Vraag 1

Bent u bekend met het bericht «Gedoodverfd opvolger van DigiD is niet te gebruiken zonder Gmail-account of Apple-ID»?1

Ja.

Vraag 2

Deelt u de mening dat apps en oplossingen die ontwikkeld worden door de Rijksoverheid altijd zo toegankelijk mogelijk zouden moeten zijn voor elke Nederlander? Zo ja, hoe beoordeelt u dan de keuze tot verplichting van een Google-account of Apple-ID voor het gebruik van NL Wallet?

Ja, ik deel die mening.
Er is geen keuze gemaakt tot de verplichting van een Google-account of Apple-ID voor het gebruik van de NL Wallet en dit is ook niet ons streven.
De publieke wallet wordt stapsgewijs ontwikkeld en dat gebeurt transparant. Dagelijks worden nieuwe wijzigingen aan de broncode aangebracht en gepubliceerd zodat iedereen die dat wil de ontwikkeling kan volgen. In de huidige versie zijn beveiligingsmaatregelen opgenomen om gebruikers te beschermen tegen malafide apps, waarmee hun persoonsgegevens worden beschermd en identiteitsfraude wordt bestreden. Voor de grootste gebruikersgroepen (mensen met een Google-account of Apple-ID) zijn deze maatregelen nu gerealiseerd. Voor andere gebruikersgroepen zijn andere maatregelen nodig. Die maatregelen zullen worden onderzocht en, indien dat veilig kan, worden geïmplementeerd voordat de publieke wallet beschikbaar komt voor gebruikers.

Vraag 3

Deelt u de mening dat ook mensen die geen gebruik maken van telefoons met Google of van telefoons met Apple-ID in staat zouden moeten zijn om gebruik te maken van NL Wallet? Zijn deze mogelijkheden bij de ontwikkeling van NL Wallet verkend? Zo ja, waarom is dan gekozen om alsnog voor deze technische voorwaarden te gaan voor NL Wallet? Zo nee, waarom niet?

Ja ik deel die mening.
De beveiligingsmaatregelen die gebruikers zonder Google-account of Apple-ID in staat stellen om ook gebruik te maken van de publieke wallet worden nog verkend. Hiervoor wordt ook van gedachten gewisseld met experts van andere lidstaten. Als deze opties veilig zijn, zullen die worden geïmplementeerd voordat de wallet live gaat.

Vraag 4

Deelt u de mening dat in het kader van toegankelijkheid ook mensen die geen gebruik willen of kunnen maken van een smartphone de app NL Wallet zouden moeten kunnen gebruiken? Zo nee, waarom niet?

Mensen die geen gebruik willen maken van de NL wallet, hoeven dat ook niet. De vrijwilligheid is wettelijk geborgd in de verordening. Met het oog op de toegankelijkheid van de NL Wallet betrekken wij gebruikers bij de ontwikkeling, bijvoorbeeld mensen met een beperking. Verder zullen we verkennen hoe we de toegankelijkheid van de NL wallet kunnen vergroten, ook voor mensen die geen smartphone willen of kunnen gebruiken.

Vraag 5

Kunt u uitleggen waarom DigiD wel te gebruiken is voor mensen zonder iOS-telefoon of Google-account of zonder smartphone? Waarin verschilt DigiD van NL Wallet waardoor dit voor NL Wallet niet mogelijk zou zijn?

De werking van inlogmiddelen als DigiD verschilt van die van EDI wallets als de NL Wallet, wat andere beveiligingsrisico’s met zich meebrengt en zodoende om andere maatregelen vraagt. Zoals aangegeven bij antwoord 2 is de NL Wallet nog in ontwikkeling en streven we ernaar om deze ook beschikbaar te maken voor mensen zonder Apple-ID of Google-account. Met DigiD kun je bij bepaalde overheidsdiensten inloggen zonder smartphone, met de SMS-check. Bij diensten die een hoger betrouwbaarheidsniveau vereisen heb je een smartphone met DigiD app nodig. BZK onderzoekt de mogelijkheid om een DigiD ook op hogere betrouwbaarheidsniveaus zonder smartphone beschikbaar te stellen. EDI-wallets, zoals de NL Wallet, moeten worden uitgegeven op het hoogste betrouwbaarheidsniveau. We bekijken of we de ontwikkelingen bij DigiD kunnen benutten voor EDI-wallets, inclusief de NL Wallet.

Vraag 6

Hoe complex is het om de NL Wallet zo om te bouwen dat het hebben van een Apple Account of Google Account niet voorwaardelijk is?

Zoals gezegd moeten deze maatregelen nog worden onderzocht. Daaruit zal ook blijken hoe complex dit is.

Vraag 7

Kunt u garanderen dat NL Wallet niet de rol van DigiD in de toekomst zal overnemen, zo lang voor het gebruik van NL Wallet een Apple-ID of Google-account voorwaardelijk is? Zo ja, hoe? Zo nee, waarom niet?

DigiD blijft bestaan zoals reeds eerder aan de Kamer is toegezegd2. Het gebruik van de NL-wallet is vrijwillig, zoals ik heb aangegeven in de beantwoording van vraag 4.

Vraag 8

Kunt u garanderen dat organisaties die op dit moment DigiD ondersteunen en die NL Wallet willen ondersteunen, in de toekomst DigiD ook blijven ondersteunen naast NL Wallet? Zo nee, deelt u de mening dat dat betekent dat Nederlanders tot het gebruik van een Google-account of Apple-ID worden gedwongen?

Ja, de acceptatieverplichtingen voor DigiD blijven bestaan naast de acceptatieverplichtingen voor EDI-wallets.
Zoals gezegd is er nog geen keuze gemaakt om een Google-account of Apple-ID te verplichten voor de NL Wallet en is dit ook niet ons streven.

Vraag 9

Kunnen gebruikers van NL Wallet van wie het Google-account of de Apple-ID om wat voor reden dan ook door Google of Apple wordt geblokkeerd gebruik blijven maken van NL Wallet? Zo nee, kunt u dan garanderen dat Nederlanders die gebruik maken van NL Wallet niet in de problemen komen? Zo ja, kunt u aangeven waarom dit acceptabel is?

De NL Wallet kan niet voorkomen dat gebruikers worden geblokkeerd door de aanbieder van hun smartphone, besturingssysteem of andere de software die daarop draait. Om die reden hecht ik er waarde aan om te zorgen dat de NL Wallet niet van een kleine groep aanbieders afhankelijk is en onderzoek ik mogelijkheden om ook een veilige oplossing te bieden aan burgers zonder Google-account of Apple-ID.

Vraag 10

Hoe kijkt u vanuit het oogpunt van digitale soevereiniteit naar de keuze om een Google-account of Apple-ID voor een NL Wallet voorwaardelijk te maken?

Zoals gezegd is er geen keuze gemaakt om het Apple-ID of Google-account voorwaardelijk te maken en is dit ook niet ons streven.

Vraag 11

Hoe bent u van plan om in het vervolg, bij ontwikkeling van apps door de overheid, het gemak van de ontwikkeling af te wegen tegen digitale soevereiniteit en toegankelijkheid?

Bij de ontwikkeling van apps worden meerdere factoren meegewogen. De borging van publieke waarden waaronder veiligheid, privacy, inclusie en soevereiniteit staat centraal. Gemak van de ontwikkeling speelt hierin geen rol.

Vraag 12

Kunt u deze vragen afzonderlijk van elkaar en binnen de gestelde termijn beantwoorden?

Ja, de vragen worden afzonderlijk van elkaar beantwoord. Ik heb uw Kamer met een uitstelbrief laten weten dat beantwoording langer ging duren.

Vraag 1

Kunt u nader toelichten waarom er geen middelen zijn gevonden om het luchtalarm als middel in crisissituaties te behouden, zoals aangekondigd in uw brief van 18 mei 2026?1

Op 9 juni 2026 is er een brief gestuurd over de inrichting van een nieuwe civiel militaire waarschuwingsketen.2 In deze brief heb ik uw Kamer, mede namens de Minister van Defensie, geïnformeerd dat wij een nieuwe civiel-militaire waarschuwingsketen gaan realiseren. Onderdeel hiervan is een nieuw innovatief sirenenetwerk, in aanvulling op NL-Alert. Een nadere toelichting staat in deze brief.

Vraag 2

Hoeveel geld zou het structureel kosten om het luchtalarm na 1 januari 2028 alsnog te behouden?

Zie antwoord vraag 1.

Vraag 3

Ziet u mogelijkheden om het luchtalarm in de toekomst te dekken met de aanvullende Defensiemiddelen in het kader van de nationale weerbaarheid?

Zie antwoord vraag 1.

Vraag 4

Deelt u de analyse dat het afsluiten van het luchtalarm onwenselijk is, gezien het belang van redundantie in de crisiscommunicatie? Is het niet in elke situatie beter als het luchtalarm en NL-Alert (of alternatieven) naast elkaar bestaan?

Zie antwoord vraag 1.

Vraag 5

Hoe kijkt u naar het gegeven dat het horen van het luchtalarm en het ontvangen van een NL-Alert een andere lading heeft voor de toehoorder? Waarop baseert u dat het luchtalarm en NL-Alert dezelfde staat van paraatheid teweegbrengt bij burgers?

Zie antwoord vraag 1.

Vraag 6

Erkent u dat, in een heftige ramp of crisis, ook sprake kan zijn van sabotage van mobiele netwerken? Waarop baseert u dat NL-Alert in dergelijke situaties altijd bruikbaar zal zijn?

NL-Alert is afhankelijk van de openbare mobiele netwerken. Uit onderzoek is gebleken dat NL-Alert volstaat als alerteringsmiddel in vredestijd. NL-Alert is robuust en er wordt gewerkt om aan het hoogste niveau van informatiebeveiliging te voldoen, maar geen systeem is onfeilbaar. Bij een scenario van ernstige hybride en militaire dreigingen, waarbij een statelijke actor zeer zware en geavanceerde middelen kan inzetten om infrastructuur (waaronder de mobiele netwerken) te ontwrichten, is het kwetsbaar om enkel over NL-Alert te beschikken. Vanwege het ontbreken van een civiel-militaire waarschuwingsketen (van detectie tot en met alertering van de bevolking) bij luchtdreigingen, is in 2025 een verkenning gestart naar wat er nodig is voor de inrichting van een robuuste en redundante civiel-militaire waarschuwingsketen. Hierbij is in beeld gebracht welke aanvullende mogelijkheden en middelen, naast NL-Alert, geschikt zijn om burgers te kunnen alerteren in dit specifieke scenario. Hieruit is een advies naar voren gekomen om deze civiel-militaire waarschuwingsketen robuust en redundant in te richten. Voor het inrichten van een robuust en redundante waarschuwingsketen is het nodig een tweede alerteringsmiddel naast NL-Alert te hebben. Dit tweede middel dient complementair te zijn aan NL-Alert, en op een andere infrastructuur te draaien. Een nieuw innovatief sirenenetwerk geeft het beste antwoord op de vraag.

Vraag 7

Is het bereik van NL-Alert, met een stabiele dekking van 92%, voldoende om in een crisissituatie iedereen te bereiken? Hoe verwacht u dit bereik te vergroten?

Het primaire alerteringsmiddel bij rampen en crises in Nederland is al enige jaren NL-Alert. NL-Alert kent via de verschillende distributiekanalen al jaren een stabiel bereik van circa 92% van de bevolking. Naast alarmering biedt NL-Alert ook informatie over een crisis, handelingsperspectief en doorverwijzingen naar aanvullende informatiebronnen. Naast verspreiding van NL-Alerts via de mobiele telefoons worden NL-Alerts ook via andere kanalen verspreid om zoveel mogelijk mensen te bereiken. Zo is NL-Alert te zien op digitale reclameschermen en digitale reisinformatieschermen van trein, bus, tram en metro en via schermen in publieke ruimten zoals huisartsenpraktijken en ziekenhuizen.
Er wordt continu gewerkt om het bereik van NL-Alert verder te vergroten. Onder andere via publiekscampagnes van NL-Alert, maar ook via eventuele technische en functionele aanpassingen van NL-Alert en de distributiekanalen zoals de NL-Alert app. Ook is de publiekscampagne van NL-Alert erop gericht dat bij ontvangst van een NL-Alert, men ook anderen hierover informeert. De NL-Alert app is mede ontwikkeld voor mensen die aan de grens wonen en soms verbonden zijn met buitenlandse zendmasten en hierdoor niet altijd NL-Alerts ontvangen en voor mensen voor wie een NL-Alert niet altijd duidelijk is. Voor mensen met een auditieve of visuele beperking kent de NL-Alert app toegankelijkheidsfuncties om het bericht te ontvangen en beter te kunnen begrijpen. De NL-Alert app wordt verder ontwikkeld en verbeterd waarbij specifiek rekening wordt gehouden met mensen met een auditieve of visuele beperking. Zo wordt momenteel samen met de belangengroepen gewerkt aan het verbeteren van toegankelijkheid van NL-Alert voor de dovengemeenschap door NL-Alert in de Nederlandse Gebarentaal toe te voegen aan de app.

Vraag 8

Kunt u onderbouwen dat een alternatief systeem als NL-Alert, waar mensen een telefoon voor nodig hebben, goed digitaal toegankelijk is?

NL-Alert maakt gebruik van cell broadcast techniek waardoor tekstberichten direct naar mobiele telefoons worden doorgestuurd, ook bij overbelasting van het openbare telecommunicatienetwerk. Mensen hoeven zelf niets te doen om een bericht te kunnen ontvangen. Een NL-Alert bericht wordt in zo makkelijk mogelijke taal geschreven (B1-niveau). Daarnaast zijn er andere distributiekanalen waarlangs een bericht ontvangen kan worden (zie de beantwoording bij vraag 7). Ook is de publiekscampagne van NL-Alert erop gericht dat bij ontvangst van een NL-Alert, men ook anderen hierover informeert.
Daarnaast wordt NL-Alert continu doorontwikkeld en verbeterd. Zo wordt er gewerkt aan de informatiebeveiliging, maar ook aan de toegankelijkheid, waarbij specifiek rekening wordt gehouden met mensen met een auditieve of visuele beperking.

Vraag 9

Bent u bekend met Project Särimner, een Zweedse infrastructuur waarin «datanodes» worden gebouwd die in het geval van sabotage of verstoring onafhankelijk van elkaar crisisinformatie kunnen uitwisselen?2

Ja, ik ben op hoofdlijnen bekend met dit project.

Vraag 10

Bent u bereid om een oplossing zoals Project Särimner nader te onderzoeken als aanvulling op de nationale crisisinfrastructuur?

Op dit moment wordt daar in relatie tot het WAS niet naar gekeken omdat er vanuit mijn ministerie al een verkenning is gedaan wat er nodig is om een robuuste en redundante civiel-militaire waarschuwingsketen in te richten. Hieruit is het
advies voortgekomen om een nieuw sirenenetwerk in te richten naast NL-Alert.

Vraag 11

Kunt u deze vragen afzonderlijk van elkaar en nog vóór het commissiedebat over nationale veiligheid, weerbaarheid, brandweer en crisisbeheersing van 10 juni 2026 beantwoorden?

Het is helaas niet gelukt om deze beantwoording voor het commissiedebat nationale veiligheid, weerbaarheid, brandweer en crisisbeheersing te beantwoorden.

