Kamervragen
718 kamervragen gevonden
beantwoord onbeantwoord uitgesteld
Alle
29 april 2026 - 5 juni 2026
37 dagen
Recente berichtgeving over Palantir |
|
Sarah El Boujdaini (D66), Michelle Jagtenberg (D66), Fatimazhra Belhirch (D66) |
|
David van Weel (VVD), Aerdts , Derk Boswijk (CDA) |
|
|
|
Bronnen
-
Vraag 1
Heeft u kennisgenomen van het artikel van Follow the Money waarin wordt gesteld dat de Kamer niet volledig is geïnformeerd over een contract met Palantir?1
Ja.
-
Vraag 2
Erkent u dat het antwoord dat in augustus 2025 is gegeven door de Minister van Justitie en Veiligheid op de vraag of er buiten de bekende voorbeelden binnen Justitie en Veiligheid gebruik is of wordt gemaakt van software van Palantir onjuist of op zijn minst onvolledig was? En erkent u dat de Kamer onjuist en/of onvolledig is geïnformeerd?
De Kamervragen zijn destijds gesteld aan en beantwoord door de Minister van Justitie en Veiligheid (JenV), op basis van de toen geldende portefeuilleverdeling binnen het kabinet. Daarnaast werden er Kamervragen over het mogelijke gebruik van Palantir gesteld aan meerdere bewindspersonen van andere departementen (Defensie, VWS, IenW, FIN, BZK). Grenstoezicht door de KMar, waarvoor Palantir-software in het verleden is ingezet, viel onder verantwoordelijkheid van de Minister van AenM. Daarom is deze toepassing van Palantir niet meegenomen ten tijde van de beantwoording van de Kamervragen in augustus 2025.
Inmiddels is het Ministerie van Asiel en Migratie opgegaan in het Ministerie van Justitie en Veiligheid. Daardoor is in navolging van een Woo-verzoek van JenV recent een contract verstrekt. Het Programma Vernieuwing Grensmanagement, onderdeel van de Programmadirectie Identiteitsmanagement en Immigratie (IDMI), had contracten afgesloten voor het gebruik van Palantir voor het API systeem dat gebruikt werd door de KMar voor het grenstoezicht. IDMI was onderdeel van het Directoraat Generaal Vreemdelingenzaken (DGVZ), thans DGM. Zoals hierboven uitgelegd, viel dit betreffende beleidsonderdeel ten tijde van de beantwoording van de Kamervragen in augustus 2025 niet onder de politieke verantwoordelijkheid van de Minister van JenV.
De stukken die hierover inmiddels naar aanleiding van het Woo-besluit van JenV zijn gedeeld en de inzet van Palantir-softwarelicenties, zullen nader worden betrokken bij de afhandeling van het Woo-verzoek dat aan de Minister van Asiel en Migratie is gestuurd. -
Vraag 3
Kunt u precies uiteenzetten wanneer het contract tussen de Koninklijke Marechaussee (KMar) en Palantir is afgesloten, welke onderdelen van Defensie hierbij betrokken zijn en waarom de Kamer hier niet (volledig) vooraf over is geïnformeerd?
Zie antwoord vraag 2.
-
Vraag 4
Heeft u kennisgenomen van het 22-punten manifesto van Palantir dat zij op hun sociale media hebben gezet?2 Hoe beoordeelt u dat manifesto? Deelt u de mening dat dit manifesto direct ingaat tegen de normen en waarden van de Nederlandse overheid en dat er mede op basis daarvan geen samenwerking kan plaatsvinden tussen Palantir en de Nederlandse overheid?
Ja, daarvan is kennisgenomen.
Het kabinet stelt de bescherming van mensenrechten en de democratische rechtsstaat voorop en zet zich daarvoor in, ook bij de inzet van technologie. Het is niet aan het kabinet om opvattingen van het bestuur van een bedrijf van een oordeel te voorzien.
In relatie tot de huidige toepassing van Palantir bij de politie en Defensie hecht ik er, met de Staatssecretaris van Defensie, aan te benadrukken dat dit gebruik van veel waarborgen is voorzien. Tegelijkertijd worden mogelijke alternatieven verkend om de toekomstbestendigheid en flexibiliteit te vergroten, zoals ook aan uw Kamer toegelicht door de Staatssecretaris van Defensie tijdens uw Vragenuur van 2 juni jl.
Voor een reactie op de vraag of de Nederlandse overheid zaken kan blijven doen met het bedrijf in kwestie wordt u verwezen naar de Kamerbrief3 van de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties over de uitvoering aangenomen ontraden moties over ICT-onderwerpen ingediend tijdens het Notaoverleg over de Nederlandse Digitaliseringsstrategie d.d. 29 september 2025. Hierin is ingegaan op de uitvoering van de aangenomen motie4 van het lid Six Dijkstra c.s. over het onafhankelijk maken van de Nederlandse overheid van Palantir. -
Vraag 5
Kunt u een totaaloverzicht geven van alle samenwerkingen die er hebben plaatsgevonden of plaatsvinden tussen de Nederlandse overheid en Palantir sinds de oprichting in 2003? Mochten er nog lopende samenwerkingen zijn, liggen er exitstrategieën om als Defensie zo snel mogelijk te stoppen met het gebruik van de betreffende software?
Er is geen Rijksbrede overeenkomst met Palantir. Een overzicht van alle lopende, aanstaande en verlopen contracten is niet voorhanden. Aanbestede diensten zijn zelf verantwoordelijk voor de aanbestedingsprocedures en het contracteren van leveranciers, er is geen centraal overzicht dat door mijn ministerie kan worden aangeboden.
Wat betreft uw vraag inzake eventuele exitstrategieën van Defensie het volgende. Binnen de Nederlandse krijgsmacht wordt bij een aantal (operationele) defensieonderdelen gebruik gemaakt van de Palantir-software. Dit gebeurt onder strikte maatregelen en in volledige afgesloten omgevingen. Ook wordt in het kader van interoperabiliteit tussen NAVO-partners onderzocht in hoeverre deze technologie hieraan kan bijdragen. Het afbouwen van afhankelijkheden is een middel om operationele continuïteit te kunnen waarborgen, maar dat kan bijvoorbeeld ook door in de samenwerking met (niet-Europese) technologiebedrijven verschillende contractuele, organisatorische en technische maatregelen te treffen. Tegelijkertijd onderzoekt Defensie de mogelijkheden om, al dan niet samen met bondgenoten, Europese alternatieven te (helpen) ontwikkelen.
28 april 2026 - 9 juni 2026
42 dagen
De raamovereenkomst met een Europees cloudbedrijf |
|
Barbara Kathmann (PvdA) |
|
Aerdts |
|
|
|
Bronnen
1. Digitaleoverheid.nl, 23 april 2026, Rijksoverheid sluit deal met Europees cloudplatform STACKIT.
2. Manifest Open Cloud Alliantie, april 2026, Manifest_Open_Cloud_Alliantie-20260401.pdf
2. Manifest Open Cloud Alliantie, april 2026, Manifest_Open_Cloud_Alliantie-20260401.pdf
-
Vraag 1
Kunt u meer toelichten over de raamovereenkomst die is gesloten met het Europese cloudplatform STACKIT?1
Strategisch Leveranciersmanagement (SLM) Rijk heeft de opdracht om, binnen de kaders van wet- en regelgeving en vigerend beleid, het afnemen van (cloud)diensten te faciliteren voor rijksorganisaties. Hiervoor sluit SLM Rijk de zogenaamde «Framework Agreements» (hierna: raamovereenkomst) af met cloud leveranciers waarin waarborgen zijn opgenomen voor het op verantwoorde wijze gebruiken van (cloud-)diensten.
De keuze voor aankoop en gebruik van een (cloud)dienst onder een door SLM Rijk gecontracteerde raamovereenkomst ligt bij de rijksorganisatie zelf. De raamovereenkomst bevat geen verplichtingen voor daadwerkelijke afname van diensten. De rijksorganisatie dient af te wegen of de aan te schaffen dienst past op haar specifieke vraag en situatie, waaronder de (gevoeligheid van) data die de organisatie wenst te laten verwerken.2
Rijksorganisaties die clouddiensten willen inkopen, kunnen gebruik maken van de door het Rijk afgesloten raamovereenkomst met STACKIT. Bij hun inkooporganisatie kunnen zij informeren hoe de verwerving van clouddiensten georganiseerd dient te worden. -
Vraag 2
Kunt u de raamovereenkomst aan de Kamer doen toekomen?
Nee. De raamovereenkomst met STACKIT bevat grotendeels bedrijfsvertrouwelijke informatie. Het delen van deze informatie zou nadelige consequenties voor de Staat hebben, omdat leveranciers (met de wetenschap dat bedrijfsvertrouwelijke contracten gedeeld zouden kunnen worden) niet meer genegen zouden zijn (maat-)werkafspraken met de Staat te maken. Er is ook een geldige Non-Disclosure Agreement (NDA) van kracht met de leverancier.
In vraag 4 en 5 wordt antwoord gegeven op een aantal specifieke inhoudelijke vragen. -
Vraag 3
Hoe ziet u de rol van de Rijksoverheid als lancerende klant van autonome Europese IT-diensten? Hoe draagt de raamovereenkomst met STACKIT bij aan dit doel?
Het kabinet kijkt naar de mogelijkheden om als launching customer op te treden bij de inkoop van clouddienstverlening en bij aanbesteding van dergelijke diensten de mogelijkheden van een Europees voorkeursprincipe te benutten met behoud van de voordelen van een open markt.
Zoals gesteld in beantwoording op vraag 1 kunnen rijksorganisaties met het sluiten van de raamovereenkomst onder veilige en gunstige voorwaarden clouddienstverlening afnemen bij leveranciers. Dit kan een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze leveranciers. Met de inkoop van dienstverlening bij Europese leveranciers, zoals STACKIT, kan de overheid als lancerende klant bijdragen aan de concurrentiepositie van Europese cloudleveranciers. Ook kan dit bijdragen aan een meer divers leveranciersbestand, waarmee afhankelijkheden van niet-Europese aanbieders bij rijksorganisaties worden afgebouwd. Dit draagt bij aan de digitale autonomie van Nederland.
Daarbij dient wel te worden opgemerkt dat het sluiten van de raamovereenkomst niet inhoudt dat de dienstverlening van STACKIT al daadwerkelijk door onderdelen van de Rijksoverheid is ingekocht. -
Vraag 4
Met welk doel is de raamovereenkomst gesloten? Zijn er ook afspraken gemaakt over de afname van deze diensten?
Het doel van de raamovereenkomst is om door SLM Rijk onderzochte Europese cloud-alternatieven op verantwoorde wijze beschikbaar te stellen voor rijksorganisaties.
SLM Rijk heeft geen afspraken gemaakt over de afname van diensten; die beslissing ligt bij de rijksorganisaties zelf. Zie ook de beantwoording op vraag 1. -
Vraag 5
Welke «veilige en gunstige voorwaarden» heeft u afgesproken met STACKIT? Op welke manier dragen deze voorwaarden bij aan de digitale autonomie van Nederland?
Doeltreffende maatregelen m.b.t. de bescherming van persoonsgegevens zijn getroffen naar aanleiding van de door SLM uitgevoerde Data Protection Impact Assessment (DPIA). Conform de uitgevoerde DPIA is in de raamovereenkomst vastgelegd dat alle data exclusief worden verwerkt binnen de EER, inclusief persoonsgegevens. Ook zijn er afspraken gemaakt over (voortijdige) contractbeëindiging bij wijzigingen in eigenaarschap, bijvoorbeeld als STACKIT wordt overgenomen door een buiten de EER gelegen eigenaar.
Zoals gesteld in beantwoording op vraag 1 kunnen rijksorganisaties met het sluiten van de raamovereenkomst onder veilige en gunstige voorwaarden clouddienstverlening afnemen bij leveranciers. Dit kan een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze leveranciers. Met de inkoop van dienstverlening bij Europese leveranciers, zoals STACKIT, kan de overheid als lancerende klant bijdragen aan de concurrentiepositie van Europese cloudleveranciers. Ook kan dit bijdragen aan een meer divers leveranciersbestand, waarmee afhankelijkheden van niet-Europese aanbieders bij rijksorganisaties worden afgebouwd. Dit draagt bij aan de digitale autonomie van Nederland. -
Vraag 6
Hoe draagt het sluiten van een raamovereenkomst met één leverancier bij aan een eerlijk en open speelveld voor Nederlandse en Europese techbedrijven?
Zoals onder vraag 5 toegelicht kan het sluiten van de raamovereenkomst een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze Europese leverancier. Daarnaast sluit het afsluiten van een raamovereenkomst met één partij de mogelijkheid tot het sluiten van gelijksoortige raamovereenkomsten met andere partijen geenszins uit.
Tegelijkertijd is meedingen in individuele aanbestedingstrajecten voor clouddienstverlening van de Rijksoverheid niet exclusief voorbehouden aan partijen die een raamovereenkomst met SLM Rijk hebben afgesloten. Dit betekent dat aanbieders zonder raamovereenkomst met SLM Rijk evengoed kunnen meedingen in aanbestedingen voor clouddienstverlening.
Het is tevens relevant te benadrukken dat SLM Rijk de intentie heeft met meer Europese cloudaanbieders een raamovereenkomst te sluiten. Zo is er reeds een onderzoek bezig naar OVHcloud en ESET, een Europese leverancier voor securitydiensten. Ook is SLM Rijk in gesprek met Nederlandse cloudbedrijven om de mogelijkheden voor het sluiten van een raamovereenkomst te verkennen. -
Vraag 7
Hoe borgt u in het sluiten van een raamovereenkomst de diversificatie en keuzevrijheid tussen leveranciers, zoals wel beoogd wordt door een privaat initiatief zoals de Open Cloud Alliantie?2
Er geldt geen afnameverplichting voor het gebruik van STACKIT door rijksorganisaties.
Dit betekent dat net als STACKIT iedere andere cloudaanbieder inclusief leden van bijvoorbeeld de Open Cloud Alliantie, kan meedingen in aanbestedingen. -
Vraag 8
Welke diensten levert STACKIT? Kunt u concreet maken voor welke belangrijke IT-processen u van plan bent de clouddiensten van STACKIT af te nemen?
STACKIT levert clouddiensten, bijvoorbeeld rekenkracht en opslag. Onder de reikwijdte van de raamovereenkomst zijn deze diensten meegenomen.
Zoals toegelicht in de beantwoording van vragen 1 en 4 zijn afspraken over de afname van diensten geen onderdeel van de raamovereenkomst. -
Vraag 9
Erkent u dat opslag binnen de Europese Economische Ruimte (EER) geen afdoende bescherming is tegen inzageverzoeken van niet-Europese overheden, als de bedrijven die de opslag beheren onder niet-Europese wetgeving vallen?
Ja, dat erken ik. Omdat dit risico niet van toepassing is op de diensten in scope van de raamovereemkomst met STACKIT, verwijs ik voor een gedetailleerde juridische analyse naar andere door SLM gepubliceerde DPIA’s.4 Zo wordt hierop in de recent gepubliceerde tweede update DPIA op M365 Copilot gedetailleerd ingegaan, specifiek in paragraaf 8.3.4.
Op dit moment zijn er geen afhankelijkheden van niet-Europese bedrijven geconstateerd voor de diensten van STACKIT die zijn opgenomen in de scope van de raamovereenkomst. Zie ook de beantwoording op vraag 11. -
Vraag 10
Is uitgesloten dat de clouddiensten van STACKIT op welke manier dan ook afhankelijk zijn van niet-Europese techbedrijven in het beheer, onderhoud, de beveiliging, of andere essentiële processen?
Dit is contractueel uitgesloten. Mocht er worden geconstateerd dat de feitelijke situatie in een later stadium zou afwijken van de contractuele waarborgen, dan kan het contract direct worden opgezegd.
-
Vraag 11
Indien dit niet uit te sluiten is, kunt u dan toelichten welke afhankelijkheden STACKIT heeft van niet-Europese bedrijven? Zijn deze afhankelijkheden weg te nemen?
Op dit moment zijn er geen afhankelijkheden van niet-Europese bedrijven geconstateerd voor de diensten van STACKIT die zijn opgenomen in de scope van de raamovereenkomst.
-
Vraag 12
Welke analyses heeft u gemaakt om te bevestigen dat STACKIT daadwerkelijk volledig Europees en autonoom is? Kunt u deze met de Kamer delen?
SLM Rijk heeft de DPIA op STACKIT door een extern bureau laten uitvoeren waarin de potentiële gegevensuitwisselingen met STACKIT zijn onderzocht. Conform de uitgevoerde DPIA is in de raamovereenkomst vastgelegd dat alle gegevens exclusief worden verwerkt binnen de EER, inclusief persoonsgegevens. Ook zijn er afspraken gemaakt over (voortijdige) contractbeëindiging bij wijzigingen in eigenaarschap, bijvoorbeeld als STACKIT wordt overgenomen door een buiten de EER gelegen eigenaar. Zie ook de beantwoording op vraag 5.
-
Vraag 13
Hoe gaat de Rijksoverheid toezien of STACKIT zich aan de afspraken houdt? Welke toezichthouder is hiertoe aan zet?
SLM Rijk zal dat doen door middel van uitoefening van het bedongen auditrecht, dit is onderdeel van regulier contractbeheer. De toezichthouder is in casu dus niet aan zet.
-
Vraag 14
Kunt u de vragen afzonderlijk van elkaar en zo snel mogelijk beantwoorden?
Ja.
28 april 2026 - 5 juni 2026
38 dagen
Het artikel 'Marechaussee werkte met omstreden techreus Palantir: minister Van Weel verzweeg contract voor Tweede Kamer' |
|
Laurens Dassen (Volt) |
|
David van Weel (VVD) |
|
|
|
Bronnen
1. Follow The Money, 25 april 2026, Marechaussee werkte met omstreden techreus Palantir: Minister van Weel verzweeg contract voor Tweede Kamer.
2. Aanhangsel van de Handelingen, vergaderjaar 2024–2025, nr. 2877. …
2. Aanhangsel van de Handelingen, vergaderjaar 2024–2025, nr. 2877. …
-
Vraag 1
Bent u bekend met het Follow The Money-artikel «Marechaussee werkte met omstreden techreus Palantir: Minister van Weel verzweeg contract voor Tweede Kamer»?1
Ja.
-
Vraag 2
Was uw eerdere antwoord op Kamervragen in juli 2025 over gebruik van Palantir binnen de Nederlandse overheid correct en compleet?2 Zo nee, wat heeft u dan verzaakt te melden?
De Kamervragen zijn destijds gesteld aan en beantwoord door de Minister van Justitie en Veiligheid (JenV), op basis van de toen geldende portefeuilleverdeling binnen het kabinet. Daarnaast werden er Kamervragen over het mogelijke gebruik van Palantir gesteld aan meerdere bewindspersonen van andere departementen (Defensie, VWS, IenW, FIN, BZK). Grenstoezicht door de KMar, waarvoor Palantir-software in het verleden is ingezet, viel onder verantwoordelijkheid van de Minister van AenM. Daarom is deze toepassing van Palantir niet meegenomen ten tijde van de beantwoording van de Kamervragen in augustus 2025.
Inmiddels is het Ministerie van Asiel en Migratie opgegaan in het Ministerie van Justitie en Veiligheid. Daardoor is in navolging van een Woo-verzoek van JenV recent een contract verstrekt. Het Programma Vernieuwing Grensmanagement, onderdeel van de Programmadirectie Identiteitsmanagement en Immigratie (IDMI), had contracten afgesloten voor het gebruik van Palantir voor het API-systeem dat gebruikt werd door de KMar voor het grenstoezicht. IDMI was onderdeel van het Directoraat Generaal Vreemdelingenzaken (DGVZ), thans DGM. Zoals hierboven uitgelegd, viel dit betreffende beleidsonderdeel ten tijde van de beantwoording van de Kamervragen in augustus 2025 niet onder de politieke verantwoordelijkheid van de Minister van JenV.
De stukken die hierover inmiddels naar aanleiding van het Woo-besluit van JenV zijn gedeeld en de inzet van Palantir-softwarelicenties, zullen nader worden betrokken bij de afhandeling van het Woo-verzoek dat aan de Minister van Asiel en Migratie is gestuurd. -
Vraag 3
Was u op de hoogte van het contract tussen Palantir en de Programmadirectie Identiteitsmanagement en Immigratie (IDMI) in 2014?
Zie antwoord vraag 2.
-
Vraag 4
Zo ja, waarom heeft u dat contract niet genoemd in uw eerdere antwoord? Zo nee, waarom bent u niet voldoende op de hoogte over Amerikaanse tech-afhankelijkheden binnen uw eigen ministerie?
Zie antwoord vraag 2.
-
Vraag 5
Kunt u een kloppend overzicht geven van alle lopende, aanstaand of verlopen contracten tussen de Nederlandse overheid, inclusief sub-overheden en Zelfstandig Uitvoeringsorganen (ZBO’s), en het Amerikaanse Palantir?
Er is geen Rijksbrede overeenkomst met Palantir. Een overzicht van alle lopende, aanstaande en verlopen contracten is niet voorhanden. Aanbestedende diensten zijn zelf verantwoordelijk voor de aanbestedingsprocedures en het contracteren van leveranciers, er is geen centraal overzicht dat door mijn ministerie kan worden aangeboden.
-
Vraag 6
Bent u van mening dat ongepaste of onethische uitspraken van het bestuur van een bedrijf een reden moet zijn dat de Nederlandse overheid geen zaken meer moet doen met het bedrijf in kwestie? Zo nee, waarom niet?
Het kabinet stelt de bescherming van mensenrechten en de democratische rechtsstaat voorop en zet zich daarvoor in, ook bij de inzet van technologie. Het is niet aan het kabinet om opvattingen van het bestuur van een bedrijf van een oordeel te voorzien.
In relatie tot de huidige toepassing van Palantir bij de politie en Defensie hecht ik er, met de Staatssecretaris van Defensie, aan te benadrukken dat dit gebruik van veel waarborgen is voorzien. Tegelijkertijd worden mogelijke alternatieven verkend om de toekomstbestendigheid en flexibiliteit te vergroten, zoals ook aan uw Kamer toegelicht door de Staatssecretaris van Defensie tijdens het Vragenuur van 2 juni jl.
Voor een reactie op de vraag of de Nederlandse overheid zaken kan blijven doen met het bedrijf in kwestie wordt u verwezen naar de Kamerbrief van de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties over de uitvoering aangenomen ontraden moties over ICT-onderwerpen ingediend tijdens het Notaoverleg over de Nederlandse Digitaliseringsstrategie d.d. 29 september 2025.3 Hierin is ingegaan op de uitvoering van de aangenomen motie4 (motie 5) van het lid Six Dijkstra c.s. over het onafhankelijk maken van de Nederlandse overheid van Palantir. -
Vraag 7
Bent u voornemens alle lopende en aanstaande contracten tussen de Nederlandse overheid en Palantir in belang van nationale veiligheid te annuleren, dan wel niet te verlengen? Zo nee, waarom niet?
Zie antwoord vraag 6.
-
Vraag 8
Kunt u deze vragen apart van elkaar en voor 12 mei 2026 beantwoorden?
Dat is helaas niet gelukt.
24 april 2026 - 1 juni 2026
38 dagen
Het bericht AI-model Mythos geprezen en gevreesd lijkt in handen gevallen van onbevoegden |
|
Sarah El Boujdaini (D66), Barbara Kathmann (PvdA) |
|
Aerdts , David van Weel (VVD) |
|
|
|
|
-
Vraag 1
Bent u bekend met het bericht in het NRC over het AI-model Mythos dat mogelijk in handen is gevallen van onbevoegden?1
Ja.
-
Vraag 2
Deelt u de analyse dat ongecontroleerde verspreiding van geavanceerde AI-modellen risico’s kan vergroten op cyberaanvallen, geautomatiseerde fraude en andere schadelijke toepassingen? Zo ja, welke risico’s acht u het meest urgent? Zo nee, waarom niet?
Het is goed om te benadrukken dat de risico’s niet voortkomen uit één specifiek geavanceerd AI-model. Geavanceerde capaciteiten zijn niet enkel meer voorbehouden aan gesloten, zogeheten «frontier-only» modellen. Ook open, vrij toegankelijke AI-modellen komen steeds dichterbij dergelijke geavanceerde capaciteiten. Zo laat gelekte broncode van Anthropic’s Claude Code product zien dat de capaciteiten van een AI-model niet enkel of grotendeels voortkomen uit het model zelf, maar juist uit de technische infrastructuur (het «harnas») om het AI-model heen.
De ontwikkelingen volgen elkaar in snel tempo op, risico’s zijn dan ook zeer situationeel afhankelijk. Eén van de risico’s die het kabinet ziet, is dat geavanceerde AI-modellen onder andere kunnen worden ingezet om technische kwetsbaarheden in software op te sporen. Dit kan dankzij dergelijke AI-modellen in veel kortere tijd en op grotere schaal worden gedaan dan eerder mogelijk was. Hierdoor kan de tijd tussen ontdekking van een kwetsbaarheid en het moment dat deze wordt uitgebuit significant worden verkort.
