Europese partijen.
Ten aanzien van InvestAI benadrukt het kabinet dat de genoemde € 200 miljard geen fonds is dat volledig door de Europese Commissie wordt gevuld. Het betreft een publiek-private investeringsdoelstelling, waarbij de Europese Unie beoogt in totaal € 200 miljard aan AI-investeringen te mobiliseren uit verschillende bronnen, waaronder substantiële private investeringen. Een deel van de publieke middelen bouwt daarbij voort op bestaande Europese financieringsinstrumenten. Het kabinet deelt daarom niet de kwalificatie dat InvestAI grotendeels uit «herverpakt geld» bestaat.
Tegelijkertijd is duidelijk dat de investeringsambities in de Verenigde Staten, met name op het gebied van AI-infrastructuur, momenteel groter zijn dan in Europa. Daarbij is het wel van belang onderscheid te maken tussen publieke overheidsuitgaven en gemobiliseerde private investeringen, omdat deze niet één-op-één vergelijkbaar zijn. Hoewel we waarde blijven hechten aan de samenwerking met de Verenigde Staten op het gebied van AI, zet het kabinet in op nauwe Europese samenwerking om de randvoorwaarden voor een concurrerend Europees AI-ecosysteem te versterken.

Vraag 14

Deelt u de tijdsdiagnose dat de zomer van 2026 het laatste reële moment is om bij te sturen voordat de achterstand zichzelf versterkt? Zo nee, welk eigen ijkpunt hanteert u en waarop baseert u dat?

Het kabinet hanteert geen eigen ijkpunt, omdat precieze tijdsvoorspellingen in een domein dat zich zo snel ontwikkelt inherent onzeker zijn. Dat geldt ook voor de tijdsdiagnose in Europe 2031. Wat het kabinet wél deelt, is de urgentie die ten grondslag ligt aan het scenario. De dynamieken tussen compute, modelcapaciteit en investeringscycli zijn reëel en vragen nu om actie. Het afgelopen jaar is daarom zowel op Europees als op nationaal niveau gewerkt aan nieuw beleid op dit terrein, waarvan het Tech Sovereignty Package, de internationale AI-strategie en de werkzaamheden in het kader van de Ministeriële Taskforce Toekomstige Welvaart en Vestigingsklimaat enkele relevante voorbeelden zijn.

Vraag 15

Bent u bereid dit incident en andere mogelijke strategische AI-afhankelijkheden te (laten) bestuderen en de Kamer te informeren hoe Nederland zich voorbereidt op een scenario waarin de toegang tot buitenlandse AI-modellen voor Nederlandse burgers abrupt wordt beperkt of als drukmiddel wordt ingezet, en daarbij in te gaan op de economische, strategische en soevereiniteitsgevolgen voor Nederland?

Het kabinet communiceert vanwege strategische en diplomatieke gevoeligheden niet in het openbaar over de analyses die zij uitvoert naar (risicovolle) strategische afhankelijkheden en eventuele voorbereidingen op scenario's over geopolitieke incidenten. De Kamer kan daarover vertrouwelijk worden geïnformeerd.

Vraag 16

Wat doet u om meer strategische technologie te ontwikkelen waarvan anderen juist afhankelijk zijn – naar het voorbeeld van ASML – zodat de kans kleiner wordt dat Nederland wordt afgesloten van kritieke technologie zoals AI?

Het kabinet zet hiertoe in op het versterken van het concurrentievermogen van Nederland, onder andere via de Nationale Technologiestrategie en de Ministeriële Taskforce Toekomstige Welvaart en Vestigingsklimaat.

Vraag 17

Bent u bereid de positie uit de brief aan de Kamer van 31 maart 2026 – dat er binnen de huidige begroting geen ruimte is voor de financiële verplichting om deel te nemen aan de Europese aanbesteding van rekencapaciteit en daarmee aanspraak te maken op het fonds van 20 miljard euro voor maximaal vijf AI-gigafabrieken – te heroverwegen, nu het Fable-incident precies de geopolitieke verstoring is die in diezelfde brief als reden werd genoemd waarom Nederland en Europa zelfstandig AI-modellen moeten kunnen ontwikkelen en hosten?3

Het kabinet erkent het belang van AI-infrastructuur als cruciale bouwsteen voor de ontwikkeling en toepassing van AI-modellen en applicaties. Tegelijkertijd is het kabinet, in lijn met het rapport-Wennink, onverminderd voorstander van AI-gigafabrieken die volledig door de markt worden gefinancierd, waarbij voor het kabinet een taak ligt om de randvoorwaarden te versterken.

