Vraag 1

Heeft u kennisgenomen van het artikel «Waarom AI zo’n energieslurper is: deze cijfers laten zien wat ChatGPT en datacenters van de planeet vragen»?1

Ja.

Vraag 2

Hoe beoordeelt u de waarschuwingen van onderzoekers en de VN dat de snelle groei van hyperscale-datacenters voor AI de energie- en klimaattransitie in gevaar brengt?

Het kabinet neemt deze waarschuwingen serieus en werkt momenteel aan de geïntegreerde nationale aanpak datacentra die in het najaar verschijnt. Hoewel datacenters en AI belangrijk zijn voor ons toekomstig (economisch) verdienvermogen en onze digitale strategische autonomie, legt hun enorme elektriciteitsvraag druk op het Nederlandse energiesysteem. Bij nieuwe en uitbreidende datacenters bestaan nu al knelpunten bij netaansluitingen. Ook wordt door de opkomst van datacenters een forse en structurele groei in de elektriciteitsvraag verwacht, die sneller kan gaan dan de beschikbare uitbouw van hernieuwbare bronnen en het elektriciteitsnet.

Vraag 3

Bent u het ermee eens dat datacenters die gebruikmaken van hernieuwbare energie niet automatisch duurzaam zijn? Zo nee, waarom niet?

Ja, hernieuwbare energie, fysieke ruimte en de transportcapaciteit op het elektriciteitsnet zijn schaars. Het feit dat een datacenter groene stroom inkoopt, maakt de faciliteit in de context van onze totale energietransitie niet automatisch volledig duurzaam.
Datacenters kenmerken zich door een continu elektriciteitsverbruik. Omdat de productie van hernieuwbare bronnen zoals wind en zon weersafhankelijk is, betekent dit dat er op de momenten dat er onvoldoende hernieuwbare stroom beschikbaar is, er conventionele centrales moeten bijspringen. Daarnaast kan er sprake zijn van een verdringingseffect. De verwachte groei in de elektriciteitsvraag van datacenters en AI is meegenomen in de actualisatie van het Nationaal Plan Energiesysteem (NPE). Deze actualisatie wordt met Prinsjesdag gepresenteerd.
Tegelijkertijd benadrukt het kabinet dat datacenters een belangrijke schakel vormen in onze digitale infrastructuur en ons dagelijks leven. Investeren in voldoende datacentercapaciteit voor de ontwikkeling is een randvoorwaarde voor de brede welvaart, ons innovatieklimaat en het veiligstellen van ons toekomstig verdienvermogen. Hoewel de verdere groei van datacenters hiermee niet volledig duurzaam is, zoekt het kabinet vanuit deze economische en strategische belangen nadrukkelijk naar manieren om deze faciliteiten wel mogelijk in ons systeem in te passen.

Vraag 4

Deelt u de mening dat het onwenselijk is om nieuwe energieslurpende AI-gigafabrieken te faciliteren zolang Nederland kampt met netcongestie en grote uitdagingen bij het behalen van de klimaatdoelen? Zo nee, waarom niet?

Het kabinet deelt de zorgen omtrent de zware belasting van het stroomnet en de grote uitdagingen in de klimaattransitie. Er is een uitdaging voor de inpassing van de inflexibele stroomvraag van AI-gigafabrieken en de beschikbare transportcapaciteit op het elektriciteitsnet. Het aanpakken van de huidige netcongestieproblematiek heeft prioriteit voor dit kabinet. Tegelijkertijd ontwikkelt kunstmatige intelligentie (AI) zich in hoog tempo en vormt het een steeds belangrijkere motor voor innovatie, economische groei en het versterken van het Europese concurrentievermogen. Om zelfstandig AI-modellen te kunnen trainen en toepassen en zo de afhankelijkheden van derde landen te verminderen, is de realisatie van soevereine rekeninfrastructuur in Europa en Nederland noodzakelijk.
Grootschalige AI-rekenfaciliteiten vragen om substantiële hoeveelheden elektriciteit. Het kabinet vindt het noodzakelijk dat nieuwe AI-infrastructuur zorgvuldig wordt ingepast binnen de nationale energie- en ruimtelijke kaders, met aandacht voor energie efficiëntie, duurzaamheid en de impact op het elektriciteitsnet. De daadwerkelijke impact van een AI-gigafabriek is sterk afhankelijk van onder meer het ontwerp, de schaal en de locatie.

Vraag 5

In de brief aan de Kamer over AI-gigafabrieken geeft u aan private investeringen in AI-gigafabrieken te willen faciliteren door de juiste randvoorwaarden te creëren; welke randvoorwaarden worden hier bedoeld?2

Het kabinet kiest ervoor dat de ontwikkeling van AI-infrastructuur, waaronder zogeheten AI-gigafabrieken, in beginsel door private partijen wordt gedragen en gefinancierd. De overheid ziet daarbij primair een rol in het creëren van de juiste randvoorwaarden, bijvoorbeeld op het gebied van beschikbare energie-infrastructuur, geschikte locaties en vergunningsprocedures. Het doel is om het voor private partijen aantrekkelijker en uitvoerbaarder te maken om dit soort investeringen daadwerkelijk hier van de grond te krijgen.

Vraag 6

Kunt u bevestigen dat AI-gigafabrieken volledig moeten voldoen aan de bestaande regels die gelden voor grootschalige datacenters? Zo ja, waarin verschilt het faciliteren van AI-gigafabrieken dan feitelijk van het bestaande beleid? Zo nee, welke uitzonderingen worden overwogen?

De instructieregel voor hyperscale datacentra geldt voor alle datacentra die voldoen aan de criteria voor omvang (bebouwd oppervlak van meer dan 10 hectare) en vermogen (elektrisch aansluitvermogen van 70 MW of meer).3 Er wordt momenteel gewerkt aan een nationale geïntegreerde aanpak voor datacenters, als onderdeel waarvan onder meer mogelijkheden voor een aanscherping van deze criteria worden verkend.4 Ik verwacht uw Kamer in het najaar te informeren over deze geïntegreerde aanpak.
De overheid ziet een rol voor zichzelf om binnen de geldende kaders de juiste randvoorwaarden te creëren voor het ontwikkelen van AI-infrastructuur, met oog voor de ruimtelijke en energetische inpasbaarheid. Het doel hiervan is om het voor private partijen aantrekkelijker en uitvoerbaarder te maken om dit soort investeringen daadwerkelijk van de grond te krijgen, wat van belang is voor het kunnen trainen en toepassen van AI-modellen.

Vraag 7

Hoe verhoudt het faciliteren van AI-gigafabrieken zich tot de uitvoering van de aangenomen motie Grinwis c.s. om de vestiging van hyperscale-datacenters juist strenger te reguleren?3

Zoals toegelicht onder het antwoord op vraag 6 verzoekt de motie-Grinwis tot een aanscherping van de huidige juridische criteria voor hyperscale datacenters. De uitwerking van deze motie wordt meegenomen in een bredere, nationale geïntegreerde aanpak voor datacenters, waarover uw Kamer in het najaar wordt geïnformeerd.

Vraag 8

Deelt u de mening dat de maatschappelijke kosten van AI-infrastructuur, waaronder het beslag op energie, water, ruimte en netcapaciteit, expliciet moeten worden meegewogen bij toekomstige besluiten over de vestiging van nieuwe hyperscale-datacenters en AI-gigafabrieken? Zo nee, waarom niet?

Het kabinet vindt het noodzakelijk dat nieuwe AI-infrastructuur zorgvuldig wordt ingepast binnen nationale energie- en ruimtelijke kaders, met aandacht voor energie efficiëntie, duurzaamheid en de impact op het elektriciteitsnet, zoals verwoord in de kamerbrief van 31 maart.6 Deze factoren zijn ook meegewogen in de instructieregel voor hyperscale datacentra, benoemd in de beantwoording van vraag 6. Voor AI-gigafabrieken en andere grootschalige datacenters die binnen de kaders van de instructieregel ontwikkeld mogen worden geldt dat vergunningverlening in beginsel aan relevante regionale autoriteiten is.

Vraag 9

Bent u bereid bij de vergunningverlening van datacenters een milieu-effect­rapportage verplicht te stellen waarbij alle gevolgen voor koolstof, water en land worden afgewogen? Zo nee, waarom niet?

Het kabinet zet zich via diverse kaders actief in om de impact van datacenters op klimaat, water en ruimte te minimaliseren:
Het kabinet is niet voornemens om daarnaast een afzonderlijke, nationale m.e.r.-plicht specifiek voor datacenters te introduceren:

Vraag 1

Bent u bekend met het bericht «Gedoodverfd opvolger van DigiD is niet te gebruiken zonder Gmail-account of Apple-ID»?1

Ja.

Vraag 2

Deelt u de mening dat apps en oplossingen die ontwikkeld worden door de Rijksoverheid altijd zo toegankelijk mogelijk zouden moeten zijn voor elke Nederlander? Zo ja, hoe beoordeelt u dan de keuze tot verplichting van een Google-account of Apple-ID voor het gebruik van NL Wallet?

Ja, ik deel die mening.
Er is geen keuze gemaakt tot de verplichting van een Google-account of Apple-ID voor het gebruik van de NL Wallet en dit is ook niet ons streven.
De publieke wallet wordt stapsgewijs ontwikkeld en dat gebeurt transparant. Dagelijks worden nieuwe wijzigingen aan de broncode aangebracht en gepubliceerd zodat iedereen die dat wil de ontwikkeling kan volgen. In de huidige versie zijn beveiligingsmaatregelen opgenomen om gebruikers te beschermen tegen malafide apps, waarmee hun persoonsgegevens worden beschermd en identiteitsfraude wordt bestreden. Voor de grootste gebruikersgroepen (mensen met een Google-account of Apple-ID) zijn deze maatregelen nu gerealiseerd. Voor andere gebruikersgroepen zijn andere maatregelen nodig. Die maatregelen zullen worden onderzocht en, indien dat veilig kan, worden geïmplementeerd voordat de publieke wallet beschikbaar komt voor gebruikers.

Vraag 3

Deelt u de mening dat ook mensen die geen gebruik maken van telefoons met Google of van telefoons met Apple-ID in staat zouden moeten zijn om gebruik te maken van NL Wallet? Zijn deze mogelijkheden bij de ontwikkeling van NL Wallet verkend? Zo ja, waarom is dan gekozen om alsnog voor deze technische voorwaarden te gaan voor NL Wallet? Zo nee, waarom niet?

Ja ik deel die mening.
De beveiligingsmaatregelen die gebruikers zonder Google-account of Apple-ID in staat stellen om ook gebruik te maken van de publieke wallet worden nog verkend. Hiervoor wordt ook van gedachten gewisseld met experts van andere lidstaten. Als deze opties veilig zijn, zullen die worden geïmplementeerd voordat de wallet live gaat.

Vraag 4

Deelt u de mening dat in het kader van toegankelijkheid ook mensen die geen gebruik willen of kunnen maken van een smartphone de app NL Wallet zouden moeten kunnen gebruiken? Zo nee, waarom niet?

Mensen die geen gebruik willen maken van de NL wallet, hoeven dat ook niet. De vrijwilligheid is wettelijk geborgd in de verordening. Met het oog op de toegankelijkheid van de NL Wallet betrekken wij gebruikers bij de ontwikkeling, bijvoorbeeld mensen met een beperking. Verder zullen we verkennen hoe we de toegankelijkheid van de NL wallet kunnen vergroten, ook voor mensen die geen smartphone willen of kunnen gebruiken.

Vraag 5

Kunt u uitleggen waarom DigiD wel te gebruiken is voor mensen zonder iOS-telefoon of Google-account of zonder smartphone? Waarin verschilt DigiD van NL Wallet waardoor dit voor NL Wallet niet mogelijk zou zijn?

De werking van inlogmiddelen als DigiD verschilt van die van EDI wallets als de NL Wallet, wat andere beveiligingsrisico’s met zich meebrengt en zodoende om andere maatregelen vraagt. Zoals aangegeven bij antwoord 2 is de NL Wallet nog in ontwikkeling en streven we ernaar om deze ook beschikbaar te maken voor mensen zonder Apple-ID of Google-account. Met DigiD kun je bij bepaalde overheidsdiensten inloggen zonder smartphone, met de SMS-check. Bij diensten die een hoger betrouwbaarheidsniveau vereisen heb je een smartphone met DigiD app nodig. BZK onderzoekt de mogelijkheid om een DigiD ook op hogere betrouwbaarheidsniveaus zonder smartphone beschikbaar te stellen. EDI-wallets, zoals de NL Wallet, moeten worden uitgegeven op het hoogste betrouwbaarheidsniveau. We bekijken of we de ontwikkelingen bij DigiD kunnen benutten voor EDI-wallets, inclusief de NL Wallet.

Vraag 6

Hoe complex is het om de NL Wallet zo om te bouwen dat het hebben van een Apple Account of Google Account niet voorwaardelijk is?

Zoals gezegd moeten deze maatregelen nog worden onderzocht. Daaruit zal ook blijken hoe complex dit is.

Vraag 7

Kunt u garanderen dat NL Wallet niet de rol van DigiD in de toekomst zal overnemen, zo lang voor het gebruik van NL Wallet een Apple-ID of Google-account voorwaardelijk is? Zo ja, hoe? Zo nee, waarom niet?

DigiD blijft bestaan zoals reeds eerder aan de Kamer is toegezegd2. Het gebruik van de NL-wallet is vrijwillig, zoals ik heb aangegeven in de beantwoording van vraag 4.

Vraag 8

Kunt u garanderen dat organisaties die op dit moment DigiD ondersteunen en die NL Wallet willen ondersteunen, in de toekomst DigiD ook blijven ondersteunen naast NL Wallet? Zo nee, deelt u de mening dat dat betekent dat Nederlanders tot het gebruik van een Google-account of Apple-ID worden gedwongen?

Ja, de acceptatieverplichtingen voor DigiD blijven bestaan naast de acceptatieverplichtingen voor EDI-wallets.
Zoals gezegd is er nog geen keuze gemaakt om een Google-account of Apple-ID te verplichten voor de NL Wallet en is dit ook niet ons streven.

Vraag 9

Kunnen gebruikers van NL Wallet van wie het Google-account of de Apple-ID om wat voor reden dan ook door Google of Apple wordt geblokkeerd gebruik blijven maken van NL Wallet? Zo nee, kunt u dan garanderen dat Nederlanders die gebruik maken van NL Wallet niet in de problemen komen? Zo ja, kunt u aangeven waarom dit acceptabel is?

De NL Wallet kan niet voorkomen dat gebruikers worden geblokkeerd door de aanbieder van hun smartphone, besturingssysteem of andere de software die daarop draait. Om die reden hecht ik er waarde aan om te zorgen dat de NL Wallet niet van een kleine groep aanbieders afhankelijk is en onderzoek ik mogelijkheden om ook een veilige oplossing te bieden aan burgers zonder Google-account of Apple-ID.

Vraag 10

Hoe kijkt u vanuit het oogpunt van digitale soevereiniteit naar de keuze om een Google-account of Apple-ID voor een NL Wallet voorwaardelijk te maken?

Zoals gezegd is er geen keuze gemaakt om het Apple-ID of Google-account voorwaardelijk te maken en is dit ook niet ons streven.

Vraag 11

Hoe bent u van plan om in het vervolg, bij ontwikkeling van apps door de overheid, het gemak van de ontwikkeling af te wegen tegen digitale soevereiniteit en toegankelijkheid?

Bij de ontwikkeling van apps worden meerdere factoren meegewogen. De borging van publieke waarden waaronder veiligheid, privacy, inclusie en soevereiniteit staat centraal. Gemak van de ontwikkeling speelt hierin geen rol.

Vraag 12

Kunt u deze vragen afzonderlijk van elkaar en binnen de gestelde termijn beantwoorden?

Ja, de vragen worden afzonderlijk van elkaar beantwoord. Ik heb uw Kamer met een uitstelbrief laten weten dat beantwoording langer ging duren.

Vraag 1

Kunt u toelichten waarom de voor DigiD benodigde digitale infrastructuur en diensten niet rijksbreed zijn georganiseerd, maar via afzonderlijke aanbestedingen en contracten worden ingekocht? Welke afwegingen liggen hieraan ten grondslag?

De genoemde voorzieningen zijn rijksbreed georganiseerd. Logius is rijksbreed verantwoordelijk voor het beheer en de doorontwikkeling van voorzieningen als DigiD. De verschillende leveranciers die hierbij zijn betrokken zijn geselecteerd via verschillende Europese aanbestedingen. Logius maakt hierbij gebruik van geldende regels rondom aanbestedingen en van rijksbrede kaders ten aanzien van digitalisering, zoals bijvoorbeeld het Rijkscloudbeleid.
Bij het vormgeven van deze aanbestedingen stond de ondersteuning van de continuïteit van de dienstverlening, digitale weerbaarheid en efficiënt gebruik van IT-diensten centraal.
De voorkeur is om op langere termijn gebruik te maken van de soevereine overheidscloud voor de levering van het platform, infrastructuur en datacenters. Hiervoor is het van essentieel belang dat de overheidscloud klaar is om de continuïteit en veiligheid van Logius dienstverlening te waarborgen.

Vraag 2

Wanneer gaat het kabinet kritieke digitale overheidsvoorzieningen, zoals DigiD, MijnOverheid, Digipoort en vergelijkbare voorzieningen, wél rijksbreed organiseren of ten minste rijksbreed normeren?

De genoemde voorzieningen zijn rijksbreed georganiseerd. Logius voert het beheer uit van deze overheidsvoorzieningen ten behoeve van andere overheidsdienstverleners. De normering voor risicomanagement en cybersecurity volgt uit de Cyberbeveiligingswet (Cbw).

Vraag 3

Hoe en wanneer geeft het kabinet uitvoering aan de aangenomen motie-Van den Berg c.s. over een rijksbreed dataclassificatie- en datalocatiebeleid (Kamerstuk 26 643, nr. 1482)?

De motie verzoekt het opstellen en uitrollen van een rijksbreed dataclassificatie- en datalocatiebeleid. Een rijksbreed dataclassificatiebeleid is reeds vastgesteld in het VIR-BI 2025. Daarbij geldt dat voor de zwaarste categorieën (Staatsgeheim, of Te Beschermen Belangen 1–3) het gebruik van publieke cloud niet toegestaan is. Wanneer voor de opslag en verwerking van dergelijk gerubriceerde data een externe leverancier wordt overwogen, moet deze leverancier voldoen aan de eisen van de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten (ABRO). De ABRO stelt onder andere eisen aan sleutelbeheer voor encryptie. Controle of de leverancier hieraan voldoet, bij zowel aanvang als tijdens de looptijd van de overeenkomst wordt gecontroleerd door het Nationaal Bureau Industrie Veiligheid (NBIV). De ABRO is in december 2025 goedgekeurd, organisaties krijgen twee jaar de tijd om de ABRO in te voeren, daarom verschilt de ingangsdatum per organisatie. Andere overheidsonderdelen en leveranciers die onder de Wet weerbaarheid kritieke entiteiten vallen, kunnen in de toekomst verplicht worden de ABRO te gebruiken.
Daarnaast stelt het huidige rijksbreed cloudbeleid dat de data bij gebruik van publieke clouddiensten moet worden verwerkt binnen de landen van de Europese Economische Ruimte (EER), in landen waarvoor de Europese Commissie een adequaatheidsbesluit heeft genomen, of in landen die anderszins voldoen aan de eisen van art. 46, AVG. De uit te voeren risicoanalyse, onderdeel van het beleid, geeft de organisatie ook inzichten in de vraag of het land van de cloudprovider via extraterritoriale wetgeving toegang kan krijgen tot de data. Daarnaast moeten er plannen ter schadebeperking worden overwogen. Dit is een vorm van het door u voorgestelde te implementeren localisatiebeleid.
Later dit jaar wordt het herziene rijksbrede cloudbeleid met uw Kamer gedeeld. De werking van het cloudbeleid wordt verbreed van de rijksdienst naar de Rijksoverheid. Ook is er in dit beleid meer aandacht voor geopolitieke risico’s in situaties waarin een leverancier (mede) onder een niet-Europese jurisdictie valt. Voor bepaalde toepassingen wordt het gebruik van dergelijke leveranciers of van de publieke cloud niet langer toegestaan. Op deze manier zijn wij voornemens om de motie uit te voeren.

Vraag 4

Welke concrete stappen zijn sinds aanneming van deze motie gezet, welke bewindspersoon is eerstverantwoordelijk en wanneer ontvangt de Kamer een voortgangsrapportage?

Zoals toegelicht in het antwoord op vraag 3 ontvangt de Kamer dit jaar het herziene rijksbrede cloudbeleid 2026. Daarnaast stelt de Rijksoverheid voor gevoelige overheidsdata en processen beveiligingseisen verplicht op basis van de BIO2 via de Cyberbeveiligingswet (Cbw). Verder wordt het belang van «veilig inkopen» en de risico’s van mogelijke buitenlandse inmenging in toenemende mate erkend. De ABRO stelt eisen aan de veiligheid bij de leverancier. Waar uit de risicoanalyses blijkt dat het risico van statelijke actoren reëel is, bieden de BIO2, de Aanbestedingswet op defensie- en veiligheidsgebied (ADV) en ABRO (de laatste twee in het kader van inkoop), middelen om de risico’s goed te beheren. Op basis van deze beleidskaders en wettelijke verplichtingen worden overheidsorganisaties geholpen bij het maximaal beschermen van data en beveiligingsmaatregelen. Aan de hand van deze kaders, zoals het uitvoeren van een risicoanalyse, kunnen organisaties zelf vaststellen hoe en waar zij data veilig kunnen opslaan en bewerken.
Daarnaast wordt op dit moment, in het kader van de Nederlandse Digitaliseringsstrategie, gewerkt aan de verkenning naar de realisatie van een soevereine overheidscloud. Dit zal hand in hand gaan met de verdere ontwikkeling van het daarmee samenhangende beleid.
De Rijksoverheid versterkt continu haar integrale weerbaarheid. Binnen dit verband, zoals toegelicht in deze brief, zijn de afgelopen jaren verschillende beveiligingskaders, -normen en wetten aangepast zoals VIR-BI2025, BIO2, de ABRO. Ook bereiden we ons voor op aankomende wetgeving zoals de Wet weerbaarheid kritieke entiteiten (Wwke) en de Cbw. De effectieve toepassing van deze wetten verhoogt de basisbeveiliging, zoals ook het beheer en opslag van data van overheidsorganisaties. Gezien het feit dat een deel van deze regelgeving pas recent is ingegaan of op korte termijn ingaat, en gelet op de nadere verwachte EU wet- en regelgeving op dit gebied, kies ik er vooralsnog voor nu geen aanvullend beleid te maken, maar eerst te bezien of de nieuwe wet- en regelgeving ook de beoogde verbetering van weerbaarheid bereikt.

Vraag 5

Welke voorzieningen kwalificeert het kabinet, naast DigiD, als kritieke digitale overheidsinfrastructuur?

Op dit moment ligt dat besloten in de «Aanpak Vitaal». Deze wordt later dit jaar vervangen door de Wet weerbaarheid Kritieke Entiteiten (Wwke). De betrokken vakministers bepalen welke overheidsvoorzieningen onder deze wet zullen vallen.

Vraag 6

Bestaat er inmiddels een rijksbreed overzicht van kritieke digitale overheidsvoorzieningen en de daarbij betrokken niet-Nederlandse of niet-Europese leveranciers? Zo nee, waarom niet?

Er bestaat geen rijksbreed overzicht van kritieke digitale overheidsvoorzieningen.
Het Besluit beveiliging netwerk- en informatiesystemen (Bbni) stelt eisen aan aanbieders ten aanzien van de beveiliging van ICT-systemen. De later dit jaar van kracht wordende Cyberbeveiligingswet stelt eisen aan risico- en ketenmanagement. Daarmee zullen overheidsorganisaties die kritieke digitale overheidsvoorzieningen beheren, inzage moeten hebben in welke niet-Nederlandse of niet-Europese leveranciers in de keten een rol spelen. De mogelijke risico’s daarvan moeten worden beoordeeld en worden gemitigeerd of geaccepteerd.
Er bestaat geen centraal register van dergelijke leveranciers per kritieke overheidsvoorziening. Als reactie op het onderzoek «Van Kwetsbaar naar weerbaar», dat is uitgevoerd in opdracht van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, wordt door de Taskforce Continuïteit ICT Dienstverlening een pilot uitgevoerd voor het monitoren van belangrijke leveranciers voor de overheid.

Vraag 7

Wanneer komt er een dergelijk overzicht, inclusief inzicht in cloud, hosting, beheer, datatoegang, encryptiesleutels, operationele zeggenschap, onderaannemers, ketenafhankelijkheden en exittermijnen?

Een dergelijk overzicht is er niet. Het is in het kader van veiligheid ook niet wenselijk dat er een dergelijk overzicht komt. Dergelijke data op één plaats vastleggen zou namelijk een operationeel veiligheidsrisico vormen.

Vraag 8

Wat is het doel van het kabinet ten aanzien van de toekomstige inrichting van DigiD? Is het streven gericht op andere technologie, een andere leverancier, Europese of Nederlandse zeggenschap, publiek beheer of een combinatie daarvan?