Ook zijn geavanceerde AI-modellen tot dusver afkomstig van commerciële bedrijven en veelal afkomstig uit niet-Europese landen waar andere wet- en regelgeving geldt dan in de EU. Dat kan ertoe leiden dat (a) er weinig tot geen inzicht bestaat in de onderliggende systemen en software van dergelijke systemen en (b) die systemen niet voldoen aan Europese wet- en regelgeving. Het (verder) integreren van AI-modellen in Nederlandse digitale (kern)processen, waarbij de AI-modellen op infrastructuur van niet-Europese aanbieders draait, kan leiden tot toenemende afhankelijkheid.
Ook draaien veel geavanceerde AI-modellen op niet-Europese cloudinfrastructuur. Integratie in Nederlandse digitale processen vergroot daarmee de afhankelijkheid van niet-Europese aanbieders, met bijbehorende risico’s op gebied van datasoevereiniteit, continuïteit, vertrouwelijkheid en strategische afhankelijkheid. Aanbieders kunnen toegang tot specifieke modellen beperken, updates kunnen de uitkomsten veranderen zonder dat de afnemer dat in de hand heeft, en de rekenkracht voor geavanceerde AI is geconcentreerd bij een klein aantal niet-Europese partijen. -
Vraag 3
Welke rol spelen geavanceerde AI-modellen op dit moment in het dreigingsbeeld? Welke gevolgen heeft de uitrol van Mythos, binnen afzienbare tijd ook aan het grotere publiek, voor dit dreigingsbeeld?
Geavanceerde AI-modellen spelen in algemene zin op twee manieren een rol in het huidige dreigingsbeeld. Enerzijds kunnen AI-modellen worden ingezet door kwaadwillenden om systemen aan te vallen. Zo kan AI worden ingezet om kwetsbaarheden op te sporen, code te ontwikkelen, phishing te personaliseren of grote hoeveelheden data te verwerken. Dit kan ervoor zorgen dat actoren sneller en op grotere schaal cyberaanvallen kunnen uitvoeren. Anderzijds kunnen AI-modellen worden ingezet ter verdediging. Zo kan AI worden ingezet voor detectie van afwijkend netwerkverkeer, het geautomatiseerd controleren van systemen of het reageren op incidenten. Ook hiervoor geldt dat dergelijke processen sneller en op grotere schaal kunnen worden uitgevoerd. De mogelijke risico's zoals beschreven in het antwoord op vraag 2 gelden voor de bredere trend waarbinnen dergelijke geavanceerde AI-systemen breder beschikbaar worden, waaronder de uitrol van Mythos.
-
Vraag 4
Bent u van mening dat overheden toegang moeten krijgen tot Mythos zodat zij het kunnen gebruiken om preventief kwetsbaarheden op te sporen en te dichten? Kan dit op een veilige en verantwoorde manier?
Het kabinet bepleit terughoudendheid ten aanzien van toegang tot operationeel gebruik van een niet-Europees leveranciersmodel als oplossingsrichting voor preventieve kwetsbaarheidsdetectie. Drie overwegingen liggen hieraan ten grondslag.
In de eerste plaats laat onafhankelijk onderzoek zien dat toegang tot AI-frontiermodellen in veel gevallen niet noodzakelijk is voor effectieve detectie van kwetsbaarheden. Het verschil tussen frontiermodellen en minder geavanceerde modellen is mogelijk minder groot dan de berichtgeving rond grote modelaankondigingen suggereert. In de tweede plaats zijn er nu aanbieders, van modellen zoals Mythos, die de toegang en voorwaarden bepalen. Toegang via dergelijke constructies kan daarmee ook de afhankelijkheid van die (niet-Europese) partijen vergroten. In de derde plaats kan preventieve kwetsbaarheidsdetectie via AI veilig en verantwoord worden ingericht, mits losgekoppeld van één specifieke leverancier. Het is afhankelijk van de specifieke omstandigheden, voorwaarden en afhankelijkheden en telkens een brede weging in welke mate toegang noodzakelijk is. -
Vraag 5
Hoe bereidt u overheidsorganisaties voor op de cyberveiligheidsrisico’s die gepaard gaan met de uitrol van Mythos? Kunt u uiteenzetten welke acties u neemt om de veiligheid van persoonsgegevens van burgers en de ICT-processen van de overheid te garanderen?
Het beschermen van persoonsgegevens van burgers en het waarborgen van de veiligheid van systemen van de overheid vraagt voortdurende aandacht. Zoals beschreven in het antwoord op vraag 2 komen de risico’s die van invloed zijn op het waarborgen hiervan niet voort uit één specifiek geavanceerd AI-model zoals Mythos. Om die reden is het noodzakelijk dat overheidsorganisaties rekening houden met bredere ontwikkelingen die mogelijke risico’s zijn voor de bescherming van persoonsgegevens of de beveiliging van hun netwerk- en informatiesystemen.
Voor de bescherming van persoonsgegevens geldt dat dit wordt geregeld in de Algemene verordening gegevensbescherming (AVG). De AVG kent onder meer de verplichting tot het treffen van passende technische en organisatorische maatregelen ter beveiliging bij de verwerkingen van persoonsgegevens. Daarbij geldt dat een beoordeling van het passende beveiligingsniveau moet worden uitgevoerd waarbij rekening wordt gehouden met de risico’s met betrekking tot de verwerking van persoonsgegevens. Voorafgaand aan een voorgenomen verwerking van persoonsgegevens, die waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen, moet voorts een data protection impact assessment (DPIA) uitgevoerd worden om de risico’s voor de rechten en vrijheden van betrokkenen in kaart te brengen. Daarbij moet onder meer worden beoordeeld welke maatregelen getroffen worden om de risico’s aan te pakken, waaronder veiligheidsmaatregelen en een mechanisme om de bescherming van persoonsgegevens te garanderen. Ook volgt uit de AVG de verplichting om voor het verrichten van verwerkingen van persoonsgegevens uitsluitend gebruik te maken van andere partijen die namens de overheid persoonsgegevens verwerken als verwerkers, indien zij voldoende garanties bieden met betrekking tot het toepassen van passende technische en organisatorische maatregelen, zodat aan de (andere) verplichtingen op grond van de AVG wordt voldaan. Op de naleving van verplichtingen uit de AVG houdt de Autoriteit Persoonsgegevens toezicht.
Vanuit de AI-verordening gelden bovendien regels voor de ontwikkeling en het gebruik van AI-systemen, ook aan de cyberveiligheid van hoog-risico systemen. Bovendien kent de AI-verordening de verplichting tot uitvoering van een Fundamental Rights Impact Assessment (FRIA) bij hoog-risico AI-systemen, om impact van deze systemen op fundamentele rechten van de mens te beoordelen. In de Kamerbrief van 20 april heeft de Staatssecretaris van Digitale Economie en Soevereiniteit u geïnformeerd over de wijze waarop het kabinet voornemens is het toezicht op de naleving van de Europese AI-verordening vorm te geven.2
Vanaf het moment van inwerkingtreding van de Cyberbeveiligingswet, waarin de Europese NIS2-richtlijn zal worden geïmplementeerd, gelden op grond van die wet verplichtingen voor de in die wet genoemde organisaties met betrekking tot de beveiliging van hun netwerk- en informatiesystemen. Het voorstel voor deze wet ligt op dit moment ter behandeling voor bij de Eerste Kamer. Deze wet zal gaan gelden voor organisaties uit verschillende sectoren, waaronder ook de overheid. Onderdeel van deze wet zal een zorgplicht zijn die inhoudt dat organisaties die onder de wet vallen verplicht zijn tot het nemen van passende en evenredige, technische, operationele en organisatorische maatregelen, om de risico’s met betrekking tot de beveiliging van hun netwerk- en informatiesystemen te beheersen. Daarbij geldt dat organisaties maatregelen moeten nemen die zorgen voor een beveiligingsniveau dat is afgestemd op de risico’s die voor hun organisatie gelden. Deze risico’s kunnen voor die organisaties als gevolg van onder meer veranderende dreigingen of nieuwe technologieën wijzigen, waardoor zij aanvullende maatregelen zullen moeten nemen. Deze zorgplicht wordt in het Cyberbeveiligingsbesluit, de algemene maatregel van bestuur onder de Cyberbeveiligingswet, en in ministeriële regelingen van de voor de sectoren verantwoordelijke vakministers, nader uitgewerkt.
De maatregelen die organisaties, die onder de Cyberbeveiligingswet vallen, moeten nemen betreffen onder meer beleid over risicoanalyses en incidentenbehandeling en de beveiliging van de toeleveringsketen. Krachtens het Cyberbeveiligingsbesluit geldt als maatregel onder meer ook dat organisaties bij attenderingen op voor hun relevante kwetsbaarheden of, dreigingen en beveiligingsadviezen door relevante partijen zoals CSIRTs, moeten beoordelen of op basis hiervan aanpassingen of aanvullingen nodig zijn op hun maatregelen (art. 17 Cbb). Daarnaast is voor overheidsorganisaties die onder de Cbw vallen, voorzien dat in de regeling van de Minister van Binnenlandse Zaken en Koninkrijksrelaties als maatregel, die zij in het kader van de zorgplicht moeten nemen, komt te gelden dat zij de normen en overheidsmaatregelen in de Baseline Informatiebeveiliging Overheid (BIO2), het reeds bestaande normenkader voor informatiebeveiliging bij de overheid, toepassen. Op de naleving van de verplichtingen in de Cyberbeveiligingswet en de daar onderliggende regelgeving wordt toezicht gehouden. Voor overheidsorganisaties zal de Rijksinspectie voor Digitale infrastructuur (RDI) als toezichthouder optreden.
Terugkomend in bovengenoemde wet- en regelgeving is dat gegevensbescherming en beveiliging van netwerk- en informatiesystemen een continue en cyclisch proces is. Organisaties dienen voortdurend te toetsen of bestaande maatregelen nog steeds voldoende zijn om risico’s te beheersen. Ook risico’s als gevolg van het bestaan van AI-modellen, waaronder Mythos, zullen onderdeel zijn van deze continue risico-inschatting door organisaties. -
Vraag 6
Welke rol zou een onafhankelijke AI-raad, zoals voorgesteld in de motie-Kathmann/Six Dijkstra (Kamerstuk 26 643, nr. 1403), kunnen spelen om de veiligheidsrisico’s van geavanceerde AI te monitoren en af te dekken? Hoe wordt deze motie nu uitgevoerd?
Het kabinet onderschrijft het belang van het monitoren en beheersen van veiligheidsrisico’s van geavanceerde AI en deelt de opvatting dat dit een aanpak vereist die stevig is verankerd in inhoudelijke expertise. Mede naar aanleiding van de aangenomen motie over een onafhankelijke AI-raad3, ingediend op 29 september 2025, is gekeken naar een passende structuur om hier invulling aan te geven.
Zoals eerder aan de Kamer gemeld4, werd in eerste instantie bezien welke rol de NDS-raad hierin kon vervullen. Nu besloten is om de oprichting van de raad niet te formaliseren5, worden alternatieve invullingen verkend. Zo loopt er tot september 2026 onder andere een interdepartementale verkenning, uitgevoerd door de Digitale Doetank, naar de inrichting van een onafhankelijk AI-veiligheidsinstituut, naar voorbeeld van internationale initiatieven zoals het AI Safety Institute (AISI) in het Verenigd Koninkrijk. Het kabinet houdt daarbij rekening met de verschillende bestaande instituten die de overheid en private organisaties reeds voorzien van advies en expertise op het gebied van AI. -
Vraag 7
Heeft u voldoende zicht op de risico’s van model leakage, model theft en ongeautoriseerde verspreiding van geavanceerde AI-systemen in Nederland en Europa? Zo ja, hoe wordt dit inzicht benut voor beleid en toezicht? Zo nee, welke maatregelen neemt u om dit inzicht te verbeteren?
Aanbieders van bepaalde AI-systemen, zoals systemen met een hoog risico en AI-modellen voor algemene doeleinden, inclusief modellen met een systeemrisico, moeten op grond van de Europese AI-verordening bepaalde informatie over deze systemen openbaar maken. De regels voor AI-modellen voor algemene doeleinden en die met een systeemrisico zijn op 2 augustus 2025 in werking getreden. Voor krachtige AI-modellen met systeemrisico’s gelden volgens deze verordening aanvullende verplichtingen om deze risico’s in kaart te brengen. Hierdoor hebben lidstaten en de Europese Commissie meer zicht op deze risico’s. De AI-verordening kent hiervoor een toezichtstelsel, waarbij zowel nationale toezichthouders als de Europese Commissie nauwlettend toezicht houden op deze risico’s. Zo kunnen zij hoog-risico AI-systemen die niet aan de verplichtingen voldoen van de markt halen. Daarnaast vindt er kennisuitwisseling plaats tussen (nationale) toezichthouders, de Europese Commissie en experts uit de lidstaten binnen de door de AI-verordening opgerichte Comité voor Artificiële Intelligentie (European AI Board).
-
Vraag 8
Hoe beoordeelt u de toereikendheid van bestaande beveiligingsnormen en toezichtmechanismen voor ontwikkelaars en beheerders van krachtige AI-modellen, mede in relatie tot de implementatie van de AI-verordening?
De Europese AI-verordening stelt regels aan AI-modellen voor algemene doeleinden waarbij de regels steviger zijn voor dit soort modellen met systeemrisico’s, deze regels zijn op 2 augustus 2025 in werking getreden. Hier vallen de meest krachtige AI-modellen onder. Alle AI-modellen voor algemene doeleinden moeten technische documentatie opstellen waarin in ieder geval informatie staat over het beoogde doel van het model, trainingsmethoden en gebruikte data. Aanbieders van modellen met een systeemrisico moeten daarbovenop risico’s in kaart brengen en kwetsbaarheden in het model opsporen. Daarnaast moeten zij ernstige incidenten en mogelijk corrigerende maatregelen bijhouden. Het toezicht op al deze modellen is Europees centraal belegd bij de Europese Commissie. Daarnaast kunnen aanbieders aansluiten bij de Europese General-Purpose AI Code of Practice die op 10 juli 2025 is gepubliceerd. Deze vrijwillige praktijkcode bevat onder andere informatie over hoe aanbieders kunnen voldoen aan de beveiligingsnormen uit de AI-verordening. Het kabinet is positief over deze vereisten en stimuleert aanbieders om zich aan te sluiten bij de praktijkcode. Het is nog niet mogelijk een sluitend oordeel te vellen over de effectiviteit van deze eisen. Samen met de Europese Commissie en andere lidstaten houden we de werking van deze vereisten nauwlettend in de gaten en dragen we bij aan de evaluaties hiervan.
-
Vraag 9
Welke kansen ziet u om via veilige ontwikkeling en deployment van AI de digitale veiligheid te versterken, bijvoorbeeld voor cyberdetectie, opsporing en publieke dienstverlening?
Zie antwoord vraag 3.
-
Vraag 10
Ziet u in deze casus aanleiding om in Europees verband te pleiten voor versterkte samenwerking rond monitoring van toegangsbeheer, auditing en incidentrespons? Zo ja, op welke wijze?
Organisaties zijn in de eerste plaats zelf verantwoordelijk voor hun eigen digitale weerbaarheid en daarmee onder meer ook voor het voorkomen en detecteren van cyberincidenten. De recente ontwikkelingen rondom AI benadrukken nogmaals het belang van het versterken van de digitale weerbaarheid van organisaties en de samenwerking daartoe bij digitale dreigingen, kwetsbaarheden en incidenten. In Nederland zijn er verschillende organisaties, zoals CSIRTS, die organisaties kunnen ondersteunen door het geven van adviezen en handelingsperspectieven, het verstrekken van informatie over dreigingen en incidenten en het assisteren bij incidentmanagement.
In het geval van grensoverschrijdende incidenten coördineert het Nationaal Cyber Security Centrum (NCSC), vanuit de Nederlandse overheid, de samenwerking met internationale(cyber) partners en werkt daartoe intensief samen met die partijen in onder meer het Europese CSIRT-netwerk. Binnen dit netwerk kunnen CSIRTs snel en effectief operationele informatie met elkaar uitwisselen met ondersteuning door het European Network and Information Security Agency (ENISA). Bovendien wordt binnen dit netwerk en diverse andere EU-samenwerkingsverbanden (zoals de NIS Cooperation Group en het CyCLONe-netwerk) aandacht besteed aan de invloed van de ontwikkeling van AI-modellen op cybersecurity. -
Vraag 11
Hoe beoordeelt u de wenselijkheid van meer transparantieverplichtingen voor aanbieders van geavanceerde AI-systemen over beveiligingsmaatregelen, incidenten en misbruikrisico’s?
Zoals ook opgenomen in het antwoord op vraag 8 is het nog te vroeg om aanvullende eisen op te stellen. De verplichtingen vanuit de AI-verordening zijn immers pas recent van kracht geworden.
-
Vraag 12
Kunt u de vragen afzonderlijk beantwoorden en in ieder geval vóór het rondetafelgesprek cyberveiligheid en informatiebeveiliging van 20 mei 2026?
Aangezien niet alle benodigde informatie op tijd was ontvangen is het niet gelukt de beantwoording met uw Kamer te delen voor het rondetafelgesprek cyberveiligheid en informatiebeveiliging van 20 mei 2026.
22 april 2026 - 19 mei 2026
27 dagen
-
Vraag 1
Bent u bekend met het bericht «Ukraine Creates UK-Backed «A1» AI Hub to Develop EW-Resistant Drones and Predict Russian Moves»?1
Ja.
-
Vraag 2
Naar aanleiding van uw bezoek aan Oekraïne in maart 2026 werd bekend dat Nederland intensief gaat meekijken bij de Oekraïense inzet van drones op het slagveld, om meer te leren over de mogelijkheden voor Nederlandse productie en innovatie van onbemenste systemen; sluit dit aan op het initiatief in de berichtgeving?
Nee, dit staat los van het in de berichtgeving genoemde initiatief. Nederland is bekend met het Oekraïense AI-centrum A1, ook wel het Center of Innovations and Defence Technologies Development. Vanuit Defensie wordt contact gezocht met de initiatiefnemers van dit centrum, onder meer in het kader van lessons learned en mogelijke samenwerking.
-
Vraag 3
Heeft de Nederlandse industrie toegang tot de beschikbare informatie en zo ja, hoe waarborgt u dat deze informatie eerlijk toegankelijk is voor alle geïnteresseerde marktpartijen?
Defensie heeft op dit moment zelf geen directe toegang tot deze specifieke informatie, omdat Nederland niet betrokken is bij dit initiatief. Daardoor beschikt Defensie ook niet over een informatiepositie die met de Nederlandse defensie-industrie kan worden gedeeld of waarvoor Defensie de toegang kan reguleren. Nederlandse bedrijven die zelf actief zijn in Oekraïne kunnen uiteraard via hun eigen contacten met Oekraïense eindgebruikers operationele feedback of gefilterde informatie ontvangen. Dat betreft echter geen door Defensie beheerde of via Defensie beschikbaar gestelde informatiepositie. Tegelijkertijd wordt verkend op welke wijze Nederland in de toekomst kan aansluiten bij initiatieven gericht op kennis- en informatie-uitwisseling, mede om lessen uit Oekraïense innovaties breder toegankelijk te maken voor relevante Nederlandse stakeholders.
-
Vraag 4
Is Nederland ook voornemens om zelf een soevereine database aan te vullen voor het trainen van AI-modellen (al dan niet met Europese partners)? Wordt de Nederlandse industrie aangesloten bij een mogelijk initiatief?
Geschikte data voor het trainen van AI-modellen voor militaire doeleinden is schaars. Daarom erkent Defensie het belang van een database met dergelijke data. Defensie verkent verschillende mogelijkheden voor het verkrijgen van data van hoogwaardige kwaliteit, waarmee robuuste militaire AI kan worden ontwikkeld. Denk hierbij ook aan alternatieven zoals synthetische data. Industriepartners worden actief betrokken.
-
Vraag 5
Ziet u ook een kans om als Nederland koploper in Europa te worden in het ontwikkelen van verantwoorde AI? Wat gaat u op korte termijn initiëren om dit te bewerkstelligen?
Nederland zet zich al geruime tijd in voor de verantwoorde ontwikkeling, verwerving en inzet van militaire AI. Met de eerste Responsible AI in the Military Domain (REAIM) Summit in het voorjaar van 2023 heeft Nederland het thema verantwoorde AI in het militaire domein voor het eerst op de internationale agenda gezet. Nederland was bij alle REAIM summits co-host, in 2023, 2024 en 2025. Daarnaast speelt Nederland een actieve rol in de Governmental Group of Experts on Lethal Autonomous Weapon Systems (GGE LAWS). Van 2024 tot en met 2026 zit Nederland deze groep voor. Het doel is om consensus te bereiken over elementen van toekomstige afspraken over autonome wapensystemen. Tijdens de GGE LAWS bijeenkomsten gaat het ook over de huidige en toekomstige rol van AI in LAWS. Nederland blijft nauw betrokken bij het mogelijke vervolg van REAIM en de GGE LAWS. Daarnaast is Defensie nadrukkelijk bezig met het proces van verantwoorde verwerving van AI. Tot slot wordt onderzocht hoe Defensie militaire AI kan verifiëren en valideren voor veilig gebruik en inzet.
-
Vraag 6
Hoe weegt u het risico van het niet zelf hebben van een soevereine database voor het trainen van AI-modellen en van welke landen verwacht u afhankelijk te zijn?
De data waarop de AI-modellen worden getraind is grotendeels afkomstig en in beheer van Defensie. Daarnaast zullen er technische maatregelen worden getroffen om de daadwerkelijke uitkomsten van de AI-modellen te kunnen valideren, voordat deze daadwerkelijk (operationeel) worden ingezet. Bijvoorbeeld door eerst in een simulatieomgeving te werken. Op dit moment onderzoekt Defensie op Europees niveau met welke aanbieders en partnerlanden hiervoor een samenwerking kan worden gestart.
-
Vraag 7
Sluit u aan bij de gedachten dat we de standaarden voor militair gebruik van AI niet aan externe machten overlaten, maar dat we die zelf bepalen?
Het internationaal recht, waaronder het humanitair oorlogsrecht, is onverkort van toepassing op het militair gebruik van AI. Het gebruik van AI in het militaire domein mag niet leiden tot schendingen van dit recht. Dit zijn bestaande afspraken. Daarnaast onderschrijft Nederland bijvoorbeeld de NAVO-principes voor het verantwoord gebruik van AI. Voor de effectiviteit van nieuwe internationale afspraken, specifiek ten aanzien van AI in het militaire domein, is het van belang dat staten die actief zijn op het gebied van de ontwikkeling van state-of-the-art AI hieraan meedoen. Nederland zet zich op verschillende manieren actief in om nieuwe afspraken te maken, bijvoorbeeld in het kader van REAIM en van de GGE LAWS.
-
Vraag 8
Ziet u mogelijkheden om aan te haken op het samenwerkingsverband tussen Duitsland en Oekraïne, die hun defensiesamenwerking verder hebben geïntensiveerd door een memorandum te tekenen op het gebied van delen van data van het slagveld, waarbij Duitsland ook toegang krijgt tot real-time DELTA battlefield management system?
Ja, Defensie ziet deze mogelijkheden. Defensie kijkt expliciet naar en werkt samen met Oekraïne om lessen van het slagveld te vertalen o.a. door het delen van relevante informatie. In het deel van de organisatie belast met de militaire steun aan Oekraïne wordt actief gekeken naar innovatie en zo genoemde Lessons Learned en de disseminatie daarvan. Daarnaast werkt Defensie aan het verbinden van Nederlandse en voor Defensie relevante kennisinstellingen met Oekraïense kennis en innovatie instituten
-
Vraag 9
Ziet u het belang van in Europees verband initiatieven organiseren voor een strategisch autonome battlefield management architectuur die interoperabiliteit tussen de (gefragmenteerde) Europese systemen waarborgt?
Ja. Defensie onderschrijft het belang van samenwerking in Europees verband gericht op een meer strategisch autonome battlefield management architectuur. Interoperabiliteit tussen nationale systemen is essentieel voor het effectief gezamenlijk optreden van Europese krijgsmachten, onder meer binnen NAVO- en EU-verband.
-
Vraag 10
Onderneemt Defensie andere initiatieven om een strategisch autonome battlefield management architectuur te maken? Zo niet, kunt u een risicoafweging van afhankelijkheden geven? Zo ja, bent u bereid een plan van aanpak te maken en te delen?
Defensie heeft reeds een aantal battlefield management architecturen in gebruik, zowel aangekocht als zelf ontwikkeld. De insteek is dat primaire componenten van toekomstige battlefield management architecturen in de basis door Defensie zelf ontwikkeld worden.