Vraag 1

Kunt u meer toelichten over de raamovereenkomst die is gesloten met het Europese cloudplatform STACKIT?1

Strategisch Leveranciersmanagement (SLM) Rijk heeft de opdracht om, binnen de kaders van wet- en regelgeving en vigerend beleid, het afnemen van (cloud)diensten te faciliteren voor rijksorganisaties. Hiervoor sluit SLM Rijk de zogenaamde «Framework Agreements» (hierna: raamovereenkomst) af met cloud leveranciers waarin waarborgen zijn opgenomen voor het op verantwoorde wijze gebruiken van (cloud-)diensten.
De keuze voor aankoop en gebruik van een (cloud)dienst onder een door SLM Rijk gecontracteerde raamovereenkomst ligt bij de rijksorganisatie zelf. De raamovereenkomst bevat geen verplichtingen voor daadwerkelijke afname van diensten. De rijksorganisatie dient af te wegen of de aan te schaffen dienst past op haar specifieke vraag en situatie, waaronder de (gevoeligheid van) data die de organisatie wenst te laten verwerken.2
Rijksorganisaties die clouddiensten willen inkopen, kunnen gebruik maken van de door het Rijk afgesloten raamovereenkomst met STACKIT. Bij hun inkooporganisatie kunnen zij informeren hoe de verwerving van clouddiensten georganiseerd dient te worden.

Vraag 2

Kunt u de raamovereenkomst aan de Kamer doen toekomen?

Nee. De raamovereenkomst met STACKIT bevat grotendeels bedrijfsvertrouwelijke informatie. Het delen van deze informatie zou nadelige consequenties voor de Staat hebben, omdat leveranciers (met de wetenschap dat bedrijfsvertrouwelijke contracten gedeeld zouden kunnen worden) niet meer genegen zouden zijn (maat-)werkafspraken met de Staat te maken. Er is ook een geldige Non-Disclosure Agreement (NDA) van kracht met de leverancier.
In vraag 4 en 5 wordt antwoord gegeven op een aantal specifieke inhoudelijke vragen.

Vraag 3

Hoe ziet u de rol van de Rijksoverheid als lancerende klant van autonome Europese IT-diensten? Hoe draagt de raamovereenkomst met STACKIT bij aan dit doel?

Het kabinet kijkt naar de mogelijkheden om als launching customer op te treden bij de inkoop van clouddienstverlening en bij aanbesteding van dergelijke diensten de mogelijkheden van een Europees voorkeursprincipe te benutten met behoud van de voordelen van een open markt.
Zoals gesteld in beantwoording op vraag 1 kunnen rijksorganisaties met het sluiten van de raamovereenkomst onder veilige en gunstige voorwaarden clouddienstverlening afnemen bij leveranciers. Dit kan een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze leveranciers. Met de inkoop van dienstverlening bij Europese leveranciers, zoals STACKIT, kan de overheid als lancerende klant bijdragen aan de concurrentiepositie van Europese cloudleveranciers. Ook kan dit bijdragen aan een meer divers leveranciersbestand, waarmee afhankelijkheden van niet-Europese aanbieders bij rijksorganisaties worden afgebouwd. Dit draagt bij aan de digitale autonomie van Nederland.
Daarbij dient wel te worden opgemerkt dat het sluiten van de raamovereenkomst niet inhoudt dat de dienstverlening van STACKIT al daadwerkelijk door onderdelen van de Rijksoverheid is ingekocht.

Vraag 4

Met welk doel is de raamovereenkomst gesloten? Zijn er ook afspraken gemaakt over de afname van deze diensten?

Het doel van de raamovereenkomst is om door SLM Rijk onderzochte Europese cloud-alternatieven op verantwoorde wijze beschikbaar te stellen voor rijksorganisaties.
SLM Rijk heeft geen afspraken gemaakt over de afname van diensten; die beslissing ligt bij de rijksorganisaties zelf. Zie ook de beantwoording op vraag 1.

Vraag 5

Welke «veilige en gunstige voorwaarden» heeft u afgesproken met STACKIT? Op welke manier dragen deze voorwaarden bij aan de digitale autonomie van Nederland?

Doeltreffende maatregelen m.b.t. de bescherming van persoonsgegevens zijn getroffen naar aanleiding van de door SLM uitgevoerde Data Protection Impact Assessment (DPIA). Conform de uitgevoerde DPIA is in de raamovereenkomst vastgelegd dat alle data exclusief worden verwerkt binnen de EER, inclusief persoonsgegevens. Ook zijn er afspraken gemaakt over (voortijdige) contractbeëindiging bij wijzigingen in eigenaarschap, bijvoorbeeld als STACKIT wordt overgenomen door een buiten de EER gelegen eigenaar.
Zoals gesteld in beantwoording op vraag 1 kunnen rijksorganisaties met het sluiten van de raamovereenkomst onder veilige en gunstige voorwaarden clouddienstverlening afnemen bij leveranciers. Dit kan een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze leveranciers. Met de inkoop van dienstverlening bij Europese leveranciers, zoals STACKIT, kan de overheid als lancerende klant bijdragen aan de concurrentiepositie van Europese cloudleveranciers. Ook kan dit bijdragen aan een meer divers leveranciersbestand, waarmee afhankelijkheden van niet-Europese aanbieders bij rijksorganisaties worden afgebouwd. Dit draagt bij aan de digitale autonomie van Nederland.

Vraag 6

Hoe draagt het sluiten van een raamovereenkomst met één leverancier bij aan een eerlijk en open speelveld voor Nederlandse en Europese techbedrijven?

Zoals onder vraag 5 toegelicht kan het sluiten van de raamovereenkomst een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze Europese leverancier. Daarnaast sluit het afsluiten van een raamovereenkomst met één partij de mogelijkheid tot het sluiten van gelijksoortige raamovereenkomsten met andere partijen geenszins uit.
Tegelijkertijd is meedingen in individuele aanbestedingstrajecten voor clouddienstverlening van de Rijksoverheid niet exclusief voorbehouden aan partijen die een raamovereenkomst met SLM Rijk hebben afgesloten. Dit betekent dat aanbieders zonder raamovereenkomst met SLM Rijk evengoed kunnen meedingen in aanbestedingen voor clouddienstverlening.
Het is tevens relevant te benadrukken dat SLM Rijk de intentie heeft met meer Europese cloudaanbieders een raamovereenkomst te sluiten. Zo is er reeds een onderzoek bezig naar OVHcloud en ESET, een Europese leverancier voor securitydiensten. Ook is SLM Rijk in gesprek met Nederlandse cloudbedrijven om de mogelijkheden voor het sluiten van een raamovereenkomst te verkennen.

Vraag 7

Hoe borgt u in het sluiten van een raamovereenkomst de diversificatie en keuzevrijheid tussen leveranciers, zoals wel beoogd wordt door een privaat initiatief zoals de Open Cloud Alliantie?2

Er geldt geen afnameverplichting voor het gebruik van STACKIT door rijksorganisaties.
Dit betekent dat net als STACKIT iedere andere cloudaanbieder inclusief leden van bijvoorbeeld de Open Cloud Alliantie, kan meedingen in aanbestedingen.

Vraag 8

Welke diensten levert STACKIT? Kunt u concreet maken voor welke belangrijke IT-processen u van plan bent de clouddiensten van STACKIT af te nemen?

STACKIT levert clouddiensten, bijvoorbeeld rekenkracht en opslag. Onder de reikwijdte van de raamovereenkomst zijn deze diensten meegenomen.
Zoals toegelicht in de beantwoording van vragen 1 en 4 zijn afspraken over de afname van diensten geen onderdeel van de raamovereenkomst.

Vraag 9

Erkent u dat opslag binnen de Europese Economische Ruimte (EER) geen afdoende bescherming is tegen inzageverzoeken van niet-Europese overheden, als de bedrijven die de opslag beheren onder niet-Europese wetgeving vallen?

Ja, dat erken ik. Omdat dit risico niet van toepassing is op de diensten in scope van de raamovereemkomst met STACKIT, verwijs ik voor een gedetailleerde juridische analyse naar andere door SLM gepubliceerde DPIA’s.4 Zo wordt hierop in de recent gepubliceerde tweede update DPIA op M365 Copilot gedetailleerd ingegaan, specifiek in paragraaf 8.3.4.
Op dit moment zijn er geen afhankelijkheden van niet-Europese bedrijven geconstateerd voor de diensten van STACKIT die zijn opgenomen in de scope van de raamovereenkomst. Zie ook de beantwoording op vraag 11.

Vraag 10

Is uitgesloten dat de clouddiensten van STACKIT op welke manier dan ook afhankelijk zijn van niet-Europese techbedrijven in het beheer, onderhoud, de beveiliging, of andere essentiële processen?

Dit is contractueel uitgesloten. Mocht er worden geconstateerd dat de feitelijke situatie in een later stadium zou afwijken van de contractuele waarborgen, dan kan het contract direct worden opgezegd.

Vraag 11

Indien dit niet uit te sluiten is, kunt u dan toelichten welke afhankelijkheden STACKIT heeft van niet-Europese bedrijven? Zijn deze afhankelijkheden weg te nemen?

Op dit moment zijn er geen afhankelijkheden van niet-Europese bedrijven geconstateerd voor de diensten van STACKIT die zijn opgenomen in de scope van de raamovereenkomst.

Vraag 12

Welke analyses heeft u gemaakt om te bevestigen dat STACKIT daadwerkelijk volledig Europees en autonoom is? Kunt u deze met de Kamer delen?

SLM Rijk heeft de DPIA op STACKIT door een extern bureau laten uitvoeren waarin de potentiële gegevensuitwisselingen met STACKIT zijn onderzocht. Conform de uitgevoerde DPIA is in de raamovereenkomst vastgelegd dat alle gegevens exclusief worden verwerkt binnen de EER, inclusief persoonsgegevens. Ook zijn er afspraken gemaakt over (voortijdige) contractbeëindiging bij wijzigingen in eigenaarschap, bijvoorbeeld als STACKIT wordt overgenomen door een buiten de EER gelegen eigenaar. Zie ook de beantwoording op vraag 5.

Vraag 13

Hoe gaat de Rijksoverheid toezien of STACKIT zich aan de afspraken houdt? Welke toezichthouder is hiertoe aan zet?

SLM Rijk zal dat doen door middel van uitoefening van het bedongen auditrecht, dit is onderdeel van regulier contractbeheer. De toezichthouder is in casu dus niet aan zet.

Vraag 14

Kunt u de vragen afzonderlijk van elkaar en zo snel mogelijk beantwoorden?

Ja.

Vraag 1

Bent u bekend met de uitspraak van het Gerechtshof Amsterdam van 14 april 2026 in de zaak tussen X (Twitter) en een individu om inzage te mogen krijgen in de gegevens die het bedrijf van hem bijhoudt?1

Ja.

Vraag 2

Wat is uw reactie op deze uitspraak en de gevolgen die het heeft voor de interpretatie van artikel 15 van de Algemene Verordening Gegevensbescherming (AVG), zowel nationaal als in Europees verband?

De uitspraak is gedaan in een specifieke casus, waarin de rechter op basis van de feiten en omstandigheden van het geval tot een oordeel is gekomen. Van een nieuwe interpretatie van artikel 15 van de Algemene Verordening Gegevensbescherming (AVG) geeft de uitspraak geen blijk. Het is veeleer een toepassing van deze bepaling in de praktijk. De normen uit de AVG laten daar ook ruimte toe; zij staan een weging van belangen en een risicogebaseerde aanpak voor. Op dit moment zie ik in deze uitspraak dan ook geen aanleiding om te concluderen dat de interpretatie van artikel 15 van de AVG, zowel op nationaal als in Europees verband, hierdoor wezenlijk wijzigt.

Vraag 3

Bent u bereid om de Autoriteit Persoonsgegevens te vragen om een onafhankelijke analyse uit te voeren naar de gevolgen van de uitspraak voor de interpretatie, handhaving en uitoefening van het inzagerecht voor individuele gebruikers?

De Autoriteit Persoonsgegevens (AP) ziet als onafhankelijke toezichthouder toe op de naleving van de AVG en kan handhavend optreden wanneer sprake is van een overtreding van de regels die zijn neergelegd in de AVG. Daarnaast heeft de toezichthouder een belangrijke rol in voorlichting. Op dit moment biedt de AP via haar website duidelijke informatie en handvatten voor de uitoefening van het inzagerecht. Indien zij van mening is dat nieuwe ontwikkelingen aanleiding geven voor een nadere duiding of actualisatie van deze handvatten, ligt het in de rede dat de AP dit zelfstandig zal bezien. Ik zie alles bijeengenomen geen reden om de AP hierom te vragen.

Vraag 4

Bent u op de hoogte van meer (soortgelijke) rechtszaken die tegen grote techbedrijven als X (Twitter) lopen? Welke gevolgen heeft de uitspraak op deze lopende zaken?

Ik beschik niet over deze informatie.

Vraag 5

Hoe wordt er op toegezien dat X (Twitter) de uitspraak van de rechter naar behoren uitvoert en (nagenoeg) volledige inzage geeft in de persoonsgegevens van de gebruiker, gezien het feit dat deze partij eerder al weigerde dit te doen?

In civielrechtelijke zaken zoals deze is het aan partijen zelf om uitvoering te geven aan een rechterlijke uitspraak. De uitspraak in kwestie is uitvoerbaar bij voorraad, wat inhoudt dat aan de uitspraak direct gevolg moet worden gegeven. Indien een partij dit nalaat, staan voor de wederpartij onder andere civielrechtelijke middelen open om nakoming af te dwingen.

Vraag 6

Bent u op de hoogte dat X (Twitter) in deze zaak meermaals heeft geprobeerd om de andere partij een spreekverbod op te leggen? Erkent u dat deze handelingen vanuit een groot internationaal techbedrijf intimiderend is tegenover één individu?

Ik heb kennisgenomen van berichten in de media, waarin wordt gesteld dat X getracht zou hebben om de andere partij een spreekverbod op te leggen. Behalve wat hierover naar buiten is gebracht, beschik ik niet over informatie op basis waarvan ik objectief kan vaststellen wat er tussen partijen is voorgevallen. Ik wil daar dan ook geen uitspraken over doen.

Vraag 7

Biedt de richtlijn tegen Strategic Lawsuit Against Public Participation (anti-SLAPP-richtlijn) genoeg bescherming tegen individuen die een zaak aanspannen richting grote internationale techbedrijven zoals X (Twitter)? Welke aanvullende maatregelen kunt u nemen om individuen die procederen tegen dit soort bedrijven te beschermen?

De richtlijn betreffende bescherming van bij publieke participatie betrokken personen tegen kennelijk ongegronde vorderingen of misbruik van procesrecht («strategische rechtszaken tegen publieke participatie») bevat maatregelen die mensen en organisaties die actief zijn in het publieke debat, kunnen gebruiken om zich te verweren tegen juridische procedures die tégen hen worden aangespannen met het doel om hen het zwijgen op te leggen. Dergelijke rechtszaken staan ook wel bekend onder de Engelstalige afkorting SLAPP (Strategic Lawsuits Against Public Participation). Er is geen sprake van een SLAPP als een individu zelf een procedure aanspant tegen een groot internationaal techbedrijf. Als het bedrijf in reactie op de rechtszaak zelf procedures start tegen het individu of een tegenvordering indient, dan kan daar onder omstandigheden wel sprake van zijn. Het Nederlandse procesrecht voorziet in afdoende maatregelen om hiertegen op te komen. Ter uitvoering van de richtlijn moet enkel de door de richtlijn voorgeschreven maatregel van zekerheidstelling nog worden geïmplementeerd. Het betreffende wetsvoorstel is aanhangig bij Uw Kamer2.

Vraag 8

Bent u bekend met de afwijzing van een handhavingsverzoek van de betrokken individu bij de Autoriteit Consument & Markt (ACM), mede omdat er al een civiele zaak loopt?2 Kunt u er in samenwerking met de ACM op toezien dat handhavingsverzoeken en civiele zaken elkaar in het vervolg niet meer uitsluiten?

Bij de behandeling van handhavingsverzoeken past de ACM haar prioriteringsbeleid toe. Daarbij kijkt ACM naar de schadelijkheid van het gedrag waar het verzoek op is gericht, hoe groot het maatschappelijk belang is en in hoeverre ACM in staat is doeltreffend en doelmatig op te treden. In het kader van een beoordeling of de inzet van middelen efficiënt is, of de ingeschatte impact die optreden van ACM kan hebben, kan het reeds lopen van een civiele procedure een factor zijn die wordt meewegen om een verzoek al dan niet in behandeling te nemen. Als een civiele rechter het geschil al behandelt, kan de ACM concluderen dat haar inzet minder noodzakelijk is. De ACM heeft daarin een eigen verantwoordelijkheid waar zij onafhankelijk van politieke sturing invulling aan geeft. Het kabinet kan en gaat daar niet in treden.