Vraag 18

Hoe verhoudt de ambitie om nationale rekencapaciteit op te bouwen zich tot de huidige netcongestie, de schaarse ruimte en het verbod op hyperscale-datacenters op nieuwe locaties, en welke concrete randvoorwaarden op het gebied van energie, netaansluiting en vergunningverlening neemt u op welke termijn weg?

Voor AI-rekenfaciliteiten geldt dat het huidige beleid hier ruimte voor biedt mits zij voldoen aan geldende wet- en regelgeving. Grootschalige AI-rekenfaciliteiten brengen aanzienlijke ruimtelijke claims met zich mee en vragen om substantiële hoeveelheden elektriciteit. Nederland staat voor uitdagingen op het gebied van netcongestie en ruimtelijke schaarste. Het kabinet vindt het noodzakelijk dat nieuwe AI-infrastructuur zorgvuldig wordt ingepast binnen de nationale energie- en ruimtelijke kaders, met aandacht voor energie-efficiënte, duurzaamheid en de impact op het elektriciteitsnet. Tegelijkertijd hecht het kabinet eraan dat Nederland beschikt over de rekencapaciteit die nodig is voor het realiseren van de (digitale) economie van de toekomst en voor het streven naar meer digitale autonomie. Deze twee perspectieven, ruimtelijke inpassing en impact op het energiesysteem enerzijds, en economische ontwikkeling en autonomie anderzijds, vragen om een samenhangende afweging. Daarom wordt onder regie van het Ministerie van EZK, samen met VRO, gezamenlijk gewerkt aan een nationale geïntegreerde aanpak datacenters. Onder de werktitel «regie op datacenterontwikkeling» wordt uw Kamer dit najaar geïnformeerd over deze aanpak.

Vraag 19

Bent u bereid de oprichting van een Nederlands European Lab for Learning and Intelligent Systems (ELLIS) Instituut als nationaal AI-onderzoekscentrum, zoals aanbevolen in het rapport-Wennink, op korte termijn mogelijk te maken en te financieren? Zo nee, waarom niet?

Op dit moment werken initiatiefnemers uit het veld het concept van een ELLIS Instituut nader uit. Het Ministerie van EZK staat in contact met deze initiatiefnemers. Voor de oprichting van een ELLIS Instituut zijn op dit moment geen middelen op de Rijksbegroting gereserveerd.

Vraag 20

Hoe beoordeelt u het feit dat Nederland, anders dan het Verenigd Koninkrijk en de Verenigde Staten, niet over een eigen AI Safety Institute beschikt en daarmee geen onafhankelijke capaciteit heeft om de frontier-modellen waarvan onze economie en vitale sectoren afhankelijk zijn zelf te beoordelen of te testen – zoals het Britse AI Safety Institute wel doet via toegangsafspraken met onder meer Anthropic, Google en OpenAI – mede in het licht van het gegeven dat juist een jailbreak (gevangenisuitbraak) van Mythos de aanleiding vormde voor het uitschakelen van Fable? Bent u bereid een Nederlands AI Safety Institute met die taak en passende bevoegdheden op te richten?