-
Vraag 11
Kunt u de bovenstaande vragen afzonderlijk van elkaar beantwoorden?
Ja.
22 april 2026 - 2 juni 2026
41 dagen
-
Vraag 1
Bent u bekend met de voorgenomen overname van Solvinity Group B.V. door Kyndryl Netherlands B.V., de rol van Solvinity als leverancier van het platform waarop DigiD draait, en de eerdere beantwoording van Kamervragen over deze casus?
Ja, daar ben ik mee bekend.
-
Vraag 2
Kunnen de Verenigde Staten volgens u gezien worden als een bondgenoot? Zo nee, waarom niet?
Ja, de Verenigde Staten zijn een belangrijke bondgenoot van Nederland, zoals ik ook tijdens het vragenuur op dinsdag 26 mei heb benadrukt: «de Verenigde Staten zijn een belangrijke NAVO-partner, handelspartner en bondgenoot».
-
Vraag 3
Acht u het waarschijnlijk dat een NAVO-bondgenoot als de Verenigde Staten doelbewust DigiD of vergelijkbare Nederlandse kritieke digitale overheidsinfrastructuur zou uitschakelen? Graag een onderbouwing op basis van dreiging, intentie, capaciteit, precedent en diplomatieke consequenties.
Het kabinet hecht grote waarde aan de aanwezigheid van buitenlandse, waaronder nadrukkelijk ook Amerikaanse, technologiebedrijven. Het kabinet waardeert hun bijdrage aan de Nederlandse economie en digitale infrastructuur.
Een afhankelijkheid van informatie en diensten uit derde landen, ongeacht welk land het is en of het een NAVO-bondgenoot is, kan onzekerheden met zich meebrengen. Dit blijkt ook uit het Cybersecuritybeeld Nederland Nederland 20251. Het is vervolgens aan de overheid om op een objectieve, risicogebaseerde, landenneutrale en proportionele manier risico’s te wegen. De gevraagde onderbouwing kan niet als generiek standpunt aangeleverd worden. Daarvoor is dit te situationeel afhankelijk en kan het alleen op case-by-case basis worden ingeschat.
Ieder departement is zelf verantwoordelijk voor de inrichting van haar digitale overheidsinfrastructuur en het afwegen van de risico’s van de verschillende schakels binnen die infrastructuur. -
Vraag 4
Acht u een dergelijk scenario realistisch, of gaat het primair om een theoretische mogelijkheid die in de risicoanalyse wel moet worden meegenomen, maar niet gelijkgesteld mag worden aan een waarschijnlijke dreiging? Graag een expliciet onderscheid tussen «mogelijk», «aannemelijk», «waarschijnlijk» en «urgent».
Zie antwoord op vraag 3.
-
Vraag 5
Kunt u per juridisch instrument, CLOUD Act, FISA Section 702, Executive Order 12333 en eventuele andere relevante Amerikaanse bevoegdheden, uiteenzetten wat de wettelijke grondslag is, welke autoriteit bevoegd is, welk type gegevens kan worden gevorderd of verzameld, welke rechterlijke toetsing plaatsvindt, of kennisgeving aan de betrokkene, Logius of de Nederlandse Staat verplicht, verboden of beperkt kan zijn en hoe dit zich verhoudt tot de Algemene verordening gegevensbescherming (AVG), verwerkersovereenkomsten en contractuele geheimhoudingsplichten?
De CLOUD Act is een amendement op de Stored Communications Act (SCA). De CLOUD Act maakt het mogelijk voor Amerikaanse autoriteiten om ten behoeve van wetshandhavingsdoeleinden toegang te verkrijgen tot elektronische communicatie en daaraan gerelateerde gegevens. Bevoegde autoriteiten die een verzoek kunnen indienen zijn bijvoorbeeld de FBI en het Department of Justice. De CLOUD Act kan worden ingezet voor het opvragen van elektronische gegevens in het kader van strafrechtelijk onderzoek en vervolging. Het gaat daarbij in beginsel om de opsporing en vervolging van zware criminaliteit, zoals terrorisme of drugshandel.
Op grond van de CLOUD Act kunnen ondernemingen die onder de Amerikaanse rechtsmacht vallen verplicht worden gegevens te verstrekken, ook wanneer deze gegevens zich (op servers) buiten de Verenigde Staten bevinden. Daarbij is bepalend of de onderneming «possession, custody or control» heeft over de gegevens. Het gaat hierbij onder meer om aanbieders van elektronische communicatie- en clouddiensten.
Voor verzoeken die betrekking hebben op de inhoud van elektronische communicatie of bestanden is in beginsel toestemming van een Amerikaanse rechter vereist. Voor bepaalde verzoeken tot verstrekking van metadata, zoals gegevens over gebruikers of toegangsgegevens, kan onder omstandigheden geen voorafgaande rechterlijke toestemming vereist zijn.
Een dienstverlener die een bevel tot gegevensverstrekking ontvangt, hoeft daaraan niet mee te werken indien de gegevens versleuteld zijn en de dienstverlener niet beschikt over de encryptiesleutel. De CLOUD Act verplicht ondernemingen namelijk niet om gegevens te ontsleutelen. Indien een onderneming feitelijk geen toegang heeft tot de gegevens vanwege encryptie, bestaat in beginsel dus ook geen verplichting om deze gegevens te verstrekken.
Daarnaast kan een dienstverlener de rechter verzoeken het bevel te vernietigen of te wijzigen, bijvoorbeeld wanneer de naleving daarvan strijd oplevert met de wetgeving van het land waar de gegevens zich bevinden of indien de persoon op wie het verzoek betrekking heeft geen Amerikaans staatsburger is.
FISA Section 702 is in 2008 ingevoerd en maakt onderdeel uit van de Foreign Intelligence Surveillance Act 1978. FISA Section 702 maakt het Amerikaanse inlichtingendiensten, zoals de NSA, CIA en FBI, mogelijk zonder gerechtelijk bevel informatie te verzamelen over niet-Amerikaanse staatsburgers waarvan wordt aangenomen dat zij zich buiten de Verenigde Staten bevinden en die mogelijk betrokken zijn bij terrorisme, spionage, massavernietigingswapens, beïnvloedingsactiviteiten in opdracht van een vijandige buitenlandse mogendheid of cybercriminaliteit. Kennisgeving aan de betrokkene is geen vereiste.
Onder het toepassingsbereik van deze wetgeving vallen alle Amerikaanse entiteiten die toegang hebben tot apparaten waarop communicatie wordt opgeslagen of via welke communicatie wordt verzonden, zoals telecommunicatiebedrijven, internet- en e-maildienstverleners, aanbieders van remote computing services. Zij kunnen worden verplicht toegang te geven tot gegevens, zoals e-mails, elektronische berichten en bestanden. Het kan zowel om de inhoud als metadata gaan.
Executive Order 12333 heeft het meest verstrekkende bereik. Deze regelgeving maakt het mogelijk dat Amerikaanse inlichtingendiensten buitenlandse inlichtingen verzamelen. Daarvoor is geen toestemming van een rechter vereist, mits het gaat om gegevens van niet-Amerikaanse personen. De regelgeving is primair gericht op buitenlandse inlichtingenvergaring ten behoeve van de nationale veiligheid van de Verenigde Staten.
Op grond van Executive Order 12333 kunnen Amerikaanse inlichtingendiensten buitenlandse inlichtingen verzamelen via uiteenlopende middelen, waaronder interceptie van communicatie, radiosignalen en andere elektromagnetische communicatie, maar ook via satellieten, camerasystemen, menselijke bronnen en samenwerking met buitenlandse inlichtingendiensten. Vereist is echter wel dat de verzamelde informatie uitsluitend voor rechtmatige doeleinden onder Amerikaanse wetgeving wordt gebruikt.
Kyndryl Inc. valt als Amerikaanse onderneming binnen het bereik van de bovengenoemde wetten. Kyndryl rapporteert periodiek hoeveel verzoeken om inlichtingen zij heeft ontvangen.2
Kyndryl’s US zeggenschap over haar buitenlandse dochters, Kyndryl Nederland B.V. en eventueel overgenomen partijen, heeft tot gevolg dat deze ook binnen het bereik vallen van de bovengenoemde wetten.
De verstrekking van persoonsgegevens door Nederlandse dochter(s) op basis van een bevel van een Amerikaanse rechter kan in strijd zijn met de AVG. Daarnaast houdt de Nederlandse dochter zich in dat geval ook niet aan de overeenkomst, inclusief de verwerkingsovereenkomst, met de Nederlandse opdrachtgever.
Kyndryl US heeft wel juridische mogelijkheden om zich te verzetten tegen verzoeken tot verstrekking van persoonsgegevens die worden beheerd door haar Nederlandse dochter(s) op grond van het feit dat voldoen aan een dergelijk verzoek in strijd is met de AVG en de gemaakte contractuele afspraken (o.a. in de verwerkersovereenkomst). Daarover moet de Amerikaanse rechter zich dan uitlaten. -
Vraag 6
Kunt u expliciet onderscheid maken tussen toegang tot gegevens enerzijds en operationele zeggenschap over systemen anderzijds? Klopt het dat wetgeving zoals de CLOUD Act primair ziet op toegang tot elektronische gegevens en niet zonder meer op het met «één druk op de knop» uitschakelen van infrastructuur?
Ja, dat klopt. De Amerikaanse wetgeving als bedoeld bij vraag 5 heeft betrekking op het verzamelen van bewijs c.q. inlichtingen. Deze wetgeving maakt het niet mogelijk om een opdracht te geven tot uitschakeling van infrastructuur.
De Amerikaanse overheid kan sancties tegen personen, organisaties of landen uitvaardigen, waarna Amerikaanse bedrijven de dienstverlening moeten staken. Dat gebeurt echter niet op grond van de bovengenoemde wetgeving. -
Vraag 7
Hoe verhoudt de stelling dat Solvinity in beginsel geen toegang heeft tot burgerservicenummers, adres en telefoonnummer van DigiD-gebruikers zich tot de eerdere kabinetsuitspraak dat Amerikaanse autoriteiten «in theorie» toegang kunnen krijgen tot gegevens die door Solvinity in opdracht van de Staat worden verwerkt?
Medewerkers van Solvinity hebben bij het uitvoeren van reguliere beheerwerkzaamheden geen toegang tot de database waarin gegevens van burgers en gegevens over waar burgers inloggen staan opgeslagen. Dit sluit niet uit dat medewerkers toegang kunnen krijgen tot deze databases. Het zal hierbij dan gaan om (on)geautoriseerde toegang. Mogelijk is daarmee de medewerker strafbaar.
-
Vraag 8
Bent u van mening dat er momenteel geen gelijkwaardige technologieën zijn op Nationaal/Europees gebied? Zo ja, bent u dan van mening dat hierdoor de continuiteit van de dienstverlening juist onder druk komt te staan?
Het kabinet is van mening dat er momenteel wel gelijkwaardige technologieën zijn van Nederlandse en Europese aanbieders. In een Kamerbrief in reactie op de motie van het lid Koekkoek (Volt) over «in EU verband pleiten voor versnelde investeringen in Europese cloudalternatieven en digitale infrastructuur» heeft het kabinet de Kamer vorig jaar geïnformeerd dat er kwalitatief hoogwaardige Europese clouddiensten op de markt beschikbaar zijn.
Specifiek ten aanzien van de dienstverlening die door de Rijksoverheid bij Solvinity wordt afgenomen, concludeerde de ACM in haar concentratiebesluit dat er ook na een eventuele overname voldoende concurrentie over zou blijven. Uit het onderzoek blijkt dat afnemers uit de publieke sector op het moment van een (her)aanbesteding voldoende keuze houden uit andere IT-dienstverleners die soortgelijke diensten leveren, waaronder zowel Nederlandse als Europese aanbieders.
Wel kan het versneld onderbrengen van de dienstverlening van Solvinity bij een andere beheerorganisatie leiden tot risico’s. In het geval van Logius geldt een overdrachtsperiode van 6 tot 12 maanden wanneer de dienstverlening die Solvinity levert, ondergebracht wordt bij een andere beheerorganisatie. Deze periode is nodig om een andere beheerorganisatie kennis en ervaring te laten opdoen met het beheer van het platform om zo de continuïteit en veiligheid van DigiD en andere voorzieningen te garanderen. Deze overdrachtsperiode kan pas ingaan wanneer een nieuwe contractant is geworven. -
Vraag 9
Kunt u reflecteren op de gehele Amerikaanse verwevenheid met technologie, zoals de hardware waar de applicaties van Solvinity op draait, de datacenters en eveneens de zeekabels? Zijn deze componenten/diensten ook in handen van Amerikaanse bedrijven? Bent u het daarom eens met de mening dat het nationaliseren van Solvinity geen enkel effect heeft op deze risico’s, gezien de verwevenheid in de keten?
Het kabinet ziet dat de EU erg afhankelijk is geworden van een klein aantal niet-Europese tech-aanbieders, waarbij het kabinet de bijdragen van deze aanbieders aan de Europese en Nederlandse economie waardeert en in algemene zin openstaat voor zakendoen met buitenlandse partijen. Afhankelijkheden kunnen echter ook risico’s met zich meedragen, bijvoorbeeld als er geen alternatieven beschikbaar zijn of er risico’s zijn voor ongewenste toegang tot data. Voor risicovolle strategische afhankelijkheden zet het kabinet in op mitigatie van de risico’s, bijvoorbeeld door het versterken van de Europese markt.
De gevolgen van voortzetting van het huidige eigenaarschap en andere scenario’s zijn onderdeel van de analyses die vallen binnen het TFEV-onderzoek van deze casus. -
Vraag 10
Welke concrete risico’s bestaan er momenteel volgens u op het gebied van het opvragen van data, inzage in data en het (eenzijdig) stopzetten van dienstverlening, en van welke vormen van dienstverlening maakt de overheid op dit moment gebruik bij niet-Nederlandse of niet-Europese partijen?
Er wordt niet centraal bijgehouden welke overheidsorganisaties gebruik maken van diensten van niet-Nederlandse of niet-Europese leveranciers.
De Nederlandse overheid wil haar digitale autonomie en digitale soevereiniteit versterken om publieke waarden, veiligheid en continuïteit te waarborgen. Het onderbrengen van data bij niet-Nederlandse of niet-Europese leveranciers, kan in specifieke gevallen strategische, juridische en geopolitieke risico’s met zich meebrengen. Daarom kiest de overheid voor een risicogebaseerde, strategisch gecoördineerde aanpak.3 -
Vraag 11
Welke aanvullende (theoretische) risico’s zouden volgens u kunnen ontstaan op deze punten als gevolg van de beoogde overname van Solvinity door Kyndryl?
Ik kan in deze openbare beantwoording niet ingaan op risico’s die er mogelijk zouden kunnen zijn ten aanzien van gegevensvergaring en stopzetting van dienstverlening. Ik verwijs u door naar de vertrouwelijke technische briefing van BTI. Inmiddels heeft de Staatssecretaris Digitale Economie en Soevereiniteit het besluit genomen om de overname te verbieden.
-
Vraag 12
Kunt u allen de voorgaande vragen los van elkaar beantwoorden?
Ja.
10 april 2026 - 24 april 2026
14 dagen
Bronnen
1. NOS, 8 april 2026, «Bedrijf dat software levert voor patiëntendossiers aangevallen door hackers» (Bedrijf dat software levert voor patiëntendossiers aangevallen door hackers)
2. Kamerstuk 27 529, nr. 349
2. Kamerstuk 27 529, nr. 349
3. Kamerstuk 27 529, nr. 348
3. Kamerstuk 27 529, nr. 348
-
Vraag 1
Bent u op de hoogte van de hack bij ChipSoft, het bedrijf dat software voor patiëntendossiers en andere digitale systemen voor ziekenhuizen levert?1
Ja.
-
Vraag 2
Kunt u toelichten wat de ernst is van de hack en hoeveel ziekenhuizen, huisartsenpraktijken en eventuele andere zorgverleners zijn geraakt door de hack?
Patiënten moeten erop kunnen vertrouwen dat hun gegevens veilig zijn. Chipsoft voert momenteel samen met een extern team van cybersecurity-experts forensisch onderzoek uit om de oorzaak, omvang en bron van het incident vast te stellen. ChipSoft levert software aan ongeveer 70% van de Nederlandse ziekenhuizen. Uit voorzorg zijn sinds 8 april 20:00 uur de verbindingen met patiëntportalen die door ChipSoft worden gehost, verbroken. Dit betreft Zorgportaal, HiX Mobile2 en het Zorgplatform. Deze zijn hierdoor tijdelijk niet beschikbaar geweest. Inmiddels is er sinds vrijdag 17 april weer sprake van het gefaseerd opstarten van functionaliteiten, nadat deze veilig zijn bevonden. Op donderdag 16 april heeft ChipSoft gecommuniceerd met de klanten die dat betrof dat er bij de hack ook gegevens zijn gestolen. Hierover heb ik de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april 2026 geïnformeerd3. ChipSoft heeft geen gedetailleerde inzage gegeven in welke klanten op welke wijze getroffen zijn. In de zojuist genoemde Kamerbrief heb ik ons inzicht met u gedeeld. De resultaten van het forensisch onderzoek, die van belang zijn voor de hersteloperatie bij zorginstellingen, zullen, zo heeft ChipSoft ons laten weten, zo snel mogelijk worden gecommuniceerd. In de tussentijd ondersteunt Z-CERT, als expertisecentrum cybersecurity in de zorg, en biedt hulp aan ChipSoft voor analyse, communicatie en incidentmanagement. Z-CERT informeert en adviseert haar deelnemers over deze situatie.
-
Vraag 3
Wat zijn de gevolgen van de hack voor zorgverleners en hun patiënten, bijvoorbeeld doordat zorginstellingen hun systemen offline hebben moeten halen?
Navraag bij de betrokken zorginstellingen leert dat de zorgprocessen doorlopen en zorgverleners bij de gegevens van patiënten kunnen. Patiënten kunnen echter wel hinder ondervinden bij het online maken van afspraken, dit gaat nu telefonisch. Daarnaast kunnen patiënten momenteel niet zelf hun dossier inzien. Ook is er met name impact op de uitwisseling van gegevens. Tussen zorgverleners, zoals huisarts en ziekenhuizen, kunnen digitale verwijzingen niet goed plaatsvinden.
Ziekenhuizen zijn hier echter op dit soort incidenten voorbereid en zij hebben hiervoor noodprotocollen die ook in werking zijn getreden. Hierdoor kunnen veel zorgprocessen doorlopen, maar vaak met een noodzakelijke extra inzet van personeel. -
Vraag 4
Is bepaalde zorg uitgesteld vanwege de hack en zo ja, op welke schaal?
Nee, de zorgprocessen lopen door.
-
Vraag 5
Is er gevoelige data, zoals patiëntgegevens, in handen gekomen van criminelen?
Patiënten moeten erop kunnen vertrouwen dat hun gegevens veilig zijn. Op donderdag 16 april heeft ChipSoft gecommuniceerd met haar klanten dat er bij de hack patiëntgegevens zijn gestolen. Welke exacte patiëntgegevens hierbij zijn buitgemaakt is nog in onderzoek. Ik heb de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april hierover geïnformeerd.4 Ik vind dit een zeer ernstige zaak. ChipSoft moet alles uit de kast halen en de volle verantwoordelijkheid nemen om snel en zorgvuldig te onderzoeken en duidelijkheid te creëren voor patiënten en zorgverleners, zodat mensen weten of hun data gestolen is en om welke data het gaat.
-
Vraag 6
Hoe verklaart u de verschillende aanpak van ziekenhuizen na de hack, bijvoorbeeld in het wel of niet offline halen van systemen?
Ziekenhuizen die klant zijn bij ChipSoft hebben op advies van Z-CERT, het expertisecentrum cybersecurity in de zorg, preventieve maatregelen genomen en hebben monitoring op hun lopende systemen geïntensiveerd. De keuzes die gemaakt worden, zijn door de ziekenhuizen of organisaties zelf gemaakt op basis van eigen specifieke situatie en risico inschatting.
-
Vraag 7
Verschilt de impact van de hack tussen ziekenhuizen die hun gegevens lokaal, hybride of juist in een cloudomgeving opslaan? Kunt u uitleggen welke keuze de meeste weerbaarheid biedt?
De gegevens van de zorgaanbieders die gebruikmaken van de cloudomgeving van ChipSoft zijn gestolen. Van instellingen die de software van ChipSoft in eigen beheer uitvoeren of door derden laten beheren, zijn geen gegevens gestolen. Hierover heb ik de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april geïnformeerd.5
Er valt niet in z’n algemeenheid te zeggen welke keuze de meeste weerbaarheid biedt. Dit hangt af van de lokale context van de zorgaanbieder en de risicoafweging die gedaan is en de beheersmaatregelen die daarbij genomen zijn. -
Vraag 8
Welke rol speelt de overheid in de afwikkeling van de hack?
Wat betreft de afwikkeling van de hack en opsporing en/of vervolging ligt de verantwoordelijkheid bij de politie en het Openbaar Ministerie (OM). Diverse toezichthouders doen onderzoek naar de hack. Vanuit onze stelselverantwoordelijkheid ondersteunen we de koepelorganisaties die in het Informatieberaad Zorg zitten met informatie over de digitale aanval en een woordvoeringslijn die zij kunnen gebruiken naar hun leden.
Ook worden bijvoorbeeld handelingsperspectieven uitgewisseld. VWS en organisaties die gesubsidieerd worden door VWS ondersteunen de getroffen zorginstellingen zoveel als mogelijk. Zo financiert de overheid Z-CERT, het expertise centrum cybersecurity in de zorg. Z-CERT, biedt hulp aan ChipSoft voor analyse, communicatie en incidentmanagement. Z-CERT informeert en adviseert haar deelnemers over deze situatie. Vanuit het ministerie volgen we de ontwikkelingen zeer nauw, adviseren we koepels en zorgaanbieders en duiden we de rollen en bevoegdheden, waar nodig. -
Vraag 9
Zijn er alternatieven voorhanden bij een hack als deze, bijvoorbeeld alternatieve software waar ziekenhuizen en andere zorgverleners op kunnen terugvallen?
Ziekenhuizen hebben draaiboeken en protocollen voor als systemen niet werken om te zorgen dat het zorgproces door kan blijven gaan. Dit volgt uit de verplichte risico analyse die zij moeten doen. Zo gaan bijvoorbeeld verwijzingen van huisartsen naar Chipsoft-ziekenhuizen niet meer digitaal, maar per mail of telefonisch. Zie ook het antwoord op vraag 3. Het is aan zorgverleners zelf om deze protocollen, gegeven de specifieke situatie van de betreffende zorgverlener, in te richten. De ingebruikname van een ander elektronisch patiëntendossier of andere alternatieve software is niet iets wat in enkele dagen of weken geregeld kan worden. Dit is technisch zeer complex en kent een lange doorlooptijd. Bovendien brengt het hoge kosten en andere risico’s met zich mee.
-
Vraag 10
Welke eisen gelden er voor leveranciers van cruciale zorg-ICT?
Nederlandse zorgaanbieders zijn wettelijk verplicht om te voldoen aan de norm voor informatiebeveiliging in de zorg, de NEN 7510. De NEN 7510 geeft richtlijnen voor controlemaatregelen en stelt eisen aan het informatiebeveiligingssystemen. De norm vereist ook beheersmaatregelen voor bedrijfscontinuïteit en bereikbaarheid. Bij de inzet van ICT-producten die medische gegevens verwerken, eisen zorgaanbieders van de softwareleveranciers van deze ICT-producten dat ook zij voldoen aan de NEN 7510. Softwareleveranciers dienen dit aan te tonen met een certificaat.
In de nabije toekomst zullen aanvullende eisen voor cyberweerbaarheid worden gesteld in de NIS2-richtlijn die wordt omgezet in de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit. De European Health Data Space-verordening (EHDS) draagt bij aan toegankelijkheid van de zorg-ICT-markt in Nederland en Europa en betere databeschikbaarheid. Deze verordening gaat de nieuwe eis stellen dat EPD-systemen aan de kaders rondom cyberveiligheid moeten gaan voldoen conform de Cyberweerbaarheidsverordening6. -
Vraag 11
Is de ketenweerbaarheid op het gebied van ICT in de zorg wat u betreft op orde, onder andere in de domeinen hosting, beheer, en koppelingen? Waarom wel of niet?
Zorgaanbieders zijn verantwoordelijk voor de afspraken die gemaakt worden met hun ICT-leveranciers. Uit deze verantwoordelijkheid volgt dat zij handelingsperspectieven moeten opstellen op basis van de individuele risicoafwegingen en passend bij de eigen context. In de NEN7510 is de verplichting opgenomen een risicobeoordeling uit te voeren en digitale afhankelijkheden in kaart te brengen. Daarnaast gaat de Cyberbeveiligingswet (Cbw) organisaties, waaronder zorgaanbieders, verplichten om hun leveranciersketen in kaart te brengen, en om aan de leveranciers in die keten informatiebeveiligingsnormen te stellen. De Cbw is voorzien medio 2026 in te gaan.