Het streven is met name gericht op het vormgeven van het nieuwe aanbestedingstraject op basis van de aanbestedingswet Defensie en Veiligheid (ADV), zoals vermeld in de Kamerbrief van 4 juni jl.1 Deze aanbesteding ziet op het opnieuw aanbesteden van het beheer van het huidige platform. De ADV biedt meer mogelijkheden dan een reguliere Europese aanbesteding om risico’s voor de nationale veiligheid te beperken. Zodra een nieuwe leverancier is geworven, zal er een overdracht moeten plaatsvinden. Omdat het maatwerk betreft, is kennis van en ervaring met het platform noodzakelijk om de Logius-voorzieningen goed te laten draaien. Hiervoor wordt een periode van 6–12 maanden gehanteerd.
De voorkeur is om op langere termijn gebruik te maken van de soevereine overheidscloud voor de levering van het platform, infrastructuur en datacenters.

Vraag 9

Welke rol speelt digitale soevereiniteit precies bij de toekomstige inrichting van DigiD? Welke concrete risico’s worden hiermee beoogd te verminderen?

Zoals hiervoor aangegeven biedt een ADV-aanbesteding meer mogelijkheden dan een reguliere Europese Aanbesteding om risico’s voor de nationale veiligheid te beperken. Op dit moment treft Logius de voorbereidingen voor het uitvoeren van de aanbesteding.

Vraag 10

Hoe verhoudt het Nederlandse beleid zich tot landen die eveneens streven naar digitale autonomie, maar daarbij gebruikmaken van technologie van niet-Europese aanbieders?

Er is geen overzicht van keuzes die andere Europese landen maken voor het inrichten van hun digitale infrastructuur. In de «Verkenning naar de soevereine overheidscloud» in het kader van de NDS wordt een eerste set keuzes voor de vormgeving van een soevereine overheidscloud gepubliceerd. Deze wordt naar verwachting vóór het zomerreces nog aan uw Kamer verstuurd.
De Europese Commissie heeft recent het voorstel voor de Cloud and AI Development Act (CADA) gepubliceerd. Deze verwoordt de ambitie van de Commissie om te komen tot sterkere en uniforme eisen aan de soevereiniteit van door overheden gebruikte cloudoplossingen. Het Nederlandse beleid zal in de toekomst hier verder op afgestemd worden. De verwachting is dat overheden in lidstaten als gevolg van de CADA op een uniforme manier risicobeoordelingen maken voor het gebruik van public clouddiensten en gebruik zullen maken van passende, erkende soevereine clouddiensten. Een BNC-fiche over het wetsvoorstel voor de CADA wordt op korte termijn met de Tweede Kamer gedeeld.

Vraag 11

In de kabinetsreactie van 23 mei 2025 op de motie-Koekkoek (Kamerstuk 26 643, nr. 1338) werd gesteld dat er kwalitatief hoogwaardige Europese clouddiensten beschikbaar zijn. Op welke concrete marktverkenning, technische toets of aanbestedingservaring was die conclusie gebaseerd? Zag die conclusie bovendien op generieke clouddiensten, of ook op kritieke digitale identiteitsinfrastructuur zoals DigiD, MijnOverheid en Digipoort?

In de genoemde Kamerbrief2 wordt gesteld dat deze conclusie gebaseerd is op een quickscan onderzoek naar de verschillen in technische, juridische en organisatorische aspecten van het dienstenaanbod van Nederlandse en Europese aanbieders van clouddiensten ten opzichte van de drie grootste aanbieders van buiten de EU. Dit onderzoek is in opdracht van het Ministerie van Economische Zaken en Klimaat uitgevoerd door KPMG.3 Dit onderzoek zag op de gehele markt voor clouddiensten en had geen specifieke focus op kritieke digitale identiteitsinfrastructuur.

Vraag 12

Welke concrete stappen zijn tussen 23 mei 2025 en 2 juni 2026 gezet om Nederlandse of Europese alternatieven daadwerkelijk geschikt te maken voor het beheer van DigiD of vergelijkbare kritieke voorzieningen?

De ADV-aanbesteding biedt meer mogelijkheden dan een reguliere Europese aanbesteding om risico’s voor nationale veiligheid te beperken. In de aanbestedingsfase worden de (beveiligings)technische en operationele eisen gesteld waaraan een leverancier moet voldoen om in aanmerking te komen. Deze eisen zijn specifiek toegesneden op het beheer van kritieke digitale infrastructuur op nationale schaal. Op dit moment treft Logius de voorbereidingen voor het uitvoeren van de aanbesteding onder de ADV.

Vraag 13

In eerdere beantwoording heeft u gesteld dat sprake is van gelijkwaardige technologieën van Europese en Nederlandse aanbieders. Wat verstaat het kabinet precies onder een «gelijkwaardig alternatief» voor de huidige DigiD-dienstverlening?

Onder een gelijkwaardig alternatief verstaat het kabinet andere Nederlandse en Europese IT-dienstverleners die in staat zijn om diensten te leveren die functioneel, kwalitatief en beveiligingstechnisch vergelijkbaar zijn met de dienstverlening die Solvinity momenteel aan Logius levert, namelijk de beheerwerkzaamheden van het PICARD-platform. Het gaat daarbij om aanbieders die aantoonbaar kunnen voldoen aan de eisen voor continuïteit, beveiliging, compliance en schaalbaarheid van de DigiD-dienstverlening.

Vraag 14

Welke criteria worden gehanteerd om vast te stellen of een alternatief gelijkwaardig is? Wordt daarbij gekeken naar functionaliteit, schaalbaarheid, beveiliging, beschikbaarheid, betrouwbaarheid, certificeringen, prestaties, migratierisico’s, operationele ervaring, continuïteit en bewezen beheer van kritieke digitale infrastructuur op nationale schaal?

Criteria worden verwoord en van weging voorzien gedurende het proces om te gaan aanbesteden, bij het uitvragen van een behoefte naar de algehele markt en conform processen die voortvloeien uit diverse kaders (financieel, juridisch, technisch, etc.). Een opdrachtgever is hiervoor verantwoordelijk en zal daarbij ondersteund worden door een multidisciplinair team. Het wisselt dus per opdrachtgever en per opdracht welke criteria gehanteerd worden (dan wel hoe zwaar die wegen). De hele gedachte van een aanbestedingsproces is om de pluraliteit van de markt te benutten en een te grote afhankelijkheid te vermijden.

Vraag 15

Deelt u de opvatting dat DigiD vanwege zijn unieke en kritieke rol moeilijk één-op-één vergelijkbaar is met generieke cloud-, hosting- of authenticatiediensten? Zo nee, waarom niet? Zo ja, kunt u toelichten hoe deze unieke rol van DigiD zich verhoudt tot de conclusie van de ACM dat er voldoende concurrentie overblijft omdat er andere IT-dienstverleners zijn die soortgelijke diensten leveren?

Zoals in het antwoord op vraag 8 aangegeven betreft de technische inrichting van DigiD maatwerk. Omdat het maatwerk betreft, is kennis van en ervaring met het platform noodzakelijk om de Logius-voorzieningen goed te laten draaien. In de overdrachtsperiode van 6–12 maanden kan een nieuwe contractant deze ervaring opbouwen.

Vraag 16

Wat verstaat het kabinet in dit verband onder «soortgelijke diensten»? Gaat het daarbij om algemene IT-dienstverlening, of specifiek om bewezen beheer van kritieke digitale identiteitsinfrastructuur op nationale schaal?

In het geval van DigiD en andere Logius-voorzieningen verstaat het kabinet onder «soortgelijke» diensten het overnemen van de beheerwerkzaamheden van het PICARD-platform. In de aanbestedingsfase worden de (beveiligings)technische en operationele eisen gesteld waaraan een leverancier moet voldoen om in aanmerking te komen. Deze eisen zijn specifiek toegesneden op het beheer van kritieke digitale infrastructuur op nationale schaal.

Vraag 17

Welke minimale eisen gelden voor cloud, hosting, beheer, encryptiesleutels, toegangsbeheer, logging, monitoring, incidentrespons, onderaannemers en operationele zeggenschap bij DigiD?

DigiD voldoet aan strenge eisen en regelgeving rondom veiligheid en privacy. Daarvoor worden verschillende vormen van toegangsbeveiliging en versleuteling toegepast.
Alle informatie over de werking van DigiD is terug te vinden op de website van Logius. Op de website is alle documentatie terug te vinden ten aanzien van het aansluiten op DigiD door afnemers, de functionele beschrijvingen van DigiD (inclusief verwerking persoonsgegevens), en de technische documentatie over de werking van DigiD.
U kunt de informatie terugvinden via de volgende link: https://www.logius.nl/onze-dienstverlening/toegang/digid/documentatie

Vraag 18

Hoe wordt geborgd dat encryptiesleutels, beheerrechten en operationele toegang tot DigiD niet onder zeggenschap vallen van niet-Europese moederbedrijven of buitenlandse wettelijke bevoegdheden?

Op 21 mei jl. bent u middels een vertrouwelijke technische briefing geïnformeerd over de situatie bij Logius. Daarnaast biedt een aanbesteding via de ADV mogelijkheden om risico’s voor de nationale veiligheid te beperken.

Vraag 19

Heeft iedere kritieke digitale overheidsvoorziening een actueel exitplan? Zo ja, hoe vaak worden deze exitplannen getest?

Het, nog vast te stellen, herziene rijksbrede cloudbeleid scherpt de eis van een exitstrategie aan naar het hebben van een exitplan. Dat exitplan moet jaarlijks op actualiteit worden beoordeeld. Exitplannen zijn contractuele afspraken over de (geplande of plotselinge) afronding van een contract. Het is wel van belang dat hierin realistische afspraken worden opgenomen afhankelijk van de situatie en context van de specifieke voorziening.
De aanstaande Wet weerbaarheid kritieke entiteiten stelt eisen aan de weerbaarheid en continuïteit van de dienstverlening voor organisaties die daaronder vallen. Dit geldt eveneens als er geen gebruik van clouddiensten wordt gemaakt.

Vraag 20

Welke kritieke digitale voorzieningen hebben een verwachte migratietermijn van meer dan zes maanden, en welke continuïteitsrisico’s levert dat op?

Zie het antwoord op vraag 6. Daarnaast is – gezien de aanbestedingsverplichtingen waar overheidsorganisaties aan dienen te voldoen – zes maanden überhaupt een zeer korte termijn. Het herziene rijksbrede cloudbeleid geeft aan dat de Rijksoverheid organisaties beschikken over een exitplan waarin ook rekening wordt gehouden met het onverwacht niet-beschikbaar zijn van de gebruikte clouddienst. De organisatie moet een plan maken hoe de betrokken overheidsdienst binnen acceptabele termijn kan worden hersteld. De meeste migraties nemen meer tijd in beslag. Migratietermijnen kunnen vanuit technisch oogpunt jaren duren, afhankelijk van de type dienstverlening en kenmerken.

Vraag 21

Welke onderdelen van de TFEV- of BTI-analyse rond Solvinity/Kyndryl kunnen openbaar met de Kamer worden gedeeld, en welke onderdelen kunnen vertrouwelijk worden verstrekt?

Wat betreft de analyse van het Bureau Toetsing Investeringen (BTI) maakt het kabinet de onderliggende adviezen, risicoanalyses en vertrouwelijke overwegingen die ten grondslag liggen aan een advies niet openbaar. Deze stukken bevatten vertrouwelijke bedrijfsinformatie en informatie die raakt aan de bescherming van de nationale veiligheid. Openbaarmaking zou afbreuk kunnen doen aan de belangen die de wet juist beoogt te beschermen. Wat betreft de bespreking in de Taskforce Economische Veiligheid (TFEV) geldt dat ook deze vertrouwelijk is en informatie bevat die raakt aan de bescherming van de nationale veiligheid. Het kabinet hecht tegelijkertijd aan een goede informatievoorziening van de Kamer. Daarom is de Kamer in de gelegenheid gesteld om in de vertrouwelijke technische briefing van 10 juni jl. te worden geïnformeerd over de analyse en toetsing onder de Wet ongewenste zeggenschap Telecommunicatie die door BTI is verricht en met advies aan de Staatssecretaris Digitale Economie en Soevereiniteit is voorgelegd.

Vraag 22

Kunt u de vragen afzonderlijk en voor het commissiedebat inzake Bescherming persoonsgegevens en grote datalekken van 25 juni aanstaande beantwoorden?

Ja

Vraag 1

Heeft u kennisgenomen van berichtgeving dat vertrouwelijke dossierinformatie van een gedetineerde met een zware risicostatus zichtbaar is geweest voor een andere gedetineerde binnen de Extra Beveiligde Inrichting (EBI)?1

Ja.

Vraag 2

Hoe beoordeelt u het feit dat juist binnen de zwaarst beveiligde inrichting van Nederland vertrouwelijke strafrechtelijke informatie kennelijk bij een andere gedetineerde terecht heeft kunnen komen?

Uit onderzoek naar het incident blijkt dat tijdens het volgen van de procedure sprake is geweest van een menselijke fout. Op basis van het onderzoek valt niet vast te stellen of daadwerkelijk inzage in vertrouwelijke informatie heeft plaatsgevonden. Dit moet echter te allen tijde worden voorkomen. DJI treft dan ook aanvullende maatregelen om de kans op herhaling te verkleinen. Zo is een extra controlestap in de procedure aangebracht die ziet op het uitschakelen van de laptop. Ook voert DJI daarnaast nog enkele technische verbeteringen door. Vanuit een veiligheidsoogpunt kan ik deze niet gedetailleerd delen.

Vraag 3

Klopt het dat de voorgeschreven veiligheidsprocedures in dit geval niet zijn gevolgd? Zo ja, hoe heeft dit kunnen gebeuren?

Uit onderzoek is gebleken dat tijdens het volgen van deze procedure sprake is geweest van een menselijke fout. DJI treft maatregelen om de kans op herhaling te verkleinen.
De reguliere procedure is dat nadat een gedetineerde een dergelijke laptop heeft gebruikt, de laptop wordt uitgeschakeld. Door middel van het uitschakelen van de laptop wordt alle historie automatisch verwijderd en daarmee «geschoond». Pas daarna mag de laptop worden uitgegeven aan een andere gedetineerde.

Vraag 4

Geeft dit incident aanleiding tot het herzien van de veiligheidsprocedures? Zo nee, waarom niet?

De resultaten van het onderzoek naar aanleiding van het incident geven aanleiding tot het treffen van maatregelen. Zoals toegelicht in het antwoord op vraag 1, betreft dit een extra controlestap.

Vraag 5

Kan worden uitgesloten dat vertrouwelijke informatie van andere gedetineerden eveneens onbevoegd is ingezien? Zo nee, waarom niet?

Op basis van het onderzoek valt niet vast te stellen of daadwerkelijk inzage in vertrouwelijke informatie van de betreffende gedetineerde heeft plaatsgevonden. Vanwege veiligheidsredenen kan niet verder worden ingegaan op de details van het onderzoek.
Er is nu geen aanleiding te vermoeden dat vergelijkbare incidenten zich eerder hebben voorgedaan.

Vraag 6

Deelt u de mening dat een dergelijke blunder ernstige veiligheidsrisico’s met zich kan brengen voor lopende strafzaken, getuigen, slachtoffers, personeel en de openbare veiligheid? Zo nee, waarom niet?

Ik wil voorop stellen dat ik het uiteraard betreur dat deze fout zich voor heeft kunnen doen. Zoals aangegeven in mijn vorige antwoord op vraag 5, valt op basis van het onderzoek niet vast te stellen of daadwerkelijke inzage in vertrouwelijke informatie heeft plaatsgevonden.
Het Openbaar Ministerie, de betrokken gedetineerde en diens advocaat zijn inmiddels geïnformeerd. Het onderzoek heeft in afstemming met hen plaatsgevonden. Bij het vermoeden van een datalek is vereist dat binnen 72 uur een melding hiervan wordt gedaan bij de Autoriteit Persoonsgegevens. DJI heeft dit gedaan. Door DJI wordt op basis van de onderzoeksresultaten bekeken of hier nog verdere actie op moet volgen.

Vraag 7

Acht u het verantwoord dat gedetineerden met een zware risicostatus zonder toezicht toegang hebben tot apparatuur waarmee dergelijke fouten kennelijk kunnen ontstaan? Zo ja, waarom?

De laptops die aan gedetineerden worden uitgereikt betreffen stand alone laptops die uitsluitend over functionaliteiten beschikken om het strafdossier te raadplegen.
Op basis van een uitspraak van RSJ2 moeten OM en DJI bij omvangrijke dossiers digitale inzage faciliteren. Bovendien is het uitsluitend op papier verstrekken van het strafdossier bij omvangrijke dossiers niet uitvoerbaar vanwege de beheersingsproblematiek die daarbij komt kijken. Niet enkel op het gebied van logistiek (het veilig transporteren van dossier van OM naar gedetineerde, bij overplaatsingen en bij beëindiging van inzage) maar ook op het gebied van informatieveiligheid en fysieke veiligheid (denk aan brandlast op cel).

Vraag 8

Bent u bereid te onderzoeken of dossierinzage voor hoogrisicogedetineerden voortaan uitsluitend onder toezicht en op papier dient plaats te vinden, zodat deze gedetineerden in zijn geheel geen toegang meer hebben tot laptops, waar wij al eerder voor hebben gepleit, en dit soort datalekken daardoor onmogelijk wordt? Zo nee, waarom niet?

Zie antwoord vraag 7.

Vraag 9

Welke disciplinaire, organisatorische of personele consequenties worden verbonden aan het niet naleven van de veiligheidsprocedures die tot dit incident hebben geleid? Gaat de toedracht van dit incident worden onderzocht op mogelijk opzettelijk handelen?

Ik ga niet in op individuele personele en disciplinaire kwesties.

Vraag 10

Kunt u garanderen dat zich binnen de EBI momenteel geen vergelijkbare beveiligingslekken voordoen waardoor gedetineerden toegang kunnen krijgen tot informatie die niet voor hen bestemd is? Zo nee, waarom niet?

DJI zet zich onvermoeibaar in voor een veilige omgeving, zowel fysiek als digitaal. De extra maatregelen die worden genomen naar aanleiding van het onderzoek zullen hieraan bijdragen.

Vraag 1

Bent u bekend met het bericht «AI-pornovideo’s met downsyndroom op Instagram, X en Telegram»?1

Ja.

Vraag 2

Hoe reageert u op dit bericht?

Wij vinden het zeer zorgwekkend dat dergelijke beelden van met name jonge vrouwen worden gemaakt en verspreid. Het vervaardigen van seksueel beeldmateriaal van minderjarigen of van meerderjarige personen zonder hun toestemming is strafbaar. Het mag duidelijk zijn dat dit soort strafbare feiten onacceptabel is en niet mag plaatsvinden. De impact en de gevolgen van dergelijke deepnudes kunnen voor slachtoffers en hun omgeving enorm zijn, mede omdat het maken van deepnudes steeds geavanceerder wordt en daarmee deepnudes steeds realistischer worden. Daarnaast betreft het maken en verspreiden – buiten de huiselijke sfeer – van deepfakes (zoals bijvoorbeeld afbeeldingen die zijn bewerkt met een zogenaamde downsyndroomfilter) waarin persoonsgegevens zijn verwerkt zonder een verwerkingsgrondslag een schending van de Algemene Verordening Gegevensbescherming (AVG).

Vraag 3

Kunt u meer vertellen over de aard en de omvang van de AI-beelden die zijn gemaakt en verspreid van jonge vrouwen?

Het betreft non-consensueel gemanipuleerde of gegenereerde seksuele beelden van echte jonge vrouwen die via zowel open platforms als gesloten kanalen worden verspreid. Via een brede uitvraag bij de politie, Centrum Seksueel Geweld (CSG), Offlimits, de Autoriteit Online Terroristisch en Kinderpornografisch Materiaal (ATKM), Slachtofferhulp Nederland, de Nationaal Rapporteur Mensenhandel en Seksueel Geweld tegen Kinderen (NRM) en het Openbaar Ministerie (OM) is naar voren gekomen dat representatieve cijfers ontbreken in het geval van beelden waarbij sprake is van een combinatie van AI-gegenereerde naaktbeelden en digitale verminking, dan wel met de toevoeging van een beperking en/of het toepassen van een downsyndroomfilter.
Omdat in de registratiesystemen van de politie geen onderscheid wordt gemaakt tussen misbruik van seksueel beeldmateriaal en misbruik van beeldmateriaal dat met AI is gegenereerd, beschikt de politie niet over cijfers van het aantal seksuele deepfakes. De afgelopen maanden signaleert de politie wel een toename van platformmeldingen via NCMEC (het Amerikaanse National Center for Missing and Exploited Children) van online materiaal van seksueel kindermisbruik dat met AI is aangemaakt of bewerkt. Hierbij benadrukt de politie dat deze meldingen laten zien dat illegale content wordt gegenereerd, maar niet op basis van welke prompts dit is gebeurd. Dit maakt het voor de politie complex, in sommige gevallen zelfs onmogelijk, om vast te stellen wat een gebruiker precies heeft gedaan, of de prompt op basis van materiaal van echte personen is geweest en of de gebruiker bijvoorbeeld de intentie had om strafbaar materiaal te vervaardigen. Hierdoor is het lastig om de (strafrechtelijke) verwijtbaarheid aan te tonen. Daarnaast ontbreekt in zijn algemeenheid vaak veel noodzakelijke informatie bij de meldingen. De politie analyseert doorlopend de binnengekomen NCMEC-meldingen.
Het CSG geeft aan dat meldingen over dit soort beelden niet expliciet worden geregistreerd omdat mensen hen bellen in nood en hun beleid is om niet actief uit te vragen wat daarvan de achtergrond is, want dat is niet nodig voor het bieden van eerste psychische hulp. Het CSG krijgt in algemene zin een heel breed scala aan seksuele geweldsvormen binnen.
Offlimits ziet bij hun hulplijn dat AI gerelateerd online misbruik mensen van alle leeftijden en genders kan treffen. AI-gegenereerde naaktafbeeldingen worden niet alleen gebruikt voor seksuele doeleinden, maar worden ook ingezet om mensen te vernederen of in diskrediet te brengen. Offlimits ziet bij hun hulplijn dat naast seksuele deepfakes, AI ook wordt gebruikt om mensen te vervormen of esthetisch onaantrekkelijk te maken. Dit kan voor slachtoffers ingrijpende gevolgen hebben. Offlimits zag in 2025 een toename in het aantal meldingen van afbeeldingen gemaakt met AI. Zij hebben in dat jaar 291 keer gesprekken gevoerd over AI gegenereerd beeldmateriaal.2 Het gaat dan met name om cyberpesten en sextortion. Het werkelijke aantal zal hoger liggen omdat niet in alle gevallen duidelijk is dat het om dit soort afbeeldingen gaat. Offlimits geeft aan dat sprake is van een omvangrijk en groeiend probleem.
De ATKM heeft ten aanzien van het soort afbeeldingen waaraan wordt gerefereerd in het artikel van De Telegraaf geen concrete meldingen ontvangen. Slachtofferhulp Nederland kan geen uitspraak doen over de omvang van dit soort beelden omdat zij in hun registratiesysteem bij seksuele misdrijven geen onderscheid maken tussen AI gegenereerd en niet-AI-gegenereerd materiaal. Het OM en de NRM kunnen geen uitspraken doen omtrent de aard en omvang van dit soort AI-gegenereerde beelden.

Vraag 4

Waar kunnen slachtoffers van de gemaakte AI-beelden terecht voor mentale of juridische ondersteuning? Hoe worden zij gewezen op deze mogelijkheden?

Voor slachtoffers en hun naasten geldt dat zij voor hulp en ondersteuning terecht kunnen bij verschillende organisaties zoals Offlimits, Slachtofferhulp Nederland en het CSG. De routes daartoe verschillen, maar deze organisaties werken veel samen om zo de behoefte van slachtoffers het beste te dienen. Slachtoffers hebben grofweg drie hoofdbehoeftes. Bij het uitkomen van (of dreigen met) beelden hebben slachtoffers een hoge urgentie voor het verwijderen van het online materiaal.3 Als het materiaal wordt ingezet voor chantage, afpersing of dwang, is er behoefte aan veiligheid en juridische ondersteuning. Na de eerste angst en stress hebben slachtoffers behoefte aan psychische ondersteuning. Slachtoffers van dit soort feiten hebben vaak ook behoefte aan herstel van het veiligheidsgevoel in de digitale omgeving en van het geschaad zelfbeeld. Bovendien gaat online seksueel geweld vaak gepaard met fysiek seksueel geweld, wat medische en forensische inzet vraagt.
Slachtofferhulp Nederland, het CSG en Offlimits helpen slachtoffers elk kosteloos vanuit hun eigen expertise. Zij zijn bereikbaar via de telefoon, chat, e-mail, contactpagina’s en in sommige gevallen via fysieke inlooplocaties. Verder maken zij gebruik van publieksvoorlichting om het eigen en elkaars aanbod bekendheid te geven. Ook verwijzen ze aan elkaar door. In het geval van aangifte worden gegevens na toestemming van de aangever automatisch gedeeld met Slachtofferhulp Nederland, waarna medewerkers van Slachtofferhulp Nederland contact opnemen met het slachtoffer. Deze medewerkers kunnen professionele juridische begeleiding bieden, helpen bij het aanvragen van schadevergoeding maar ook laagdrempelige emotionele en praktische steun en lotgenotencontact organiseren. Het CSG krijgt veel verwijzingen van professionals uit zowel politie-, (huisartsen)zorg- en GGZ-ketens. Het CSG biedt bewezen effectieve psychologische hulp en kunnen GGZ-wachtlijsten overbruggen en medische en forensische zorg coördineren. Offlimits helpt als trusted flagger bij het verwijderen van beeldmateriaal en werkt veel samen met bijvoorbeeld scholen om kinderen en jongeren te bereiken.
Offlimits, het CSG, Fier en Fonds Slachtofferhulp vormen tot slot een consortium tegen online seksueel geweld. Fonds Slachtofferhulp faciliteert een chat waarin Offlimits, Fier en het CSG samenwerken waardoor laagdrempeliger en zo beter onderling wordt doorverwezen afhankelijk van wat nodig is.