Vraag 9

Welke gevolgen heeft het als X (Twitter) niet voldoet aan deze uitspraak? Kan het bedrijf worden gesanctioneerd of alsnog tot openheid gedwongen worden?

Voor dit antwoord verwijs ik naar het antwoord op vraag 5. Dit is iets tussen partijen; het kabinet heeft hierin geen rol.

Vraag 10

Zijn de huidige boetemogelijkheden voor het niet naleven van de AVG volgens u voldoende effectief? Bent u bereid te onderzoeken of er aanvullende handhavingsmogelijkheden, zoals het persoonlijk aansprakelijk maken van bestuurders zoals in andere EU-landen,3 wenselijk zijn voor bedrijven die stelselmatig de wet niet naleven?

Ik beschik niet over aanknopingspunten dat het bestaande instrumentarium tekort schiet. Artikel 82 AVG voorziet in een recht op schadevergoeding; de AVG sluit daarbij niet uit dat bestuurders persoonlijk aansprakelijk worden gesteld voor schade die is ontstaan door schendingen van de AVG. In Nederland biedt het burgerlijk recht hiervoor mogelijkheden. Verder bestaat de mogelijkheid dat ex artikel 83 AVG een persoonlijke boete aan een bestuurder of leidinggevende wordt opgelegd, wanneer in strijd met de AVG is gehandeld en dat handelen als functioneel daderschap aan een of meer personen kan worden toegerekend.

Vraag 11

Erkent u dat, na deze historische uitspraak, elke gebruiker het recht heeft om (nagenoeg) volledige inzage te verkrijgen in de gegevens die X (Twitter) over hem of haar bijhoudt? Voor welke andere (soorten) bedrijven zet deze uitspraak een precedent?

De uitspraak is een belangrijke invulling van het inzagerecht uit de AVG in de praktijk. Uit de uitspraak wordt duidelijk dat weigeringsgronden slechts onder uitzonderlijke omstandigheden met succes kunnen worden ingeroepen. Voor welke andere verwerkingen deze uitspraak in het bijzonder precedentwerking heeft, kan ik niet overzien. Zoals ook beschreven in mijn antwoord op vraag 2, heeft de uitspraak betrekking op een specifieke casus waarin de rechter op basis van concrete feiten, omstandigheden van het geval en een belangenafweging tot een oordeel is gekomen.

Vraag 12

Bent u het met de indieners eens dat de toegang tot het inzagerecht voor alle gebruikers toegankelijk moet zijn en uitgeoefend kan worden, ongeacht juridische kennis en middelen?

Ik onderschrijf deze stelling. Dat de uitoefening van het recht op inzage zo toegankelijk mogelijk moet zijn, is ook mijn opvatting. Dit geldt voor alle rechten die onder de AVG aan de burger toekomen. De AP geeft op haar website duidelijke informatie en handvatten ten aanzien van verzoeken om inzage. Daarnaast is op de website van de AP een voorbeeldbrief voor het doen van een verzoek tot het verwijderen persoonsgegevens te vinden.

Vraag 13

Hoe kan de rechtspositie van individuele gebruikers versterkt worden om zich met gemak te beroepen op het inzagerecht richting grote techbedrijven? Welke maatregelen kunt u hiertoe nemen?

In het Coalitieakkoord 2026–2030, «Aan de slag», is opgenomen dat het kabinet voornemens is te werken aan een herziening en vereenvoudiging van de AVG in Europees verband en in de toepassing van de huidige AVG in Nederland. Mijn ambtsvoorganger heeft daarnaast toegezegd om te gaan werken aan een brede revisie van de Nederlandse Uitvoeringswet AVG (UAVG)5. Hierbij zal ook aandacht zijn voor rechtsbescherming en de toegang daartoe.

Vraag 14

Bent u bereid om in Europees verband te pleiten voor een eensgezinde uitleg van het inzagerecht van de AVG conform de rechtelijke uitspraak, en de Nederlandse interpretatie te erkennen als norm binnen alle EU-lidstaten?

Zoals ook in mijn antwoord op vraag 2 beschreven, zie ik in deze uitspraak geen nieuwe interpretatie van het desbetreffende artikel, doch vooral een toepassing in de geest daarvan. Ik heb geen aanleiding om te concluderen dat de uitleg van artikel 15 van de AVG zowel op nationaal als in Europees verband, hierdoor wezenlijk anders moet komen luiden.

Vraag 15

Bent u het met de indieners eens dat grote techbedrijven zoals X (Twitter) zouden moeten meebetalen aan de handhaving van de wetgeving die zij overtreedt, zoals het geval is onder de Digital Services Act, maar nog niet het geval is onder de AVG?

De Digital Services Act (DSA) voorziet in artikel 43 in een jaarlijkse toezichtsvergoeding aan de Europese Commissie voor enkele aangewezen online platforms (very large online platforms, VLOP) en dat bovendien niet in alle, maar slechts in specifieke gevallen. Het betreft hier een andere systematiek dan onder de AVG, waar bedrijven niet betalen voor het toezicht of de handhaving op zichzelf, maar pas financiële gevolgen en boetes dragen als zij de regels overtreden. Ik zie geen reden voor een andere opzet onder de AVG.

Vraag 16

Hoeveel belastinggeld betaalt X (Twitter) momenteel in Nederland?

Gelet op de fiscale geheimhoudingsplicht die is neergelegd in artikel 67 van de Algemene wet inzake rijksbelastingen worden door de belastinginspecteur geen uitspraken gedaan over de fiscale positie van individuele belastingplichtigen.

Vraag 17

Kunt u deze vragen afzonderlijk van elkaar en zo snel mogelijk beantwoorden?

De vragen zijn afzonderlijk van elkaar en zo snel mogelijk beantwoord.

Vraag 1

Bent u bekend met het bericht: «Smart-tv's van LG bespioneren gebruikers via microfoon»?1

Vraag 2

Hoe reageert u op dit bericht en het onderliggende onderzoek van Gamers Nexus, Level1Techs en andere professionals?

Vraag 3

Deelt u de mening dat consumenten er redelijkerwijs van uit moeten kunnen gaan dat zij niet afgeluisterd worden door huishoudapparatuur?

Vraag 4

Welke wet- en regelgeving beschermt consumenten tegen dit soort spionage door smart-apparaten? Hoe wordt dit in Nederland gehandhaafd?

Vraag 5

Wat zijn de gevolgen voor consumenten als hun privégesprekken heimelijk worden afgeluisterd, opgeslagen en doorverkocht? Welke risico’s draagt dit met zich mee?

Vraag 6

Kunt u specifiek ingaan op de rechtmatigheid van de dataverzameling door LG, waarbij gesprekken woord voor woord worden opgeslagen, ook zonder internetverbinding, en worden doorgestuurd naar commerciële partijen?

Vraag 7

Wanneer is er sprake van expliciete toestemming voor dataverzameling door smart-apparaten zoals bedoeld onder de Algemene Verordening Gegevensbescherming?

Vraag 8

Deelt u de analyse dat consumenten te vaak bewust worden misleid door fabrikanten over de mate en wijze van dataverzameling door hun producten, waardoor geen sprake is van expliciete toestemming? Erkent u dat de fabrikanten hier een economisch belang bij hebben?

Vraag 9

Waren u en de relevante toezichthouders op de hoogte van het afluisteren door deze LG smart-tv’s in het bijzonder?

Vraag 10

Hoe worden apparaten gecontroleerd op afluistermogelijkheden voordat ze op de Nederlandse en Europese markt komen?

Vraag 11

Welke mechanismen heeft u, al dan niet de Europese Commissie, om producten die consumenten afluisteren van de markt te weren? Bent u bereid te onderzoeken of dat voor de LG smart-tv’s een optie is?

Vraag 12

Wat is het standpunt van het kabinet over de groeiende datahonger van bedrijven die producten maken die steeds meer met elkaar communiceren, gesprekken afluisteren, en privéinformatie doorverkopen aan derden?

Vraag 13

Wat bent u bereid te doen om deze trend te keren en de privacy van consumenten beter te beschermen?

Vraag 14

Kunt u deze vragen afzonderlijk en binnen de gestelde termijn beantwoorden?

Vraag 1

Hoe gaat u ervoor zorgen dat er landelijk zicht komt op burgerwachten die overgaan tot intimidatie, bedreiging, stalking, laster, bekladding of doxing?1

Vraag 2

Wat gaat u eraan doen dat er meerdere groepen door het land heen worden opgericht die overgaan tot bovengenoemde strafbare feiten om opvangbewoners, voorstanders van opvang en vrijwilligers in opvanglocaties te intimideren en online mensen oproepen om hieraan mee te doen?

Vraag 3

Hoe gaat u ervoor zorgen dat mensen bij opvanglocaties hun (vrijwilligers)werk kunnen blijven doen, veilig kunnen wonen en zich kunnen en durven uit te spreken voor een opvanglocatie?

Vraag 4

Hoe zorgt u ervoor dat mensen die geïntimideerd zijn in hun dorp door anti-azc groeperingen veilig genoeg zijn en zich veilig genoeg voelen om zich wel nog uit te spreken tijdens bijvoorbeeld inspraakavonden?

Vraag 5

Hoe zijn inspraakavonden nog een nuttig instrument als een groot deel van de bewoners niet meer durft te komen?

Vraag 6

Bent u bereid te monitoren hoe vaak er strafbare feiten worden gepleegd door dit soort burgerwachten zodat u beleid kunt opstellen om deze tegen te gaan?

Vraag 7

Bent u van mening dat het eenmalig voeren van een rechten- en plichtengesprek voldoende is om opvangbewoners op de hoogte te brengen van waar zij aangifte kunnen doen nu er op zoveel plekken in het land intimidatie, stalking en soms zelfs brandstichting plaatsvindt? Bent u bereid ervoor te zorgen dat opvangbewoners gericht geïnformeerd worden over wanneer er een strafbaar feit tegen hen wordt gepleegd gezien de huidige situatie? Zo nee, waarom niet?

Vraag 8

Worden opvangbewoners ook gewezen op meldmogelijkheden bij de Autoriteit Persoonsgegevens en de Autoriteit Consument & Markt, zodat zij zich kunnen beroepen op hun online- en privacyrechten?

Vraag 9

Kunt u afspraken maken met deze autoriteiten om de bestaande meldmogelijkheden toegankelijk te maken voor opvangbewoners?

Vraag 10

Bent u bereid om proactief gemeenten aan te bieden een gesprek te voeren wanneer er zulke groepen gevormd zijn om een gezamenlijke aanpak te formuleren? Zo nee, waarom niet?

Vraag 11

Wat vindt u van het feit dat raadsleden in Tholen niet naar buiten konden na de raadsvergadering dinsdagavond 1 september j.l. vanwege de veiligheid bij een anti-azc-demonstratie?

Vraag 12

Maakt u zich zorgen dat intimidatie van raadsleden en wethouders rondom azc-besluiten kan leiden tot schade aan de veiligheid van deze mensen en aan onze lokale democratie?

Vraag 13

Wat gaat u doen om dit soort escalaties in de toekomst te voorkomen en raadsleden en wethouders die een beslissing moeten maken over de komst van een azc te steunen – waartoe zij ook besluiten?

Vraag 14

Wat vindt u van het feit dat in de nacht van 10 augustus j.l. 28 asielzoekers in Surhuisterveen werden tegengehouden om naar de nachtopvang te gaan om te slapen?

Vraag 15

Zijn er meer van dit soort incidenten bij u bekend? Hoe vaak is dit voorgekomen?

Vraag 16

Hoe gaat u ervoor zorgen dat asielzoekers in het vervolg niet worden tegengehouden en geïntimideerd worden als zij onderweg zijn naar hun aangewezen slaapplek?

Vraag 17

Bent u bekend met de berichten over «Defend Den Bosch» en de intimidatie van Syrische jongeren op de Kermis in Den Bosch?

Vraag 18

Wat vindt u van het feit dat een groep die linken lijkt te hebben met rechts-extremisme jonge Syriërs lastigvalt op de kermis in Den Bosch en online berichten verspreidt die hiertoe oproepen? Hoe gaat u helpen optreden tegen dit soort groepen?

Vraag 19

Wordt er toezicht gehouden op de online oproepen die groeperingen zoals «Defend Den Bosch» online verspreiden om met groepen mensen jongeren te belagen op de kermis, of om bijvoorbeeld huizen te bekladden? Op welke manier wordt hiertegen opgetreden? Hoe wordt hierin samengewerkt met de lokale driehoek?

Vraag 20

Is bij u bekend of en hoe vaak er melding wordt gemaakt van online oproepen die leiden tot strafbare feiten door groeperingen als «Defend Den Bosch»? Heeft u indicaties dat hier tijdig en effectief tegen wordt opgetreden?

Vraag 21

Is bekend of «Defend Den Bosch» ook betrokken was bij de bekladdingen en intimidatie bij gemeente Engelen?

Vraag 22

Gaat u zich inzetten om de inspraak over de komst van een azc rustiger te laten verlopen zodat zowel voor- als tegenstanders zonder angst en intimidatie zich kunnen laten horen?

Vraag 23

Wat is uw reactie op de brandstichting bij het gebouw in Valkenswaard waar in de toekomst alleenstaande minderjarige vluchtelingen zouden worden opgevangen?

Vraag 24

Hoe gaat u ervoor zorgen dat deze intimidatie stopt en niet de reden mag zijn dat er al dan niet een azc komt?

Vraag 25

Kunt u nader ingaan op de rol van sociale media in het aanjagen van intimidatie van voor- en tegenstanders van een azc? In hoeveel gevallen zijn intimiderende acties aangesticht via online kanalen?

Vraag 26

Bent u van mening dat grote online platforms hier voldoende tegen optreden, gezien u in eerdere beantwoording beschrijft dat er tegen meerdere bedrijven al aanwijzingen zijn gepubliceerd dat zij wet- en regelgeving niet naleven?2

Vraag 27

Welke maatregelen kunt u nemen om intimidatie (aangejaagd) via sociale media tegen te gaan, bijvoorbeeld door bestaande wet- en regelgeving strenger te handhaven, met behoud van de vrijheid van meningsuiting?

Vraag 28

Kunt u deze vragen binnen de geldende termijn beantwoorden?

Vraag 1

Bent u bekend met het bericht «Pensioenfondsen betrokken bij verkoop van DigiD aan Amerikanen»?1

Vraag 2

Wat is uw reactie op het bericht en de investeringen van pensioenfondsen in het bedrijf Solvinity, dat DigiD faciliteert en dreigde te worden overgekocht door Amerikanen?

Vraag 3

Wat is de reactie van de pensioenfondsen ABP en PFZW op dit bericht? Kunt u de fondsen vragen om verantwoording af te leggen over deze investering namens de burgers die premie aan hen afdragen?

Vraag 4

Waren de pensioenfondsen ABP en PFZW op de hoogte dat hun geld belegd werd in Solvinity? Zo ja, kunt u verklaren waarom zij deze investeringen alsnog hebben gedaan?

Vraag 5

Vindt u het uit te leggen dat burgers via hun pensioenpremie indirect investeren in een bedrijf dat keuzes maakt die, in uw eigen woorden, indruisen tegen het publieke belang?

Vraag 6

Welke rol speelt digitale autonomie op dit moment in het strategisch beleggingsbeleid van de pensioenfondsen? Zijn er plannen om het strategisch beleggingsbeleid op dit onderwerp aan te passen?

Vraag 7

Welke toezichthouder zorgt ervoor dat pensioenfondsen conform hun kaders beleggen? Voldoet de investering in Solvinity aan dat kader?