-
Vraag 12
Deelt u de opvatting dat dit geen incident is, maar een symptoom van te grote afhankelijkheid van een paar dominante leveranciers in de zorg, waarbij een incident bij één leverancier meteen een nationale zorgvraag wordt?
Nee, ik deel die opvatting niet. Zorgaanbieders dienen afspraken te maken met zorg-ICT-leveranciers en hierbij risico’s af te wegen. Het is wel zo dat de omvang van een hack groter kan zijn wanneer een leverancier met een groot marktaandeel wordt getroffen waarbij ook nog eens patiëntgegevens zijn opgeslagen.
-
Vraag 13
Deelt u de zorgen over de risico’s wanneer één dominante marktpartij de infrastructuur levert voor zorginstellingen of andere essentiële publieke voorzieningen?
Het is belangrijk dat er sprake is van een gezonde marktwerking op de zorg-ICT-markt. Op verzoek van de toenmalige Minister van VWS heeft de Nederlandse Zorgautoriteit (NZa) in januari 2025 een rapport uitgebracht: «Sturing op kwaliteit en betaalbaarheid zorg-ICT». Daarin staat dat onder andere in de ziekenhuiszorg een paar grote leveranciers de markt domineren. Deze marktconcentratie zorgt voor minder concurrentie, wat de prijzen op kan drijven en innovatie kan vertragen. Ook is er een definitieve leidraad goedwerkende markten voor zorg-ICT van de ACM7 gepubliceerd. Het Ministerie van VWS maakt hieruit op dat het voor nieuwe innovatieve spelers moeilijk is voet aan de grond te krijgen, omdat zorginstellingen huiverig zijn om risico’s te nemen door met kleine of nieuwe partijen in zee te gaan. Bovendien wordt toetreding tot de Nederlandse markt van nieuwe buitenlandse leveranciers bemoeilijkt door de complexe, internationaal niet te vergelijken bekostigingssystematiek in onze zorgsector. Een te grote eenzijdige afhankelijkheid kan risico’s met zich brengen voor de continuïteit van zorg. Zorginstellingen zijn zelf verantwoordelijk om deze risico’s in kaart te brengen en keuzes te maken om invulling te geven aan overwegingen van digitale autonomie.
In de brief Voortgang agenda databeschikbaarheid van 20 januari 2026 is de stand van zaken over de zorg-ICT-markt uiteengezet. Om de risico’s te beperken, ga ik de komende tijd aan de slag om de bewustwording en kennis en expertise bij bestuurders over zorg-ICT te vergroten. Ook wordt samen met partijen onderzocht hoe het inkoopproces verbeterd kan worden. Daarnaast wordt er samen met overheidspartijen met een regulerende of toezichthoudende rol in het zorgveld een zogenoemde signaleringstafel opgezet. Daar kunnen signalen over zorg-ICT worden gedeeld en kan vanuit bestaand instrumentarium bekeken worden of en zo ja welke (gezamenlijke) interventie gewenst is. Naast de hierboven genoemde acties zet ik in op de European Health Data Space (EHDS) om de markt toegankelijker te maken voor EPD-leveranciers. Om dat te bereiken worden er op Europees niveau harmoniserende regels gesteld aan interoperabiliteit tussen de EPD-systemen en aan een verplicht loggingsmechanisme voor gebruik van gegevens door zorgverleners. Ook wordt gekeken hoe het toezicht versterkt kan worden op zorg-ICT. -
Vraag 14
Zijn er maatregelen die u neemt om dergelijke marktdominantie tegen te gaan, bijvoorbeeld door afspraken te maken over het inkoop- en aanbestedingsbeleid in de zorgsector? Waarom wel of niet?
In de eerste plaats zijn zorgaanbieders zelf verantwoordelijk voor de inkoop, aanbesteding en contractering van zorg-ICT. Wel blijkt uit het NZa rapport «Sturing op kwaliteit en betaalbaarheid zorg-ICT» januari 2025 dat de bewustwording en kennis en expertise bij bestuurders over zorg-ICT vergroot kan worden. Daarom wordt samen met partijen onderzocht hoe het inkoopproces verbeterd kan worden, bijvoorbeeld door de inzet van externe expertise om gezamenlijke inkoop van een kernapplicatie te laten slagen. Dit zorgt voor schaalvoordelen en vergroot de kans op samenwerking. Over dit soort onderwerpen heeft mijn ministerie ook regelmatig overleg met de ICT-gebruikersverenigingen van de ziekenhuizen.
-
Vraag 15
Hoe zorgt u voor voldoende diversificatie tussen ICT-leveranciers bij zorginstellingen? Is het uw verantwoordelijkheid om monopolievorming in de zorg-ICT tegen te gaan?
De Autoriteit Consument en Markt (ACM) houdt toezicht op eerlijke concurrentie en marktwerking, zo ook op de zorg-ICT markt. In eerste instantie is zij de toezichthouder op basis van de Mededingingswet die toezicht houdt op de markt en ook concentraties (fusies/overnames) beoordeelt. Zij heeft in haar brief op 28 januari 20258 aangegeven dat de zorg-ict markt niet goed werkt omdat ICT-systemen gesloten zijn. De ACM geeft aan dat zij op dit moment onvoldoende instrumenten heeft om eerlijke concurrentie en marktwerking structureel af te dwingen en adviseert het Ministerie van VWS om openheid van digitale informatiesystemen via wetgeving te verplichten.
Ik vind het belangrijk dat de zorg-ICT-markt toegankelijk is, zodat concurrentie en innovatie worden gestimuleerd. Met de EHDS wordt ook ingezet op een zo open mogelijke markt voor onder andere EPD-leveranciers. Ik onderzoek de mogelijkheden om als randvoorwaardelijk onderdeel van de EHDS, te komen tot additionele regulerende instrumenten. -
Vraag 16
Is het wenselijk dat zorginstellingen individueel ICT-diensten inkopen en hierover onderhandelen? Welke voor- en nadelen ziet u bij een meer gezamenlijke vorm van inkoop?
In de eerste plaats zijn zorgaanbieders zelf verantwoordelijk voor de inkoop, aanbesteding en contractering. Gezamenlijke inkoop kan schaalvoordelen opleveren, vergroot de kans op samenwerking en versterkt de positie van de zorgaanbieders. Een nadeel kan zijn dat er minder maatwerk wordt geleverd.
-
Vraag 17
Wat is de status van de uitvoering van de motie-Bushoff/Bevers om bij de evaluatie van de Wet vifo te bezien of bij fusies en overnames vanuit het buitenland van digitale zorginfrastructuur vergelijkbare voorwaarden gesteld kunnen worden als bij andere cruciale sectoren, zoals de chip-, energie- en telecomsector?2
Sinds juni 2023 is de Wet Veiligheidstoets investeringen, fusies en overnames (vifo) van kracht. De Wet vifo introduceerde een mechanisme voor investeringstoetsing in Nederland. Recent is de wet, conform de toezegging aan de Tweede Kamer, geëvalueerd.
Tevens is in december 2025 de herziene Foreign Direct Investment (FDI)-screeningsverordening vastgesteld. Met de wijziging van de Verordening worden de reikwijdte en procedures van de nationale investeringstoetsingsregimes in de Europese Unie gestroomlijnd om economische veiligheidsrisico’s van investeringen op een meer coherente manier aan te pakken. Nadat de herziene FDI verordening formeel is vastgesteld, start de termijn voor omzetting van de Verordening in nationale wetgeving. In Nederland wordt deze Verordening geïmplementeerd in de Wet vifo. Ik koers aan op een verwijzing in de wet vifo naar de (terminologie van de) Wet weerbaarheid kritieke entiteiten (Wwke). Hiermee zullen kritieke entiteiten in de zorg in het geval van vijandige investeringen, fusies of overnames kunnen worden getoetst. -
Vraag 18
Deelt u de zorgen van de Autoriteit Consument & Markt (ACM) over gesloten datastandaarden bij ICT-aanbieders in de zorg, aangezien systemen daardoor niet goed met elkaar communiceren en zorgaanbieders minder keuze hebben in hun leveranciers, met monopolievorming tot gevolg?
Ja ik deel deze zorgen. Het niet gebruiken van open standaarden en de geslotenheid van ICT-systemen bevordert niet de door de Nationale, Visie en Strategie10 gewenste interoperabiliteit op weg naar databeschikbaarheid. Om dat te veranderen zal een mix van Europese verplichtingen en nationale keuzes nodig zijn. Met de European Health Data Space (EHDS) verordening wordt ingezet op een zo open mogelijke markt voor EPD-leveranciers. Om dat te bereiken worden er op Europees niveau harmoniserende regels gesteld aan interoperabiliteit tussen de EPD-systemen. Vanuit de NVS-ambitie stuur ik op openstelling van systemen via open gestandaardiseerde koppelvlakken: publiek beschikbare koppelvlakken,
zodat data veilig, herbruikbaar en leverancier-onafhankelijk kan stromen door het hele stelsel. De specificaties van deze open koppelvlakken zijn een publieke verantwoordelijkheid. Zo nodig zal ik deze koppelvlakken ook als open source laten ontwikkelen en beschikbaar stellen aan marktpartijen. -
Vraag 19
Wat is de status van de uitvoering van de motie-Bushoff/Kathmann over een routekaart waarlangs ICT-leveranciers in de zorg de komende jaren verplicht worden gebruik te maken van open datastandaarden?3
In mijn brief «stand van zaken landelijk dekkend netwerk» die ik voor het commissiedebat digitale zorg (gepland op 21 mei) naar uw Kamer zal sturen, zal ik dieper ingaan op dit vraagstuk.
-
Vraag 20
Welke structurele problemen in de zorg-ICT legt deze hack bloot? Wie is er aan zet om deze op te lossen?
Het onderzoek naar deze hack is nog in volle gang. Het is daarmee te vroeg om een verband te leggen tussen deze hack en structurele problemen in de zorg-ICT.
-
Vraag 21
Welke maatregelen neemt u om de cyberveiligheid en weerbaarheid van zorginstellingen structureel te vergroten?
In het versterken van de cyberweerbaarheid van de zorg neem ik een kader stellende, toezichthoudende, stimulerende en faciliterende rol in. In de brief over informatieveiligheid in de zorg van 4 december 2025 heeft mijn voorganger uw Kamer geïnformeerd over de maatregelen die mijn ministerie neemt12. Ik ondersteun zorginstellingen bij het voorkomen van incidenten door het verhogen van bewustzijn van zorgmedewerkers in het programma Informatieveilig gedrag in de zorg. Een groot deel van cyberincidenten zijn mede veroorzaakt door menselijk handelen. Daarnaast bied ik hulpmiddelen aan om te voldoen aan de NEN7510, de norm voor informatiebeveiliging in de zorg. Deze norm schrijft organisatorische, mensgerichte, fysieke en technologische beheersmaatregelen voor die de digitale weerbaarheid van een organisatie concreet verhogen. Dit met het doel om dreigingen te voorkomen, detecteren of erop te reageren. Tot slot helpt het expertisecentrum cybersecurity in de zorg (Z-CERT) zorginstellingen in het voorkomen van incidenten door te monitoren en eventuele dreigingsinformatie te delen. Daarnaast biedt Z-CERT ondersteuning bij het beperken van de gevolgen wanneer er onverhoopt een incident heeft plaatsgevonden.
-
Vraag 22
Wat wordt de rol van de Cyberbeveiligingswet, zodra deze is aangenomen, om dergelijke hacks te voorkomen en sneller af te wikkelen? Wat gaat er concreet veranderen in een casus zoals deze?
Voor alle zorgaanbieders is de NEN 7510, de norm voor informatiebeveiliging in de zorg, nu al wettelijk verplicht. De Cyberbeveiligingswet (Cbw) gaat bredere eisen stellen aan netwerk- en informatiebeveiliging voor diverse sectoren waaronder de sector zorg. Zodra de Cbw van kracht is (voorzien medio 2026), hebben organisaties die onder de wet vallen een meldplicht. Dit houdt in dat een significante cyberincident13 binnen 24 uur wordt gemeld bij het portaal van het Nationaal Cyber Security Centrum (NCSC). Het NSCS werkt nauw samen met Z-CERT, het expertisecentrum op het gebied van het cybersecurity in de zorg. Deze meldplicht zorgt ervoor dat alle significante meldingen worden gemonitord en er tijdig wordt gewaarschuwd tegen cyberdreigingen. Daarnaast stelt de Cbw een zorgplicht voor organisaties verplicht. Dit houdt in dat organisaties vallend onder Cbw maatregelen moeten nemen om hun netwerk- en informatiesystemen te beschermen tegen significante incidenten. De Cbw zal cyberincidenten niet voorkomen, maar de cyberweerbaarheid in Nederland en daarmee ook in de sector zorg wordt verhoogd doordat significante cyberincidenten worden gemonitord en vervolgens snel wordt gehandeld om de beveiliging van informatiesystemen en bedrijfscontinuïteit te waarborgen.
-
Vraag 23
Kunt u deze vragen afzonderlijk van elkaar en nog vóór het commissiedebat over digitale ontwikkelingen in de zorg van 21 mei 2026 beantwoorden?
Ja.
10 april 2026 - 21 mei 2026
41 dagen
Het artikel 'Ook Grieken overstag, regering wil verbod op sociale media voor kinderen' |
|
Jantine Zwinkels (CDA) |
|
Aerdts , David van Weel (VVD) |
|
|
|
-
Vraag 1
Bent u bekend met het bericht «Ook Grieken overstag, regering wil verbod op sociale media voor kinderen»?1
Ja.
-
Vraag 2
Hoe beoordeelt u het voornemen van Griekenland om kinderen tot 15 jaar de toegang tot sociale media te verbieden, mede in het licht van het coalitieakkoord waarin is opgenomen dat wordt gewerkt aan een handhaafbare Europese minimumleeftijd van 15 jaar voor sociale media met privacyvriendelijke leeftijdsverificatie?
Verschillende Europese lidstaten hebben wetsvoorstellen aangekondigd om een minimumleeftijd in te stellen voor sociale media. Lidstaten hebben de bevoegdheid om een minimumleeftijd voor te schrijven voor toegang tot bepaalde producten of online diensten, met inbegrip van sociale mediadiensten.
In het coalitieakkoord is het voornemen geuit voor een Europese minimumleeftijd van 15 jaar voor sociale media, zolang sociale media onvoldoende veilig zijn. Een minimumleeftijd op Europees niveau heeft mijn voorkeur, omdat sociale mediabedrijven grensoverschrijdend opereren. Het is daarom efficiënter om te kiezen voor een gezamenlijke oplossing en uniforme Europese regels, omdat dit versnippering tussen lidstaten voorkomt. -
Vraag 3
Welke concrete stappen zet het kabinet op dit moment in Europees verband om te komen tot die handhaafbare Europese minimumleeftijd van 15 jaar voor sociale media?
Nederland heeft tijdens de Informele Telecomraad van 29 en 30 april 2026 het belang uitgedragen van een Europese minimumleeftijd van 15 jaar voor sociale media met privacyvriendelijke leeftijdsverificatie, zolang sociale media onvoldoende veilig zijn. De Kamer zal hier op korte termijn via een verslag nader over worden geïnformeerd.
Daarnaast ga ik de komende periode mogelijkheden voor samenwerking verder verkennen door met verschillende lidstaten in gesprek te gaan. Ik heb onder meer een bijeenkomst op initiatief van Frankrijk bijgewoond, waar ik met andere Europese leiders en de Europese Commissie sprak over een Europese minimumleeftijd voor sociale media.
Tot slot voert de Universiteit van Amsterdam (UvA) momenteel een onderzoek uit naar de juridische inrichting van een Europese minimumleeftijd voor sociale media. Ik zal de resultaten van dit onderzoek uiterlijk voor het zomerreces publiceren. -
Vraag 4
Erkent het kabinet dat, in het licht van de ontwikkeling dat steeds meer landen overgaan tot een verbod, nu het moment is om tot een gezamenlijke aanpak te komen?
Het is belangrijk om tot een gezamenlijke Europese aanpak te komen, zoals ik heb aangegeven in de beantwoording van de vragen 2 en 3.
-
Vraag 5
Trekt Nederland hierbij actief op met andere Europese lidstaten die eveneens willen komen tot strengere regels voor kinderen op sociale media, zoals Griekenland, Frankrijk, en Spanje? Zo ja, op welke wijze?
Zoals aangegeven in het antwoord op vraag 3, zal ik met verschillende lidstaten in gesprek gaan om te verkennen wat de mogelijkheden zijn voor samenwerking. Na deze gesprekken en de resultaten van het onderzoek van de UvA zal ik nagaan wat de meest geschikte vorm van samenwerking is.
-
Vraag 6
Hoe wil het kabinet een Europese minimumleeftijd juridisch en technisch handhaafbaar vormgeven, in het bijzonder in relatie tot de Digital Services Act (DSA) en de door de Europese Commissie ontwikkelde leeftijdsverificatie-aanpak?
Zoals aangegeven in het antwoord op vraag 3 voert de UvA momenteel een onderzoek uit naar de juridische inrichting van een Europese minimumleeftijd voor sociale media. Daarbij wordt uiteraard ook ingegaan op de relatie tot de DSA als hoeksteen van het Europese platformrecht. De uitkomsten van dit onderzoek worden meegenomen bij de uitvoering van het coalitieakkoord.
Voor wat betreft de technische handhaafbaarheid, geldt dat online leeftijdsverificatie een belangrijk instrument kan zijn, mits fundamentele rechten en grondrechten zoals privacy, gegevensbescherming, non-discriminatie en digitale toegankelijkheid worden gewaarborgd. De toepassing moet proportioneel zijn en steeds per context worden afgewogen; er is geen one size fits all-oplossing. Om de ontwikkeling van privacyvriendelijke leeftijdsverificatie te ondersteunen, heeft de Europese Commissie een blauwdruk voor een Europese white-label leeftijdsverificatie-app gepubliceerd. Het kabinet verkent momenteel of de EU-blauwdruk app in Nederland geïmplementeerd kan worden of dat er ook andere mogelijkheden zijn voor implementatie van leeftijdsverificatie.
9 april 2026 - 21 april 2026
12 dagen
De hack bij ChipSoft dat software levert voor Nederlandse zorginstellingen |
|
Marc Vervuurt (D66), Sarah El Boujdaini (D66) |
|
Sophie Hermans (VVD), Aerdts |
|
|
|
|
-
Vraag 1
Bent u bekend met de berichtgeving over de cyberaanval op ChipSoft, leverancier van elektronische patiëntendossiers voor een groot deel van de Nederlandse zorginstellingen?1
Ja.
-
Vraag 2
Kunt u een actueel beeld geven van de aard, omvang en impact van deze aanval, en welke patiënten hierdoor zijn geraakt?
Het Ministerie van VWS onderhoudt geen klantrelatie met Chipsoft en is daarmee geen onderdeel van de informatievoorziening van Chipsoft naar zijn klanten. Uit informele contacten heb ik begrepen dat Chipsoft momenteel samen met een extern team van cybersecurity-experts forensisch onderzoek uitvoert om de oorzaak, omvang en bron van het incident vast te stellen. Naar ik begrepen heb zijn uit voorzorg de verbindingen sinds 8 april 20:00 uur met patiëntportalen die door ChipSoft worden gehost, verbroken. Dit betreft Zorgportaal, HiX Mobile2 en het Zorgplatform. Deze zijn hierdoor tijdelijk niet beschikbaar. Op donderdag 16 april heeft ChipSoft gecommuniceerd met haar klanten dat er bij de hack ook gegevens zijn gestolen. Hierover heb ik de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april 2026 geïnformeerd. De resultaten van het forensisch onderzoek, die van belang zijn voor de hersteloperatie bij zorginstellingen, zullen, zo heeft ChipSoft ons doen laten weten, zo snel mogelijk worden gecommuniceerd. In de tussentijd ondersteunt Z-CERT, als expertisecentrum cybersecurity in de zorg, en biedt hulp aan ChipSoft voor analyse, communicatie en incidentmanagement. Z-CERT informeert en adviseert haar deelnemers over deze situatie.
-
Vraag 3
In hoeverre heeft deze aanval gevolgen (gehad) voor de continuïteit van zorg, bijvoorbeeld door verminderde toegang tot patiëntgegevens, vertragingen in zorgverlening of het moeten overschakelen op noodprocedures?
Ik heb van de betrokken zorginstellingen begrepen dat de zorgprocessen doorlopen en zorgverleners bij de gegevens van patiënten kunnen. Patiënten kunnen echter wel hinder ondervinden bij het online maken van afspraken, dit gaat nu telefonisch. Daarnaast kunnen patiënten momenteel niet zelf hun dossier inzien Ook is er met name impact op de uitwisseling van gegevens. Tussen zorgverleners, zoals huisarts en ziekenhuizen, kunnen verwijzingen niet goed plaatsvinden. Echter, ziekenhuizen zijn voorbereid op dit soort incidenten en zij hebben hiervoor noodprotocollen die ook in werking zijn getreden. Hierdoor kunnen veel zorgprocessen doorlopen, maar vaak met een noodzakelijke extra inzet van personeel. Deze situatie kan daarmee maar voor een beperkte periode bestaan. Inmiddels zo begreep ik is er sinds vrijdag 17 april weer sprake van het opstarten van functionaliteiten, nadat deze veilig zijn bevonden.
-
Vraag 4
Zijn er aanwijzingen dat patiëntgegevens zijn ingezien, buitgemaakt of anderszins gecompromitteerd? Hoe wordt dit onderzocht en wanneer verwacht u hierover duidelijkheid te kunnen geven?
Op donderdag 16 april heeft ChipSoft gecommuniceerd met haar klanten dat er bij de hack patiëntgegevens zijn gestolen. Hierover heb ik de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april geïnformeerd. Ik vind dit een zeer ernstige zaak. ChipSoft moet alles uit de kast halen en de volle verantwoordelijkheid nemen om snel en zorgvuldig te onderzoeken en duidelijkheid te creëren voor patiënten en zorgverleners, zodat mensen weten of hun data gestolen is en om welke data het gaat.
-
Vraag 5
Hoe beoordeelt u de sterke afhankelijkheid van een beperkt aantal commerciële leveranciers voor cruciale zorg-IT, en hoe worden de risico’s daarvan beperkt?
Op verzoek van de toenmalige Minister van VWS heeft de Nederlandse Zorgautoriteit (NZa) in januari 2025 een rapport uitgebracht: «Sturing op kwaliteit en betaalbaarheid zorg-ICT». Daarin staat dat onder andere in de ziekenhuiszorg een paar grote leveranciers de markt domineren. Deze concentratie van marktmacht zorgt ervoor dat er minder concurrentie is, wat de prijzen op kan drijven en innovatie kan vertragen. Ook in de Definitieve leidraad goedwerkende markten voor zorg-ICT van de ACM3 staat dat het voor nieuwe, innovatieve spelers moeilijk is om voet aan de grond te krijgen, omdat zorginstellingen huiverig zijn om risico's te nemen door met kleine of nieuwe partijen in zee te gaan. Bovendien wordt toetreding tot de Nederlandse markt van nieuwe buitenlandse leveranciers bemoeilijkt door de complexe, internationaal niet te vergelijken bekostigingssystematiek in de zorgsector. Een te grote eenzijdige afhankelijkheid kan risico’s met zich brengen voor de continuïteit van zorg. Zorginstellingen zijn zelf verantwoordelijk om deze risico’s in kaart te brengen en keuzes te maken om invulling te geven aan hun digitale autonomie.
Ik ben echter ook van mening dat de ontwikkeling naar een European Health Data Space (EHDS) bij kan dragen om de markt toegankelijker te maken voor EPD-leveranciers. Om dat te bereiken worden er bijvoorbeeld op Europees niveau harmoniserende regels gesteld aan interoperabiliteit tussen de EPD-systemen en het verplicht maken van een loggingsmechanisme voor gebruik van gegevens door zorgverleners. Ook wordt gekeken hoe het toezicht versterkt kan worden. In de brief Voortgang agenda databeschikbaarheid van 20 januari 20264 is de stand van zaken over de zorg-ICT-markt uiteengezet. Om de risico’s te beperken ga ik de komende tijd aan de slag om te bezien hoe de bewustwording en kennis en expertise bij bestuurders over zorg-ICT vergroot kan worden. Daarnaast wordt samen met partijen onderzocht hoe het inkoopproces verbeterd kan worden en zal er samen met overheidspartijen met een regulerende of toezichthoudende rol in het zorgveld een zogenoemde signaleringstafel worden opgezet waar signalen aangaande zorg-IT kunnen worden gedeeld en vanuit bestaand instrumentarium kan worden bekeken of en zo ja welke (gezamenlijke) interventie gewenst is. -
Vraag 6
Welke eisen worden momenteel gesteld aan leveranciers van zorg-IT op het gebied van cybersecurity, weerbaarheid en continuïteit, en in hoeverre zijn deze eisen voldoende gezien de kritieke rol van deze partijen voor ons zorgsysteem?
