Kamervragen
69 kamervragen gevonden
beantwoord onbeantwoord uitgesteld
Alle
4 mei 2026 - 2 juni 2026
29 dagen
Het blokkeren van queer accounts door Meta |
|
Laurens Dassen (Volt), Marjolein Moorman (PvdA), Sandra Beckerman (SP), Barbara Kathmann (PvdA), Christine Teunissen (PvdD) |
|
Judith Tielen (VVD), Aerdts |
|
|
|
Bronnen
1. NOS, «Meta blokkeert opnieuw tientallen queer accounts op instagram», 23 april 2026, (nos.nl/artikel/2611716-meta-blokkeert-opnieuw-tientallen-queer-accounts-op-instagram)
2. NRC, «Meta heft de blokkade van queer instagramaccounts deels op, maa…
2. NRC, «Meta heft de blokkade van queer instagramaccounts deels op, maa…
3. Aanhangsel Handelingen II, vergaderjaar 2025–2026, nr. 1033
3. Aanhangsel Handelingen II, vergaderjaar 2025–2026, nr. 1033
-
Vraag 1
Bent u bekend met de berichten «Meta blokkeert opnieuw tientallen queer accounts op Instagram» en «Meta heft de blokkade van queer-Instagramaccounts deels op, maar de angst voor herhaling blijft: «Het duwt je terug de kast in»»?1, 2
Ja, daar zijn we mee bekend.
-
Vraag 2
Vindt u het acceptabel dat Meta wederom eenzijdig de accounts van tientallen queerorganisaties en queer personen heeft geblokkeerd of zelfs permanent heeft verwijderd?
De online publieke ruimte moet veilig, toegankelijk en inclusief zijn. Het is onacceptabel als de toegang tot de online publieke ruimte, waar het maatschappelijk debat en commercie plaatsvindt, ongelijk zou zijn op grond van identiteitskenmerken. Discriminatie is in strijd met wet- en regelgeving.
-
Vraag 3
Heeft u sinds de beantwoording op de vragen van de leden Dassen en Kathmann over een soortgelijke situatie in december 2025, meer informatie gekregen over de moderatiekeuzes door Meta?3
Nee, over de moderatiekeuzes van Meta en soortgelijke situaties hebben wij niet meer informatie gekregen sinds december 2025.
-
Vraag 4
Bent u sinds de beantwoording op de bovengenoemde vragen nog verder in contact geweest met Meta over het eenzijdig blokkeren van queer accounts? Zo ja, wat was uw inzet bij deze gesprekken?
Ja, de Staatssecretaris van Digitale Economie en Soevereiniteit heeft deze signalen in een recent gesprek met Meta aan de orde gebracht. Daarbij is het belang van een sociaal veilige omgeving voor iedereen benadrukt. Er is ook op ambtelijk niveau contact geweest met Meta om meer informatie te ontvangen.
-
Vraag 5
Herkent u de signalen van de getroffen accounts dat het vaak niet lukt om in contact te komen met een echt persoon bij Meta om bezwaar te kunnen maken? Wat kan u hiertegen doen?
De signalen van de getroffen accounts dat het niet altijd lukt om in contact te komen met een echt persoon bij Meta zijn bij ons bekend. Op grond van artikel 12 van de digitaledienstenverordening (Digital Services Act, «DSA») is Meta er echter toe verplicht om afnemers van de dienst de mogelijkheid te bieden om rechtstreekse en efficiënte communicatiemiddelen te kiezen die niet uitsluitend op geautomatiseerde instrumenten berusten. Ook moet zij op grond van artikel 20 DSA een gemakkelijk toegankelijk en gebruikersvriendelijk klachtenafhandelingssysteem hebben. Hierin moeten gebruikers voldoende nauwkeurige en naar behoren gemotiveerde klachten in kunnen dienen. Besluiten over die klachten moeten worden genomen onder toezicht van gekwalificeerd personeel en niet alleen op basis van geautomatiseerde middelen. Niet-naleving van deze verplichting kan resulteren in handhavend optreden door de bevoegde toezichthouder. In oktober 2025 heeft de Commissie voorlopige bevindingen gepubliceerd in het onderzoek naar Meta. Daarin concludeert zij dat Meta de DSA overtreedt, onder meer door gebruikers niet voldoende in staat te stellen om inhoudsmoderatiebeslissingen aan te vechten. Meta wordt nu in staat gesteld hierop te reageren, waarna de Commissie een definitief oordeel velt.4
-
Vraag 6
Zijn er signalen dat online accounts worden getroffen door gecoördineerde massameldingen van gebruikers of groepen die het oneens zijn met de inhoud van de accounts? Wat doet Meta om zulke gecoördineerde massameldingen tegen te gaan, met name als deze zich richten tegen minderheidsgroepen?
Nee, informatie over eventuele gecoördineerde massameldingen is bij ons niet bekend. Platforms, waaronder Meta, zijn zelf het best in staat om uit te leggen wat zij doen om dergelijke activiteiten tegen te gaan.
-
Vraag 7
Kunt u ingaan op de onevenredig grote gevolgen die zulke blokkades hebben voor queerorganisaties en personen die voor hun zichtbaarheid en bereik afhankelijk zijn van grote online platforms?
Wanneer accounts van personen en organisaties op zeer grote online platforms worden geschorst of verwijderd, kan dit aanzienlijke gevolgen hebben voor hun zichtbaarheid, community-opbouw en hun inkomsten. Het zonder geldige reden blokkeren van lhbtiq+ personen en lhbtiq+-organisaties kan ervoor zorgen dat deze organisaties en personen, uit angst voor repercussies, niet meer het gevoel hebben dat ze zich vrij kunnen uiten en deel kunnen nemen aan het publieke debat. Dat druist in tegen het recht op vrijheid van meningsuiting. Dit is niet alleen pijnlijk en schadelijk voor de getroffenen, maar ook voor de gemeenschappen waartoe zij behoren of voor wie zij opkomen. De effecten beperken zich niet slechts tot de getroffenen, maar iedereen die zich met die persoon of organisatie identificeert. En daarmee treft het onze hele vrije democratische samenleving.
-
Vraag 8
Hoe ziet u het blokkeren van queer accounts in het licht van artikel 35 van de Digital Services Act (DSA) die stelt dat platforms structurele risico’s op haat en discriminatie moet bestrijden?
Op grond van artikel 34 en 35 van de DSA moeten aangewezen zeer grote online platforms, waaronder Instagram en Facebook, de zogenaamde systeemrisico’s die voortvloeien uit het ontwerp of uit de werking van hun dienst en de daaraan verbonden systemen, identificeren en beperken. Tot deze risico’s behoren ook eventuele werkelijke of voorzienbare negatieve effecten op de uitoefening van de grondrechten. Voorbeelden hiervan zijn het recht op non-discriminatie, negatieve effecten met betrekking tot gendergerelateerd geweld en negatieve gevolgen voor het lichamelijke en geestelijke welzijn. Als zeer grote online platforms structureel lhbtiq+-accounts blokkeren of anders behandelen, voldoen zij niet aan deze verplichting. In dat geval kan de Europese Commissie, als primaire toezichthouder van de DSA ten aanzien van zeer grote online platforms, handhavend optreden.
-
Vraag 9
Vindt u dat Meta een verantwoordelijkheid heeft om een veilige en vrije omgeving te bieden voor queer content? Hoe spant u zich vanuit het perspectief van emancipatie in om dit te waarborgen?
Ja, iedereen heeft een verantwoordelijkheid voor het creëren van een sociaal veilige omgeving voor iedereen. Dat geldt zeker voor grote socialemediaplatforms zoals Meta, maar ook voor bedrijven, maatschappelijke organisaties, burgers en de overheid zelf. Dit uitgangspunt heeft de Staatssecretaris van Digitale Economie en Soevereiniteit recentelijk aan de orde gebracht in een gesprek met Meta. Het uitgangspunt staat ook centraal in ons interdepartementaal Plan van aanpak tegen online discriminatie.5 Binnen dit plan werken we nauw samen met de Ministeries van Justitie en Veiligheid en Sociale Zaken en Werkgelegenheid.
In het plan is aandacht voor de veiligheid van lhbtiq+ personen evenals in de Versterkte aanpak lhbtiq+-veiligheid.6 Een van de doelstellingen uit de Versterkte aanpak is dat verschillende organisaties op dit thema elkaar versterken.
We zullen de Kamer informeren over de voortgang van beide plannen voor het einde van 2026. Ook kan de Kamer in september de Emancipatienota van dit kabinet verwachten, met daarin de inzet van het kabinet voor het bevorderen van gelijkwaardigheid voor iedereen.
Aanvullend gaan we naar aanleiding van deze berichtgeving samen verkennen of, en zo ja, welke aanvullende maatregelen mogelijk zijn om de positie van lhbtiq+ personen online te versterken. -
Vraag 10
Bent u bereid om te onderzoeken of de aanname klopt dat minderheidsgroepen onevenredig vaak en hard worden geraakt door de niet-transparante moderatie van Meta?
Het is aan de bevoegde toezichthouder om na te gaan of (zeer grote online) platforms zich houden aan de DSA. Relevant in dit verband is ook dat de DSA voorziet in een mechanisme voor erkende onderzoekers om toegang te krijgen tot gegevens van zeer grote online platforms voor onderzoek dat bijdraagt aan het analyseren van systeemrisico’s en de doeltreffendheid van risicobeperkende maatregelen daartegen.
-
Vraag 11
Bent u bereid zich in te zetten om de geblokkeerde of verwijderde accounts Nederlandse personen en organisaties te herstellen? Welke mogelijkheden heeft u hiertoe?
Op het moment van beantwoording van deze vragen is een aantal geblokkeerde en/of verwijderde accounts van Nederlandse personen en organisaties hersteld. Niet alle problemen zijn echter verholpen. Het is niet een taak van de overheid om in individuele geschillen te treden. Inmiddels is bekend geworden dat een aantal organisaties Meta heeft gesommeerd om aan de verplichtingen op grond van de DSA te voldoen.7 Het kabinet staat voor strikte naleving van de DSA en (bestuursrechtelijke en civielrechtelijke) handhaving daarvan. Daarnaast zet het kabinet, vanuit het plan van aanpak tegen online discriminatie, in op het makkelijker maken voor gebruikers om hun rechten ten opzichte van de platforms uit te oefenen.
-
Vraag 12
Is het blokkeren van accounts, zonder waarschuwing of motivering, in strijd met de DSA?
Ja. Op grond van artikel 17 van de DSA moeten hostingdiensten, waaronder online platforms, een duidelijke en specifieke motivering geven wanneer zij bepaalde beperkingen opleggen aan afnemer van de dienst. Hieronder valt ook het beperken van de zichtbaarheid van door de afnemer verstrekte informatie of gehele of gedeeltelijke schorsing of beëindiging van diens account. Ook moeten zij de gebruiker in staat stellen gratis en elektronisch een klacht in te dienen tegen dat besluit. Afnemers kunnen op grond van de DSA geschillen met een online platform over inhoudsmoderatie voorleggen aan gecertificeerde buitengerechtelijke geschillenbeslechtingsorganen. Dit kan onverminderd hun recht om hetzelfde geschil aan de rechter voor te leggen.8 Wanneer online platforms zich niet aan deze verplichtingen houden, dan is sprake van een overtreding van de DSA en kan de bevoegde toezichthouder daartegen optreden.
-
Vraag 13
Welke gevolgen zijn er voor grote online platforms die zich herhaaldelijk niet aan de DSA houden? Wat hebben toezichthouders nodig om harder en sneller op te kunnen treden?
Wanneer zeer grote online platforms zich (herhaaldelijk) niet aan de DSA houden, kan de Europese Commissie handhavend optreden. De DSA geeft de Europese Commissie verschillende bevoegdheden, zoals het vaststellen van een niet-nalevingsbesluit en het opleggen van een boete ter hoogte van 6% van de wereldwijde omzet. De eerste boete onder de DSA is eerder dit jaar uitgedeeld aan X. Er lopen diverse andere onderzoeken en procedures tegen andere online platforms, waaronder Facebook en Instagram. De Europese Commissie heeft vooralsnog niet aangegeven dat zij meer of andere bevoegdheden, instrumenten of andere middelen nodig heeft.
-
Vraag 14
Bent u het ermee eens dat grote online platforms, die dusdanig veel invloed hebben op het publieke debat en het bereik van organisaties, volledige openheid moeten geven over hun moderatiecriteria en werkwijze? Voorziet de DSA voldoende in deze transparantieverplichting volgens u?
Ja. De DSA voorziet in een dergelijke verplichting. Op grond van artikel 14 DSA moeten aanbieders van tussenhandeldiensten, waaronder (zeer grote) online platforms, in hun algemene voorwaarden informatie opnemen over eventuele beperkingen die zij aan het gebruik van hun dienst opleggen met betrekking tot door de afnemers van de dienst verstrekte informatie. Die informatie moet gegevens omvatten over eventuele beleidsmaatregelen, procedures, maatregelen en instrumenten die worden ingezet voor inhoudsmoderatie inclusief algoritmische besluitvorming en menselijke controle, alsook de procedurevoorschriften van hun interne klachtenafhandelingssysteem. De informatie moet in duidelijke, eenvoudige, begrijpelijke, gebruiksvriendelijke en ondubbelzinnige taal worden beschreven. De informatie moet openbaar beschikbaar zijn in een gemakkelijk toegankelijk en machineleesbaar formaat.
-
Vraag 15
Kunt u deze vragen afzonderlijk en tijdig vóór het commissiedebat sociale media en inmenging van 4 juni 2026 beantwoorden?
Ja.
4 mei 2026 - 2 juni 2026
29 dagen
Het bericht ‘Nog veel meer Instagramaccounts van LHBTI’ers op zwart, veel meldingen uit Nederland’ |
|
Mpanzu Bamenga (D66), Anne-Marijke Podt (D66), Sarah El Boujdaini (D66) |
|
Aerdts , Judith Tielen (VVD) |
|
|
|
-
Vraag 1
Bent u bekend met het bericht «Nog veel meer Instagramaccounts van LHBTIQ+’ers op zwart, veel meldingen uit Nederland» waaruit blijkt dat opnieuw meerdere Instagramaccounts van LHBTIQ+-organisaties, activisten en gemeenschappen, waaronder accounts uit Nederland, offline zijn gehaald of ontoegankelijk zijn gemaakt?1
Ja, daar zijn we bekend mee.
-
Vraag 2
Bent u eens met de stelling dat het blokkeren van specifieke LHBTIQ+ accounts en content onrechtmatig, discriminerend en onacceptabel is? Bent u het ook eens met de stelling dat het optreden hiervan, meermaals en herhaald in vrij korte tijd, niet steeds door Meta afgedaan kan worden als een incident maar dat het onderdeel lijkt te zijn van hun beleid?
Het zonder motivering blokkeren van lhbtiq+-accounts lijkt in strijd met de verplichtingen die voortvloeien uit de digitaledienstenverordening (Digital Services Act, DSA), zeker als dit herhaaldelijk gebeurt. Wanneer een platform besluit een account te schorsen of te beëindigen, moet dat gebeuren binnen de kaders van de DSA. De DSA verplicht online platforms om, bij het toepassen van inhoudsmoderatie (zoals het schorsen of verwijderen van een account), op zorgvuldige, objectieve en evenredige wijze te handelen met gepaste aandacht voor de rechten, belangen en grondrechten van alle betrokkenen. Het is aan de bevoegde toezichthouder of rechter om daar uiteindelijk een oordeel over te vellen.
-
Vraag 3
Deelt u de ernstige zorgen dat het blokkeren van LHBTIQ+ personen en LHBTIQ+ organisaties, zonder geldige reden, discriminerend is, de vrijheid van meningsuiting aantast en de acceptatie en het veiligheidsgevoel van LHBTIQ+-gemeenschap onder druk zet? Zo ja, waarom en welke acties onderneemt u om deze ernstige zorgen te adresseren?
Die zorgen delen we. Het zonder geldige reden blokkeren van lhbtiq+ personen en lhbtiq+-organisaties kan ervoor zorgen dat deze organisaties en personen, uit angst voor repercussies, niet meer het gevoel hebben dat ze zich vrij kunnen uiten en deel kunnen nemen aan het publieke debat. Dat druist in tegen het recht op vrijheid van meningsuiting. Dit is niet alleen pijnlijk en schadelijk voor de organisaties en personen die dit overkomt, maar ook voor de gemeenschappen waartoe zij behoren of voor wie zij opkomen. De effecten beperken zich niet slechts tot de getroffenen, maar iedereen die zich met die persoon of organisatie identificeert. En daarmee treft het onze hele vrije democratische samenleving.
Het kabinet is van oordeel dat iedereen een verantwoordelijkheid heeft voor het creëren van een sociaal veilige omgeving voor iedereen. Dat geldt zeker voor grote socialemediaplatforms zoals Meta, maar ook voor bedrijven, maatschappelijke organisaties, burgers en de overheid zelf. Dit uitgangspunt heeft de Staatssecretaris van Digitale Economie en Soevereiniteit recentelijk aan de orde gebracht in een gesprek met Meta. Het uitgangspunt staat ook centraal in ons interdepartementale Plan van aanpak tegen online discriminatie.2 Binnen dit plan werken we nauw samen met de Ministeries van Justitie en Veiligheid, en Sociale Zaken en Werkgelegenheid.
Ook is er aandacht voor de veiligheid van lhbtiq+ personen online in de Versterkte aanpak lhbtiq+-veiligheid.3 Een van de doelstellingen is dat verschillende organisaties op dit thema elkaar versterken.
We zullen de Kamer informeren over de voortgang van beide plannen voor het einde van 2026. Ook kan de Kamer in september de Emancipatienota van dit kabinet verwachten, met daarin de inzet van het kabinet voor het bevorderen gelijkwaardigheid voor iedereen.
Aanvullend gaan we naar aanleiding van deze berichtgeving samen verkennen of, en zo ja, welke aanvullende maatregelen mogelijk zijn om de positie van lhbtiq+ personen online te versterken. -
Vraag 4
Is het bij u bekend in hoeverre andere minderheidsgroepen dan LHBTIQ+ ook te maken hebben met structurele discriminatie en aantasting van hun vrijheid van meningsuiting door sociale media platforms?
Voor zover eventuele aantasting van de vrijheid van meningsuiting door socialemediaplatforms zelf plaatsvindt, zijn hierover geen cijfers bij ons bekend. Het recente rapport «Discriminatiecijfers in 2025» laat zien dat veel mensen regelmatig online discriminerende uitingen tegenkomen of zelf ervaren.4 Daarbij gaat het ook om andere minderheidsgroepen dan lhbtiq+ personen. De European Observatory of Online Hate laat eveneens zien dat er sprake is van online haat op socialemediaplatforms.5 Tegelijk weten we dat slechts een klein deel van deze ervaringen uiteindelijk wordt gemeld bij de bevoegde instanties. Online discriminatie is complex en wordt niet eenduidig geregistreerd. De aanwezigheid van online haat en discriminatie op platforms kan negatieve effecten hebben op de mate waarin minderheidsgroepen gebruik (kunnen) maken van hun recht op vrijheid van meningsuiting.
-
Vraag 5
Kunt u toelichten in hoeverre het blokkeren van deze LHBTIQ+ accounts en content zonder duidelijke uitleg in lijn is met de verplichtingen uit de Digital Services Act, met name ten aanzien van transparantie, motivering en effectieve bezwaarprocedures en welke stappen het kabinet en de Europese Commissie zetten om hier actief op te handhaven?
Het blokkeren van accounts en content zonder duidelijke uitleg is in strijd met de verplichtingen uit de DSA. Op grond van de DSA moeten aanbieders van tussenhandeldiensten, waaronder (zeer grote) online platforms, in hun algemene voorwaarden informatie opnemen over eventuele beperkingen die zij aan het gebruik van hun dienst opleggen met betrekking tot door de afnemers van de dienst verstrekte informatie. Zij zijn verplicht om, bij het toepassen van dergelijke beperkingen, op zorgvuldige, objectieve en evenredige wijze te handelen met gepaste aandacht voor de rechten, belangen en grondrechten van alle betrokkenen. Ook moeten zij een duidelijke en specifieke motivering geven wanneer zij een dergelijk besluit nemen. In dat geval moeten zij ook de gebruiker in staat stellen gratis en elektronisch een klacht in te dienen tegen dat besluit. Wanneer online platforms zich niet aan deze verplichtingen houden, dan is sprake van een overtreding van de DSA en kan de bevoegde toezichthouder daartegen optreden.
Afnemers kunnen op grond van de DSA ook geschillen met een online platform over inhoudsmoderatie voorleggen aan gecertificeerde buitengerechtelijke geschillenbeslechtingsorganen. Dit kan onverminderd hun recht om hetzelfde geschil aan de rechter voor te leggen.6 -
Vraag 6
Welke acties zijn sinds de vorige blokkades (in december 2025) ondernomen door het kabinet of bevoegde toezichthouders naar aanleiding van deze signalen?
De Staatssecretaris van Digitale Economie en Soevereiniteit heeft de signalen aan de orde gebracht in een gesprek met Meta. In aanvulling daarop is ook op ambtelijk niveau navraag gedaan bij Meta over de blokkades om meer informatie te krijgen. Daarnaast is het signaal met de Europese Commissie gedeeld. De Europese Commissie kan naar aanleiding van deze signalen besluiten om nader onderzoek in te stellen naar de naleving van de DSA door Meta en, indien nodig, handhavend optreden.
-
Vraag 7
Is er tevens contact geweest met belangenorganisaties van LHBTIQ+ personen om te vragen welke signalen er nog meer zijn en waar behoefte aan is?
De Staatssecretaris van Onderwijs en Emancipatie staat in goed contact met strategische samenwerkingspartners die de belangen van de lhbtiq+-gemeenschap behartigen. De strategische partners zijn zelf niet getroffen door ongemotiveerde schorsingen of verwijderingen. Zij staan wel in contact met de getroffen organisaties. Met hen bespreken we wat de getroffen organisaties hebben ervaren en ook gaan we in gesprek met een aantal van de getroffen organisaties om te horen wat hun ervaringen zijn en waar behoefte aan is.
-
Vraag 8
Welke mogelijkheden ziet u voor zich om bij sociale media platformen de transparantie over het blokkeren van accounts af te dwingen zodat voor gebruikers duidelijk is op welke gronden een blokkade is ingesteld en waar ze terecht kunnen met klachten of vragen?
Zie het antwoord op vraag 5.
-
Vraag 9
Welke mogelijkheden heeft u om platforms ertoe te bewegen geblokkeerde accounts te herstellen en/of gedupeerden te ondersteunen bij het herstellen van hun account?
Op het moment van beantwoording van deze vragen is een aantal geblokkeerde en/of verwijderde accounts van Nederlandse personen en organisaties hersteld. Niet alle problemen zijn echter verholpen. Het is niet een taak van de overheid om in individuele geschillen te treden. Inmiddels is bekend geworden dat een aantal organisaties Meta heeft gesommeerd om aan de verplichtingen op grond van de DSA te voldoen.7 Het kabinet staat voor strikte naleving van de DSA en (bestuursrechtelijke en civielrechtelijke) handhaving daarvan. Daarnaast zet het kabinet, vanuit het plan van aanpak tegen online discriminatie, in op het makkelijker maken voor gebruikers om hun rechten ten opzichte van de platforms uit te oefenen.
-
Vraag 10
Welke maatregelen gaat u nemen tegen sociale media platforms die LHBTIQ+ personen en organisaties discrimineren? En welke aanvullende maatregelen overweegt u om het digitaal targetten van LHBTIQ+ gemeenschappen via sociale media platforms tegen te gaan en de LHBITQ+ gemeenschap beter te beschermen?
Discriminatie is in Nederland en de EU verboden. Platforms als Meta moeten bij het toepassen van hun inhoudsmoderatie rekening houden met grondrechten in het Handvest van de Grondrechten van de Europese Unie, waaronder het recht op non-discriminatie. In het algemeen moeten zij de toepasselijke Europese wetgeving, waaronder de DSA, naleven. Het is aan de bevoegde toezichthouder, in dit geval de Europese Commissie, om deze regelgeving te handhaven. De lopende onderzoeken en procedures naar Meta tonen aan dat de Commissie dit doet. Voor de aanvullende kabinetsinzet op het gebied van het tegengaan van online discriminatie en het bevorderen van gender- en lhbtiq+-gelijkheid verwijzen we u naar antwoorden 3 en 7.
-
Vraag 11
Kunt u de vragen afzonderlijk beantwoorden?
Ja.
29 april 2026 - 6 mei 2026
7 dagen
Het verlengen van het DigiD-contract |
|
Barbara Kathmann (PvdA), Chris Stoffer (SGP), Henk Vermeer (BBB) |
|
Eric van der Burg (VVD), Aerdts , Herbert |
|
|
|
-
Vraag 1
Klopt het dat op 27 maart 2026 besloten is om het DigiD-contract met Solvinity nogmaals voor twee jaar te verlengen?
Op dit moment heeft Logius een contract met Solvinity dat uiterlijk in augustus 2028 afloopt. Binnen het huidige contract kan er gebruik worden gemaakt van een tweede en laatste verlengingsoptie voor de periode van 7 augustus 2026 tot (uiterlijk) 6 augustus 2028. Het gaat hierbij om het contract met Solvinity voor het uitvoeren van de beheerwerkzaamheden aan het platform waar onder andere DigiD op draait. Het is niet mogelijk om voor augustus 2026 over te stappen naar een andere partij zonder dat hierbij de continuïteit en veiligheid van DigiD en andere voorzieningen in gevaar komen. Derhalve heb ik op 27 maart 2026 ingestemd met een contractverlenging voor de periode van 7 augustus 2026 tot 6 augustus 2028.
-
Vraag 2
Welke overwegingen liggen ten grondslag aan deze keuze? Is het niet verlengen van het contract serieus overwogen?
De afgelopen maanden zijn er door Logius en BZK verschillende mogelijkheden verkend, zoals het versneld overstappen naar een andere leverancier of het zelf in beheer nemen van het platform waar voorzieningen als DigiD op draaien
Het beheer van het platform vraagt om een ervaren beheerorganisatie om de continuïteit en veiligheid van dienstverlening blijvend te kunnen borgen. Op dit moment is het niet mogelijk om het platform in eigen beheer te nemen vanwege het feit dat Logius niet beschikt over voldoende kennis en capaciteit.
Het beheer van het platform versneld onderbrengen bij een andere beheerorganisatie kan ook leiden tot risico’s. De voornaamste reden hiervoor is dat een nieuwe beheerorganisatie kennis en ervaring moet opbouwen met het platform dat door Logius wordt gebruikt. Onder normale omstandigheden wordt hier een periode van 6 tot 12 maanden voor gehanteerd.
Deze overdracht kan plaatsvinden nadat een aanbestedingstraject is doorlopen en een nieuwe contractant is geselecteerd. Dat maakt het niet mogelijk om de overdracht naar een andere leverancier voor augustus 2026 af te ronden. Het vormgeven van een nieuwe aanbesteding en de overdracht naar een nieuwe leverancier is een langdurig traject dat zorgvuldig moet worden doorlopen, juist om de continuïteit en veiligheid van dienstverlening te borgen. -
Vraag 3
Welke andere opties heeft u overwogen, behalve het contract met twee jaar verlengen? Waarom zijn deze opties afgevallen?
Zie het antwoord op vraag 2.
-
Vraag 4
Welke mogelijkheden heeft u om vóór het definitieve beslismoment begin mei alsnog af te zien van de contractverlenging van twee jaar? Kunt u een beroep doen op een voorwaarde in het contract of een wettelijke bevoegdheid om dit vervroegd te doen?