Vraag 5

Hoe wordt bij het informeren van de slachtoffers rekening gehouden met (digitale) toegankelijkheid zodat melden en hulp zoeken altijd laagdrempelig is?

Als het slachtoffer overweegt een melding te maken of aangifte te doen, kan deze terecht bij de politie. Slachtoffers kunnen daarnaast terecht bij verschillende organisaties, zie hiervoor de beantwoording van vraag 4.

Vraag 6

Kunt u uitleggen hoe het Europese verbod op uitkleed-apps deze vorm van deepfakes bestrijdt of voorkomt? Hoe gaat het verbod er praktisch uitzien en hoe wordt het gehandhaafd?2

Met het Europees verbod als opgenomen in de AI-verordening wordt het in de handel brengen, het in gebruik stellen of het gebruik van een AI-systeem dat materiaal van seksueel kindermisbruik of naaktbeelden zonder toestemming genereert of bewerkt verboden. Zoals uw Kamer eerder is geïnformeerd, is het op dit moment vooral mogelijk om in te grijpen als dergelijk materiaal al is vervaardigd.5 Met dit nieuwe verbod kan eerder worden opgetreden, namelijk al bij het aanbieden van een AI-systeem om het beeldmateriaal te vervaardigen. Het Europees verbod wordt in december dit jaar in heel de Europese Unie van kracht. Het kabinet zal de inrichting van het toezicht in Nederland op dit verbod meenemen in het lopende proces van de uitvoeringswet van de nieuwe AI-verordening.

Vraag 7

Waarom hebben Meta en X pas na vragen van De Telegraaf de AI-beelden verwijderd? Wat kunt u doen om deze beelden zo snel mogelijk verwijderd te krijgen?

De genoemde partijen zijn onder de DSA aangewezen als zogeheten «zeer groot online platform» wat betekent dat zij moeten voldoen aan bijzondere verplichtingen onder de digitale dienstenverordening (Digital Services Act, DSA). In die hoedanigheid zijn Meta en X verplicht om systeemrisico’s die kunnen voortvloeien uit het verspreiden van seksuele deepfakes (deepnudes), te identificeren en te beperken. Ook moeten zij het voor gebruikers mogelijk maken om illegale inhoud op eenvoudige wijze te melden. Die meldingen moeten zij op een tijdige, zorgvuldige, niet-willekeurige en objectieve wijze beoordelen. Daarnaast kan de hulp van Offlimits, als trusted flagger onder de DSA, worden ingeschakeld bij het indienen van een verwijderverzoek. Het primaat van het DSA-toezicht op Meta en X als zeer grote online platformen ligt bij de Europese Commissie (EC). Als de EC concludeert dat een zeer groot platform de DSA niet naleeft, kan zij verdere handhavingsmaatregelen nemen, zoals de vaststelling van een besluit tot niet-naleving en de oplegging van een boete. Zo heeft de EC bijvoorbeeld in december 2025 een boete opgelegd aan X.6 Wij blijven als vanzelfsprekend onze steun uitspreken voor effectieve handhaving van de DSA door de EC.

Vraag 8

Is er sprake van een gecoördineerd netwerk dat AI-beelden maakt van jonge vrouwen en ze afbeeldt met amputaties, letsel, of een zichtbare beperking?

Voor zover bekend circuleren op zowel het open internet als het dark web verzamelingen en op verzoek vervaardigde AI-beelden die zich richten op specifieke doelgroepen, waaronder beelden van jonge vrouwen met amputaties, letsel of een zichtbare beperking. Op dit moment zijn er echter geen concrete aanwijzingen voor een gecoördineerd netwerk of een achterliggende organisatievorm die deze content stelselmatig produceert of verspreidt.

Vraag 9

Vindt u het voldoende dat Meta en X hun eigen onderzoek voeren naar wie deze AI-beelden maken en verspreiden? Weet u meer over de omvang en de aard van deze onderzoeken?

Platforms beschikken doorgaans over gegevens en technische mogelijkheden die hen in staat stellen onderzoek te doen naar de wijze waarop content op hun diensten wordt geüpload en verspreid. Daardoor kunnen zij in bepaalde gevallen achterhalen welke accounts betrokken zijn bij het uploaden of verspreiden van dergelijke beelden. Platforms kunnen vervolgens maatregelen treffen, zoals het verwijderen van content, het beperken van de verspreiding daarvan of het uitschakelen van accounts. De Europese Commissie kan bovendien, als primaire toezichthouder op zeer grote online platforms, op eigen initiatief een onderzoek starten naar vermeende inbreuken op de DSA.
Tegelijkertijd geldt dat intern onderzoek door de platforms niet altijd leidt tot identificatie van de personen die verantwoordelijk zijn voor het maken of verspreiden van de beelden. Er kan daarom niet in algemene zin worden gesteld dat uitsluitend intern onderzoek door platforms voldoende is om in beeld te brengen wie dergelijke beelden maken of verspreiden. Wij beschikken niet over nadere informatie over de omvang of de aard van de onderzoeken die Meta en X zelf uitvoeren naar de makers en verspreiders van dergelijke AI-beelden.

Vraag 10

Kunt u ook onafhankelijk onderzoek laten uitvoeren, waarbij wetenschappers toegang krijgen tot de algoritmes van deze techbedrijven om te controleren hoe deze AI-beelden zich verspreiden?

Zoals eerder met uw Kamer gedeeld, vindt het kabinet het belangrijk dat er ook onafhankelijk onderzoek plaatsvindt naar contentmoderatie en de naleving van platformbeleid.7 Artikel 40 van de DSA voorziet in mogelijkheden voor zogenoemde erkende onderzoekers om toegang te krijgen tot gegevens van zeer grote online platforms en zoekmachines. Dit maakt onderzoek mogelijk dat kan bijdragen aan het opsporen, vaststellen en begrijpen van systeemrisico’s en het beoordelen van de adequaatheid van risicobeperkende maatregelen. Om de status van «erkende onderzoeker» te krijgen moet een onderzoeker eerst een aanvraag indienen bij de digitaledienstencoördinator van de plaats van vestiging, in Nederland is dat de Autoriteit Consument & Markt (ACM).
Daarbij moeten onderzoekers aan een aantal criteria voldoen. Daarnaast verplicht artikel 40, twaalfde lid van de DSA zeer grote online platforms om onderzoekers onverwijld toegang te geven tot openbaar toegankelijke gegevens. Daar wordt op toegezien door de EC. In december 2025 heeft de EC bijvoorbeeld een boete opgelegd aan X, onder meer omdat X niet voldoet aan de verplichting om onderzoekers toegang te bieden tot de openbare gegevens van het platform.8

Vraag 11

Welke instanties hebben de taak om toe te zien dat beelden van willekeurige mensen niet worden gebruikt om AI-beelden te maken van verminking en seksueel geweld? Kunt u uiteenzetten hoe deze instanties daartegen optreden?

Er zijn diverse instanties die werken aan de aanpak van seksuele deepfakes, waaronder de politie, het OM, de ATKM, de Autoriteit Persoonsgegevens (AP), de EC, en de Autoriteit Consument & Markt (ACM).
De EC houdt op grond van de DSA toezicht op zeer grote online platformen zoals Meta en X. Zij kan als bevoegd toezichthouder onderzoeken instellen en, indien nodig, handhavend optreden. Daarbij kan zij boetes opleggen van maximaal 6% van de omzet van een platform. De ACM is de bevoegde Nederlandse toezichthouder op de DSA. De ACM heeft op grond van de DSA echter geen bevoegdheid om verwijderbevelen voor specifieke inhoud op te leggen. Wel kan de ACM op grond van de DSA handhaven wanneer online platforms of hostingproviders onvoldoende maatregelen treffen tegen illegale inhoud of wanneer hun procedures voor het afhandelen van meldingen niet op orde zijn. Daarvan kan sprake zijn wanneer een platform niet, onvoldoende gemotiveerd of niet tijdig reageert op meldingen van illegale inhoud door gebruikers of trusted flaggers, zoals Offlimits. De ACM roept daarnaast gebruikers op om zelf melding te doen bij het betreffende platform of de hostingdienst, bij de politie of een trusted flagger, zoals Offlimits. Deze meldingen zijn van belang om aan te tonen dat beelden zonder toestemming zijn vervaardigd of verspreid. Ook kunnen dergelijke meldingen aantonen dat een platform tekortschiet in de aanpak van illegale inhoud, waarna de ACM daarop kan handelen.
Het zonder toestemming van de afgebeelde vervaardigen of verspreiden van AI gegenereerde nepnaaktbeelden is strafbaar. De strafbaarstelling in artikel 254ba Wetboek van Strafrecht (Sr) omvat onder meer het zonder toestemming van de afgebeelde, vervaardigen van seksueel beeldmateriaal. Wanneer het materiaal van minderjarigen betreft is het kinderpornografisch materiaal en is het strafbaar op grond van artikel 252 Sr.
De officier van justitie kan op grond van artikel 125p van het Wetboek van Strafvordering (Sv) aan een aanbieder van een communicatiedienst bevelen om strafbare online content ontoegankelijk te maken. Een dergelijk bevel kan, kort gezegd, worden gegeven als sprake is van een strafbaar feit waarvoor voorlopige hechtenis is toegelaten, ter beëindiging van dat strafbare feit en/of ter voorkoming van nieuwe strafbare feiten.
Voor illegale deepfakes die vallen onder de strafbaarstelling van de artikelen 252, 254ba en artikel 285d Sr is dit het geval. Van deze mogelijkheid wordt beperkt gebruik gemaakt, omdat de politie en het OM ook gebruik kunnen maken van verwijderverzoeken op basis van de meldmogelijkheden onder de DSA. Deze zijn in de praktijk vaak sneller. Een aanbieder die niet voldoet aan een dergelijk bevel onder 125p Sv kan strafrechtelijk aansprakelijk zijn (artikel 54a Sr).
Ten aanzien van kinderpornografisch materiaal is in Nederland de ATKM bevoegd om aanbieders van communicatiediensten die in Nederland zijn gevestigd of die beeldmateriaal van seksueel kindermisbruik op Nederlands grondgebied hebben opgeslagen, te verplichten om dergelijk materiaal ontoegankelijk te maken of te verwijderen. Dit geldt ook voor AI gegenereerd materiaal. Als aanbieders van hostingdiensten niet aan deze verplichting voldoen, kan de ATKM bestuursrechtelijk handhaven. De ATKM kan in dat geval een last onder dwangsom of een bestuurlijke boete opleggen, die kan oplopen tot 10 procent van de jaarlijkse omzet van de onderneming.
Tenslotte biedt de AVG mogelijkheden om illegale deepfakes tegen te gaan. Dit geldt bijvoorbeeld als een deepfake inbreuk maakt op de privacy van een er in afgebeelde persoon. Zo verbiedt de AVG het maken en verspreiden – buiten de huiselijke sfeer – van deepfakes waarin persoonsgegevens zijn verwerkt zonder een verwerkingsgrondslag. In de praktijk is daardoor een deepfake die zonder toestemming is gemaakt, zeker als daarin gevoelige (bijvoorbeeld seksuele) content is te zien, strijdig met de AVG. Het is aan de onafhankelijke toezichthouder op de AVG, de AP, om te beoordelen of zij in individuele gevallen een (rechtmatigheids)onderzoek doet en handhavend optreedt. Dan staan de toezichthouder maatregelen en sancties ter beschikking zoals een boete, een last onder dwangsom, een verwerkingsverbod of een berisping. Een complicerende factor kan daarbij zijn dat de verwerkingsverantwoordelijke of verwerker niet altijd te achterhalen is (afhankelijk van de omstandigheden van het geval; het individu en/of het platform). Als uit het onderzoek blijkt dat er overtredingen zijn, kan de AP of andere autoriteit in de EU de verwerkingsverantwoordelijke aanbieders van onlinediensten in bepaalde gevallen bijvoorbeeld een verwerkingsverbod opleggen wat betreft het onrechtmatige materiaal.
Toezichthouders, politie en OM werken samen aan het identificeren van mogelijkheden om niet alleen de individuele gevallen waarin nudify apps zijn gebruikt voor het vervaardigen van kinderpornografisch materiaal of nepnaaktbeelden zonder toestemming, maar juist ook de nudify apps zelf aan te pakken.

Vraag 12

Kunt u deze vragen afzonderlijk van elkaar en vóór het commissiedebat over digitale inclusie van 24 juni 2026 beantwoorden?

De vragen zijn afzonderlijk van elkaar beantwoord. Dat is helaas niet gelukt voor het commissiedebat over digitale inclusie op 24 juni.

Vraag 1

Bent u bekend met de bevindingen uit de twee Bloomberg-onderzoeken van 29 januari 20261 en 28 april 20262?

Ja.

Vraag 2

Beschouwt u het als zorgwekkend dat de onderzoeker stelt dat Meta alle tekstberichten, foto's, audio- en video-opnames in onversleutelde vorm kan opslaan en bekijken en dat Meta sinds ten minste 2019 een «gelaagd machtigingssysteem» hanteert dat toegang verleent aan opdrachtnemers en een significant aantal buitenlandse medewerkers in India?

Ja, doorbreking van verwachte beveiliging is in algemene zin zorgwekkend. Het is wel goed om te vermelden dat berichten in WhatsApp tussen verzender en ontvanger in principe versleuteld zijn. Alleen berichten die worden verzonden naar de Meta AI middels het commando «@Meta AI» gevolgd door een vraag, zijn in te zien door Meta. De rest van de berichtenconversatie blijft volgens Meta versleuteld. WhatsApp heeft wel toegang tot zogenoemde verkeersgegevens (metagegevens).
Andere, niet zakelijk gebruikte diensten van Meta, waaronder Messenger binnen Facebook en Direct Messenger op Instagram, hebben een ander beschermingsniveau.

Vraag 3

Beschouwt u de verklaringen van voormalige opdrachtnemers van Accenture dat zij en Meta-medewerkers «onbeperkte toegang» hadden tot versleutelde WhatsApp-berichten als zorgwekkend?

Zie antwoord op vraag 2.

Vraag 4

Indien het antwoord op ten minste een van bovenstaande twee vragen bevestigend luidt, welke consequenties verbindt u hieraan voor het gebruik van WhatsApp door Nederlandse burgers, bewindspersonen en ambtenaren?

Het beleid en de bestaande gedragsregeling voor de digitale werkomgeving voor bewindspersonen en ambtenaren blijft op dit moment ongewijzigd. Zoals toegelicht in de beantwoording van het informatieverzoek van het lid Kathmann (GL-PvdA)3 heeft de Rijksoverheid voor medewerkers de gedragsregeling voor de digitale werkomgeving opgesteld en geactualiseerd in oktober 2025. De gedragsregeling geeft medewerkers een kader voor het gebruik van digitale middelen zoals berichtenapps, en geeft aan dat het gebruik van berichtenapps enkel voor informeel gebruik is. Het advies luidt: app met beleid maar niet over beleid. Dit advies is ook overgenomen en herhaald in het cyberadvies Phishing via chatapps Signal en WhatsApp.4 Deze lijn is ook onderdeel van de basisopleiding digitale weerbaarheid die verplicht is voor alle rijksmedewerkers. De gedragsregeling, in combinatie met de basisopleiding, draagt bij aan zorgvuldige omgang met communicatiemiddelen en heeft een risicoreducerend effect op het gebruik daarvan. Op dit moment ziet het kabinet geen aanleiding om de gedragsregeling te herzien en roept het alle medewerkers op deze na te leven, zodat een veilige digitale werkomgeving wordt gewaarborgd.5 Advies aan Nederlanders die gebruik maken van chatapps, is zich bewust te zijn van mogelijke veiligheidsrisico’s. Over de privacyrisico’s van WhatsApp is informatie beschikbaar op veiliginternetten.nl. Sinds kort is er ook de mogelijkheid een check te doen op de veiligheid van apps via www.appinspector.nl.
Voor bewindspersonen is er het handboek voor bewindspersonen (het «Blauwe boek»).6 Hierin staan aanwijzingen voor de omgang met digitale middelen.

Vraag 5

Bent u bekend met de Amerikaanse CLOUD Act, op grond waarvan de Amerikaanse overheid van in de VS gevestigde bedrijven zoals Meta kan eisen dat zij toegang verlenen tot opgeslagen gebruikersdata, ook wanneer deze betrekking heeft op buitenlandse gebruikers? Zo ja, welke consequenties verbindt de regering hieraan voor het gebruik van WhatsApp door Nederlandse burgers, bewindspersonen en ambtenaren?

Ja, ik ben bekend met de CLOUD Act. Zoals toegelicht in de beantwoording van vraag 4 blijft het beleid en bestaande gedragsregeling voor ambtenaren voor de digitale werkomgeving ongewijzigd.

Vraag 6

Acht u het mogelijk dat vertrouwelijke communicatie – ondanks de maatregelen die voortvloeien uit de Archiefwet – via Whatsapp wordt verstuurd door ambtenaren en bewindspersonen?

De gedragsregeling voor de digitale werkomgeving resp. het handboek voor bewindspersonen geldt voor iedereen die voor de Rijksoverheid werkzaamheden uitvoert en daarbij gebruikt maakt van de digitale werkomgeving van de Rijksoverheid. Deze regeling sluit aan op de Gedragscode Integriteit Rijk en alle ambtenaren dienen zich hieraan te houden.

Vraag 7

Welke concrete maatregelen treft u op korte termijn om te voorkomen dat vertrouwelijke bestuurlijke communicatie via WhatsApp plaatsvindt, mede gelet op de ernstige twijfels over de daadwerkelijke end-to-endversleuteling?

De diensten hebben recent een cyberadvies gepubliceerd. Daarnaast is er binnen de Rijksoverheid veel aandacht geweest om niet over beleid te communiceren per chatapplicaties en vooral geen gerubriceerde en gevoelige gegevens te versturen via chatapplicaties.

Vraag 8

Bent u bereid een onafhankelijk onderzoek in te stellen naar de vraag of WhatsApp-berichten daadwerkelijk end-to-end versleuteld zijn en niet toegankelijk zijn voor Meta, haar medewerkers, opdrachtnemers of andere derden? Zo nee, waarom niet?

We richten onze capaciteit en inspanningen op het realiseren van eigen, veilige digitale voorzieningen. De Rijksoverheid is bezig met een plan voor de ontwikkeling van een eigen, soevereine chatapplicatie voor communicatie tussen ambtenaren onderling. Hierbij maken we, onder andere via het Europees Consortium voor Digitale Infrastructuur (EDIC), gebruik van kennis en ervaring opgedaan door andere Europese lidstaten.

Vraag 9

Zijn er op dit moment voor bewindspersonen en ambtenaren alternatieve communicatiediensten met end-to-end-versleuteling beschikbaar? Zo ja, welke, en worden deze in de praktijk gebruikt?

We draaien een pilot met een Europese, zakelijke berichtenapp, die voldoet aan hoge eisen op het gebied van veiligheid, privacy, datacontrole en opslag van berichten. Deze app wordt momenteel getest binnen een beperkte groep gebruikers. Op basis van die ervaringen bekijken we hoe we de kennis en ervaring kunnen onderbrengen in de eigen, soevereine chatapplicatie voor communicatie tussen ambtenaren onderling.

Vraag 10

Hanteert u bij de selectie van communicatiediensten voor overheidsgebruik als criterium dat de implementatie van end-to-end-versleuteling onafhankelijk verifieerbaar moet zijn via openbare broncode, en zo nee, is de regering bereid dit criterium alsnog in te voeren?

De in te richten soevereine chatoplossing zal open source zijn.

Vraag 11

Bent u bereid het NCSC te verzoeken een vergelijkende veiligheidsanalyse op te stellen van beschikbare open source communicatiediensten – waaronder Signal, Element/Matrix en Wire – met als specifiek doel te beoordelen welke dienst geschikt is voor vertrouwelijke bestuurlijke communicatie?

In 2025 heeft het CIO-beraad van de Rijksoverheid besloten tot het vergroten van soevereiniteit en autonomie via implementatie van een zelf ontwikkelde Rijkschatapplicatie op basis van Matrix/Elements. Matrix/Elements wordt tevens in andere Europese lidstaten gebruikt. In augustus wordt in het CIO-beraad het projectvoorstel voor de autonome chatvoorziening voor communicatie tussen ambtenaren onderling behandeld. Bij de implementatie hiervan wordt rekening gehouden met de noodzakelijke veiligheids- en privacy aspecten.

Vraag 12

Bent u bereid een voorlichtingscampagne te starten gericht op burgers, ambtenaren en bewindspersonen, waarin wordt gewezen op de ernstige twijfels die bestaan over de vertrouwelijkheid van WhatsApp-berichten? Zo nee, waarom niet?

Ambtenaren en bewindspersonen worden regelmatig geïnformeerd over het gebruik van digitale diensten, zoals door het recent gepubliceerde cyberadvies van de AIVD en MIVD7.
Inwoners worden doorlopend geïnformeerd via campagnes die erop gericht zijn om de eigen digitale weerbaarheid te vergroten. Bijvoorbeeld via campagnes als «Dubbel beveiligd is dubbel zo veilig» en «Laat je niet interneppen». De beweringen van de onderzoeker vormen op dit moment onvoldoende aanleiding om een dergelijke campagne te kunnen verantwoorden.

Vraag 1

Bent u bekend met het bericht van de NOS dat hackersgroep ShinyHunters, die eerder verantwoordelijk was voor de hack bij Odido, nu ook gegevens van miljoenen studenten, docenten en onderwijsmedewerkers via onderwijsplatform Canvas heeft buitgemaakt?1

Ja, daar ben ik mee bekend.

Vraag 2

Hoe beoordeelt u de ernst van dit datalek, mede gelet op de gevoeligheid van de buitgemaakte persoonsgegevens en mogelijk ook privécommunicatie van studenten, docenten en onderwijsmedewerkers?

De hack en de tijdelijke ontkoppeling van het systeem Canvas zorgde voor een enorm vervelende situatie voor diegenen van wie mogelijk data is buitgemaakt en voor studenten en medewerkers die hiervan hinder hebben ondervonden in het onderwijs en hun werk. De MBO-raad, UNL en VH hebben mij laten weten dat het op dit moment niet volledig is vastgesteld welke gegevens de hackersgroep precies heeft buitgemaakt. Hierover is contact tussen de instellingen en het bedrijf Instructure als leverancier van Canvas. Dit betekent dat er op dit moment nog geen goede schatting kan worden gemaakt door de instellingen van hoeveel studenten, docenten en onderwijsmedewerkers naar schatting zijn getroffen. De AVG is van toepassing op inbreuken in verband met persoonsgegevens (kortweg: datalekken). Er is door instellingen een voorlopige melding gedaan bij de Autoriteit Persoonsgegevens.

Vraag 3

Hoeveel studenten, docenten en onderwijsmedewerkers van Nederlandse onderwijsinstellingen zijn naar schatting getroffen en welke typen persoonsgegevens zijn daarbij buitgemaakt?

De MBO-raad, UNL en VH hebben mij laten weten dat op dit moment alleen bekend is welke instellingen getroffen zijn. Zij geven aan dat Instructure, de leverancier van Canvas, nog niet heeft aangegeven welke gegevens precies zijn buitgemaakt. Vermoedelijk gaat het om gegevens zoals namen en e-mailadressen van studenten en medewerkers en berichtenverkeer. De instellingen staan in contact met Instructure om hier meer duidelijkheid over te krijgen. Dat doen zij afzonderlijk van elkaar in verband met de individuele contracten van instellingen met deze leverancier. Instructure heeft de instellingen toegezegd dit overzicht op korte termijn te zullen verschaffen. Op dit moment kan er daarom nog geen goede schatting worden gemaakt van het aantal personen dat is getroffen door de hack.

Vraag 4

Welke gevolgen kan dit datalek hebben voor studenten, docenten en onderwijsmedewerkers, bijvoorbeeld in de vorm van phishing, identiteitsfraude of andere vormen van digitale criminaliteit en hoe kan worden voorkomen dat zij hiervan slachtoffer worden?

Als er sprake is van een datalek is het belangrijk om nu en in de komende tijd extra waakzaam te zijn voor mogelijke phishingmails en andere verzoeken waarbij persoonsgegevens of inloggegevens worden gevraagd. De instellingen wijzen hun studenten en medewerkers hier ook op. Op dit moment is nog niet volledig vastgesteld welke gegevens precies zijn buitgemaakt. Zodra hierover meer duidelijk is, zullen betrokkenen volgens de geldende procedures door de instellingen hierover worden geïnformeerd. De instellingen hebben hun studenten en medewerkers ook opgeroepen om zich te melden als zij getroffen worden naar aanleiding van de hack en zullen waar nodig passende ondersteuning bieden.