Nederlandse zorgaanbieders zijn momenteel wettelijk verplicht om te voldoen aan de norm voor informatiebeveiliging in de zorg, de NEN 7510. De NEN 7510 geeft richtlijnen voor controlemaatregelen en stelt eisen aan het informatiebeveiligingssystemen. De norm vereist ook beheersmaatregelen voor bedrijfscontinuïteit en bereikbaarheid. Bij de inzet van ICT-producten die medische gegevens verwerken, eisen zorgaanbieders van de softwareleveranciers van deze ICT-producten dat ook zij voldoen aan de NEN 7510. Softwareleveranciers dienen dit aan te tonen met een certificaat. Daarnaast zullen aanvullende eisen voor cyberweerbaarheid worden gesteld in de NIS2 richtlijn die wordt omgezet in de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit. Ik ga hier verder op in bij vraag 8. De EHDS draagt bij aan toegankelijkheid van de zorg-ICT-markt in Nederland en Europa en betere databeschikbaarheid. Deze verordening gaat de nieuwe eis stellen dat EPD-systemen aan de kaders rondom cyberveiligheid moeten gaan voldoen conform de Cyberweerbaarheidsverordening5.
-
Vraag 7
In hoeverre zijn zorginstellingen verplicht of gestimuleerd om scenario’s uit te werken voor uitval van essentiële IT-systemen, en hoe wordt geborgd dat zorgverlening doorgang kan vinden bij langdurige verstoringen?
Het doen van een risicoanalyse is onderdeel van de norm voor informatieveiligheid in de zorg (NEN7510). Aan deze norm dienen zorgaanbieders aantoonbaar te voldoen. Bij het werken volgens de norm hoort ook het nemen van maatregelen om uitval (door bijvoorbeeld een cyberincident) te voorkomen en de impact te beperken. Een belangrijk onderdeel van de norm is bovendien dat er plannen worden gemaakt voor bedrijfscontinuïteit bij onverwachte verstoringen of uitval en dat deze periodiek getest, geëvalueerd en verbeterd worden.
-
Vraag 8
Hoe wordt binnen het beleid rond de implementatie van de NIS2-richtlijn specifiek rekening gehouden met de afhankelijkheid van de zorgsector van externe IT-leveranciers?
De NIS2 richtlijn wordt omgezet in de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit. In de Cyberbeveiligingswet is in artikel 10 opgenomen dat de organisaties die onder deze wet vallen verplicht zijn om beleid vast te stellen over de beveiliging van de toeleveringsketen. Dit betekent dat de zorgaanbieders die onder de reikwijdte vallen niet alleen hun eigen netwerk- en informatiesystemen op orde hebben, maar ook die van hun rechtstreekse leveranciers periodiek toetsen. Daarnaast zullen IT-leveranciers ook rechtstreeks onder de reikwijdte van de wet vallen, onder de sector digitale infrastructuur.
-
Vraag 9
Ziet u aanleiding om aanvullende eisen te stellen aan leveranciers van kritieke zorg-IT, bijvoorbeeld op het gebied van redundantie, interoperabiliteit of exit-strategieën, zodat zorginstellingen minder kwetsbaar zijn bij uitval of incidenten?
Zorgaanbieders zijn verantwoordelijk voor de afspraken die gemaakt worden met hun ICT-leveranciers. Uit deze verantwoordelijkheid volgt dat zij handelingsperspectieven moeten opstellen op basis van de individuele risicoafwegingen en passend bij de eigen context. In de NEN7510 is de verplichting opgenomen een risicobeoordeling uit te voeren en digitale afhankelijkheden in kaart te brengen. Daarnaast verplicht de Cyberbeveiligingswet (Cbw) organisaties, waaronder zorgaanbieders, om hun leveranciersketen in kaart te brengen en om aan de leveranciers in die keten informatiebeveiligingsnormen te stellen.
-
Vraag 10
In hoeverre wordt gewerkt aan het verminderen van single points of failure in de digitale infrastructuur van de zorg, en welke concrete stappen worden gezet om diversificatie en alternatieven te stimuleren?
Er wordt vanuit verschillende projecten en programma’s gewerkt aan het realiseren van een duurzaam en veilig gezondheidsinformatiestelsel. Bij de totstandkoming van dit stelsel is het uitgangspunt dat er sprake is van een federatief stelsel waarbij data aan de bron blijft. Voor vertrouwen in het gebruik van gezondheidsgegevens zijn enkele (centrale) vertrouwenscomponenten noodzakelijk. Om te waarborgen dat deze voorzieningen geen centrale point-of-failure worden, is bij de realisatie van de techniek rekening gehouden met de mogelijkheden om de data te kunnen repliceren zonder dat daarmee de betrouwbaarheid van data in het geding komt. Zo wordt het Landelijk Register Zorgaanbieders (LRZa) ingericht om adresseerbare punten per zorgaanbieder op te kunnen vragen zodat de decentrale punten direct met elkaar kunnen uitwisselen. Om te voorkomen dat dit een single-point-of-failure wordt, is er synchronisatie van gegevens mogelijk zodat de adresseerbare punten periodiek kunnen worden geharmoniseerd zonder dat dit de betrouwbaarheid van de gegevens in het geding brengt.
Zoals beschreven bij vraag 5 worden er bij de European Health Data Space- verordening regels opgelegd aan leveranciers om de EPD-markt beter te laten functioneren en concurrentie en innovatie te bevorderden. Daarmee wordt het voor nieuwe toetreders aantrekkelijker om toe te treden tot de Nederlandse markt. Ook wordt ingezet op een betere vraagbundeling en vraagarticulatie en het verbeteren van het inkoopproces. -
Vraag 11
Welke andere lessen trekt u uit dit incident voor de bredere digitalisering van de zorg, met name op het gebied van digitale autonomie, en hoe worden deze lessen vertaald naar concreet beleid?
Digitale veiligheid is nooit voor honderd procent te garanderen en dit soort aanvallen zijn nooit helemaal te voorkomen. Wat we wel gezamenlijk kunnen doen, is de risico’s zoveel mogelijk beperken en ervoor zorgen dat eventueel misbruik snel wordt gesignaleerd en doeltreffend wordt aangepakt. Ik vind het belangrijk dat zorgaanbieders regie nemen over hun digitale autonomie. Bij digitale autonomie hoort een inzicht én keuzes jegens kwetsbaarheden in veiligheid, maar ook in eenzijdige afhankelijkheden van dominante marktpartijen. Dit vraagstuk is niet specifiek voor de zorg. Hier kan de zorg dus inspiratie putten uit stappen die in andere sectoren gezet worden. Zonder in contractuele verplichtingen te willen treden, zie ik het als mijn taak de zorgsector in deze bredere maatschappelijke beweging mee te krijgen.
-
Vraag 12
Kunt u de Kamer op korte termijn informeren over de uitkomsten van het onderzoek naar deze aanval, inclusief de implicaties voor het beleid rondom digitale weerbaarheid in de zorg?
In eerste instantie is ChipSoft zelf verantwoordelijk om te communiceren over de bevindingen van het forensisch onderzoek dat zij momenteel, in samenwerking met cybersecurity-experts, laten uitvoeren. Ik volg de zaak uiteraard nauwlettend. Mocht de rapportage van ChipSoft aanleiding zijn voor mij om vanuit mijn systeemverantwoordelijkheid aanvullende acties te ondernemen dan zal ik uw Kamer hierover informeren.
9 april 2026 - 13 mei 2026
34 dagen
Het kabinetsbesluit inzake AI-gigafabrieken |
|
Henk Vermeer (BBB) |
|
Aerdts |
|
|
|
-
Vraag 1
Herinnert u zich dat u in het commissiedebat Digitale Infrastructuur en Economie d.d. 8 april aangaf dat het ontbreken van middelen op de begroting de doorslaggevende reden was om niet deel te nemen aan het Europese AI-gigafabriekeninitiatief?
Ja, ik herinner mij het debat. Daarin heb ik onder andere aangeven dat er geen middelen zijn om aan de Europese tender voor een gezamenlijke inkoop van rekenkracht mee te doen. Daarnaast heb ik aangegeven positief te staan tegenover AI-infrastructuur die vanuit private middelen gefinancierd kan worden, zoals ook in het rapport-Wennink wordt aangegeven. Ook heb ik aangegeven dat ik daarom in gesprek blijf met de partijen die AI-infrastructuur initiatieven proberen te realiseren en over de randvoorwaarden die daarvoor nodig zijn.
-
Vraag 2
Klopt het dat in de beslisnota d.d. 23 maart bij de Kamerbrief «Positie van het kabinet ten aanzien van deelname aan het Europese AI-gigafabriekeninitiatief» (Kamerstuk 26 643-1499) staat dat in de StafEZ van 10 maart 2026 is vastgesteld dat binnen de huidige begroting geen ruimte bestaat voor de vereiste financiële verplichtingen?
Ja.
-
Vraag 3
Klopt het dat eerst is geconcludeerd dat er geen geld beschikbaar was, en dat pas daarna inhoudelijke argumenten, waaronder een verwijzing naar het rapport-Wennink, zijn gebruikt om dit besluit te onderbouwen? Zo nee, kan de Staatssecretaris dan precies uiteenzetten in welke volgorde de budgettaire en inhoudelijke afwegingen zijn gemaakt?
Nee. De conclusie dat er geen middelen beschikbaar waren, is niet los van de inhoudelijke afwegingen bereikt. In 2025 heeft Ecorys in opdracht van EZK de potentiële meerwaarde van een AI-gigafabriek onderzocht. Dit rapport schetst verschillende scenario’s en benoemt zowel kansen als onzekerheden en randvoorwaarden voor publieke betrokkenheid. Daarbij plaatst het rapport kanttekeningen bij de publieke meerwaarde en wijst het onder meer op de verhouding tussen training en inferentie, en de rol die marktpartijen zelf kunnen vervullen. Ook andere inzichten, waaronder het rapport-Wennink, geven aan dat substantiële private betrokkenheid bij de realisatie van dergelijke infrastructuur voor de hand ligt.
Parallel hieraan heeft EZK de budgettaire mogelijkheden verkend. Daaruit bleek dat er geen middelen beschikbaar waren. In samenhang hebben deze inhoudelijke bevindingen en de budgettaire beperkingen geleid tot het besluit om niet deel te nemen aan een gezamenlijke aanbesteding via EuroHPC. -
Vraag 4
Kan de Staatssecretaris alsnog de stukken openbaar maken die ten grondslag lagen aan het overleg in de StafEZ van 10 maart 2026, conform het eerder gedane informatieverzoek van de Kamer gedaan tijdens het commissiedebat Digitale infrastructuur en economie, waaronder memo’s, notities, berekeningen, scenario’s en de stukken waarmee de Staatssecretaris en de betrokken ambtenaren dat overleg zijn ingegaan? Indien volledige openbaarmaking niet mogelijk is, is de Staatssecretaris dan bereid om ten aanzien van het deel waarvan openbaring niet mogelijk is, deze stukken vertrouwelijk ter inzage te geven?
De belangrijkste basis voor de inhoudelijke afweging waren diverse gesprekken met consortia over hun plannen, de Europese EuroHPC regelgeving en het Ecorys-rapport, dat in opdracht van het Ministerie van EZK is opgesteld en op 19 december jl. met de Tweede Kamer is gedeeld. Ook andere inzichten, zoals het rapport-Wennink, dat ook openbaar is, zijn hierin meegenomen.
-
Vraag 5
Herinnert u zich dat u zich zowel in het debat, als in de Kamerbrief betreft de Positie van het kabinet ten aanzien van deelname aan het Europese AI-gigafabriekeninitiatief, beriep op het rapport-Wennink, en dat dat rapport volgens het kabinet geheel in lijn zou zijn met het standpunt van het kabinet om AI-gigafabrieken volledig door de markt te laten financieren?
Ja.
-
Vraag 6
Deelt u de mening dat in het rapport-Wennink staat dat «Nieuwe initiatieven [...] zijn (nog) niet volledig privaat te financieren door hoge opstartkosten en lange, onzekere terugverdientermijnen.»?
Ja. Daarbij wordt echter op pagina van 90 van het rapport de kanttekening gemaakt dat dit met name geldt voor nieuwe initiatieven in nog onbewezen markten. Tegelijkertijd vermeldt het rapport dat de AI Gigafabriek, vanwege haar sterke commerciële oriëntatie, in beginsel wél volledig privaat gefinancierd kan worden en marktconforme rekenkracht kan aanbieden.
-
Vraag 7
Deelt u de mening dat in het rapport-Wennink staat dat «Publieke financiering – en cofinanciering door EU-instrumenten – kan een vliegwieleffect hebben.»?
Ja.
-
Vraag 8
Deelt u de mening dat in het rapport-Wennink staat dat «Nederland heeft grootschalige private én publieke investeringen nodig.»?
Ja.
-
Vraag 9
Deelt u de mening dat u stelt te handelen in lijn met het rapport-Wennink, terwijl datzelfde rapport expliciet aangeeft dat grootschalige digitale infrastructuur juist níet volledig privaat te financieren is en publieke cofinanciering noodzakelijk is om investeringen los te krijgen? Zo nee, waarom niet?
Nee. Het rapport-Wennink maakt een onderscheid tussen verschillende typen digitale infrastructuur. Waar het voor een deel van de grootschalige infrastructuur inderdaad wijst op het belang van publieke cofinanciering, wordt in het geval van AI-gigafabrieken expliciet benoemd dat deze in beginsel volledig privaat gefinancierd kunnen worden. Dat beeld wordt ondersteund door recente marktontwikkelingen. Zo halen Europese AI-(neo)cloudbedrijven zelfstandig kapitaal op voor de bouw van AI-infrastructuur. Dit laat zien dat er binnen dit specifieke segment voldoende private investeringsbereidheid bestaat.
-
Vraag 10
Is hier niet gewoon sprake van het gebruiken van het rapport-Wennink als dekmantel voor een besluit dat puur budgettair is genomen? Zo nee, waarom niet?
Nee. Het rapport-Wennink is niet gebruikt als dekmantel voor een budgettaire keuze. Aan de kabinetspositie ligt, naast de gesprekken met de geïnteresseerde consortia, in de eerste plaats het rapport van Ecorys ten grondslag, waarin de relevante economische en investeringsafwegingen zijn geanalyseerd, zoals toegelicht in het antwoord op vraag 3.
-
Vraag 11
Deelt de Staatssecretaris de opvatting dat dit de indruk wekt van «cherry picking»? Zo nee, waarom niet?
Nee. Die indruk deel ik niet, omdat er niet uitsluitend naar het rapport-Wennink is gekeken om tot deze conclusie te komen.
-
Vraag 12
Herinnert u zich dat u zich in het debat ook beriep op het Ecorys-rapport? Kan de Staatssecretaris bevestigen dat Ecorys niet concludeert dat een AI-gigafabriek per definitie niet rendabel of niet zinvol is, maar juist dat de meerwaarde afhangt van ontwerp, gebruiksdoel en strategische inbedding? Waarom wordt dit rapport dan door het kabinet wel gebruikt als argument om af te haken?
Ja, dat kan ik mij herinneren en dat kan ik bevestigen. Het Ecorys-rapport stelt inderdaad niet dat een AI-gigafabriek per definitie niet rendabel of niet zinvol is. Het benadrukt juist dat de meerwaarde en businesscase sterk afhangen van het ontwerp, het beoogde gebruik en de strategische inbedding. Ecorys geeft daarbij aan dat een gecentraliseerde AI-gigafabriek vooral meerwaarde kan hebben voor de training van zeer grote modellen, maar plaatst daar tegelijkertijd de kanttekening dat het aantal partijen dat deze schaal van trainingscapaciteit daadwerkelijk benut in de Nederlandse context gering is.
Het kabinet gebruikt dit rapport niet als oordeel dat dergelijke infrastructuur «niet wenselijk» zou zijn, maar als onderbouwing voor de conclusie dat voor de varianten die juist meerwaarde hebben en op de Nederlandse markt zijn gericht, publieke financiering niet noodzakelijk is, omdat de markt daarin zelf kan voorzien. Op basis daarvan, tezamen met de budgettaire situatie, is de afweging gemaakt om geen publieke rol te nemen in een aanbesteding met financiële verplichtingen waarbij het initiatief in de specifieke vorm nog onduidelijk is. -
Vraag 13
Deelt de Staatssecretaris de opvatting dat ook in dit geval dit de indruk wekt van cherry picking? Zo nee, waarom niet?
Nee, zie de toelichting in de beantwoording op vraag 12.
-
Vraag 14
Kan de Staatssecretaris bevestigen dat het kabinet ervan uitgaat dat Nederlandse partijen later ook rekenkracht kunnen inkopen bij AI-gigafabrieken elders in Europa? Waarop baseert het kabinet de aanname dat die capaciteit bij toenemende schaarste daadwerkelijk beschikbaar blijft voor Nederlandse bedrijven, kennisinstellingen en overheden, in plaats van dat Nederland achteraan aansluit in de rij?
Ja, het kabinet gaat er in beginsel van uit dat Nederlandse partijen toegang kunnen krijgen tot rekenkracht bij AI-gigafabrieken elders in Europa. Die aanname is gebaseerd op de afspraken en de EuroHPC-verordening, het wetgevingskader dat de EuroHPC Joint Undertaking reguleert.
Tegelijkertijd wil ik benadrukken dat dit geen vanzelfsprekendheid zonder voorwaarden is. Het kabinet onderkent dat bij toenemende schaarste in rekencapaciteit private aanbieders geneigd kunnen zijn om prioriteit te geven aan contractueel gebonden gebruikers. -
Vraag 15
Kan de Staatssecretaris ingaan op de analyse van het The Hague Centre for Strategic Studies dat toegang tot kritieke digitale infrastructuur in toenemende mate afhankelijk is van geopolitieke verhoudingen en dat bij schaarste landen primair hun eigen belangen zullen beschermen? Hoe rijmt de Staatssecretaris dit met de aanname dat Nederlandse partijen bij toenemende vraag en schaarste probleemloos gebruik kunnen blijven maken van rekenkracht in andere lidstaten of daarbuiten?
Zoals ik bij de vorige vraag heb toegelicht, baseer ik mij op de afspraken binnen de EuroHPC Joint Undertaking en het daarbij behorende Europese wettelijke kader. Dat kader is er juist op gericht om gezamenlijke Europese toegang tot high-performance computing en aanverwante digitale infrastructuur te borgen, ook in situaties van toenemende schaarste of geopolitieke spanning. Lidstaten hebben zich daaraan gecommitteerd, inclusief afspraken over beschikbaarheid en gedeeld gebruik van capaciteit.
-
Vraag 16
Kan de Staatssecretaris bevestigen dat het kabinet kiest voor AI-gigafabrieken die volledig door de markt worden gefinancierd? Hoe realistisch acht de Staatssecretaris dat, gelet op het feit dat het rapport-Wennink juist wijst op achterblijvende private investeringen?
Het kabinet kiest ervoor dat de ontwikkeling van AI-infrastructuur, waaronder zogeheten AI-gigafabrieken, in beginsel door private partijen wordt gedragen en gefinancierd. De overheid ziet daarbij primair een rol in het creëren van de juiste randvoorwaarden, bijvoorbeeld op het gebied van beschikbare energie-infrastructuur, geschikte locaties en vergunningsprocedures. Het doel is om het voor private partijen aantrekkelijker en uitvoerbaarder te maken om dit soort investeringen daadwerkelijk hier van de grond te krijgen.
-
Vraag 17
In de genoemde Kamerbrief schrijft het kabinet dat het kiest voor een ontwikkeling van AI-infrastructuur die meegroeit met de marktvraag; hoe verhoudt zich dat tot de constatering in de onderliggende analyses dat de ontwikkeling van AI-infrastructuur juist sterk aanbodgedreven kan zijn, en dat investeringen in capaciteit zelf vraag, innovatie en ecosysteemvorming aanjagen? Loopt Nederland door deze afwachtende houding niet juist het risico achter te blijven omdat vraag pas ontstaat waar capaciteit al aanwezig is?
Ik ben het met u eens dat de ontwikkeling van AI-infrastructuur in bepaalde gevallen aanbodgedreven kan zijn en daarmee juist ook vraag, innovatie en ecosysteemvorming kan stimuleren. Dat is ook precies de reden dat het kabinet wél inzet op de realisatie van de publiek gefinancierde AI-fabriek in Groningen, waar sprake is van een strategische Europese investering in rekenkracht en kennisopbouw.
Tegelijkertijd geldt dat niet alle typen AI-infrastructuur dezelfde dynamiek kennen. In veel segmenten kan de markt zelf goed inspringen op groeiende vraag, mits de randvoorwaarden op orde zijn, zoals voldoende beschikbare energie, ruimte en een voorspelbaar vergunningsproces. -
Vraag 18
Is de Staatssecretaris, gelet op het feit dat de doorslaggevende overweging blijkens de beslisnota budgettair was en rapporten waarachter het kabinet zich verschuilt het kabinet lijken te tegenspreken, bereid het besluit alsnog te heroverwegen en de Kamer een scenario te sturen waarin Nederland wél, al dan niet gefaseerd, kan aansluiten bij het Europese AI-gigafabriekeninitiatief?
Nee. Deelname aan de door EuroHPC geleide aanbesteding zou een substantiële financiële verplichting met zich meebrengen, die het kabinet op dit moment niet wil aangaan. De inhoudelijke afwegingen zoals toegelicht in deze beantwoording geven geen aanleiding om de positie van het kabinet te herzien. Daarbij wil ik bovendien benadrukken dat deelname aan het Europese traject geen garantie biedt op de realisatie van een AI-gigafabriek in Nederland, maar primair ziet op het indienen van een voorstel in competitie met voorstellen uit andere lidstaten.
-
Vraag 19
Kunt u deze vragen in ieder geval voor het tweeminutendebat naar aanleiding van het commissiedebat Digitale Infrastructuur en Economie, een voor een, beantwoorden?
Ja.
9 april 2026 - 28 mei 2026
49 dagen
Het bericht 'Nederlands grootste pensioenfonds stapt uit techbedrijf dat zaken doet met ICE' |
|
Sarah El Boujdaini (D66) |
|
Aerdts |
|
|
|
|
Bronnen
1. Nederlands grootste pensioenfonds stapt uit techbedrijf dat zaken doet met ICE, NU.nl d.d. 1 april 2026
-
Vraag 1
Hoe beoordeelt u het besluit van het grootste Nederlandse pensioenfonds (ABP) om zich terug te trekken uit Palantir vanwege zorgen over mensenrechten en ethisch verantwoord investeren?1
Een pensioenfondsbestuur is verantwoordelijk voor het beleggingsbeleid bij een pensioenfonds en ik geef daar geen oordeel over. Voor beleggingen zijn pensioenfondsen gehouden aan de prudent person regel. Deze regel stelt dat het vermogen in het belang van de deelnemers en pensioengerechtigden moet worden belegd. ABP weegt daarin tal van aspecten af, waaronder rendement, risico, kosten, ethische aspecten, mensenrechten en duurzaamheid. Deze afwegingen en de uiteindelijke investeringsbeslissingen die daaruit volgen zijn aan het ABP-bestuur.
-
Vraag 2
Deelt u de zorg dat afhankelijkheid van buitenlandse technologiebedrijven zoals Palantir de digitale soevereiniteit van Nederland kan ondermijnen? Zo nee, waarom niet?
Het voorkomen en waar nodig mitigeren van risicovolle strategische afhankelijkheden in digitale technologie is een prioriteit van het kabinet. Daarbij wordt gekeken naar alle lagen van de digitale stack. Versterking van onze positie op AI heeft een centrale plek in verschillende beleidskaders, zoals de Agenda Digitale Open Strategische Autonomie en de Nationale Technologiestrategie. Hiertoe neemt het kabinet stimulerende maatregelen (promote), beschermende maatregelen (protect) en maatregelen tot het verdiepen van internationale samenwerking (partnership).
-
Vraag 3
Kunt u uiteenzetten waar binnen de overheid de diensten en producten van Palantir worden gebruikt en waarvoor deze worden ingezet? Zo nee, waarom niet?
In antwoord op diverse Kamervragen van het lid Van Houwelingen (FvD),2, evenals van de leden Van Vroonhoven en Six Dijkstra,3 is aangegeven dat op dit moment alleen de politie en Defensie gebruik maken van Palantir.
De politie gebruikt de software van Palantir enkel binnen de zogenaamde «Raffinaderij». «De Raffinaderij» is een analyseomgeving waar Palantir onderdeel van uitmaakt. Deze wordt alleen aangewend voor de bestrijding van zware en georganiseerde criminaliteit en het voorkomen van aanslagen.