De Algemene Rijksinkoopvoorwaarden bij IT-opdrachten (ARBIT) zijn op deze overeenkomst van toepassing en bieden middels artikel 30 (onder voorwaarden) mogelijkheden tot het tussentijds ontbinden of opzeggen van de overeenkomst.
Voor het definitieve beslismoment van 6 mei 2026 heb ik geen mogelijkheden om af te zien van de contractverlenging. Zoals in de beantwoording op vraag 2 beschreven, zijn er op dit moment geen mogelijkheden om per augustus 2026 over te stappen naar een andere partij die in voldoende mate continuïteit en veiligheid kan borgen. -
Vraag 5
Zo niet, heeft u de mogelijkheid om het contract slechts onder voorbehoud te verlengen zolang Solvinity niet door een Amerikaans bedrijf wordt overgenomen? Bent u bereid om zo’n voorbehoud te maken?
Zie antwoord op vraag 2 en 4.
-
Vraag 6
Heeft u de aangenomen motie-Stoffer c.s. (Kamerstuk 26 643, nr. 1467) en de twee moties-Kathmann c.s. (Kamerstuk 21 501-33, nr. 1190) (Kamerstuk 26 643, nr. 1507) meegewogen in dit besluit? Zo ja, hoe?
Deze zijn meegenomen in het besluit. Het kabinet wacht het oordeel van de onafhankelijke toezichthouder in het kader van het driesporenbeleid zoals vermeld in de Kamerbrief van 10 februari 20261 en de kabinetsreactie van 21 april 20262 af, om vervolgens een besluit te kunnen nemen.
Om vanaf (uiterlijk) augustus 2028 over te stappen naar een contractant waarbij het zeggenschap in Nederlandse/Europese handen ligt3, 4, wor dt er door Logius samen met de Landsadvocaat gekeken naar onder welke voorwaarden de aanbesteding kan worden uitgezet in de markt. In juni 2026 zullen wij uw Kamer hierover informeren. -
Vraag 7
Kunt u concreet uitleggen hoe de continuïteit en veiligheid van de dienstverlening in gevaar komt als het contract niet was verlengd? Op basis van welke onderzoeken concludeert u dat?
Logius heeft een leverancier nodig voor het leveren van diensten die benodigd zijn om het platform waarop voorzieningen zoals DigiD staan, te laten draaien. Logius moet daarom een contract afsluiten met een leverancier. Zie voor verdere toelichting het antwoord op vraag 2.
-
Vraag 8
Is het mogelijk om de DigiD-diensten, die nu in beheer zijn bij Solvinity, binnen drie maanden over te schakelen naar een ander bedrijf? Is deze optie serieus onderzocht?
Zie beantwoording vraag 2.
-
Vraag 9
Hoe kunt u het DigiD-contract met Solvinity in zo kort mogelijke tijd ontbinden, nog vóór 2028, als de Amerikaanse overname doorgang vindt? Kunt u de Kamer uiterlijk in juni 2026 informeren over de opties die u hiertoe heeft en wat hiervan de kosten zijn?
Zie antwoord op vraag 4 en 6. Ik zal uw Kamer in juni 2026 nader informeren.
-
Vraag 10
Kunt u deze vragen afzonderlijk van elkaar en nog vóór het definitieve verlengen van het contract in begin mei beantwoorden?
Ja.
29 april 2026 - 5 juni 2026
37 dagen
Recente berichtgeving over Palantir |
|
Sarah El Boujdaini (D66), Michelle Jagtenberg (D66), Fatimazhra Belhirch (D66) |
|
David van Weel (VVD), Aerdts , Derk Boswijk (CDA) |
|
|
|
|
Bronnen
-
Vraag 1
Heeft u kennisgenomen van het artikel van Follow the Money waarin wordt gesteld dat de Kamer niet volledig is geïnformeerd over een contract met Palantir?1
Ja.
-
Vraag 2
Erkent u dat het antwoord dat in augustus 2025 is gegeven door de Minister van Justitie en Veiligheid op de vraag of er buiten de bekende voorbeelden binnen Justitie en Veiligheid gebruik is of wordt gemaakt van software van Palantir onjuist of op zijn minst onvolledig was? En erkent u dat de Kamer onjuist en/of onvolledig is geïnformeerd?
De Kamervragen zijn destijds gesteld aan en beantwoord door de Minister van Justitie en Veiligheid (JenV), op basis van de toen geldende portefeuilleverdeling binnen het kabinet. Daarnaast werden er Kamervragen over het mogelijke gebruik van Palantir gesteld aan meerdere bewindspersonen van andere departementen (Defensie, VWS, IenW, FIN, BZK). Grenstoezicht door de KMar, waarvoor Palantir-software in het verleden is ingezet, viel onder verantwoordelijkheid van de Minister van AenM. Daarom is deze toepassing van Palantir niet meegenomen ten tijde van de beantwoording van de Kamervragen in augustus 2025.
Inmiddels is het Ministerie van Asiel en Migratie opgegaan in het Ministerie van Justitie en Veiligheid. Daardoor is in navolging van een Woo-verzoek van JenV recent een contract verstrekt. Het Programma Vernieuwing Grensmanagement, onderdeel van de Programmadirectie Identiteitsmanagement en Immigratie (IDMI), had contracten afgesloten voor het gebruik van Palantir voor het API systeem dat gebruikt werd door de KMar voor het grenstoezicht. IDMI was onderdeel van het Directoraat Generaal Vreemdelingenzaken (DGVZ), thans DGM. Zoals hierboven uitgelegd, viel dit betreffende beleidsonderdeel ten tijde van de beantwoording van de Kamervragen in augustus 2025 niet onder de politieke verantwoordelijkheid van de Minister van JenV.
De stukken die hierover inmiddels naar aanleiding van het Woo-besluit van JenV zijn gedeeld en de inzet van Palantir-softwarelicenties, zullen nader worden betrokken bij de afhandeling van het Woo-verzoek dat aan de Minister van Asiel en Migratie is gestuurd. -
Vraag 3
Kunt u precies uiteenzetten wanneer het contract tussen de Koninklijke Marechaussee (KMar) en Palantir is afgesloten, welke onderdelen van Defensie hierbij betrokken zijn en waarom de Kamer hier niet (volledig) vooraf over is geïnformeerd?
Zie antwoord vraag 2.
-
Vraag 4
Heeft u kennisgenomen van het 22-punten manifesto van Palantir dat zij op hun sociale media hebben gezet?2 Hoe beoordeelt u dat manifesto? Deelt u de mening dat dit manifesto direct ingaat tegen de normen en waarden van de Nederlandse overheid en dat er mede op basis daarvan geen samenwerking kan plaatsvinden tussen Palantir en de Nederlandse overheid?
Ja, daarvan is kennisgenomen.
Het kabinet stelt de bescherming van mensenrechten en de democratische rechtsstaat voorop en zet zich daarvoor in, ook bij de inzet van technologie. Het is niet aan het kabinet om opvattingen van het bestuur van een bedrijf van een oordeel te voorzien.
In relatie tot de huidige toepassing van Palantir bij de politie en Defensie hecht ik er, met de Staatssecretaris van Defensie, aan te benadrukken dat dit gebruik van veel waarborgen is voorzien. Tegelijkertijd worden mogelijke alternatieven verkend om de toekomstbestendigheid en flexibiliteit te vergroten, zoals ook aan uw Kamer toegelicht door de Staatssecretaris van Defensie tijdens uw Vragenuur van 2 juni jl.
Voor een reactie op de vraag of de Nederlandse overheid zaken kan blijven doen met het bedrijf in kwestie wordt u verwezen naar de Kamerbrief3 van de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties over de uitvoering aangenomen ontraden moties over ICT-onderwerpen ingediend tijdens het Notaoverleg over de Nederlandse Digitaliseringsstrategie d.d. 29 september 2025. Hierin is ingegaan op de uitvoering van de aangenomen motie4 van het lid Six Dijkstra c.s. over het onafhankelijk maken van de Nederlandse overheid van Palantir. -
Vraag 5
Kunt u een totaaloverzicht geven van alle samenwerkingen die er hebben plaatsgevonden of plaatsvinden tussen de Nederlandse overheid en Palantir sinds de oprichting in 2003? Mochten er nog lopende samenwerkingen zijn, liggen er exitstrategieën om als Defensie zo snel mogelijk te stoppen met het gebruik van de betreffende software?
Er is geen Rijksbrede overeenkomst met Palantir. Een overzicht van alle lopende, aanstaande en verlopen contracten is niet voorhanden. Aanbestede diensten zijn zelf verantwoordelijk voor de aanbestedingsprocedures en het contracteren van leveranciers, er is geen centraal overzicht dat door mijn ministerie kan worden aangeboden.
Wat betreft uw vraag inzake eventuele exitstrategieën van Defensie het volgende. Binnen de Nederlandse krijgsmacht wordt bij een aantal (operationele) defensieonderdelen gebruik gemaakt van de Palantir-software. Dit gebeurt onder strikte maatregelen en in volledige afgesloten omgevingen. Ook wordt in het kader van interoperabiliteit tussen NAVO-partners onderzocht in hoeverre deze technologie hieraan kan bijdragen. Het afbouwen van afhankelijkheden is een middel om operationele continuïteit te kunnen waarborgen, maar dat kan bijvoorbeeld ook door in de samenwerking met (niet-Europese) technologiebedrijven verschillende contractuele, organisatorische en technische maatregelen te treffen. Tegelijkertijd onderzoekt Defensie de mogelijkheden om, al dan niet samen met bondgenoten, Europese alternatieven te (helpen) ontwikkelen.
28 april 2026 - 9 juni 2026
42 dagen
De raamovereenkomst met een Europees cloudbedrijf |
|
Barbara Kathmann (PvdA) |
|
Aerdts |
|
|
|
|
Bronnen
1. Digitaleoverheid.nl, 23 april 2026, Rijksoverheid sluit deal met Europees cloudplatform STACKIT.
2. Manifest Open Cloud Alliantie, april 2026, Manifest_Open_Cloud_Alliantie-20260401.pdf
2. Manifest Open Cloud Alliantie, april 2026, Manifest_Open_Cloud_Alliantie-20260401.pdf
-
Vraag 1
Kunt u meer toelichten over de raamovereenkomst die is gesloten met het Europese cloudplatform STACKIT?1
Strategisch Leveranciersmanagement (SLM) Rijk heeft de opdracht om, binnen de kaders van wet- en regelgeving en vigerend beleid, het afnemen van (cloud)diensten te faciliteren voor rijksorganisaties. Hiervoor sluit SLM Rijk de zogenaamde «Framework Agreements» (hierna: raamovereenkomst) af met cloud leveranciers waarin waarborgen zijn opgenomen voor het op verantwoorde wijze gebruiken van (cloud-)diensten.
De keuze voor aankoop en gebruik van een (cloud)dienst onder een door SLM Rijk gecontracteerde raamovereenkomst ligt bij de rijksorganisatie zelf. De raamovereenkomst bevat geen verplichtingen voor daadwerkelijke afname van diensten. De rijksorganisatie dient af te wegen of de aan te schaffen dienst past op haar specifieke vraag en situatie, waaronder de (gevoeligheid van) data die de organisatie wenst te laten verwerken.2
Rijksorganisaties die clouddiensten willen inkopen, kunnen gebruik maken van de door het Rijk afgesloten raamovereenkomst met STACKIT. Bij hun inkooporganisatie kunnen zij informeren hoe de verwerving van clouddiensten georganiseerd dient te worden. -
Vraag 2
Kunt u de raamovereenkomst aan de Kamer doen toekomen?
Nee. De raamovereenkomst met STACKIT bevat grotendeels bedrijfsvertrouwelijke informatie. Het delen van deze informatie zou nadelige consequenties voor de Staat hebben, omdat leveranciers (met de wetenschap dat bedrijfsvertrouwelijke contracten gedeeld zouden kunnen worden) niet meer genegen zouden zijn (maat-)werkafspraken met de Staat te maken. Er is ook een geldige Non-Disclosure Agreement (NDA) van kracht met de leverancier.
In vraag 4 en 5 wordt antwoord gegeven op een aantal specifieke inhoudelijke vragen. -
Vraag 3
Hoe ziet u de rol van de Rijksoverheid als lancerende klant van autonome Europese IT-diensten? Hoe draagt de raamovereenkomst met STACKIT bij aan dit doel?
Het kabinet kijkt naar de mogelijkheden om als launching customer op te treden bij de inkoop van clouddienstverlening en bij aanbesteding van dergelijke diensten de mogelijkheden van een Europees voorkeursprincipe te benutten met behoud van de voordelen van een open markt.
Zoals gesteld in beantwoording op vraag 1 kunnen rijksorganisaties met het sluiten van de raamovereenkomst onder veilige en gunstige voorwaarden clouddienstverlening afnemen bij leveranciers. Dit kan een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze leveranciers. Met de inkoop van dienstverlening bij Europese leveranciers, zoals STACKIT, kan de overheid als lancerende klant bijdragen aan de concurrentiepositie van Europese cloudleveranciers. Ook kan dit bijdragen aan een meer divers leveranciersbestand, waarmee afhankelijkheden van niet-Europese aanbieders bij rijksorganisaties worden afgebouwd. Dit draagt bij aan de digitale autonomie van Nederland.
Daarbij dient wel te worden opgemerkt dat het sluiten van de raamovereenkomst niet inhoudt dat de dienstverlening van STACKIT al daadwerkelijk door onderdelen van de Rijksoverheid is ingekocht. -
Vraag 4
Met welk doel is de raamovereenkomst gesloten? Zijn er ook afspraken gemaakt over de afname van deze diensten?
Het doel van de raamovereenkomst is om door SLM Rijk onderzochte Europese cloud-alternatieven op verantwoorde wijze beschikbaar te stellen voor rijksorganisaties.
SLM Rijk heeft geen afspraken gemaakt over de afname van diensten; die beslissing ligt bij de rijksorganisaties zelf. Zie ook de beantwoording op vraag 1. -
Vraag 5
Welke «veilige en gunstige voorwaarden» heeft u afgesproken met STACKIT? Op welke manier dragen deze voorwaarden bij aan de digitale autonomie van Nederland?
Doeltreffende maatregelen m.b.t. de bescherming van persoonsgegevens zijn getroffen naar aanleiding van de door SLM uitgevoerde Data Protection Impact Assessment (DPIA). Conform de uitgevoerde DPIA is in de raamovereenkomst vastgelegd dat alle data exclusief worden verwerkt binnen de EER, inclusief persoonsgegevens. Ook zijn er afspraken gemaakt over (voortijdige) contractbeëindiging bij wijzigingen in eigenaarschap, bijvoorbeeld als STACKIT wordt overgenomen door een buiten de EER gelegen eigenaar.
Zoals gesteld in beantwoording op vraag 1 kunnen rijksorganisaties met het sluiten van de raamovereenkomst onder veilige en gunstige voorwaarden clouddienstverlening afnemen bij leveranciers. Dit kan een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze leveranciers. Met de inkoop van dienstverlening bij Europese leveranciers, zoals STACKIT, kan de overheid als lancerende klant bijdragen aan de concurrentiepositie van Europese cloudleveranciers. Ook kan dit bijdragen aan een meer divers leveranciersbestand, waarmee afhankelijkheden van niet-Europese aanbieders bij rijksorganisaties worden afgebouwd. Dit draagt bij aan de digitale autonomie van Nederland. -
Vraag 6
Hoe draagt het sluiten van een raamovereenkomst met één leverancier bij aan een eerlijk en open speelveld voor Nederlandse en Europese techbedrijven?
Zoals onder vraag 5 toegelicht kan het sluiten van de raamovereenkomst een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze Europese leverancier. Daarnaast sluit het afsluiten van een raamovereenkomst met één partij de mogelijkheid tot het sluiten van gelijksoortige raamovereenkomsten met andere partijen geenszins uit.
Tegelijkertijd is meedingen in individuele aanbestedingstrajecten voor clouddienstverlening van de Rijksoverheid niet exclusief voorbehouden aan partijen die een raamovereenkomst met SLM Rijk hebben afgesloten. Dit betekent dat aanbieders zonder raamovereenkomst met SLM Rijk evengoed kunnen meedingen in aanbestedingen voor clouddienstverlening.
Het is tevens relevant te benadrukken dat SLM Rijk de intentie heeft met meer Europese cloudaanbieders een raamovereenkomst te sluiten. Zo is er reeds een onderzoek bezig naar OVHcloud en ESET, een Europese leverancier voor securitydiensten. Ook is SLM Rijk in gesprek met Nederlandse cloudbedrijven om de mogelijkheden voor het sluiten van een raamovereenkomst te verkennen. -
Vraag 7
Hoe borgt u in het sluiten van een raamovereenkomst de diversificatie en keuzevrijheid tussen leveranciers, zoals wel beoogd wordt door een privaat initiatief zoals de Open Cloud Alliantie?2
Er geldt geen afnameverplichting voor het gebruik van STACKIT door rijksorganisaties.
Dit betekent dat net als STACKIT iedere andere cloudaanbieder inclusief leden van bijvoorbeeld de Open Cloud Alliantie, kan meedingen in aanbestedingen. -
Vraag 8
Welke diensten levert STACKIT? Kunt u concreet maken voor welke belangrijke IT-processen u van plan bent de clouddiensten van STACKIT af te nemen?
STACKIT levert clouddiensten, bijvoorbeeld rekenkracht en opslag. Onder de reikwijdte van de raamovereenkomst zijn deze diensten meegenomen.
Zoals toegelicht in de beantwoording van vragen 1 en 4 zijn afspraken over de afname van diensten geen onderdeel van de raamovereenkomst. -
Vraag 9
Erkent u dat opslag binnen de Europese Economische Ruimte (EER) geen afdoende bescherming is tegen inzageverzoeken van niet-Europese overheden, als de bedrijven die de opslag beheren onder niet-Europese wetgeving vallen?
Ja, dat erken ik. Omdat dit risico niet van toepassing is op de diensten in scope van de raamovereemkomst met STACKIT, verwijs ik voor een gedetailleerde juridische analyse naar andere door SLM gepubliceerde DPIA’s.4 Zo wordt hierop in de recent gepubliceerde tweede update DPIA op M365 Copilot gedetailleerd ingegaan, specifiek in paragraaf 8.3.4.
Op dit moment zijn er geen afhankelijkheden van niet-Europese bedrijven geconstateerd voor de diensten van STACKIT die zijn opgenomen in de scope van de raamovereenkomst. Zie ook de beantwoording op vraag 11. -
Vraag 10
Is uitgesloten dat de clouddiensten van STACKIT op welke manier dan ook afhankelijk zijn van niet-Europese techbedrijven in het beheer, onderhoud, de beveiliging, of andere essentiële processen?
Dit is contractueel uitgesloten. Mocht er worden geconstateerd dat de feitelijke situatie in een later stadium zou afwijken van de contractuele waarborgen, dan kan het contract direct worden opgezegd.
-
Vraag 11
Indien dit niet uit te sluiten is, kunt u dan toelichten welke afhankelijkheden STACKIT heeft van niet-Europese bedrijven? Zijn deze afhankelijkheden weg te nemen?
Op dit moment zijn er geen afhankelijkheden van niet-Europese bedrijven geconstateerd voor de diensten van STACKIT die zijn opgenomen in de scope van de raamovereenkomst.
-
Vraag 12
Welke analyses heeft u gemaakt om te bevestigen dat STACKIT daadwerkelijk volledig Europees en autonoom is? Kunt u deze met de Kamer delen?
SLM Rijk heeft de DPIA op STACKIT door een extern bureau laten uitvoeren waarin de potentiële gegevensuitwisselingen met STACKIT zijn onderzocht. Conform de uitgevoerde DPIA is in de raamovereenkomst vastgelegd dat alle gegevens exclusief worden verwerkt binnen de EER, inclusief persoonsgegevens. Ook zijn er afspraken gemaakt over (voortijdige) contractbeëindiging bij wijzigingen in eigenaarschap, bijvoorbeeld als STACKIT wordt overgenomen door een buiten de EER gelegen eigenaar. Zie ook de beantwoording op vraag 5.
-
Vraag 13
Hoe gaat de Rijksoverheid toezien of STACKIT zich aan de afspraken houdt? Welke toezichthouder is hiertoe aan zet?
SLM Rijk zal dat doen door middel van uitoefening van het bedongen auditrecht, dit is onderdeel van regulier contractbeheer. De toezichthouder is in casu dus niet aan zet.
-
Vraag 14
Kunt u de vragen afzonderlijk van elkaar en zo snel mogelijk beantwoorden?
Ja.
24 april 2026 - 1 juni 2026
38 dagen
Het bericht AI-model Mythos geprezen en gevreesd lijkt in handen gevallen van onbevoegden |
|
Sarah El Boujdaini (D66), Barbara Kathmann (PvdA) |
|
Aerdts , David van Weel (VVD) |
|
|
|
|
-
Vraag 1
Bent u bekend met het bericht in het NRC over het AI-model Mythos dat mogelijk in handen is gevallen van onbevoegden?1
Ja.
-
Vraag 2
Deelt u de analyse dat ongecontroleerde verspreiding van geavanceerde AI-modellen risico’s kan vergroten op cyberaanvallen, geautomatiseerde fraude en andere schadelijke toepassingen? Zo ja, welke risico’s acht u het meest urgent? Zo nee, waarom niet?
Het is goed om te benadrukken dat de risico’s niet voortkomen uit één specifiek geavanceerd AI-model. Geavanceerde capaciteiten zijn niet enkel meer voorbehouden aan gesloten, zogeheten «frontier-only» modellen. Ook open, vrij toegankelijke AI-modellen komen steeds dichterbij dergelijke geavanceerde capaciteiten. Zo laat gelekte broncode van Anthropic’s Claude Code product zien dat de capaciteiten van een AI-model niet enkel of grotendeels voortkomen uit het model zelf, maar juist uit de technische infrastructuur (het «harnas») om het AI-model heen.
De ontwikkelingen volgen elkaar in snel tempo op, risico’s zijn dan ook zeer situationeel afhankelijk. Eén van de risico’s die het kabinet ziet, is dat geavanceerde AI-modellen onder andere kunnen worden ingezet om technische kwetsbaarheden in software op te sporen. Dit kan dankzij dergelijke AI-modellen in veel kortere tijd en op grotere schaal worden gedaan dan eerder mogelijk was. Hierdoor kan de tijd tussen ontdekking van een kwetsbaarheid en het moment dat deze wordt uitgebuit significant worden verkort.
Ook zijn geavanceerde AI-modellen tot dusver afkomstig van commerciële bedrijven en veelal afkomstig uit niet-Europese landen waar andere wet- en regelgeving geldt dan in de EU. Dat kan ertoe leiden dat (a) er weinig tot geen inzicht bestaat in de onderliggende systemen en software van dergelijke systemen en (b) die systemen niet voldoen aan Europese wet- en regelgeving. Het (verder) integreren van AI-modellen in Nederlandse digitale (kern)processen, waarbij de AI-modellen op infrastructuur van niet-Europese aanbieders draait, kan leiden tot toenemende afhankelijkheid.
Ook draaien veel geavanceerde AI-modellen op niet-Europese cloudinfrastructuur. Integratie in Nederlandse digitale processen vergroot daarmee de afhankelijkheid van niet-Europese aanbieders, met bijbehorende risico’s op gebied van datasoevereiniteit, continuïteit, vertrouwelijkheid en strategische afhankelijkheid. Aanbieders kunnen toegang tot specifieke modellen beperken, updates kunnen de uitkomsten veranderen zonder dat de afnemer dat in de hand heeft, en de rekenkracht voor geavanceerde AI is geconcentreerd bij een klein aantal niet-Europese partijen. -
Vraag 3
Welke rol spelen geavanceerde AI-modellen op dit moment in het dreigingsbeeld? Welke gevolgen heeft de uitrol van Mythos, binnen afzienbare tijd ook aan het grotere publiek, voor dit dreigingsbeeld?
Geavanceerde AI-modellen spelen in algemene zin op twee manieren een rol in het huidige dreigingsbeeld. Enerzijds kunnen AI-modellen worden ingezet door kwaadwillenden om systemen aan te vallen. Zo kan AI worden ingezet om kwetsbaarheden op te sporen, code te ontwikkelen, phishing te personaliseren of grote hoeveelheden data te verwerken. Dit kan ervoor zorgen dat actoren sneller en op grotere schaal cyberaanvallen kunnen uitvoeren. Anderzijds kunnen AI-modellen worden ingezet ter verdediging. Zo kan AI worden ingezet voor detectie van afwijkend netwerkverkeer, het geautomatiseerd controleren van systemen of het reageren op incidenten. Ook hiervoor geldt dat dergelijke processen sneller en op grotere schaal kunnen worden uitgevoerd. De mogelijke risico's zoals beschreven in het antwoord op vraag 2 gelden voor de bredere trend waarbinnen dergelijke geavanceerde AI-systemen breder beschikbaar worden, waaronder de uitrol van Mythos.
-
Vraag 4
Bent u van mening dat overheden toegang moeten krijgen tot Mythos zodat zij het kunnen gebruiken om preventief kwetsbaarheden op te sporen en te dichten? Kan dit op een veilige en verantwoorde manier?
Het kabinet bepleit terughoudendheid ten aanzien van toegang tot operationeel gebruik van een niet-Europees leveranciersmodel als oplossingsrichting voor preventieve kwetsbaarheidsdetectie. Drie overwegingen liggen hieraan ten grondslag.
In de eerste plaats laat onafhankelijk onderzoek zien dat toegang tot AI-frontiermodellen in veel gevallen niet noodzakelijk is voor effectieve detectie van kwetsbaarheden. Het verschil tussen frontiermodellen en minder geavanceerde modellen is mogelijk minder groot dan de berichtgeving rond grote modelaankondigingen suggereert. In de tweede plaats zijn er nu aanbieders, van modellen zoals Mythos, die de toegang en voorwaarden bepalen. Toegang via dergelijke constructies kan daarmee ook de afhankelijkheid van die (niet-Europese) partijen vergroten. In de derde plaats kan preventieve kwetsbaarheidsdetectie via AI veilig en verantwoord worden ingericht, mits losgekoppeld van één specifieke leverancier. Het is afhankelijk van de specifieke omstandigheden, voorwaarden en afhankelijkheden en telkens een brede weging in welke mate toegang noodzakelijk is. -
Vraag 5
Hoe bereidt u overheidsorganisaties voor op de cyberveiligheidsrisico’s die gepaard gaan met de uitrol van Mythos? Kunt u uiteenzetten welke acties u neemt om de veiligheid van persoonsgegevens van burgers en de ICT-processen van de overheid te garanderen?
Het beschermen van persoonsgegevens van burgers en het waarborgen van de veiligheid van systemen van de overheid vraagt voortdurende aandacht. Zoals beschreven in het antwoord op vraag 2 komen de risico’s die van invloed zijn op het waarborgen hiervan niet voort uit één specifiek geavanceerd AI-model zoals Mythos. Om die reden is het noodzakelijk dat overheidsorganisaties rekening houden met bredere ontwikkelingen die mogelijke risico’s zijn voor de bescherming van persoonsgegevens of de beveiliging van hun netwerk- en informatiesystemen.