Vraag 8

Bent u bereid om pensioenfondsen te verzoeken om beleggingen die afbreuk doen aan de digitale autonomie stop te zetten?

Vraag 9

Hoe gaat u ervoor zorgen dat pensioenfondsen hun kapitaal inzetten om de digitale autonomie van Nederland te versterken? Bent u bereid dit te bespreken met de fondsen en de Kamer dit najaar te informeren over de uitkomsten hiervan?

Vraag 10

Kunt u deze vragen afzonderlijk en nog vóór het commissiedebat «digitaliserende overheid en toezicht» van 30 september 2026 beantwoorden?

Vraag 1

Is het duidelijk voor alle relevante rijksorganisaties wat de gevolgen zijn van het herziene cloudbeleid? (Kamerstuk 26 643, nr. 1541) Kunt u aangeven of er organisaties zijn die bij voorbaat aangeven niet aan het herziene beleid te kunnen of zullen voldoen?

Vraag 2

Hebben rijksorganisaties voldoende beeld op hun eigen cloudgebruik om de herziene regels effectief na te leven? Op welke delen van het cloudlandschap van de overheid ontbreekt er nog overzicht?

Vraag 3

Welke rol krijgt de veelbelovende Nederlandse Digitale Dienst om zeker te stellen dat alle rijksorganisaties aan het herziene cloudbeleid kunnen en zullen voldoen? Bent u bereid de organisatie hiertoe de nodige capaciteit en instrumenten te geven?

Vraag 4

Kunt u een schematisch overzicht geven van maatregelen die ook overwogen zijn voor het herziene cloudbeleid, met een onderbouwing waarom deze uiteindelijk niet zijn opgenomen?

Vraag 5

Welke concrete doelen heeft het kabinet om digitaal onafhankelijk te worden? Wordt het doel vastgesteld op 30% digitaal onafhankelijk per 2029, zoals gevraagd in de motie-Thijssen/Bruyning (Kamerstuk 36 574, nr. 5) en de initiatiefnota Wolken aan de Horizon (Kamerstuk 36 574, nr. 2)?

Vraag 6

Hoeveel digitaal onafhankelijker wordt de Rijksoverheid door het herziene cloudbeleid in de komende jaren? Wordt het doel van 30% in 2029 gehaald?

Vraag 7

Kunt u heel concreet uitleggen welke rol u heeft, als coördinerend Staatssecretaris (EZK) en als Staatssecretaris verantwoordelijk voor uitvoeringsdiensten (BZK), om dit beleid te handhaven?

Vraag 8

Welke instrumenten heeft u om het herziene cloudbeleid daadwerkelijk uit te voeren? Met hoeveel zekerheid kunt u zeggen dat dit beleid zal leiden tot een digitaal onafhankelijke Rijksoverheid?

Vraag 9

Heeft u overwogen om het coördinatiebesluit, waarin de bevoegdheden van bewindspersonen zijn vastgelegd, uit te breiden zodat u dwingender kan optreden om het herziene cloudbeleid uit te voeren? Waarom heeft u dit niet gedaan, cf. de motie-Six Dijkstra (Kamerstuk 26 643, nr. 1294)?

Vraag 10

Waarom is er, ondanks de hoge ambities in het coalitieakkoord, geen budget beschikbaar gesteld voor de herziening van het cloudbeleid?

Vraag 11

Wat bedoelt u met de «scherpe keuzes» en «herprioritering» die nodig zijn omdat het kabinet geen middelen reserveert voor haar eigen digitale ambities?

Vraag 12

Met welke investeringen zou het herziene cloudbeleid sneller en effectiever toegepast kunnen worden? Hoe kan voorkomen worden dat door «scherpe keuzes» en «herprioritering» geen vaart wordt gemaakt met de nodige maatregelen om digitaal onafhankelijk te worden?

Vraag 13

Kunt u de overgangstermijn van vier jaar onderbouwen? In welke gevallen wordt hier van afgeweken? Hoe voorkomt u dat migraties van bestaand cloudgebruik allemaal vertraagd worden wegens «hoge kosten of risico’s»?

Vraag 14

Wat bedoelt u ermee dat het «afgeraden» wordt om e-mail- en documentbeheer in de publieke cloud te zetten? Betekent dit dat binnen vier jaar alle mailservers en documentbeheer daadwerkelijk uit de publieke cloud worden gehaald?

Vraag 15

Welke aanpassingen in het IT-inkoopbeleid zijn nodig om het herziene cloudbeleid verder te ondersteunen? Heeft u plannen om het inkoopbeleid aan te scherpen, en zo ja, welke?1

Vraag 16

Waarom wordt een generiek cloud-tenzij beleid enkel «afgeraden»? Waarom formuleert u dit niet dwingender?

Vraag 17

Hoe wordt er op toegezien dat rijksorganisaties binnen 12 maanden een exitplan opstellen voor bestaand cloudgebruik?2 Bent u van plan dit per organisatie te monitoren en met de Kamer te delen? Welke gevolgen zijn er als een organisatie niet op tijd een exitplan aanlevert?

Vraag 18

Worden organisaties verplicht om opvolging te geven aan de «aanwijzingen» van de Chief Information Security Officer (CISO) Rijk, als blijkt dat aangeleverde cloudplannen, de risicoanalyse en/of het exitplan niet in lijn zijn met het beleid?

Vraag 19

Waarom is er niet voor gekozen om de CISO Rijk of de Staatssecretaris belast met Digitale Zaken de bevoegdheid te geven om cloudplannen, de risicoanalyse en/of het exitplan als geheel af te wijzen, als deze niet voldoen aan het herziene cloudbeleid?

Vraag 20

Hoe verwacht u dat rijksorganisaties de «geopolitieke risico’s» van cloudgebruik in hun risicoanalyse in kaart brengen? Welke criteria worden hiervoor gebruikt?

Vraag 21

Hoe bent u van plan aan de Kamer te rapporteren over de opgestelde risicoanalyses en exitplannen van rijksorganisaties?

Vraag 22

Wat bedoelt u met het gegeven dat overheidsdocumenten en mailberichten «bij voorkeur» niet in de publieke cloud worden ondergebracht? Waarom bent u hier niet dwingender in, gezien de gevoeligheid van deze gegevens en de erkende risico’s van de publieke cloud?

Vraag 23

Kunt u concreet maken wanneer aan de drie uitzonderingsgronden is voldaan om tóch mailverkeer en documenten in de publieke cloud te mogen houden? Na hoeveel tijd wordt bezien of deze uitzonderingsgronden nog steeds gelden?

Vraag 24

Wat bedoelt u met het gegeven dat het sleutelbeheer van versleutelde vertrouwelijke gegevens «bij voorkeur» niet bij de cloudleverancier wordt neergelegd? Waarom belegt u het niet per definitie in eigen beheer?

Vraag 25

Onder welke voorwaarden is het volgens u acceptabel om bijzondere persoonsgegevens alsnog in de publieke cloud te verwerken? Hoe wordt vastgesteld dat de mitigerende maatregelen afdoende zijn?

Vraag 26

Wat bedoelt u ermee dat het rijksbrede cloudbeleid «waar mogelijk» toegepast zal worden bij uitgezonderde organisaties? Worden de uitgezonderde organisaties wel geacht om hun eigen cloudbeleid aan te scherpen?

Vraag 27

Kunt u «kleinschalige doelen» noemen waarvoor het rijksbrede cloudbeleid een uitzondering zou maken? Hoe en door wie wordt bepaald of iets wel of niet uitgezonderd wordt?

Vraag 28

Kunt u deze vragen afzonderlijk en vooraf aan het commissiedebat «Digitaliserende overheid en toezicht» van 30 september 2026 beantwoorden?

Vraag 1

Bent u bekend met het bericht «Europees Parlement stemt in controversiële spoedprocedure alsnog voor het checken van berichten op beelden van kindermisbruik»?1

Vraag 2

Wat vindt u van het verlengen van «chatcontrol 1.0»2 en de manier waarop dit via een spoedprocedure, mede onder druk van de Europese Commissie en grote techbedrijven, is geforceerd?

Vraag 3

Wat is de zienswijze van dit kabinet op deze vorm van chatcontrole? Volgt u nog steeds de beide aangenomen moties-Kathmann (Kamerstukken 32 317, nr. 891 & 32 317, nr. 981) die vragen om zich tegen chatcontrole te verzetten?

Vraag 4

Wat zijn de gevolgen van deze stemming voor de privacy van Nederlandse burgers, nu vrijwillige chatcontrol niet alleen opnieuw is ingevoerd, maar is uitgebreid ten opzichte van de vorige vrijstelling?

Vraag 5

Op welke manier mogen techbedrijven AI toepassen om berichtenverkeer tussen burgers te surveilleren? Kunt u duidelijk maken wat voor techniek hiervoor wordt toegepast door de relevante bedrijven?

Vraag 6

Hoe wordt voorkomen dat onschuldige burgers op basis van valse positieven verdacht worden gemaakt en worden gemeld bij de politie of Europol?

Vraag 7

Deelt u de zorgen van de indiener dat, zolang het scannen van online berichtenverkeer is toegestaan, er een reëel risico is dat deze techniek ook voor andere doeleinden zal worden gebruikt als gevolg van «mission creep»?

Vraag 8

Hoe staat het met de onderhandelingen voor de CSAM-verordening, waar een vorm van chatcontrole tot dusver altijd een onderdeel van is geweest? Wanneer verwacht u dat hierover een stemming zal plaatsvinden?

Vraag 9

Bent u bereid de Kamer een beslismoment voor te leggen als er een belangrijke (voor)stemming nadert met betrekking tot chatcontrole, zodat zij tijdig en goed geïnformeerd de kabinetsinzet kan sturen?

Vraag 10

Kunt u bevestigen dat Nederland zich ten alle tijden en onomwonden zal verzetten tegen voorstellen die het scannen van versleutelde berichten mogelijk maken, al dan niet via een omweg?

Vraag 11

Kunt u deze vragen afzonderlijk en zo spoedig mogelijk beantwoorden?

Vraag 1

Bent u bekend met de bevindingen van de Europese Commissie over het verslavende ontwerp van Instagram en Facebook1 en de berichtgeving hierover?2

Vraag 2

Wat is uw reactie op de bevindingen van de Europese Commissie? Deelt u de analyse dat Meta willens en wetens gebruikmaakt van verslavend ontwerp, ten koste van de privacy en gezondheid van haar miljarden gebruikers?

Vraag 3

Vindt u dat het onderzoek van de Europese Commissie snel genoeg is verlopen, aangezien al lang en breed bekend is dat Meta verslavend ontwerp toepast op Instagram en Facebook?

Vraag 4

Wat is er nodig om de Digital Services Act sneller, effectiever en harder in te kunnen zetten tegen techbedrijven die verslavend ontwerp toepassen? Wat is hiervoor de inzet van dit kabinet?

Vraag 5

Kunt u uitleggen wanneer Meta technische aanpassingen moet doorvoeren op Instagram en Facebook? Welke aanpassingen zijn dit?

Vraag 6

Hoe hoog is de boete die Meta riskeert? Vindt u de boete hoog genoeg om het bedrijf tot actie te dwingen?

Vraag 7

Wanneer moet Meta de aanpassingen doorvoeren? Is hier een harde deadline voor? Zo niet, bent u bereid hiervoor te pleiten bij de Europese Commissie?

Vraag 8

Vertrouwt u er op dat Meta de aanpassingen zal doorvoeren? Op welke manieren kunnen de Europese Commissie of afzonderlijke lidstaten de druk opvoeren om dit tijdig te doen?

Vraag 9

Hoe kunt u, samen met het Nederlandse veld van experts, burgerrechtenorganisaties en toezichthouders, bijdragen aan de stappen die de Europese Commissie zet tegen Meta?

Vraag 10

Kunt u de vragen afzonderlijk van elkaar beantwoorden?

Vraag 1

Bent u bekend met de burgerwachten die zijn opgezet in verschillende gemeenten in navolging van de protesten over de komst van noodopvang voor asielzoekers of statushouders, zoals bijvoorbeeld wordt beschreven in het artikel «Nagestaard, gefotografeerd en gewantrouwd»?1

Vraag 2

In hoeveel gemeenten zijn er inmiddels soortgelijke burgerwachten opgericht?

Vraag 3

Wanneer gaat dit gedrag van intimidatie over in bedreiging, stalking, laster of doxing en gaat het dus over strafbare feiten?

Vraag 4

Is er al aangifte gedaan van dergelijke strafbare feiten door dit soort burgerwachten door vrijwilligers, buurtbewoners of opvangbewoners?

Vraag 5

Bent u van mening dat opvangbewoners weten wanneer er sprake is van strafbare feiten? Zo nee, hoe gaat u ervoor zorgen dat zij weten wanneer er strafbare feiten tegen hen worden gepleegd? Zo ja, waarom denkt u dat?

Vraag 6

Bent u van mening dat opvangbewoners de weg naar de politie kennen wanneer er sprake is van strafbare feiten? Zo nee, hoe gaat u ervoor zorgen dat zij weten dat zij en waar zij aangifte kunnen doen van strafbare feiten?

Vraag 7

Bent u bekend met het incidentenbericht in Apeldoorn waarin werd gewaarschuwd voor een man die bij een basisschool stond en onterecht in verband werd gebracht met een noodopvanglocatie, die uiteindelijk een ouder bleek te zijn die zijn kind van school kwam halen?

Vraag 8

Was hier mogelijk sprake van een strafbaar feit?

Vraag 9

Wat vindt u ervan dat er op deze manier op mensen wordt «gejaagd»?

Vraag 10

Zijn gemeenten voldoende op de hoogte wanneer zij kunnen ingrijpen en zijn zij voldoende in staat dit te toen?

Vraag 11

Hebben er gesprekken plaatsgevonden tussen uw ministerie en de gemeenten waar dit voorkomt om hen te ondersteunen? Zo nee, waarom niet? Zo ja, wat kwam er uit deze gesprekken?

Vraag 12

Bent u op de hoogte van het feit dat ook vrijwilligers van asielzoekerscentra in sommige gemeenten geïntimideerd worden en zich niet veilig voelen om naar een opvanglocatie te gaan om te helpen? Hoe bent u van plan hen veilig te houden?

Vraag 13

Wat is volgens u de rol van sociale media wanneer foutieve berichten over vermeende opvangbewoners online worden verspreid?

Vraag 14

Vindt u dat sociale media ervoor zouden moeten zorgen dat foutieve lasterberichten over mensen gefilterd moeten worden?

Vraag 15

Hoe zorgt u ervoor dat sociale media hier hun verantwoordelijkheid nemen?

Vraag 1

Bent u bekend met het bericht «Gedoodverfd opvolger van DigiD is niet te gebruiken zonder Gmail-account of Apple-ID»?1

Ja.

Vraag 2

Deelt u de mening dat apps en oplossingen die ontwikkeld worden door de Rijksoverheid altijd zo toegankelijk mogelijk zouden moeten zijn voor elke Nederlander? Zo ja, hoe beoordeelt u dan de keuze tot verplichting van een Google-account of Apple-ID voor het gebruik van NL Wallet?

Ja, ik deel die mening.
Er is geen keuze gemaakt tot de verplichting van een Google-account of Apple-ID voor het gebruik van de NL Wallet en dit is ook niet ons streven.
De publieke wallet wordt stapsgewijs ontwikkeld en dat gebeurt transparant. Dagelijks worden nieuwe wijzigingen aan de broncode aangebracht en gepubliceerd zodat iedereen die dat wil de ontwikkeling kan volgen. In de huidige versie zijn beveiligingsmaatregelen opgenomen om gebruikers te beschermen tegen malafide apps, waarmee hun persoonsgegevens worden beschermd en identiteitsfraude wordt bestreden. Voor de grootste gebruikersgroepen (mensen met een Google-account of Apple-ID) zijn deze maatregelen nu gerealiseerd. Voor andere gebruikersgroepen zijn andere maatregelen nodig. Die maatregelen zullen worden onderzocht en, indien dat veilig kan, worden geïmplementeerd voordat de publieke wallet beschikbaar komt voor gebruikers.