Binnen de Nederlandse krijgsmacht wordt gebruik gemaakt van de Palantir-software in het kader van interoperabiliteit tussen NAVO-partners ter ondersteuning van het militaire optreden. -
Vraag 4
Hoe beoordeelt u het gebruikmaken door Nederlandse (semi-)overheidsorganisaties van technologie van bedrijven zoals Palantir, waarover ernstige zorgen bestaan over betrokkenheid bij mensenrechtenschendingen? En op welke gronden wordt dit beoordeeld?
Het kabinet zal zich immer inzetten voor de bescherming van mensenrechten en de democratische rechtstaat, ook bij de inzet van technologie zoals AI. Daarbij heeft het kabinet ook aandacht voor de mogelijk discriminerende aspecten van technologie, en het beschermen van de democratie.
-
Vraag 5
Welke ethische kaders hanteert het kabinet bij de inkoop en inzet van data-analyse- en AI-systemen van commerciële partijen zoals Palantir, en hoe worden deze kaders in de praktijk toegepast en gehandhaafd?
Vanuit de Nederlandse Digitaliseringsstrategie (NDS) werk ik aan een AI-inkoopaanpak. Hierin worden de inzichten uit de ethische kaders omtrent algoritmen en AI vanuit de overheid gebundeld, zoals het Algoritmekader en de leidraad van de Community of Practice Digitale Innovaties vanuit het Expertisecentrum Aanbesteden PIANOo. Daarin wordt bijvoorbeeld aangespoord een Fundamental Rights Impact Assessment (FRIA) uit te voeren, wat volgens de AI-verordening verplicht wordt bij hoog-risico AI-systemen. Een mogelijke invulling van zo’n FRIA is het Impact Assessment Mensenrechten en Algoritmes (IAMA). De uitkomsten van een IAMA kan leiden tot het treffen van maatregelen om mensenrechten te beschermen door de opdrachtgever of opdrachtnemer. In het Commissiedebat Digitaliserende overheid van 29 januari 2026 heeft de toenmalige Staatssecretaris van Koninkrijksrelaties en Digitale Zaken toegezegd dat deze AI-inkoopaanpak in 2026 met uw Kamer zal worden gedeeld.
-
Vraag 6
Welke concrete waarborgen, zoals toezicht, impact assessments en transparantiemechanismen, worden ingezet om te voorkomen dat het gebruik van dergelijke technologie leidt tot discriminatie, profilering of schending van privacyrechten?
Voorafgaand aan een voorgenomen gegevensverwerking, al dan niet door een leverancier van diensten, wordt een data protection impact assessment (DPIA) uitgevoerd om de risico’s voor de rechten en vrijheden van betrokkenen in kaart te brengen. Beoordeeld wordt welke (aanvullende) maatregelen getroffen moeten worden om eventuele risico’s voor de bescherming van persoonsgegevens en de rechten en vrijheden van betrokkenen zoveel mogelijk te mitigeren. In geval van doorgifte van persoonsgegevens aan landen buiten de EER wordt een data transfer impact assessment (DTIA) uitgevoerd, om te beoordelen of het betreffende land of internationale organisatie een passend beschermingsniveau waarborgt. Zoals eerder gemeld, wordt de FRIA volgens de AI-verordening verplicht bij hoog-risico AI-systemen. Een mogelijke invulling van zo’n FRIA is het IAMA. Wat de verantwoorde en transparante inzet van algoritmen en AI binnen de overheid betreft, wordt daarnaast ook ingezet op instrumenten als het Algoritmeregister en het Algoritmekader. In mijn brief aan de Kamer van 20 april heb ik u tevens geïnformeerd over de wijze waarop het kabinet voornemens is het toezicht op de naleving van de Europese AI-verordening vorm te geven.4
Bij een verwerking van persoonsgegevens door een leverancier worden met deze leverancier afspraken gemaakt over de naleving van de mitigerende maatregelen. Deze maatregelen gelden voor de gehele toeleveranciersketen. De verwerkingsverantwoordelijke kan bij de leverancier informatie opvragen over de naleving van de betreffende maatregelen. Het uitvoeren van dergelijke assessments is een verantwoordelijkheid van de verwerkingsverantwoordelijke. -
Vraag 7
Bent u bereid om aanvullende richtlijnen of toetsingskaders te ontwikkelen voor samenwerking met technologiebedrijven die actief zijn in veiligheids- en surveillancedomeinen, die de digitale soevereiniteit ten goede komen? Zo nee, waarom niet?
In de NDS wordt onder de versneller versterking digitale weerbaarheid en digitale autonomie tevens gewerkt aan kaders die de digitale autonomie ten goede komen. Deze kaders worden sectorneutraal opgesteld, waardoor deze kaders naast het veiligheids- en surveillancedomein, ook in andere situaties gebruikt kunnen worden.
-
Vraag 8
Bent u bereid om, in navolging van het besluit van ABP, voortaan expliciet en vooraf te toetsen of samenwerkingen met technologiebedrijven zoals Palantir verenigbaar zijn met Nederlandse en Europese normen, en deze toets openbaar te maken? Zo nee, waarom niet?
Zoals uit de voorgaande antwoorden ook blijkt zijn er diverse instrumenten, of worden deze op dit moment ontwikkeld, waarmee getoetst wordt of, op welke wijze en met welke eventuele aanvullende maatregelen bepaalde diensten verenigbaar zijn met Nederlandse en Europese normen. Het openbaar maken van dergelijke toetsen is aan de opdrachtgevende organisatie zelf, maar is niet wettelijk verplicht. Er kunnen moverende redenen zijn om dit ook niet te doen.
-
Vraag 9
Zou u deze vragen afzonderlijk van elkaar kunnen beantwoorden?
Ja.
23 maart 2026 - 7 april 2026
15 dagen
Het Argos-bericht 'Nederland wil Amerikaanse onbemenste gevechtsvliegtuigen vol AI aanschaffen' |
|
Laurens Dassen (Volt) |
|
Derk Boswijk (CDA), Dilan Yeşilgöz-Zegerius (VVD) |
|
|
|
|
-
Vraag 1
Bent u bekend met het artikel «Nederland wil Amerikaanse onbemenste gevechtsvliegtuigen vol AI aanschaffen» van Argos?1
Ja.
-
Vraag 2
In uw Kamerbrief (Kamerstuk 36 592, nr. 60) geeft u aan: «Bij wijze van uitzondering en omdat ik in deze casus extra waarde hecht aan transparantie, informeer ik uw Kamer vooraf.» Klopt het dat u tot een brief over bent gegaan na vragen van Argos? Zo nee, waarom maakt u dan deze uitzondering?
Het besluit om de Kamer vooraf te informeren is gemaakt omdat ik voornemens ben om een Letter of Acceptance (LOA) te tekenen op 8 april aanstaande en zoals in de brief vermeld, waarde hecht aan transparantie en het tijdig informeren van de Kamer.
-
Vraag 3
Welke commitment geeft Nederland aan het CCA-programma, nu en in de toekomst, bij het tekenen van de letter of acceptance?
Defensie gaat met het tekenen van de LOA een eenmalige verplichting aan richting de Amerikaanse overheid in de bandbreedte 50–250 miljoen2. Daarmee krijgen Defensie en betrokken kennisinstellingen TNO en NLR als deelnemer aan het programma kennis en toegang tot data over het CCA testprogramma.
-
Vraag 4
In hoeverre zullen de vergaarde kennis en onderzoeksresultaten uit dit programma intellectueel eigendom zijn van de Nederlandse overheid?
Het programma deelt de experimentele data en analyses van het Amerikaanse testprogramma CCA met Nederland. Op grond van de LOA worden nadere samenwerkingsafspraken, onder andere op gebied van intellectueel eigendom, uitgewerkt.
-
Vraag 5
Op welke manier zullen de vergaarde kennis en onderzoeksresultaten later gebruikt kunnen worden ter bevordering van een Europees alternatief?
De opgebouwde kennis stelt Defensie in staat om in de toekomst beter geïnformeerde afwegingen te maken t.a.v. toekomstige materiaalverwerving. En geeft Nederland de mogelijkheid om beter geïnformeerd in eventuele andere Europese programma's te kunnen deelnemen, indien dit opportuun is in de toekomst.
-
Vraag 6
Kunt u aangeven waarvoor het benodigde budget van € 50–100 miljoen wordt gebruikt?
Om als partner in het Amerikaanse programma deel te nemen, betaalt Defensie een Buy in Fee in de vorm van een financiële bijdrage. Defensie en betrokken kennisinstellingen TNO en NLR krijgen als deelnemer aan het programma kennis en toegang tot data over CCA.
-
Vraag 7
Bent u voornemens om twee testtoestellen aan te schaffen?
Door Defensie worden geen testtoestellen aangeschaft, maar wordt toegang verkregen tot het Amerikaanse CCA-programma.
Oorspronkelijk, voorafgaand aan het ondertekenen van de LOI op 16 oktober 2025, ging Defensie er vanuit dat deelname aan het onderzoeksprogramma mogelijk was door middel van aanschaf van twee testtoestellen. Dit bleek anders, zoals ook in de LOA is verwoord. Er is door de Verenigde Staten gevraagd om een financiële bijdrage ter hoogte van de aankoop van twee testtoestellen voor deelname aan het CCA programma, waarna Nederland de beschikking krijgt over de testdata en analyse. De testtoestellen blijven eigendom van de Verenigde Staten. -
Vraag 8
Waarom is de Kamer in de voorgaande Kamerbrief (Kamerstuk 36 592, nr. 56) over CCA niet ingelicht over het aanschaffen van testtoestellen?
Het aanschaffen van testtoestellen is niet aan de orde, zie vraag 7.
-
Vraag 9
Worden er binnen het ministerie momenteel al vervolgstappen besproken om het inkooptraject van het CCA te vorderen, naast het aanschaffen van de twee testtoestellen? Zo ja, welke?
Nee, daar is hier geen sprake van.
-
Vraag 10
Op basis van welke gronden kan de Nederlandse overheid nog uit het project stappen?
Na ondertekening van de LOA zullen nadere afspraken gemaakt worden over de inrichting van de Nederlandse deelname middels een Project Arrangement. Volgens de LOA is het mogelijk om uit het project te stappen met inachtneming van annuleringskosten. De details van de annuleringsgronden- en kosten staan in de LOA toegelicht en zijn commercieel vertrouwelijk.
-
Vraag 11
Welke afspraken zijn daaromtrent gemaakt en welke kosten zijn daarmee gemoeid?
Zie antwoord vraag 10.
-
Vraag 12
Deelt u de zorg dat de verdere integratie van CCA met de vijfde generatie jachtvliegtuigen onze afhankelijkheid van het Amerikaanse defensie-ecosysteem vergroot? Waarom wel, waarom niet?
De doorontwikkeling van het vijfde generatie jachtvliegtuig staat los van Nederlandse deelname aan dit Amerikaanse CCA programma. Nederland maakt op dit moment geen aanschafkeuze in onbemenste jachtvliegcapaciteit.
-
Vraag 13
Deelt u de mening dat het onwenselijk is, gezien de huidige geopolitieke ontwikkelingen, dat Nederland verder geïntegreerd raakt in het Amerikaanse defensie-ecosysteem? Indien u deze zorg deelt, kunt u dan uitleggen hoe deze verdere integratie bijdraagt aan het onafhankelijker worden?
Als Nederland en Europa nemen we meer verantwoordelijkheid t.a.v. onze veiligheid en de verdediging van ons eigen continent. In het regeerakkoord is afgesproken om afhankelijkheden van buiten Europa af te bouwen en dat we voorop blijven in het toewerken naar een versterkte Europese pijler binnen de NAVO. Het Kabinet streeft daarom naar een meer gelijkwaardige trans-Atlantische relatie en een meer evenwichtige verdeling van de lasten binnen de NAVO. Echter houdt Defensie belang bij materieel- en industriesamenwerking met de VS, omdat we op bepaalde capaciteitsgebieden voorlopig afhankelijk zijn van kennis, onderdelen en ondersteuning vanuit de VS.
-
Vraag 14
Bent u ermee bekend dat Anduril nauw samenwerkt met Palantir?
Ja.
-
Vraag 15
Bent u bekend met de uitspraken van Anduril CEO Palmer Luckey: «So, to me, there's no moral high ground in using inferior technology, even if it allows you to say things like, «We never let a robot decide who lives and who dies,»» en van Palantir CEO Alex Karp «I love the idea of getting a drone and having light fentanyl-laced urine spraying on analysts that tried to screw us.»? In hoeverre bent u comfortabel met het uitbesteden van onze AI-defensiecapaciteiten aan deze personen?
Met deelname aan het programma wil Defensie kennis en data vergaren voor de mogelijke aanschaf, integratie en inzet van CCA in de verdere toekomst. Het gaat hier niet over het uitbesteden van defensiecapaciteiten. Daarnaast ga ik niet in op uitspraken van personen die geen betrekking hebben op CCA of de overeenkomst die ik van plan ben te sluiten met de Amerikaanse overheid.
-
Vraag 16
Kunt u reflecteren op de uitspraak over Palantir van Italiaanse onderzoeker Francesca Bria in Follow the Money: «Het is een arm van de Amerikaanse veiligheidsstaat: een particulier instrument van geopolitieke macht. Als Europese overheden hun tools kopen, kopen ze niet alleen software: ze geven soevereiniteit op. Als je in zo’n bedrijf investeert, financier je de oorlog tegen Europese democratie.»?
Er is geen sprake van aanschaf van Amerikaans materiaal, enkel deelname aan een programma. Hiermee kan Defensie de benodigde kennis en data vergaren om later de juiste investeringskeuzes te kunnen maken. Door deelname aan het Amerikaanse programma, vergaren we ook kennis die we in Nederland en in Europees verband kunnen benutten of inzetten. Binnen het programma krijgen de kennisinstituten TNO en NLR mogelijkheden voor samenwerking, het opdoen van de nodige kennis en het vergaren van data.
-
Vraag 17
Hoe verhoudt de samenwerking met deze bedrijven zich tot de verklaring over het gebruik van AI op Responsible AI in the Military Domain (REAIM), welke Nederland wel en de VS niet getekend hebben?
De software is gebaseerd op een open architectuur en geen eigendom van betrokken bedrijven, maar van de Amerikaanse overheid. Defensie behoudt de mogelijkheid om in samenwerking met de Nederlandse en Europese kennisinstellingen en industrie software te ontwikkelen conform de verklaring over Responsible AI in the Military Domain (REAIM).
-
Vraag 18
Hoe verhoudt de samenwerking zich met de uitspraken van Pete Hegseth, Amerikaanse Minister van Oorlog: «De AI van het Ministerie van Oorlog zal niet woke zijn.» en «Geen domme gevechtsregels, geen moeras van natie-opbouw, geen oefening in het bouwen van democratie, geen politiek correcte oorlogen»?
Defensie voert zijn activiteiten op het gebied van AI uit conform de verklaring over Responsible AI in the Military Domain.
-
Vraag 19
Heeft het ministerie contact gezocht met Italië, het Verenigd Koninkrijk, dan wel met Japan, om te verkennen wat hun plannen zijn voor onbemenste vliegtuigen en of Nederland daaraan kan bijdragen? Zo nee, waarom niet?
Defensie doet sinds 2023 onderzoek en heeft veelvuldig informeel contact gehad met verschillende partijen. Hieruit blijkt o.a. dat het Global Combat Air Program (GCAP) in een conceptstadium zit met een initiële focus op bemenste zesde generatie vliegtuigen als opvolger van de vierde generatie jachtvliegtuigen van Italië, het Verenigd Koninkrijk en Japan. Dit past nu niet bij de wens van Defensie om kennis te vergaren over onbemenste gevechtsvliegtuigen en daarom is niet formeel de vraag gesteld voor samenwerking.
-
Vraag 20
In de Kamerbrief van 19 maart schrijft u dat: «[twee Europese samenwerkingsprogramma’s] bieden op dit moment geen mogelijkheden tot deelname aan een kennis- en innovatieprogramma voor onbemenste gevechtsvliegtuigen.»; waarom heeft u er niet voor gekozen om deze in samenwerking met andere landen op te zetten en in plaats daarvan uit te wijken naar de Amerikanen?
Defensie verkent de mogelijkheden van deelname aan programma’s in de ontwikkeling van onbemenste systemen binnen en buiten Europa in het MOBIUS project, zoals vermeld in Kamerstuk 36 592 nr.60. Het doel is waar mogelijk kennis en ervaring op te doen, om in de toekomst beter geïnformeerde materiaalverwerving te kunnen doen. Het Amerikaanse CCA programma biedt nu de kans om kennis, data en analyses in de concept, test en ontwikkelfase te vergaren. Overige programma’s bieden dit vooralsnog niet, maar blijven nauwlettend gevolgd worden.
-
Vraag 21
Kunt u deze vragen apart en voor 8 april 2026 beantwoorden?
Ja.
23 maart 2026 - 7 april 2026
15 dagen
Het bericht ‘Nederland wil Amerikaanse onbemenste gevechtsvliegtuigen vol AI aanschaffen’ |
|
Michelle Jagtenberg (D66) |
|
Derk Boswijk (CDA) |
|
|
|
|
-
Vraag 1
Heeft u kennisgenomen van het artikel «Nederland wil Amerikaanse onbemenste gevechtsvliegtuigen vol AI aanschaffen»?1
Ja.
-
Vraag 2
Hoe voorziet u, naast toetreding tot het Amerikaanse CCA-programma, concreet aan te sluiten op Europese ontwikkelingen? Kunt u een plan van aanpak aan de Kamer verstrekken?
In de brief van 19 maart jl. (Kamerstuk 36 592 nr. 60) is toegelicht dat Defensie door deelneming in het CCA-programma nu concrete kansen kan benutten voor het opdoen van kennis tijdens de fase van test, onderzoek en ontwikkeling van onbemenste gevechtsvliegtuigen die kunnen samenwerken met bemenste jachtvliegtuigen. De twee genoemde grotere internationale samenwerkingsprogramma’s voor toekomstige jachtvliegtuigen, waar eventuele onbemenste gevechtscapaciteit onderdeel van uitmaakt, zijn in een beginstadium en bieden deze mogelijkheden (nog) niet. Dit neemt niet weg dat Defensie in het programma MOBIUS de mogelijkheden blijft verkennen van deelname aan andere programma’s voor kennisopbouw en ontwikkeling van dit soort systemen, wereldwijd en specifiek in Europees verband. Defensie werkt daarnaast in NAVO en in EU-verband en bilateraal met verschillende partners nauw samen op kennis- en innovatiegebied in het luchtdomein en wisselt in dit kader informatie uit over het opzetten van kansrijke projecten en initiatieven, waaronder op de gebieden van onbemenste systemen en autonomie.
-
Vraag 3
Wat betreft de ambitie om aan te sluiten op Europese alternatieven; hoe gaat u om met het risico dat het ene Europese alternatief, «Future Combat Aircraft System» met daarbij behorende onbemenste systemen («Remote Carriers»), zo goed als stukgelopen is, en het andere Europese alternatief «Global Combat Air Program» zich met name richt op een volgende generatie bemenste jachtvliegtuig?
Geïntegreerde onbemenste luchtsystemen kunnen de effectiviteit van bemenste gevechtsvliegtuigen aanzienlijk vergroten en zijn sneller en goedkoper te produceren dan traditionele bemenste gevechtsvliegtuigen. De ontwikkelingen gaan snel en het is daarom aannemelijk dat bestaande trajecten van Europese landen worden doorontwikkeld of aangevuld met nieuwe initiatieven voor de toekomstige integratie van onbemenste luchtsystemen. Door deelname aan het Amerikaanse programma kan Defensie nu kennis vergaren waarmee we voorop lopen in deze ontwikkeling. Dit kan ook van nut zijn bij eventueel toekomstige deelname aan programma’s met Europese partners.
-
Vraag 4
De wet- en regelgeving voor het gebruik van kunstmatige intelligentie bij militaire inzet staat nog in de kinderschoenen; wat is uw plan als de kunstmatige intelligentie in het Amerikaanse CCA-programma niet aansluit op Europese of Nederlandse standaarden? Hoe gaat u om met de risico’s? Bent u voornemens om, indien het niet aansluit, zelf alternatieven binnen Europese standaarden te ontwikkelen?
Het Amerikaanse CCA programma ontwikkelt de software in een open architectuur. Defensie behoudt de mogelijkheid om in samenwerking met de Nederlandse en Europese kennisinstellingen en industrie software te ontwikkelen conform Nederlandse dan wel Europese standaarden.
-
Vraag 5
In uw recente Kamerbrief van 19 maart 2026 (Kamerstuk 36 592, nr. 60) schrijft u mogelijkheden te onderzoeken om de Nederlandse innovatieve industrie aan te laten sluiten bij de ontwikkeling van CCA in de toekomst; bent u bereid te verkennen of Nederland het voortouw kan nemen in de Europese ontwikkeling van onbemenste systemen zoals «Collaborative Combat Aircraft» of «Remote Carriers», overwegende dat dit complementair kan zijn aan huidige internationale initiatieven en de kennis en kunde in Nederland beschikbaar is?
Defensie verkent de mogelijkheden van deelname aan programma’s in de ontwikkeling van onbemenste systemen binnen en buiten Europa in het MOBIUS project. Deelname aan het Amerikaanse CCA programma biedt unieke kansen op kennisopbouw om deze verkenning zorgvuldig uit te kunnen voeren.
-
Vraag 6
Kunt u de vragen afzonderlijk van elkaar en zo spoedig mogelijk beantwoorden?
Ja.
18 maart 2026 - 8 april 2026
21 dagen
Het bericht ‘Bescherm de lichamelijke integriteit van vrouwen, ook in de digitale wereld’ |
|
Queeny Rajkowski (VVD), Bart Bikkers (VVD) |
|
David van Weel (VVD), Aerdts |
|
|
|
-
Vraag 1
Bent u bekend met het bericht «Bescherm de lichamelijke integriteit van vrouwen, ook in de digitale wereld»?1
Ja.
-
Vraag 2
Hoe oordeelt u over het feit dat informatie van vrouwen over vruchtbaarheid, hun menstruatiecyclus en (het afbreken van) een eventuele zwangerschap wordt doorverkocht en gedeeld met bedrijven?
Dergelijke informatie zal in de regel kwalificeren als bijzondere categorieën van persoonsgegevens, waarop de Algemene Verordening Gegevensbescherming (AVG) van toepassing is. Als in de hier genoemde gevallen sprake is van een dergelijke doorverkoop zonder expliciete toestemming, en van een onrechtmatige verwerking van dergelijke bijzondere persoonsgegevens, dan vind ik dat verontrustend. Het verwerken van deze persoonsgegevens is immers verboden, tenzij er een uitzonderingsgrond van toepassing is, bijvoorbeeld wanneer uitdrukkelijke toestemming is gegeven. Het Hof van Justitie van de Europese Unie (HvJEU) heeft geoordeeld2 dat het begrip «bijzondere persoonsgegevens» in dit soort gevallen ruim dient te worden uitgelegd. Persoonlijke gegevens die bij het online bestellen van geneesmiddelen worden ingevoerd, zoals namen en adressen, zijn naar het oordeel van het HvJEU in beginsel gezondheidsgegevens. De verkoop daarvan aan derde partijen, zonder dat er een mechanisme bestaat dat de klant hiervoor vooraf uitdrukkelijke toestemming laat geven, is in strijd met de AVG.
Het beoordelen van een specifieke situatie is echter aan de bevoegde toezichthoudende autoriteiten; in Nederland is dat de Autoriteit Persoonsgegevens (AP). De AP is bij uitstek bevoegd om stappen te ondernemen wanneer sprake is van een overtreding van de regels die zijn neergelegd in de AVG. Het kabinet beschikt niet over bevoegdheden om daarover uitspraken te doen en zou op de stoel van de toezichthouder gaan zitten als het dat deed. -
Vraag 3
Hoe beoordeelt u het feit dat deze data lijkt te worden gedeeld met landen of bedrijven die zich buiten Europa bevinden en waar vrouwenrechten, zoals het recht op abortus, onder druk staan?
Persoonsgegevens mogen alleen naar zogeheten derde landen (landen buiten de Europese Economische Ruimte) worden doorgegeven als een van de in de AVG genoemde specifieke uitzonderingen van toepassing is. Dat kan het geval zijn als de Europese Commissie (EC) heeft vastgesteld dat dit land een passend beschermingsniveau biedt, of als de doorgifte is voorzien van passende waarborgen en de betrokkenen over afdwingbare rechten en doeltreffende rechtsmiddelen beschikken. De beoordeling hiervan in specifieke gevallen vereist een juridische en feitelijke oordeelsvorming door de onafhankelijke toezichthouder.