Voor de bescherming van persoonsgegevens geldt dat dit wordt geregeld in de Algemene verordening gegevensbescherming (AVG). De AVG kent onder meer de verplichting tot het treffen van passende technische en organisatorische maatregelen ter beveiliging bij de verwerkingen van persoonsgegevens. Daarbij geldt dat een beoordeling van het passende beveiligingsniveau moet worden uitgevoerd waarbij rekening wordt gehouden met de risico’s met betrekking tot de verwerking van persoonsgegevens. Voorafgaand aan een voorgenomen verwerking van persoonsgegevens, die waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen, moet voorts een data protection impact assessment (DPIA) uitgevoerd worden om de risico’s voor de rechten en vrijheden van betrokkenen in kaart te brengen. Daarbij moet onder meer worden beoordeeld welke maatregelen getroffen worden om de risico’s aan te pakken, waaronder veiligheidsmaatregelen en een mechanisme om de bescherming van persoonsgegevens te garanderen. Ook volgt uit de AVG de verplichting om voor het verrichten van verwerkingen van persoonsgegevens uitsluitend gebruik te maken van andere partijen die namens de overheid persoonsgegevens verwerken als verwerkers, indien zij voldoende garanties bieden met betrekking tot het toepassen van passende technische en organisatorische maatregelen, zodat aan de (andere) verplichtingen op grond van de AVG wordt voldaan. Op de naleving van verplichtingen uit de AVG houdt de Autoriteit Persoonsgegevens toezicht.
Vanuit de AI-verordening gelden bovendien regels voor de ontwikkeling en het gebruik van AI-systemen, ook aan de cyberveiligheid van hoog-risico systemen. Bovendien kent de AI-verordening de verplichting tot uitvoering van een Fundamental Rights Impact Assessment (FRIA) bij hoog-risico AI-systemen, om impact van deze systemen op fundamentele rechten van de mens te beoordelen. In de Kamerbrief van 20 april heeft de Staatssecretaris van Digitale Economie en Soevereiniteit u geïnformeerd over de wijze waarop het kabinet voornemens is het toezicht op de naleving van de Europese AI-verordening vorm te geven.2
Vanaf het moment van inwerkingtreding van de Cyberbeveiligingswet, waarin de Europese NIS2-richtlijn zal worden geïmplementeerd, gelden op grond van die wet verplichtingen voor de in die wet genoemde organisaties met betrekking tot de beveiliging van hun netwerk- en informatiesystemen. Het voorstel voor deze wet ligt op dit moment ter behandeling voor bij de Eerste Kamer. Deze wet zal gaan gelden voor organisaties uit verschillende sectoren, waaronder ook de overheid. Onderdeel van deze wet zal een zorgplicht zijn die inhoudt dat organisaties die onder de wet vallen verplicht zijn tot het nemen van passende en evenredige, technische, operationele en organisatorische maatregelen, om de risico’s met betrekking tot de beveiliging van hun netwerk- en informatiesystemen te beheersen. Daarbij geldt dat organisaties maatregelen moeten nemen die zorgen voor een beveiligingsniveau dat is afgestemd op de risico’s die voor hun organisatie gelden. Deze risico’s kunnen voor die organisaties als gevolg van onder meer veranderende dreigingen of nieuwe technologieën wijzigen, waardoor zij aanvullende maatregelen zullen moeten nemen. Deze zorgplicht wordt in het Cyberbeveiligingsbesluit, de algemene maatregel van bestuur onder de Cyberbeveiligingswet, en in ministeriële regelingen van de voor de sectoren verantwoordelijke vakministers, nader uitgewerkt.
De maatregelen die organisaties, die onder de Cyberbeveiligingswet vallen, moeten nemen betreffen onder meer beleid over risicoanalyses en incidentenbehandeling en de beveiliging van de toeleveringsketen. Krachtens het Cyberbeveiligingsbesluit geldt als maatregel onder meer ook dat organisaties bij attenderingen op voor hun relevante kwetsbaarheden of, dreigingen en beveiligingsadviezen door relevante partijen zoals CSIRTs, moeten beoordelen of op basis hiervan aanpassingen of aanvullingen nodig zijn op hun maatregelen (art. 17 Cbb). Daarnaast is voor overheidsorganisaties die onder de Cbw vallen, voorzien dat in de regeling van de Minister van Binnenlandse Zaken en Koninkrijksrelaties als maatregel, die zij in het kader van de zorgplicht moeten nemen, komt te gelden dat zij de normen en overheidsmaatregelen in de Baseline Informatiebeveiliging Overheid (BIO2), het reeds bestaande normenkader voor informatiebeveiliging bij de overheid, toepassen. Op de naleving van de verplichtingen in de Cyberbeveiligingswet en de daar onderliggende regelgeving wordt toezicht gehouden. Voor overheidsorganisaties zal de Rijksinspectie voor Digitale infrastructuur (RDI) als toezichthouder optreden.
Terugkomend in bovengenoemde wet- en regelgeving is dat gegevensbescherming en beveiliging van netwerk- en informatiesystemen een continue en cyclisch proces is. Organisaties dienen voortdurend te toetsen of bestaande maatregelen nog steeds voldoende zijn om risico’s te beheersen. Ook risico’s als gevolg van het bestaan van AI-modellen, waaronder Mythos, zullen onderdeel zijn van deze continue risico-inschatting door organisaties. -
Vraag 6
Welke rol zou een onafhankelijke AI-raad, zoals voorgesteld in de motie-Kathmann/Six Dijkstra (Kamerstuk 26 643, nr. 1403), kunnen spelen om de veiligheidsrisico’s van geavanceerde AI te monitoren en af te dekken? Hoe wordt deze motie nu uitgevoerd?
Het kabinet onderschrijft het belang van het monitoren en beheersen van veiligheidsrisico’s van geavanceerde AI en deelt de opvatting dat dit een aanpak vereist die stevig is verankerd in inhoudelijke expertise. Mede naar aanleiding van de aangenomen motie over een onafhankelijke AI-raad3, ingediend op 29 september 2025, is gekeken naar een passende structuur om hier invulling aan te geven.
Zoals eerder aan de Kamer gemeld4, werd in eerste instantie bezien welke rol de NDS-raad hierin kon vervullen. Nu besloten is om de oprichting van de raad niet te formaliseren5, worden alternatieve invullingen verkend. Zo loopt er tot september 2026 onder andere een interdepartementale verkenning, uitgevoerd door de Digitale Doetank, naar de inrichting van een onafhankelijk AI-veiligheidsinstituut, naar voorbeeld van internationale initiatieven zoals het AI Safety Institute (AISI) in het Verenigd Koninkrijk. Het kabinet houdt daarbij rekening met de verschillende bestaande instituten die de overheid en private organisaties reeds voorzien van advies en expertise op het gebied van AI. -
Vraag 7
Heeft u voldoende zicht op de risico’s van model leakage, model theft en ongeautoriseerde verspreiding van geavanceerde AI-systemen in Nederland en Europa? Zo ja, hoe wordt dit inzicht benut voor beleid en toezicht? Zo nee, welke maatregelen neemt u om dit inzicht te verbeteren?
Aanbieders van bepaalde AI-systemen, zoals systemen met een hoog risico en AI-modellen voor algemene doeleinden, inclusief modellen met een systeemrisico, moeten op grond van de Europese AI-verordening bepaalde informatie over deze systemen openbaar maken. De regels voor AI-modellen voor algemene doeleinden en die met een systeemrisico zijn op 2 augustus 2025 in werking getreden. Voor krachtige AI-modellen met systeemrisico’s gelden volgens deze verordening aanvullende verplichtingen om deze risico’s in kaart te brengen. Hierdoor hebben lidstaten en de Europese Commissie meer zicht op deze risico’s. De AI-verordening kent hiervoor een toezichtstelsel, waarbij zowel nationale toezichthouders als de Europese Commissie nauwlettend toezicht houden op deze risico’s. Zo kunnen zij hoog-risico AI-systemen die niet aan de verplichtingen voldoen van de markt halen. Daarnaast vindt er kennisuitwisseling plaats tussen (nationale) toezichthouders, de Europese Commissie en experts uit de lidstaten binnen de door de AI-verordening opgerichte Comité voor Artificiële Intelligentie (European AI Board).
-
Vraag 8
Hoe beoordeelt u de toereikendheid van bestaande beveiligingsnormen en toezichtmechanismen voor ontwikkelaars en beheerders van krachtige AI-modellen, mede in relatie tot de implementatie van de AI-verordening?
De Europese AI-verordening stelt regels aan AI-modellen voor algemene doeleinden waarbij de regels steviger zijn voor dit soort modellen met systeemrisico’s, deze regels zijn op 2 augustus 2025 in werking getreden. Hier vallen de meest krachtige AI-modellen onder. Alle AI-modellen voor algemene doeleinden moeten technische documentatie opstellen waarin in ieder geval informatie staat over het beoogde doel van het model, trainingsmethoden en gebruikte data. Aanbieders van modellen met een systeemrisico moeten daarbovenop risico’s in kaart brengen en kwetsbaarheden in het model opsporen. Daarnaast moeten zij ernstige incidenten en mogelijk corrigerende maatregelen bijhouden. Het toezicht op al deze modellen is Europees centraal belegd bij de Europese Commissie. Daarnaast kunnen aanbieders aansluiten bij de Europese General-Purpose AI Code of Practice die op 10 juli 2025 is gepubliceerd. Deze vrijwillige praktijkcode bevat onder andere informatie over hoe aanbieders kunnen voldoen aan de beveiligingsnormen uit de AI-verordening. Het kabinet is positief over deze vereisten en stimuleert aanbieders om zich aan te sluiten bij de praktijkcode. Het is nog niet mogelijk een sluitend oordeel te vellen over de effectiviteit van deze eisen. Samen met de Europese Commissie en andere lidstaten houden we de werking van deze vereisten nauwlettend in de gaten en dragen we bij aan de evaluaties hiervan.
-
Vraag 9
Welke kansen ziet u om via veilige ontwikkeling en deployment van AI de digitale veiligheid te versterken, bijvoorbeeld voor cyberdetectie, opsporing en publieke dienstverlening?
Zie antwoord vraag 3.
-
Vraag 10
Ziet u in deze casus aanleiding om in Europees verband te pleiten voor versterkte samenwerking rond monitoring van toegangsbeheer, auditing en incidentrespons? Zo ja, op welke wijze?
Organisaties zijn in de eerste plaats zelf verantwoordelijk voor hun eigen digitale weerbaarheid en daarmee onder meer ook voor het voorkomen en detecteren van cyberincidenten. De recente ontwikkelingen rondom AI benadrukken nogmaals het belang van het versterken van de digitale weerbaarheid van organisaties en de samenwerking daartoe bij digitale dreigingen, kwetsbaarheden en incidenten. In Nederland zijn er verschillende organisaties, zoals CSIRTS, die organisaties kunnen ondersteunen door het geven van adviezen en handelingsperspectieven, het verstrekken van informatie over dreigingen en incidenten en het assisteren bij incidentmanagement.
In het geval van grensoverschrijdende incidenten coördineert het Nationaal Cyber Security Centrum (NCSC), vanuit de Nederlandse overheid, de samenwerking met internationale(cyber) partners en werkt daartoe intensief samen met die partijen in onder meer het Europese CSIRT-netwerk. Binnen dit netwerk kunnen CSIRTs snel en effectief operationele informatie met elkaar uitwisselen met ondersteuning door het European Network and Information Security Agency (ENISA). Bovendien wordt binnen dit netwerk en diverse andere EU-samenwerkingsverbanden (zoals de NIS Cooperation Group en het CyCLONe-netwerk) aandacht besteed aan de invloed van de ontwikkeling van AI-modellen op cybersecurity. -
Vraag 11
Hoe beoordeelt u de wenselijkheid van meer transparantieverplichtingen voor aanbieders van geavanceerde AI-systemen over beveiligingsmaatregelen, incidenten en misbruikrisico’s?
Zoals ook opgenomen in het antwoord op vraag 8 is het nog te vroeg om aanvullende eisen op te stellen. De verplichtingen vanuit de AI-verordening zijn immers pas recent van kracht geworden.
-
Vraag 12
Kunt u de vragen afzonderlijk beantwoorden en in ieder geval vóór het rondetafelgesprek cyberveiligheid en informatiebeveiliging van 20 mei 2026?
Aangezien niet alle benodigde informatie op tijd was ontvangen is het niet gelukt de beantwoording met uw Kamer te delen voor het rondetafelgesprek cyberveiligheid en informatiebeveiliging van 20 mei 2026.
22 april 2026 - 19 mei 2026
27 dagen
-
Vraag 1
Bent u bekend met het bericht «Ukraine Creates UK-Backed «A1» AI Hub to Develop EW-Resistant Drones and Predict Russian Moves»?1
Ja.
-
Vraag 2
Naar aanleiding van uw bezoek aan Oekraïne in maart 2026 werd bekend dat Nederland intensief gaat meekijken bij de Oekraïense inzet van drones op het slagveld, om meer te leren over de mogelijkheden voor Nederlandse productie en innovatie van onbemenste systemen; sluit dit aan op het initiatief in de berichtgeving?
Nee, dit staat los van het in de berichtgeving genoemde initiatief. Nederland is bekend met het Oekraïense AI-centrum A1, ook wel het Center of Innovations and Defence Technologies Development. Vanuit Defensie wordt contact gezocht met de initiatiefnemers van dit centrum, onder meer in het kader van lessons learned en mogelijke samenwerking.
-
Vraag 3
Heeft de Nederlandse industrie toegang tot de beschikbare informatie en zo ja, hoe waarborgt u dat deze informatie eerlijk toegankelijk is voor alle geïnteresseerde marktpartijen?
Defensie heeft op dit moment zelf geen directe toegang tot deze specifieke informatie, omdat Nederland niet betrokken is bij dit initiatief. Daardoor beschikt Defensie ook niet over een informatiepositie die met de Nederlandse defensie-industrie kan worden gedeeld of waarvoor Defensie de toegang kan reguleren. Nederlandse bedrijven die zelf actief zijn in Oekraïne kunnen uiteraard via hun eigen contacten met Oekraïense eindgebruikers operationele feedback of gefilterde informatie ontvangen. Dat betreft echter geen door Defensie beheerde of via Defensie beschikbaar gestelde informatiepositie. Tegelijkertijd wordt verkend op welke wijze Nederland in de toekomst kan aansluiten bij initiatieven gericht op kennis- en informatie-uitwisseling, mede om lessen uit Oekraïense innovaties breder toegankelijk te maken voor relevante Nederlandse stakeholders.
-
Vraag 4
Is Nederland ook voornemens om zelf een soevereine database aan te vullen voor het trainen van AI-modellen (al dan niet met Europese partners)? Wordt de Nederlandse industrie aangesloten bij een mogelijk initiatief?
Geschikte data voor het trainen van AI-modellen voor militaire doeleinden is schaars. Daarom erkent Defensie het belang van een database met dergelijke data. Defensie verkent verschillende mogelijkheden voor het verkrijgen van data van hoogwaardige kwaliteit, waarmee robuuste militaire AI kan worden ontwikkeld. Denk hierbij ook aan alternatieven zoals synthetische data. Industriepartners worden actief betrokken.
-
Vraag 5
Ziet u ook een kans om als Nederland koploper in Europa te worden in het ontwikkelen van verantwoorde AI? Wat gaat u op korte termijn initiëren om dit te bewerkstelligen?
Nederland zet zich al geruime tijd in voor de verantwoorde ontwikkeling, verwerving en inzet van militaire AI. Met de eerste Responsible AI in the Military Domain (REAIM) Summit in het voorjaar van 2023 heeft Nederland het thema verantwoorde AI in het militaire domein voor het eerst op de internationale agenda gezet. Nederland was bij alle REAIM summits co-host, in 2023, 2024 en 2025. Daarnaast speelt Nederland een actieve rol in de Governmental Group of Experts on Lethal Autonomous Weapon Systems (GGE LAWS). Van 2024 tot en met 2026 zit Nederland deze groep voor. Het doel is om consensus te bereiken over elementen van toekomstige afspraken over autonome wapensystemen. Tijdens de GGE LAWS bijeenkomsten gaat het ook over de huidige en toekomstige rol van AI in LAWS. Nederland blijft nauw betrokken bij het mogelijke vervolg van REAIM en de GGE LAWS. Daarnaast is Defensie nadrukkelijk bezig met het proces van verantwoorde verwerving van AI. Tot slot wordt onderzocht hoe Defensie militaire AI kan verifiëren en valideren voor veilig gebruik en inzet.
-
Vraag 6
Hoe weegt u het risico van het niet zelf hebben van een soevereine database voor het trainen van AI-modellen en van welke landen verwacht u afhankelijk te zijn?
De data waarop de AI-modellen worden getraind is grotendeels afkomstig en in beheer van Defensie. Daarnaast zullen er technische maatregelen worden getroffen om de daadwerkelijke uitkomsten van de AI-modellen te kunnen valideren, voordat deze daadwerkelijk (operationeel) worden ingezet. Bijvoorbeeld door eerst in een simulatieomgeving te werken. Op dit moment onderzoekt Defensie op Europees niveau met welke aanbieders en partnerlanden hiervoor een samenwerking kan worden gestart.
-
Vraag 7
Sluit u aan bij de gedachten dat we de standaarden voor militair gebruik van AI niet aan externe machten overlaten, maar dat we die zelf bepalen?
Het internationaal recht, waaronder het humanitair oorlogsrecht, is onverkort van toepassing op het militair gebruik van AI. Het gebruik van AI in het militaire domein mag niet leiden tot schendingen van dit recht. Dit zijn bestaande afspraken. Daarnaast onderschrijft Nederland bijvoorbeeld de NAVO-principes voor het verantwoord gebruik van AI. Voor de effectiviteit van nieuwe internationale afspraken, specifiek ten aanzien van AI in het militaire domein, is het van belang dat staten die actief zijn op het gebied van de ontwikkeling van state-of-the-art AI hieraan meedoen. Nederland zet zich op verschillende manieren actief in om nieuwe afspraken te maken, bijvoorbeeld in het kader van REAIM en van de GGE LAWS.
-
Vraag 8
Ziet u mogelijkheden om aan te haken op het samenwerkingsverband tussen Duitsland en Oekraïne, die hun defensiesamenwerking verder hebben geïntensiveerd door een memorandum te tekenen op het gebied van delen van data van het slagveld, waarbij Duitsland ook toegang krijgt tot real-time DELTA battlefield management system?
Ja, Defensie ziet deze mogelijkheden. Defensie kijkt expliciet naar en werkt samen met Oekraïne om lessen van het slagveld te vertalen o.a. door het delen van relevante informatie. In het deel van de organisatie belast met de militaire steun aan Oekraïne wordt actief gekeken naar innovatie en zo genoemde Lessons Learned en de disseminatie daarvan. Daarnaast werkt Defensie aan het verbinden van Nederlandse en voor Defensie relevante kennisinstellingen met Oekraïense kennis en innovatie instituten
-
Vraag 9
Ziet u het belang van in Europees verband initiatieven organiseren voor een strategisch autonome battlefield management architectuur die interoperabiliteit tussen de (gefragmenteerde) Europese systemen waarborgt?
Ja. Defensie onderschrijft het belang van samenwerking in Europees verband gericht op een meer strategisch autonome battlefield management architectuur. Interoperabiliteit tussen nationale systemen is essentieel voor het effectief gezamenlijk optreden van Europese krijgsmachten, onder meer binnen NAVO- en EU-verband.
-
Vraag 10
Onderneemt Defensie andere initiatieven om een strategisch autonome battlefield management architectuur te maken? Zo niet, kunt u een risicoafweging van afhankelijkheden geven? Zo ja, bent u bereid een plan van aanpak te maken en te delen?
Defensie heeft reeds een aantal battlefield management architecturen in gebruik, zowel aangekocht als zelf ontwikkeld. De insteek is dat primaire componenten van toekomstige battlefield management architecturen in de basis door Defensie zelf ontwikkeld worden.
-
Vraag 11
Kunt u de bovenstaande vragen afzonderlijk van elkaar beantwoorden?
Ja.
17 april 2026 - 24 april 2026
7 dagen
Het artikel 'Privacy-adviseur Binnenlandse Zaken: overname van DigiD bedreigt veiligheid van Nederland' |
|
Daniël van den Berg (JA21) |
|
Eric van der Burg (VVD), Aerdts |
|
|
|
Bronnen
1. Volkskrant d.d. 16 april 2026
2. Citaat: «Een probleem, zegt een bron met jarenlange ervaring in de top van ministeries die niet officieel met de media mag praten, is dat dergelijke overnames worden bekeken vanuit het principe van de open markt. En zo bezien zijn de juridische middelen om het tegen te houden beperkt.»
2. Citaat: «Een probleem, zegt een bron met jarenlange ervaring in de top van ministeries die niet officieel met de media mag praten, is dat dergelijke overnames worden bekeken vanuit het principe van de open markt. En zo bezien zijn de juridische middelen om het tegen te houden beperkt.»
3. https://www.linkedin.com/posts/activity-7450426083449028608-ZcFt?utm_…
3. https://www.linkedin.com/posts/activity-7450426083449028608-ZcFt?utm_…
-
Vraag 1
Bent u bekend met het bericht «Privacy-adviseur Binnenlandse Zaken: overname van DigiD bedreigt veiligheid van Nederland»?1?
Ja.
-
Vraag 2
Hoe kwalificeert u het naar buiten treden van de Centrale Privacy Officer (CPO) van Logius in deze casus als het buiten de eigen rol treden door via media en procedures politieke druk uit te oefenen?
De berichtgeving in verschillende media is op persoonlijke titel gedaan en de mediaoptredens en de inhoud daarvan zijn niet afgestemd met het departement. Ik kan geen uitspraken doen over zaken betreffende individuele medewerkers en individuele casuïstiek.
Ten aanzien van de inhoud kan ik melden dat, zoals eerder is toegelicht aan uw Kamer, het niet mogelijk is om voor augustus 2026 over te stappen naar een andere partij zonder dat hierbij de continuïteit en veiligheid van de dienstverlening van Logius in gevaar komt. Een dergelijk traject is langdurig en vraagt een overdracht en een zorgvuldige voorbereiding en uitvoering. Derhalve heb ik op 27 maart 2026 het besluit genomen dat Logius haar contract met Solvinity mag verlengen met twee jaar. De ondertekening van deze verlenging zal begin mei 2026 plaatsvinden. Op dit moment wordt uitgewerkt onder welke voorwaarden Logius haar IT-fundament zo snel mogelijk opnieuw kan gaan aanbesteden. De Landsadvocaat is nauw bij dit proces betrokken. In juni zullen wij uw Kamer in meer detail informeren. -
Vraag 3
Welke formele interne escalatiekanalen stonden voor deze functionaris open, welke van deze kanalen zijn feitelijk benut en klopt de bewering dat toegang tot de bewindspersoon of de politieke leiding is geweigerd?
In het algemeen geldt dat voor het afgeven van een signaal of het doen van een melding over een vermoeden van een integriteitsschending of misstand de meldregeling van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties drie mogelijkheden beschrijft. In beginsel worden signalen of meldingen gedaan bij de direct leidinggevende van een medewerker. Een medewerker kan er ook voor kiezen een melding te doen bij het Meldpunt Integriteit. Tot slot kan een medewerker – desgewenst anoniem – een melding doen bij een vertrouwenspersoon. Meldingen worden vertrouwelijk in ontvangst genomen en behandeld. Ik kan daarom geen uitspraken doen over het benutten van de genoemde kanalen of mogelijke acties die in individuele casuïstiek zijn genomen.
-
Vraag 4
Is in deze casus formeel een melding gedaan op grond van de Wet bescherming klokkenluiders en, zo ja, onder welke kwalificatie of categorie is die melding gedaan?
Ik kan geen uitspraken doen over zaken betreffende individuele medewerkers en individuele casuïstiek.
-
Vraag 5
Kunt u aangeven of in deze casus onderzoek wordt gedaan naar mogelijke ongeoorloofde openbaarmaking van interne informatie en, zo nee, waarom niet? Indien daarvan wel sprake is, op basis van welke normen, procedures en mogelijke disciplinaire of strafrechtelijke kaders vindt dat onderzoek plaats?
Op dit moment wordt geen onderzoek gedaan. Het stuk waaruit geciteerd lijkt, is breder binnen het departement beschikbaar is. Het is niet duidelijk hoe de informatie openbaar is geworden. Er wordt aangifte gedaan van het vermoeden van een schending van de geheimhoudingsplicht. In artikel 9 van de Ambtenarenwet 2017 is vastgelegd dat ambtenaren verplicht zijn tot geheimhouding van vertrouwelijke informatie, waarvan zij het geheime karakter kennen of redelijkerwijs moeten vermoeden. Een schending van deze verplichting kan leiden tot strafrechtelijke vervolging. De aangifte is niet gericht tegen specifieke personen.
-
Vraag 6
Hoe beoordeelt u, mede in het licht van de voor ambtenaren geldende regels over contacten met de media, het in het artikel opgenomen citaat van een bron met jarenlange ervaring in de top van ministeries die volgens het artikel niet officieel met de media mocht spreken?2
Ik kan geen uitspraken doen over zaken betreffende individuele medewerkers en individuele casuïstiek. Onder andere de Gedragscode Integriteit Rijk geeft concrete kaders voor externe contacten en meningsuitingen. In algemene zin geldt dat van ambtenaren wordt verwacht dat zij zich in contacten met derden, zoals de media, horen te gedragen zoals een goed ambtenaar betaamt. In de Aanwijzingen inzake externe contacten van rijksambtenaren is hierover bepaald dat een ambtenaar in functionele contacten met derden, zich er rekenschap van moet geven dat hij als zodanig optreedt namens of ten behoeve van de Minister. Ambtenaren handelen of spreken niet voor zichzelf, maar met het oog op het door de Minister of ministerraad vastgesteld beleid. Een ambtenaar heeft overigens wel het recht op vrijheid van meningsuiting tenzij de goede vervulling van zijn functie of de het goede functioneren van de openbare dienst, voor zover deze in verband staat met zijn functievervulling, niet in redelijkheid is verzekerd (artikel 10 Ambtenarenwet 2017). Wanneer daar sprake van is, is afhankelijk van de concrete omstandigheden van het geval.
-
Vraag 7
Deelt u de opvatting dat politiek wordt bedreven in de Tweede Kamer der Staten-Generaal en in het kabinet, en niet vanuit de ambtelijke organisatie via mediaoptredens en rechtszaken tegen de Staat?
In onze democratische rechtsstaat hebben ambtenaren een adviserende rol en besluit uiteindelijk de politiek. Zie ook het antwoord op vraag 10.
-
Vraag 8
Welke disciplinaire, integriteitsrechtelijke of rechtspositionele kaders gelden wanneer een ambtenaar vertrouwelijke of interne informatie gebruikt om lopende politieke besluitvorming publiekelijk te beïnvloeden?
Onder andere Titel 10 van Boek 7 van het Burgerlijk Wetboek, de Ambtenarenwet 2017, de Cao Rijk en de Gedragscode Integriteit Rijk bieden onder meer integriteitsrechtelijke, rechtspositionele en disciplinaire kaders voor ambtenaren. Welke kaders van toepassing zijn en hoe deze worden ingezet, is afhankelijk van de omstandigheden in een specifieke zaak.
-
Vraag 9
Acht u het, gelet op deze casus, verdedigbaar dat het kabinet de regie in dit dossier heeft, wanneer ambtenaren op deze wijze naar buiten treden, de Staat aanklagen en zich daarover ook openlijk uitlaten op sociale media?3
Verwezen wordt naar de antwoorden op vraag 6, 7, 8 en 10.
-
Vraag 10
Is het kabinet bereid onomwonden uit te spreken dat ambtenaren mogen waarschuwen, adviseren en, waar de wet dat toestaat, melden, maar dat zij geen parallel politiek strijdtoneel via media en procedures mogen organiseren tegen het eigen kabinetsbeleid?
Rijksbreed wordt een werkklimaat bevorderd waarbij medewerkers op de werkvloer hun vragen en dilemma’s- bij collega’s en leidinggevenden kunnen uitspreken en samen met hen kunnen onderzoeken hoe hier het beste mee om te gaan. Het bieden van ruimte voor reflectie en dialoog op de werkvloer behoort volgens het kabinet niet alleen tot goed werkgeverschap, maar is juist ook noodzakelijk om als rijksdienst effectief te kunnen functioneren en de neutraliteit te behouden.