Het kabinet onderkent het belang van het monitoren en afdekken van veiligheidsrisico’s van geavanceerde AI en is van mening dat dit een aanpak vereist die stevig is verankerd in inhoudelijke expertise. Hiertoe wordt er binnen Nederland, Europa en diverse kennisinstellingen gewerkt aan het verder versterken van kennis, expertise en samenwerking op het gebied van AI-veiligheid.
Zoals reeds aan de Kamer aangegeven9 loopt er in dit kader een interdepartementale verkenning naar de mogelijke inrichting van een onafhankelijk AI-veiligheidsinstituut. Dit, naar voorbeeld van internationale initiatieven zoals het AI Security Institute (AISI) in het Verenigd Koninkrijk. De verkenning zal naar verwachting in september resulteren in een adviesrapport. Op basis van de uitkomsten daarvan zal het kabinet besluiten of en op welke wijze een dergelijk instituut kan worden ingericht, inclusief de taken, bevoegdheden en benodigde randvoorwaarden. Het kabinet houdt daarbij rekening met de verschillende bestaande instituten en initiatieven die de overheid en private organisaties reeds voorzien van advies en expertise op het gebied van AI en cybersecurity.

Vraag 21

Onderschrijft u het feit dat het versterken van de brede strategische relevantie van op Nederland gerichte investeringen vraagt om technologische doorbraken over meerdere domeinen, en niet alleen in AI? Welke rol ziet u daarbij voor het Nationaal Agentschap voor Disruptieve Innovatie (NADI) als motor voor disruptieve doorbraken over de volle breedte van de door Wennink benoemde strategische domeinen (digitalisering en AI, veiligheid en weerbaarheid, gezondheid en biotechnologie, energie- en klimaattechnologie)?

Dat onderschrijf ik. En dat is ook een van de redenen dat het kabinet inzet op verschillende technologiegebieden in de Nationale Technologiestrategie en de Ministeriële Taskforce Toekomstige Welvaart en Vestigingsklimaat. Het doel van NADI is om technologische doorbraken te realiseren voor grote maatschappelijke uitdagingen. Het ligt voor de hand dat AI en de andere genoemde technologieën daar een bijdrage aan kunnen leveren.

Vraag 22

Bent u bereid te laten onderzoeken of het NADI volgens de ARPA-methode een programma kan opzetten dat de ontwikkeling van AI-infrastructuur op Europese bodem versterkt, in het bijzonder chips en de bijbehorende ontwerp- en productietooling?

Ja, daar ben ik toe bereid. Daarbij zal worden bezien of een verdere specificering van de scope tijdens de verkenning wenselijk is, bijvoorbeeld de inzet op basismodellen in het fysieke domein. Bovendien kan het gegeven dat dit onderwerp nadrukkelijk op de Europese agenda staat mogelijk ook kansen bieden om een dergelijk programma te versterken met Europese financiering.

Vraag 23

Bent u bereid de Kamer vóór Prinsjesdag een samenhangend tijdpad te sturen voor het vergroten van de strategische relevantie van Nederland op AI- en breder technologisch gebied, met daarin in elk geval de besluitvorming over nationale rekencapaciteit en energie, een ELLIS Instituut, een AI Safety Institute, de versnelde oprichting van het NADI en de opschaling van de Nationale Investeringsinstelling?

Het door u gevraagde tijdspad voor de initiatieven hebben een raakvlak met AI en met AI modellen, maar zijn onderdeel van verschillende, bredere beleidstrajecten, zoals deze onder meer in de Taskforce Toekomstige Welvaart en Vestigingsklimaat of in een proces van beoordeling van voorstellen van de Commissie wordt geapprecieerd. Uw kamer wordt deze zomer geïnformeerd over de stand van zaken met betrekking tot de (implementatie en integratie van de) NADI en de Nationale Investeringsinstelling in een brief vanuit de Taskforce. Over het vraagstuk van nationale rekencapaciteit en energie kan ik u aanvullend melden dat het kabinet deze zomer in het kader van het Tech Sovereignty Packcage van de Europese Commissie een BNC-fiche over het voorstellen ut de Strategic Roadmap for Digitalisation and AI in Energy met uw kamer zal delen. Voor het ELLIS Institute wacht het kabinet op de nadere uitwerking van de initiatiefnemers uit het veld. Zoals eerder in deze brief aangegeven is er t.a.v. de wenselijkheid en mogelijke inrichting van een onafhankelijk AI veiligheidsinstituut een verkenning gestart. Naar verwachting wordt het adviesrapport in september opgeleverd. Dit wacht het kabinet af alvorens hierover beslissingen te nemen.