Vraag 3

Deelt u de mening dat ook mensen die geen gebruik maken van telefoons met Google of van telefoons met Apple-ID in staat zouden moeten zijn om gebruik te maken van NL Wallet? Zijn deze mogelijkheden bij de ontwikkeling van NL Wallet verkend? Zo ja, waarom is dan gekozen om alsnog voor deze technische voorwaarden te gaan voor NL Wallet? Zo nee, waarom niet?

Ja ik deel die mening.
De beveiligingsmaatregelen die gebruikers zonder Google-account of Apple-ID in staat stellen om ook gebruik te maken van de publieke wallet worden nog verkend. Hiervoor wordt ook van gedachten gewisseld met experts van andere lidstaten. Als deze opties veilig zijn, zullen die worden geïmplementeerd voordat de wallet live gaat.

Vraag 4

Deelt u de mening dat in het kader van toegankelijkheid ook mensen die geen gebruik willen of kunnen maken van een smartphone de app NL Wallet zouden moeten kunnen gebruiken? Zo nee, waarom niet?

Mensen die geen gebruik willen maken van de NL wallet, hoeven dat ook niet. De vrijwilligheid is wettelijk geborgd in de verordening. Met het oog op de toegankelijkheid van de NL Wallet betrekken wij gebruikers bij de ontwikkeling, bijvoorbeeld mensen met een beperking. Verder zullen we verkennen hoe we de toegankelijkheid van de NL wallet kunnen vergroten, ook voor mensen die geen smartphone willen of kunnen gebruiken.

Vraag 5

Kunt u uitleggen waarom DigiD wel te gebruiken is voor mensen zonder iOS-telefoon of Google-account of zonder smartphone? Waarin verschilt DigiD van NL Wallet waardoor dit voor NL Wallet niet mogelijk zou zijn?

De werking van inlogmiddelen als DigiD verschilt van die van EDI wallets als de NL Wallet, wat andere beveiligingsrisico’s met zich meebrengt en zodoende om andere maatregelen vraagt. Zoals aangegeven bij antwoord 2 is de NL Wallet nog in ontwikkeling en streven we ernaar om deze ook beschikbaar te maken voor mensen zonder Apple-ID of Google-account. Met DigiD kun je bij bepaalde overheidsdiensten inloggen zonder smartphone, met de SMS-check. Bij diensten die een hoger betrouwbaarheidsniveau vereisen heb je een smartphone met DigiD app nodig. BZK onderzoekt de mogelijkheid om een DigiD ook op hogere betrouwbaarheidsniveaus zonder smartphone beschikbaar te stellen. EDI-wallets, zoals de NL Wallet, moeten worden uitgegeven op het hoogste betrouwbaarheidsniveau. We bekijken of we de ontwikkelingen bij DigiD kunnen benutten voor EDI-wallets, inclusief de NL Wallet.

Vraag 6

Hoe complex is het om de NL Wallet zo om te bouwen dat het hebben van een Apple Account of Google Account niet voorwaardelijk is?

Zoals gezegd moeten deze maatregelen nog worden onderzocht. Daaruit zal ook blijken hoe complex dit is.

Vraag 7

Kunt u garanderen dat NL Wallet niet de rol van DigiD in de toekomst zal overnemen, zo lang voor het gebruik van NL Wallet een Apple-ID of Google-account voorwaardelijk is? Zo ja, hoe? Zo nee, waarom niet?

DigiD blijft bestaan zoals reeds eerder aan de Kamer is toegezegd2. Het gebruik van de NL-wallet is vrijwillig, zoals ik heb aangegeven in de beantwoording van vraag 4.

Vraag 8

Kunt u garanderen dat organisaties die op dit moment DigiD ondersteunen en die NL Wallet willen ondersteunen, in de toekomst DigiD ook blijven ondersteunen naast NL Wallet? Zo nee, deelt u de mening dat dat betekent dat Nederlanders tot het gebruik van een Google-account of Apple-ID worden gedwongen?

Ja, de acceptatieverplichtingen voor DigiD blijven bestaan naast de acceptatieverplichtingen voor EDI-wallets.
Zoals gezegd is er nog geen keuze gemaakt om een Google-account of Apple-ID te verplichten voor de NL Wallet en is dit ook niet ons streven.

Vraag 9

Kunnen gebruikers van NL Wallet van wie het Google-account of de Apple-ID om wat voor reden dan ook door Google of Apple wordt geblokkeerd gebruik blijven maken van NL Wallet? Zo nee, kunt u dan garanderen dat Nederlanders die gebruik maken van NL Wallet niet in de problemen komen? Zo ja, kunt u aangeven waarom dit acceptabel is?

De NL Wallet kan niet voorkomen dat gebruikers worden geblokkeerd door de aanbieder van hun smartphone, besturingssysteem of andere de software die daarop draait. Om die reden hecht ik er waarde aan om te zorgen dat de NL Wallet niet van een kleine groep aanbieders afhankelijk is en onderzoek ik mogelijkheden om ook een veilige oplossing te bieden aan burgers zonder Google-account of Apple-ID.

Vraag 10

Hoe kijkt u vanuit het oogpunt van digitale soevereiniteit naar de keuze om een Google-account of Apple-ID voor een NL Wallet voorwaardelijk te maken?

Zoals gezegd is er geen keuze gemaakt om het Apple-ID of Google-account voorwaardelijk te maken en is dit ook niet ons streven.

Vraag 11

Hoe bent u van plan om in het vervolg, bij ontwikkeling van apps door de overheid, het gemak van de ontwikkeling af te wegen tegen digitale soevereiniteit en toegankelijkheid?

Bij de ontwikkeling van apps worden meerdere factoren meegewogen. De borging van publieke waarden waaronder veiligheid, privacy, inclusie en soevereiniteit staat centraal. Gemak van de ontwikkeling speelt hierin geen rol.

Vraag 12

Kunt u deze vragen afzonderlijk van elkaar en binnen de gestelde termijn beantwoorden?

Ja, de vragen worden afzonderlijk van elkaar beantwoord. Ik heb uw Kamer met een uitstelbrief laten weten dat beantwoording langer ging duren.

Vraag 1

Bent u bekend met het bericht «AI-pornovideo’s met downsyndroom op Instagram, X en Telegram»?1

Vraag 2

Hoe reageert u op dit bericht?

Vraag 3

Kunt u meer vertellen over de aard en de omvang van de AI-beelden die zijn gemaakt en verspreid van jonge vrouwen?

Vraag 4

Waar kunnen slachtoffers van de gemaakte AI-beelden terecht voor mentale of juridische ondersteuning? Hoe worden zij gewezen op deze mogelijkheden?

Vraag 5

Hoe wordt bij het informeren van de slachtoffers rekening gehouden met (digitale) toegankelijkheid zodat melden en hulp zoeken altijd laagdrempelig is?

Vraag 6

Kunt u uitleggen hoe het Europese verbod op uitkleed-apps deze vorm van deepfakes bestrijdt of voorkomt? Hoe gaat het verbod er praktisch uitzien en hoe wordt het gehandhaafd?2

Vraag 7

Waarom hebben Meta en X pas na vragen van De Telegraaf de AI-beelden verwijderd? Wat kunt u doen om deze beelden zo snel mogelijk verwijderd te krijgen?

Vraag 8

Is er sprake van een gecoördineerd netwerk dat AI-beelden maakt van jonge vrouwen en ze afbeeldt met amputaties, letsel, of een zichtbare beperking?

Vraag 9

Vindt u het voldoende dat Meta en X hun eigen onderzoek voeren naar wie deze AI-beelden maken en verspreiden? Weet u meer over de omvang en de aard van deze onderzoeken?

Vraag 10

Kunt u ook onafhankelijk onderzoek laten uitvoeren, waarbij wetenschappers toegang krijgen tot de algoritmes van deze techbedrijven om te controleren hoe deze AI-beelden zich verspreiden?

Vraag 11

Welke instanties hebben de taak om toe te zien dat beelden van willekeurige mensen niet worden gebruikt om AI-beelden te maken van verminking en seksueel geweld? Kunt u uiteenzetten hoe deze instanties daartegen optreden?

Vraag 12

Kunt u deze vragen afzonderlijk van elkaar en vóór het commissiedebat over digitale inclusie van 24 juni 2026 beantwoorden?

Vraag 1

Kunt u nader toelichten waarom er geen middelen zijn gevonden om het luchtalarm als middel in crisissituaties te behouden, zoals aangekondigd in uw brief van 18 mei 2026?1

Op 9 juni 2026 is er een brief gestuurd over de inrichting van een nieuwe civiel militaire waarschuwingsketen.2 In deze brief heb ik uw Kamer, mede namens de Minister van Defensie, geïnformeerd dat wij een nieuwe civiel-militaire waarschuwingsketen gaan realiseren. Onderdeel hiervan is een nieuw innovatief sirenenetwerk, in aanvulling op NL-Alert. Een nadere toelichting staat in deze brief.

Vraag 2

Hoeveel geld zou het structureel kosten om het luchtalarm na 1 januari 2028 alsnog te behouden?

Zie antwoord vraag 1.

Vraag 3

Ziet u mogelijkheden om het luchtalarm in de toekomst te dekken met de aanvullende Defensiemiddelen in het kader van de nationale weerbaarheid?

Zie antwoord vraag 1.

Vraag 4

Deelt u de analyse dat het afsluiten van het luchtalarm onwenselijk is, gezien het belang van redundantie in de crisiscommunicatie? Is het niet in elke situatie beter als het luchtalarm en NL-Alert (of alternatieven) naast elkaar bestaan?

Zie antwoord vraag 1.

Vraag 5

Hoe kijkt u naar het gegeven dat het horen van het luchtalarm en het ontvangen van een NL-Alert een andere lading heeft voor de toehoorder? Waarop baseert u dat het luchtalarm en NL-Alert dezelfde staat van paraatheid teweegbrengt bij burgers?

Zie antwoord vraag 1.

Vraag 6

Erkent u dat, in een heftige ramp of crisis, ook sprake kan zijn van sabotage van mobiele netwerken? Waarop baseert u dat NL-Alert in dergelijke situaties altijd bruikbaar zal zijn?

NL-Alert is afhankelijk van de openbare mobiele netwerken. Uit onderzoek is gebleken dat NL-Alert volstaat als alerteringsmiddel in vredestijd. NL-Alert is robuust en er wordt gewerkt om aan het hoogste niveau van informatiebeveiliging te voldoen, maar geen systeem is onfeilbaar. Bij een scenario van ernstige hybride en militaire dreigingen, waarbij een statelijke actor zeer zware en geavanceerde middelen kan inzetten om infrastructuur (waaronder de mobiele netwerken) te ontwrichten, is het kwetsbaar om enkel over NL-Alert te beschikken. Vanwege het ontbreken van een civiel-militaire waarschuwingsketen (van detectie tot en met alertering van de bevolking) bij luchtdreigingen, is in 2025 een verkenning gestart naar wat er nodig is voor de inrichting van een robuuste en redundante civiel-militaire waarschuwingsketen. Hierbij is in beeld gebracht welke aanvullende mogelijkheden en middelen, naast NL-Alert, geschikt zijn om burgers te kunnen alerteren in dit specifieke scenario. Hieruit is een advies naar voren gekomen om deze civiel-militaire waarschuwingsketen robuust en redundant in te richten. Voor het inrichten van een robuust en redundante waarschuwingsketen is het nodig een tweede alerteringsmiddel naast NL-Alert te hebben. Dit tweede middel dient complementair te zijn aan NL-Alert, en op een andere infrastructuur te draaien. Een nieuw innovatief sirenenetwerk geeft het beste antwoord op de vraag.

Vraag 7

Is het bereik van NL-Alert, met een stabiele dekking van 92%, voldoende om in een crisissituatie iedereen te bereiken? Hoe verwacht u dit bereik te vergroten?

Het primaire alerteringsmiddel bij rampen en crises in Nederland is al enige jaren NL-Alert. NL-Alert kent via de verschillende distributiekanalen al jaren een stabiel bereik van circa 92% van de bevolking. Naast alarmering biedt NL-Alert ook informatie over een crisis, handelingsperspectief en doorverwijzingen naar aanvullende informatiebronnen. Naast verspreiding van NL-Alerts via de mobiele telefoons worden NL-Alerts ook via andere kanalen verspreid om zoveel mogelijk mensen te bereiken. Zo is NL-Alert te zien op digitale reclameschermen en digitale reisinformatieschermen van trein, bus, tram en metro en via schermen in publieke ruimten zoals huisartsenpraktijken en ziekenhuizen.
Er wordt continu gewerkt om het bereik van NL-Alert verder te vergroten. Onder andere via publiekscampagnes van NL-Alert, maar ook via eventuele technische en functionele aanpassingen van NL-Alert en de distributiekanalen zoals de NL-Alert app. Ook is de publiekscampagne van NL-Alert erop gericht dat bij ontvangst van een NL-Alert, men ook anderen hierover informeert. De NL-Alert app is mede ontwikkeld voor mensen die aan de grens wonen en soms verbonden zijn met buitenlandse zendmasten en hierdoor niet altijd NL-Alerts ontvangen en voor mensen voor wie een NL-Alert niet altijd duidelijk is. Voor mensen met een auditieve of visuele beperking kent de NL-Alert app toegankelijkheidsfuncties om het bericht te ontvangen en beter te kunnen begrijpen. De NL-Alert app wordt verder ontwikkeld en verbeterd waarbij specifiek rekening wordt gehouden met mensen met een auditieve of visuele beperking. Zo wordt momenteel samen met de belangengroepen gewerkt aan het verbeteren van toegankelijkheid van NL-Alert voor de dovengemeenschap door NL-Alert in de Nederlandse Gebarentaal toe te voegen aan de app.

Vraag 8

Kunt u onderbouwen dat een alternatief systeem als NL-Alert, waar mensen een telefoon voor nodig hebben, goed digitaal toegankelijk is?

NL-Alert maakt gebruik van cell broadcast techniek waardoor tekstberichten direct naar mobiele telefoons worden doorgestuurd, ook bij overbelasting van het openbare telecommunicatienetwerk. Mensen hoeven zelf niets te doen om een bericht te kunnen ontvangen. Een NL-Alert bericht wordt in zo makkelijk mogelijke taal geschreven (B1-niveau). Daarnaast zijn er andere distributiekanalen waarlangs een bericht ontvangen kan worden (zie de beantwoording bij vraag 7). Ook is de publiekscampagne van NL-Alert erop gericht dat bij ontvangst van een NL-Alert, men ook anderen hierover informeert.
Daarnaast wordt NL-Alert continu doorontwikkeld en verbeterd. Zo wordt er gewerkt aan de informatiebeveiliging, maar ook aan de toegankelijkheid, waarbij specifiek rekening wordt gehouden met mensen met een auditieve of visuele beperking.

Vraag 9

Bent u bekend met Project Särimner, een Zweedse infrastructuur waarin «datanodes» worden gebouwd die in het geval van sabotage of verstoring onafhankelijk van elkaar crisisinformatie kunnen uitwisselen?2

Ja, ik ben op hoofdlijnen bekend met dit project.

Vraag 10

Bent u bereid om een oplossing zoals Project Särimner nader te onderzoeken als aanvulling op de nationale crisisinfrastructuur?

Op dit moment wordt daar in relatie tot het WAS niet naar gekeken omdat er vanuit mijn ministerie al een verkenning is gedaan wat er nodig is om een robuuste en redundante civiel-militaire waarschuwingsketen in te richten. Hieruit is het
advies voortgekomen om een nieuw sirenenetwerk in te richten naast NL-Alert.