Na het ambtelijk advies besluit uiteindelijk de bewindspersoon. De politieke weging kan tot een ander besluit leiden dan ambtelijk werd geadviseerd. De bewindspersoon legt daarover verantwoording af aan het parlement. Vervolgens voeren ambtenaren uit wat politiek is besloten, ook als de politieke weging tot een ander besluit heeft geleid dan werd geadviseerd. Als de uitvoering van een politiek besluit onbedoelde gevolgen heeft, is het de taak van ambtenaren om die signalen terug te leggen bij de verantwoordelijk bewindspersoon zodat die het besluit kan heroverwegen. Ook dan besluit uiteindelijk de politiek.
Verder wordt verwezen naar het antwoord bij vraag 6. -
Vraag 11
Zou u de vragen afzonderlijk van elkaar willen beantwoorden?
Ja.
17 april 2026 - 3 juni 2026
47 dagen
De rechtelijke uitspraak dat X (Twitter) volledige inzage moet geven in persoonsgegevens |
|
Laurens Dassen (Volt), Barbara Kathmann (PvdA) |
|
Aerdts , David van Weel (VVD) |
|
|
|
|
Bronnen
1. ECLI:NL:GHAMS:2026:961, Gerechtshof Amsterdam, 200.346.613/01
2. ACM, 18 maart 2025, Afwijzing verzoek tot handhaving tegen X (voorhee…
2. ACM, 18 maart 2025, Afwijzing verzoek tot handhaving tegen X (voorhee…
3. BBC, 25 augustus 2024, Telegram CEO Pavel Durov arrested at French ai…
3. BBC, 25 augustus 2024, Telegram CEO Pavel Durov arrested at French ai…
-
Vraag 1
Bent u bekend met de uitspraak van het Gerechtshof Amsterdam van 14 april 2026 in de zaak tussen X (Twitter) en een individu om inzage te mogen krijgen in de gegevens die het bedrijf van hem bijhoudt?1
Ja.
-
Vraag 2
Wat is uw reactie op deze uitspraak en de gevolgen die het heeft voor de interpretatie van artikel 15 van de Algemene Verordening Gegevensbescherming (AVG), zowel nationaal als in Europees verband?
De uitspraak is gedaan in een specifieke casus, waarin de rechter op basis van de feiten en omstandigheden van het geval tot een oordeel is gekomen. Van een nieuwe interpretatie van artikel 15 van de Algemene Verordening Gegevensbescherming (AVG) geeft de uitspraak geen blijk. Het is veeleer een toepassing van deze bepaling in de praktijk. De normen uit de AVG laten daar ook ruimte toe; zij staan een weging van belangen en een risicogebaseerde aanpak voor. Op dit moment zie ik in deze uitspraak dan ook geen aanleiding om te concluderen dat de interpretatie van artikel 15 van de AVG, zowel op nationaal als in Europees verband, hierdoor wezenlijk wijzigt.
-
Vraag 3
Bent u bereid om de Autoriteit Persoonsgegevens te vragen om een onafhankelijke analyse uit te voeren naar de gevolgen van de uitspraak voor de interpretatie, handhaving en uitoefening van het inzagerecht voor individuele gebruikers?
De Autoriteit Persoonsgegevens (AP) ziet als onafhankelijke toezichthouder toe op de naleving van de AVG en kan handhavend optreden wanneer sprake is van een overtreding van de regels die zijn neergelegd in de AVG. Daarnaast heeft de toezichthouder een belangrijke rol in voorlichting. Op dit moment biedt de AP via haar website duidelijke informatie en handvatten voor de uitoefening van het inzagerecht. Indien zij van mening is dat nieuwe ontwikkelingen aanleiding geven voor een nadere duiding of actualisatie van deze handvatten, ligt het in de rede dat de AP dit zelfstandig zal bezien. Ik zie alles bijeengenomen geen reden om de AP hierom te vragen.
-
Vraag 4
Bent u op de hoogte van meer (soortgelijke) rechtszaken die tegen grote techbedrijven als X (Twitter) lopen? Welke gevolgen heeft de uitspraak op deze lopende zaken?
Ik beschik niet over deze informatie.
-
Vraag 5
Hoe wordt er op toegezien dat X (Twitter) de uitspraak van de rechter naar behoren uitvoert en (nagenoeg) volledige inzage geeft in de persoonsgegevens van de gebruiker, gezien het feit dat deze partij eerder al weigerde dit te doen?
In civielrechtelijke zaken zoals deze is het aan partijen zelf om uitvoering te geven aan een rechterlijke uitspraak. De uitspraak in kwestie is uitvoerbaar bij voorraad, wat inhoudt dat aan de uitspraak direct gevolg moet worden gegeven. Indien een partij dit nalaat, staan voor de wederpartij onder andere civielrechtelijke middelen open om nakoming af te dwingen.
-
Vraag 6
Bent u op de hoogte dat X (Twitter) in deze zaak meermaals heeft geprobeerd om de andere partij een spreekverbod op te leggen? Erkent u dat deze handelingen vanuit een groot internationaal techbedrijf intimiderend is tegenover één individu?
Ik heb kennisgenomen van berichten in de media, waarin wordt gesteld dat X getracht zou hebben om de andere partij een spreekverbod op te leggen. Behalve wat hierover naar buiten is gebracht, beschik ik niet over informatie op basis waarvan ik objectief kan vaststellen wat er tussen partijen is voorgevallen. Ik wil daar dan ook geen uitspraken over doen.
-
Vraag 7
Biedt de richtlijn tegen Strategic Lawsuit Against Public Participation (anti-SLAPP-richtlijn) genoeg bescherming tegen individuen die een zaak aanspannen richting grote internationale techbedrijven zoals X (Twitter)? Welke aanvullende maatregelen kunt u nemen om individuen die procederen tegen dit soort bedrijven te beschermen?
De richtlijn betreffende bescherming van bij publieke participatie betrokken personen tegen kennelijk ongegronde vorderingen of misbruik van procesrecht («strategische rechtszaken tegen publieke participatie») bevat maatregelen die mensen en organisaties die actief zijn in het publieke debat, kunnen gebruiken om zich te verweren tegen juridische procedures die tégen hen worden aangespannen met het doel om hen het zwijgen op te leggen. Dergelijke rechtszaken staan ook wel bekend onder de Engelstalige afkorting SLAPP (Strategic Lawsuits Against Public Participation). Er is geen sprake van een SLAPP als een individu zelf een procedure aanspant tegen een groot internationaal techbedrijf. Als het bedrijf in reactie op de rechtszaak zelf procedures start tegen het individu of een tegenvordering indient, dan kan daar onder omstandigheden wel sprake van zijn. Het Nederlandse procesrecht voorziet in afdoende maatregelen om hiertegen op te komen. Ter uitvoering van de richtlijn moet enkel de door de richtlijn voorgeschreven maatregel van zekerheidstelling nog worden geïmplementeerd. Het betreffende wetsvoorstel is aanhangig bij Uw Kamer2.
-
Vraag 8
Bent u bekend met de afwijzing van een handhavingsverzoek van de betrokken individu bij de Autoriteit Consument & Markt (ACM), mede omdat er al een civiele zaak loopt?2 Kunt u er in samenwerking met de ACM op toezien dat handhavingsverzoeken en civiele zaken elkaar in het vervolg niet meer uitsluiten?
Bij de behandeling van handhavingsverzoeken past de ACM haar prioriteringsbeleid toe. Daarbij kijkt ACM naar de schadelijkheid van het gedrag waar het verzoek op is gericht, hoe groot het maatschappelijk belang is en in hoeverre ACM in staat is doeltreffend en doelmatig op te treden. In het kader van een beoordeling of de inzet van middelen efficiënt is, of de ingeschatte impact die optreden van ACM kan hebben, kan het reeds lopen van een civiele procedure een factor zijn die wordt meewegen om een verzoek al dan niet in behandeling te nemen. Als een civiele rechter het geschil al behandelt, kan de ACM concluderen dat haar inzet minder noodzakelijk is. De ACM heeft daarin een eigen verantwoordelijkheid waar zij onafhankelijk van politieke sturing invulling aan geeft. Het kabinet kan en gaat daar niet in treden.
-
Vraag 9
Welke gevolgen heeft het als X (Twitter) niet voldoet aan deze uitspraak? Kan het bedrijf worden gesanctioneerd of alsnog tot openheid gedwongen worden?
Voor dit antwoord verwijs ik naar het antwoord op vraag 5. Dit is iets tussen partijen; het kabinet heeft hierin geen rol.
-
Vraag 10
Zijn de huidige boetemogelijkheden voor het niet naleven van de AVG volgens u voldoende effectief? Bent u bereid te onderzoeken of er aanvullende handhavingsmogelijkheden, zoals het persoonlijk aansprakelijk maken van bestuurders zoals in andere EU-landen,3 wenselijk zijn voor bedrijven die stelselmatig de wet niet naleven?
Ik beschik niet over aanknopingspunten dat het bestaande instrumentarium tekort schiet. Artikel 82 AVG voorziet in een recht op schadevergoeding; de AVG sluit daarbij niet uit dat bestuurders persoonlijk aansprakelijk worden gesteld voor schade die is ontstaan door schendingen van de AVG. In Nederland biedt het burgerlijk recht hiervoor mogelijkheden. Verder bestaat de mogelijkheid dat ex artikel 83 AVG een persoonlijke boete aan een bestuurder of leidinggevende wordt opgelegd, wanneer in strijd met de AVG is gehandeld en dat handelen als functioneel daderschap aan een of meer personen kan worden toegerekend.
-
Vraag 11
Erkent u dat, na deze historische uitspraak, elke gebruiker het recht heeft om (nagenoeg) volledige inzage te verkrijgen in de gegevens die X (Twitter) over hem of haar bijhoudt? Voor welke andere (soorten) bedrijven zet deze uitspraak een precedent?
De uitspraak is een belangrijke invulling van het inzagerecht uit de AVG in de praktijk. Uit de uitspraak wordt duidelijk dat weigeringsgronden slechts onder uitzonderlijke omstandigheden met succes kunnen worden ingeroepen. Voor welke andere verwerkingen deze uitspraak in het bijzonder precedentwerking heeft, kan ik niet overzien. Zoals ook beschreven in mijn antwoord op vraag 2, heeft de uitspraak betrekking op een specifieke casus waarin de rechter op basis van concrete feiten, omstandigheden van het geval en een belangenafweging tot een oordeel is gekomen.
-
Vraag 12
Bent u het met de indieners eens dat de toegang tot het inzagerecht voor alle gebruikers toegankelijk moet zijn en uitgeoefend kan worden, ongeacht juridische kennis en middelen?
Ik onderschrijf deze stelling. Dat de uitoefening van het recht op inzage zo toegankelijk mogelijk moet zijn, is ook mijn opvatting. Dit geldt voor alle rechten die onder de AVG aan de burger toekomen. De AP geeft op haar website duidelijke informatie en handvatten ten aanzien van verzoeken om inzage. Daarnaast is op de website van de AP een voorbeeldbrief voor het doen van een verzoek tot het verwijderen persoonsgegevens te vinden.
-
Vraag 13
Hoe kan de rechtspositie van individuele gebruikers versterkt worden om zich met gemak te beroepen op het inzagerecht richting grote techbedrijven? Welke maatregelen kunt u hiertoe nemen?
In het Coalitieakkoord 2026–2030, «Aan de slag», is opgenomen dat het kabinet voornemens is te werken aan een herziening en vereenvoudiging van de AVG in Europees verband en in de toepassing van de huidige AVG in Nederland. Mijn ambtsvoorganger heeft daarnaast toegezegd om te gaan werken aan een brede revisie van de Nederlandse Uitvoeringswet AVG (UAVG)5. Hierbij zal ook aandacht zijn voor rechtsbescherming en de toegang daartoe.
-
Vraag 14
Bent u bereid om in Europees verband te pleiten voor een eensgezinde uitleg van het inzagerecht van de AVG conform de rechtelijke uitspraak, en de Nederlandse interpretatie te erkennen als norm binnen alle EU-lidstaten?
Zoals ook in mijn antwoord op vraag 2 beschreven, zie ik in deze uitspraak geen nieuwe interpretatie van het desbetreffende artikel, doch vooral een toepassing in de geest daarvan. Ik heb geen aanleiding om te concluderen dat de uitleg van artikel 15 van de AVG zowel op nationaal als in Europees verband, hierdoor wezenlijk anders moet komen luiden.
-
Vraag 15
Bent u het met de indieners eens dat grote techbedrijven zoals X (Twitter) zouden moeten meebetalen aan de handhaving van de wetgeving die zij overtreedt, zoals het geval is onder de Digital Services Act, maar nog niet het geval is onder de AVG?
De Digital Services Act (DSA) voorziet in artikel 43 in een jaarlijkse toezichtsvergoeding aan de Europese Commissie voor enkele aangewezen online platforms (very large online platforms, VLOP) en dat bovendien niet in alle, maar slechts in specifieke gevallen. Het betreft hier een andere systematiek dan onder de AVG, waar bedrijven niet betalen voor het toezicht of de handhaving op zichzelf, maar pas financiële gevolgen en boetes dragen als zij de regels overtreden. Ik zie geen reden voor een andere opzet onder de AVG.
-
Vraag 16
Hoeveel belastinggeld betaalt X (Twitter) momenteel in Nederland?
Gelet op de fiscale geheimhoudingsplicht die is neergelegd in artikel 67 van de Algemene wet inzake rijksbelastingen worden door de belastinginspecteur geen uitspraken gedaan over de fiscale positie van individuele belastingplichtigen.
-
Vraag 17
Kunt u deze vragen afzonderlijk van elkaar en zo snel mogelijk beantwoorden?
De vragen zijn afzonderlijk van elkaar en zo snel mogelijk beantwoord.
15 april 2026 - 3 juni 2026
49 dagen
Het bericht 'Gegevens 200.000 leden Basic-Fit gelekt, ook bij Booking klantgegevens gestolen' |
|
Sarah El Boujdaini (D66) |
|
Aerdts , David van Weel (VVD) |
|
|
|
|
Bronnen
1. NOS, 13 april 2026 (Gegevens 200.000 leden Basic-Fit gelekt, ook bij Booking klantgegevens gestolen).
-
Vraag 1
Bent u bekend met het bericht van de NOS over hacks bij Basic-Fit en Booking.com waarbij klantgegevens zijn buitgemaakt?1
Ja.
-
Vraag 2
Hoe beoordeelt u deze incidenten als indicatie van structurele tekortkomingen in de beveiliging van persoonsgegevens bij grote, digitaal opererende bedrijven?
De berichten over grootschalige datalekken zijn zorgwekkend, vooral gezien de mogelijk schadelijke gevolgen voor getroffen betrokkenen. Het is belangrijk dat getroffen burgers, wanneer het waarschijnlijk een hoog risico betreft, goed worden geïnformeerd zodat zij weten waar zij aan toe zijn en daartoe gepaste stappen kunnen ondernemen. Ik wil voorzichtig zijn met het spreken van «structurele tekortkomingen». Elk incident is anders en kan een eigen oorzaak hebben, en het is niet uitgesloten dat er sprake kan zijn van een zeer geavanceerde cyberaanval waartegen zelfs goed beveiligde bedrijven kwetsbaar zijn.
-
Vraag 3
Heeft u voldoende structureel inzicht in de aard, omvang en frequentie van datalekken en cyberaanvallen in Nederland? Zo ja, hoe wordt dit overzicht benut voor beleid en toezicht? Zo nee, welke maatregelen neemt u om dit inzicht te verbeteren?
Organisaties die persoonsgegevens verwerken zijn verplicht om alle datalekken te documenteren, bijvoorbeeld in een register. Naast het lek zelf moeten ook de feiten en de gevolgen van het datalek en de genomen corrigerende maatregelen worden geregistreerd. Het doel van een dergelijk register is bewustwording en te leren van eerdere datalekken, alsook het nemen van effectieve maatregelen om de kans op nieuwe, soortgelijke datalekken te verminderen. Ook stelt het de toezichthouder in staat te controleren of de meldplicht wordt nageleefd. Daarnaast houdt de Autoriteit Persoonsgegevens (AP) de bij haar gemelde datalekken bij. Niet alle datalekken worden gemeld of zijn meldplichtig: een melding bij de AP is alleen verplicht als de inschatting is gemaakt dat het waarschijnlijk is dat het datalek een risico oplevert voor de rechten en vrijheden van betrokkenen, zoals de bescherming van hun persoonsgegevens en persoonlijke levenssfeer. De AP rapporteert jaarlijks over de meldplicht datalekken. Het kabinet beschikt niet over een register van alle datalekken, maar ziet vooralsnog niet dat sprake is van een tekort aan inzicht en van de noodzaak tot het treffen van maatregelen om dat te verbeteren.
-
Vraag 4
Deelt u de opvatting dat herhaalde datalekken kunnen wijzen op onvoldoende structurele naleving van de Algemene verordening gegevensbescherming? Zo ja, welke systeemfouten signaleert u hierbij? Zo nee, waarom niet?
Een datalek hoeft niet te duiden op onvoldoende structurele naleving van de AVG; ook goed beveiligde organisaties, overheden en bedrijven kunnen worden getroffen. Daarbij betekent een datalek op zich niet dat er ook sprake is van een overtreding van de AVG. Het gaat er verder vooral om hoe bedrijven handelen nadat een datalek is geconstateerd. Dat handelen kan bestaan uit het nemen van (extra) beveiligingsmaatregelen, het naleven van de meldingsplicht en transparante communicatie richting de getroffen betrokkenen. Organisaties die persoonsgegevens verwerken zijn – als verwerkingsverantwoordelijke – gehouden om gedegen risico-analyses te maken en een daaraan gekoppelde passende interne beveiligingscultuur en snel en adequaat te handelen in geval van een incident.
-
Vraag 5
Acht u de toezicht- en handhavingscapaciteit van de Autoriteit Persoonsgegevens toereikend om structurele naleving af te dwingen? Zo ja, waarom? Zo nee, welke versterkingen zijn nodig?
Het kabinet is van mening dat de AP over voldoende middelen beschikt om de (toezicht- en handhavings)taken die voortvloeien uit de AVG en de UAVG uit te voeren. De AP mag zelf bepalen hoe zij de middelen die zij voor AVG-toezicht ontvangt, verdeelt over de afzonderlijke AVG-toezichtstaken. Zoals genoemd in de beleidsreactie op de evaluatie van de AP2 wil het kabinet samen met de AP stappen zetten om te komen tot een meer objectieve basis die ondersteunend is bij de besluitvorming over een passende hoogte van het budget van de AP. Een landenvergelijkend onderzoek kan daarbij een nuttig instrument zijn.
-
Vraag 6
Ziet u aanleiding om te komen tot strengere, afdwingbare beveiligingsnormen voor bedrijven die op grote schaal persoonsgegevens verwerken? Zo nee, waarom niet?
De AVG biedt in principe voldoende normen voor het nemen van passende beveiligingsmaatregelen voor alle organisaties en bedrijven die (op grote schaal) persoonsgegevens verwerken. Passende beveiligingsmaatregelen houden concreet onder meer in dat organisaties en bedrijven bij risicovolle en/of grootschalige gegevensverwerkingen vooraf een Data Protection Impact Assessment (DPIA) dienen uit te voeren. Dit is een instrument om voorafgaand aan de verwerking de privacyrisico’s in kaart te brengen om daarmee de impact op de rechten van betrokkenen te beoordelen en gerichte maatregelen te nemen om deze risico’s te verkleinen. Daarnaast zijn organisaties en bedrijven in het geval van grootschalige gegevensverwerking vaak verplicht om een functionaris voor gegevensbescherming (FG) aan te stellen. De FG is een onafhankelijke toezichthouder binnen een organisatie of bedrijf die toeziet op de naleving van de AVG en adviseert over het zorgvuldig verwerken van persoonsgegevens. De verwerkingsverantwoordelijke heeft voor het treffen van passende beveiligingsmaatregelen een verantwoordingsplicht. Gelet hierop zie ik geen noodzaak voor extra (strenge) maatregelen. Wel geldt straks voor organisaties en bedrijven die opereren in voor de samenleving cruciale sectoren, waaronder onder andere de transport- en energiesector, het bankwezen en de digitale infrastructuur, de Cyberbeveiligingswet. Deze wet is op 15 april jl. door uw Kamer aangenomen en treedt later dit jaar in werking. De Cyberbeveiligingswet is de doorvertaling van de Europese NIS2- en CER-richtlijn die lidstaten weerbaarder moeten maken tegen gevaren van buitenaf, waaronder cyberdreigingen. De wet verplicht onder andere tot het uitvoeren van een risicoanalyse en het op basis daarvan treffen van passende en evenredige maatregelen voor het betreffende netwerk- en informatiesysteem. Ook hebben organisaties en bedrijven op grond van deze wet een zorg-, meld- en registratieplicht.
-
Vraag 7
In het kader van dataminimalisatie: ziet u kansen dat de ontwikkeling van de EDI-wallet in Nederland kan bijdragen aan het verkleinen van het risico op datalekken bij organisaties, doordat consumenten hun persoonsgegevens minder vaak rechtstreeks hoeven te delen met verschillende partijen?
Ja. De Europese Digitale Identiteit (EDI) stelt burgers in staat binnen de hele Europese Unie digitaal te legitimeren of in te loggen op websites. Het veilig delen van persoonsgegevens behoort daar ook toe, waarbij enkel de gegevens worden gebruikt die strikt noodzakelijk zijn.
-
Vraag 8
Kunt u de vragen afzonderlijk beantwoorden?
De vragen zijn afzonderlijk beantwoord.
15 april 2026 - 28 mei 2026
43 dagen
Online beïnvloeding van jongeren en regelgeving rondom influencers |
|
Inge van Dijk (CDA), Joris Lohman (CDA), Jantine Zwinkels (CDA), Harmen Krul (CDA) |
|
Eelco Heinen (VVD), Sophie Hermans (VVD), Aerdts |
|
|
|
Bronnen
1. Universiteit Utrecht, 17 maart 2025, «Finfluencers dienen vooral hun …
2. Wijzer in Geldzaken, 11 maart 2024, «Tweederde jongeren die influence…
2. Wijzer in Geldzaken, 11 maart 2024, «Tweederde jongeren die influence…
3. Radboud Universiteit, 27 juni 2025, «Zo zetten influencers je met gez…
3. Radboud Universiteit, 27 juni 2025, «Zo zetten influencers je met gez…
4. Nederlandse Voedsel- en Warenautoriteit, 22 januari 2026, «NVWA publi…
4. Nederlandse Voedsel- en Warenautoriteit, 22 januari 2026, «NVWA publi…
5. VRT, 4 november 2025, ««Geen diploma, geen video»: nieuwe Chinese wetgeving voor influencers leidt tot verhit online debat» («Geen diploma, geen video»: nieuwe Chinese wetgeving voor influencers leidt tot verhit online debat | VRT NWS Nieuws)
5. VRT, 4 november 2025, ««Geen diploma, geen video»: nieuwe Chinese wetgeving voor influencers leidt tot verhit online debat» («Geen diploma, geen video»: nieuwe Chinese wetgeving voor influencers leidt tot verhit online debat | VRT NWS Nieuws)
-
Vraag 1
Bent u bekend met de onderzoeken van Wijzer in Geldzaken en de Universiteit Utrecht dat veel jongeren zich bij financiële beslissingen laten beïnvloeden voor finfluencers met loze beloften over snel geld verdienen en dat met name kwetsbare jongeren hierdoor in de problemen kunnen komen, terwijl finfluencers vooral hun eigenbelang dienen?1, 2
Ja.
-
Vraag 2
Bent u bekend met het recente onderzoek van de Radboud Universiteit dat influencers zonder medische achtergrond mensen met hun gezondheidsadviezen medische misinformatie kunnen verstrekken, bijvoorbeeld met oproepen om geen zonnebrand meer te gebruiken of te stoppen met hormonale anticonceptie?3
Ja.
-
Vraag 3
Bent u bekend met de recente waarschuwingen van de Nederlandse Voedsel- en Warenautorteit (NVWA) over de risico’s van supplementen, waar verboden of onveilige stoffen in kunnen zitten, bijvoorbeeld bij teveel inname of verkeerde combinaties waardoor schade aan de gezondheid kan ontstaan, en de publicatie van een Blocklist?4
Ja.
-
Vraag 4
Deelt u de zorg dat jongeren in toenemende mate informatie over onder meer financiële zaken, gezondheid en maatschappelijke vraagstukken verkrijgen via sociale media en influencers, en dat dit risico’s kan meebrengen wanneer informatie onjuist, onvolledig of misleidend is?
Ja.
-
Vraag 5
Bent u bekend met het artikel ««Geen diploma, geen video»: nieuwe Chinese wetgeving voor influencers leidt tot verhit online debat»? En het initiatief van de Chinese overheid om eisen te stellen aan influencers te beschikken over aantoonbare deskundigheid wanneer zij over bepaalde maatschappelijke thema’s, zoals gezondheid, voeding en financiën adviseren?5
Ja.
-
Vraag 6
Vind u dat ook in Nederland strengere regels zouden moeten gelden voor influencers die over maatschappelijke thema’s, zoals gezondheid, voeding en financiën mogen adviseren, zoals het beschikken over aantoonbare deskundigheid of expliciete vermelding dat hiervan geen sprake is, omdat zulke adviezen niet zonder risico’s zijn?
Het is zorgelijk dat mensen, in het bijzonder jongeren, in toenemende mate worden blootgesteld aan onjuiste informatie van influencers, bijvoorbeeld over gezondheidsonderwerpen en geldzaken. Dit kan hen aanzetten tot keuzes die zij anders niet zouden maken, met negatieve gevolgen als resultaat. Tegelijkertijd is het belangrijk om de vrijheid van meningsuiting ook online te bewaken.
Het kabinet vindt het onwenselijk dat aanbevelingssystemen problematische inhoud versterken, en vindt het daarom belangrijk dat inhoud van kwaliteitsmedia zichtbaarder wordt gesteld. Het kabinet werkt dan ook, binnen het kader van de Audiovisuele Mediadienstenrichtlijn (AVMSD), aan het invoeren van prominentiemaatregelen om de zichtbaarheid en vindbaarheid van aanbod van algemeen belang te vergroten. -
Vraag 7
Kunt u onderzoeken of het mogelijk is om aanvullende eisen aan deskundigheid te stellen bij adviseren op terreinen waar desinformatie een verhoogd risico inhoudt, met name voor kwetsbare groepen, zoals over financiën, voedings- (en specifiek over Voedingssupplementen en kruidensupplementen) en gezondheidsadviezen?
Door de opkomst van influencers kan het onderscheid tussen reclame, sponsoring en productplaatsing vervagen. Op dit moment is het niet altijd duidelijk welke regels van toepassing zijn, met name in relatie tot consumentenwetgeving en de AVMSD. Het is vooraleerst belangrijk dat influencers duidelijkheid hebben over welke regels op hen van toepassing zijn, om de naleving te verbeteren. In zowel het non-paper over de Digital Fairness Act6, als in het non-paper over de herziening van de AVMSD7, is opgenomen dat het noodzakelijk is de toepasselijke regels goed af te stemmen, zodat de regels voor influencers duidelijk en handhaafbaar zijn.