Vraag 5

Heeft u contact met de onderwijskoepels over wat nodig is om de gevolgen van dit datalek te beperken? Zo nee, bent u bereid hierover alsnog contact met hen op te nemen?

Het Ministerie van OCW heeft nauw contact met de onderwijskoepels en SURF over de situatie en gevolgen van de hack. De instellingen houden zelf, als contracthouders met Instructure voor deze onderwijssoftware, contact met de leverancier. Daarin is het ministerie geen partij. Voorts nemen de instellingen hun verantwoordelijkheid in het informeren van hun studenten en medewerkers over de situatie en de gevolgen van de hack.

Vraag 6

Welke ondersteuning en informatie worden momenteel geboden aan getroffen studenten, docenten en onderwijsmedewerkers om misbruik van hun persoonsgegevens te voorkomen? Acht u deze ondersteuning voldoende en welke rol ziet u hierin voor uzelf?

Zie hiervoor het antwoord op vraag 4 en vraag 5.

Vraag 7

Is voor studenten, docenten en onderwijsmedewerkers voldoende duidelijk welke persoonsgegevens via onderwijsplatformen zoals Canvas worden verwerkt, met welke externe partijen deze gegevens worden gedeeld en hoe deze gegevens worden beschermd?

Het is de bevoegdheid van instellingen zelf om te bepalen of, en zo ja hoe, zij onderwijsplatformen zoals Canvas inzetten. Het is daarbij hun verantwoordelijkheid zich bewust te zijn van de gegevens die daarmee worden verwerkt. Daarbij zijn ze gehouden aan de hiervoor geldende wet- en regelgeving (AVG). Het verschilt per instelling welke keuzes zij daarbij hebben gemaakt en welke gegevens worden verwerkt, met welke externe partijen deze worden gedeeld en hoe deze gegevens worden beschermd. Conform de geldende wet- en regelgeving is de instelling vervolgens ook zelf verantwoordelijk om in een (privacy) statement aan de betrokkenen gebruikers aan te geven welke gegevens er worden verwerkt en hoe deze worden beschermd.

Vraag 8

Vindt u het wenselijk dat Nederlandse onderwijsinstellingen onderhandelen met hackersgroep ShinyHunters naar aanleiding van het ultimatum rondom de hack op Canvas, waarbij wordt gedreigd buitgemaakte gegevens van studenten, docenten en medewerkers openbaar te maken, of bent u van mening dat overheids- en onderwijsinstellingen nooit zouden moeten ingaan op dergelijke eisen van cybercriminelen?

Instellingen geven aan niet benaderd te zijn door de hackgroep om losgeld te betalen. Instructure heeft gemeld een akkoord te hebben gesloten met de hackers en dat de buitgemaakte gegevens zouden zijn vernietigd. Instructure zegt hiervan bewijs te hebben ontvangen. Of er losgeld is betaald door Instructure is mij en de instellingen niet bekend. Het is aan ieder bedrijf om een eigen afweging te maken. Het dringende advies vanuit de overheid is om geen losgeld te betalen. Het betalen van losgeld biedt geen garantie dat criminelen systemen weer toegankelijk maken of gestolen data niet doorverkopen aan andere criminelen. Het uitbetalen van losgeld houdt bovendien het verdienmodel van criminelen in stand en lokt daarmee mogelijk nieuwe aanvallen op organisaties uit.

Vraag 9

Welke lessen trekt u uit dit incident en op welke wijze wordt deze kwestie betrokken bij de ontwikkeling van een duidelijk handelingskader voor slachtoffers van datalekken?2

De instellingen hebben aangegeven dit incident zowel afzonderlijk als in de sector te evalueren en de lessen die hieruit getrokken worden mee te nemen in de verdere ontwikkeling van hun beleid. Ik blijf hierover met hen in contact.
Het kabinet geeft in overleg met betrokken toezichthouders en andere experts uitvoering aan de motie-Rajkowksi c.a. (36 800 VII, nr.78), opdat een duidelijk handelingskader voor slachtoffers van grote datalekken beschikbaar is. Ook de relevante lessen uit dit incident worden daarbij betrokken. Het streven is om uw Kamer spoedig nader te informeren over de uitvoering van deze motie.

Vraag 1

Heeft u kennisgenomen van het bericht dat het UWV vanaf half mei een pilot start met Microsoft Copilot en daarmee stopt met het gebruik van het Europese alternatief Le Chat?1

Vraag 2

Hoe beoordeelt u het besluit van het UWV om een Europees AI-alternatief in te ruilen voor een Amerikaanse toepassing, mede in het licht van de kabinetsambities op het gebied van digitale soevereiniteit en het verminderen van afhankelijkheden van niet-Europese technologiebedrijven?

Vraag 3

Deelt u de opvatting dat publieke organisaties, zeker wanneer zij werken met grote hoeveelheden gevoelige persoonsgegevens, bij de inzet van generatieve AI, rekening zouden moeten houden met Europese datasoevereiniteit en strategische autonomie? Zo nee, waarom niet?

Vraag 4

Welke risico’s ziet u in de keuze die het UWV heeft gemaakt om co-pilot in te gebruiken, in het bijzonder waar het gaat om toegang tot persoonsgegevens, vendor lock-in en geopolitieke afhankelijkheden?

Vraag 5

Kunt u aangeven op welke wijze is beoordeeld of Microsoft Copilot voldoet aan de eisen rondom privacy, gegevensbescherming en gegevenssoevereiniteit en kunt u aangeven welke persoonsgegevens of interne gegevens van het UWV binnen deze pilot verwerkt kunnen worden?

Vraag 6

Hoe verhoudt deze keuze zich tot eerdere signalen vanuit Europese landen, waaronder Duitsland en Frankrijk, waarin juist gezocht wordt naar alternatieven voor afhankelijkheid van Microsoft?

Vraag 7

In referentie naar de aangenomen motie van het lid El Boujdaini c.s. over het principe «Europees tenzij» te hanteren en digitale soevereiniteit en digitale autonomie als expliciet criterium op te nemen in aanbestedingen, wat is de status van de uitvoering van die motie?2

Vraag 8

Kunt u aangeven wat er momenteel al gebeurt om Europese en soevereine AI-oplossingen binnen de Nederlandse overheid te stimuleren? En bent u bereid om samen met uitvoeringsorganisaties en andere overheidsinstanties te werken aan het breder implementeren van Europese en soevereine AI-oplossingen binnen de Nederlandse overheid? Zo nee, waarom niet?

Vraag 9

Eind 2026 worden de uitkomsten van de pilot met Microsoft Copilot geëvalueerd, kunt u toezeggen dat de Kamer actief wordt geïnformeerd over de uitkomsten van de pilot?

Vraag 1

Is de Staatssecretaris bekend met deze uitspraken van mevrouw Virkkunen1, Vice-President van de Europese Commissie, waarin ze stelt dat het niet zo kan zijn dat straks in de Europese Unie VPN’s gebruikt kunnen gaan worden voor het omzeilen van leeftijdsverificatie op het internet?

Ja.
Overigens noemt mevrouw Virkunnen in deze persconferentie VPN’s niet, noch stelt zij dat VPN’s verboden zouden moeten worden. Zij stelt alleen dat er gekeken wordt hoe omzeiling van online leeftijdsverificatie mechanismen zo veel mogelijk kan worden voorkomen, en benadrukt dat ook een niet waterdicht systeem beter is dan geen systeem.

Vraag 2

Wat is het standpunt hieromtrent van de Nederlandse regering? Is het beperken of zelfs verbieden van VPN’s in de Europese Unie voor de Nederlandse regering bespreekbaar?

Het kabinet is geen voorstander van het beperken dan wel verbieden van VPN’s, om daarmee eventuele omzeiling van een leeftijdsgrens te voorkomen. VPN’s zijn een belangrijke technologie voor het beveiligen van communicatie via het internet. Er zijn tal van legitieme toepassingen voor die communicatie via het internet veiliger maken, zoals beveiliging van bedrijfsnetwerken of bij het gebruik van openbare WiFi-netwerken.

Vraag 1

Bent u bekend met de berichten «Meta blokkeert opnieuw tientallen queer accounts op Instagram» en «Meta heft de blokkade van queer-Instagramaccounts deels op, maar de angst voor herhaling blijft: «Het duwt je terug de kast in»»?1, 2

Ja, daar zijn we mee bekend.

Vraag 2

Vindt u het acceptabel dat Meta wederom eenzijdig de accounts van tientallen queerorganisaties en queer personen heeft geblokkeerd of zelfs permanent heeft verwijderd?

De online publieke ruimte moet veilig, toegankelijk en inclusief zijn. Het is onacceptabel als de toegang tot de online publieke ruimte, waar het maatschappelijk debat en commercie plaatsvindt, ongelijk zou zijn op grond van identiteitskenmerken. Discriminatie is in strijd met wet- en regelgeving.

Vraag 3

Heeft u sinds de beantwoording op de vragen van de leden Dassen en Kathmann over een soortgelijke situatie in december 2025, meer informatie gekregen over de moderatiekeuzes door Meta?3

Nee, over de moderatiekeuzes van Meta en soortgelijke situaties hebben wij niet meer informatie gekregen sinds december 2025.

Vraag 4

Bent u sinds de beantwoording op de bovengenoemde vragen nog verder in contact geweest met Meta over het eenzijdig blokkeren van queer accounts? Zo ja, wat was uw inzet bij deze gesprekken?

Ja, de Staatssecretaris van Digitale Economie en Soevereiniteit heeft deze signalen in een recent gesprek met Meta aan de orde gebracht. Daarbij is het belang van een sociaal veilige omgeving voor iedereen benadrukt. Er is ook op ambtelijk niveau contact geweest met Meta om meer informatie te ontvangen.

Vraag 5

Herkent u de signalen van de getroffen accounts dat het vaak niet lukt om in contact te komen met een echt persoon bij Meta om bezwaar te kunnen maken? Wat kan u hiertegen doen?

De signalen van de getroffen accounts dat het niet altijd lukt om in contact te komen met een echt persoon bij Meta zijn bij ons bekend. Op grond van artikel 12 van de digitaledienstenverordening (Digital Services Act, «DSA») is Meta er echter toe verplicht om afnemers van de dienst de mogelijkheid te bieden om rechtstreekse en efficiënte communicatiemiddelen te kiezen die niet uitsluitend op geautomatiseerde instrumenten berusten. Ook moet zij op grond van artikel 20 DSA een gemakkelijk toegankelijk en gebruikersvriendelijk klachtenafhandelingssysteem hebben. Hierin moeten gebruikers voldoende nauwkeurige en naar behoren gemotiveerde klachten in kunnen dienen. Besluiten over die klachten moeten worden genomen onder toezicht van gekwalificeerd personeel en niet alleen op basis van geautomatiseerde middelen. Niet-naleving van deze verplichting kan resulteren in handhavend optreden door de bevoegde toezichthouder. In oktober 2025 heeft de Commissie voorlopige bevindingen gepubliceerd in het onderzoek naar Meta. Daarin concludeert zij dat Meta de DSA overtreedt, onder meer door gebruikers niet voldoende in staat te stellen om inhoudsmoderatiebeslissingen aan te vechten. Meta wordt nu in staat gesteld hierop te reageren, waarna de Commissie een definitief oordeel velt.4

Vraag 6

Zijn er signalen dat online accounts worden getroffen door gecoördineerde massameldingen van gebruikers of groepen die het oneens zijn met de inhoud van de accounts? Wat doet Meta om zulke gecoördineerde massameldingen tegen te gaan, met name als deze zich richten tegen minderheidsgroepen?

Nee, informatie over eventuele gecoördineerde massameldingen is bij ons niet bekend. Platforms, waaronder Meta, zijn zelf het best in staat om uit te leggen wat zij doen om dergelijke activiteiten tegen te gaan.

Vraag 7

Kunt u ingaan op de onevenredig grote gevolgen die zulke blokkades hebben voor queerorganisaties en personen die voor hun zichtbaarheid en bereik afhankelijk zijn van grote online platforms?

Wanneer accounts van personen en organisaties op zeer grote online platforms worden geschorst of verwijderd, kan dit aanzienlijke gevolgen hebben voor hun zichtbaarheid, community-opbouw en hun inkomsten. Het zonder geldige reden blokkeren van lhbtiq+ personen en lhbtiq+-organisaties kan ervoor zorgen dat deze organisaties en personen, uit angst voor repercussies, niet meer het gevoel hebben dat ze zich vrij kunnen uiten en deel kunnen nemen aan het publieke debat. Dat druist in tegen het recht op vrijheid van meningsuiting. Dit is niet alleen pijnlijk en schadelijk voor de getroffenen, maar ook voor de gemeenschappen waartoe zij behoren of voor wie zij opkomen. De effecten beperken zich niet slechts tot de getroffenen, maar iedereen die zich met die persoon of organisatie identificeert. En daarmee treft het onze hele vrije democratische samenleving.

Vraag 8

Hoe ziet u het blokkeren van queer accounts in het licht van artikel 35 van de Digital Services Act (DSA) die stelt dat platforms structurele risico’s op haat en discriminatie moet bestrijden?

Op grond van artikel 34 en 35 van de DSA moeten aangewezen zeer grote online platforms, waaronder Instagram en Facebook, de zogenaamde systeemrisico’s die voortvloeien uit het ontwerp of uit de werking van hun dienst en de daaraan verbonden systemen, identificeren en beperken. Tot deze risico’s behoren ook eventuele werkelijke of voorzienbare negatieve effecten op de uitoefening van de grondrechten. Voorbeelden hiervan zijn het recht op non-discriminatie, negatieve effecten met betrekking tot gendergerelateerd geweld en negatieve gevolgen voor het lichamelijke en geestelijke welzijn. Als zeer grote online platforms structureel lhbtiq+-accounts blokkeren of anders behandelen, voldoen zij niet aan deze verplichting. In dat geval kan de Europese Commissie, als primaire toezichthouder van de DSA ten aanzien van zeer grote online platforms, handhavend optreden.

Vraag 9

Vindt u dat Meta een verantwoordelijkheid heeft om een veilige en vrije omgeving te bieden voor queer content? Hoe spant u zich vanuit het perspectief van emancipatie in om dit te waarborgen?

Ja, iedereen heeft een verantwoordelijkheid voor het creëren van een sociaal veilige omgeving voor iedereen. Dat geldt zeker voor grote socialemediaplatforms zoals Meta, maar ook voor bedrijven, maatschappelijke organisaties, burgers en de overheid zelf. Dit uitgangspunt heeft de Staatssecretaris van Digitale Economie en Soevereiniteit recentelijk aan de orde gebracht in een gesprek met Meta. Het uitgangspunt staat ook centraal in ons interdepartementaal Plan van aanpak tegen online discriminatie.5 Binnen dit plan werken we nauw samen met de Ministeries van Justitie en Veiligheid en Sociale Zaken en Werkgelegenheid.
In het plan is aandacht voor de veiligheid van lhbtiq+ personen evenals in de Versterkte aanpak lhbtiq+-veiligheid.6 Een van de doelstellingen uit de Versterkte aanpak is dat verschillende organisaties op dit thema elkaar versterken.
We zullen de Kamer informeren over de voortgang van beide plannen voor het einde van 2026. Ook kan de Kamer in september de Emancipatienota van dit kabinet verwachten, met daarin de inzet van het kabinet voor het bevorderen van gelijkwaardigheid voor iedereen.
Aanvullend gaan we naar aanleiding van deze berichtgeving samen verkennen of, en zo ja, welke aanvullende maatregelen mogelijk zijn om de positie van lhbtiq+ personen online te versterken.

Vraag 10

Bent u bereid om te onderzoeken of de aanname klopt dat minderheidsgroepen onevenredig vaak en hard worden geraakt door de niet-transparante moderatie van Meta?

Het is aan de bevoegde toezichthouder om na te gaan of (zeer grote online) platforms zich houden aan de DSA. Relevant in dit verband is ook dat de DSA voorziet in een mechanisme voor erkende onderzoekers om toegang te krijgen tot gegevens van zeer grote online platforms voor onderzoek dat bijdraagt aan het analyseren van systeemrisico’s en de doeltreffendheid van risicobeperkende maatregelen daartegen.

Vraag 11

Bent u bereid zich in te zetten om de geblokkeerde of verwijderde accounts Nederlandse personen en organisaties te herstellen? Welke mogelijkheden heeft u hiertoe?

Op het moment van beantwoording van deze vragen is een aantal geblokkeerde en/of verwijderde accounts van Nederlandse personen en organisaties hersteld. Niet alle problemen zijn echter verholpen. Het is niet een taak van de overheid om in individuele geschillen te treden. Inmiddels is bekend geworden dat een aantal organisaties Meta heeft gesommeerd om aan de verplichtingen op grond van de DSA te voldoen.7 Het kabinet staat voor strikte naleving van de DSA en (bestuursrechtelijke en civielrechtelijke) handhaving daarvan. Daarnaast zet het kabinet, vanuit het plan van aanpak tegen online discriminatie, in op het makkelijker maken voor gebruikers om hun rechten ten opzichte van de platforms uit te oefenen.

Vraag 12

Is het blokkeren van accounts, zonder waarschuwing of motivering, in strijd met de DSA?

Ja. Op grond van artikel 17 van de DSA moeten hostingdiensten, waaronder online platforms, een duidelijke en specifieke motivering geven wanneer zij bepaalde beperkingen opleggen aan afnemer van de dienst. Hieronder valt ook het beperken van de zichtbaarheid van door de afnemer verstrekte informatie of gehele of gedeeltelijke schorsing of beëindiging van diens account. Ook moeten zij de gebruiker in staat stellen gratis en elektronisch een klacht in te dienen tegen dat besluit. Afnemers kunnen op grond van de DSA geschillen met een online platform over inhoudsmoderatie voorleggen aan gecertificeerde buitengerechtelijke geschillenbeslechtingsorganen. Dit kan onverminderd hun recht om hetzelfde geschil aan de rechter voor te leggen.8 Wanneer online platforms zich niet aan deze verplichtingen houden, dan is sprake van een overtreding van de DSA en kan de bevoegde toezichthouder daartegen optreden.

Vraag 13

Welke gevolgen zijn er voor grote online platforms die zich herhaaldelijk niet aan de DSA houden? Wat hebben toezichthouders nodig om harder en sneller op te kunnen treden?

Wanneer zeer grote online platforms zich (herhaaldelijk) niet aan de DSA houden, kan de Europese Commissie handhavend optreden. De DSA geeft de Europese Commissie verschillende bevoegdheden, zoals het vaststellen van een niet-nalevingsbesluit en het opleggen van een boete ter hoogte van 6% van de wereldwijde omzet. De eerste boete onder de DSA is eerder dit jaar uitgedeeld aan X. Er lopen diverse andere onderzoeken en procedures tegen andere online platforms, waaronder Facebook en Instagram. De Europese Commissie heeft vooralsnog niet aangegeven dat zij meer of andere bevoegdheden, instrumenten of andere middelen nodig heeft.

Vraag 14

Bent u het ermee eens dat grote online platforms, die dusdanig veel invloed hebben op het publieke debat en het bereik van organisaties, volledige openheid moeten geven over hun moderatiecriteria en werkwijze? Voorziet de DSA voldoende in deze transparantieverplichting volgens u?

Ja. De DSA voorziet in een dergelijke verplichting. Op grond van artikel 14 DSA moeten aanbieders van tussenhandeldiensten, waaronder (zeer grote) online platforms, in hun algemene voorwaarden informatie opnemen over eventuele beperkingen die zij aan het gebruik van hun dienst opleggen met betrekking tot door de afnemers van de dienst verstrekte informatie. Die informatie moet gegevens omvatten over eventuele beleidsmaatregelen, procedures, maatregelen en instrumenten die worden ingezet voor inhoudsmoderatie inclusief algoritmische besluitvorming en menselijke controle, alsook de procedurevoorschriften van hun interne klachtenafhandelingssysteem. De informatie moet in duidelijke, eenvoudige, begrijpelijke, gebruiksvriendelijke en ondubbelzinnige taal worden beschreven. De informatie moet openbaar beschikbaar zijn in een gemakkelijk toegankelijk en machineleesbaar formaat.

Vraag 15

Kunt u deze vragen afzonderlijk en tijdig vóór het commissiedebat sociale media en inmenging van 4 juni 2026 beantwoorden?

Ja.

Vraag 1

Bent u bekend met het bericht «Nog veel meer Instagramaccounts van LHBTIQ+’ers op zwart, veel meldingen uit Nederland» waaruit blijkt dat opnieuw meerdere Instagramaccounts van LHBTIQ+-organisaties, activisten en gemeenschappen, waaronder accounts uit Nederland, offline zijn gehaald of ontoegankelijk zijn gemaakt?1

Ja, daar zijn we bekend mee.

Vraag 2

Bent u eens met de stelling dat het blokkeren van specifieke LHBTIQ+ accounts en content onrechtmatig, discriminerend en onacceptabel is? Bent u het ook eens met de stelling dat het optreden hiervan, meermaals en herhaald in vrij korte tijd, niet steeds door Meta afgedaan kan worden als een incident maar dat het onderdeel lijkt te zijn van hun beleid?

Het zonder motivering blokkeren van lhbtiq+-accounts lijkt in strijd met de verplichtingen die voortvloeien uit de digitaledienstenverordening (Digital Services Act, DSA), zeker als dit herhaaldelijk gebeurt. Wanneer een platform besluit een account te schorsen of te beëindigen, moet dat gebeuren binnen de kaders van de DSA. De DSA verplicht online platforms om, bij het toepassen van inhoudsmoderatie (zoals het schorsen of verwijderen van een account), op zorgvuldige, objectieve en evenredige wijze te handelen met gepaste aandacht voor de rechten, belangen en grondrechten van alle betrokkenen. Het is aan de bevoegde toezichthouder of rechter om daar uiteindelijk een oordeel over te vellen.

Vraag 3

Deelt u de ernstige zorgen dat het blokkeren van LHBTIQ+ personen en LHBTIQ+ organisaties, zonder geldige reden, discriminerend is, de vrijheid van meningsuiting aantast en de acceptatie en het veiligheidsgevoel van LHBTIQ+-gemeenschap onder druk zet? Zo ja, waarom en welke acties onderneemt u om deze ernstige zorgen te adresseren?

Die zorgen delen we. Het zonder geldige reden blokkeren van lhbtiq+ personen en lhbtiq+-organisaties kan ervoor zorgen dat deze organisaties en personen, uit angst voor repercussies, niet meer het gevoel hebben dat ze zich vrij kunnen uiten en deel kunnen nemen aan het publieke debat. Dat druist in tegen het recht op vrijheid van meningsuiting. Dit is niet alleen pijnlijk en schadelijk voor de organisaties en personen die dit overkomt, maar ook voor de gemeenschappen waartoe zij behoren of voor wie zij opkomen. De effecten beperken zich niet slechts tot de getroffenen, maar iedereen die zich met die persoon of organisatie identificeert. En daarmee treft het onze hele vrije democratische samenleving.
Het kabinet is van oordeel dat iedereen een verantwoordelijkheid heeft voor het creëren van een sociaal veilige omgeving voor iedereen. Dat geldt zeker voor grote socialemediaplatforms zoals Meta, maar ook voor bedrijven, maatschappelijke organisaties, burgers en de overheid zelf. Dit uitgangspunt heeft de Staatssecretaris van Digitale Economie en Soevereiniteit recentelijk aan de orde gebracht in een gesprek met Meta. Het uitgangspunt staat ook centraal in ons interdepartementale Plan van aanpak tegen online discriminatie.2 Binnen dit plan werken we nauw samen met de Ministeries van Justitie en Veiligheid, en Sociale Zaken en Werkgelegenheid.
Ook is er aandacht voor de veiligheid van lhbtiq+ personen online in de Versterkte aanpak lhbtiq+-veiligheid.3 Een van de doelstellingen is dat verschillende organisaties op dit thema elkaar versterken.
We zullen de Kamer informeren over de voortgang van beide plannen voor het einde van 2026. Ook kan de Kamer in september de Emancipatienota van dit kabinet verwachten, met daarin de inzet van het kabinet voor het bevorderen gelijkwaardigheid voor iedereen.
Aanvullend gaan we naar aanleiding van deze berichtgeving samen verkennen of, en zo ja, welke aanvullende maatregelen mogelijk zijn om de positie van lhbtiq+ personen online te versterken.

Vraag 4

Is het bij u bekend in hoeverre andere minderheidsgroepen dan LHBTIQ+ ook te maken hebben met structurele discriminatie en aantasting van hun vrijheid van meningsuiting door sociale media platforms?

Voor zover eventuele aantasting van de vrijheid van meningsuiting door socialemediaplatforms zelf plaatsvindt, zijn hierover geen cijfers bij ons bekend. Het recente rapport «Discriminatiecijfers in 2025» laat zien dat veel mensen regelmatig online discriminerende uitingen tegenkomen of zelf ervaren.4 Daarbij gaat het ook om andere minderheidsgroepen dan lhbtiq+ personen. De European Observatory of Online Hate laat eveneens zien dat er sprake is van online haat op socialemediaplatforms.5 Tegelijk weten we dat slechts een klein deel van deze ervaringen uiteindelijk wordt gemeld bij de bevoegde instanties. Online discriminatie is complex en wordt niet eenduidig geregistreerd. De aanwezigheid van online haat en discriminatie op platforms kan negatieve effecten hebben op de mate waarin minderheidsgroepen gebruik (kunnen) maken van hun recht op vrijheid van meningsuiting.