-
Vraag 4
Klopt het dat gegevens over onder andere menstruatie, miskramen, zwangerschapstesten en het gebruik van morning-afterpillen volgens de privacywetgeving als bijzondere persoonsgegevens gelden? Zo nee, waarom niet? Zo ja, klopt het dat deze bijzondere persoonsgegevens niet zonder medeweten van degene waar het om gaat verkocht mogen worden?
Zie antwoord vraag 2.
-
Vraag 5
Deelt u onze zorg dat bedrijven die zichzelf profileren als vóór de vrouwengezondheid en als een betrouwbare partij, terwijl zij zonder uitdrukkelijke toestemming bijzondere persoonsgegevens van gebruikers doorverkopen, misleidend te werk gaan? Zo ja, welke rol ziet u hierbij voor de Autoriteit Consument & Markt of de Autoriteit Persoonsgegevens?
Deze zorg deel ik. Wanneer inderdaad sprake is van onrechtmatige verwerkingen van dergelijke bijzondere persoonsgegevens, dan vind ik dat verontrustend. Voor mogelijke schending van consumenten- en gegevensbeschermingsrecht kunnen gebruikers zich tot de toezichthoudende autoriteit wenden. Voor zover het de naleving betreft van de AVG is dat de AP. De AP kan onderzoek instellen naar de naleving van de gegevensbeschermingswetgeving, kan boetes en dwangsommen opleggen alsook stopzetting van gegevensverwerkingen gelasten. Met betrekking tot de naleving van het consumentenrecht kan een melding worden gedaan bij de Autoriteit Consument en Markt (ACM).
-
Vraag 6
Bent u bereid om in gesprek te gaan met de toezichthouders, en waar nodig partners op Europees niveau, om zo snel mogelijk de lichamelijke integriteit van vrouwen en mensen ook digitaal te beschermen zodat voorkomen wordt dat hormonale kwetsbaarheden worden geëxploiteerd voor commercieel gewin, zonder dat vrouwen dat weten? Zo nee, waarom niet?
Het arrest van het HvJEU d.d. 4 oktober 2024 waaraan ik heb gerefereerd in de antwoorden op de vragen 2 en 4, heeft de brede werkingssfeer van de AVG bevestigd door een ruime interpretatie van het begrip «gezondheidsgegevens», door ook online aankopen van receptvrije geneesmiddelen daaronder (en daarmee onder de strikte regels voor bijzondere persoonsgegevens) te brengen. Ik zou niet willen concluderen dat er sprake is van lacunes in de wetgeving; veeleer wringt het bij de naleving daarvan door verwerkingsverantwoordelijken. Het doen van onderzoek daarnaar is als gezegd een taak van de onafhankelijke toezichthouder. Op grond van artikel 52 AVG treedt de AP daarbij volledig onafhankelijk op en blijft zij vrij van al dan niet rechtstreekse externe invloed en vragen, noch aanvaardt zij instructies van wie dan ook. Deze onafhankelijkheid vind ik belangrijk en ik wil deze dan ook niet doorkruisen.
-
Vraag 7
Bent u bereid te onderzoeken of de huidige wetgeving afdoende is, of dat er nog aanvullende wetgeving of beleid nodig is? Zo nee, waarom niet?
Zie antwoord vraag 6.
12 maart 2026 - 24 april 2026
43 dagen
Het bericht dat 3,3 miljard euro aan IT-aanbestedingen van de Rijksoverheid is stopgezet |
|
Barbara Kathmann (PvdA), Laurens Dassen (Volt) |
|
David van Weel (VVD), Aerdts , Eric van der Burg (VVD) |
|
|
|
|
Bronnen
1. Financieel Dagbland, 9 maart 2026, Rechter dwarsboomt IT-aanbesteding rijksoverheid van € 3 mrd (fd.nl/bedrijfsleven/1588448/rechter-dwarsboomt-it-aanbesteding-rijksoverheid-van-3-mrd?utm_medium=social&utm_source=app&utm_campaign=earned&utm_content=20260309&utm_term=app-ios).
2. ECLI:NL:RBDHA:2025:27115, Rechtbank Den Haag, C/09/691174 KG ZA 25–880 (3 februari 2026).
2. ECLI:NL:RBDHA:2025:27115, Rechtbank Den Haag, C/09/691174 KG ZA 25–880 (3 februari 2026).
3. Zie o.a. de initiatiefnota van de leden Six Dijkstra en Kathmann «Wol…
3. Zie o.a. de initiatiefnota van de leden Six Dijkstra en Kathmann «Wol…
4. Europese aanbesteding EAP2025 MJenV (www.tenderned.nl/aankondigingen/…
4. Europese aanbesteding EAP2025 MJenV (www.tenderned.nl/aankondigingen/…
5. Letterlijk wordt er gevraagd naar: «De levering van Standaardprogrammatuur en Dienstverlening van Vendor Microsoft en daaraan gerelateerde open source toepassingen aan de pakketten van Vendor Microsoft.»
5. Letterlijk wordt er gevraagd naar: «De levering van Standaardprogrammatuur en Dienstverlening van Vendor Microsoft en daaraan gerelateerde open source toepassingen aan de pakketten van Vendor Microsoft.»
6. Aanbestedingswet 2012 (wetten.overheid.nl/BWBR0032203/2025-09-01#Deel2).
6. Aanbestedingswet 2012 (wetten.overheid.nl/BWBR0032203/2025-09-01#Deel2).
7. Aanbestedingwet 2012, artikel 1.10a, lid 2: «De mededinging is kunstmatig beperkt indien de overheidsopdracht, speciale-sectoropdracht of concessieopdracht is ontworpen met het doel bepaalde ondernemers ten onrechte te bevoordelen of te benadelen.»
7. Aanbestedingwet 2012, artikel 1.10a, lid 2: «De mededinging is kunstmatig beperkt indien de overheidsopdracht, speciale-sectoropdracht of concessieopdracht is ontworpen met het doel bepaalde ondernemers ten onrechte te bevoordelen of te benadelen.»
-
Vraag 1
Bent u bekend met het bericht: «Rechter dwarsboomt IT-aanbesteding rijksoverheid van € 3 mrd» (Financieel Dagblad, 9 maart 2026)?1
Ja.
-
Vraag 2
Bent u eveneens bekend met de uitspraak van de rechter in Den Haag, die stelt dat twee IT-aanbestedingen van de Rijksoverheid ter waarde van 3,3 miljard euro gestaakt moeten worden?2
Ja.
-
Vraag 3
Wat is uw reactie op de berichtgeving en de rechterlijke uitspraak?
De Staat werkt momenteel aan verduidelijking en, waar nodig, aanpassing van de aanbestedingsvoorwaarden, in lijn met het vonnis.
Mede omdat de zaak onder de rechter is, wordt niet in algemene zin ingegaan op de berichtgeving. Dat is anders ten aanzien van concrete vragen die de Kamer stelt. -
Vraag 4
Kunt u toelichten welke aanpassingen u gaat doorvoeren of al heeft doorgevoerd in de aanbestedingsvoorwaarden om aan de rechterlijke uitspraak te voldoen?
Nee, op dit moment nog niet. Het onderzoek naar de mogelijkheden om de aanbestedingsvoorwaarden te verduidelijken danwel aan te passen loopt nog.
-
Vraag 5
Zouden de IT-aanbestedingen, indien ze doorgang vinden, de digitale autonomie van Nederland vergroten of verkleinen? Kunt u dit onderbouwen?
Op dit moment kan niet concreet worden gezegd of de aanbestedingen de digitale autonomie van Nederland vergroten danwel verkleinen. Echter, op de Europese Aanbesteding Programmatuur 2025 (EAP-2025) aanbestedingen waren en blijven de Algemene Rijksvoorwaarden bij IT-overeenkomsten (ARBIT) van toepassing. De ARBIT bevat ook voorwaarden die bijdragen aan digitale autonomie en soevereiniteit, zoals voorwaarden met betrekking tot exit, opzegging, ontbinding en informatieveiligheid.
Met de aanbestedingen wordt beoogd raamovereenkomsten te sluiten met daartoe geschikt bevonden resellers. Dat zijn resellers die zich aan de aanbestedingsvoorwaarden conformeren. De deelnemers doen binnen de raamovereenkomsten met de resellers nadere uitvragen voor de levering van specifieke producten. De impact op de digitale autonomie is vooral afhankelijk van de inhoud van deze nadere uitvragen. -
Vraag 6
Hoe houdt u de komende vier jaar de mogelijkheid om de afhankelijkheid van Amerikaanse techbedrijven via aanbestedingen te verkleinen conform de wens van de Tweede Kamer,3 nu u middels een raamovereenkomst de voorwaarden voor nieuwe inkoop jarenlang vastlegt?
Bij aanpassing van de aanbestedingsstrategie en -voorwaarden wordt, waar van toepassing en mogelijk, (nieuw) rijksbreed beleid geborgd, waaronder rijksbreed beleid inzake digitale autonomie en soevereiniteit.
Deelnemers moeten binnen hun inkoopvraagstukken borgen dat zij gericht besluiten nemen inzake de reductie van het risico op afhankelijkheid. Dat betekent dat zij bestaande producten vervangen door alternatieven die minder / geen risico op afhankelijkheid kennen. Voor nieuwe producten dienen zij voor hun nadere uitvragen binnen de raamovereenkomsten aanvullende eisen en voorwaarden op te nemen, passend bij de specifieke opdracht, om te borgen dat het risico op afhankelijkheid beheersbaar blijft. -
Vraag 7
Ziet u met de rechterlijke uitspraak en de noodzaak om de aanbestedingsvoorwaarden aan te passen ook de mogelijkheid om digitale autonomie zwaarder mee te wegen als criterium?
Deze vraag kan op dit moment nog niet worden beantwoord. De categorie Software Rijk onderzoekt nog of en zo ja, in welke mate de aanbestedingsvoorwaarden ten aanzien van digitale soevereiniteit en autonomie verder moeten worden aangepast.
-
Vraag 8
Welke gevolgen heeft de rechterlijke uitspraak voor de twee IT-aanbestedingen ter waarde van 3,3 miljard euro? Kunt u een overzicht geven van lopende contracten waar deze uitspraak mogelijk ook gevolgen voor heeft?
Voor het antwoord op de eerste vraag wordt verwezen naar het antwoord op vraag 3. De aanbestedingen zijn gestaakt. De Staat onderzoekt de noodzaak en mogelijkheden voor aanpassing of herziening van de aanbestedingsvoorwaarden en neemt op basis van de bevindingen een besluit inzake de vervolgaanpak. Ter overbrugging zijn de bestaande raamovereenkomsten verlengd, om te voorkomen dat de inkoop van standaardprogrammatuur tussentijds stilvalt.
De uitspraak van de rechter heeft gevolgen voor alle opdrachten (nadere overeenkomsten) die worden afgesloten onder de verlengde raamovereenkomsten van het Ministerie van Defensie en van het Ministerie van Justitie en Veiligheid. De ministeries zijn hierover geïnformeerd. -
Vraag 9
Wat is het doel en de noodzaak van de twee IT-aanbestedingen? Welke diensten zouden precies ingekocht worden bij Microsoft en Oracle, en in welke ministeries en overheidsorganisaties zouden deze gebruikt worden?
Zoals toegelicht bij vraag 6 is het doel van de aanbestedingen om voor de inkoop van standaardprogrammatuur (zowel nieuwe, als uitbreidingen op bestaande software) een duidelijk en rechtmatig afsprakenkader te creëren. Deze aanbestedingen hebben niet specifiek betrekking op software van Microsoft of Oracle.
De noodzaak van de aanbestedingen is drieledig, namelijk:
Diensten die worden ingekocht zijn: de levering van standaardsoftware, onderhoud en support, helpdeskondersteuning, adviesdiensten, installatie en configuratie van standaardsoftware en trainingen en opleidingen.
De aanbestedingen worden uitgevoerd ten behoeve van het Ministerie van Defensie en het Ministerie van Justitie en Veiligheid. De lijst met deelnemende organisaties staat onderaan de beantwoording van deze lijst met vragen en antwoorden. -
Vraag 10
Waarom vraagt u in de aanbesteding voor deze grote IT-projecten om «levering van standaardprogrammatuur van vendor Microsoft» in plaats van dat u de technische eisen uitvraagt van de software die u wil inkopen?4
Binnen de lopende raamovereenkomsten moet het voor deelnemers mogelijk zijn om, indien nodig, het aantal licenties voor het gebruik, onderhoud en/of beheer van deze programmatuur uit te kunnen breiden. Een uitvraag op basis van technische eisen kan leiden tot aanbod van een ander typen licenties, hetgeen praktisch niet wenselijk is en tot kostenverhoging kan leiden.
-
Vraag 11
Wat bedoelt u met «gerelateerde open source toepassingen» aan de standaardprogrammatuur van Microsoft? Op welke toepassingen gaat dit, en waarom neemt u deze af via de tussenhandelaar?5
Met «gerelateerde open source toepassingen» aan de standaardprogrammatuur van Microsoft wordt de closed source- en open source, software bedoeld die softwareleveranciers gebruiken voor het leveren van hun software(diensten). Dat is ook van toepassing voor software(diensten) van Microsoft (Perceel6. Binnen deze aanbesteding is het leveren van open-source software(diensten) voorbehouden aan een ander Perceel, Perceel 2. Om te voorkomen dat dit voorbehoud ervoor zorgt dat de software van de softwareleverancier in Perceel 1 niet meer werkt, danwel wordt uitgesloten, omdat deze open source software bevat, is de uitzonderingsgrond toegevoegd dat ook software(diensten) met gerelateerde open source toepassingen in Perceel 1 kunnen worden aangeboden.
De Staat neemt deze oplossingen af via resellers omdat de Staat de software op deze wijze op basis van eenduidige voorwaarden (ARBIT) in kan kopen. -
Vraag 12
Hoe verhoudt het niet opnemen van technische eisen voor de af te nemen software zich tot artikel 2.75–2.77 van de Aanbestedingswet 2012, nu ook de term «of gelijkwaardig» (2.76, lid 4, subartikel b) ontbreekt?6
De EAP-aanbestedingen leiden tot raamovereenkomsten met meerdere resellers die in principe alle gangbare standaardprogrammatuur (> 4.000) kunnen leveren. De concrete, technische eisen worden niet in de raamovereenkomst vastgelegd, maar pas bij elke afzonderlijke nadere offerteaanvraag van een deelnemer. Die offerteaanvraag kan:
Waar de Aanbestedingswet 2012 een lichter regime of een uitzondering toestaat, geldt die ook voor de betreffende nadere offerteaanvraag voor standaardprogrammatuur en bijbehorende dienstverlening. Dat kan bijvoorbeeld in de volgende situaties:
Samengevat: de technische specificaties worden per opdracht geformuleerd binnen het raamwerk, en waar de wet uitzonderingen of een lichter regime toelaat, wordt dat op die specifieke nadere offerteaanvraag toegepast. -
Vraag 13
Zijn de toepasselijke (verplichte of aanbevolen) standaarden van het Forum Standaardisatie uitgevraagd in deze aanbestedingen? Zo nee, waarom niet, en hoe verzekert u dan dat ook gegadigden naast Microsoft en Oracle aan de aanbesteding kunnen voldoen?
Ja, de standaarden van het Forum Standaardisatie zijn uitgevraagd.
-
Vraag 14
Zijn de IT-aanbestedingen gericht op het inkopen van software of het vinden van softwareverkopers? Gaan deze aanbestedingen niet feitelijk over het aangaan van een licentieovereenkomst, waarbij het softwarebedrijf als rechthebbende eenzijdig de voorwaarden bepaalt?
De EAP-aanbestedingen zijn gericht op het contracteren van meerdere resellers (softwareverkopers) die binnen de raamovereenkomst in principe alle gangbare standaardprogrammatuur (>4.000 softwareproducten) kunnen leveren.
De deelnemers doen binnen de (rijksinkoopvoorwaarden van de) raamovereenkomst bij de gecontracteerde resellers nadere offerteaanvragen die leiden tot het aangaan van licentieovereenkomsten. De licentieovereenkomsten worden echter gesloten onder de voorwaarden van de Rijksoverheid en niet eenzijdig onder voorwaarden van de softwareleverancier. -
Vraag 15
Zijn Microsoft en Oracle de énige techbedrijven die kunnen voldoen aan de technische en operationele eisen die u stelt in de aanbesteding? Zo ja, bent u het dan met de indieners eens dat de aanbesteding toeschrijft naar Microsoft en Oracle?
Nee, niet alleen Microsoft of Oracle kunnen aan de aanbestedingseisen voldoen.
De EAP-aanbestedingen leiden tot raamovereenkomsten met meerdere resellers die in principe een zeer breed scala aan standaardprogrammatuur (meer dan 4.000 producten) kunnen leveren. De EAP2025-aanbestedingen schrijven daarom niet toe naar Microsoft of Oracle. -
Vraag 16
Wat bedoelt de Staat met de stelling dat «80 tot 85% van de offerteaanvragen een productgerichte offerteaanvraag [betreft]»? Kan er sprake zijn van een open aanbesteding als het merendeel van offertes om één specifiek product vraagt?
Met «80–85%» wordt gedoeld op het aandeel nadere offerteaanvragen dat productgericht is en middels minicompetities binnen de raamovereenkomsten wordt uitgevraagd. Het doen van productgerichte uitvragen binnen een raamovereenkomst is wettelijk toegestaan in die gevallen waar de Aanbestedingswet 2012 een lichter regime of een uitzondering toestaat. Zie ook de beantwoording op vraag 12.
De aanbesteding is open want deze heeft tot doel meerdere opdrachtnemers te contracteren die in staat zijn om de gevraagde standaard programmatuur te kunnen leveren. -
Vraag 17
Hoeveel van deze 80 tot 85% van deze productgerichte offerteaanvragen worden uiteindelijk bij Microsoft en Oracle afgenomen? Kunt u dit inzichtelijk maken?
Nee, die informatie kan niet inzichtelijk worden gemaakt, omdat deze informatie niet centraal wordt geregistreerd.
-
Vraag 18
Zorgen deze productgerichte offerteaanvragen ervoor dat het op voorhand vrijwel zeker is dat software van Microsoft en Oracle zal worden gekozen? Zo nee, waarom is er dan gekozen voor productgerichte offerteaanvragen? Zo ja, is het dan terecht om te stellen dat er sprake is van een vendor lock-in?
Nee, een productgerichte offerteaanvraag zorgt ervoor dat door één van de gecontracteerde resellers een specifiek product (standaardprogrammatuur) wordt uitgevraagd en geleverd. Dit kan Microsoft of Oracle betreffen, maar ook andere standaardprogrammatuur.
Voor een productgerichte uitvraag wordt gekozen, omdat er bijvoorbeeld sprake is van uitbreiding van de licenties van een oplossing die reeds in gebruik is. Zie ook de beantwoording van vraag 12.
Een productgerichte uitvraag betekent op zichzelf niet dat sprake is van een vendor lock-in. -
Vraag 19
Deelt u de analyse van de indiener dat deze mate van productgerichte offerteaanvragen een vendor lock-in van enkele grote techbedrijven in de hand speelt? Zo nee, kunt u onderbouwen dat dit niet het geval is?
Nee, de analyse wordt niet gedeeld.
In de vraag worden oorzaak en gevolg omgedraaid. Immers, het uitgangspunt is dat een deelnemer standaardprogrammatuur functioneel uitvraagt, tenzij op grond van de Aanbestedingswet 2012 voor de concrete opdracht een lichter regime of een uitzondering geldt. In dat geval kan de deelnemer een productgerichte uitvraag doen bij de gecontracteerde reseller.
Een vendor lock-in kan ontstaan ná ingebruikneming van de oplossing met de beste prijs-kwaliteitverhouding. In die situatie kan die afhankelijkheid een grond zijn om bij uitbreidingen of vernieuwing productgericht uit te (moeten) vragen. -
Vraag 20
Is software van Microsoft en Oracle de enige manier om uw dienstverlening te kunnen handhaven? Zo nee, waarom is dan gekozen voor de productgerichte offerteaanvragen?
Nee, software van Microsoft en Oracle is niet de enige manier om dienstverlening te kunnen handhaven. De vraag of een deelnemer zonder software van bijvoorbeeld Microsoft, Oracle of een andere fabrikant kan, wordt op deelnemer niveau vastgesteld.
Centraal inzicht in overwegingen die ten aanzien van besluitvorming over offerteaanvragen van individuele deelnemers ten grondslag ligt, ontbreekt; die gegevens zijn niet centraal bijgehouden en geregistreerd. -
Vraag 21
Is dezelfde constructie met productgerichte offerteaanvragen, met sublicentiëring via tussenhandelaren, eerder toegepast bij IT-aanbestedingen van de Rijksoverheid, zoals gesteld wordt in de berichtgeving? Zijn er lopende contracten waarbij dezelfde constructie van toepassing is?
Ja, dezelfde constructie met productgerichte offerteaanvragen, met sublicentiëring via tussenhandelaren is eerder toegepast bij uitgevoerde aanbestedingen voor raamovereenkomsten van de Rijksoverheid inzake de levering van standaardprogrammatuur.
Ja, er zijn lopende contracten waarbij dezelfde constructie van toepassing is. -
Vraag 22
Hoe verhouden deze productgerichte offerteaanvragen bij Microsoft en Oracle zich tot de Aanbestedingswet 2012, artikel 1.10a, in het bijzonder lid 2, namelijk het verbod om opdrachten te ontwerpen «met het doel bepaalde ondernemers ten onrechte te bevoordelen»?7
In dit kader kan worden verwezen naar het antwoord op vraag 18. Overigens zien productgerichte uitvragen niet alleen toe op Microsoft en Oracle. De gronden om productgericht uit te vragen, gelden in gelijke mate voor de softwareproducten (> 4.000) van alle vendors.
-
Vraag 23
Bent u bekend met (in omvang) vergelijkbare aanbestedingen van ICT die op een soortgelijke manier, door het noemen van de merknaam, een of meer Europese leveranciers bevoordelen? Zo ja, welke zijn dat? Zo nee, waarom is dit bij Amerikaanse bedrijven dan wel het geval?
Nee. In dit kader kan verder worden verwezen naar de beantwoording op vraag 10.
De aanbestedingen richten zich niet specifiek op de levering van producten van Amerikaansen vendors, maar op producten (> 4.000) die de deelnemers via de gecontracteerde resellers afnemen. -
Vraag 24
Kunt u alle relevante stukken die betrokken zijn bij de (voorbereiding van) deze twee IT-aanbestedingen aan de Kamer doen toekomen, inclusief risico-analyses en voorbereidende notities?
Ja, in de bijlagen treft u de relevante aanbestedingsstukken en nota’s van inlichtingen aan.
-
Vraag 25
Kunt u deze vragen afzonderlijk van elkaar beantwoorden, en toezeggen dat u de IT-aanbestedingen niet doorzet totdat deze juridisch houdbaar zijn en de Kamer volledig is geïnformeerd?
De vragen zijn afzonderlijk van elkaar beantwoord.
Toegezegd wordt dat de aanbestedingen worden voortgezet nadat op basis van de resultaten van de in- en externe consultaties een besluit is genomen over de (mate van) aanpassing van de aanbestedingsvoorwaarden en de vervolgaanpak. De Kamer zal tegelijkertijd met de markt worden geïnformeerd op de wijze waarop de aanbesteding zal worden hervat.
11 maart 2026 - 8 april 2026
28 dagen
Het bericht 'Odido-routers stuurden klantgegevens naar Amerikaans AI-bedrijf' |
|
Sarah El Boujdaini (D66) |
|
Aerdts , David van Weel (VVD) |
|
|
|
|
-
Vraag 1
Bent u bekend met het bericht dat telecomprovider Odido zonder medeweten van klanten MAC-adressen en apparaatnamen uit consumentenrouters heeft doorgestuurd naar een Amerikaans AI-bedrijf?1
Ja.
-
Vraag 2
Kunt u toelichten in hoeverre MAC-adressen en apparaatnamen volgens de Algemene verordening gegevensbescherming (AVG) als persoonsgegevens kunnen worden beschouwd?
Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon kan een persoonsgegeven zijn (artikel 4, eerste lid, van de Algemene Verordening Gegevensbescherming, AVG). Ook een MAC-adres of een apparaatnaam kan als persoonsgegeven worden beschouwd.
-
Vraag 3
Hoe beoordeelt u de privacyrisico’s van het verzamelen en delen van deze gegevens, omdat daarmee mogelijk ook huishoudens kunnen worden herkend of gevolgd?
Het is van belang dat persoonsgegevens worden verwerkt op een wijze die rechtmatig, behoorlijk en transparant is. Een verwerking is bijvoorbeeld rechtmatig, als er toestemming voor is gegeven, een gerechtvaardigd belang is of als de verwerking noodzakelijk is voor de uitvoering van een overeenkomst. Het is niet aan het kabinet binnen het stelsel van de AVG om in te gaan op individuele gevallen, maar in eerste instantie aan de Autoriteit Persoonsgegevens (AP). De taken en bevoegdheden om op te treden tegen overtredingen zijn vastgelegd in de AVG. De AP kan daartoe handhavend optreden, advies verstrekken en klachten behandelen over een inbreuk op de bescherming van persoonsgegevens. Zij toetst of sprake is van strijdigheid met de Europese gegevensbeschermingsregels. De AP is op de hoogte van de genoemde berichtgeving over Odido.