-
Vraag 8
Zou het bijvoorbeeld mogelijk zijn een disclaimer te verplichten bij posts van influencers waaruit voor een breed publiek eenvoudig te herleiden is dat het niet om deskundig advies gaat, bijvoorbeeld #NietDeskundig, #GeenDiploma of #GeenExpert
Zie het antwoord op vraag 6 en 7. Het kabinet heeft recent de Europese Commissie opgeroepen om regels voor influencers te verduidelijken. Het kabinet kijkt met interesse naar de voorstellen van de Europese Commissie op dit punt. Daarnaast wijst het kabinet op het belang van co- en zelfregulering, hiermee wordt de sector aangespoord om (binnen de wettelijke kaders) zelf normen te stellen en te handhaven. De ervaringen met de Nederlandse Reclame Code zijn positief. Deze vorm van co-regulering draagt bij aan verantwoorde en betrouwbare reclame-uitingen8.
-
Vraag 9
Bent u bereid om ook in Europees verband in te zetten op betere consumentenbescherming bij online advisering over mogelijk risicovolle producten, en met name op aanvullende eisen aan (informatie over) deskundigheid? Bijvoorbeeld via Digital Services Act, richtlijnen voor consumentenbescherming of de Digital Fairness Act?
Zoals aangegeven in de antwoorden op vragen 7 en 8 zet het kabinet op Europees niveau in op betere regulering van influencers. In welk wetgevingsinitiatief dit het beste past, wordt nog onderzocht. De uiteindelijke keuze hierin ligt bij de Europese Commissie. Het kabinet heeft zijn standpunt over influencers wel reeds kenbaar gemaakt via een non-paper in het kader van de herziening van de AVMSD. Daarnaast pleitte het kabinet in een non-paper over de Digital Fairness Act (DFA) voor duidelijkere regels voor influencers door meer duidelijkheid te geven over de reikwijdte van de AVMSD en het consumentenrecht. Daarnaast stelde het kabinet voor om in de EU meer in te zetten op het certificeren van influencers9. Tot slot stelt het kabinet in hetzelfde non-paper risico’s te zien bij finfluencing, met name natuurlijk wanneer illegale financiële producten en diensten worden gepromoot. Het kabinet verzoekt de Europese Commissie daarom om dit soort handelspraktijken te verbieden via een aanpassing van het EU-consumentenrecht10.
15 april 2026 - 26 mei 2026
41 dagen
Het TNO-rapport 'Zonder Robotisering verdwijnt de Nederlandse Maakindustrie: Urgente actie is noodzakelijk' |
|
Daniël van den Berg (JA21), Sarah El Boujdaini (D66) |
|
Aerdts |
|
|
|
|
Bronnen
1. TNO, 3 april 2026, «Zonder robotisering heeft Nederland over tien jaar geen maakindustrie».
-
Vraag 1
Heeft u kennisgenomen van het TNO-rapport «Zonder Robotisering verdwijnt de Nederlandse Maakindustrie: Urgente actie is noodzakelijk»1?
Ja.
-
Vraag 2
Hoe beoordeelt u de constatering in dit rapport dat de robotiseringsgraad van de Nederlandse maakindustrie achterblijft ten opzichte van internationale koplopers?
Ik deel de constatering dat Nederland wat betreft robotisering van de industrie achterblijft ten opzichte van de internationale koplopers zoals Zuid-Korea, China en Duitsland. Nederland staat wereldwijd op de twaalfde plek qua robotdichtheid, aldus het rapport. Maar de mate van robotisering moet ook worden bezien in de context van de samenstelling van de Nederlandse industrie die in vergelijking met andere landen bijvoorbeeld een betrekkelijk kleine auto-industrie heeft terwijl in deze sector wereldwijd veel robots geïnstalleerd zijn.2
-
Vraag 3
Kunt u de Kamer een actuele, sectorale uitsplitsing sturen van robotadoptie in de Nederlandse maakindustrie, inclusief een onderscheid tussen het mkb en het grootbedrijf?
Deze exacte cijfers worden niet jaarlijks bijgehouden door de regering of het Centraal Bureau voor de Statistiek (CBS). In 2023 heeft het CBS hier een enquête over uitgestuurd. De CBS Internationaliseringsmonitor Digitalisering 2023 – III laat zien dat medium- en medium-hoog technologische bedrijven (respectievelijk 38% en 35% van de bedrijven) in Nederland vaker robots in het productieproces gebruiken dan laag- en hoogtechnologische bedrijven (respectievelijk 25% en 20% van de bedrijven). De categorie medium- en medium-hoogtechnologische sectoren omvat sectoren zoals de chemische industrie, de metaalindustrie en de elektronische industrie. Ook maken bedrijven met boven de 100 werkzame personen vaker gebruik van robots dan bedrijven met minder dan 100 werkzame personen.3 Daarnaast laat een dataset van het CBS uit 2025 over ICT-gebruik bij kleine bedrijven zien dat bedrijven met meer dan 250 werkzame personen vaker gebruik maken van robotondersteunde procesautomatisering en servicerobots of autonome voertuigen (respectievelijk 25% en 15% van de bedrijven) dan bedrijven met minder dan 250 werkzame personen (respectievelijk 2% en 1% van de bedrijven).4
-
Vraag 4
Welke belemmeringen voor robotisering in de Nederlandse maakindustrie wegen volgens u op dit moment het zwaarst?
Over het algemeen spelen verschillende macro-economische factoren zoals handelsbarrières, loonkosten en conjunctuur een rol. Daarnaast zijn onder meer de vaardigheden van personeel, digitale gereedheid en acceptatie van het bedrijf en de hoge investeringen met lange terugverdienkosten belemmeringen voor adoptie van robotisering. Het is lastig om aan te geven welke van deze factoren het zwaarste weegt. De mate waarin deze factoren de adoptie van robotisering verhinderen kan namelijk per bedrijf verschillen. Een bedrijf met een lagere liquiditeit zal bijvoorbeeld minder snel in robots investeren dan een kapitaalkrachtiger bedrijf.
-
Vraag 5
Op welke Nederlandse evaluaties, studies of modelanalyses baseert het kabinet zijn oordeel over het effect van robotisering op arbeidsproductiviteit, leveringszekerheid en concurrentiekracht?
Er is in het recente verleden veel onderzoek gedaan naar automatisering en robotisering. Bijvoorbeeld door het Centraal Planbureau (CPB),5 het Joint Research Center (JRC) van de Europese Commissie,6 de Organisatie voor Economische Samenwerking en Ontwikkeling (OESO),7 de Internationale Federatie van Robotica (IFR)8 en wetenschappelijke studies.9 In algemene zin laten deze studies zien dat robotisering in de korte termijn kan bijdragen aan gematigde productiviteitsverhoging via een hogere benuttingsgraad van productielocaties, een vermindering van fouten en snellere doorlooptijden. Effecten op productiviteitsverhoging zijn vaak vertraagd zichtbaar door implementatiekosten, organisatorische aanpassingen en leercurves van werknemers.
Op middellange termijn kan robotisering een bijdrage leveren aan het concurrentievermogen van de maakindustrie via een verbetering van de kwaliteit, schaalbaarheid en kostenefficiëntie van productie.
Op de lange termijn kan robotisering ook een bijdrage leveren aan de leveringszekerheid. Zo kunnen kostenvoordelen en hogere kwaliteit leiden tot reshoring van productie vanuit het buitenland naar Nederland en maakt robotisering ons minder afhankelijk van schaars technisch personeel. Voor leveringszekerheid is het van belang om naast robotadoptie ook enige vorm van controle te hebben over relevante software, hardware, technische (onderhouds-) skills en componenten. Een risico is namelijk dat Nederland met een hogere mate van robotisering ook meer afhankelijk wordt van de benodigde besturingssystemen, grondstoffen en onderdelen, zoals batterijen en chips.
Deze studies geven een vergelijkbaar beeld als het TNO-rapport Zonder Robotisering verdwijnt de Nederlandse Maakindustrie: Urgente actie is noodzakelijk. -
Vraag 6
Welke bestaande rijksinstrumenten kunnen mkb-maakbedrijven momenteel benutten voor automatisering, digitalisering en robotisering? Kunt u ook aangeven hoe vaak hier gebruik van wordt gemaakt?
Het kabinet heeft, samen met de EU en de provincies de Europese Digitale Innovatiehubs (EDIH’s) verlengd tot en met 2028. De vijf EDIH’s hebben tot doel om de digitalisering van het innovatieve- en innovatievolgend mkb in vooral de maakindustrie te versnellen. Daarbij gaat het er om dat mkb-bedrijven daadwerkelijk de stap zetten naar toepassing van digitalisering, inclusief automatisering en robotisering. Hiertoe krijgen ze ondersteuning bij het in kaart brengen van hun digitaliseringsvraag, het berekenen van hun business-case en testen van technologie vóór investering, het trainen van medewerkers en management en het vinden van passende partners en financiering. Daarnaast co-financiert het kabinet de productiviteitsagenda Smart Industry van de FME, Metaalunie en TNO tot en met 2028. Dit is een agenda van en voor de maakindustrie om de digitalisering van het mkb te versnellen. Hiertoe worden mkb-ondernemers geactiveerd, bijvoorbeeld via bijeenkomsten, en methodieken ontwikkeld. Bewezen methodieken worden vervolgens op grotere schaal uitgerold door de EDIH’s. Een voorbeeld is de ontwikkeling van een standaard stappenplan om de digitale fabriek te realiseren. Over het bereik van de EDIH’s in de eerste periode (2023–2025) zijn voorlopige cijfers beschikbaar: Ruim 10.000 mkb-bedrijven hebben gebruik gemaakt van de diensten van de EDIH’s. De definitieve cijfers voor alle EDIH’s zijn in juli beschikbaar.
-
Vraag 7
Zijn er fiscale prikkels, vereenvoudigingen van procedures en/of maatregelen die de regeldruk verlagen om robotinvesteringen te versnellen? Zoja, welke zijn het kansrijkst?
Ja, er bestaan belangrijke fiscale prikkels die innovatie en investeringen van bedrijven en ondernemers stimuleren, waaronder die in robotica, zoals bijvoorbeeld de WBSO10 en de Innovatiebox11. Daarnaast zijn er Fieldlabs zoals Robo-house die specifiek gericht zijn op robotisering.
Ten aanzien van regeldruk/administratieve lastenverlichting wordt er scherp gekeken naar mogelijkheden om procedures te vereenvoudigen en onnodige regels te schrappen. Ook voor de WBSO en de Innovatiebox wordt gekeken naar hoe de aanvraag makkelijker kan. Of daarmee het investeringsproces echt versnelt is de vraag, omdat dit ook van andere factoren afhangt.
Het kabinet zet daarnaast in op structurele vermindering van regeldruk voor ondernemers. Zo is de ambitie om voor de zomer voor 500 regels de regeldruk te verminderen voor ondernemers, waarbij uw Kamer in juli over de tussenstand wordt geïnformeerd. Hierna is de kabinetsambitie om jaarlijks 500 regels voor burgers en ondernemers te schrappen of vereenvoudigen.
In de Prinsjesdagbrief (september 2026) over de WBSO wordt u verder geïnformeerd over de WBSO en de Innovatiebox, en in het bijzonder over administratieve lastenverlaging voor deze regelingen. -
Vraag 8
In hoeverre vormen energiekosten, netcongestie en langdurige vergunningsprocedures momenteel een belemmering voor robotisering in de Nederlandse maakindustrie?
De energiekostenstijging heeft een beperkt effect voor sectoren die veel robots inzetten zoals de auto en elektronische industrie. In algemene zin geldt dat een kostenstijging ertoe kan leiden dat bedrijven bepaalde investeringsbeslissingen uitstellen.
De gevolgen van netcongestie worden breed gevoeld in de samenleving en de economie. Bedrijven lopen aan tegen oplopende wachtrijen voor een nieuwe of zwaardere aansluiting. Dat geldt ook voor bedrijven die een bestaande productiefaciliteit willen uitbreiden of een nieuwe faciliteit willen bouwen waarin met behulp van robotica wordt geproduceerd.
Ten aanzien van vergunningsverlening behoeft de inzet van robots in het productieproces over het algemeen geen aparte vergunning, zo lang deze aan de bestaande regels voor o.a. machines en arbeidsveiligheid voldoet. Bij de bouw van een nieuwe productiefaciliteit of een aanpassing van een fabriekshal moet een ondernemer soms wel een vergunning aanvragen, bijvoorbeeld onder de Omgevingswet. -
Vraag 9
Kunt u in kaart brengen in welke mate Nederlandse maakbedrijven afhankelijk zijn van niet-Europese leveranciers van industriële robots, sensoren, controllers, AI-software en cloud- of operationele technologiecomponenten?
Het kabinet houdt niet centraal bij in welke mate individuele Nederlandse maakbedrijven afhankelijk zijn van niet-Europese leveranciers van industriële robots, sensoren, controllers, AI-software en cloud- of operationele technologiecomponenten.
Wel brengt de interdepartementale Taskforce Strategische Afhankelijkheden (TFSA) risicovolle strategische afhankelijkheden (RSAs) in kaart op nationaal niveau. In de kabinetsaanpak en voortgangsbrieven Strategische Afhankelijkheden en de Agenda Digitale Open Strategische Autonomie (DOSA) geeft het kabinet aan dat op basis van deze (RSA) analyses handelingsopties worden ontwikkeld om risico’s te mitigeren, zoals diversificatie van leveranciers, versterking van Europese productiecapaciteit, versterking van publiek-private samenwerking en strategische voorraden.
Ook op Europees niveau wordt gewerkt aan het mitigeren van risicovolle strategische afhankelijkheden, onder meer via Europese risicobeoordelingen van kritieke technologieën. Daarbij is ook aandacht voor risico’s van extraterritoriale wetgeving, en voor het versterken van de Europese digitale en technologische weerbaarheid.
De specifieke uitkomsten van de RSA-analyses zijn vanwege gevoeligheden niet openbaar. -
Vraag 10
Welke inzet pleegt het kabinet op het gebied van standaardisatie en interoperabiliteit bij industriële robotica en hoe wordt vendor lock-in daarbij voorkomen?
Er is geen specifieke kabinetsinzet ten aanzien van standaardisatie voor industriële robotica. In bredere zin sluit de inzet van het kabinet rondom standaardisatie aan op het Europese beleid, zoals de Europese Normalisatiestrategie.12 Zo zet het kabinet bij herziening van de Normalisatieverordening in 2026 in op het sneller ontwikkelen van Europees geharmoniseerde standaarden. Daarnaast zet het kabinet in op het vergroten van de Nederlandse en Europese invloed binnen internationale standaardisatieorganisaties om zo invloedrijk te blijven op internationaal toneel.
-
Vraag 11
Hoe beoordeelt het kabinet de rol van open-sourcecomponenten in industriële robotica, mede in het licht van beheerkosten, aansprakelijkheid en cybersecurity?
Open source is een concept dat vooral een rol speelt bij de ontwikkeling en distributie van software, inclusief robotica software. Het kabinet staat in beginsel positief tegenover open source software omdat dit de mededinging, leveringszekerheid en innovatie ten goede kan komen. Tegelijkertijd kan ook commerciële software, waarbij de broncode van software proprietary is, een bijdrage leveren aan het borgen van deze publieke belangen, dus ook in de ontwikkeling van robotica software. In de praktijk zal de toepassing van open source componenten case-by-case bepaald moeten worden op zijn merites. De veiligheid en daarmee de kosten van de ontwikkeling van (open source) software worden uiteindelijk bepaald door de kwaliteit van de ontwikkelings- en onderhoudsprocessen.
-
Vraag 12
Welke ondersteuning is of wordt beschikbaar gesteld aan maakbedrijven, in het bijzonder mkb-bedrijven, om verbonden robots en andere operationele technologie-systemen cyberveilig in te richten en te beheren?
Het is in de eerste plaats een eigen verantwoordelijkheid van bedrijven om hun bedrijfsprocessen cyberveilig te houden, als onderdeel van de bredere verantwoordelijkheid voor hun eigen bedrijfsvoering. Daarnaast is er ook een rol voor de overheid in het ondersteunen van bedrijven in cyberveiligheid en weerbaarheid. Nationaal Cybersecuritycentrum (NCSC)13 biedt één loket voor bedrijven met een breed scala aan bronnen om de digitale weerbaarheid van alle bedrijven in Nederland te versterken. Op grond van de subsidieregeling «Mijn Cyberweerbare Zaak» kunnen kleinere mkb-er tot 50 medewerkers subsidie krijgen voor het nemen van cybersecuritymaatregelen. Daarnaast onderzoekt het kabinet een passend vervolg op de subsidieregeling «Versterken Cyberweerbaarheid», die was gericht op het creëren van samenwerkingsverbanden en het stimuleren van uitwisseling van kennis en kunde over cyberweerbaarheid.
Daarbij moeten aanbieders van producten met digitale componenten (alle hardware, software en componenten) die na 11 december 2027 op de markt komen in het kader van de Europese Cyber Resilience Act aan essentiële cybersecurityvereisten gaan voldoen en actief informatie over incidenten en kwetsbaarheden gaan delen. De uitvoeringswet van de verordening die dit gaat regelen is aangeboden aan Staten-Generaal. Het aannemen van deze wet maakt het onder andere mogelijk voor de Rijksinspectie Digitale Infrastructuur (RDI) om markttoezicht te houden op fabrikanten, importeurs en distributeurs van digitale producten en voor het NCSC om een meldpunt in te richten voor incidenten en geëxploiteerde kwetsbaarheden. -
Vraag 13
Beschikt het kabinet over een actuele raming van de behoefte aan personeel met kennis van robotica, systeemintegratie, onderhoud, data en operationele technologie-cybersecurity in de maakindustrie? En sluiten de huidige mbo-, hbo- en wo-opleidingen en bestaande om- en bijscholingsinstrumenten daarop aan?
Nee. Het kabinet monitort het tekort aan technisch geschoold personeel via het Actieplan Groene en Digitale Banen. Er is met name een kwantitatieve mismatch tussen het aanbod van technisch geschoolden en de vraag op de arbeidsmarkt. Dat komt onder meer door de vergrijzing, toenemende vraag naar technisch geschoold personeel en minder leerlingen en studenten die kiezen voor een bèta- of techniekopleiding. In 2023 was 18,6% van de studenten ingeschreven in bèta- of technische opleiding, aanzienlijk minder dan het EU gemiddelde 26,9%.14
Het tekort aan talent, waaronder bètatechnici, is een belangrijke belemmering voor het Nederlandse verdienvermogen. Dit constateert ook het rapport Wennink. Alleen meer leerlingen en studenten opleiden voor technische beroepen is onvoldoende om het tekort terug te dringen. Het kabinet werkt daarom aan een nationale talentstrategie. Binnen deze strategie worden instrumenten op het gebied van onderwijs, arbeidsmarkt, productiviteit, gerichte migratie en fiscaliteit nadrukkelijker gericht op sectoren die cruciaal zijn voor het toekomstige verdienvermogen van Nederland. Uw kamer wordt voor de zomer geïnformeerd over de Talentstrategie. -
Vraag 14
Hoe verbindt het kabinet civiele robotisering in de maakindustrie met dual-use toepassingen en de versterking van de Nederlandse defensie-industrie?
Robotisering in de civiele maakindustrie kan worden toegepast in de defensie- en dual-use industrie door relevante best practices uit het civiele domein toe te passen voor defensieproductie. Voorbeelden die al eerder publiekelijk zijn gedeeld, zijn o.a. de productie van defensiematerieel door VDL en de samenstelling en productie van onderdelen van militaire satellietcapaciteit door de bestaande toeleveringsketen van hoogwaardige productiemethoden uit de semicon industrie in te zetten.
-
Vraag 15
Bent u bereid de Kamer een integrale kabinetsreactie op dit rapport van TNO te sturen, waarin in ieder geval wordt ingegaan op het aspect of een nationale robotiseringsagenda noodzakelijk is?
Ik zie geen aanleiding voor een integrale reactie, te meer daar ik in onderhavige antwoorden al ben ingegaan op diverse aspecten die in dit rapport aan bod komen. Wat betreft een nationale robotiseringagenda wordt robotisering in ieder geval meegenomen in de gerichte programma’s van het industriebeleid met focus, in het bijzonder in de programma’s machinebouw en digitale diensten en AI. Daarnaast co-financiert het kabinet de productiviteitsagenda Smart Industry van de FME, Metaalunie en TNO tot en met 2028. Ik geef de voorkeur aan een gefocuste integrale aanpak boven een veelvoud aan aparte agenda’s.
-
Vraag 16
Kunt u iedere vraag afzonderlijk van elkaar beantwoorden?
Ja.
15 april 2026 - 3 juni 2026
49 dagen
Het Datalek bij Basic-Fit |
|
Daniël van den Berg (JA21) |
|
Aerdts , van Bruggen |
|
|
|
|
-
Vraag 1
Kunnen de Staatssecretaris EZK en de Staatssecretaris J&V toelichten of de Autoriteit Persoonsgegevens al een onderzoek is gestart naar aanleiding van het datalek bij Basic-Fit?
De Autoriteit Persoonsgegevens (AP) doet geen mededelingen over eventuele lopende onderzoeken. Haar onafhankelijkheid brengt bovendien mee dat het aan de AP zelf moet worden gelaten in welke gevallen een onderzoek noodzakelijk en wenselijk is.
-
Vraag 2
Kunnen de Staatssecretaris EZK en de Staatssecretaris J&V toelichten of er wordt gekeken naar een mogelijke overtreding van artikel 5 AVG?
Over die informatie beschik ik niet. Mocht het inderdaad zo zijn dat de AP onderzoek doet, dan informeert zij het kabinet daar niet over, ook niet desgevraagd. Op grond van artikel 52 AVG treedt de AP volledig onafhankelijk op en blijft zij vrij van externe invloed en vragen.
-
Vraag 3
Kunnen de Staatssecretaris EZK en de Staatssecretaris J&V toelichten of de regelgeving (voornamelijk de AVG) of de handhaving moet worden aangescherpt, wellicht omdat sommige AVG-artikelen onduidelijk of achterhaald zijn?
Ik beschik niet over aanknopingspunten dat de gegevensbeschermingswetgeving lacunes vertoont, mede gezien de brede werkingssfeer van de AVG. Het komt eerder aan op naleving van de regelgeving; dat deze in voorkomende gevallen tekort schiet, is eerder toe te schrijven aan verschillende andere factoren dan aan de bepalingen in de AVG zelf.
-
Vraag 4
Basic-Fit valt niet onder de Cyberbeveiligingswet. Deelt u de opvatting dat grote bedrijven met veel data onder de reikwijdte van de Cyberbeveiligingswet zouden moeten vallen als «belangrijke entiteit»? Basic-Fit genereert namelijk zo’n 1,4 miljard omzet.
Omdat de NIS2-richtlijn streeft naar harmonisatie tussen de lidstaten, is in de NIS2-richtlijn bewust bepaald alleen essentiële en belangrijke entiteiten uit specifieke kritieke sectoren, subsectoren en soorten entiteiten onder het toepassingsbereik van de NIS2-richtlijn te brengen die zeer belangrijk zijn voor het functioneren van de economie en maatschappij. Incidenten bij deze entiteiten kunnen leiden tot verstoring of compromittering van hun dienstverlening. Deze kunnen grote economische schade veroorzaken of in sommige gevallen ook tot ontwrichting van de samenleving leiden. Bij de omzetting van de NIS2-richtlijn heeft het kabinet ervoor gekozen om niet meer te regelen dan op grond van de Europese regelgeving noodzakelijk is. Dit zou een nationale kop zijn en het kabinetsbeleid is dat er geen nationale koppen komen op Europese regelgeving.
-
Vraag 5
Als Basic-Fit onder de Cyberbeveiligingswet zou vallen, had volgens u beiden het datalek dan voorkomen kunnen worden (voornamelijk in het licht van de zorgplicht)?
Op grond van de zorgplicht in de Cyberbeveiligingswet moeten essentiële entiteiten en belangrijke entiteiten passende en evenredige technische, operationele en organisatorische maatregelen nemen om de risico’s voor de beveiliging van de netwerk- en informatiesystemen te beheersen. Zorgplichtmaatregelen dragen bij aan het voorkomen van een incident, het beperken van de impact van een incident, het efficiënt en effectief reageren op een incident en het zo snel mogelijk herstellen van een incident. Het risico op een datalek blijft echter altijd aanwezig en kan daarom nooit geheel worden voorkomen.
-
Vraag 6
Kunt u beiden iedere vraag afzonderlijk van elkaar beantwoorden?
De vragen zijn afzonderlijk beantwoord.
10 april 2026 - 2 juni 2026
53 dagen
Bronnen
1. De Volkskrant, 9 maart 2026, «Opinie: Bescherm de lichamelijke integriteit van vrouwen, ook in de digitale wereld», Opinie: Bescherm de lichamelijke integriteit van vrouwen, ook in de digitale wereld | de Volkskrant.
2. Investico, 23 februari 2026, «Drogisten sturen massaal gevoelige informatie naar Facebook en Google», Drogisten sturen massaal gevoelige informatie naar Facebook en Google | Investico Onderzoeksjournalisten.
2. Investico, 23 februari 2026, «Drogisten sturen massaal gevoelige informatie naar Facebook en Google», Drogisten sturen massaal gevoelige informatie naar Facebook en Google | Investico Onderzoeksjournalisten.
-
Vraag 1
Bent u bekend met het bericht «Opinie: Bescherm de lichamelijke integriteit van vrouwen, ook in de digitale wereld»?1
Ja, het kabinet is hiermee bekend.
-
Vraag 2
Kunt u het onderzoek van Investico, waaruit is gebleken dat alle grote Nederlandse drogisten, zoals Kruidvat, Etos en Trekpleister, (gevoelige) informatie over de vruchtbaarheid en seksuele gezondheid van klanten delen met Amerikaanse en Chinese techbedrijven, voorzien van een kabinetsreactie?2
Het kabinet vindt het zorgelijk en neemt de signalen over het mogelijk delen van (gevoelige) informatie dan ook serieus. Alleen het beoordelen van specifieke situaties is aan de toezichthoudende autoriteiten, in Nederland is dat de Autoriteit Persoonsgegevens (AP). Het kabinet kan hierover geen uitspraken doen. Een kabinetsreactie hierover ligt dan ook niet in de rede.
-
Vraag 3
Kunt u specifiek maken welke persoonsgegevens door de onderzochte apps en drogisten worden doorverkocht? Is hier sprake van medische gegevens, die enkel met een wettelijke grondslag of na uitdrukkelijke toestemming verwerkt mogen worden?
Zoals in het antwoord op vraag 2 is aangegeven, is een dergelijke beoordeling niet aan het kabinet, maar aan de toezichthoudende autoriteit.
-
Vraag 4
Voldoet de gegevensverwerking door de gezondheidsapps en de drogisten aan de nationale privacywetgeving? Zo ja of nee? Kunt u dit op basis van onderzoek onderbouwen?
In zijn algemeenheid merkt het kabinet op dat de verwerking van bijzondere categorieën van persoonsgegevens, waartoe gezondheidsgegevens behoren, verboden is tenzij er een uitzonderingsgrond van toepassing is, bijvoorbeeld wanneer uitdrukkelijke toestemming is gegeven. Het Hof van Justitie van de Europese Unie (HvJEU) heeft geoordeeld dat het begrip «bijzondere persoonsgegevens» in dit soort gevallen ruim dient te worden uitgelegd. Daaronder vallen ook persoonlijke gegevens die bij het online bestellen van geneesmiddelen worden ingevoerd, zoals namen en adressen. Of hier gehandeld wordt in strijd met de Algemene Verordening Gegevensbescherming (AVG) is, zoals eerder al in het antwoord op vraag 2 is aangegeven, aan de toezichthoudende autoriteiten, de AP.
-
Vraag 5
Zijn de Autoriteit Persoonsgegevens (AP) en de Autoriteit Consument & Markt (ACM) op de hoogte van de mogelijk illegale handel in gezondheidsgegevens? Zo ja, wordt hier naar uw weten nader onderzoek naar gedaan? Zo nee, bent u bereid dit in samenwerking met de toezichthouders wel te doen?