Vraag 5

Kunt u toelichten in hoeverre het blokkeren van deze LHBTIQ+ accounts en content zonder duidelijke uitleg in lijn is met de verplichtingen uit de Digital Services Act, met name ten aanzien van transparantie, motivering en effectieve bezwaarprocedures en welke stappen het kabinet en de Europese Commissie zetten om hier actief op te handhaven?

Het blokkeren van accounts en content zonder duidelijke uitleg is in strijd met de verplichtingen uit de DSA. Op grond van de DSA moeten aanbieders van tussenhandeldiensten, waaronder (zeer grote) online platforms, in hun algemene voorwaarden informatie opnemen over eventuele beperkingen die zij aan het gebruik van hun dienst opleggen met betrekking tot door de afnemers van de dienst verstrekte informatie. Zij zijn verplicht om, bij het toepassen van dergelijke beperkingen, op zorgvuldige, objectieve en evenredige wijze te handelen met gepaste aandacht voor de rechten, belangen en grondrechten van alle betrokkenen. Ook moeten zij een duidelijke en specifieke motivering geven wanneer zij een dergelijk besluit nemen. In dat geval moeten zij ook de gebruiker in staat stellen gratis en elektronisch een klacht in te dienen tegen dat besluit. Wanneer online platforms zich niet aan deze verplichtingen houden, dan is sprake van een overtreding van de DSA en kan de bevoegde toezichthouder daartegen optreden.
Afnemers kunnen op grond van de DSA ook geschillen met een online platform over inhoudsmoderatie voorleggen aan gecertificeerde buitengerechtelijke geschillenbeslechtingsorganen. Dit kan onverminderd hun recht om hetzelfde geschil aan de rechter voor te leggen.6

Vraag 6

Welke acties zijn sinds de vorige blokkades (in december 2025) ondernomen door het kabinet of bevoegde toezichthouders naar aanleiding van deze signalen?

De Staatssecretaris van Digitale Economie en Soevereiniteit heeft de signalen aan de orde gebracht in een gesprek met Meta. In aanvulling daarop is ook op ambtelijk niveau navraag gedaan bij Meta over de blokkades om meer informatie te krijgen. Daarnaast is het signaal met de Europese Commissie gedeeld. De Europese Commissie kan naar aanleiding van deze signalen besluiten om nader onderzoek in te stellen naar de naleving van de DSA door Meta en, indien nodig, handhavend optreden.

Vraag 7

Is er tevens contact geweest met belangenorganisaties van LHBTIQ+ personen om te vragen welke signalen er nog meer zijn en waar behoefte aan is?

De Staatssecretaris van Onderwijs en Emancipatie staat in goed contact met strategische samenwerkingspartners die de belangen van de lhbtiq+-gemeenschap behartigen. De strategische partners zijn zelf niet getroffen door ongemotiveerde schorsingen of verwijderingen. Zij staan wel in contact met de getroffen organisaties. Met hen bespreken we wat de getroffen organisaties hebben ervaren en ook gaan we in gesprek met een aantal van de getroffen organisaties om te horen wat hun ervaringen zijn en waar behoefte aan is.

Vraag 8

Welke mogelijkheden ziet u voor zich om bij sociale media platformen de transparantie over het blokkeren van accounts af te dwingen zodat voor gebruikers duidelijk is op welke gronden een blokkade is ingesteld en waar ze terecht kunnen met klachten of vragen?

Zie het antwoord op vraag 5.

Vraag 9

Welke mogelijkheden heeft u om platforms ertoe te bewegen geblokkeerde accounts te herstellen en/of gedupeerden te ondersteunen bij het herstellen van hun account?

Op het moment van beantwoording van deze vragen is een aantal geblokkeerde en/of verwijderde accounts van Nederlandse personen en organisaties hersteld. Niet alle problemen zijn echter verholpen. Het is niet een taak van de overheid om in individuele geschillen te treden. Inmiddels is bekend geworden dat een aantal organisaties Meta heeft gesommeerd om aan de verplichtingen op grond van de DSA te voldoen.7 Het kabinet staat voor strikte naleving van de DSA en (bestuursrechtelijke en civielrechtelijke) handhaving daarvan. Daarnaast zet het kabinet, vanuit het plan van aanpak tegen online discriminatie, in op het makkelijker maken voor gebruikers om hun rechten ten opzichte van de platforms uit te oefenen.

Vraag 10

Welke maatregelen gaat u nemen tegen sociale media platforms die LHBTIQ+ personen en organisaties discrimineren? En welke aanvullende maatregelen overweegt u om het digitaal targetten van LHBTIQ+ gemeenschappen via sociale media platforms tegen te gaan en de LHBITQ+ gemeenschap beter te beschermen?

Discriminatie is in Nederland en de EU verboden. Platforms als Meta moeten bij het toepassen van hun inhoudsmoderatie rekening houden met grondrechten in het Handvest van de Grondrechten van de Europese Unie, waaronder het recht op non-discriminatie. In het algemeen moeten zij de toepasselijke Europese wetgeving, waaronder de DSA, naleven. Het is aan de bevoegde toezichthouder, in dit geval de Europese Commissie, om deze regelgeving te handhaven. De lopende onderzoeken en procedures naar Meta tonen aan dat de Commissie dit doet. Voor de aanvullende kabinetsinzet op het gebied van het tegengaan van online discriminatie en het bevorderen van gender- en lhbtiq+-gelijkheid verwijzen we u naar antwoorden 3 en 7.

Vraag 11

Kunt u de vragen afzonderlijk beantwoorden?

Ja.

Vraag 1

Klopt het dat op 27 maart 2026 besloten is om het DigiD-contract met Solvinity nogmaals voor twee jaar te verlengen?

Op dit moment heeft Logius een contract met Solvinity dat uiterlijk in augustus 2028 afloopt. Binnen het huidige contract kan er gebruik worden gemaakt van een tweede en laatste verlengingsoptie voor de periode van 7 augustus 2026 tot (uiterlijk) 6 augustus 2028. Het gaat hierbij om het contract met Solvinity voor het uitvoeren van de beheerwerkzaamheden aan het platform waar onder andere DigiD op draait. Het is niet mogelijk om voor augustus 2026 over te stappen naar een andere partij zonder dat hierbij de continuïteit en veiligheid van DigiD en andere voorzieningen in gevaar komen. Derhalve heb ik op 27 maart 2026 ingestemd met een contractverlenging voor de periode van 7 augustus 2026 tot 6 augustus 2028.

Vraag 2

Welke overwegingen liggen ten grondslag aan deze keuze? Is het niet verlengen van het contract serieus overwogen?

De afgelopen maanden zijn er door Logius en BZK verschillende mogelijkheden verkend, zoals het versneld overstappen naar een andere leverancier of het zelf in beheer nemen van het platform waar voorzieningen als DigiD op draaien
Het beheer van het platform vraagt om een ervaren beheerorganisatie om de continuïteit en veiligheid van dienstverlening blijvend te kunnen borgen. Op dit moment is het niet mogelijk om het platform in eigen beheer te nemen vanwege het feit dat Logius niet beschikt over voldoende kennis en capaciteit.
Het beheer van het platform versneld onderbrengen bij een andere beheerorganisatie kan ook leiden tot risico’s. De voornaamste reden hiervoor is dat een nieuwe beheerorganisatie kennis en ervaring moet opbouwen met het platform dat door Logius wordt gebruikt. Onder normale omstandigheden wordt hier een periode van 6 tot 12 maanden voor gehanteerd.
Deze overdracht kan plaatsvinden nadat een aanbestedingstraject is doorlopen en een nieuwe contractant is geselecteerd. Dat maakt het niet mogelijk om de overdracht naar een andere leverancier voor augustus 2026 af te ronden. Het vormgeven van een nieuwe aanbesteding en de overdracht naar een nieuwe leverancier is een langdurig traject dat zorgvuldig moet worden doorlopen, juist om de continuïteit en veiligheid van dienstverlening te borgen.

Vraag 3

Welke andere opties heeft u overwogen, behalve het contract met twee jaar verlengen? Waarom zijn deze opties afgevallen?

Zie het antwoord op vraag 2.

Vraag 4

Welke mogelijkheden heeft u om vóór het definitieve beslismoment begin mei alsnog af te zien van de contractverlenging van twee jaar? Kunt u een beroep doen op een voorwaarde in het contract of een wettelijke bevoegdheid om dit vervroegd te doen?

De Algemene Rijksinkoopvoorwaarden bij IT-opdrachten (ARBIT) zijn op deze overeenkomst van toepassing en bieden middels artikel 30 (onder voorwaarden) mogelijkheden tot het tussentijds ontbinden of opzeggen van de overeenkomst.
Voor het definitieve beslismoment van 6 mei 2026 heb ik geen mogelijkheden om af te zien van de contractverlenging. Zoals in de beantwoording op vraag 2 beschreven, zijn er op dit moment geen mogelijkheden om per augustus 2026 over te stappen naar een andere partij die in voldoende mate continuïteit en veiligheid kan borgen.

Vraag 5

Zo niet, heeft u de mogelijkheid om het contract slechts onder voorbehoud te verlengen zolang Solvinity niet door een Amerikaans bedrijf wordt overgenomen? Bent u bereid om zo’n voorbehoud te maken?

Zie antwoord op vraag 2 en 4.

Vraag 6

Heeft u de aangenomen motie-Stoffer c.s. (Kamerstuk 26 643, nr. 1467) en de twee moties-Kathmann c.s. (Kamerstuk 21 501-33, nr. 1190) (Kamerstuk 26 643, nr. 1507) meegewogen in dit besluit? Zo ja, hoe?

Deze zijn meegenomen in het besluit. Het kabinet wacht het oordeel van de onafhankelijke toezichthouder in het kader van het driesporenbeleid zoals vermeld in de Kamerbrief van 10 februari 20261 en de kabinetsreactie van 21 april 20262 af, om vervolgens een besluit te kunnen nemen.
Om vanaf (uiterlijk) augustus 2028 over te stappen naar een contractant waarbij het zeggenschap in Nederlandse/Europese handen ligt3, 4, wor dt er door Logius samen met de Landsadvocaat gekeken naar onder welke voorwaarden de aanbesteding kan worden uitgezet in de markt. In juni 2026 zullen wij uw Kamer hierover informeren.

Vraag 7

Kunt u concreet uitleggen hoe de continuïteit en veiligheid van de dienstverlening in gevaar komt als het contract niet was verlengd? Op basis van welke onderzoeken concludeert u dat?

Logius heeft een leverancier nodig voor het leveren van diensten die benodigd zijn om het platform waarop voorzieningen zoals DigiD staan, te laten draaien. Logius moet daarom een contract afsluiten met een leverancier. Zie voor verdere toelichting het antwoord op vraag 2.

Vraag 8

Is het mogelijk om de DigiD-diensten, die nu in beheer zijn bij Solvinity, binnen drie maanden over te schakelen naar een ander bedrijf? Is deze optie serieus onderzocht?

Zie beantwoording vraag 2.

Vraag 9

Hoe kunt u het DigiD-contract met Solvinity in zo kort mogelijke tijd ontbinden, nog vóór 2028, als de Amerikaanse overname doorgang vindt? Kunt u de Kamer uiterlijk in juni 2026 informeren over de opties die u hiertoe heeft en wat hiervan de kosten zijn?

Zie antwoord op vraag 4 en 6. Ik zal uw Kamer in juni 2026 nader informeren.

Vraag 10

Kunt u deze vragen afzonderlijk van elkaar en nog vóór het definitieve verlengen van het contract in begin mei beantwoorden?

Ja.

Vraag 1

Heeft u kennisgenomen van het artikel van Follow the Money waarin wordt gesteld dat de Kamer niet volledig is geïnformeerd over een contract met Palantir?1

Ja.

Vraag 2

Erkent u dat het antwoord dat in augustus 2025 is gegeven door de Minister van Justitie en Veiligheid op de vraag of er buiten de bekende voorbeelden binnen Justitie en Veiligheid gebruik is of wordt gemaakt van software van Palantir onjuist of op zijn minst onvolledig was? En erkent u dat de Kamer onjuist en/of onvolledig is geïnformeerd?

De Kamervragen zijn destijds gesteld aan en beantwoord door de Minister van Justitie en Veiligheid (JenV), op basis van de toen geldende portefeuilleverdeling binnen het kabinet. Daarnaast werden er Kamervragen over het mogelijke gebruik van Palantir gesteld aan meerdere bewindspersonen van andere departementen (Defensie, VWS, IenW, FIN, BZK). Grenstoezicht door de KMar, waarvoor Palantir-software in het verleden is ingezet, viel onder verantwoordelijkheid van de Minister van AenM. Daarom is deze toepassing van Palantir niet meegenomen ten tijde van de beantwoording van de Kamervragen in augustus 2025.
Inmiddels is het Ministerie van Asiel en Migratie opgegaan in het Ministerie van Justitie en Veiligheid. Daardoor is in navolging van een Woo-verzoek van JenV recent een contract verstrekt. Het Programma Vernieuwing Grensmanagement, onderdeel van de Programmadirectie Identiteitsmanagement en Immigratie (IDMI), had contracten afgesloten voor het gebruik van Palantir voor het API systeem dat gebruikt werd door de KMar voor het grenstoezicht. IDMI was onderdeel van het Directoraat Generaal Vreemdelingenzaken (DGVZ), thans DGM. Zoals hierboven uitgelegd, viel dit betreffende beleidsonderdeel ten tijde van de beantwoording van de Kamervragen in augustus 2025 niet onder de politieke verantwoordelijkheid van de Minister van JenV.
De stukken die hierover inmiddels naar aanleiding van het Woo-besluit van JenV zijn gedeeld en de inzet van Palantir-softwarelicenties, zullen nader worden betrokken bij de afhandeling van het Woo-verzoek dat aan de Minister van Asiel en Migratie is gestuurd.

Vraag 3

Kunt u precies uiteenzetten wanneer het contract tussen de Koninklijke Marechaussee (KMar) en Palantir is afgesloten, welke onderdelen van Defensie hierbij betrokken zijn en waarom de Kamer hier niet (volledig) vooraf over is geïnformeerd?

Zie antwoord vraag 2.

Vraag 4

Heeft u kennisgenomen van het 22-punten manifesto van Palantir dat zij op hun sociale media hebben gezet?2 Hoe beoordeelt u dat manifesto? Deelt u de mening dat dit manifesto direct ingaat tegen de normen en waarden van de Nederlandse overheid en dat er mede op basis daarvan geen samenwerking kan plaatsvinden tussen Palantir en de Nederlandse overheid?

Ja, daarvan is kennisgenomen.
Het kabinet stelt de bescherming van mensenrechten en de democratische rechtsstaat voorop en zet zich daarvoor in, ook bij de inzet van technologie. Het is niet aan het kabinet om opvattingen van het bestuur van een bedrijf van een oordeel te voorzien.
In relatie tot de huidige toepassing van Palantir bij de politie en Defensie hecht ik er, met de Staatssecretaris van Defensie, aan te benadrukken dat dit gebruik van veel waarborgen is voorzien. Tegelijkertijd worden mogelijke alternatieven verkend om de toekomstbestendigheid en flexibiliteit te vergroten, zoals ook aan uw Kamer toegelicht door de Staatssecretaris van Defensie tijdens uw Vragenuur van 2 juni jl.
Voor een reactie op de vraag of de Nederlandse overheid zaken kan blijven doen met het bedrijf in kwestie wordt u verwezen naar de Kamerbrief3 van de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties over de uitvoering aangenomen ontraden moties over ICT-onderwerpen ingediend tijdens het Notaoverleg over de Nederlandse Digitaliseringsstrategie d.d. 29 september 2025. Hierin is ingegaan op de uitvoering van de aangenomen motie4 van het lid Six Dijkstra c.s. over het onafhankelijk maken van de Nederlandse overheid van Palantir.

Vraag 5

Kunt u een totaaloverzicht geven van alle samenwerkingen die er hebben plaatsgevonden of plaatsvinden tussen de Nederlandse overheid en Palantir sinds de oprichting in 2003? Mochten er nog lopende samenwerkingen zijn, liggen er exitstrategieën om als Defensie zo snel mogelijk te stoppen met het gebruik van de betreffende software?

Er is geen Rijksbrede overeenkomst met Palantir. Een overzicht van alle lopende, aanstaande en verlopen contracten is niet voorhanden. Aanbestede diensten zijn zelf verantwoordelijk voor de aanbestedingsprocedures en het contracteren van leveranciers, er is geen centraal overzicht dat door mijn ministerie kan worden aangeboden.
Wat betreft uw vraag inzake eventuele exitstrategieën van Defensie het volgende. Binnen de Nederlandse krijgsmacht wordt bij een aantal (operationele) defensieonderdelen gebruik gemaakt van de Palantir-software. Dit gebeurt onder strikte maatregelen en in volledige afgesloten omgevingen. Ook wordt in het kader van interoperabiliteit tussen NAVO-partners onderzocht in hoeverre deze technologie hieraan kan bijdragen. Het afbouwen van afhankelijkheden is een middel om operationele continuïteit te kunnen waarborgen, maar dat kan bijvoorbeeld ook door in de samenwerking met (niet-Europese) technologiebedrijven verschillende contractuele, organisatorische en technische maatregelen te treffen. Tegelijkertijd onderzoekt Defensie de mogelijkheden om, al dan niet samen met bondgenoten, Europese alternatieven te (helpen) ontwikkelen.

Vraag 1

Kunt u meer toelichten over de raamovereenkomst die is gesloten met het Europese cloudplatform STACKIT?1

Strategisch Leveranciersmanagement (SLM) Rijk heeft de opdracht om, binnen de kaders van wet- en regelgeving en vigerend beleid, het afnemen van (cloud)diensten te faciliteren voor rijksorganisaties. Hiervoor sluit SLM Rijk de zogenaamde «Framework Agreements» (hierna: raamovereenkomst) af met cloud leveranciers waarin waarborgen zijn opgenomen voor het op verantwoorde wijze gebruiken van (cloud-)diensten.
De keuze voor aankoop en gebruik van een (cloud)dienst onder een door SLM Rijk gecontracteerde raamovereenkomst ligt bij de rijksorganisatie zelf. De raamovereenkomst bevat geen verplichtingen voor daadwerkelijke afname van diensten. De rijksorganisatie dient af te wegen of de aan te schaffen dienst past op haar specifieke vraag en situatie, waaronder de (gevoeligheid van) data die de organisatie wenst te laten verwerken.2
Rijksorganisaties die clouddiensten willen inkopen, kunnen gebruik maken van de door het Rijk afgesloten raamovereenkomst met STACKIT. Bij hun inkooporganisatie kunnen zij informeren hoe de verwerving van clouddiensten georganiseerd dient te worden.

Vraag 2

Kunt u de raamovereenkomst aan de Kamer doen toekomen?

Nee. De raamovereenkomst met STACKIT bevat grotendeels bedrijfsvertrouwelijke informatie. Het delen van deze informatie zou nadelige consequenties voor de Staat hebben, omdat leveranciers (met de wetenschap dat bedrijfsvertrouwelijke contracten gedeeld zouden kunnen worden) niet meer genegen zouden zijn (maat-)werkafspraken met de Staat te maken. Er is ook een geldige Non-Disclosure Agreement (NDA) van kracht met de leverancier.
In vraag 4 en 5 wordt antwoord gegeven op een aantal specifieke inhoudelijke vragen.

Vraag 3

Hoe ziet u de rol van de Rijksoverheid als lancerende klant van autonome Europese IT-diensten? Hoe draagt de raamovereenkomst met STACKIT bij aan dit doel?

Het kabinet kijkt naar de mogelijkheden om als launching customer op te treden bij de inkoop van clouddienstverlening en bij aanbesteding van dergelijke diensten de mogelijkheden van een Europees voorkeursprincipe te benutten met behoud van de voordelen van een open markt.
Zoals gesteld in beantwoording op vraag 1 kunnen rijksorganisaties met het sluiten van de raamovereenkomst onder veilige en gunstige voorwaarden clouddienstverlening afnemen bij leveranciers. Dit kan een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze leveranciers. Met de inkoop van dienstverlening bij Europese leveranciers, zoals STACKIT, kan de overheid als lancerende klant bijdragen aan de concurrentiepositie van Europese cloudleveranciers. Ook kan dit bijdragen aan een meer divers leveranciersbestand, waarmee afhankelijkheden van niet-Europese aanbieders bij rijksorganisaties worden afgebouwd. Dit draagt bij aan de digitale autonomie van Nederland.
Daarbij dient wel te worden opgemerkt dat het sluiten van de raamovereenkomst niet inhoudt dat de dienstverlening van STACKIT al daadwerkelijk door onderdelen van de Rijksoverheid is ingekocht.

Vraag 4

Met welk doel is de raamovereenkomst gesloten? Zijn er ook afspraken gemaakt over de afname van deze diensten?

Het doel van de raamovereenkomst is om door SLM Rijk onderzochte Europese cloud-alternatieven op verantwoorde wijze beschikbaar te stellen voor rijksorganisaties.
SLM Rijk heeft geen afspraken gemaakt over de afname van diensten; die beslissing ligt bij de rijksorganisaties zelf. Zie ook de beantwoording op vraag 1.

Vraag 5

Welke «veilige en gunstige voorwaarden» heeft u afgesproken met STACKIT? Op welke manier dragen deze voorwaarden bij aan de digitale autonomie van Nederland?

Doeltreffende maatregelen m.b.t. de bescherming van persoonsgegevens zijn getroffen naar aanleiding van de door SLM uitgevoerde Data Protection Impact Assessment (DPIA). Conform de uitgevoerde DPIA is in de raamovereenkomst vastgelegd dat alle data exclusief worden verwerkt binnen de EER, inclusief persoonsgegevens. Ook zijn er afspraken gemaakt over (voortijdige) contractbeëindiging bij wijzigingen in eigenaarschap, bijvoorbeeld als STACKIT wordt overgenomen door een buiten de EER gelegen eigenaar.
Zoals gesteld in beantwoording op vraag 1 kunnen rijksorganisaties met het sluiten van de raamovereenkomst onder veilige en gunstige voorwaarden clouddienstverlening afnemen bij leveranciers. Dit kan een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze leveranciers. Met de inkoop van dienstverlening bij Europese leveranciers, zoals STACKIT, kan de overheid als lancerende klant bijdragen aan de concurrentiepositie van Europese cloudleveranciers. Ook kan dit bijdragen aan een meer divers leveranciersbestand, waarmee afhankelijkheden van niet-Europese aanbieders bij rijksorganisaties worden afgebouwd. Dit draagt bij aan de digitale autonomie van Nederland.

Vraag 6

Hoe draagt het sluiten van een raamovereenkomst met één leverancier bij aan een eerlijk en open speelveld voor Nederlandse en Europese techbedrijven?

Zoals onder vraag 5 toegelicht kan het sluiten van de raamovereenkomst een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze Europese leverancier. Daarnaast sluit het afsluiten van een raamovereenkomst met één partij de mogelijkheid tot het sluiten van gelijksoortige raamovereenkomsten met andere partijen geenszins uit.
Tegelijkertijd is meedingen in individuele aanbestedingstrajecten voor clouddienstverlening van de Rijksoverheid niet exclusief voorbehouden aan partijen die een raamovereenkomst met SLM Rijk hebben afgesloten. Dit betekent dat aanbieders zonder raamovereenkomst met SLM Rijk evengoed kunnen meedingen in aanbestedingen voor clouddienstverlening.
Het is tevens relevant te benadrukken dat SLM Rijk de intentie heeft met meer Europese cloudaanbieders een raamovereenkomst te sluiten. Zo is er reeds een onderzoek bezig naar OVHcloud en ESET, een Europese leverancier voor securitydiensten. Ook is SLM Rijk in gesprek met Nederlandse cloudbedrijven om de mogelijkheden voor het sluiten van een raamovereenkomst te verkennen.

Vraag 7

Hoe borgt u in het sluiten van een raamovereenkomst de diversificatie en keuzevrijheid tussen leveranciers, zoals wel beoogd wordt door een privaat initiatief zoals de Open Cloud Alliantie?2

Er geldt geen afnameverplichting voor het gebruik van STACKIT door rijksorganisaties.
Dit betekent dat net als STACKIT iedere andere cloudaanbieder inclusief leden van bijvoorbeeld de Open Cloud Alliantie, kan meedingen in aanbestedingen.

Vraag 8

Welke diensten levert STACKIT? Kunt u concreet maken voor welke belangrijke IT-processen u van plan bent de clouddiensten van STACKIT af te nemen?

STACKIT levert clouddiensten, bijvoorbeeld rekenkracht en opslag. Onder de reikwijdte van de raamovereenkomst zijn deze diensten meegenomen.
Zoals toegelicht in de beantwoording van vragen 1 en 4 zijn afspraken over de afname van diensten geen onderdeel van de raamovereenkomst.

Vraag 9

Erkent u dat opslag binnen de Europese Economische Ruimte (EER) geen afdoende bescherming is tegen inzageverzoeken van niet-Europese overheden, als de bedrijven die de opslag beheren onder niet-Europese wetgeving vallen?