Vraag 11

Kunt u deze vragen afzonderlijk van elkaar en nog vóór het commissiedebat over nationale veiligheid, weerbaarheid, brandweer en crisisbeheersing van 10 juni 2026 beantwoorden?

Het is helaas niet gelukt om deze beantwoording voor het commissiedebat nationale veiligheid, weerbaarheid, brandweer en crisisbeheersing te beantwoorden.

Vraag 1

Bent u bekend met de berichten «Meta blokkeert opnieuw tientallen queer accounts op Instagram» en «Meta heft de blokkade van queer-Instagramaccounts deels op, maar de angst voor herhaling blijft: «Het duwt je terug de kast in»»?1, 2

Ja, daar zijn we mee bekend.

Vraag 2

Vindt u het acceptabel dat Meta wederom eenzijdig de accounts van tientallen queerorganisaties en queer personen heeft geblokkeerd of zelfs permanent heeft verwijderd?

De online publieke ruimte moet veilig, toegankelijk en inclusief zijn. Het is onacceptabel als de toegang tot de online publieke ruimte, waar het maatschappelijk debat en commercie plaatsvindt, ongelijk zou zijn op grond van identiteitskenmerken. Discriminatie is in strijd met wet- en regelgeving.

Vraag 3

Heeft u sinds de beantwoording op de vragen van de leden Dassen en Kathmann over een soortgelijke situatie in december 2025, meer informatie gekregen over de moderatiekeuzes door Meta?3

Nee, over de moderatiekeuzes van Meta en soortgelijke situaties hebben wij niet meer informatie gekregen sinds december 2025.

Vraag 4

Bent u sinds de beantwoording op de bovengenoemde vragen nog verder in contact geweest met Meta over het eenzijdig blokkeren van queer accounts? Zo ja, wat was uw inzet bij deze gesprekken?

Ja, de Staatssecretaris van Digitale Economie en Soevereiniteit heeft deze signalen in een recent gesprek met Meta aan de orde gebracht. Daarbij is het belang van een sociaal veilige omgeving voor iedereen benadrukt. Er is ook op ambtelijk niveau contact geweest met Meta om meer informatie te ontvangen.

Vraag 5

Herkent u de signalen van de getroffen accounts dat het vaak niet lukt om in contact te komen met een echt persoon bij Meta om bezwaar te kunnen maken? Wat kan u hiertegen doen?

De signalen van de getroffen accounts dat het niet altijd lukt om in contact te komen met een echt persoon bij Meta zijn bij ons bekend. Op grond van artikel 12 van de digitaledienstenverordening (Digital Services Act, «DSA») is Meta er echter toe verplicht om afnemers van de dienst de mogelijkheid te bieden om rechtstreekse en efficiënte communicatiemiddelen te kiezen die niet uitsluitend op geautomatiseerde instrumenten berusten. Ook moet zij op grond van artikel 20 DSA een gemakkelijk toegankelijk en gebruikersvriendelijk klachtenafhandelingssysteem hebben. Hierin moeten gebruikers voldoende nauwkeurige en naar behoren gemotiveerde klachten in kunnen dienen. Besluiten over die klachten moeten worden genomen onder toezicht van gekwalificeerd personeel en niet alleen op basis van geautomatiseerde middelen. Niet-naleving van deze verplichting kan resulteren in handhavend optreden door de bevoegde toezichthouder. In oktober 2025 heeft de Commissie voorlopige bevindingen gepubliceerd in het onderzoek naar Meta. Daarin concludeert zij dat Meta de DSA overtreedt, onder meer door gebruikers niet voldoende in staat te stellen om inhoudsmoderatiebeslissingen aan te vechten. Meta wordt nu in staat gesteld hierop te reageren, waarna de Commissie een definitief oordeel velt.4

Vraag 6

Zijn er signalen dat online accounts worden getroffen door gecoördineerde massameldingen van gebruikers of groepen die het oneens zijn met de inhoud van de accounts? Wat doet Meta om zulke gecoördineerde massameldingen tegen te gaan, met name als deze zich richten tegen minderheidsgroepen?

Nee, informatie over eventuele gecoördineerde massameldingen is bij ons niet bekend. Platforms, waaronder Meta, zijn zelf het best in staat om uit te leggen wat zij doen om dergelijke activiteiten tegen te gaan.

Vraag 7

Kunt u ingaan op de onevenredig grote gevolgen die zulke blokkades hebben voor queerorganisaties en personen die voor hun zichtbaarheid en bereik afhankelijk zijn van grote online platforms?

Wanneer accounts van personen en organisaties op zeer grote online platforms worden geschorst of verwijderd, kan dit aanzienlijke gevolgen hebben voor hun zichtbaarheid, community-opbouw en hun inkomsten. Het zonder geldige reden blokkeren van lhbtiq+ personen en lhbtiq+-organisaties kan ervoor zorgen dat deze organisaties en personen, uit angst voor repercussies, niet meer het gevoel hebben dat ze zich vrij kunnen uiten en deel kunnen nemen aan het publieke debat. Dat druist in tegen het recht op vrijheid van meningsuiting. Dit is niet alleen pijnlijk en schadelijk voor de getroffenen, maar ook voor de gemeenschappen waartoe zij behoren of voor wie zij opkomen. De effecten beperken zich niet slechts tot de getroffenen, maar iedereen die zich met die persoon of organisatie identificeert. En daarmee treft het onze hele vrije democratische samenleving.

Vraag 8

Hoe ziet u het blokkeren van queer accounts in het licht van artikel 35 van de Digital Services Act (DSA) die stelt dat platforms structurele risico’s op haat en discriminatie moet bestrijden?

Op grond van artikel 34 en 35 van de DSA moeten aangewezen zeer grote online platforms, waaronder Instagram en Facebook, de zogenaamde systeemrisico’s die voortvloeien uit het ontwerp of uit de werking van hun dienst en de daaraan verbonden systemen, identificeren en beperken. Tot deze risico’s behoren ook eventuele werkelijke of voorzienbare negatieve effecten op de uitoefening van de grondrechten. Voorbeelden hiervan zijn het recht op non-discriminatie, negatieve effecten met betrekking tot gendergerelateerd geweld en negatieve gevolgen voor het lichamelijke en geestelijke welzijn. Als zeer grote online platforms structureel lhbtiq+-accounts blokkeren of anders behandelen, voldoen zij niet aan deze verplichting. In dat geval kan de Europese Commissie, als primaire toezichthouder van de DSA ten aanzien van zeer grote online platforms, handhavend optreden.

Vraag 9

Vindt u dat Meta een verantwoordelijkheid heeft om een veilige en vrije omgeving te bieden voor queer content? Hoe spant u zich vanuit het perspectief van emancipatie in om dit te waarborgen?

Ja, iedereen heeft een verantwoordelijkheid voor het creëren van een sociaal veilige omgeving voor iedereen. Dat geldt zeker voor grote socialemediaplatforms zoals Meta, maar ook voor bedrijven, maatschappelijke organisaties, burgers en de overheid zelf. Dit uitgangspunt heeft de Staatssecretaris van Digitale Economie en Soevereiniteit recentelijk aan de orde gebracht in een gesprek met Meta. Het uitgangspunt staat ook centraal in ons interdepartementaal Plan van aanpak tegen online discriminatie.5 Binnen dit plan werken we nauw samen met de Ministeries van Justitie en Veiligheid en Sociale Zaken en Werkgelegenheid.
In het plan is aandacht voor de veiligheid van lhbtiq+ personen evenals in de Versterkte aanpak lhbtiq+-veiligheid.6 Een van de doelstellingen uit de Versterkte aanpak is dat verschillende organisaties op dit thema elkaar versterken.
We zullen de Kamer informeren over de voortgang van beide plannen voor het einde van 2026. Ook kan de Kamer in september de Emancipatienota van dit kabinet verwachten, met daarin de inzet van het kabinet voor het bevorderen van gelijkwaardigheid voor iedereen.
Aanvullend gaan we naar aanleiding van deze berichtgeving samen verkennen of, en zo ja, welke aanvullende maatregelen mogelijk zijn om de positie van lhbtiq+ personen online te versterken.

Vraag 10

Bent u bereid om te onderzoeken of de aanname klopt dat minderheidsgroepen onevenredig vaak en hard worden geraakt door de niet-transparante moderatie van Meta?

Het is aan de bevoegde toezichthouder om na te gaan of (zeer grote online) platforms zich houden aan de DSA. Relevant in dit verband is ook dat de DSA voorziet in een mechanisme voor erkende onderzoekers om toegang te krijgen tot gegevens van zeer grote online platforms voor onderzoek dat bijdraagt aan het analyseren van systeemrisico’s en de doeltreffendheid van risicobeperkende maatregelen daartegen.

Vraag 11

Bent u bereid zich in te zetten om de geblokkeerde of verwijderde accounts Nederlandse personen en organisaties te herstellen? Welke mogelijkheden heeft u hiertoe?

Op het moment van beantwoording van deze vragen is een aantal geblokkeerde en/of verwijderde accounts van Nederlandse personen en organisaties hersteld. Niet alle problemen zijn echter verholpen. Het is niet een taak van de overheid om in individuele geschillen te treden. Inmiddels is bekend geworden dat een aantal organisaties Meta heeft gesommeerd om aan de verplichtingen op grond van de DSA te voldoen.7 Het kabinet staat voor strikte naleving van de DSA en (bestuursrechtelijke en civielrechtelijke) handhaving daarvan. Daarnaast zet het kabinet, vanuit het plan van aanpak tegen online discriminatie, in op het makkelijker maken voor gebruikers om hun rechten ten opzichte van de platforms uit te oefenen.

Vraag 12

Is het blokkeren van accounts, zonder waarschuwing of motivering, in strijd met de DSA?

Ja. Op grond van artikel 17 van de DSA moeten hostingdiensten, waaronder online platforms, een duidelijke en specifieke motivering geven wanneer zij bepaalde beperkingen opleggen aan afnemer van de dienst. Hieronder valt ook het beperken van de zichtbaarheid van door de afnemer verstrekte informatie of gehele of gedeeltelijke schorsing of beëindiging van diens account. Ook moeten zij de gebruiker in staat stellen gratis en elektronisch een klacht in te dienen tegen dat besluit. Afnemers kunnen op grond van de DSA geschillen met een online platform over inhoudsmoderatie voorleggen aan gecertificeerde buitengerechtelijke geschillenbeslechtingsorganen. Dit kan onverminderd hun recht om hetzelfde geschil aan de rechter voor te leggen.8 Wanneer online platforms zich niet aan deze verplichtingen houden, dan is sprake van een overtreding van de DSA en kan de bevoegde toezichthouder daartegen optreden.

Vraag 13

Welke gevolgen zijn er voor grote online platforms die zich herhaaldelijk niet aan de DSA houden? Wat hebben toezichthouders nodig om harder en sneller op te kunnen treden?

Wanneer zeer grote online platforms zich (herhaaldelijk) niet aan de DSA houden, kan de Europese Commissie handhavend optreden. De DSA geeft de Europese Commissie verschillende bevoegdheden, zoals het vaststellen van een niet-nalevingsbesluit en het opleggen van een boete ter hoogte van 6% van de wereldwijde omzet. De eerste boete onder de DSA is eerder dit jaar uitgedeeld aan X. Er lopen diverse andere onderzoeken en procedures tegen andere online platforms, waaronder Facebook en Instagram. De Europese Commissie heeft vooralsnog niet aangegeven dat zij meer of andere bevoegdheden, instrumenten of andere middelen nodig heeft.

Vraag 14

Bent u het ermee eens dat grote online platforms, die dusdanig veel invloed hebben op het publieke debat en het bereik van organisaties, volledige openheid moeten geven over hun moderatiecriteria en werkwijze? Voorziet de DSA voldoende in deze transparantieverplichting volgens u?

Ja. De DSA voorziet in een dergelijke verplichting. Op grond van artikel 14 DSA moeten aanbieders van tussenhandeldiensten, waaronder (zeer grote) online platforms, in hun algemene voorwaarden informatie opnemen over eventuele beperkingen die zij aan het gebruik van hun dienst opleggen met betrekking tot door de afnemers van de dienst verstrekte informatie. Die informatie moet gegevens omvatten over eventuele beleidsmaatregelen, procedures, maatregelen en instrumenten die worden ingezet voor inhoudsmoderatie inclusief algoritmische besluitvorming en menselijke controle, alsook de procedurevoorschriften van hun interne klachtenafhandelingssysteem. De informatie moet in duidelijke, eenvoudige, begrijpelijke, gebruiksvriendelijke en ondubbelzinnige taal worden beschreven. De informatie moet openbaar beschikbaar zijn in een gemakkelijk toegankelijk en machineleesbaar formaat.

Vraag 15

Kunt u deze vragen afzonderlijk en tijdig vóór het commissiedebat sociale media en inmenging van 4 juni 2026 beantwoorden?

Ja.

Vraag 1

Klopt het dat op 27 maart 2026 besloten is om het DigiD-contract met Solvinity nogmaals voor twee jaar te verlengen?

Op dit moment heeft Logius een contract met Solvinity dat uiterlijk in augustus 2028 afloopt. Binnen het huidige contract kan er gebruik worden gemaakt van een tweede en laatste verlengingsoptie voor de periode van 7 augustus 2026 tot (uiterlijk) 6 augustus 2028. Het gaat hierbij om het contract met Solvinity voor het uitvoeren van de beheerwerkzaamheden aan het platform waar onder andere DigiD op draait. Het is niet mogelijk om voor augustus 2026 over te stappen naar een andere partij zonder dat hierbij de continuïteit en veiligheid van DigiD en andere voorzieningen in gevaar komen. Derhalve heb ik op 27 maart 2026 ingestemd met een contractverlenging voor de periode van 7 augustus 2026 tot 6 augustus 2028.

Vraag 2

Welke overwegingen liggen ten grondslag aan deze keuze? Is het niet verlengen van het contract serieus overwogen?

De afgelopen maanden zijn er door Logius en BZK verschillende mogelijkheden verkend, zoals het versneld overstappen naar een andere leverancier of het zelf in beheer nemen van het platform waar voorzieningen als DigiD op draaien
Het beheer van het platform vraagt om een ervaren beheerorganisatie om de continuïteit en veiligheid van dienstverlening blijvend te kunnen borgen. Op dit moment is het niet mogelijk om het platform in eigen beheer te nemen vanwege het feit dat Logius niet beschikt over voldoende kennis en capaciteit.
Het beheer van het platform versneld onderbrengen bij een andere beheerorganisatie kan ook leiden tot risico’s. De voornaamste reden hiervoor is dat een nieuwe beheerorganisatie kennis en ervaring moet opbouwen met het platform dat door Logius wordt gebruikt. Onder normale omstandigheden wordt hier een periode van 6 tot 12 maanden voor gehanteerd.
Deze overdracht kan plaatsvinden nadat een aanbestedingstraject is doorlopen en een nieuwe contractant is geselecteerd. Dat maakt het niet mogelijk om de overdracht naar een andere leverancier voor augustus 2026 af te ronden. Het vormgeven van een nieuwe aanbesteding en de overdracht naar een nieuwe leverancier is een langdurig traject dat zorgvuldig moet worden doorlopen, juist om de continuïteit en veiligheid van dienstverlening te borgen.

Vraag 3

Welke andere opties heeft u overwogen, behalve het contract met twee jaar verlengen? Waarom zijn deze opties afgevallen?

Zie het antwoord op vraag 2.

Vraag 4

Welke mogelijkheden heeft u om vóór het definitieve beslismoment begin mei alsnog af te zien van de contractverlenging van twee jaar? Kunt u een beroep doen op een voorwaarde in het contract of een wettelijke bevoegdheid om dit vervroegd te doen?