De AP heeft desgevraagd laten weten zich bewust te zijn van de grootschalige dataverzameling en datahandel op het internet. Datahandel (in brede zin) is van 2020 tot 2023 een van de strategische aandachtsgebieden geweest van de AP. Ook nu besteedt de AP nog de nodige aandacht aan datahandel. Zo controleert de AP sinds 2024, en nu nog steeds, strenger op cookiebanners. De AP controleert of websites op de juiste manier toestemming vragen voor cookies en andere volgsoftware en pakt misleidende cookiebanners aan.
De AP en de ACM doen geen mededelingen over individuele zaken en eventuele lopende onderzoeken. -
Vraag 6
Wat is uw oordeel over het gebruik van tracking cookies bij online webshops, waardoor mogelijk gevoelige informatie over het koopgedrag van klanten aan derden wordt doorverkocht? Is dit mogelijk in strijd met de privacywetgeving?
Het kabinet deelt de opvatting dat het gebruik van tracking cookies in bepaalde gevallen problematisch kan zijn, bijvoorbeeld waar gebruikers als gevolg van dark patterns, informatie-overload en consentmoeheid toestemming geven terwijl deze mogelijk afwijkt van hun werkelijke voorkeuren. Voor de volledigheid wordt hierbij ook verwezen naar de kabinetsreactie op het rapport De prijs van gratis internet van het Rathenau Instituut, die op 19 december 2025 met de Kamer is gedeeld.
Het gebruik van tracking cookies bij online webshops is onderworpen aan voorwaarden uit de toepasselijke privacyregelgeving, met name AVG en de e-privacyrichtlijn, die in Nederland is geïmplementeerd in de Telecommunicatiewet. Voor het plaatsen van dergelijke cookies is daarom geïnformeerde en ondubbelzinnige toestemming van de gebruiker vereist. Wanneer het gaat om gevoelige persoonsgegevens geldt een versterkt, expliciet toestemmingsvereiste. De beoordeling of sprake is van strijdigheid met de geldende privacyregelgeving is aan de toezichthouder. -
Vraag 7
Kunt u expliciet benoemen welke acties u nationaal en in Europees verband neemt om tracking cookies zo veel mogelijk te beperken en het informatie- en toestemmingsrecht van burgers over wat er met hun gegevens gebeurt te versterken?
Het kabinet zet zich nationaal en Europees in om op het gebied van tracking cookies onder meer de informatie- en toestemmingsrechten van burgers te versterken. Zo staat het kabinet positief tegenover de in de Digitale Omnibus voorgestelde automatische gecentraliseerde consentopties, waarmee gebruikers meer controle over hun gegevens krijgen. De onderhandelingen over dit voorstel lopen nog. Voor een weergave van de overige door het kabinet te nemen acties wordt verwezen naar de kabinetsreactie op het rapport De prijs van gratis internet van het Rathenau Instituut, die op 19 december 2025 met de Kamer is gedeeld.
-
Vraag 8
Indien blijkt dat gezondheidsapps en drogisten in strijd met de wet medische gegevens van personen hebben verwerkt, welke gevolgen heeft dit voor deze bedrijven?
Onder de AVG is het verwerken van medische gegevens, die gelden als bijzondere categorieën van persoonsgegevens, verboden tenzij op dat verbod een uitzondering van toepassing is. Het houden van toezicht op en het handhaven van de rechtmatigheid van gegevensverwerkingen in de private sector is, als gezegd, een taak van de onafhankelijke toezichthouder, de AP. Zij beschikt over een eigen repertoire aan bevoegdheden en handhavingsinstrumenten. Zo kan de AP onderzoek instellen naar de naleving van de gegevensbeschermingswetgeving, boetes en dwangsommen opleggen, alsook stopzetting van gegevensverwerkingen gelasten. Het is aan de AP om te bepalen welke manier van handhaving onder de omstandigheden het meest geëigend is.
-
Vraag 9
Deelt u de analyse van de indieners dat de lichamelijke integriteit van personen in een digitale wereld ook vraagt om toereikende privacybescherming? Is dit momenteel juridisch goed genoeg beschermd?
Het kabinet onderschrijft dit belang volledig. Alleen beschikt het kabinet niet over aanknopingspunten dat de gegevensbeschermingswetgeving lacunes vertoont.
-
Vraag 10
Bent u bereid om aanvullende stappen te nemen om de medische gegevens van personen die gezondheidsapps gebruiken of gezondheidsproducten kopen bij drogisten beter te beschermen? Zo ja, hoe gaat u dit doen?
Bij de verwerking van persoonsgegevens is de AVG van toepassing. Het is aan de verwerkingsverantwoordelijke om te voldoen aan de kaders die in de AVG worden gesteld aan de verwerking van persoonsgegevens en aan de strengere eisen die worden gesteld aan de verwerking van bijzondere persoonsgegevens, zoals medische gegevens. Het is aan de AP om toezicht te houden op de naleving van de AVG.
-
Vraag 11
Hoeveel vrouwen in Nederland maken gebruik van zogeheten «cyclusapps», in het bijzonder van Flo en Clue? Kunt u aangeven of de wijze waarop zij geïnformeerd worden bij het gebruik van deze apps en het delen van hun gegevens, conform de huidige wet- en regelgeving is?
Uit het onderzoek van Rutgers over het gebruik van natuurlijke methoden om een zwangerschap te voorkomen onder de vrouwen van 18 tot en met 29 jaar is gebleken dat 37% van de groep gebruikmaakt van een cyclusapp om hun menstruatie bij te houden, waarvan Flo het vaakst werd benoemd3. Cyclusapps moeten zich bij de verwerking van (bijzonder) persoonsgegevens houden aan de kaders die worden gesteld in de AVG, indien zij zijn gevestigd in de EU. Cyclusapps die buiten de EU zijn gevestigd, dienen ook aan de AVG te voldoen, indien zij diensten of goederen aanbieden in de EU. Zowel Clue, die is gevestigd in Duitsland, als Flo, die is gevestigd in het Verenigd Koninkrijk en de Verenigde Staten, moeten daarmee voldoen aan de AVG.
-
Vraag 12
Welke mogelijke hiaten ziet u in de bestaande wet- en regelgeving in het effectief optreden tegen het onrechtmatig bewaren en/of delen van gevoelige informatie over bijvoorbeeld miskramen, seksuele activiteit, etcetera met derde partijen, mogelijk voor commerciële doeleinden?
Zoals volgt uit de antwoorden op vragen 10 en 11, is er geen blijk van hiaten in de wet- en regelgeving. Het komt eerder aan op de naleving daarvan. Het doen van onderzoek daarnaar, is als gezegd, een taak van de onafhankelijke toezichthouder.
-
Vraag 13
Deelt u de zorgen dat het doorverkopen van medische gegevens van vrouwen kan zorgen tot ongewenste profilering, agressieve gerichte advertenties, of zelfs het opstellen van dataprofielen van de medische geschiedenis van vrouwen?
Het kabinet vindt het uiterst belangrijk dat de gegevens van vrouwen niet ten onrechte gebruikt worden voor zaken als ongewenste profilering, agressieve gerichte advertenties of het opstellen van dataprofielen. Het kabinet vindt het dan ook van belang dat de onafhankelijke toezichthouder hier scherp op is. In elk geval, zoals eerder al genoemd is, is het houden van toezicht op en het handhaven van de rechtmatigheid van gegevensverwerkingen in de private sector een taak van de onafhankelijke toezichthouder, namelijk de AP. Het is aan de AP om te bepalen welke manier van handhaving onder de omstandigheden het meest geëigend is.
-
Vraag 14
Heeft u indicaties voor welke doeleinden de doorverkochte medische gegevens van vrouwen, die zien op hun gezondheid en seksualiteit, worden gebruikt? Is dit in overeenstemming met het doel waarmee de data in eerste instantie met bedrijven is gedeeld?
Desgevraagd heeft het Centrale Bureau Drogisterijbedrijven aan het kabinet laten weten dat er geen persoonlijke gegevens doorverkocht worden. De online drogisterijen hebben privacyverklaringen op hun websites waarin is opgenomen welke gegevens worden verwerkt. Aangezien dit per drogisterij kan verschillen, wordt voor nadere informatie verwezen naar de betreffende websites. Wanneer een gebruiker niet noodzakelijke cookies weigert, worden alleen functionele cookies geplaatst die nodig zijn om de website goed te laten werken. Zonder toestemming worden bovendien geen persoonsgegevens van individuele klanten gedeeld met externe partijen zoals Google of Facebook.
Als gezegd is het beoordelen of specifieke situaties in overeenstemming zijn met de AVG aan de bevoegde toezichthoudende autoriteiten; in Nederland is dat de AP. -
Vraag 15
Kunt u deze vragen afzonderlijk van elkaar en zo snel mogelijk beantwoorden?
De vragen zijn zo snel als mogelijk afzonderlijk beantwoord.
10 april 2026 - 24 april 2026
14 dagen
Bronnen
1. NOS, 8 april 2026, «Bedrijf dat software levert voor patiëntendossiers aangevallen door hackers» (Bedrijf dat software levert voor patiëntendossiers aangevallen door hackers)
2. Kamerstuk 27 529, nr. 349
2. Kamerstuk 27 529, nr. 349
3. Kamerstuk 27 529, nr. 348
3. Kamerstuk 27 529, nr. 348
-
Vraag 1
Bent u op de hoogte van de hack bij ChipSoft, het bedrijf dat software voor patiëntendossiers en andere digitale systemen voor ziekenhuizen levert?1
Ja.
-
Vraag 2
Kunt u toelichten wat de ernst is van de hack en hoeveel ziekenhuizen, huisartsenpraktijken en eventuele andere zorgverleners zijn geraakt door de hack?
Patiënten moeten erop kunnen vertrouwen dat hun gegevens veilig zijn. Chipsoft voert momenteel samen met een extern team van cybersecurity-experts forensisch onderzoek uit om de oorzaak, omvang en bron van het incident vast te stellen. ChipSoft levert software aan ongeveer 70% van de Nederlandse ziekenhuizen. Uit voorzorg zijn sinds 8 april 20:00 uur de verbindingen met patiëntportalen die door ChipSoft worden gehost, verbroken. Dit betreft Zorgportaal, HiX Mobile2 en het Zorgplatform. Deze zijn hierdoor tijdelijk niet beschikbaar geweest. Inmiddels is er sinds vrijdag 17 april weer sprake van het gefaseerd opstarten van functionaliteiten, nadat deze veilig zijn bevonden. Op donderdag 16 april heeft ChipSoft gecommuniceerd met de klanten die dat betrof dat er bij de hack ook gegevens zijn gestolen. Hierover heb ik de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april 2026 geïnformeerd3. ChipSoft heeft geen gedetailleerde inzage gegeven in welke klanten op welke wijze getroffen zijn. In de zojuist genoemde Kamerbrief heb ik ons inzicht met u gedeeld. De resultaten van het forensisch onderzoek, die van belang zijn voor de hersteloperatie bij zorginstellingen, zullen, zo heeft ChipSoft ons laten weten, zo snel mogelijk worden gecommuniceerd. In de tussentijd ondersteunt Z-CERT, als expertisecentrum cybersecurity in de zorg, en biedt hulp aan ChipSoft voor analyse, communicatie en incidentmanagement. Z-CERT informeert en adviseert haar deelnemers over deze situatie.
-
Vraag 3
Wat zijn de gevolgen van de hack voor zorgverleners en hun patiënten, bijvoorbeeld doordat zorginstellingen hun systemen offline hebben moeten halen?
Navraag bij de betrokken zorginstellingen leert dat de zorgprocessen doorlopen en zorgverleners bij de gegevens van patiënten kunnen. Patiënten kunnen echter wel hinder ondervinden bij het online maken van afspraken, dit gaat nu telefonisch. Daarnaast kunnen patiënten momenteel niet zelf hun dossier inzien. Ook is er met name impact op de uitwisseling van gegevens. Tussen zorgverleners, zoals huisarts en ziekenhuizen, kunnen digitale verwijzingen niet goed plaatsvinden.
Ziekenhuizen zijn hier echter op dit soort incidenten voorbereid en zij hebben hiervoor noodprotocollen die ook in werking zijn getreden. Hierdoor kunnen veel zorgprocessen doorlopen, maar vaak met een noodzakelijke extra inzet van personeel. -
Vraag 4
Is bepaalde zorg uitgesteld vanwege de hack en zo ja, op welke schaal?
Nee, de zorgprocessen lopen door.
-
Vraag 5
Is er gevoelige data, zoals patiëntgegevens, in handen gekomen van criminelen?
Patiënten moeten erop kunnen vertrouwen dat hun gegevens veilig zijn. Op donderdag 16 april heeft ChipSoft gecommuniceerd met haar klanten dat er bij de hack patiëntgegevens zijn gestolen. Welke exacte patiëntgegevens hierbij zijn buitgemaakt is nog in onderzoek. Ik heb de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april hierover geïnformeerd.4 Ik vind dit een zeer ernstige zaak. ChipSoft moet alles uit de kast halen en de volle verantwoordelijkheid nemen om snel en zorgvuldig te onderzoeken en duidelijkheid te creëren voor patiënten en zorgverleners, zodat mensen weten of hun data gestolen is en om welke data het gaat.
-
Vraag 6
Hoe verklaart u de verschillende aanpak van ziekenhuizen na de hack, bijvoorbeeld in het wel of niet offline halen van systemen?
Ziekenhuizen die klant zijn bij ChipSoft hebben op advies van Z-CERT, het expertisecentrum cybersecurity in de zorg, preventieve maatregelen genomen en hebben monitoring op hun lopende systemen geïntensiveerd. De keuzes die gemaakt worden, zijn door de ziekenhuizen of organisaties zelf gemaakt op basis van eigen specifieke situatie en risico inschatting.
-
Vraag 7
Verschilt de impact van de hack tussen ziekenhuizen die hun gegevens lokaal, hybride of juist in een cloudomgeving opslaan? Kunt u uitleggen welke keuze de meeste weerbaarheid biedt?
De gegevens van de zorgaanbieders die gebruikmaken van de cloudomgeving van ChipSoft zijn gestolen. Van instellingen die de software van ChipSoft in eigen beheer uitvoeren of door derden laten beheren, zijn geen gegevens gestolen. Hierover heb ik de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april geïnformeerd.5
Er valt niet in z’n algemeenheid te zeggen welke keuze de meeste weerbaarheid biedt. Dit hangt af van de lokale context van de zorgaanbieder en de risicoafweging die gedaan is en de beheersmaatregelen die daarbij genomen zijn. -
Vraag 8
Welke rol speelt de overheid in de afwikkeling van de hack?
Wat betreft de afwikkeling van de hack en opsporing en/of vervolging ligt de verantwoordelijkheid bij de politie en het Openbaar Ministerie (OM). Diverse toezichthouders doen onderzoek naar de hack. Vanuit onze stelselverantwoordelijkheid ondersteunen we de koepelorganisaties die in het Informatieberaad Zorg zitten met informatie over de digitale aanval en een woordvoeringslijn die zij kunnen gebruiken naar hun leden.
Ook worden bijvoorbeeld handelingsperspectieven uitgewisseld. VWS en organisaties die gesubsidieerd worden door VWS ondersteunen de getroffen zorginstellingen zoveel als mogelijk. Zo financiert de overheid Z-CERT, het expertise centrum cybersecurity in de zorg. Z-CERT, biedt hulp aan ChipSoft voor analyse, communicatie en incidentmanagement. Z-CERT informeert en adviseert haar deelnemers over deze situatie. Vanuit het ministerie volgen we de ontwikkelingen zeer nauw, adviseren we koepels en zorgaanbieders en duiden we de rollen en bevoegdheden, waar nodig. -
Vraag 9
Zijn er alternatieven voorhanden bij een hack als deze, bijvoorbeeld alternatieve software waar ziekenhuizen en andere zorgverleners op kunnen terugvallen?
Ziekenhuizen hebben draaiboeken en protocollen voor als systemen niet werken om te zorgen dat het zorgproces door kan blijven gaan. Dit volgt uit de verplichte risico analyse die zij moeten doen. Zo gaan bijvoorbeeld verwijzingen van huisartsen naar Chipsoft-ziekenhuizen niet meer digitaal, maar per mail of telefonisch. Zie ook het antwoord op vraag 3. Het is aan zorgverleners zelf om deze protocollen, gegeven de specifieke situatie van de betreffende zorgverlener, in te richten. De ingebruikname van een ander elektronisch patiëntendossier of andere alternatieve software is niet iets wat in enkele dagen of weken geregeld kan worden. Dit is technisch zeer complex en kent een lange doorlooptijd. Bovendien brengt het hoge kosten en andere risico’s met zich mee.
-
Vraag 10
Welke eisen gelden er voor leveranciers van cruciale zorg-ICT?
Nederlandse zorgaanbieders zijn wettelijk verplicht om te voldoen aan de norm voor informatiebeveiliging in de zorg, de NEN 7510. De NEN 7510 geeft richtlijnen voor controlemaatregelen en stelt eisen aan het informatiebeveiligingssystemen. De norm vereist ook beheersmaatregelen voor bedrijfscontinuïteit en bereikbaarheid. Bij de inzet van ICT-producten die medische gegevens verwerken, eisen zorgaanbieders van de softwareleveranciers van deze ICT-producten dat ook zij voldoen aan de NEN 7510. Softwareleveranciers dienen dit aan te tonen met een certificaat.
In de nabije toekomst zullen aanvullende eisen voor cyberweerbaarheid worden gesteld in de NIS2-richtlijn die wordt omgezet in de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit. De European Health Data Space-verordening (EHDS) draagt bij aan toegankelijkheid van de zorg-ICT-markt in Nederland en Europa en betere databeschikbaarheid. Deze verordening gaat de nieuwe eis stellen dat EPD-systemen aan de kaders rondom cyberveiligheid moeten gaan voldoen conform de Cyberweerbaarheidsverordening6. -
Vraag 11
Is de ketenweerbaarheid op het gebied van ICT in de zorg wat u betreft op orde, onder andere in de domeinen hosting, beheer, en koppelingen? Waarom wel of niet?
Zorgaanbieders zijn verantwoordelijk voor de afspraken die gemaakt worden met hun ICT-leveranciers. Uit deze verantwoordelijkheid volgt dat zij handelingsperspectieven moeten opstellen op basis van de individuele risicoafwegingen en passend bij de eigen context. In de NEN7510 is de verplichting opgenomen een risicobeoordeling uit te voeren en digitale afhankelijkheden in kaart te brengen. Daarnaast gaat de Cyberbeveiligingswet (Cbw) organisaties, waaronder zorgaanbieders, verplichten om hun leveranciersketen in kaart te brengen, en om aan de leveranciers in die keten informatiebeveiligingsnormen te stellen. De Cbw is voorzien medio 2026 in te gaan.
-
Vraag 12
Deelt u de opvatting dat dit geen incident is, maar een symptoom van te grote afhankelijkheid van een paar dominante leveranciers in de zorg, waarbij een incident bij één leverancier meteen een nationale zorgvraag wordt?
Nee, ik deel die opvatting niet. Zorgaanbieders dienen afspraken te maken met zorg-ICT-leveranciers en hierbij risico’s af te wegen. Het is wel zo dat de omvang van een hack groter kan zijn wanneer een leverancier met een groot marktaandeel wordt getroffen waarbij ook nog eens patiëntgegevens zijn opgeslagen.
-
Vraag 13
Deelt u de zorgen over de risico’s wanneer één dominante marktpartij de infrastructuur levert voor zorginstellingen of andere essentiële publieke voorzieningen?
Het is belangrijk dat er sprake is van een gezonde marktwerking op de zorg-ICT-markt. Op verzoek van de toenmalige Minister van VWS heeft de Nederlandse Zorgautoriteit (NZa) in januari 2025 een rapport uitgebracht: «Sturing op kwaliteit en betaalbaarheid zorg-ICT». Daarin staat dat onder andere in de ziekenhuiszorg een paar grote leveranciers de markt domineren. Deze marktconcentratie zorgt voor minder concurrentie, wat de prijzen op kan drijven en innovatie kan vertragen. Ook is er een definitieve leidraad goedwerkende markten voor zorg-ICT van de ACM7 gepubliceerd. Het Ministerie van VWS maakt hieruit op dat het voor nieuwe innovatieve spelers moeilijk is voet aan de grond te krijgen, omdat zorginstellingen huiverig zijn om risico’s te nemen door met kleine of nieuwe partijen in zee te gaan. Bovendien wordt toetreding tot de Nederlandse markt van nieuwe buitenlandse leveranciers bemoeilijkt door de complexe, internationaal niet te vergelijken bekostigingssystematiek in onze zorgsector. Een te grote eenzijdige afhankelijkheid kan risico’s met zich brengen voor de continuïteit van zorg. Zorginstellingen zijn zelf verantwoordelijk om deze risico’s in kaart te brengen en keuzes te maken om invulling te geven aan overwegingen van digitale autonomie.
In de brief Voortgang agenda databeschikbaarheid van 20 januari 2026 is de stand van zaken over de zorg-ICT-markt uiteengezet. Om de risico’s te beperken, ga ik de komende tijd aan de slag om de bewustwording en kennis en expertise bij bestuurders over zorg-ICT te vergroten. Ook wordt samen met partijen onderzocht hoe het inkoopproces verbeterd kan worden. Daarnaast wordt er samen met overheidspartijen met een regulerende of toezichthoudende rol in het zorgveld een zogenoemde signaleringstafel opgezet. Daar kunnen signalen over zorg-ICT worden gedeeld en kan vanuit bestaand instrumentarium bekeken worden of en zo ja welke (gezamenlijke) interventie gewenst is. Naast de hierboven genoemde acties zet ik in op de European Health Data Space (EHDS) om de markt toegankelijker te maken voor EPD-leveranciers. Om dat te bereiken worden er op Europees niveau harmoniserende regels gesteld aan interoperabiliteit tussen de EPD-systemen en aan een verplicht loggingsmechanisme voor gebruik van gegevens door zorgverleners. Ook wordt gekeken hoe het toezicht versterkt kan worden op zorg-ICT. -
Vraag 14
Zijn er maatregelen die u neemt om dergelijke marktdominantie tegen te gaan, bijvoorbeeld door afspraken te maken over het inkoop- en aanbestedingsbeleid in de zorgsector? Waarom wel of niet?
In de eerste plaats zijn zorgaanbieders zelf verantwoordelijk voor de inkoop, aanbesteding en contractering van zorg-ICT. Wel blijkt uit het NZa rapport «Sturing op kwaliteit en betaalbaarheid zorg-ICT» januari 2025 dat de bewustwording en kennis en expertise bij bestuurders over zorg-ICT vergroot kan worden. Daarom wordt samen met partijen onderzocht hoe het inkoopproces verbeterd kan worden, bijvoorbeeld door de inzet van externe expertise om gezamenlijke inkoop van een kernapplicatie te laten slagen. Dit zorgt voor schaalvoordelen en vergroot de kans op samenwerking. Over dit soort onderwerpen heeft mijn ministerie ook regelmatig overleg met de ICT-gebruikersverenigingen van de ziekenhuizen.
-
Vraag 15
Hoe zorgt u voor voldoende diversificatie tussen ICT-leveranciers bij zorginstellingen? Is het uw verantwoordelijkheid om monopolievorming in de zorg-ICT tegen te gaan?
De Autoriteit Consument en Markt (ACM) houdt toezicht op eerlijke concurrentie en marktwerking, zo ook op de zorg-ICT markt. In eerste instantie is zij de toezichthouder op basis van de Mededingingswet die toezicht houdt op de markt en ook concentraties (fusies/overnames) beoordeelt. Zij heeft in haar brief op 28 januari 20258 aangegeven dat de zorg-ict markt niet goed werkt omdat ICT-systemen gesloten zijn. De ACM geeft aan dat zij op dit moment onvoldoende instrumenten heeft om eerlijke concurrentie en marktwerking structureel af te dwingen en adviseert het Ministerie van VWS om openheid van digitale informatiesystemen via wetgeving te verplichten.
Ik vind het belangrijk dat de zorg-ICT-markt toegankelijk is, zodat concurrentie en innovatie worden gestimuleerd. Met de EHDS wordt ook ingezet op een zo open mogelijke markt voor onder andere EPD-leveranciers. Ik onderzoek de mogelijkheden om als randvoorwaardelijk onderdeel van de EHDS, te komen tot additionele regulerende instrumenten. -
Vraag 16
Is het wenselijk dat zorginstellingen individueel ICT-diensten inkopen en hierover onderhandelen? Welke voor- en nadelen ziet u bij een meer gezamenlijke vorm van inkoop?
In de eerste plaats zijn zorgaanbieders zelf verantwoordelijk voor de inkoop, aanbesteding en contractering. Gezamenlijke inkoop kan schaalvoordelen opleveren, vergroot de kans op samenwerking en versterkt de positie van de zorgaanbieders. Een nadeel kan zijn dat er minder maatwerk wordt geleverd.
-
Vraag 17
Wat is de status van de uitvoering van de motie-Bushoff/Bevers om bij de evaluatie van de Wet vifo te bezien of bij fusies en overnames vanuit het buitenland van digitale zorginfrastructuur vergelijkbare voorwaarden gesteld kunnen worden als bij andere cruciale sectoren, zoals de chip-, energie- en telecomsector?2
Sinds juni 2023 is de Wet Veiligheidstoets investeringen, fusies en overnames (vifo) van kracht. De Wet vifo introduceerde een mechanisme voor investeringstoetsing in Nederland. Recent is de wet, conform de toezegging aan de Tweede Kamer, geëvalueerd.
Tevens is in december 2025 de herziene Foreign Direct Investment (FDI)-screeningsverordening vastgesteld. Met de wijziging van de Verordening worden de reikwijdte en procedures van de nationale investeringstoetsingsregimes in de Europese Unie gestroomlijnd om economische veiligheidsrisico’s van investeringen op een meer coherente manier aan te pakken. Nadat de herziene FDI verordening formeel is vastgesteld, start de termijn voor omzetting van de Verordening in nationale wetgeving. In Nederland wordt deze Verordening geïmplementeerd in de Wet vifo. Ik koers aan op een verwijzing in de wet vifo naar de (terminologie van de) Wet weerbaarheid kritieke entiteiten (Wwke). Hiermee zullen kritieke entiteiten in de zorg in het geval van vijandige investeringen, fusies of overnames kunnen worden getoetst. -
Vraag 18
Deelt u de zorgen van de Autoriteit Consument & Markt (ACM) over gesloten datastandaarden bij ICT-aanbieders in de zorg, aangezien systemen daardoor niet goed met elkaar communiceren en zorgaanbieders minder keuze hebben in hun leveranciers, met monopolievorming tot gevolg?
Ja ik deel deze zorgen. Het niet gebruiken van open standaarden en de geslotenheid van ICT-systemen bevordert niet de door de Nationale, Visie en Strategie10 gewenste interoperabiliteit op weg naar databeschikbaarheid. Om dat te veranderen zal een mix van Europese verplichtingen en nationale keuzes nodig zijn. Met de European Health Data Space (EHDS) verordening wordt ingezet op een zo open mogelijke markt voor EPD-leveranciers. Om dat te bereiken worden er op Europees niveau harmoniserende regels gesteld aan interoperabiliteit tussen de EPD-systemen. Vanuit de NVS-ambitie stuur ik op openstelling van systemen via open gestandaardiseerde koppelvlakken: publiek beschikbare koppelvlakken,
zodat data veilig, herbruikbaar en leverancier-onafhankelijk kan stromen door het hele stelsel. De specificaties van deze open koppelvlakken zijn een publieke verantwoordelijkheid. Zo nodig zal ik deze koppelvlakken ook als open source laten ontwikkelen en beschikbaar stellen aan marktpartijen. -
Vraag 19
Wat is de status van de uitvoering van de motie-Bushoff/Kathmann over een routekaart waarlangs ICT-leveranciers in de zorg de komende jaren verplicht worden gebruik te maken van open datastandaarden?3
In mijn brief «stand van zaken landelijk dekkend netwerk» die ik voor het commissiedebat digitale zorg (gepland op 21 mei) naar uw Kamer zal sturen, zal ik dieper ingaan op dit vraagstuk.