Ja, dat erken ik. Omdat dit risico niet van toepassing is op de diensten in scope van de raamovereemkomst met STACKIT, verwijs ik voor een gedetailleerde juridische analyse naar andere door SLM gepubliceerde DPIA’s.4 Zo wordt hierop in de recent gepubliceerde tweede update DPIA op M365 Copilot gedetailleerd ingegaan, specifiek in paragraaf 8.3.4.
Op dit moment zijn er geen afhankelijkheden van niet-Europese bedrijven geconstateerd voor de diensten van STACKIT die zijn opgenomen in de scope van de raamovereenkomst. Zie ook de beantwoording op vraag 11.

Vraag 10

Is uitgesloten dat de clouddiensten van STACKIT op welke manier dan ook afhankelijk zijn van niet-Europese techbedrijven in het beheer, onderhoud, de beveiliging, of andere essentiële processen?

Dit is contractueel uitgesloten. Mocht er worden geconstateerd dat de feitelijke situatie in een later stadium zou afwijken van de contractuele waarborgen, dan kan het contract direct worden opgezegd.

Vraag 11

Indien dit niet uit te sluiten is, kunt u dan toelichten welke afhankelijkheden STACKIT heeft van niet-Europese bedrijven? Zijn deze afhankelijkheden weg te nemen?

Op dit moment zijn er geen afhankelijkheden van niet-Europese bedrijven geconstateerd voor de diensten van STACKIT die zijn opgenomen in de scope van de raamovereenkomst.

Vraag 12

Welke analyses heeft u gemaakt om te bevestigen dat STACKIT daadwerkelijk volledig Europees en autonoom is? Kunt u deze met de Kamer delen?

SLM Rijk heeft de DPIA op STACKIT door een extern bureau laten uitvoeren waarin de potentiële gegevensuitwisselingen met STACKIT zijn onderzocht. Conform de uitgevoerde DPIA is in de raamovereenkomst vastgelegd dat alle gegevens exclusief worden verwerkt binnen de EER, inclusief persoonsgegevens. Ook zijn er afspraken gemaakt over (voortijdige) contractbeëindiging bij wijzigingen in eigenaarschap, bijvoorbeeld als STACKIT wordt overgenomen door een buiten de EER gelegen eigenaar. Zie ook de beantwoording op vraag 5.

Vraag 13

Hoe gaat de Rijksoverheid toezien of STACKIT zich aan de afspraken houdt? Welke toezichthouder is hiertoe aan zet?

SLM Rijk zal dat doen door middel van uitoefening van het bedongen auditrecht, dit is onderdeel van regulier contractbeheer. De toezichthouder is in casu dus niet aan zet.

Vraag 14

Kunt u de vragen afzonderlijk van elkaar en zo snel mogelijk beantwoorden?

Ja.

Vraag 1

Bent u bekend met het Follow The Money-artikel «Marechaussee werkte met omstreden techreus Palantir: Minister van Weel verzweeg contract voor Tweede Kamer»?1

Ja.

Vraag 2

Was uw eerdere antwoord op Kamervragen in juli 2025 over gebruik van Palantir binnen de Nederlandse overheid correct en compleet?2 Zo nee, wat heeft u dan verzaakt te melden?

De Kamervragen zijn destijds gesteld aan en beantwoord door de Minister van Justitie en Veiligheid (JenV), op basis van de toen geldende portefeuilleverdeling binnen het kabinet. Daarnaast werden er Kamervragen over het mogelijke gebruik van Palantir gesteld aan meerdere bewindspersonen van andere departementen (Defensie, VWS, IenW, FIN, BZK). Grenstoezicht door de KMar, waarvoor Palantir-software in het verleden is ingezet, viel onder verantwoordelijkheid van de Minister van AenM. Daarom is deze toepassing van Palantir niet meegenomen ten tijde van de beantwoording van de Kamervragen in augustus 2025.
Inmiddels is het Ministerie van Asiel en Migratie opgegaan in het Ministerie van Justitie en Veiligheid. Daardoor is in navolging van een Woo-verzoek van JenV recent een contract verstrekt. Het Programma Vernieuwing Grensmanagement, onderdeel van de Programmadirectie Identiteitsmanagement en Immigratie (IDMI), had contracten afgesloten voor het gebruik van Palantir voor het API-systeem dat gebruikt werd door de KMar voor het grenstoezicht. IDMI was onderdeel van het Directoraat Generaal Vreemdelingenzaken (DGVZ), thans DGM. Zoals hierboven uitgelegd, viel dit betreffende beleidsonderdeel ten tijde van de beantwoording van de Kamervragen in augustus 2025 niet onder de politieke verantwoordelijkheid van de Minister van JenV.
De stukken die hierover inmiddels naar aanleiding van het Woo-besluit van JenV zijn gedeeld en de inzet van Palantir-softwarelicenties, zullen nader worden betrokken bij de afhandeling van het Woo-verzoek dat aan de Minister van Asiel en Migratie is gestuurd.

Vraag 3

Was u op de hoogte van het contract tussen Palantir en de Programmadirectie Identiteitsmanagement en Immigratie (IDMI) in 2014?

Zie antwoord vraag 2.

Vraag 4

Zo ja, waarom heeft u dat contract niet genoemd in uw eerdere antwoord? Zo nee, waarom bent u niet voldoende op de hoogte over Amerikaanse tech-afhankelijkheden binnen uw eigen ministerie?

Zie antwoord vraag 2.

Vraag 5

Kunt u een kloppend overzicht geven van alle lopende, aanstaand of verlopen contracten tussen de Nederlandse overheid, inclusief sub-overheden en Zelfstandig Uitvoeringsorganen (ZBO’s), en het Amerikaanse Palantir?

Er is geen Rijksbrede overeenkomst met Palantir. Een overzicht van alle lopende, aanstaande en verlopen contracten is niet voorhanden. Aanbestedende diensten zijn zelf verantwoordelijk voor de aanbestedingsprocedures en het contracteren van leveranciers, er is geen centraal overzicht dat door mijn ministerie kan worden aangeboden.

Vraag 6

Bent u van mening dat ongepaste of onethische uitspraken van het bestuur van een bedrijf een reden moet zijn dat de Nederlandse overheid geen zaken meer moet doen met het bedrijf in kwestie? Zo nee, waarom niet?

Het kabinet stelt de bescherming van mensenrechten en de democratische rechtsstaat voorop en zet zich daarvoor in, ook bij de inzet van technologie. Het is niet aan het kabinet om opvattingen van het bestuur van een bedrijf van een oordeel te voorzien.
In relatie tot de huidige toepassing van Palantir bij de politie en Defensie hecht ik er, met de Staatssecretaris van Defensie, aan te benadrukken dat dit gebruik van veel waarborgen is voorzien. Tegelijkertijd worden mogelijke alternatieven verkend om de toekomstbestendigheid en flexibiliteit te vergroten, zoals ook aan uw Kamer toegelicht door de Staatssecretaris van Defensie tijdens het Vragenuur van 2 juni jl.
Voor een reactie op de vraag of de Nederlandse overheid zaken kan blijven doen met het bedrijf in kwestie wordt u verwezen naar de Kamerbrief van de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties over de uitvoering aangenomen ontraden moties over ICT-onderwerpen ingediend tijdens het Notaoverleg over de Nederlandse Digitaliseringsstrategie d.d. 29 september 2025.3 Hierin is ingegaan op de uitvoering van de aangenomen motie4 (motie 5) van het lid Six Dijkstra c.s. over het onafhankelijk maken van de Nederlandse overheid van Palantir.

Vraag 7

Bent u voornemens alle lopende en aanstaande contracten tussen de Nederlandse overheid en Palantir in belang van nationale veiligheid te annuleren, dan wel niet te verlengen? Zo nee, waarom niet?

Zie antwoord vraag 6.

Vraag 8

Kunt u deze vragen apart van elkaar en voor 12 mei 2026 beantwoorden?

Dat is helaas niet gelukt.

Vraag 1

Bent u bekend met het bericht in het NRC over het AI-model Mythos dat mogelijk in handen is gevallen van onbevoegden?1

Ja.

Vraag 2

Deelt u de analyse dat ongecontroleerde verspreiding van geavanceerde AI-modellen risico’s kan vergroten op cyberaanvallen, geautomatiseerde fraude en andere schadelijke toepassingen? Zo ja, welke risico’s acht u het meest urgent? Zo nee, waarom niet?

Het is goed om te benadrukken dat de risico’s niet voortkomen uit één specifiek geavanceerd AI-model. Geavanceerde capaciteiten zijn niet enkel meer voorbehouden aan gesloten, zogeheten «frontier-only» modellen. Ook open, vrij toegankelijke AI-modellen komen steeds dichterbij dergelijke geavanceerde capaciteiten. Zo laat gelekte broncode van Anthropic’s Claude Code product zien dat de capaciteiten van een AI-model niet enkel of grotendeels voortkomen uit het model zelf, maar juist uit de technische infrastructuur (het «harnas») om het AI-model heen.
De ontwikkelingen volgen elkaar in snel tempo op, risico’s zijn dan ook zeer situationeel afhankelijk. Eén van de risico’s die het kabinet ziet, is dat geavanceerde AI-modellen onder andere kunnen worden ingezet om technische kwetsbaarheden in software op te sporen. Dit kan dankzij dergelijke AI-modellen in veel kortere tijd en op grotere schaal worden gedaan dan eerder mogelijk was. Hierdoor kan de tijd tussen ontdekking van een kwetsbaarheid en het moment dat deze wordt uitgebuit significant worden verkort.
Ook zijn geavanceerde AI-modellen tot dusver afkomstig van commerciële bedrijven en veelal afkomstig uit niet-Europese landen waar andere wet- en regelgeving geldt dan in de EU. Dat kan ertoe leiden dat (a) er weinig tot geen inzicht bestaat in de onderliggende systemen en software van dergelijke systemen en (b) die systemen niet voldoen aan Europese wet- en regelgeving. Het (verder) integreren van AI-modellen in Nederlandse digitale (kern)processen, waarbij de AI-modellen op infrastructuur van niet-Europese aanbieders draait, kan leiden tot toenemende afhankelijkheid.
Ook draaien veel geavanceerde AI-modellen op niet-Europese cloudinfrastructuur. Integratie in Nederlandse digitale processen vergroot daarmee de afhankelijkheid van niet-Europese aanbieders, met bijbehorende risico’s op gebied van datasoevereiniteit, continuïteit, vertrouwelijkheid en strategische afhankelijkheid. Aanbieders kunnen toegang tot specifieke modellen beperken, updates kunnen de uitkomsten veranderen zonder dat de afnemer dat in de hand heeft, en de rekenkracht voor geavanceerde AI is geconcentreerd bij een klein aantal niet-Europese partijen.

Vraag 3

Welke rol spelen geavanceerde AI-modellen op dit moment in het dreigingsbeeld? Welke gevolgen heeft de uitrol van Mythos, binnen afzienbare tijd ook aan het grotere publiek, voor dit dreigingsbeeld?

Geavanceerde AI-modellen spelen in algemene zin op twee manieren een rol in het huidige dreigingsbeeld. Enerzijds kunnen AI-modellen worden ingezet door kwaadwillenden om systemen aan te vallen. Zo kan AI worden ingezet om kwetsbaarheden op te sporen, code te ontwikkelen, phishing te personaliseren of grote hoeveelheden data te verwerken. Dit kan ervoor zorgen dat actoren sneller en op grotere schaal cyberaanvallen kunnen uitvoeren. Anderzijds kunnen AI-modellen worden ingezet ter verdediging. Zo kan AI worden ingezet voor detectie van afwijkend netwerkverkeer, het geautomatiseerd controleren van systemen of het reageren op incidenten. Ook hiervoor geldt dat dergelijke processen sneller en op grotere schaal kunnen worden uitgevoerd. De mogelijke risico's zoals beschreven in het antwoord op vraag 2 gelden voor de bredere trend waarbinnen dergelijke geavanceerde AI-systemen breder beschikbaar worden, waaronder de uitrol van Mythos.

Vraag 4

Bent u van mening dat overheden toegang moeten krijgen tot Mythos zodat zij het kunnen gebruiken om preventief kwetsbaarheden op te sporen en te dichten? Kan dit op een veilige en verantwoorde manier?

Het kabinet bepleit terughoudendheid ten aanzien van toegang tot operationeel gebruik van een niet-Europees leveranciersmodel als oplossingsrichting voor preventieve kwetsbaarheidsdetectie. Drie overwegingen liggen hieraan ten grondslag.
In de eerste plaats laat onafhankelijk onderzoek zien dat toegang tot AI-frontiermodellen in veel gevallen niet noodzakelijk is voor effectieve detectie van kwetsbaarheden. Het verschil tussen frontiermodellen en minder geavanceerde modellen is mogelijk minder groot dan de berichtgeving rond grote modelaankondigingen suggereert. In de tweede plaats zijn er nu aanbieders, van modellen zoals Mythos, die de toegang en voorwaarden bepalen. Toegang via dergelijke constructies kan daarmee ook de afhankelijkheid van die (niet-Europese) partijen vergroten. In de derde plaats kan preventieve kwetsbaarheidsdetectie via AI veilig en verantwoord worden ingericht, mits losgekoppeld van één specifieke leverancier. Het is afhankelijk van de specifieke omstandigheden, voorwaarden en afhankelijkheden en telkens een brede weging in welke mate toegang noodzakelijk is.

Vraag 5

Hoe bereidt u overheidsorganisaties voor op de cyberveiligheidsrisico’s die gepaard gaan met de uitrol van Mythos? Kunt u uiteenzetten welke acties u neemt om de veiligheid van persoonsgegevens van burgers en de ICT-processen van de overheid te garanderen?

Het beschermen van persoonsgegevens van burgers en het waarborgen van de veiligheid van systemen van de overheid vraagt voortdurende aandacht. Zoals beschreven in het antwoord op vraag 2 komen de risico’s die van invloed zijn op het waarborgen hiervan niet voort uit één specifiek geavanceerd AI-model zoals Mythos. Om die reden is het noodzakelijk dat overheidsorganisaties rekening houden met bredere ontwikkelingen die mogelijke risico’s zijn voor de bescherming van persoonsgegevens of de beveiliging van hun netwerk- en informatiesystemen.
Voor de bescherming van persoonsgegevens geldt dat dit wordt geregeld in de Algemene verordening gegevensbescherming (AVG). De AVG kent onder meer de verplichting tot het treffen van passende technische en organisatorische maatregelen ter beveiliging bij de verwerkingen van persoonsgegevens. Daarbij geldt dat een beoordeling van het passende beveiligingsniveau moet worden uitgevoerd waarbij rekening wordt gehouden met de risico’s met betrekking tot de verwerking van persoonsgegevens. Voorafgaand aan een voorgenomen verwerking van persoonsgegevens, die waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen, moet voorts een data protection impact assessment (DPIA) uitgevoerd worden om de risico’s voor de rechten en vrijheden van betrokkenen in kaart te brengen. Daarbij moet onder meer worden beoordeeld welke maatregelen getroffen worden om de risico’s aan te pakken, waaronder veiligheidsmaatregelen en een mechanisme om de bescherming van persoonsgegevens te garanderen. Ook volgt uit de AVG de verplichting om voor het verrichten van verwerkingen van persoonsgegevens uitsluitend gebruik te maken van andere partijen die namens de overheid persoonsgegevens verwerken als verwerkers, indien zij voldoende garanties bieden met betrekking tot het toepassen van passende technische en organisatorische maatregelen, zodat aan de (andere) verplichtingen op grond van de AVG wordt voldaan. Op de naleving van verplichtingen uit de AVG houdt de Autoriteit Persoonsgegevens toezicht.
Vanuit de AI-verordening gelden bovendien regels voor de ontwikkeling en het gebruik van AI-systemen, ook aan de cyberveiligheid van hoog-risico systemen. Bovendien kent de AI-verordening de verplichting tot uitvoering van een Fundamental Rights Impact Assessment (FRIA) bij hoog-risico AI-systemen, om impact van deze systemen op fundamentele rechten van de mens te beoordelen. In de Kamerbrief van 20 april heeft de Staatssecretaris van Digitale Economie en Soevereiniteit u geïnformeerd over de wijze waarop het kabinet voornemens is het toezicht op de naleving van de Europese AI-verordening vorm te geven.2
Vanaf het moment van inwerkingtreding van de Cyberbeveiligingswet, waarin de Europese NIS2-richtlijn zal worden geïmplementeerd, gelden op grond van die wet verplichtingen voor de in die wet genoemde organisaties met betrekking tot de beveiliging van hun netwerk- en informatiesystemen. Het voorstel voor deze wet ligt op dit moment ter behandeling voor bij de Eerste Kamer. Deze wet zal gaan gelden voor organisaties uit verschillende sectoren, waaronder ook de overheid. Onderdeel van deze wet zal een zorgplicht zijn die inhoudt dat organisaties die onder de wet vallen verplicht zijn tot het nemen van passende en evenredige, technische, operationele en organisatorische maatregelen, om de risico’s met betrekking tot de beveiliging van hun netwerk- en informatiesystemen te beheersen. Daarbij geldt dat organisaties maatregelen moeten nemen die zorgen voor een beveiligingsniveau dat is afgestemd op de risico’s die voor hun organisatie gelden. Deze risico’s kunnen voor die organisaties als gevolg van onder meer veranderende dreigingen of nieuwe technologieën wijzigen, waardoor zij aanvullende maatregelen zullen moeten nemen. Deze zorgplicht wordt in het Cyberbeveiligingsbesluit, de algemene maatregel van bestuur onder de Cyberbeveiligingswet, en in ministeriële regelingen van de voor de sectoren verantwoordelijke vakministers, nader uitgewerkt.
De maatregelen die organisaties, die onder de Cyberbeveiligingswet vallen, moeten nemen betreffen onder meer beleid over risicoanalyses en incidentenbehandeling en de beveiliging van de toeleveringsketen. Krachtens het Cyberbeveiligingsbesluit geldt als maatregel onder meer ook dat organisaties bij attenderingen op voor hun relevante kwetsbaarheden of, dreigingen en beveiligingsadviezen door relevante partijen zoals CSIRTs, moeten beoordelen of op basis hiervan aanpassingen of aanvullingen nodig zijn op hun maatregelen (art. 17 Cbb). Daarnaast is voor overheidsorganisaties die onder de Cbw vallen, voorzien dat in de regeling van de Minister van Binnenlandse Zaken en Koninkrijksrelaties als maatregel, die zij in het kader van de zorgplicht moeten nemen, komt te gelden dat zij de normen en overheidsmaatregelen in de Baseline Informatiebeveiliging Overheid (BIO2), het reeds bestaande normenkader voor informatiebeveiliging bij de overheid, toepassen. Op de naleving van de verplichtingen in de Cyberbeveiligingswet en de daar onderliggende regelgeving wordt toezicht gehouden. Voor overheidsorganisaties zal de Rijksinspectie voor Digitale infrastructuur (RDI) als toezichthouder optreden.
Terugkomend in bovengenoemde wet- en regelgeving is dat gegevensbescherming en beveiliging van netwerk- en informatiesystemen een continue en cyclisch proces is. Organisaties dienen voortdurend te toetsen of bestaande maatregelen nog steeds voldoende zijn om risico’s te beheersen. Ook risico’s als gevolg van het bestaan van AI-modellen, waaronder Mythos, zullen onderdeel zijn van deze continue risico-inschatting door organisaties.

Vraag 6

Welke rol zou een onafhankelijke AI-raad, zoals voorgesteld in de motie-Kathmann/Six Dijkstra (Kamerstuk 26 643, nr. 1403), kunnen spelen om de veiligheidsrisico’s van geavanceerde AI te monitoren en af te dekken? Hoe wordt deze motie nu uitgevoerd?

Het kabinet onderschrijft het belang van het monitoren en beheersen van veiligheidsrisico’s van geavanceerde AI en deelt de opvatting dat dit een aanpak vereist die stevig is verankerd in inhoudelijke expertise. Mede naar aanleiding van de aangenomen motie over een onafhankelijke AI-raad3, ingediend op 29 september 2025, is gekeken naar een passende structuur om hier invulling aan te geven.
Zoals eerder aan de Kamer gemeld4, werd in eerste instantie bezien welke rol de NDS-raad hierin kon vervullen. Nu besloten is om de oprichting van de raad niet te formaliseren5, worden alternatieve invullingen verkend. Zo loopt er tot september 2026 onder andere een interdepartementale verkenning, uitgevoerd door de Digitale Doetank, naar de inrichting van een onafhankelijk AI-veiligheidsinstituut, naar voorbeeld van internationale initiatieven zoals het AI Safety Institute (AISI) in het Verenigd Koninkrijk. Het kabinet houdt daarbij rekening met de verschillende bestaande instituten die de overheid en private organisaties reeds voorzien van advies en expertise op het gebied van AI.

Vraag 7

Heeft u voldoende zicht op de risico’s van model leakage, model theft en ongeautoriseerde verspreiding van geavanceerde AI-systemen in Nederland en Europa? Zo ja, hoe wordt dit inzicht benut voor beleid en toezicht? Zo nee, welke maatregelen neemt u om dit inzicht te verbeteren?

Aanbieders van bepaalde AI-systemen, zoals systemen met een hoog risico en AI-modellen voor algemene doeleinden, inclusief modellen met een systeemrisico, moeten op grond van de Europese AI-verordening bepaalde informatie over deze systemen openbaar maken. De regels voor AI-modellen voor algemene doeleinden en die met een systeemrisico zijn op 2 augustus 2025 in werking getreden. Voor krachtige AI-modellen met systeemrisico’s gelden volgens deze verordening aanvullende verplichtingen om deze risico’s in kaart te brengen. Hierdoor hebben lidstaten en de Europese Commissie meer zicht op deze risico’s. De AI-verordening kent hiervoor een toezichtstelsel, waarbij zowel nationale toezichthouders als de Europese Commissie nauwlettend toezicht houden op deze risico’s. Zo kunnen zij hoog-risico AI-systemen die niet aan de verplichtingen voldoen van de markt halen. Daarnaast vindt er kennisuitwisseling plaats tussen (nationale) toezichthouders, de Europese Commissie en experts uit de lidstaten binnen de door de AI-verordening opgerichte Comité voor Artificiële Intelligentie (European AI Board).

Vraag 8

Hoe beoordeelt u de toereikendheid van bestaande beveiligingsnormen en toezichtmechanismen voor ontwikkelaars en beheerders van krachtige AI-modellen, mede in relatie tot de implementatie van de AI-verordening?

De Europese AI-verordening stelt regels aan AI-modellen voor algemene doeleinden waarbij de regels steviger zijn voor dit soort modellen met systeemrisico’s, deze regels zijn op 2 augustus 2025 in werking getreden. Hier vallen de meest krachtige AI-modellen onder. Alle AI-modellen voor algemene doeleinden moeten technische documentatie opstellen waarin in ieder geval informatie staat over het beoogde doel van het model, trainingsmethoden en gebruikte data. Aanbieders van modellen met een systeemrisico moeten daarbovenop risico’s in kaart brengen en kwetsbaarheden in het model opsporen. Daarnaast moeten zij ernstige incidenten en mogelijk corrigerende maatregelen bijhouden. Het toezicht op al deze modellen is Europees centraal belegd bij de Europese Commissie. Daarnaast kunnen aanbieders aansluiten bij de Europese General-Purpose AI Code of Practice die op 10 juli 2025 is gepubliceerd. Deze vrijwillige praktijkcode bevat onder andere informatie over hoe aanbieders kunnen voldoen aan de beveiligingsnormen uit de AI-verordening. Het kabinet is positief over deze vereisten en stimuleert aanbieders om zich aan te sluiten bij de praktijkcode. Het is nog niet mogelijk een sluitend oordeel te vellen over de effectiviteit van deze eisen. Samen met de Europese Commissie en andere lidstaten houden we de werking van deze vereisten nauwlettend in de gaten en dragen we bij aan de evaluaties hiervan.

Vraag 9

Welke kansen ziet u om via veilige ontwikkeling en deployment van AI de digitale veiligheid te versterken, bijvoorbeeld voor cyberdetectie, opsporing en publieke dienstverlening?

Zie antwoord vraag 3.

Vraag 10

Ziet u in deze casus aanleiding om in Europees verband te pleiten voor versterkte samenwerking rond monitoring van toegangsbeheer, auditing en incidentrespons? Zo ja, op welke wijze?

Organisaties zijn in de eerste plaats zelf verantwoordelijk voor hun eigen digitale weerbaarheid en daarmee onder meer ook voor het voorkomen en detecteren van cyberincidenten. De recente ontwikkelingen rondom AI benadrukken nogmaals het belang van het versterken van de digitale weerbaarheid van organisaties en de samenwerking daartoe bij digitale dreigingen, kwetsbaarheden en incidenten. In Nederland zijn er verschillende organisaties, zoals CSIRTS, die organisaties kunnen ondersteunen door het geven van adviezen en handelingsperspectieven, het verstrekken van informatie over dreigingen en incidenten en het assisteren bij incidentmanagement.
In het geval van grensoverschrijdende incidenten coördineert het Nationaal Cyber Security Centrum (NCSC), vanuit de Nederlandse overheid, de samenwerking met internationale(cyber) partners en werkt daartoe intensief samen met die partijen in onder meer het Europese CSIRT-netwerk. Binnen dit netwerk kunnen CSIRTs snel en effectief operationele informatie met elkaar uitwisselen met ondersteuning door het European Network and Information Security Agency (ENISA). Bovendien wordt binnen dit netwerk en diverse andere EU-samenwerkingsverbanden (zoals de NIS Cooperation Group en het CyCLONe-netwerk) aandacht besteed aan de invloed van de ontwikkeling van AI-modellen op cybersecurity.