De Algemene Rijksinkoopvoorwaarden bij IT-opdrachten (ARBIT) zijn op deze overeenkomst van toepassing en bieden middels artikel 30 (onder voorwaarden) mogelijkheden tot het tussentijds ontbinden of opzeggen van de overeenkomst.
Voor het definitieve beslismoment van 6 mei 2026 heb ik geen mogelijkheden om af te zien van de contractverlenging. Zoals in de beantwoording op vraag 2 beschreven, zijn er op dit moment geen mogelijkheden om per augustus 2026 over te stappen naar een andere partij die in voldoende mate continuïteit en veiligheid kan borgen.

Vraag 5

Zo niet, heeft u de mogelijkheid om het contract slechts onder voorbehoud te verlengen zolang Solvinity niet door een Amerikaans bedrijf wordt overgenomen? Bent u bereid om zo’n voorbehoud te maken?

Zie antwoord op vraag 2 en 4.

Vraag 6

Heeft u de aangenomen motie-Stoffer c.s. (Kamerstuk 26 643, nr. 1467) en de twee moties-Kathmann c.s. (Kamerstuk 21 501-33, nr. 1190) (Kamerstuk 26 643, nr. 1507) meegewogen in dit besluit? Zo ja, hoe?

Deze zijn meegenomen in het besluit. Het kabinet wacht het oordeel van de onafhankelijke toezichthouder in het kader van het driesporenbeleid zoals vermeld in de Kamerbrief van 10 februari 20261 en de kabinetsreactie van 21 april 20262 af, om vervolgens een besluit te kunnen nemen.
Om vanaf (uiterlijk) augustus 2028 over te stappen naar een contractant waarbij het zeggenschap in Nederlandse/Europese handen ligt3, 4, wor dt er door Logius samen met de Landsadvocaat gekeken naar onder welke voorwaarden de aanbesteding kan worden uitgezet in de markt. In juni 2026 zullen wij uw Kamer hierover informeren.

Vraag 7

Kunt u concreet uitleggen hoe de continuïteit en veiligheid van de dienstverlening in gevaar komt als het contract niet was verlengd? Op basis van welke onderzoeken concludeert u dat?

Logius heeft een leverancier nodig voor het leveren van diensten die benodigd zijn om het platform waarop voorzieningen zoals DigiD staan, te laten draaien. Logius moet daarom een contract afsluiten met een leverancier. Zie voor verdere toelichting het antwoord op vraag 2.

Vraag 8

Is het mogelijk om de DigiD-diensten, die nu in beheer zijn bij Solvinity, binnen drie maanden over te schakelen naar een ander bedrijf? Is deze optie serieus onderzocht?

Zie beantwoording vraag 2.

Vraag 9

Hoe kunt u het DigiD-contract met Solvinity in zo kort mogelijke tijd ontbinden, nog vóór 2028, als de Amerikaanse overname doorgang vindt? Kunt u de Kamer uiterlijk in juni 2026 informeren over de opties die u hiertoe heeft en wat hiervan de kosten zijn?

Zie antwoord op vraag 4 en 6. Ik zal uw Kamer in juni 2026 nader informeren.

Vraag 10

Kunt u deze vragen afzonderlijk van elkaar en nog vóór het definitieve verlengen van het contract in begin mei beantwoorden?

Ja.

Vraag 1

Kunt u meer toelichten over de raamovereenkomst die is gesloten met het Europese cloudplatform STACKIT?1

Strategisch Leveranciersmanagement (SLM) Rijk heeft de opdracht om, binnen de kaders van wet- en regelgeving en vigerend beleid, het afnemen van (cloud)diensten te faciliteren voor rijksorganisaties. Hiervoor sluit SLM Rijk de zogenaamde «Framework Agreements» (hierna: raamovereenkomst) af met cloud leveranciers waarin waarborgen zijn opgenomen voor het op verantwoorde wijze gebruiken van (cloud-)diensten.
De keuze voor aankoop en gebruik van een (cloud)dienst onder een door SLM Rijk gecontracteerde raamovereenkomst ligt bij de rijksorganisatie zelf. De raamovereenkomst bevat geen verplichtingen voor daadwerkelijke afname van diensten. De rijksorganisatie dient af te wegen of de aan te schaffen dienst past op haar specifieke vraag en situatie, waaronder de (gevoeligheid van) data die de organisatie wenst te laten verwerken.2
Rijksorganisaties die clouddiensten willen inkopen, kunnen gebruik maken van de door het Rijk afgesloten raamovereenkomst met STACKIT. Bij hun inkooporganisatie kunnen zij informeren hoe de verwerving van clouddiensten georganiseerd dient te worden.

Vraag 2

Kunt u de raamovereenkomst aan de Kamer doen toekomen?

Nee. De raamovereenkomst met STACKIT bevat grotendeels bedrijfsvertrouwelijke informatie. Het delen van deze informatie zou nadelige consequenties voor de Staat hebben, omdat leveranciers (met de wetenschap dat bedrijfsvertrouwelijke contracten gedeeld zouden kunnen worden) niet meer genegen zouden zijn (maat-)werkafspraken met de Staat te maken. Er is ook een geldige Non-Disclosure Agreement (NDA) van kracht met de leverancier.
In vraag 4 en 5 wordt antwoord gegeven op een aantal specifieke inhoudelijke vragen.

Vraag 3

Hoe ziet u de rol van de Rijksoverheid als lancerende klant van autonome Europese IT-diensten? Hoe draagt de raamovereenkomst met STACKIT bij aan dit doel?

Het kabinet kijkt naar de mogelijkheden om als launching customer op te treden bij de inkoop van clouddienstverlening en bij aanbesteding van dergelijke diensten de mogelijkheden van een Europees voorkeursprincipe te benutten met behoud van de voordelen van een open markt.
Zoals gesteld in beantwoording op vraag 1 kunnen rijksorganisaties met het sluiten van de raamovereenkomst onder veilige en gunstige voorwaarden clouddienstverlening afnemen bij leveranciers. Dit kan een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze leveranciers. Met de inkoop van dienstverlening bij Europese leveranciers, zoals STACKIT, kan de overheid als lancerende klant bijdragen aan de concurrentiepositie van Europese cloudleveranciers. Ook kan dit bijdragen aan een meer divers leveranciersbestand, waarmee afhankelijkheden van niet-Europese aanbieders bij rijksorganisaties worden afgebouwd. Dit draagt bij aan de digitale autonomie van Nederland.
Daarbij dient wel te worden opgemerkt dat het sluiten van de raamovereenkomst niet inhoudt dat de dienstverlening van STACKIT al daadwerkelijk door onderdelen van de Rijksoverheid is ingekocht.

Vraag 4

Met welk doel is de raamovereenkomst gesloten? Zijn er ook afspraken gemaakt over de afname van deze diensten?

Het doel van de raamovereenkomst is om door SLM Rijk onderzochte Europese cloud-alternatieven op verantwoorde wijze beschikbaar te stellen voor rijksorganisaties.
SLM Rijk heeft geen afspraken gemaakt over de afname van diensten; die beslissing ligt bij de rijksorganisaties zelf. Zie ook de beantwoording op vraag 1.

Vraag 5

Welke «veilige en gunstige voorwaarden» heeft u afgesproken met STACKIT? Op welke manier dragen deze voorwaarden bij aan de digitale autonomie van Nederland?

Doeltreffende maatregelen m.b.t. de bescherming van persoonsgegevens zijn getroffen naar aanleiding van de door SLM uitgevoerde Data Protection Impact Assessment (DPIA). Conform de uitgevoerde DPIA is in de raamovereenkomst vastgelegd dat alle data exclusief worden verwerkt binnen de EER, inclusief persoonsgegevens. Ook zijn er afspraken gemaakt over (voortijdige) contractbeëindiging bij wijzigingen in eigenaarschap, bijvoorbeeld als STACKIT wordt overgenomen door een buiten de EER gelegen eigenaar.
Zoals gesteld in beantwoording op vraag 1 kunnen rijksorganisaties met het sluiten van de raamovereenkomst onder veilige en gunstige voorwaarden clouddienstverlening afnemen bij leveranciers. Dit kan een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze leveranciers. Met de inkoop van dienstverlening bij Europese leveranciers, zoals STACKIT, kan de overheid als lancerende klant bijdragen aan de concurrentiepositie van Europese cloudleveranciers. Ook kan dit bijdragen aan een meer divers leveranciersbestand, waarmee afhankelijkheden van niet-Europese aanbieders bij rijksorganisaties worden afgebouwd. Dit draagt bij aan de digitale autonomie van Nederland.

Vraag 6

Hoe draagt het sluiten van een raamovereenkomst met één leverancier bij aan een eerlijk en open speelveld voor Nederlandse en Europese techbedrijven?

Zoals onder vraag 5 toegelicht kan het sluiten van de raamovereenkomst een drempelverlagend effect hebben op de inkoop van dienstverlening bij deze Europese leverancier. Daarnaast sluit het afsluiten van een raamovereenkomst met één partij de mogelijkheid tot het sluiten van gelijksoortige raamovereenkomsten met andere partijen geenszins uit.
Tegelijkertijd is meedingen in individuele aanbestedingstrajecten voor clouddienstverlening van de Rijksoverheid niet exclusief voorbehouden aan partijen die een raamovereenkomst met SLM Rijk hebben afgesloten. Dit betekent dat aanbieders zonder raamovereenkomst met SLM Rijk evengoed kunnen meedingen in aanbestedingen voor clouddienstverlening.
Het is tevens relevant te benadrukken dat SLM Rijk de intentie heeft met meer Europese cloudaanbieders een raamovereenkomst te sluiten. Zo is er reeds een onderzoek bezig naar OVHcloud en ESET, een Europese leverancier voor securitydiensten. Ook is SLM Rijk in gesprek met Nederlandse cloudbedrijven om de mogelijkheden voor het sluiten van een raamovereenkomst te verkennen.

Vraag 7

Hoe borgt u in het sluiten van een raamovereenkomst de diversificatie en keuzevrijheid tussen leveranciers, zoals wel beoogd wordt door een privaat initiatief zoals de Open Cloud Alliantie?2

Er geldt geen afnameverplichting voor het gebruik van STACKIT door rijksorganisaties.
Dit betekent dat net als STACKIT iedere andere cloudaanbieder inclusief leden van bijvoorbeeld de Open Cloud Alliantie, kan meedingen in aanbestedingen.

Vraag 8

Welke diensten levert STACKIT? Kunt u concreet maken voor welke belangrijke IT-processen u van plan bent de clouddiensten van STACKIT af te nemen?

STACKIT levert clouddiensten, bijvoorbeeld rekenkracht en opslag. Onder de reikwijdte van de raamovereenkomst zijn deze diensten meegenomen.
Zoals toegelicht in de beantwoording van vragen 1 en 4 zijn afspraken over de afname van diensten geen onderdeel van de raamovereenkomst.

Vraag 9

Erkent u dat opslag binnen de Europese Economische Ruimte (EER) geen afdoende bescherming is tegen inzageverzoeken van niet-Europese overheden, als de bedrijven die de opslag beheren onder niet-Europese wetgeving vallen?

Ja, dat erken ik. Omdat dit risico niet van toepassing is op de diensten in scope van de raamovereemkomst met STACKIT, verwijs ik voor een gedetailleerde juridische analyse naar andere door SLM gepubliceerde DPIA’s.4 Zo wordt hierop in de recent gepubliceerde tweede update DPIA op M365 Copilot gedetailleerd ingegaan, specifiek in paragraaf 8.3.4.
Op dit moment zijn er geen afhankelijkheden van niet-Europese bedrijven geconstateerd voor de diensten van STACKIT die zijn opgenomen in de scope van de raamovereenkomst. Zie ook de beantwoording op vraag 11.

Vraag 10

Is uitgesloten dat de clouddiensten van STACKIT op welke manier dan ook afhankelijk zijn van niet-Europese techbedrijven in het beheer, onderhoud, de beveiliging, of andere essentiële processen?

Dit is contractueel uitgesloten. Mocht er worden geconstateerd dat de feitelijke situatie in een later stadium zou afwijken van de contractuele waarborgen, dan kan het contract direct worden opgezegd.

Vraag 11

Indien dit niet uit te sluiten is, kunt u dan toelichten welke afhankelijkheden STACKIT heeft van niet-Europese bedrijven? Zijn deze afhankelijkheden weg te nemen?

Op dit moment zijn er geen afhankelijkheden van niet-Europese bedrijven geconstateerd voor de diensten van STACKIT die zijn opgenomen in de scope van de raamovereenkomst.

Vraag 12

Welke analyses heeft u gemaakt om te bevestigen dat STACKIT daadwerkelijk volledig Europees en autonoom is? Kunt u deze met de Kamer delen?

SLM Rijk heeft de DPIA op STACKIT door een extern bureau laten uitvoeren waarin de potentiële gegevensuitwisselingen met STACKIT zijn onderzocht. Conform de uitgevoerde DPIA is in de raamovereenkomst vastgelegd dat alle gegevens exclusief worden verwerkt binnen de EER, inclusief persoonsgegevens. Ook zijn er afspraken gemaakt over (voortijdige) contractbeëindiging bij wijzigingen in eigenaarschap, bijvoorbeeld als STACKIT wordt overgenomen door een buiten de EER gelegen eigenaar. Zie ook de beantwoording op vraag 5.

Vraag 13

Hoe gaat de Rijksoverheid toezien of STACKIT zich aan de afspraken houdt? Welke toezichthouder is hiertoe aan zet?

SLM Rijk zal dat doen door middel van uitoefening van het bedongen auditrecht, dit is onderdeel van regulier contractbeheer. De toezichthouder is in casu dus niet aan zet.

Vraag 14

Kunt u de vragen afzonderlijk van elkaar en zo snel mogelijk beantwoorden?

Ja.

Vraag 1

Bent u bekend met het bericht in het NRC over het AI-model Mythos dat mogelijk in handen is gevallen van onbevoegden?1

Ja.

Vraag 2

Deelt u de analyse dat ongecontroleerde verspreiding van geavanceerde AI-modellen risico’s kan vergroten op cyberaanvallen, geautomatiseerde fraude en andere schadelijke toepassingen? Zo ja, welke risico’s acht u het meest urgent? Zo nee, waarom niet?

Het is goed om te benadrukken dat de risico’s niet voortkomen uit één specifiek geavanceerd AI-model. Geavanceerde capaciteiten zijn niet enkel meer voorbehouden aan gesloten, zogeheten «frontier-only» modellen. Ook open, vrij toegankelijke AI-modellen komen steeds dichterbij dergelijke geavanceerde capaciteiten. Zo laat gelekte broncode van Anthropic’s Claude Code product zien dat de capaciteiten van een AI-model niet enkel of grotendeels voortkomen uit het model zelf, maar juist uit de technische infrastructuur (het «harnas») om het AI-model heen.
De ontwikkelingen volgen elkaar in snel tempo op, risico’s zijn dan ook zeer situationeel afhankelijk. Eén van de risico’s die het kabinet ziet, is dat geavanceerde AI-modellen onder andere kunnen worden ingezet om technische kwetsbaarheden in software op te sporen. Dit kan dankzij dergelijke AI-modellen in veel kortere tijd en op grotere schaal worden gedaan dan eerder mogelijk was. Hierdoor kan de tijd tussen ontdekking van een kwetsbaarheid en het moment dat deze wordt uitgebuit significant worden verkort.
Ook zijn geavanceerde AI-modellen tot dusver afkomstig van commerciële bedrijven en veelal afkomstig uit niet-Europese landen waar andere wet- en regelgeving geldt dan in de EU. Dat kan ertoe leiden dat (a) er weinig tot geen inzicht bestaat in de onderliggende systemen en software van dergelijke systemen en (b) die systemen niet voldoen aan Europese wet- en regelgeving. Het (verder) integreren van AI-modellen in Nederlandse digitale (kern)processen, waarbij de AI-modellen op infrastructuur van niet-Europese aanbieders draait, kan leiden tot toenemende afhankelijkheid.
Ook draaien veel geavanceerde AI-modellen op niet-Europese cloudinfrastructuur. Integratie in Nederlandse digitale processen vergroot daarmee de afhankelijkheid van niet-Europese aanbieders, met bijbehorende risico’s op gebied van datasoevereiniteit, continuïteit, vertrouwelijkheid en strategische afhankelijkheid. Aanbieders kunnen toegang tot specifieke modellen beperken, updates kunnen de uitkomsten veranderen zonder dat de afnemer dat in de hand heeft, en de rekenkracht voor geavanceerde AI is geconcentreerd bij een klein aantal niet-Europese partijen.