-
Vraag 20
Welke structurele problemen in de zorg-ICT legt deze hack bloot? Wie is er aan zet om deze op te lossen?
Het onderzoek naar deze hack is nog in volle gang. Het is daarmee te vroeg om een verband te leggen tussen deze hack en structurele problemen in de zorg-ICT.
-
Vraag 21
Welke maatregelen neemt u om de cyberveiligheid en weerbaarheid van zorginstellingen structureel te vergroten?
In het versterken van de cyberweerbaarheid van de zorg neem ik een kader stellende, toezichthoudende, stimulerende en faciliterende rol in. In de brief over informatieveiligheid in de zorg van 4 december 2025 heeft mijn voorganger uw Kamer geïnformeerd over de maatregelen die mijn ministerie neemt12. Ik ondersteun zorginstellingen bij het voorkomen van incidenten door het verhogen van bewustzijn van zorgmedewerkers in het programma Informatieveilig gedrag in de zorg. Een groot deel van cyberincidenten zijn mede veroorzaakt door menselijk handelen. Daarnaast bied ik hulpmiddelen aan om te voldoen aan de NEN7510, de norm voor informatiebeveiliging in de zorg. Deze norm schrijft organisatorische, mensgerichte, fysieke en technologische beheersmaatregelen voor die de digitale weerbaarheid van een organisatie concreet verhogen. Dit met het doel om dreigingen te voorkomen, detecteren of erop te reageren. Tot slot helpt het expertisecentrum cybersecurity in de zorg (Z-CERT) zorginstellingen in het voorkomen van incidenten door te monitoren en eventuele dreigingsinformatie te delen. Daarnaast biedt Z-CERT ondersteuning bij het beperken van de gevolgen wanneer er onverhoopt een incident heeft plaatsgevonden.
-
Vraag 22
Wat wordt de rol van de Cyberbeveiligingswet, zodra deze is aangenomen, om dergelijke hacks te voorkomen en sneller af te wikkelen? Wat gaat er concreet veranderen in een casus zoals deze?
Voor alle zorgaanbieders is de NEN 7510, de norm voor informatiebeveiliging in de zorg, nu al wettelijk verplicht. De Cyberbeveiligingswet (Cbw) gaat bredere eisen stellen aan netwerk- en informatiebeveiliging voor diverse sectoren waaronder de sector zorg. Zodra de Cbw van kracht is (voorzien medio 2026), hebben organisaties die onder de wet vallen een meldplicht. Dit houdt in dat een significante cyberincident13 binnen 24 uur wordt gemeld bij het portaal van het Nationaal Cyber Security Centrum (NCSC). Het NSCS werkt nauw samen met Z-CERT, het expertisecentrum op het gebied van het cybersecurity in de zorg. Deze meldplicht zorgt ervoor dat alle significante meldingen worden gemonitord en er tijdig wordt gewaarschuwd tegen cyberdreigingen. Daarnaast stelt de Cbw een zorgplicht voor organisaties verplicht. Dit houdt in dat organisaties vallend onder Cbw maatregelen moeten nemen om hun netwerk- en informatiesystemen te beschermen tegen significante incidenten. De Cbw zal cyberincidenten niet voorkomen, maar de cyberweerbaarheid in Nederland en daarmee ook in de sector zorg wordt verhoogd doordat significante cyberincidenten worden gemonitord en vervolgens snel wordt gehandeld om de beveiliging van informatiesystemen en bedrijfscontinuïteit te waarborgen.
-
Vraag 23
Kunt u deze vragen afzonderlijk van elkaar en nog vóór het commissiedebat over digitale ontwikkelingen in de zorg van 21 mei 2026 beantwoorden?
Ja.
10 april 2026 - 21 mei 2026
41 dagen
Het artikel 'Ook Grieken overstag, regering wil verbod op sociale media voor kinderen' |
|
Jantine Zwinkels (CDA) |
|
David van Weel (VVD), Aerdts |
|
|
|
|
-
Vraag 1
Bent u bekend met het bericht «Ook Grieken overstag, regering wil verbod op sociale media voor kinderen»?1
Ja.
-
Vraag 2
Hoe beoordeelt u het voornemen van Griekenland om kinderen tot 15 jaar de toegang tot sociale media te verbieden, mede in het licht van het coalitieakkoord waarin is opgenomen dat wordt gewerkt aan een handhaafbare Europese minimumleeftijd van 15 jaar voor sociale media met privacyvriendelijke leeftijdsverificatie?
Verschillende Europese lidstaten hebben wetsvoorstellen aangekondigd om een minimumleeftijd in te stellen voor sociale media. Lidstaten hebben de bevoegdheid om een minimumleeftijd voor te schrijven voor toegang tot bepaalde producten of online diensten, met inbegrip van sociale mediadiensten.
In het coalitieakkoord is het voornemen geuit voor een Europese minimumleeftijd van 15 jaar voor sociale media, zolang sociale media onvoldoende veilig zijn. Een minimumleeftijd op Europees niveau heeft mijn voorkeur, omdat sociale mediabedrijven grensoverschrijdend opereren. Het is daarom efficiënter om te kiezen voor een gezamenlijke oplossing en uniforme Europese regels, omdat dit versnippering tussen lidstaten voorkomt. -
Vraag 3
Welke concrete stappen zet het kabinet op dit moment in Europees verband om te komen tot die handhaafbare Europese minimumleeftijd van 15 jaar voor sociale media?
Nederland heeft tijdens de Informele Telecomraad van 29 en 30 april 2026 het belang uitgedragen van een Europese minimumleeftijd van 15 jaar voor sociale media met privacyvriendelijke leeftijdsverificatie, zolang sociale media onvoldoende veilig zijn. De Kamer zal hier op korte termijn via een verslag nader over worden geïnformeerd.
Daarnaast ga ik de komende periode mogelijkheden voor samenwerking verder verkennen door met verschillende lidstaten in gesprek te gaan. Ik heb onder meer een bijeenkomst op initiatief van Frankrijk bijgewoond, waar ik met andere Europese leiders en de Europese Commissie sprak over een Europese minimumleeftijd voor sociale media.
Tot slot voert de Universiteit van Amsterdam (UvA) momenteel een onderzoek uit naar de juridische inrichting van een Europese minimumleeftijd voor sociale media. Ik zal de resultaten van dit onderzoek uiterlijk voor het zomerreces publiceren. -
Vraag 4
Erkent het kabinet dat, in het licht van de ontwikkeling dat steeds meer landen overgaan tot een verbod, nu het moment is om tot een gezamenlijke aanpak te komen?
Het is belangrijk om tot een gezamenlijke Europese aanpak te komen, zoals ik heb aangegeven in de beantwoording van de vragen 2 en 3.
-
Vraag 5
Trekt Nederland hierbij actief op met andere Europese lidstaten die eveneens willen komen tot strengere regels voor kinderen op sociale media, zoals Griekenland, Frankrijk, en Spanje? Zo ja, op welke wijze?
Zoals aangegeven in het antwoord op vraag 3, zal ik met verschillende lidstaten in gesprek gaan om te verkennen wat de mogelijkheden zijn voor samenwerking. Na deze gesprekken en de resultaten van het onderzoek van de UvA zal ik nagaan wat de meest geschikte vorm van samenwerking is.
-
Vraag 6
Hoe wil het kabinet een Europese minimumleeftijd juridisch en technisch handhaafbaar vormgeven, in het bijzonder in relatie tot de Digital Services Act (DSA) en de door de Europese Commissie ontwikkelde leeftijdsverificatie-aanpak?
Zoals aangegeven in het antwoord op vraag 3 voert de UvA momenteel een onderzoek uit naar de juridische inrichting van een Europese minimumleeftijd voor sociale media. Daarbij wordt uiteraard ook ingegaan op de relatie tot de DSA als hoeksteen van het Europese platformrecht. De uitkomsten van dit onderzoek worden meegenomen bij de uitvoering van het coalitieakkoord.
Voor wat betreft de technische handhaafbaarheid, geldt dat online leeftijdsverificatie een belangrijk instrument kan zijn, mits fundamentele rechten en grondrechten zoals privacy, gegevensbescherming, non-discriminatie en digitale toegankelijkheid worden gewaarborgd. De toepassing moet proportioneel zijn en steeds per context worden afgewogen; er is geen one size fits all-oplossing. Om de ontwikkeling van privacyvriendelijke leeftijdsverificatie te ondersteunen, heeft de Europese Commissie een blauwdruk voor een Europese white-label leeftijdsverificatie-app gepubliceerd. Het kabinet verkent momenteel of de EU-blauwdruk app in Nederland geïmplementeerd kan worden of dat er ook andere mogelijkheden zijn voor implementatie van leeftijdsverificatie.
9 april 2026 - 21 april 2026
12 dagen
De hack bij ChipSoft dat software levert voor Nederlandse zorginstellingen |
|
Marc Vervuurt (D66), Sarah El Boujdaini (D66) |
|
Aerdts , Sophie Hermans (VVD) |
|
|
|
|
-
Vraag 1
Bent u bekend met de berichtgeving over de cyberaanval op ChipSoft, leverancier van elektronische patiëntendossiers voor een groot deel van de Nederlandse zorginstellingen?1
Ja.
-
Vraag 2
Kunt u een actueel beeld geven van de aard, omvang en impact van deze aanval, en welke patiënten hierdoor zijn geraakt?
Het Ministerie van VWS onderhoudt geen klantrelatie met Chipsoft en is daarmee geen onderdeel van de informatievoorziening van Chipsoft naar zijn klanten. Uit informele contacten heb ik begrepen dat Chipsoft momenteel samen met een extern team van cybersecurity-experts forensisch onderzoek uitvoert om de oorzaak, omvang en bron van het incident vast te stellen. Naar ik begrepen heb zijn uit voorzorg de verbindingen sinds 8 april 20:00 uur met patiëntportalen die door ChipSoft worden gehost, verbroken. Dit betreft Zorgportaal, HiX Mobile2 en het Zorgplatform. Deze zijn hierdoor tijdelijk niet beschikbaar. Op donderdag 16 april heeft ChipSoft gecommuniceerd met haar klanten dat er bij de hack ook gegevens zijn gestolen. Hierover heb ik de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april 2026 geïnformeerd. De resultaten van het forensisch onderzoek, die van belang zijn voor de hersteloperatie bij zorginstellingen, zullen, zo heeft ChipSoft ons doen laten weten, zo snel mogelijk worden gecommuniceerd. In de tussentijd ondersteunt Z-CERT, als expertisecentrum cybersecurity in de zorg, en biedt hulp aan ChipSoft voor analyse, communicatie en incidentmanagement. Z-CERT informeert en adviseert haar deelnemers over deze situatie.
-
Vraag 3
In hoeverre heeft deze aanval gevolgen (gehad) voor de continuïteit van zorg, bijvoorbeeld door verminderde toegang tot patiëntgegevens, vertragingen in zorgverlening of het moeten overschakelen op noodprocedures?
Ik heb van de betrokken zorginstellingen begrepen dat de zorgprocessen doorlopen en zorgverleners bij de gegevens van patiënten kunnen. Patiënten kunnen echter wel hinder ondervinden bij het online maken van afspraken, dit gaat nu telefonisch. Daarnaast kunnen patiënten momenteel niet zelf hun dossier inzien Ook is er met name impact op de uitwisseling van gegevens. Tussen zorgverleners, zoals huisarts en ziekenhuizen, kunnen verwijzingen niet goed plaatsvinden. Echter, ziekenhuizen zijn voorbereid op dit soort incidenten en zij hebben hiervoor noodprotocollen die ook in werking zijn getreden. Hierdoor kunnen veel zorgprocessen doorlopen, maar vaak met een noodzakelijke extra inzet van personeel. Deze situatie kan daarmee maar voor een beperkte periode bestaan. Inmiddels zo begreep ik is er sinds vrijdag 17 april weer sprake van het opstarten van functionaliteiten, nadat deze veilig zijn bevonden.
-
Vraag 4
Zijn er aanwijzingen dat patiëntgegevens zijn ingezien, buitgemaakt of anderszins gecompromitteerd? Hoe wordt dit onderzocht en wanneer verwacht u hierover duidelijkheid te kunnen geven?
Op donderdag 16 april heeft ChipSoft gecommuniceerd met haar klanten dat er bij de hack patiëntgegevens zijn gestolen. Hierover heb ik de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april geïnformeerd. Ik vind dit een zeer ernstige zaak. ChipSoft moet alles uit de kast halen en de volle verantwoordelijkheid nemen om snel en zorgvuldig te onderzoeken en duidelijkheid te creëren voor patiënten en zorgverleners, zodat mensen weten of hun data gestolen is en om welke data het gaat.
-
Vraag 5
Hoe beoordeelt u de sterke afhankelijkheid van een beperkt aantal commerciële leveranciers voor cruciale zorg-IT, en hoe worden de risico’s daarvan beperkt?
Op verzoek van de toenmalige Minister van VWS heeft de Nederlandse Zorgautoriteit (NZa) in januari 2025 een rapport uitgebracht: «Sturing op kwaliteit en betaalbaarheid zorg-ICT». Daarin staat dat onder andere in de ziekenhuiszorg een paar grote leveranciers de markt domineren. Deze concentratie van marktmacht zorgt ervoor dat er minder concurrentie is, wat de prijzen op kan drijven en innovatie kan vertragen. Ook in de Definitieve leidraad goedwerkende markten voor zorg-ICT van de ACM3 staat dat het voor nieuwe, innovatieve spelers moeilijk is om voet aan de grond te krijgen, omdat zorginstellingen huiverig zijn om risico's te nemen door met kleine of nieuwe partijen in zee te gaan. Bovendien wordt toetreding tot de Nederlandse markt van nieuwe buitenlandse leveranciers bemoeilijkt door de complexe, internationaal niet te vergelijken bekostigingssystematiek in de zorgsector. Een te grote eenzijdige afhankelijkheid kan risico’s met zich brengen voor de continuïteit van zorg. Zorginstellingen zijn zelf verantwoordelijk om deze risico’s in kaart te brengen en keuzes te maken om invulling te geven aan hun digitale autonomie.
Ik ben echter ook van mening dat de ontwikkeling naar een European Health Data Space (EHDS) bij kan dragen om de markt toegankelijker te maken voor EPD-leveranciers. Om dat te bereiken worden er bijvoorbeeld op Europees niveau harmoniserende regels gesteld aan interoperabiliteit tussen de EPD-systemen en het verplicht maken van een loggingsmechanisme voor gebruik van gegevens door zorgverleners. Ook wordt gekeken hoe het toezicht versterkt kan worden. In de brief Voortgang agenda databeschikbaarheid van 20 januari 20264 is de stand van zaken over de zorg-ICT-markt uiteengezet. Om de risico’s te beperken ga ik de komende tijd aan de slag om te bezien hoe de bewustwording en kennis en expertise bij bestuurders over zorg-ICT vergroot kan worden. Daarnaast wordt samen met partijen onderzocht hoe het inkoopproces verbeterd kan worden en zal er samen met overheidspartijen met een regulerende of toezichthoudende rol in het zorgveld een zogenoemde signaleringstafel worden opgezet waar signalen aangaande zorg-IT kunnen worden gedeeld en vanuit bestaand instrumentarium kan worden bekeken of en zo ja welke (gezamenlijke) interventie gewenst is. -
Vraag 6
Welke eisen worden momenteel gesteld aan leveranciers van zorg-IT op het gebied van cybersecurity, weerbaarheid en continuïteit, en in hoeverre zijn deze eisen voldoende gezien de kritieke rol van deze partijen voor ons zorgsysteem?
Nederlandse zorgaanbieders zijn momenteel wettelijk verplicht om te voldoen aan de norm voor informatiebeveiliging in de zorg, de NEN 7510. De NEN 7510 geeft richtlijnen voor controlemaatregelen en stelt eisen aan het informatiebeveiligingssystemen. De norm vereist ook beheersmaatregelen voor bedrijfscontinuïteit en bereikbaarheid. Bij de inzet van ICT-producten die medische gegevens verwerken, eisen zorgaanbieders van de softwareleveranciers van deze ICT-producten dat ook zij voldoen aan de NEN 7510. Softwareleveranciers dienen dit aan te tonen met een certificaat. Daarnaast zullen aanvullende eisen voor cyberweerbaarheid worden gesteld in de NIS2 richtlijn die wordt omgezet in de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit. Ik ga hier verder op in bij vraag 8. De EHDS draagt bij aan toegankelijkheid van de zorg-ICT-markt in Nederland en Europa en betere databeschikbaarheid. Deze verordening gaat de nieuwe eis stellen dat EPD-systemen aan de kaders rondom cyberveiligheid moeten gaan voldoen conform de Cyberweerbaarheidsverordening5.
-
Vraag 7
In hoeverre zijn zorginstellingen verplicht of gestimuleerd om scenario’s uit te werken voor uitval van essentiële IT-systemen, en hoe wordt geborgd dat zorgverlening doorgang kan vinden bij langdurige verstoringen?
Het doen van een risicoanalyse is onderdeel van de norm voor informatieveiligheid in de zorg (NEN7510). Aan deze norm dienen zorgaanbieders aantoonbaar te voldoen. Bij het werken volgens de norm hoort ook het nemen van maatregelen om uitval (door bijvoorbeeld een cyberincident) te voorkomen en de impact te beperken. Een belangrijk onderdeel van de norm is bovendien dat er plannen worden gemaakt voor bedrijfscontinuïteit bij onverwachte verstoringen of uitval en dat deze periodiek getest, geëvalueerd en verbeterd worden.
-
Vraag 8
Hoe wordt binnen het beleid rond de implementatie van de NIS2-richtlijn specifiek rekening gehouden met de afhankelijkheid van de zorgsector van externe IT-leveranciers?
De NIS2 richtlijn wordt omgezet in de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit. In de Cyberbeveiligingswet is in artikel 10 opgenomen dat de organisaties die onder deze wet vallen verplicht zijn om beleid vast te stellen over de beveiliging van de toeleveringsketen. Dit betekent dat de zorgaanbieders die onder de reikwijdte vallen niet alleen hun eigen netwerk- en informatiesystemen op orde hebben, maar ook die van hun rechtstreekse leveranciers periodiek toetsen. Daarnaast zullen IT-leveranciers ook rechtstreeks onder de reikwijdte van de wet vallen, onder de sector digitale infrastructuur.
-
Vraag 9
Ziet u aanleiding om aanvullende eisen te stellen aan leveranciers van kritieke zorg-IT, bijvoorbeeld op het gebied van redundantie, interoperabiliteit of exit-strategieën, zodat zorginstellingen minder kwetsbaar zijn bij uitval of incidenten?
Zorgaanbieders zijn verantwoordelijk voor de afspraken die gemaakt worden met hun ICT-leveranciers. Uit deze verantwoordelijkheid volgt dat zij handelingsperspectieven moeten opstellen op basis van de individuele risicoafwegingen en passend bij de eigen context. In de NEN7510 is de verplichting opgenomen een risicobeoordeling uit te voeren en digitale afhankelijkheden in kaart te brengen. Daarnaast verplicht de Cyberbeveiligingswet (Cbw) organisaties, waaronder zorgaanbieders, om hun leveranciersketen in kaart te brengen en om aan de leveranciers in die keten informatiebeveiligingsnormen te stellen.
-
Vraag 10
In hoeverre wordt gewerkt aan het verminderen van single points of failure in de digitale infrastructuur van de zorg, en welke concrete stappen worden gezet om diversificatie en alternatieven te stimuleren?
Er wordt vanuit verschillende projecten en programma’s gewerkt aan het realiseren van een duurzaam en veilig gezondheidsinformatiestelsel. Bij de totstandkoming van dit stelsel is het uitgangspunt dat er sprake is van een federatief stelsel waarbij data aan de bron blijft. Voor vertrouwen in het gebruik van gezondheidsgegevens zijn enkele (centrale) vertrouwenscomponenten noodzakelijk. Om te waarborgen dat deze voorzieningen geen centrale point-of-failure worden, is bij de realisatie van de techniek rekening gehouden met de mogelijkheden om de data te kunnen repliceren zonder dat daarmee de betrouwbaarheid van data in het geding komt. Zo wordt het Landelijk Register Zorgaanbieders (LRZa) ingericht om adresseerbare punten per zorgaanbieder op te kunnen vragen zodat de decentrale punten direct met elkaar kunnen uitwisselen. Om te voorkomen dat dit een single-point-of-failure wordt, is er synchronisatie van gegevens mogelijk zodat de adresseerbare punten periodiek kunnen worden geharmoniseerd zonder dat dit de betrouwbaarheid van de gegevens in het geding brengt.
Zoals beschreven bij vraag 5 worden er bij de European Health Data Space- verordening regels opgelegd aan leveranciers om de EPD-markt beter te laten functioneren en concurrentie en innovatie te bevorderden. Daarmee wordt het voor nieuwe toetreders aantrekkelijker om toe te treden tot de Nederlandse markt. Ook wordt ingezet op een betere vraagbundeling en vraagarticulatie en het verbeteren van het inkoopproces. -
Vraag 11
Welke andere lessen trekt u uit dit incident voor de bredere digitalisering van de zorg, met name op het gebied van digitale autonomie, en hoe worden deze lessen vertaald naar concreet beleid?
Digitale veiligheid is nooit voor honderd procent te garanderen en dit soort aanvallen zijn nooit helemaal te voorkomen. Wat we wel gezamenlijk kunnen doen, is de risico’s zoveel mogelijk beperken en ervoor zorgen dat eventueel misbruik snel wordt gesignaleerd en doeltreffend wordt aangepakt. Ik vind het belangrijk dat zorgaanbieders regie nemen over hun digitale autonomie. Bij digitale autonomie hoort een inzicht én keuzes jegens kwetsbaarheden in veiligheid, maar ook in eenzijdige afhankelijkheden van dominante marktpartijen. Dit vraagstuk is niet specifiek voor de zorg. Hier kan de zorg dus inspiratie putten uit stappen die in andere sectoren gezet worden. Zonder in contractuele verplichtingen te willen treden, zie ik het als mijn taak de zorgsector in deze bredere maatschappelijke beweging mee te krijgen.
-
Vraag 12
Kunt u de Kamer op korte termijn informeren over de uitkomsten van het onderzoek naar deze aanval, inclusief de implicaties voor het beleid rondom digitale weerbaarheid in de zorg?
In eerste instantie is ChipSoft zelf verantwoordelijk om te communiceren over de bevindingen van het forensisch onderzoek dat zij momenteel, in samenwerking met cybersecurity-experts, laten uitvoeren. Ik volg de zaak uiteraard nauwlettend. Mocht de rapportage van ChipSoft aanleiding zijn voor mij om vanuit mijn systeemverantwoordelijkheid aanvullende acties te ondernemen dan zal ik uw Kamer hierover informeren.
9 april 2026 - 13 mei 2026
34 dagen
Het kabinetsbesluit inzake AI-gigafabrieken |
|
Henk Vermeer (BBB) |
|
Aerdts |
|
|
|
|
-
Vraag 1
Herinnert u zich dat u in het commissiedebat Digitale Infrastructuur en Economie d.d. 8 april aangaf dat het ontbreken van middelen op de begroting de doorslaggevende reden was om niet deel te nemen aan het Europese AI-gigafabriekeninitiatief?
Ja, ik herinner mij het debat. Daarin heb ik onder andere aangeven dat er geen middelen zijn om aan de Europese tender voor een gezamenlijke inkoop van rekenkracht mee te doen. Daarnaast heb ik aangegeven positief te staan tegenover AI-infrastructuur die vanuit private middelen gefinancierd kan worden, zoals ook in het rapport-Wennink wordt aangegeven. Ook heb ik aangegeven dat ik daarom in gesprek blijf met de partijen die AI-infrastructuur initiatieven proberen te realiseren en over de randvoorwaarden die daarvoor nodig zijn.
-
Vraag 2
Klopt het dat in de beslisnota d.d. 23 maart bij de Kamerbrief «Positie van het kabinet ten aanzien van deelname aan het Europese AI-gigafabriekeninitiatief» (Kamerstuk 26 643-1499) staat dat in de StafEZ van 10 maart 2026 is vastgesteld dat binnen de huidige begroting geen ruimte bestaat voor de vereiste financiële verplichtingen?
Ja.
-
Vraag 3
Klopt het dat eerst is geconcludeerd dat er geen geld beschikbaar was, en dat pas daarna inhoudelijke argumenten, waaronder een verwijzing naar het rapport-Wennink, zijn gebruikt om dit besluit te onderbouwen? Zo nee, kan de Staatssecretaris dan precies uiteenzetten in welke volgorde de budgettaire en inhoudelijke afwegingen zijn gemaakt?
Nee. De conclusie dat er geen middelen beschikbaar waren, is niet los van de inhoudelijke afwegingen bereikt. In 2025 heeft Ecorys in opdracht van EZK de potentiële meerwaarde van een AI-gigafabriek onderzocht. Dit rapport schetst verschillende scenario’s en benoemt zowel kansen als onzekerheden en randvoorwaarden voor publieke betrokkenheid. Daarbij plaatst het rapport kanttekeningen bij de publieke meerwaarde en wijst het onder meer op de verhouding tussen training en inferentie, en de rol die marktpartijen zelf kunnen vervullen. Ook andere inzichten, waaronder het rapport-Wennink, geven aan dat substantiële private betrokkenheid bij de realisatie van dergelijke infrastructuur voor de hand ligt.
Parallel hieraan heeft EZK de budgettaire mogelijkheden verkend. Daaruit bleek dat er geen middelen beschikbaar waren. In samenhang hebben deze inhoudelijke bevindingen en de budgettaire beperkingen geleid tot het besluit om niet deel te nemen aan een gezamenlijke aanbesteding via EuroHPC. -
Vraag 4
Kan de Staatssecretaris alsnog de stukken openbaar maken die ten grondslag lagen aan het overleg in de StafEZ van 10 maart 2026, conform het eerder gedane informatieverzoek van de Kamer gedaan tijdens het commissiedebat Digitale infrastructuur en economie, waaronder memo’s, notities, berekeningen, scenario’s en de stukken waarmee de Staatssecretaris en de betrokken ambtenaren dat overleg zijn ingegaan? Indien volledige openbaarmaking niet mogelijk is, is de Staatssecretaris dan bereid om ten aanzien van het deel waarvan openbaring niet mogelijk is, deze stukken vertrouwelijk ter inzage te geven?
De belangrijkste basis voor de inhoudelijke afweging waren diverse gesprekken met consortia over hun plannen, de Europese EuroHPC regelgeving en het Ecorys-rapport, dat in opdracht van het Ministerie van EZK is opgesteld en op 19 december jl. met de Tweede Kamer is gedeeld. Ook andere inzichten, zoals het rapport-Wennink, dat ook openbaar is, zijn hierin meegenomen.
-
Vraag 5
Herinnert u zich dat u zich zowel in het debat, als in de Kamerbrief betreft de Positie van het kabinet ten aanzien van deelname aan het Europese AI-gigafabriekeninitiatief, beriep op het rapport-Wennink, en dat dat rapport volgens het kabinet geheel in lijn zou zijn met het standpunt van het kabinet om AI-gigafabrieken volledig door de markt te laten financieren?
Ja.