Vraag 11

Hoe beoordeelt u de wenselijkheid van meer transparantieverplichtingen voor aanbieders van geavanceerde AI-systemen over beveiligingsmaatregelen, incidenten en misbruikrisico’s?

Zoals ook opgenomen in het antwoord op vraag 8 is het nog te vroeg om aanvullende eisen op te stellen. De verplichtingen vanuit de AI-verordening zijn immers pas recent van kracht geworden.

Vraag 12

Kunt u de vragen afzonderlijk beantwoorden en in ieder geval vóór het rondetafelgesprek cyberveiligheid en informatiebeveiliging van 20 mei 2026?

Aangezien niet alle benodigde informatie op tijd was ontvangen is het niet gelukt de beantwoording met uw Kamer te delen voor het rondetafelgesprek cyberveiligheid en informatiebeveiliging van 20 mei 2026.

Vraag 1

Bent u bekend met het bericht «Ukraine Creates UK-Backed «A1» AI Hub to Develop EW-Resistant Drones and Predict Russian Moves»?1

Ja.

Vraag 2

Naar aanleiding van uw bezoek aan Oekraïne in maart 2026 werd bekend dat Nederland intensief gaat meekijken bij de Oekraïense inzet van drones op het slagveld, om meer te leren over de mogelijkheden voor Nederlandse productie en innovatie van onbemenste systemen; sluit dit aan op het initiatief in de berichtgeving?

Nee, dit staat los van het in de berichtgeving genoemde initiatief. Nederland is bekend met het Oekraïense AI-centrum A1, ook wel het Center of Innovations and Defence Technologies Development. Vanuit Defensie wordt contact gezocht met de initiatiefnemers van dit centrum, onder meer in het kader van lessons learned en mogelijke samenwerking.

Vraag 3

Heeft de Nederlandse industrie toegang tot de beschikbare informatie en zo ja, hoe waarborgt u dat deze informatie eerlijk toegankelijk is voor alle geïnteresseerde marktpartijen?

Defensie heeft op dit moment zelf geen directe toegang tot deze specifieke informatie, omdat Nederland niet betrokken is bij dit initiatief. Daardoor beschikt Defensie ook niet over een informatiepositie die met de Nederlandse defensie-industrie kan worden gedeeld of waarvoor Defensie de toegang kan reguleren. Nederlandse bedrijven die zelf actief zijn in Oekraïne kunnen uiteraard via hun eigen contacten met Oekraïense eindgebruikers operationele feedback of gefilterde informatie ontvangen. Dat betreft echter geen door Defensie beheerde of via Defensie beschikbaar gestelde informatiepositie. Tegelijkertijd wordt verkend op welke wijze Nederland in de toekomst kan aansluiten bij initiatieven gericht op kennis- en informatie-uitwisseling, mede om lessen uit Oekraïense innovaties breder toegankelijk te maken voor relevante Nederlandse stakeholders.

Vraag 4

Is Nederland ook voornemens om zelf een soevereine database aan te vullen voor het trainen van AI-modellen (al dan niet met Europese partners)? Wordt de Nederlandse industrie aangesloten bij een mogelijk initiatief?

Geschikte data voor het trainen van AI-modellen voor militaire doeleinden is schaars. Daarom erkent Defensie het belang van een database met dergelijke data. Defensie verkent verschillende mogelijkheden voor het verkrijgen van data van hoogwaardige kwaliteit, waarmee robuuste militaire AI kan worden ontwikkeld. Denk hierbij ook aan alternatieven zoals synthetische data. Industriepartners worden actief betrokken.

Vraag 5

Ziet u ook een kans om als Nederland koploper in Europa te worden in het ontwikkelen van verantwoorde AI? Wat gaat u op korte termijn initiëren om dit te bewerkstelligen?

Nederland zet zich al geruime tijd in voor de verantwoorde ontwikkeling, verwerving en inzet van militaire AI. Met de eerste Responsible AI in the Military Domain (REAIM) Summit in het voorjaar van 2023 heeft Nederland het thema verantwoorde AI in het militaire domein voor het eerst op de internationale agenda gezet. Nederland was bij alle REAIM summits co-host, in 2023, 2024 en 2025. Daarnaast speelt Nederland een actieve rol in de Governmental Group of Experts on Lethal Autonomous Weapon Systems (GGE LAWS). Van 2024 tot en met 2026 zit Nederland deze groep voor. Het doel is om consensus te bereiken over elementen van toekomstige afspraken over autonome wapensystemen. Tijdens de GGE LAWS bijeenkomsten gaat het ook over de huidige en toekomstige rol van AI in LAWS. Nederland blijft nauw betrokken bij het mogelijke vervolg van REAIM en de GGE LAWS. Daarnaast is Defensie nadrukkelijk bezig met het proces van verantwoorde verwerving van AI. Tot slot wordt onderzocht hoe Defensie militaire AI kan verifiëren en valideren voor veilig gebruik en inzet.

Vraag 6

Hoe weegt u het risico van het niet zelf hebben van een soevereine database voor het trainen van AI-modellen en van welke landen verwacht u afhankelijk te zijn?

De data waarop de AI-modellen worden getraind is grotendeels afkomstig en in beheer van Defensie. Daarnaast zullen er technische maatregelen worden getroffen om de daadwerkelijke uitkomsten van de AI-modellen te kunnen valideren, voordat deze daadwerkelijk (operationeel) worden ingezet. Bijvoorbeeld door eerst in een simulatieomgeving te werken. Op dit moment onderzoekt Defensie op Europees niveau met welke aanbieders en partnerlanden hiervoor een samenwerking kan worden gestart.

Vraag 7

Sluit u aan bij de gedachten dat we de standaarden voor militair gebruik van AI niet aan externe machten overlaten, maar dat we die zelf bepalen?

Het internationaal recht, waaronder het humanitair oorlogsrecht, is onverkort van toepassing op het militair gebruik van AI. Het gebruik van AI in het militaire domein mag niet leiden tot schendingen van dit recht. Dit zijn bestaande afspraken. Daarnaast onderschrijft Nederland bijvoorbeeld de NAVO-principes voor het verantwoord gebruik van AI. Voor de effectiviteit van nieuwe internationale afspraken, specifiek ten aanzien van AI in het militaire domein, is het van belang dat staten die actief zijn op het gebied van de ontwikkeling van state-of-the-art AI hieraan meedoen. Nederland zet zich op verschillende manieren actief in om nieuwe afspraken te maken, bijvoorbeeld in het kader van REAIM en van de GGE LAWS.

Vraag 8

Ziet u mogelijkheden om aan te haken op het samenwerkingsverband tussen Duitsland en Oekraïne, die hun defensiesamenwerking verder hebben geïntensiveerd door een memorandum te tekenen op het gebied van delen van data van het slagveld, waarbij Duitsland ook toegang krijgt tot real-time DELTA battlefield management system?

Ja, Defensie ziet deze mogelijkheden. Defensie kijkt expliciet naar en werkt samen met Oekraïne om lessen van het slagveld te vertalen o.a. door het delen van relevante informatie. In het deel van de organisatie belast met de militaire steun aan Oekraïne wordt actief gekeken naar innovatie en zo genoemde Lessons Learned en de disseminatie daarvan. Daarnaast werkt Defensie aan het verbinden van Nederlandse en voor Defensie relevante kennisinstellingen met Oekraïense kennis en innovatie instituten

Vraag 9

Ziet u het belang van in Europees verband initiatieven organiseren voor een strategisch autonome battlefield management architectuur die interoperabiliteit tussen de (gefragmenteerde) Europese systemen waarborgt?

Ja. Defensie onderschrijft het belang van samenwerking in Europees verband gericht op een meer strategisch autonome battlefield management architectuur. Interoperabiliteit tussen nationale systemen is essentieel voor het effectief gezamenlijk optreden van Europese krijgsmachten, onder meer binnen NAVO- en EU-verband.

Vraag 10

Onderneemt Defensie andere initiatieven om een strategisch autonome battlefield management architectuur te maken? Zo niet, kunt u een risicoafweging van afhankelijkheden geven? Zo ja, bent u bereid een plan van aanpak te maken en te delen?

Defensie heeft reeds een aantal battlefield management architecturen in gebruik, zowel aangekocht als zelf ontwikkeld. De insteek is dat primaire componenten van toekomstige battlefield management architecturen in de basis door Defensie zelf ontwikkeld worden.

Vraag 11

Kunt u de bovenstaande vragen afzonderlijk van elkaar beantwoorden?

Ja.

Vraag 1

Bent u bekend met de voorgenomen overname van Solvinity Group B.V. door Kyndryl Netherlands B.V., de rol van Solvinity als leverancier van het platform waarop DigiD draait, en de eerdere beantwoording van Kamervragen over deze casus?

Ja, daar ben ik mee bekend.

Vraag 2

Kunnen de Verenigde Staten volgens u gezien worden als een bondgenoot? Zo nee, waarom niet?

Ja, de Verenigde Staten zijn een belangrijke bondgenoot van Nederland, zoals ik ook tijdens het vragenuur op dinsdag 26 mei heb benadrukt: «de Verenigde Staten zijn een belangrijke NAVO-partner, handelspartner en bondgenoot».

Vraag 3

Acht u het waarschijnlijk dat een NAVO-bondgenoot als de Verenigde Staten doelbewust DigiD of vergelijkbare Nederlandse kritieke digitale overheidsinfrastructuur zou uitschakelen? Graag een onderbouwing op basis van dreiging, intentie, capaciteit, precedent en diplomatieke consequenties.

Het kabinet hecht grote waarde aan de aanwezigheid van buitenlandse, waaronder nadrukkelijk ook Amerikaanse, technologiebedrijven. Het kabinet waardeert hun bijdrage aan de Nederlandse economie en digitale infrastructuur.
Een afhankelijkheid van informatie en diensten uit derde landen, ongeacht welk land het is en of het een NAVO-bondgenoot is, kan onzekerheden met zich meebrengen. Dit blijkt ook uit het Cybersecuritybeeld Nederland Nederland 20251. Het is vervolgens aan de overheid om op een objectieve, risicogebaseerde, landenneutrale en proportionele manier risico’s te wegen. De gevraagde onderbouwing kan niet als generiek standpunt aangeleverd worden. Daarvoor is dit te situationeel afhankelijk en kan het alleen op case-by-case basis worden ingeschat.
Ieder departement is zelf verantwoordelijk voor de inrichting van haar digitale overheidsinfrastructuur en het afwegen van de risico’s van de verschillende schakels binnen die infrastructuur.

Vraag 4

Acht u een dergelijk scenario realistisch, of gaat het primair om een theoretische mogelijkheid die in de risicoanalyse wel moet worden meegenomen, maar niet gelijkgesteld mag worden aan een waarschijnlijke dreiging? Graag een expliciet onderscheid tussen «mogelijk», «aannemelijk», «waarschijnlijk» en «urgent».

Zie antwoord op vraag 3.

Vraag 5

Kunt u per juridisch instrument, CLOUD Act, FISA Section 702, Executive Order 12333 en eventuele andere relevante Amerikaanse bevoegdheden, uiteenzetten wat de wettelijke grondslag is, welke autoriteit bevoegd is, welk type gegevens kan worden gevorderd of verzameld, welke rechterlijke toetsing plaatsvindt, of kennisgeving aan de betrokkene, Logius of de Nederlandse Staat verplicht, verboden of beperkt kan zijn en hoe dit zich verhoudt tot de Algemene verordening gegevensbescherming (AVG), verwerkersovereenkomsten en contractuele geheimhoudingsplichten?

De CLOUD Act is een amendement op de Stored Communications Act (SCA). De CLOUD Act maakt het mogelijk voor Amerikaanse autoriteiten om ten behoeve van wetshandhavingsdoeleinden toegang te verkrijgen tot elektronische communicatie en daaraan gerelateerde gegevens. Bevoegde autoriteiten die een verzoek kunnen indienen zijn bijvoorbeeld de FBI en het Department of Justice. De CLOUD Act kan worden ingezet voor het opvragen van elektronische gegevens in het kader van strafrechtelijk onderzoek en vervolging. Het gaat daarbij in beginsel om de opsporing en vervolging van zware criminaliteit, zoals terrorisme of drugshandel.
Op grond van de CLOUD Act kunnen ondernemingen die onder de Amerikaanse rechtsmacht vallen verplicht worden gegevens te verstrekken, ook wanneer deze gegevens zich (op servers) buiten de Verenigde Staten bevinden. Daarbij is bepalend of de onderneming «possession, custody or control» heeft over de gegevens. Het gaat hierbij onder meer om aanbieders van elektronische communicatie- en clouddiensten.
Voor verzoeken die betrekking hebben op de inhoud van elektronische communicatie of bestanden is in beginsel toestemming van een Amerikaanse rechter vereist. Voor bepaalde verzoeken tot verstrekking van metadata, zoals gegevens over gebruikers of toegangsgegevens, kan onder omstandigheden geen voorafgaande rechterlijke toestemming vereist zijn.
Een dienstverlener die een bevel tot gegevensverstrekking ontvangt, hoeft daaraan niet mee te werken indien de gegevens versleuteld zijn en de dienstverlener niet beschikt over de encryptiesleutel. De CLOUD Act verplicht ondernemingen namelijk niet om gegevens te ontsleutelen. Indien een onderneming feitelijk geen toegang heeft tot de gegevens vanwege encryptie, bestaat in beginsel dus ook geen verplichting om deze gegevens te verstrekken.
Daarnaast kan een dienstverlener de rechter verzoeken het bevel te vernietigen of te wijzigen, bijvoorbeeld wanneer de naleving daarvan strijd oplevert met de wetgeving van het land waar de gegevens zich bevinden of indien de persoon op wie het verzoek betrekking heeft geen Amerikaans staatsburger is.
FISA Section 702 is in 2008 ingevoerd en maakt onderdeel uit van de Foreign Intelligence Surveillance Act 1978. FISA Section 702 maakt het Amerikaanse inlichtingendiensten, zoals de NSA, CIA en FBI, mogelijk zonder gerechtelijk bevel informatie te verzamelen over niet-Amerikaanse staatsburgers waarvan wordt aangenomen dat zij zich buiten de Verenigde Staten bevinden en die mogelijk betrokken zijn bij terrorisme, spionage, massavernietigingswapens, beïnvloedingsactiviteiten in opdracht van een vijandige buitenlandse mogendheid of cybercriminaliteit. Kennisgeving aan de betrokkene is geen vereiste.
Onder het toepassingsbereik van deze wetgeving vallen alle Amerikaanse entiteiten die toegang hebben tot apparaten waarop communicatie wordt opgeslagen of via welke communicatie wordt verzonden, zoals telecommunicatiebedrijven, internet- en e-maildienstverleners, aanbieders van remote computing services. Zij kunnen worden verplicht toegang te geven tot gegevens, zoals e-mails, elektronische berichten en bestanden. Het kan zowel om de inhoud als metadata gaan.
Executive Order 12333 heeft het meest verstrekkende bereik. Deze regelgeving maakt het mogelijk dat Amerikaanse inlichtingendiensten buitenlandse inlichtingen verzamelen. Daarvoor is geen toestemming van een rechter vereist, mits het gaat om gegevens van niet-Amerikaanse personen. De regelgeving is primair gericht op buitenlandse inlichtingenvergaring ten behoeve van de nationale veiligheid van de Verenigde Staten.
Op grond van Executive Order 12333 kunnen Amerikaanse inlichtingendiensten buitenlandse inlichtingen verzamelen via uiteenlopende middelen, waaronder interceptie van communicatie, radiosignalen en andere elektromagnetische communicatie, maar ook via satellieten, camerasystemen, menselijke bronnen en samenwerking met buitenlandse inlichtingendiensten. Vereist is echter wel dat de verzamelde informatie uitsluitend voor rechtmatige doeleinden onder Amerikaanse wetgeving wordt gebruikt.
Kyndryl Inc. valt als Amerikaanse onderneming binnen het bereik van de bovengenoemde wetten. Kyndryl rapporteert periodiek hoeveel verzoeken om inlichtingen zij heeft ontvangen.2
Kyndryl’s US zeggenschap over haar buitenlandse dochters, Kyndryl Nederland B.V. en eventueel overgenomen partijen, heeft tot gevolg dat deze ook binnen het bereik vallen van de bovengenoemde wetten.
De verstrekking van persoonsgegevens door Nederlandse dochter(s) op basis van een bevel van een Amerikaanse rechter kan in strijd zijn met de AVG. Daarnaast houdt de Nederlandse dochter zich in dat geval ook niet aan de overeenkomst, inclusief de verwerkingsovereenkomst, met de Nederlandse opdrachtgever.
Kyndryl US heeft wel juridische mogelijkheden om zich te verzetten tegen verzoeken tot verstrekking van persoonsgegevens die worden beheerd door haar Nederlandse dochter(s) op grond van het feit dat voldoen aan een dergelijk verzoek in strijd is met de AVG en de gemaakte contractuele afspraken (o.a. in de verwerkersovereenkomst). Daarover moet de Amerikaanse rechter zich dan uitlaten.

Vraag 6

Kunt u expliciet onderscheid maken tussen toegang tot gegevens enerzijds en operationele zeggenschap over systemen anderzijds? Klopt het dat wetgeving zoals de CLOUD Act primair ziet op toegang tot elektronische gegevens en niet zonder meer op het met «één druk op de knop» uitschakelen van infrastructuur?

Ja, dat klopt. De Amerikaanse wetgeving als bedoeld bij vraag 5 heeft betrekking op het verzamelen van bewijs c.q. inlichtingen. Deze wetgeving maakt het niet mogelijk om een opdracht te geven tot uitschakeling van infrastructuur.
De Amerikaanse overheid kan sancties tegen personen, organisaties of landen uitvaardigen, waarna Amerikaanse bedrijven de dienstverlening moeten staken. Dat gebeurt echter niet op grond van de bovengenoemde wetgeving.

Vraag 7

Hoe verhoudt de stelling dat Solvinity in beginsel geen toegang heeft tot burgerservicenummers, adres en telefoonnummer van DigiD-gebruikers zich tot de eerdere kabinetsuitspraak dat Amerikaanse autoriteiten «in theorie» toegang kunnen krijgen tot gegevens die door Solvinity in opdracht van de Staat worden verwerkt?

Medewerkers van Solvinity hebben bij het uitvoeren van reguliere beheerwerkzaamheden geen toegang tot de database waarin gegevens van burgers en gegevens over waar burgers inloggen staan opgeslagen. Dit sluit niet uit dat medewerkers toegang kunnen krijgen tot deze databases. Het zal hierbij dan gaan om (on)geautoriseerde toegang. Mogelijk is daarmee de medewerker strafbaar.

Vraag 8

Bent u van mening dat er momenteel geen gelijkwaardige technologieën zijn op Nationaal/Europees gebied? Zo ja, bent u dan van mening dat hierdoor de continuiteit van de dienstverlening juist onder druk komt te staan?

Het kabinet is van mening dat er momenteel wel gelijkwaardige technologieën zijn van Nederlandse en Europese aanbieders. In een Kamerbrief in reactie op de motie van het lid Koekkoek (Volt) over «in EU verband pleiten voor versnelde investeringen in Europese cloudalternatieven en digitale infrastructuur» heeft het kabinet de Kamer vorig jaar geïnformeerd dat er kwalitatief hoogwaardige Europese clouddiensten op de markt beschikbaar zijn.
Specifiek ten aanzien van de dienstverlening die door de Rijksoverheid bij Solvinity wordt afgenomen, concludeerde de ACM in haar concentratiebesluit dat er ook na een eventuele overname voldoende concurrentie over zou blijven. Uit het onderzoek blijkt dat afnemers uit de publieke sector op het moment van een (her)aanbesteding voldoende keuze houden uit andere IT-dienstverleners die soortgelijke diensten leveren, waaronder zowel Nederlandse als Europese aanbieders.
Wel kan het versneld onderbrengen van de dienstverlening van Solvinity bij een andere beheerorganisatie leiden tot risico’s. In het geval van Logius geldt een overdrachtsperiode van 6 tot 12 maanden wanneer de dienstverlening die Solvinity levert, ondergebracht wordt bij een andere beheerorganisatie. Deze periode is nodig om een andere beheerorganisatie kennis en ervaring te laten opdoen met het beheer van het platform om zo de continuïteit en veiligheid van DigiD en andere voorzieningen te garanderen. Deze overdrachtsperiode kan pas ingaan wanneer een nieuwe contractant is geworven.

Vraag 9

Kunt u reflecteren op de gehele Amerikaanse verwevenheid met technologie, zoals de hardware waar de applicaties van Solvinity op draait, de datacenters en eveneens de zeekabels? Zijn deze componenten/diensten ook in handen van Amerikaanse bedrijven? Bent u het daarom eens met de mening dat het nationaliseren van Solvinity geen enkel effect heeft op deze risico’s, gezien de verwevenheid in de keten?

Het kabinet ziet dat de EU erg afhankelijk is geworden van een klein aantal niet-Europese tech-aanbieders, waarbij het kabinet de bijdragen van deze aanbieders aan de Europese en Nederlandse economie waardeert en in algemene zin openstaat voor zakendoen met buitenlandse partijen. Afhankelijkheden kunnen echter ook risico’s met zich meedragen, bijvoorbeeld als er geen alternatieven beschikbaar zijn of er risico’s zijn voor ongewenste toegang tot data. Voor risicovolle strategische afhankelijkheden zet het kabinet in op mitigatie van de risico’s, bijvoorbeeld door het versterken van de Europese markt.
De gevolgen van voortzetting van het huidige eigenaarschap en andere scenario’s zijn onderdeel van de analyses die vallen binnen het TFEV-onderzoek van deze casus.

Vraag 10

Welke concrete risico’s bestaan er momenteel volgens u op het gebied van het opvragen van data, inzage in data en het (eenzijdig) stopzetten van dienstverlening, en van welke vormen van dienstverlening maakt de overheid op dit moment gebruik bij niet-Nederlandse of niet-Europese partijen?

Er wordt niet centraal bijgehouden welke overheidsorganisaties gebruik maken van diensten van niet-Nederlandse of niet-Europese leveranciers.
De Nederlandse overheid wil haar digitale autonomie en digitale soevereiniteit versterken om publieke waarden, veiligheid en continuïteit te waarborgen. Het onderbrengen van data bij niet-Nederlandse of niet-Europese leveranciers, kan in specifieke gevallen strategische, juridische en geopolitieke risico’s met zich meebrengen. Daarom kiest de overheid voor een risicogebaseerde, strategisch gecoördineerde aanpak.3

Vraag 11

Welke aanvullende (theoretische) risico’s zouden volgens u kunnen ontstaan op deze punten als gevolg van de beoogde overname van Solvinity door Kyndryl?

Ik kan in deze openbare beantwoording niet ingaan op risico’s die er mogelijk zouden kunnen zijn ten aanzien van gegevensvergaring en stopzetting van dienstverlening. Ik verwijs u door naar de vertrouwelijke technische briefing van BTI. Inmiddels heeft de Staatssecretaris Digitale Economie en Soevereiniteit het besluit genomen om de overname te verbieden.

Vraag 12

Kunt u allen de voorgaande vragen los van elkaar beantwoorden?

Ja.

Vraag 1

Bent u op de hoogte van de hack bij ChipSoft, het bedrijf dat software voor patiëntendossiers en andere digitale systemen voor ziekenhuizen levert?1

Ja.

Vraag 2

Kunt u toelichten wat de ernst is van de hack en hoeveel ziekenhuizen, huisartsenpraktijken en eventuele andere zorgverleners zijn geraakt door de hack?

Patiënten moeten erop kunnen vertrouwen dat hun gegevens veilig zijn. Chipsoft voert momenteel samen met een extern team van cybersecurity-experts forensisch onderzoek uit om de oorzaak, omvang en bron van het incident vast te stellen. ChipSoft levert software aan ongeveer 70% van de Nederlandse ziekenhuizen. Uit voorzorg zijn sinds 8 april 20:00 uur de verbindingen met patiëntportalen die door ChipSoft worden gehost, verbroken. Dit betreft Zorgportaal, HiX Mobile2 en het Zorgplatform. Deze zijn hierdoor tijdelijk niet beschikbaar geweest. Inmiddels is er sinds vrijdag 17 april weer sprake van het gefaseerd opstarten van functionaliteiten, nadat deze veilig zijn bevonden. Op donderdag 16 april heeft ChipSoft gecommuniceerd met de klanten die dat betrof dat er bij de hack ook gegevens zijn gestolen. Hierover heb ik de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april 2026 geïnformeerd3. ChipSoft heeft geen gedetailleerde inzage gegeven in welke klanten op welke wijze getroffen zijn. In de zojuist genoemde Kamerbrief heb ik ons inzicht met u gedeeld. De resultaten van het forensisch onderzoek, die van belang zijn voor de hersteloperatie bij zorginstellingen, zullen, zo heeft ChipSoft ons laten weten, zo snel mogelijk worden gecommuniceerd. In de tussentijd ondersteunt Z-CERT, als expertisecentrum cybersecurity in de zorg, en biedt hulp aan ChipSoft voor analyse, communicatie en incidentmanagement. Z-CERT informeert en adviseert haar deelnemers over deze situatie.