-
Vraag 4
Hoe beoordeelt u het feit dat deze gegevens naar een Amerikaans AI-bedrijf zijn doorgestuurd?
Doorgifte van persoonsgegevens naar een bedrijf dat buiten de Europese Economische Ruimte (EER) is gevestigd is op grond van de AVG alleen toegestaan onder voorwaarden. Persoonsgegevens mogen alleen buiten de EER worden verwerkt in overeenstemming met de voorwaarden voor dergelijke doorgiften die zijn vastgelegd in hoofdstuk V van de AVG. Bijvoorbeeld als de Europese Commissie een adequaatheidsbesluit heeft genomen of dat er door het bedrijf passende waarborgen zijn genomen. Of in deze casus wel of geen grondslag was voor het al dan niet delen van deze gegevens buiten de EER, evenals de vraag of de waarborgen van hoofdstuk V van de AVG in acht zijn genomen, is niet aan het kabinet om te beoordelen, maar aan de toezichthouder. De AP is op de hoogte van de genoemde berichtgeving over Odido.
-
Vraag 5
Deelt u de opvatting van de Autoriteit Persoonsgegevens dat MAC-adressen kunnen worden beschouwd als persoonsgegevens? Zo ja, welke eisen gelden voor het verzamelen en delen van deze gegevens door telecomproviders?
Ja. Zie het antwoord op vraag 2. De AVG geeft algemene regels voor de verwerking van persoonsgegevens. Daarnaast stelt de Telecommunicatiewet specifieke regels voor telecomaanbieders.
-
Vraag 6
Welke risico’s ziet u voor de privacy en veiligheid van burgers wanneer grote hoeveelheden metadata over wifi-netwerken en apparaten worden verzameld en mogelijk gecombineerd met andere datasets?
Dat hangt af van de omstandigheden van het geval. Een risico dat volgt uit het niet naleven van de AVG is in ieder geval dat de betrokkenen hun rechten niet (volledig) kunnen uitoefenen. Denk hierbij aan het inzien, corrigeren, of verwijderen van hun eigen persoonsgegevens.
-
Vraag 7
Is de Autoriteit Persoonsgegevens betrokken bij deze kwestie en wordt onderzocht of Odido de privacyregels heeft nageleefd?
De AP is op de hoogte van de genoemde berichtgeving over Odido. Het is aan de AP om opheldering te vragen aan Odido.
-
Vraag 8
Welke stappen verwacht u van Odido richting klanten, bijvoorbeeld om hen te informeren over welke gegevens zijn gedeeld en welke maatregelen worden genomen om dit in de toekomst te voorkomen?
Dit is niet aan het kabinet, maar in eerste instantie aan de AP. De AP toetst of sprake is van strijdigheid met de Europese gegevensbeschermingsregels. In zijn algemeenheid hangt het van meerdere factoren af. Onder andere de vraag of er een grondslag is voor het verwerken van deze gegevens en, indien er sprake is van doorgifte buiten de EER, of de waarborgen van de AVG in acht zijn genomen.
-
Vraag 9
Ziet u aanleiding om strengere eisen te stellen aan telecomproviders die AI-diensten gebruiken, zodat gegevens van gebruikers beter worden beschermd en transparanter wordt omgegaan met dataverzameling?
Nee. De AVG geeft duidelijke regels voor de bescherming van persoonsgegevens. Daarnaast stelt de Telecommunicatiewet specifieke regels voor telecomaanbieders. Ook de AI-verordening kent een duidelijke set van regels. Er is wel aanleiding om het gesprek te voeren met het veld, waaronder telecomaanbieders, over de bescherming van persoonsgegevens in de praktijk. Vervolgens zal dit betrokken worden bij het voornemen om de toepassing van de AVG in Nederland tegen het licht te houden.
-
Vraag 10
Kunt u de vragen afzonderlijk beantwoorden en dit doen voor 23 maart 2026 vanwege het wetgevingsoverleg over de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten?
Dat is helaas niet gelukt.
9 maart 2026 - 24 april 2026
46 dagen
Het bericht 'Onderzoek naar Amerikaanse cloud-risico’s door ministerie van overheidswebsite verwijderd' |
|
Laurens Dassen (Volt) |
|
Aerdts |
|
|
|
|
Bronnen
1. Onderzoek naar Amerikaanse cloud-risico’s door Ministerie van overheidswebsite verwijderd, de Volkskrant, 5 maart 2026.
2. Kamerstuk 36 800, nr. 61, Nota over de toestand van ’s Rijks Financië…
2. Kamerstuk 36 800, nr. 61, Nota over de toestand van ’s Rijks Financië…
-
Vraag 1
Bent u bekend met het Volkskrant-bericht «Onderzoek naar Amerikaanse cloud-risico’s door Ministerie van overheidswebsite verwijderd» (d.d. 5 maart 2026)?1
Ja.
-
Vraag 2
Hoe beoordeelt u de conclusie van experts dat de risico’s die overheden lopen door het gebruik van de nieuwe clouddienst van Amazon worden onderschat?
Het rapport beoogt een objectieve juridische beoordeling te geven van de juridische onderzoeksvragen die in het rapport geformuleerd zijn. Het onderzoek heeft samengevat de volgende bevindingen opgeleverd:
-
Vraag 3
Bent u voornemens gebruik te maken van de nieuwe clouddienst van Amazon? Waarom wel of niet?
Zoals aangegeven in het coalitieakkoord is de inzet van het kabinet erop gericht om eenzijdige afhankelijkheden van derde landen af te bouwen en zoveel mogelijk te diversifiëren, ook op digitaal vlak. Vanuit deze inzet zullen ook nieuwe ontwikkelingen op de cloudmarkt overwogen worden.
-
Vraag 4
Bent u bekend met de aangenomen motie van het lid Dassen (Kamerstuk 36 800, nr. 61) over het volledig overstappen op Europese, op open standaarden gebaseerde digitale alternatieven voor de digitale infrastructuur?2
Ja.
-
Vraag 5
Hoe verhoudt het publiceren, en naar aanleiding van deskundige kritiek weer verwijderen, van dit rapport zich tot de aangenomen motie van het lid Dassen en de brede wens van de Kamer om grootschalig over te stappen naar Europese alternatieven?
Er is geen verband tussen de lopende uitvoering van de motie Dassen en het tijdelijk terugnemen van de publicatie van het rapport. De motie richt zich op het ontwikkelen van een routekaart voor het overstappen op Europese, open standaarden gebaseerde digitale alternatieven, terwijl het tijdelijk terugnemen van de publicatie van het rapport te maken heeft met onduidelijkheden in de interpretatie. Het begeleidende bericht is verduidelijkt en daarna opnieuw geplaatst. De inhoud van het rapport is geheel ongewijzigd.
-
Vraag 6
Welke alternatieven zijn er al reeds om invulling te geven aan deze motie en hoe snel kunnen deze worden geïmplementeerd?
De motie roept op tot het ontwikkelen van een routekaart voor het overstappen op Europese, open standaarden gebaseerde digitale alternatieven. Deze is in ontwikkeling en zal uiterlijk in het laatste kwartaal van dit jaar aan de Kamer voorgelegd worden.
-
Vraag 7
Hoe zou het eventueel aanschaffen van diensten van de nieuwe clouddienst van Amazon staan in relatie tot het coalitieakkoord, waarin staat dat het inkoopbeleid van de overheid gebruikt zal worden voor het aanjagen van Nederlandse en Europese ICT-industrie?
Zoals aangegeven in het coalitieakkoord is de inzet van het kabinet erop gericht om eenzijdige afhankelijkheden van derde landen af te bouwen en zoveel mogelijk te diversifiëren, ook op digitaal vlak.
-
Vraag 8
Erkent u het risico voor onze digitale soevereiniteit als wij niet versneld overstappen op Europese alternatieven voor onze digitale infrastructuur? Waarom wel of niet?
Nederland en Europa zijn voor cruciale digitale infrastructuur sterk afhankelijk geworden van een klein aantal buitenlandse spelers. Dat maakt ons kwetsbaar in een wereld waarin technologie steeds vaker als geopolitiek machtsmiddel wordt ingezet. In algemene zin is de inzet van het kabinet erop gericht om het Europese aanbod van clouddiensten te vergroten en eenzijdige afhankelijkheden van partijen met een marktmacht en partijen uit derde landen af te bouwen.
Hier ziet het kabinet op in met verschillende beleidsinstrumenten zoals wetgeving (Dataverordening en de Digitalemarktenverordening) en innovatiebevordering (o.a. middels het IPCEI CIS). Het kabinet heeft als doel om bij digitale inkoop en aanbestedingen in het digitale domein te gaan standaardiseren en centraliseren, waarbij onder meer gestuurd wordt op waarden zoals security-by-design, zero-trust, soevereiniteit, open source en ketenveiligheid. -
Vraag 9
Kunt u deze vragen binnen een week en afzonderlijk beantwoorden?
De vragen zijn zo spoedig mogelijk beantwoord.
9 maart 2026 - 24 april 2026
46 dagen
Het bericht dat een rapport over Amerikaanse clouddiensten is verwijderd |
|
Barbara Kathmann (PvdA), Jantine Zwinkels (CDA), Sarah El Boujdaini (D66) |
|
David van Weel (VVD), Aerdts |
|
|
|
|
-
Vraag 1
Bent u bekend met het bericht: «Onderzoek naar Amerikaanse cloud-risico’s door Ministerie van overheidswebsite verwijderd» (De Volkskrant, 5 maart 2026)?
Ja.
-
Vraag 2
Kunt u verklaren waarom het onderzoek naar de risico’s van de Amazon «European Sovereign Cloud» tijdelijk offline is gehaald?1
Vanwege onduidelijkheden in de interpretatie is de publicatie tijdelijk teruggenomen voor verduidelijking in het begeleidende bericht en daarna opnieuw geplaatst; de inhoud van het rapport is geheel ongewijzigd.
-
Vraag 3
Wat is uw reactie op het rapport?
Het onderzoeksrapport dat SLM heeft laten opstellen door het advocatenkantoor Greenberg Traurig bevat een objectieve juridische beoordeling van de AWS ESC ten aanzien van de soevereiniteit op data en soevereiniteit op de beschikbaarheid van het systeem.
Het onderzoek heeft samengevat de volgende bevindingen opgeleverd:
De conclusie van Greenberg Traurig dat de AWS European Sovereign Cloud compatibel kan zijn met de visie digitale autonomie en soevereiniteit, heeft alleen betrekking op een deel van de eisen ten aanzien van Nederlandse of Europese jurisdictie, maar niet op de overige autonomie doelstellingen van de Visie. -
Vraag 4
Wat is het doel geweest van het onderzoek van GreenbergTraurig? Wat wordt er gedaan met de uitkomsten?
Binnen de scope en mandaat van SLM Microsoft, Google Cloud en AWS valt het onderzoeken van het aanbod van de genoemde partijen. Zo voert SLM onder meer Data Protection Impact Assessments (DPIA’s) uit op diensten van deze partijen.
Gezien het beschikbaar zijn van de AWS European Sovereign Cloud (AWS ESC) per 15–01 jl. is dit aanbod in opdracht van SLM onderzocht.
Het onderzoeksrapport dat SLM heeft laten opstellen door het advocatenkantoor Greenberg Traurig bevat een objectieve juridische beoordeling van de AWS ESC ten aanzien van de soevereiniteit op data en soevereiniteit op de beschikbaarheid van het systeem.
Een belangrijke disclaimer is dat dit geen technisch onderzoek is naar de doeltreffendheid van technische en/of organisatorische maatregelen van AWS. Ook betreft dit geen beleidsadvies of een compliance-beoordeling. -
Vraag 5
Hoe reageert u op de kritiek dat het rapport eenzijdig is geschreven? Ziet u aanleiding om de risico’s nader te onderzoeken?
Het rapport beoogt een objectieve juridische beoordeling te geven van de juridische onderzoeksvragen die in het rapport geformuleerd zijn.
Momenteel is er geen aanleiding om de risico’s nader te onderzoeken. Nu wordt prioriteit gegeven aan onderzoek en contractering van EU leveranciers (momenteel STACKITt, ESET en OVH). -
Vraag 6
Hoe leest u de conclusies van het rapport, waaruit blijkt dat de Amerikaanse overheid via de Amazon «European Sovereign Cloud» nog steeds toegang kan krijgen tot Nederlandse data?
Zie beantwoording vraag 3.
-
Vraag 7
Kunt u bevestigen dat het afnemen van de Amazon «European Sovereign Cloud» en soortgelijke initiatieven van Amerikaanse techgiganten niet bijdraagt aan het digitaal autonoom maken van Nederland? Wordt het afbouwen van het gebruik hiervan onderdeel van het kabinetsbeleid?
Zie antwoord op vraag 3 (voor eerste deelvraag).
Het kabinetsbeleid is er, middels de Nederlandse Digitalisering Strategie (NDS), op gericht een soevereine overheidscloud te realiseren, waar mogelijk en passend in samenwerking met de Nederlandse of Europese IT industrie.
In algemene zin is de inzet van het kabinet erop gericht om eenzijdige afhankelijkheden van derde landen af te bouwen en zoveel mogelijk te diversifiëren, ook op digitaal vlak. -
Vraag 8
Hebben ministeries, uitvoeringsorganisaties, zbo’s of andere overheidsdiensten reeds plannen om gebruik te maken van de Amazon «European Sovereign Cloud» of soortgelijke initiatieven? Zo ja, kunt u een overzicht geven van organisaties die van plan zijn om de dienst af te nemen of dit al hebben gedaan?
Overheidsorganisaties zijn verantwoordelijk voor hun eigen gebruik van clouddiensten. Op dit moment is mij niet bekend of er overheidsorganisaties voornemens zijn deze clouddienst te gaan gebruiken.
-
Vraag 9
Zijn er nog andere risicoanalyses of onderzoeken uitgevoerd naar de gevolgen voor de digitale autonomie bij het afnemen van de Amazon «Sovereign European Cloud» of soortgelijke initiatieven? Zo ja, kunt u deze aan de Kamer doen toekomen?
In samenwerking met een werkgroep van het CIO Platform Nederland, waaraan ook een aantal overheid CIO’s deelnemen, is er een inventarisatie gedaan naar een aantal cloud diensten die als «soevereine cloud» worden aangeboden.
Deze inventarisatie is nog niet afgerond en indien een rapport wordt opgesteld, kan het gedeeld worden met de Tweede Kamer. -
Vraag 10
Kunt u deze vragen afzonderlijk en zo snel mogelijk beantwoorden?
De vragen zijn zo spoedig mogelijk beantwoord.
6 maart 2026 - 29 april 2026
54 dagen
Bronnen
1. Ad.nl, 4 maart 2026
-
Vraag 1
Bent u bekend met het bericht «Pedobots gewoon te vinden op internet en dat mag volgens de wet: Anya (7) is vastgebonden en huilt»?1
Ja.
-
Vraag 2
Deelt u de mening dat dergelijke AI-toepassingen net als kindersekspoppen bijdragen aan de normalisering van seksueel misbruik van minderjarigen, ook wanneer er geen fysiek kind bij betrokken is?
Wij zijn met zijn allen verantwoordelijk voor de bescherming van onze kinderen en moeten elke subcultuur die seksueel misbruik van kinderen normaliseert, bestrijden. Seksueel misbruik van kinderen is onacceptabel en heeft ernstige gevolgen voor de slachtoffers en hun omgeving. Elk slachtoffer van (online) seksueel kindermisbruik is er één te veel. De AI-ontwikkelingen die op dit moment gaande zijn op dit vlak, en de berichten die hierover naar buiten komen, baren mij zorgen. Dit soort ontwikkelingen zijn zeer onwenselijk.
-
Vraag 3
Deelt u de mening dat gedragingen die in de fysieke wereld strafbaar zijn, ook online niet moeten worden getolereerd, ook wanneer het gaat om nabootsing door middel van AI?
Die mening deel ik. Uitgangspunt van de Wet seksuele misdrijven (hierna: WSM) is dat wat offline strafbaar is, ook online strafbaar is. Het voeren van seksgesprekken met of het aanbieden van AI-seksbots van kinderen keur ik af;iedere poging tot normalisering van seksueel misbruik van kinderen is zeer onwenselijk.
Het enkel voeren van seksgesprekken met een AI-chatbot die zich voordoet als een kind is op dit moment niet als zodanig strafbaar. Datzelfde geldt voor het vervaardigen van een AI-chatbot die zich kan voordoen als een kind.
Dat betekent overigens niet dat gebruikers van zo’n chatbot vrij spel hebben: bepaalde aspecten van het bevragen van of praten met een AI-chatbot zijn mogelijk wel strafbaar, bijvoorbeeld het uitvragen van tips voor seksueel misbruik van kinderen, ex artikel 250a Wetboek van Strafrecht en het via zo’n AI-chatbot uitvragen van/creëren van kinderporno, ex artikel 252 van het Wetboek van Strafrecht.
De strafzaak waarnaar wordt verwezen in het door u aangehaalde artikel van het Algemeen Dagblad is een voorbeeld waarin wel sprake was van een strafbare situatie. Hoewel een en ander altijd afhankelijk is van de omstandigheden van het geval overwoog de rechtbank dat sprake was van voorbereidingshandelingen van seksueel kindermisbruik. In de gesprekken die de verdachte met de AI-chatbot voerde werd niet alleen gesproken, of «gefantaseerd», over misbruik, maar werd hoofdzakelijk informatie vergaard over een methode voor het groomen van het neefje van de verdachte om de voorwaarden te scheppen waarin dat misbruik zou kunnen plaatsvinden. De rechtbank oordeelde dat het chatgesprek daarmee, in samenhang met de geschetste context, een duidelijk instructieve inslag had.2 -
Vraag 4
In hoeverre biedt het huidige strafrecht voldoende mogelijkheden om op te treden tegen het ontwikkelen van dergelijke bots, het verspreiden ervan en het gebruiken van dergelijks bots met een seksueel oogmerk?
Het ontwikkelen, verspreiden en gebruiken van dergelijke bots is niet strafbaar gesteld. Bepaalde aspecten van het bevragen van/praten met een dergelijke bot zijn mogelijk wel strafbaar, bijvoorbeeld het uitvragen van tips voor seksueel misbruik van kinderen, ex artikel 250a Wetboek van Strafrecht, en het via zo’n AI-chatbot uitvragen van/creëren van kinderporno, ex artikel 252 Wetboek van strafrecht.
-
Vraag 5
Bent u bereid om het Wetboek van Strafrecht aan te passen zodat ook het creëren, aanbieden of gebruiken van seksueel expliciete AI-personages die minderjarigen voorstellen strafbaar wordt gesteld?
Als beantwoord in de vragen 3 en 4 kunnen bepaalde aspecten van het gebruiken van dit soort bots strafbaar zijn, daarmee zijn er dus nu al instrumenten om dit gedrag aan te pakken. Ik heb daarom op dit moment niet het voornemen om het creëren, aanbieden of gebruiken van deze bots apart strafbaar te stellen.
4 maart 2026 - 13 april 2026
40 dagen
Hackers hadden vijf maanden toegang tot gegevens DJI-medewerkers |
|
Marjolein Faber (PVV) |
|
van Bruggen |
|
|
|
-
Vraag 1
Bent u bekend met het bericht «Hackers hadden vijf maanden toegang tot gegevens DJI-medewerkers»?1
Ja.
-
Vraag 2
Deelt u de mening dat met spoed onderzocht moet worden tot welke gegevens de hackers toegang hebben/hadden?
Ja, deze mening deel ik en dit onderzoek wordt momenteel uitgevoerd.
Het Nationaal Cyber Security Centrum (NCSC) is op 29 januari jl. door Ivanti op de hoogte gesteld van kwetsbaarheden in Ivanti Endpoint Manager Mobile (EPMM) en doet technisch onderzoek2. Ivanti EPMM is een softwareplatform dat door verschillende organisaties wordt gebruikt om mobiele apparaten centraal te beheren en te beveiligen. Uw Kamer is op 27 februari 2026 geïnformeerd omtrent de organisaties die door de kwetsbaarheid in Ivanti EPMM zijn getroffen.3 De Justitiële ICT Organisatie (JIO), de IT-leverancier van de Dienst Justitiële Inrichtingen (DJI), heeft een extern expertisebureau de opdracht gegeven technisch/forensisch onderzoek uit te voeren. Waar nodig doen zij dit met specialistische adviespartijen.
De uitkomsten van de onderzoeken zijn nog niet bekend. Indien sprake is van relevante ontwikkelingen zal de Kamer worden geïnformeerd. -
Vraag 3
Hoe kan het dan zo zijn dat de u aangeeft dat het geen reden is om aan te nemen dat medewerkers onveilig zouden zijn, terwijl ook voormalig gevangenisdirecteur Klaas Brandsma aangeeft dat medewerkers van Dienst Justitiële Inrichtingen (DJI) lopen extra risico op chantage en afpersing?
De informatie waar toegang tot is verkregen betreft persoonsgegevens van medewerkers zoals namen, emailadressen, telefoonnummers en locatiegegevens. In algemene zin geldt dat de aard van de werkzaamheden van DJI maakt dat medewerkers mogelijk een aanvullend risico lopen op chantage en afpersing indien dergelijke gegevens bij derden bekend raken. Vanwege dit risico vind ik het dan ook erg belangrijk dat waar nodig veiligheidsmaatregelen zijn getroffen. Dit alles heeft uiteraard impact op de medewerkers van DJI. DJI houdt samen met JIO alsmede met partners uit de keten nauwlettend in de gaten welke eventuele gevolgen de onbevoegde toegang heeft voor de DJI-medewerkers. Daaruit volgt dat er op dit moment geen signalen zijn dat er sprake is van eventuele gevolgen voor de veiligheid van de DJI medewerkers.
Op basis van de voorlopige uitkomsten van het forensisch onderzoek heeft het NCSC een handelingsperspectief opgesteld dat op 16 februari 2026 is gedeeld met DJI. DJI heeft hierop in samenwerking met JIO en NCSC direct maatregelen getroffen die zowel zien op de techniek als op de monitoring van (cyber)dreigingen. Daarover communiceert DJI periodiek naar alle medewerkers. Daarnaast heeft DJI de medewerkers voorzien van een handelingskader, waaronder een oproep tot extra alertheid en instructies hoe om te gaan locatiegegevens. -
Vraag 4
Zijn DJI-medewerkers van de Extra Beveiligde Inrichting (EBI) ook getroffen?
Zoals in de beantwoording van vraag één is aangegeven, wordt er momenteel onderzoek gedaan naar de precieze omvang van de daadwerkelijke onbevoegde toegang tot devices die draaien op Ivanti. Vanuit het oogpunt van de veiligheid van de medewerkers kan ik niet verder ingaan op welke medewerkers dit onderzoek ziet. Uit voorzorg heeft DJI breed alle medewerkers van een handelingskader voorzien.
-
Vraag 5
Bent u van mening dat het datalek mogelijk invloed kan hebben op behoud van het huidige personeel en de aanwerving van nieuw personeel? Welke maatregelen gaat u nemen om het getroffen personeel tegemoet te komen?
Ik ben me zeer bewust van welke impact deze situatie kan hebben op de medewerkers van DJI. De effecten hiervan op de werving van nieuw personeel zijn onvoorspelbaar. Dergelijke onbevoegd toegang tot systemen heeft impact op medewerkers, met name op hen die al werkzaam zijn voor DJI. Het kan tot vragen leiden over het uitvoeren van de werkzaamheden en mogelijk ook tot gevoelens van onzekerheid, met name over de veiligheid. Daarom is het van belang dat er maatregelen zijn genomen zoals het periodiek informeren van de medewerkers. Ten aanzien van de maatregelen verwijs ik u naar de beantwoording bij vraag drie.
-
Vraag 6
Welke extra maatregelen gaat u nemen om dergelijke scenario’s in de toekomst te voorkomen?
De eerste prioriteit ligt bij de veiligheid van de medewerkers en het afronden van het onderzoek. Nadat het onderzoek is afgerond zal een evaluatie en oorzakenanalyse plaatsvinden om te komen tot potentiële verbeteringen.
Ik kan niet vooruitlopen op de uitkomsten van de onderzoeken die op dit moment lopen. Zoals bij de beantwoording van vraag drie is aangegeven houdt DJI samen met partners uit de keten nauwlettend in de gaten welke eventuele gevolgen de onbevoegde toegang heeft voor de DJI medewerkers. Indien nodig worden aanvullende maatregelen getroffen.