-
Vraag 6
Deelt u de mening dat in het rapport-Wennink staat dat «Nieuwe initiatieven [...] zijn (nog) niet volledig privaat te financieren door hoge opstartkosten en lange, onzekere terugverdientermijnen.»?
Ja. Daarbij wordt echter op pagina van 90 van het rapport de kanttekening gemaakt dat dit met name geldt voor nieuwe initiatieven in nog onbewezen markten. Tegelijkertijd vermeldt het rapport dat de AI Gigafabriek, vanwege haar sterke commerciële oriëntatie, in beginsel wél volledig privaat gefinancierd kan worden en marktconforme rekenkracht kan aanbieden.
-
Vraag 7
Deelt u de mening dat in het rapport-Wennink staat dat «Publieke financiering – en cofinanciering door EU-instrumenten – kan een vliegwieleffect hebben.»?
Ja.
-
Vraag 8
Deelt u de mening dat in het rapport-Wennink staat dat «Nederland heeft grootschalige private én publieke investeringen nodig.»?
Ja.
-
Vraag 9
Deelt u de mening dat u stelt te handelen in lijn met het rapport-Wennink, terwijl datzelfde rapport expliciet aangeeft dat grootschalige digitale infrastructuur juist níet volledig privaat te financieren is en publieke cofinanciering noodzakelijk is om investeringen los te krijgen? Zo nee, waarom niet?
Nee. Het rapport-Wennink maakt een onderscheid tussen verschillende typen digitale infrastructuur. Waar het voor een deel van de grootschalige infrastructuur inderdaad wijst op het belang van publieke cofinanciering, wordt in het geval van AI-gigafabrieken expliciet benoemd dat deze in beginsel volledig privaat gefinancierd kunnen worden. Dat beeld wordt ondersteund door recente marktontwikkelingen. Zo halen Europese AI-(neo)cloudbedrijven zelfstandig kapitaal op voor de bouw van AI-infrastructuur. Dit laat zien dat er binnen dit specifieke segment voldoende private investeringsbereidheid bestaat.
-
Vraag 10
Is hier niet gewoon sprake van het gebruiken van het rapport-Wennink als dekmantel voor een besluit dat puur budgettair is genomen? Zo nee, waarom niet?
Nee. Het rapport-Wennink is niet gebruikt als dekmantel voor een budgettaire keuze. Aan de kabinetspositie ligt, naast de gesprekken met de geïnteresseerde consortia, in de eerste plaats het rapport van Ecorys ten grondslag, waarin de relevante economische en investeringsafwegingen zijn geanalyseerd, zoals toegelicht in het antwoord op vraag 3.
-
Vraag 11
Deelt de Staatssecretaris de opvatting dat dit de indruk wekt van «cherry picking»? Zo nee, waarom niet?
Nee. Die indruk deel ik niet, omdat er niet uitsluitend naar het rapport-Wennink is gekeken om tot deze conclusie te komen.
-
Vraag 12
Herinnert u zich dat u zich in het debat ook beriep op het Ecorys-rapport? Kan de Staatssecretaris bevestigen dat Ecorys niet concludeert dat een AI-gigafabriek per definitie niet rendabel of niet zinvol is, maar juist dat de meerwaarde afhangt van ontwerp, gebruiksdoel en strategische inbedding? Waarom wordt dit rapport dan door het kabinet wel gebruikt als argument om af te haken?
Ja, dat kan ik mij herinneren en dat kan ik bevestigen. Het Ecorys-rapport stelt inderdaad niet dat een AI-gigafabriek per definitie niet rendabel of niet zinvol is. Het benadrukt juist dat de meerwaarde en businesscase sterk afhangen van het ontwerp, het beoogde gebruik en de strategische inbedding. Ecorys geeft daarbij aan dat een gecentraliseerde AI-gigafabriek vooral meerwaarde kan hebben voor de training van zeer grote modellen, maar plaatst daar tegelijkertijd de kanttekening dat het aantal partijen dat deze schaal van trainingscapaciteit daadwerkelijk benut in de Nederlandse context gering is.
Het kabinet gebruikt dit rapport niet als oordeel dat dergelijke infrastructuur «niet wenselijk» zou zijn, maar als onderbouwing voor de conclusie dat voor de varianten die juist meerwaarde hebben en op de Nederlandse markt zijn gericht, publieke financiering niet noodzakelijk is, omdat de markt daarin zelf kan voorzien. Op basis daarvan, tezamen met de budgettaire situatie, is de afweging gemaakt om geen publieke rol te nemen in een aanbesteding met financiële verplichtingen waarbij het initiatief in de specifieke vorm nog onduidelijk is. -
Vraag 13
Deelt de Staatssecretaris de opvatting dat ook in dit geval dit de indruk wekt van cherry picking? Zo nee, waarom niet?
Nee, zie de toelichting in de beantwoording op vraag 12.
-
Vraag 14
Kan de Staatssecretaris bevestigen dat het kabinet ervan uitgaat dat Nederlandse partijen later ook rekenkracht kunnen inkopen bij AI-gigafabrieken elders in Europa? Waarop baseert het kabinet de aanname dat die capaciteit bij toenemende schaarste daadwerkelijk beschikbaar blijft voor Nederlandse bedrijven, kennisinstellingen en overheden, in plaats van dat Nederland achteraan aansluit in de rij?
Ja, het kabinet gaat er in beginsel van uit dat Nederlandse partijen toegang kunnen krijgen tot rekenkracht bij AI-gigafabrieken elders in Europa. Die aanname is gebaseerd op de afspraken en de EuroHPC-verordening, het wetgevingskader dat de EuroHPC Joint Undertaking reguleert.
Tegelijkertijd wil ik benadrukken dat dit geen vanzelfsprekendheid zonder voorwaarden is. Het kabinet onderkent dat bij toenemende schaarste in rekencapaciteit private aanbieders geneigd kunnen zijn om prioriteit te geven aan contractueel gebonden gebruikers. -
Vraag 15
Kan de Staatssecretaris ingaan op de analyse van het The Hague Centre for Strategic Studies dat toegang tot kritieke digitale infrastructuur in toenemende mate afhankelijk is van geopolitieke verhoudingen en dat bij schaarste landen primair hun eigen belangen zullen beschermen? Hoe rijmt de Staatssecretaris dit met de aanname dat Nederlandse partijen bij toenemende vraag en schaarste probleemloos gebruik kunnen blijven maken van rekenkracht in andere lidstaten of daarbuiten?
Zoals ik bij de vorige vraag heb toegelicht, baseer ik mij op de afspraken binnen de EuroHPC Joint Undertaking en het daarbij behorende Europese wettelijke kader. Dat kader is er juist op gericht om gezamenlijke Europese toegang tot high-performance computing en aanverwante digitale infrastructuur te borgen, ook in situaties van toenemende schaarste of geopolitieke spanning. Lidstaten hebben zich daaraan gecommitteerd, inclusief afspraken over beschikbaarheid en gedeeld gebruik van capaciteit.
-
Vraag 16
Kan de Staatssecretaris bevestigen dat het kabinet kiest voor AI-gigafabrieken die volledig door de markt worden gefinancierd? Hoe realistisch acht de Staatssecretaris dat, gelet op het feit dat het rapport-Wennink juist wijst op achterblijvende private investeringen?
Het kabinet kiest ervoor dat de ontwikkeling van AI-infrastructuur, waaronder zogeheten AI-gigafabrieken, in beginsel door private partijen wordt gedragen en gefinancierd. De overheid ziet daarbij primair een rol in het creëren van de juiste randvoorwaarden, bijvoorbeeld op het gebied van beschikbare energie-infrastructuur, geschikte locaties en vergunningsprocedures. Het doel is om het voor private partijen aantrekkelijker en uitvoerbaarder te maken om dit soort investeringen daadwerkelijk hier van de grond te krijgen.
-
Vraag 17
In de genoemde Kamerbrief schrijft het kabinet dat het kiest voor een ontwikkeling van AI-infrastructuur die meegroeit met de marktvraag; hoe verhoudt zich dat tot de constatering in de onderliggende analyses dat de ontwikkeling van AI-infrastructuur juist sterk aanbodgedreven kan zijn, en dat investeringen in capaciteit zelf vraag, innovatie en ecosysteemvorming aanjagen? Loopt Nederland door deze afwachtende houding niet juist het risico achter te blijven omdat vraag pas ontstaat waar capaciteit al aanwezig is?
Ik ben het met u eens dat de ontwikkeling van AI-infrastructuur in bepaalde gevallen aanbodgedreven kan zijn en daarmee juist ook vraag, innovatie en ecosysteemvorming kan stimuleren. Dat is ook precies de reden dat het kabinet wél inzet op de realisatie van de publiek gefinancierde AI-fabriek in Groningen, waar sprake is van een strategische Europese investering in rekenkracht en kennisopbouw.
Tegelijkertijd geldt dat niet alle typen AI-infrastructuur dezelfde dynamiek kennen. In veel segmenten kan de markt zelf goed inspringen op groeiende vraag, mits de randvoorwaarden op orde zijn, zoals voldoende beschikbare energie, ruimte en een voorspelbaar vergunningsproces. -
Vraag 18
Is de Staatssecretaris, gelet op het feit dat de doorslaggevende overweging blijkens de beslisnota budgettair was en rapporten waarachter het kabinet zich verschuilt het kabinet lijken te tegenspreken, bereid het besluit alsnog te heroverwegen en de Kamer een scenario te sturen waarin Nederland wél, al dan niet gefaseerd, kan aansluiten bij het Europese AI-gigafabriekeninitiatief?
Nee. Deelname aan de door EuroHPC geleide aanbesteding zou een substantiële financiële verplichting met zich meebrengen, die het kabinet op dit moment niet wil aangaan. De inhoudelijke afwegingen zoals toegelicht in deze beantwoording geven geen aanleiding om de positie van het kabinet te herzien. Daarbij wil ik bovendien benadrukken dat deelname aan het Europese traject geen garantie biedt op de realisatie van een AI-gigafabriek in Nederland, maar primair ziet op het indienen van een voorstel in competitie met voorstellen uit andere lidstaten.
-
Vraag 19
Kunt u deze vragen in ieder geval voor het tweeminutendebat naar aanleiding van het commissiedebat Digitale Infrastructuur en Economie, een voor een, beantwoorden?
Ja.
9 april 2026 - 28 mei 2026
49 dagen
Het bericht 'Nederlands grootste pensioenfonds stapt uit techbedrijf dat zaken doet met ICE' |
|
Sarah El Boujdaini (D66) |
|
Aerdts |
|
|
|
|
Bronnen
1. Nederlands grootste pensioenfonds stapt uit techbedrijf dat zaken doet met ICE, NU.nl d.d. 1 april 2026
-
Vraag 1
Hoe beoordeelt u het besluit van het grootste Nederlandse pensioenfonds (ABP) om zich terug te trekken uit Palantir vanwege zorgen over mensenrechten en ethisch verantwoord investeren?1
Een pensioenfondsbestuur is verantwoordelijk voor het beleggingsbeleid bij een pensioenfonds en ik geef daar geen oordeel over. Voor beleggingen zijn pensioenfondsen gehouden aan de prudent person regel. Deze regel stelt dat het vermogen in het belang van de deelnemers en pensioengerechtigden moet worden belegd. ABP weegt daarin tal van aspecten af, waaronder rendement, risico, kosten, ethische aspecten, mensenrechten en duurzaamheid. Deze afwegingen en de uiteindelijke investeringsbeslissingen die daaruit volgen zijn aan het ABP-bestuur.
-
Vraag 2
Deelt u de zorg dat afhankelijkheid van buitenlandse technologiebedrijven zoals Palantir de digitale soevereiniteit van Nederland kan ondermijnen? Zo nee, waarom niet?
Het voorkomen en waar nodig mitigeren van risicovolle strategische afhankelijkheden in digitale technologie is een prioriteit van het kabinet. Daarbij wordt gekeken naar alle lagen van de digitale stack. Versterking van onze positie op AI heeft een centrale plek in verschillende beleidskaders, zoals de Agenda Digitale Open Strategische Autonomie en de Nationale Technologiestrategie. Hiertoe neemt het kabinet stimulerende maatregelen (promote), beschermende maatregelen (protect) en maatregelen tot het verdiepen van internationale samenwerking (partnership).
-
Vraag 3
Kunt u uiteenzetten waar binnen de overheid de diensten en producten van Palantir worden gebruikt en waarvoor deze worden ingezet? Zo nee, waarom niet?
In antwoord op diverse Kamervragen van het lid Van Houwelingen (FvD),2, evenals van de leden Van Vroonhoven en Six Dijkstra,3 is aangegeven dat op dit moment alleen de politie en Defensie gebruik maken van Palantir.
De politie gebruikt de software van Palantir enkel binnen de zogenaamde «Raffinaderij». «De Raffinaderij» is een analyseomgeving waar Palantir onderdeel van uitmaakt. Deze wordt alleen aangewend voor de bestrijding van zware en georganiseerde criminaliteit en het voorkomen van aanslagen.
Binnen de Nederlandse krijgsmacht wordt gebruik gemaakt van de Palantir-software in het kader van interoperabiliteit tussen NAVO-partners ter ondersteuning van het militaire optreden. -
Vraag 4
Hoe beoordeelt u het gebruikmaken door Nederlandse (semi-)overheidsorganisaties van technologie van bedrijven zoals Palantir, waarover ernstige zorgen bestaan over betrokkenheid bij mensenrechtenschendingen? En op welke gronden wordt dit beoordeeld?
Het kabinet zal zich immer inzetten voor de bescherming van mensenrechten en de democratische rechtstaat, ook bij de inzet van technologie zoals AI. Daarbij heeft het kabinet ook aandacht voor de mogelijk discriminerende aspecten van technologie, en het beschermen van de democratie.
-
Vraag 5
Welke ethische kaders hanteert het kabinet bij de inkoop en inzet van data-analyse- en AI-systemen van commerciële partijen zoals Palantir, en hoe worden deze kaders in de praktijk toegepast en gehandhaafd?
Vanuit de Nederlandse Digitaliseringsstrategie (NDS) werk ik aan een AI-inkoopaanpak. Hierin worden de inzichten uit de ethische kaders omtrent algoritmen en AI vanuit de overheid gebundeld, zoals het Algoritmekader en de leidraad van de Community of Practice Digitale Innovaties vanuit het Expertisecentrum Aanbesteden PIANOo. Daarin wordt bijvoorbeeld aangespoord een Fundamental Rights Impact Assessment (FRIA) uit te voeren, wat volgens de AI-verordening verplicht wordt bij hoog-risico AI-systemen. Een mogelijke invulling van zo’n FRIA is het Impact Assessment Mensenrechten en Algoritmes (IAMA). De uitkomsten van een IAMA kan leiden tot het treffen van maatregelen om mensenrechten te beschermen door de opdrachtgever of opdrachtnemer. In het Commissiedebat Digitaliserende overheid van 29 januari 2026 heeft de toenmalige Staatssecretaris van Koninkrijksrelaties en Digitale Zaken toegezegd dat deze AI-inkoopaanpak in 2026 met uw Kamer zal worden gedeeld.
-
Vraag 6
Welke concrete waarborgen, zoals toezicht, impact assessments en transparantiemechanismen, worden ingezet om te voorkomen dat het gebruik van dergelijke technologie leidt tot discriminatie, profilering of schending van privacyrechten?
Voorafgaand aan een voorgenomen gegevensverwerking, al dan niet door een leverancier van diensten, wordt een data protection impact assessment (DPIA) uitgevoerd om de risico’s voor de rechten en vrijheden van betrokkenen in kaart te brengen. Beoordeeld wordt welke (aanvullende) maatregelen getroffen moeten worden om eventuele risico’s voor de bescherming van persoonsgegevens en de rechten en vrijheden van betrokkenen zoveel mogelijk te mitigeren. In geval van doorgifte van persoonsgegevens aan landen buiten de EER wordt een data transfer impact assessment (DTIA) uitgevoerd, om te beoordelen of het betreffende land of internationale organisatie een passend beschermingsniveau waarborgt. Zoals eerder gemeld, wordt de FRIA volgens de AI-verordening verplicht bij hoog-risico AI-systemen. Een mogelijke invulling van zo’n FRIA is het IAMA. Wat de verantwoorde en transparante inzet van algoritmen en AI binnen de overheid betreft, wordt daarnaast ook ingezet op instrumenten als het Algoritmeregister en het Algoritmekader. In mijn brief aan de Kamer van 20 april heb ik u tevens geïnformeerd over de wijze waarop het kabinet voornemens is het toezicht op de naleving van de Europese AI-verordening vorm te geven.4
Bij een verwerking van persoonsgegevens door een leverancier worden met deze leverancier afspraken gemaakt over de naleving van de mitigerende maatregelen. Deze maatregelen gelden voor de gehele toeleveranciersketen. De verwerkingsverantwoordelijke kan bij de leverancier informatie opvragen over de naleving van de betreffende maatregelen. Het uitvoeren van dergelijke assessments is een verantwoordelijkheid van de verwerkingsverantwoordelijke. -
Vraag 7
Bent u bereid om aanvullende richtlijnen of toetsingskaders te ontwikkelen voor samenwerking met technologiebedrijven die actief zijn in veiligheids- en surveillancedomeinen, die de digitale soevereiniteit ten goede komen? Zo nee, waarom niet?
In de NDS wordt onder de versneller versterking digitale weerbaarheid en digitale autonomie tevens gewerkt aan kaders die de digitale autonomie ten goede komen. Deze kaders worden sectorneutraal opgesteld, waardoor deze kaders naast het veiligheids- en surveillancedomein, ook in andere situaties gebruikt kunnen worden.
-
Vraag 8
Bent u bereid om, in navolging van het besluit van ABP, voortaan expliciet en vooraf te toetsen of samenwerkingen met technologiebedrijven zoals Palantir verenigbaar zijn met Nederlandse en Europese normen, en deze toets openbaar te maken? Zo nee, waarom niet?
Zoals uit de voorgaande antwoorden ook blijkt zijn er diverse instrumenten, of worden deze op dit moment ontwikkeld, waarmee getoetst wordt of, op welke wijze en met welke eventuele aanvullende maatregelen bepaalde diensten verenigbaar zijn met Nederlandse en Europese normen. Het openbaar maken van dergelijke toetsen is aan de opdrachtgevende organisatie zelf, maar is niet wettelijk verplicht. Er kunnen moverende redenen zijn om dit ook niet te doen.
-
Vraag 9
Zou u deze vragen afzonderlijk van elkaar kunnen beantwoorden?
Ja.
23 maart 2026 - 28 mei 2026
66 dagen
Het bericht ‘Palantir CEO Makes Shocking Confession on Disrupting Democratic Power’ |
|
Sarah El Boujdaini (D66), Michelle Jagtenberg (D66) |
|
Aerdts , David van Weel (VVD), Derk Boswijk (CDA) |
|
|
|
|
Bronnen
-
Vraag 1
Heeft u kennisgenomen van het artikel «Palantir CEO Makes Shocking Confession on Disrupting Democratic Power» van The New Republic?1
Ja.
-
Vraag 2
Hoe beoordeelt u het gegeven in het artikel dat het bedrijf Palantir doelbewust inzet op discriminerende aspecten van hun technologie waarmee democratische verhoudingen worden verslechterd?
Het Kabinet zal zich immer inzetten voor de bescherming van mensenrechten en de democratische rechtstaat, ook bij de inzet van technologie zoals AI. Daarbij heeft het kabinet ook aandacht voor de mogelijk discriminerende aspecten van technologie, en het beschermen van de democratie. Het is niet aan het kabinet om opvattingen van het bestuur van een bedrijf van een oordeel te voorzien.
-
Vraag 3
Welke rol spelen bedrijven als Palantir Technologies momenteel in Nederlandse overheidsprocessen, bijvoorbeeld op het gebied van data-analyse, veiligheid of publieke dienstverlening?
In antwoord op diverse Kamervragen van het lid Van Houwelingen (FvD),2 evenals van de leden Van Vroonhoven en Six Dijkstra (beiden NSC),3 is aangegeven dat op dit moment alleen de politie en Defensie gebruik maken van Palantir.
De politie gebruikt de software van Palantir enkel binnen de zogenaamde «Raffinaderij». «De Raffinaderij» is een analyseomgeving waar Palantir onderdeel van uitmaakt. Deze wordt alleen aangewend voor de bestrijding van zware en georganiseerde criminaliteit en het voorkomen van aanslagen.
Binnen de Nederlandse krijgsmacht wordt bij een aantal (operationele) defensieonderdelen gebruik gemaakt van de Palantir-software. Dit gebeurt onder strikte maatregelen en in volledige afgesloten omgevingen. Hierbij gaat het in alle gevallen om een «beproeving» van deze technologie, waardoor het slechts in beperkte mate ondersteunend is aan het militair optreden. Daarnaast wordt in het kader van interoperabiliteit tussen NAVO-partners onderzocht in hoeverre deze technologie hieraan kan bijdragen. -
Vraag 4
In hoeverre acht het kabinet het wenselijk dat technologiebedrijven die nauw samenwerken met overheden of veiligheidsdiensten ook uitgesproken politieke visies hebben over de werking van democratieën?
Het kabinet is van mening dat vrijheid van gedachten (cf. art. 7 Gw en art. 9 EVRM) een recht is wat mensen toekomt, en dat bedrijven niet als zodanig politieke visies kunnen hebben. Het is niet aan het kabinet om opvattingen van het bestuur van een bedrijf van een oordeel te voorzien.
-
Vraag 5
Hoe is er in de aanbesteding van de software van Palantir nagedacht over de impact van deze samenwerking op de democratie en maatschappij?
De Rijksoverheid gebruikt bij aanbestedingen en inkoopopdrachten de Algemene Inkoopvoorwaarden (ARIV), de Algemene Rijksvoorwaarden voor het verstrekken van opdrachten tot het verrichten van Diensten (ARVODI) en de Algemene Rijksvoorwaarden bij IT-overeenkomsten (ARBIT).
Daarnaast nemen overheidsorganisaties verschillende maatregelen om de cyberveiligheid van de ICT-processen van de overheid, en de bescherming van persoonsgegevens van alle betrokkenen te waarborgen. De basis ligt hiervoor in wet- en regelgeving. Zo zijn overheidsorganisaties verplicht om conform de Baseline Informatiebeveiliging Overheid 2 (BIO 2) risicogebaseerd maatregelen te nemen voor hun informatiebeveiliging. Daarnaast volgt er uit de AVG een verplichting tot het uitvoeren van een risicoanalyse met betrekking tot de verwerking van persoonsgegevens en het nemen van maatregelen om onderkende risico’s te mitigeren.
Voorafgaand aan een voorgenomen verwerking van persoonsgegevens, moet een data protection impact assessment (DPIA) uitgevoerd worden om de risico’s voor de rechten en vrijheden van betrokkenen in kaart te brengen. Beoordeeld wordt welke (aanvullende) operationele, technische, procedurele, informatiebeveiligings- of bestuurlijke maatregelen getroffen moeten worden om eventuele risico’s voor de bescherming van persoonsgegevens en de rechten en vrijheden van betrokkenen te mitigeren. In geval van doorgifte van persoonsgegevens aan landen buiten de EER wordt een data transfer impact assessment (DTIA) uitgevoerd om te beoordelen of het betreffende land of internationale organisatie een passend beschermingsniveau waarborgt. Volgens de AI-verordening wordt de Fundamental Rights Impact Assessment (FRIA) verplicht bij hoog-risico AI-systemen. Een mogelijke invulling van zo’n FRIA is het Impact Assessment Mensenrechten en Algoritmes (IAMA). Wat de verantwoorde en transparante inzet van algoritmen en AI binnen de overheid betreft, wordt daarnaast ook ingezet op instrumenten als het Algoritmeregister en het Algoritmekader. In de Kamerbrief van 20 april heb ik u tevens geïnformeerd over de wijze waarop het kabinet voornemens is het toezicht op de naleving van de Europese AI-verordening vorm te geven.4 -
Vraag 6
In referentie naar de aangenomen motie van het lid Six Dijkstra c.s. over het onafhankelijk maken van Palantir, wat is de status van de uitvoering van de drie gevraagde actielijnen uit deze motie2?
Ik verwijs u graag naar de Kamerbrief uitvoering aangenomen ontraden moties over ICT-onderwerpen, ingediend tijdens het Notaoverleg over de Nederlandse Digitaliseringsstrategie d.d. 29 september 2025 en het Tweeminutendebat Telecomraad (informeel) dd. 9 december 2025, waar is ingegaan op de uitvoering van deze motie.6
-
Vraag 7
Kunt u een plan aanleveren om de verschillende functionaliteiten van Palantir waar de Nederlandse overheid gebruik van maakt om te zetten naar volwaardige alternatieven, en welke EU-bedrijven dit kunnen leveren? Zo ja, kan er ook een overzicht gemaakt worden welke EU-bedrijven deze functionaliteiten kunnen leveren, en kunt u de Kamer dit doen toekomen?
Dit is niet mogelijk. Ik verwijs u graag naar de Kamerbrief uitvoering aangenomen ontraden moties over ICT-onderwerpen, ingediend tijdens het Notaoverleg over de Nederlandse Digitaliseringsstrategie d.d. 29 september 2025 en het Tweeminutendebat Telecomraad (informeel) dd. 9 december 2025, waar is ingegaan op de uitvoering van deze motie.7
-
Vraag 8
Is het kabinet bereid, als de benodigde capaciteiten nog niet op de Europese markt beschikbaar zijn, om te verkennen of de talenten binnen JIVC (Joint Informatievoorziening Commando) benut kunnen worden om de benodigde capaciteiten zelf te ontwikkelen, al dan niet in samenwerking met het Nederlandse of Europese bedrijfsleven?
Specifiek voor Defensie geldt dat er op dit moment een onderzoek naar mogelijke technologische alternatieven binnen Europa wordt uitgevoerd. Hieruit moet ook het beeld ontstaan welke specifieke kennis noodzakelijk is en welke positie JIVC hierin kan of moet vervullen.
-
Vraag 9
Is het kabinet bereid te onderzoeken of aanvullende transparantie- of governance-eisen nodig zijn voor technologiebedrijven die AI-systemen leveren aan overheden, zeker wanneer deze bedrijven ook actief zijn in defensie- en veiligheidssectoren?
De AI-verordening voorziet al in transparantie- en governance-eisen voor een breed scala aan hoog-risico AI. Deze zijn onderdeel van het Europese standaardisatieproces dat momenteel loopt in het kader van deze wet. Ik beoog daar zoveel mogelijk bij aan te sluiten. Daarnaast werk ik vanuit de Nederlandse Digitaliseringsstrategie aan een AI-inkoopaanpak. Hierin wordt ook aandacht besteed aan transparantie-eisen die bij het inkoopproces kunnen worden opgelegd aan technologiebedrijven die AI-systemen leveren aan overheden. Voorbeelden van deze eisen zijn dat zij documentatie kunnen voorleggen die toelicht hoe de AI-component van het systeem werkt. In het Commissiedebat Digitaliserende overheid van 29 januari 2026 heeft de toenmalige Staatssecretaris van Koninkrijksrelaties en Digitalisering toegezegd dat deze AI-inkoopaanpak in 2026 met uw Kamer zal worden gedeeld. Dat wordt beoogd in uiterlijk Q4 2026.
Binnen Defensie wordt op dit moment een beleidskader ontwikkelt, dat voortborduurt op het eerder vastgestelde algoritmebeleid en waarin alle noodzakelijke maatregelen worden uitgewerkt. Deze zal van toepassing zijn op alle nog te verwerven en bestaande AI-systemen die ondersteunend zijn aan het militair optreden. -
Vraag 10
Kunt u deze vragen afzonderlijk van elkaar beantwoorden?
Ja.