Vraag 3

Wat zijn de gevolgen van de hack voor zorgverleners en hun patiënten, bijvoorbeeld doordat zorginstellingen hun systemen offline hebben moeten halen?

Navraag bij de betrokken zorginstellingen leert dat de zorgprocessen doorlopen en zorgverleners bij de gegevens van patiënten kunnen. Patiënten kunnen echter wel hinder ondervinden bij het online maken van afspraken, dit gaat nu telefonisch. Daarnaast kunnen patiënten momenteel niet zelf hun dossier inzien. Ook is er met name impact op de uitwisseling van gegevens. Tussen zorgverleners, zoals huisarts en ziekenhuizen, kunnen digitale verwijzingen niet goed plaatsvinden.
Ziekenhuizen zijn hier echter op dit soort incidenten voorbereid en zij hebben hiervoor noodprotocollen die ook in werking zijn getreden. Hierdoor kunnen veel zorgprocessen doorlopen, maar vaak met een noodzakelijke extra inzet van personeel.

Vraag 4

Is bepaalde zorg uitgesteld vanwege de hack en zo ja, op welke schaal?

Nee, de zorgprocessen lopen door.

Vraag 5

Is er gevoelige data, zoals patiëntgegevens, in handen gekomen van criminelen?

Patiënten moeten erop kunnen vertrouwen dat hun gegevens veilig zijn. Op donderdag 16 april heeft ChipSoft gecommuniceerd met haar klanten dat er bij de hack patiëntgegevens zijn gestolen. Welke exacte patiëntgegevens hierbij zijn buitgemaakt is nog in onderzoek. Ik heb de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april hierover geïnformeerd.4 Ik vind dit een zeer ernstige zaak. ChipSoft moet alles uit de kast halen en de volle verantwoordelijkheid nemen om snel en zorgvuldig te onderzoeken en duidelijkheid te creëren voor patiënten en zorgverleners, zodat mensen weten of hun data gestolen is en om welke data het gaat.

Vraag 6

Hoe verklaart u de verschillende aanpak van ziekenhuizen na de hack, bijvoorbeeld in het wel of niet offline halen van systemen?

Ziekenhuizen die klant zijn bij ChipSoft hebben op advies van Z-CERT, het expertisecentrum cybersecurity in de zorg, preventieve maatregelen genomen en hebben monitoring op hun lopende systemen geïntensiveerd. De keuzes die gemaakt worden, zijn door de ziekenhuizen of organisaties zelf gemaakt op basis van eigen specifieke situatie en risico inschatting.

Vraag 7

Verschilt de impact van de hack tussen ziekenhuizen die hun gegevens lokaal, hybride of juist in een cloudomgeving opslaan? Kunt u uitleggen welke keuze de meeste weerbaarheid biedt?

De gegevens van de zorgaanbieders die gebruikmaken van de cloudomgeving van ChipSoft zijn gestolen. Van instellingen die de software van ChipSoft in eigen beheer uitvoeren of door derden laten beheren, zijn geen gegevens gestolen. Hierover heb ik de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april geïnformeerd.5
Er valt niet in z’n algemeenheid te zeggen welke keuze de meeste weerbaarheid biedt. Dit hangt af van de lokale context van de zorgaanbieder en de risicoafweging die gedaan is en de beheersmaatregelen die daarbij genomen zijn.

Vraag 8

Welke rol speelt de overheid in de afwikkeling van de hack?

Wat betreft de afwikkeling van de hack en opsporing en/of vervolging ligt de verantwoordelijkheid bij de politie en het Openbaar Ministerie (OM). Diverse toezichthouders doen onderzoek naar de hack. Vanuit onze stelselverantwoordelijkheid ondersteunen we de koepelorganisaties die in het Informatieberaad Zorg zitten met informatie over de digitale aanval en een woordvoeringslijn die zij kunnen gebruiken naar hun leden.
Ook worden bijvoorbeeld handelingsperspectieven uitgewisseld. VWS en organisaties die gesubsidieerd worden door VWS ondersteunen de getroffen zorginstellingen zoveel als mogelijk. Zo financiert de overheid Z-CERT, het expertise centrum cybersecurity in de zorg. Z-CERT, biedt hulp aan ChipSoft voor analyse, communicatie en incidentmanagement. Z-CERT informeert en adviseert haar deelnemers over deze situatie. Vanuit het ministerie volgen we de ontwikkelingen zeer nauw, adviseren we koepels en zorgaanbieders en duiden we de rollen en bevoegdheden, waar nodig.

Vraag 9

Zijn er alternatieven voorhanden bij een hack als deze, bijvoorbeeld alternatieve software waar ziekenhuizen en andere zorgverleners op kunnen terugvallen?

Ziekenhuizen hebben draaiboeken en protocollen voor als systemen niet werken om te zorgen dat het zorgproces door kan blijven gaan. Dit volgt uit de verplichte risico analyse die zij moeten doen. Zo gaan bijvoorbeeld verwijzingen van huisartsen naar Chipsoft-ziekenhuizen niet meer digitaal, maar per mail of telefonisch. Zie ook het antwoord op vraag 3. Het is aan zorgverleners zelf om deze protocollen, gegeven de specifieke situatie van de betreffende zorgverlener, in te richten. De ingebruikname van een ander elektronisch patiëntendossier of andere alternatieve software is niet iets wat in enkele dagen of weken geregeld kan worden. Dit is technisch zeer complex en kent een lange doorlooptijd. Bovendien brengt het hoge kosten en andere risico’s met zich mee.

Vraag 10

Welke eisen gelden er voor leveranciers van cruciale zorg-ICT?

Nederlandse zorgaanbieders zijn wettelijk verplicht om te voldoen aan de norm voor informatiebeveiliging in de zorg, de NEN 7510. De NEN 7510 geeft richtlijnen voor controlemaatregelen en stelt eisen aan het informatiebeveiligingssystemen. De norm vereist ook beheersmaatregelen voor bedrijfscontinuïteit en bereikbaarheid. Bij de inzet van ICT-producten die medische gegevens verwerken, eisen zorgaanbieders van de softwareleveranciers van deze ICT-producten dat ook zij voldoen aan de NEN 7510. Softwareleveranciers dienen dit aan te tonen met een certificaat.
In de nabije toekomst zullen aanvullende eisen voor cyberweerbaarheid worden gesteld in de NIS2-richtlijn die wordt omgezet in de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit. De European Health Data Space-verordening (EHDS) draagt bij aan toegankelijkheid van de zorg-ICT-markt in Nederland en Europa en betere databeschikbaarheid. Deze verordening gaat de nieuwe eis stellen dat EPD-systemen aan de kaders rondom cyberveiligheid moeten gaan voldoen conform de Cyberweerbaarheidsverordening6.

Vraag 11

Is de ketenweerbaarheid op het gebied van ICT in de zorg wat u betreft op orde, onder andere in de domeinen hosting, beheer, en koppelingen? Waarom wel of niet?

Zorgaanbieders zijn verantwoordelijk voor de afspraken die gemaakt worden met hun ICT-leveranciers. Uit deze verantwoordelijkheid volgt dat zij handelingsperspectieven moeten opstellen op basis van de individuele risicoafwegingen en passend bij de eigen context. In de NEN7510 is de verplichting opgenomen een risicobeoordeling uit te voeren en digitale afhankelijkheden in kaart te brengen. Daarnaast gaat de Cyberbeveiligingswet (Cbw) organisaties, waaronder zorgaanbieders, verplichten om hun leveranciersketen in kaart te brengen, en om aan de leveranciers in die keten informatiebeveiligingsnormen te stellen. De Cbw is voorzien medio 2026 in te gaan.

Vraag 12

Deelt u de opvatting dat dit geen incident is, maar een symptoom van te grote afhankelijkheid van een paar dominante leveranciers in de zorg, waarbij een incident bij één leverancier meteen een nationale zorgvraag wordt?

Nee, ik deel die opvatting niet. Zorgaanbieders dienen afspraken te maken met zorg-ICT-leveranciers en hierbij risico’s af te wegen. Het is wel zo dat de omvang van een hack groter kan zijn wanneer een leverancier met een groot marktaandeel wordt getroffen waarbij ook nog eens patiëntgegevens zijn opgeslagen.

Vraag 13

Deelt u de zorgen over de risico’s wanneer één dominante marktpartij de infrastructuur levert voor zorginstellingen of andere essentiële publieke voorzieningen?

Het is belangrijk dat er sprake is van een gezonde marktwerking op de zorg-ICT-markt. Op verzoek van de toenmalige Minister van VWS heeft de Nederlandse Zorgautoriteit (NZa) in januari 2025 een rapport uitgebracht: «Sturing op kwaliteit en betaalbaarheid zorg-ICT». Daarin staat dat onder andere in de ziekenhuiszorg een paar grote leveranciers de markt domineren. Deze marktconcentratie zorgt voor minder concurrentie, wat de prijzen op kan drijven en innovatie kan vertragen. Ook is er een definitieve leidraad goedwerkende markten voor zorg-ICT van de ACM7 gepubliceerd. Het Ministerie van VWS maakt hieruit op dat het voor nieuwe innovatieve spelers moeilijk is voet aan de grond te krijgen, omdat zorginstellingen huiverig zijn om risico’s te nemen door met kleine of nieuwe partijen in zee te gaan. Bovendien wordt toetreding tot de Nederlandse markt van nieuwe buitenlandse leveranciers bemoeilijkt door de complexe, internationaal niet te vergelijken bekostigingssystematiek in onze zorgsector. Een te grote eenzijdige afhankelijkheid kan risico’s met zich brengen voor de continuïteit van zorg. Zorginstellingen zijn zelf verantwoordelijk om deze risico’s in kaart te brengen en keuzes te maken om invulling te geven aan overwegingen van digitale autonomie.
In de brief Voortgang agenda databeschikbaarheid van 20 januari 2026 is de stand van zaken over de zorg-ICT-markt uiteengezet. Om de risico’s te beperken, ga ik de komende tijd aan de slag om de bewustwording en kennis en expertise bij bestuurders over zorg-ICT te vergroten. Ook wordt samen met partijen onderzocht hoe het inkoopproces verbeterd kan worden. Daarnaast wordt er samen met overheidspartijen met een regulerende of toezichthoudende rol in het zorgveld een zogenoemde signaleringstafel opgezet. Daar kunnen signalen over zorg-ICT worden gedeeld en kan vanuit bestaand instrumentarium bekeken worden of en zo ja welke (gezamenlijke) interventie gewenst is. Naast de hierboven genoemde acties zet ik in op de European Health Data Space (EHDS) om de markt toegankelijker te maken voor EPD-leveranciers. Om dat te bereiken worden er op Europees niveau harmoniserende regels gesteld aan interoperabiliteit tussen de EPD-systemen en aan een verplicht loggingsmechanisme voor gebruik van gegevens door zorgverleners. Ook wordt gekeken hoe het toezicht versterkt kan worden op zorg-ICT.

Vraag 14

Zijn er maatregelen die u neemt om dergelijke marktdominantie tegen te gaan, bijvoorbeeld door afspraken te maken over het inkoop- en aanbestedingsbeleid in de zorgsector? Waarom wel of niet?

In de eerste plaats zijn zorgaanbieders zelf verantwoordelijk voor de inkoop, aanbesteding en contractering van zorg-ICT. Wel blijkt uit het NZa rapport «Sturing op kwaliteit en betaalbaarheid zorg-ICT» januari 2025 dat de bewustwording en kennis en expertise bij bestuurders over zorg-ICT vergroot kan worden. Daarom wordt samen met partijen onderzocht hoe het inkoopproces verbeterd kan worden, bijvoorbeeld door de inzet van externe expertise om gezamenlijke inkoop van een kernapplicatie te laten slagen. Dit zorgt voor schaalvoordelen en vergroot de kans op samenwerking. Over dit soort onderwerpen heeft mijn ministerie ook regelmatig overleg met de ICT-gebruikersverenigingen van de ziekenhuizen.

Vraag 15

Hoe zorgt u voor voldoende diversificatie tussen ICT-leveranciers bij zorginstellingen? Is het uw verantwoordelijkheid om monopolievorming in de zorg-ICT tegen te gaan?

De Autoriteit Consument en Markt (ACM) houdt toezicht op eerlijke concurrentie en marktwerking, zo ook op de zorg-ICT markt. In eerste instantie is zij de toezichthouder op basis van de Mededingingswet die toezicht houdt op de markt en ook concentraties (fusies/overnames) beoordeelt. Zij heeft in haar brief op 28 januari 20258 aangegeven dat de zorg-ict markt niet goed werkt omdat ICT-systemen gesloten zijn. De ACM geeft aan dat zij op dit moment onvoldoende instrumenten heeft om eerlijke concurrentie en marktwerking structureel af te dwingen en adviseert het Ministerie van VWS om openheid van digitale informatiesystemen via wetgeving te verplichten.
Ik vind het belangrijk dat de zorg-ICT-markt toegankelijk is, zodat concurrentie en innovatie worden gestimuleerd. Met de EHDS wordt ook ingezet op een zo open mogelijke markt voor onder andere EPD-leveranciers. Ik onderzoek de mogelijkheden om als randvoorwaardelijk onderdeel van de EHDS, te komen tot additionele regulerende instrumenten.

Vraag 16

Is het wenselijk dat zorginstellingen individueel ICT-diensten inkopen en hierover onderhandelen? Welke voor- en nadelen ziet u bij een meer gezamenlijke vorm van inkoop?

In de eerste plaats zijn zorgaanbieders zelf verantwoordelijk voor de inkoop, aanbesteding en contractering. Gezamenlijke inkoop kan schaalvoordelen opleveren, vergroot de kans op samenwerking en versterkt de positie van de zorgaanbieders. Een nadeel kan zijn dat er minder maatwerk wordt geleverd.

Vraag 17

Wat is de status van de uitvoering van de motie-Bushoff/Bevers om bij de evaluatie van de Wet vifo te bezien of bij fusies en overnames vanuit het buitenland van digitale zorginfrastructuur vergelijkbare voorwaarden gesteld kunnen worden als bij andere cruciale sectoren, zoals de chip-, energie- en telecomsector?2

Sinds juni 2023 is de Wet Veiligheidstoets investeringen, fusies en overnames (vifo) van kracht. De Wet vifo introduceerde een mechanisme voor investeringstoetsing in Nederland. Recent is de wet, conform de toezegging aan de Tweede Kamer, geëvalueerd.
Tevens is in december 2025 de herziene Foreign Direct Investment (FDI)-screeningsverordening vastgesteld. Met de wijziging van de Verordening worden de reikwijdte en procedures van de nationale investeringstoetsingsregimes in de Europese Unie gestroomlijnd om economische veiligheidsrisico’s van investeringen op een meer coherente manier aan te pakken. Nadat de herziene FDI verordening formeel is vastgesteld, start de termijn voor omzetting van de Verordening in nationale wetgeving. In Nederland wordt deze Verordening geïmplementeerd in de Wet vifo. Ik koers aan op een verwijzing in de wet vifo naar de (terminologie van de) Wet weerbaarheid kritieke entiteiten (Wwke). Hiermee zullen kritieke entiteiten in de zorg in het geval van vijandige investeringen, fusies of overnames kunnen worden getoetst.

Vraag 18

Deelt u de zorgen van de Autoriteit Consument & Markt (ACM) over gesloten datastandaarden bij ICT-aanbieders in de zorg, aangezien systemen daardoor niet goed met elkaar communiceren en zorgaanbieders minder keuze hebben in hun leveranciers, met monopolievorming tot gevolg?

Ja ik deel deze zorgen. Het niet gebruiken van open standaarden en de geslotenheid van ICT-systemen bevordert niet de door de Nationale, Visie en Strategie10 gewenste interoperabiliteit op weg naar databeschikbaarheid. Om dat te veranderen zal een mix van Europese verplichtingen en nationale keuzes nodig zijn. Met de European Health Data Space (EHDS) verordening wordt ingezet op een zo open mogelijke markt voor EPD-leveranciers. Om dat te bereiken worden er op Europees niveau harmoniserende regels gesteld aan interoperabiliteit tussen de EPD-systemen. Vanuit de NVS-ambitie stuur ik op openstelling van systemen via open gestandaardiseerde koppelvlakken: publiek beschikbare koppelvlakken,
zodat data veilig, herbruikbaar en leverancier-onafhankelijk kan stromen door het hele stelsel. De specificaties van deze open koppelvlakken zijn een publieke verantwoordelijkheid. Zo nodig zal ik deze koppelvlakken ook als open source laten ontwikkelen en beschikbaar stellen aan marktpartijen.

Vraag 19

Wat is de status van de uitvoering van de motie-Bushoff/Kathmann over een routekaart waarlangs ICT-leveranciers in de zorg de komende jaren verplicht worden gebruik te maken van open datastandaarden?3

In mijn brief «stand van zaken landelijk dekkend netwerk» die ik voor het commissiedebat digitale zorg (gepland op 21 mei) naar uw Kamer zal sturen, zal ik dieper ingaan op dit vraagstuk.

Vraag 20

Welke structurele problemen in de zorg-ICT legt deze hack bloot? Wie is er aan zet om deze op te lossen?

Het onderzoek naar deze hack is nog in volle gang. Het is daarmee te vroeg om een verband te leggen tussen deze hack en structurele problemen in de zorg-ICT.

Vraag 21

Welke maatregelen neemt u om de cyberveiligheid en weerbaarheid van zorginstellingen structureel te vergroten?

In het versterken van de cyberweerbaarheid van de zorg neem ik een kader stellende, toezichthoudende, stimulerende en faciliterende rol in. In de brief over informatieveiligheid in de zorg van 4 december 2025 heeft mijn voorganger uw Kamer geïnformeerd over de maatregelen die mijn ministerie neemt12. Ik ondersteun zorginstellingen bij het voorkomen van incidenten door het verhogen van bewustzijn van zorgmedewerkers in het programma Informatieveilig gedrag in de zorg. Een groot deel van cyberincidenten zijn mede veroorzaakt door menselijk handelen. Daarnaast bied ik hulpmiddelen aan om te voldoen aan de NEN7510, de norm voor informatiebeveiliging in de zorg. Deze norm schrijft organisatorische, mensgerichte, fysieke en technologische beheersmaatregelen voor die de digitale weerbaarheid van een organisatie concreet verhogen. Dit met het doel om dreigingen te voorkomen, detecteren of erop te reageren. Tot slot helpt het expertisecentrum cybersecurity in de zorg (Z-CERT) zorginstellingen in het voorkomen van incidenten door te monitoren en eventuele dreigingsinformatie te delen. Daarnaast biedt Z-CERT ondersteuning bij het beperken van de gevolgen wanneer er onverhoopt een incident heeft plaatsgevonden.

Vraag 22

Wat wordt de rol van de Cyberbeveiligingswet, zodra deze is aangenomen, om dergelijke hacks te voorkomen en sneller af te wikkelen? Wat gaat er concreet veranderen in een casus zoals deze?

Voor alle zorgaanbieders is de NEN 7510, de norm voor informatiebeveiliging in de zorg, nu al wettelijk verplicht. De Cyberbeveiligingswet (Cbw) gaat bredere eisen stellen aan netwerk- en informatiebeveiliging voor diverse sectoren waaronder de sector zorg. Zodra de Cbw van kracht is (voorzien medio 2026), hebben organisaties die onder de wet vallen een meldplicht. Dit houdt in dat een significante cyberincident13 binnen 24 uur wordt gemeld bij het portaal van het Nationaal Cyber Security Centrum (NCSC). Het NSCS werkt nauw samen met Z-CERT, het expertisecentrum op het gebied van het cybersecurity in de zorg. Deze meldplicht zorgt ervoor dat alle significante meldingen worden gemonitord en er tijdig wordt gewaarschuwd tegen cyberdreigingen. Daarnaast stelt de Cbw een zorgplicht voor organisaties verplicht. Dit houdt in dat organisaties vallend onder Cbw maatregelen moeten nemen om hun netwerk- en informatiesystemen te beschermen tegen significante incidenten. De Cbw zal cyberincidenten niet voorkomen, maar de cyberweerbaarheid in Nederland en daarmee ook in de sector zorg wordt verhoogd doordat significante cyberincidenten worden gemonitord en vervolgens snel wordt gehandeld om de beveiliging van informatiesystemen en bedrijfscontinuïteit te waarborgen.

Vraag 23

Kunt u deze vragen afzonderlijk van elkaar en nog vóór het commissiedebat over digitale ontwikkelingen in de zorg van 21 mei 2026 beantwoorden?

Ja.

Vraag 1

Bent u bekend met het bericht «Ook Grieken overstag, regering wil verbod op sociale media voor kinderen»?1

Ja.

Vraag 2

Hoe beoordeelt u het voornemen van Griekenland om kinderen tot 15 jaar de toegang tot sociale media te verbieden, mede in het licht van het coalitieakkoord waarin is opgenomen dat wordt gewerkt aan een handhaafbare Europese minimumleeftijd van 15 jaar voor sociale media met privacyvriendelijke leeftijdsverificatie?

Verschillende Europese lidstaten hebben wetsvoorstellen aangekondigd om een minimumleeftijd in te stellen voor sociale media. Lidstaten hebben de bevoegdheid om een minimumleeftijd voor te schrijven voor toegang tot bepaalde producten of online diensten, met inbegrip van sociale mediadiensten.
In het coalitieakkoord is het voornemen geuit voor een Europese minimumleeftijd van 15 jaar voor sociale media, zolang sociale media onvoldoende veilig zijn. Een minimumleeftijd op Europees niveau heeft mijn voorkeur, omdat sociale mediabedrijven grensoverschrijdend opereren. Het is daarom efficiënter om te kiezen voor een gezamenlijke oplossing en uniforme Europese regels, omdat dit versnippering tussen lidstaten voorkomt.

Vraag 3

Welke concrete stappen zet het kabinet op dit moment in Europees verband om te komen tot die handhaafbare Europese minimumleeftijd van 15 jaar voor sociale media?

Nederland heeft tijdens de Informele Telecomraad van 29 en 30 april 2026 het belang uitgedragen van een Europese minimumleeftijd van 15 jaar voor sociale media met privacyvriendelijke leeftijdsverificatie, zolang sociale media onvoldoende veilig zijn. De Kamer zal hier op korte termijn via een verslag nader over worden geïnformeerd.
Daarnaast ga ik de komende periode mogelijkheden voor samenwerking verder verkennen door met verschillende lidstaten in gesprek te gaan. Ik heb onder meer een bijeenkomst op initiatief van Frankrijk bijgewoond, waar ik met andere Europese leiders en de Europese Commissie sprak over een Europese minimumleeftijd voor sociale media.
Tot slot voert de Universiteit van Amsterdam (UvA) momenteel een onderzoek uit naar de juridische inrichting van een Europese minimumleeftijd voor sociale media. Ik zal de resultaten van dit onderzoek uiterlijk voor het zomerreces publiceren.

Vraag 4

Erkent het kabinet dat, in het licht van de ontwikkeling dat steeds meer landen overgaan tot een verbod, nu het moment is om tot een gezamenlijke aanpak te komen?

Het is belangrijk om tot een gezamenlijke Europese aanpak te komen, zoals ik heb aangegeven in de beantwoording van de vragen 2 en 3.

Vraag 5

Trekt Nederland hierbij actief op met andere Europese lidstaten die eveneens willen komen tot strengere regels voor kinderen op sociale media, zoals Griekenland, Frankrijk, en Spanje? Zo ja, op welke wijze?

Zoals aangegeven in het antwoord op vraag 3, zal ik met verschillende lidstaten in gesprek gaan om te verkennen wat de mogelijkheden zijn voor samenwerking. Na deze gesprekken en de resultaten van het onderzoek van de UvA zal ik nagaan wat de meest geschikte vorm van samenwerking is.

Vraag 6

Hoe wil het kabinet een Europese minimumleeftijd juridisch en technisch handhaafbaar vormgeven, in het bijzonder in relatie tot de Digital Services Act (DSA) en de door de Europese Commissie ontwikkelde leeftijdsverificatie-aanpak?

Zoals aangegeven in het antwoord op vraag 3 voert de UvA momenteel een onderzoek uit naar de juridische inrichting van een Europese minimumleeftijd voor sociale media. Daarbij wordt uiteraard ook ingegaan op de relatie tot de DSA als hoeksteen van het Europese platformrecht. De uitkomsten van dit onderzoek worden meegenomen bij de uitvoering van het coalitieakkoord.
Voor wat betreft de technische handhaafbaarheid, geldt dat online leeftijdsverificatie een belangrijk instrument kan zijn, mits fundamentele rechten en grondrechten zoals privacy, gegevensbescherming, non-discriminatie en digitale toegankelijkheid worden gewaarborgd. De toepassing moet proportioneel zijn en steeds per context worden afgewogen; er is geen one size fits all-oplossing. Om de ontwikkeling van privacyvriendelijke leeftijdsverificatie te ondersteunen, heeft de Europese Commissie een blauwdruk voor een Europese white-label leeftijdsverificatie-app gepubliceerd. Het kabinet verkent momenteel of de EU-blauwdruk app in Nederland geïmplementeerd kan worden of dat er ook andere mogelijkheden zijn voor implementatie van leeftijdsverificatie.