Vraag 3

Welke rol spelen geavanceerde AI-modellen op dit moment in het dreigingsbeeld? Welke gevolgen heeft de uitrol van Mythos, binnen afzienbare tijd ook aan het grotere publiek, voor dit dreigingsbeeld?

Geavanceerde AI-modellen spelen in algemene zin op twee manieren een rol in het huidige dreigingsbeeld. Enerzijds kunnen AI-modellen worden ingezet door kwaadwillenden om systemen aan te vallen. Zo kan AI worden ingezet om kwetsbaarheden op te sporen, code te ontwikkelen, phishing te personaliseren of grote hoeveelheden data te verwerken. Dit kan ervoor zorgen dat actoren sneller en op grotere schaal cyberaanvallen kunnen uitvoeren. Anderzijds kunnen AI-modellen worden ingezet ter verdediging. Zo kan AI worden ingezet voor detectie van afwijkend netwerkverkeer, het geautomatiseerd controleren van systemen of het reageren op incidenten. Ook hiervoor geldt dat dergelijke processen sneller en op grotere schaal kunnen worden uitgevoerd. De mogelijke risico's zoals beschreven in het antwoord op vraag 2 gelden voor de bredere trend waarbinnen dergelijke geavanceerde AI-systemen breder beschikbaar worden, waaronder de uitrol van Mythos.

Vraag 4

Bent u van mening dat overheden toegang moeten krijgen tot Mythos zodat zij het kunnen gebruiken om preventief kwetsbaarheden op te sporen en te dichten? Kan dit op een veilige en verantwoorde manier?

Het kabinet bepleit terughoudendheid ten aanzien van toegang tot operationeel gebruik van een niet-Europees leveranciersmodel als oplossingsrichting voor preventieve kwetsbaarheidsdetectie. Drie overwegingen liggen hieraan ten grondslag.
In de eerste plaats laat onafhankelijk onderzoek zien dat toegang tot AI-frontiermodellen in veel gevallen niet noodzakelijk is voor effectieve detectie van kwetsbaarheden. Het verschil tussen frontiermodellen en minder geavanceerde modellen is mogelijk minder groot dan de berichtgeving rond grote modelaankondigingen suggereert. In de tweede plaats zijn er nu aanbieders, van modellen zoals Mythos, die de toegang en voorwaarden bepalen. Toegang via dergelijke constructies kan daarmee ook de afhankelijkheid van die (niet-Europese) partijen vergroten. In de derde plaats kan preventieve kwetsbaarheidsdetectie via AI veilig en verantwoord worden ingericht, mits losgekoppeld van één specifieke leverancier. Het is afhankelijk van de specifieke omstandigheden, voorwaarden en afhankelijkheden en telkens een brede weging in welke mate toegang noodzakelijk is.

Vraag 5

Hoe bereidt u overheidsorganisaties voor op de cyberveiligheidsrisico’s die gepaard gaan met de uitrol van Mythos? Kunt u uiteenzetten welke acties u neemt om de veiligheid van persoonsgegevens van burgers en de ICT-processen van de overheid te garanderen?

Het beschermen van persoonsgegevens van burgers en het waarborgen van de veiligheid van systemen van de overheid vraagt voortdurende aandacht. Zoals beschreven in het antwoord op vraag 2 komen de risico’s die van invloed zijn op het waarborgen hiervan niet voort uit één specifiek geavanceerd AI-model zoals Mythos. Om die reden is het noodzakelijk dat overheidsorganisaties rekening houden met bredere ontwikkelingen die mogelijke risico’s zijn voor de bescherming van persoonsgegevens of de beveiliging van hun netwerk- en informatiesystemen.
Voor de bescherming van persoonsgegevens geldt dat dit wordt geregeld in de Algemene verordening gegevensbescherming (AVG). De AVG kent onder meer de verplichting tot het treffen van passende technische en organisatorische maatregelen ter beveiliging bij de verwerkingen van persoonsgegevens. Daarbij geldt dat een beoordeling van het passende beveiligingsniveau moet worden uitgevoerd waarbij rekening wordt gehouden met de risico’s met betrekking tot de verwerking van persoonsgegevens. Voorafgaand aan een voorgenomen verwerking van persoonsgegevens, die waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen, moet voorts een data protection impact assessment (DPIA) uitgevoerd worden om de risico’s voor de rechten en vrijheden van betrokkenen in kaart te brengen. Daarbij moet onder meer worden beoordeeld welke maatregelen getroffen worden om de risico’s aan te pakken, waaronder veiligheidsmaatregelen en een mechanisme om de bescherming van persoonsgegevens te garanderen. Ook volgt uit de AVG de verplichting om voor het verrichten van verwerkingen van persoonsgegevens uitsluitend gebruik te maken van andere partijen die namens de overheid persoonsgegevens verwerken als verwerkers, indien zij voldoende garanties bieden met betrekking tot het toepassen van passende technische en organisatorische maatregelen, zodat aan de (andere) verplichtingen op grond van de AVG wordt voldaan. Op de naleving van verplichtingen uit de AVG houdt de Autoriteit Persoonsgegevens toezicht.
Vanuit de AI-verordening gelden bovendien regels voor de ontwikkeling en het gebruik van AI-systemen, ook aan de cyberveiligheid van hoog-risico systemen. Bovendien kent de AI-verordening de verplichting tot uitvoering van een Fundamental Rights Impact Assessment (FRIA) bij hoog-risico AI-systemen, om impact van deze systemen op fundamentele rechten van de mens te beoordelen. In de Kamerbrief van 20 april heeft de Staatssecretaris van Digitale Economie en Soevereiniteit u geïnformeerd over de wijze waarop het kabinet voornemens is het toezicht op de naleving van de Europese AI-verordening vorm te geven.2
Vanaf het moment van inwerkingtreding van de Cyberbeveiligingswet, waarin de Europese NIS2-richtlijn zal worden geïmplementeerd, gelden op grond van die wet verplichtingen voor de in die wet genoemde organisaties met betrekking tot de beveiliging van hun netwerk- en informatiesystemen. Het voorstel voor deze wet ligt op dit moment ter behandeling voor bij de Eerste Kamer. Deze wet zal gaan gelden voor organisaties uit verschillende sectoren, waaronder ook de overheid. Onderdeel van deze wet zal een zorgplicht zijn die inhoudt dat organisaties die onder de wet vallen verplicht zijn tot het nemen van passende en evenredige, technische, operationele en organisatorische maatregelen, om de risico’s met betrekking tot de beveiliging van hun netwerk- en informatiesystemen te beheersen. Daarbij geldt dat organisaties maatregelen moeten nemen die zorgen voor een beveiligingsniveau dat is afgestemd op de risico’s die voor hun organisatie gelden. Deze risico’s kunnen voor die organisaties als gevolg van onder meer veranderende dreigingen of nieuwe technologieën wijzigen, waardoor zij aanvullende maatregelen zullen moeten nemen. Deze zorgplicht wordt in het Cyberbeveiligingsbesluit, de algemene maatregel van bestuur onder de Cyberbeveiligingswet, en in ministeriële regelingen van de voor de sectoren verantwoordelijke vakministers, nader uitgewerkt.
De maatregelen die organisaties, die onder de Cyberbeveiligingswet vallen, moeten nemen betreffen onder meer beleid over risicoanalyses en incidentenbehandeling en de beveiliging van de toeleveringsketen. Krachtens het Cyberbeveiligingsbesluit geldt als maatregel onder meer ook dat organisaties bij attenderingen op voor hun relevante kwetsbaarheden of, dreigingen en beveiligingsadviezen door relevante partijen zoals CSIRTs, moeten beoordelen of op basis hiervan aanpassingen of aanvullingen nodig zijn op hun maatregelen (art. 17 Cbb). Daarnaast is voor overheidsorganisaties die onder de Cbw vallen, voorzien dat in de regeling van de Minister van Binnenlandse Zaken en Koninkrijksrelaties als maatregel, die zij in het kader van de zorgplicht moeten nemen, komt te gelden dat zij de normen en overheidsmaatregelen in de Baseline Informatiebeveiliging Overheid (BIO2), het reeds bestaande normenkader voor informatiebeveiliging bij de overheid, toepassen. Op de naleving van de verplichtingen in de Cyberbeveiligingswet en de daar onderliggende regelgeving wordt toezicht gehouden. Voor overheidsorganisaties zal de Rijksinspectie voor Digitale infrastructuur (RDI) als toezichthouder optreden.
Terugkomend in bovengenoemde wet- en regelgeving is dat gegevensbescherming en beveiliging van netwerk- en informatiesystemen een continue en cyclisch proces is. Organisaties dienen voortdurend te toetsen of bestaande maatregelen nog steeds voldoende zijn om risico’s te beheersen. Ook risico’s als gevolg van het bestaan van AI-modellen, waaronder Mythos, zullen onderdeel zijn van deze continue risico-inschatting door organisaties.

Vraag 6

Welke rol zou een onafhankelijke AI-raad, zoals voorgesteld in de motie-Kathmann/Six Dijkstra (Kamerstuk 26 643, nr. 1403), kunnen spelen om de veiligheidsrisico’s van geavanceerde AI te monitoren en af te dekken? Hoe wordt deze motie nu uitgevoerd?

Het kabinet onderschrijft het belang van het monitoren en beheersen van veiligheidsrisico’s van geavanceerde AI en deelt de opvatting dat dit een aanpak vereist die stevig is verankerd in inhoudelijke expertise. Mede naar aanleiding van de aangenomen motie over een onafhankelijke AI-raad3, ingediend op 29 september 2025, is gekeken naar een passende structuur om hier invulling aan te geven.
Zoals eerder aan de Kamer gemeld4, werd in eerste instantie bezien welke rol de NDS-raad hierin kon vervullen. Nu besloten is om de oprichting van de raad niet te formaliseren5, worden alternatieve invullingen verkend. Zo loopt er tot september 2026 onder andere een interdepartementale verkenning, uitgevoerd door de Digitale Doetank, naar de inrichting van een onafhankelijk AI-veiligheidsinstituut, naar voorbeeld van internationale initiatieven zoals het AI Safety Institute (AISI) in het Verenigd Koninkrijk. Het kabinet houdt daarbij rekening met de verschillende bestaande instituten die de overheid en private organisaties reeds voorzien van advies en expertise op het gebied van AI.

Vraag 7

Heeft u voldoende zicht op de risico’s van model leakage, model theft en ongeautoriseerde verspreiding van geavanceerde AI-systemen in Nederland en Europa? Zo ja, hoe wordt dit inzicht benut voor beleid en toezicht? Zo nee, welke maatregelen neemt u om dit inzicht te verbeteren?

Aanbieders van bepaalde AI-systemen, zoals systemen met een hoog risico en AI-modellen voor algemene doeleinden, inclusief modellen met een systeemrisico, moeten op grond van de Europese AI-verordening bepaalde informatie over deze systemen openbaar maken. De regels voor AI-modellen voor algemene doeleinden en die met een systeemrisico zijn op 2 augustus 2025 in werking getreden. Voor krachtige AI-modellen met systeemrisico’s gelden volgens deze verordening aanvullende verplichtingen om deze risico’s in kaart te brengen. Hierdoor hebben lidstaten en de Europese Commissie meer zicht op deze risico’s. De AI-verordening kent hiervoor een toezichtstelsel, waarbij zowel nationale toezichthouders als de Europese Commissie nauwlettend toezicht houden op deze risico’s. Zo kunnen zij hoog-risico AI-systemen die niet aan de verplichtingen voldoen van de markt halen. Daarnaast vindt er kennisuitwisseling plaats tussen (nationale) toezichthouders, de Europese Commissie en experts uit de lidstaten binnen de door de AI-verordening opgerichte Comité voor Artificiële Intelligentie (European AI Board).

Vraag 8

Hoe beoordeelt u de toereikendheid van bestaande beveiligingsnormen en toezichtmechanismen voor ontwikkelaars en beheerders van krachtige AI-modellen, mede in relatie tot de implementatie van de AI-verordening?

De Europese AI-verordening stelt regels aan AI-modellen voor algemene doeleinden waarbij de regels steviger zijn voor dit soort modellen met systeemrisico’s, deze regels zijn op 2 augustus 2025 in werking getreden. Hier vallen de meest krachtige AI-modellen onder. Alle AI-modellen voor algemene doeleinden moeten technische documentatie opstellen waarin in ieder geval informatie staat over het beoogde doel van het model, trainingsmethoden en gebruikte data. Aanbieders van modellen met een systeemrisico moeten daarbovenop risico’s in kaart brengen en kwetsbaarheden in het model opsporen. Daarnaast moeten zij ernstige incidenten en mogelijk corrigerende maatregelen bijhouden. Het toezicht op al deze modellen is Europees centraal belegd bij de Europese Commissie. Daarnaast kunnen aanbieders aansluiten bij de Europese General-Purpose AI Code of Practice die op 10 juli 2025 is gepubliceerd. Deze vrijwillige praktijkcode bevat onder andere informatie over hoe aanbieders kunnen voldoen aan de beveiligingsnormen uit de AI-verordening. Het kabinet is positief over deze vereisten en stimuleert aanbieders om zich aan te sluiten bij de praktijkcode. Het is nog niet mogelijk een sluitend oordeel te vellen over de effectiviteit van deze eisen. Samen met de Europese Commissie en andere lidstaten houden we de werking van deze vereisten nauwlettend in de gaten en dragen we bij aan de evaluaties hiervan.

Vraag 9

Welke kansen ziet u om via veilige ontwikkeling en deployment van AI de digitale veiligheid te versterken, bijvoorbeeld voor cyberdetectie, opsporing en publieke dienstverlening?

Zie antwoord vraag 3.

Vraag 10

Ziet u in deze casus aanleiding om in Europees verband te pleiten voor versterkte samenwerking rond monitoring van toegangsbeheer, auditing en incidentrespons? Zo ja, op welke wijze?

Organisaties zijn in de eerste plaats zelf verantwoordelijk voor hun eigen digitale weerbaarheid en daarmee onder meer ook voor het voorkomen en detecteren van cyberincidenten. De recente ontwikkelingen rondom AI benadrukken nogmaals het belang van het versterken van de digitale weerbaarheid van organisaties en de samenwerking daartoe bij digitale dreigingen, kwetsbaarheden en incidenten. In Nederland zijn er verschillende organisaties, zoals CSIRTS, die organisaties kunnen ondersteunen door het geven van adviezen en handelingsperspectieven, het verstrekken van informatie over dreigingen en incidenten en het assisteren bij incidentmanagement.
In het geval van grensoverschrijdende incidenten coördineert het Nationaal Cyber Security Centrum (NCSC), vanuit de Nederlandse overheid, de samenwerking met internationale(cyber) partners en werkt daartoe intensief samen met die partijen in onder meer het Europese CSIRT-netwerk. Binnen dit netwerk kunnen CSIRTs snel en effectief operationele informatie met elkaar uitwisselen met ondersteuning door het European Network and Information Security Agency (ENISA). Bovendien wordt binnen dit netwerk en diverse andere EU-samenwerkingsverbanden (zoals de NIS Cooperation Group en het CyCLONe-netwerk) aandacht besteed aan de invloed van de ontwikkeling van AI-modellen op cybersecurity.

Vraag 11

Hoe beoordeelt u de wenselijkheid van meer transparantieverplichtingen voor aanbieders van geavanceerde AI-systemen over beveiligingsmaatregelen, incidenten en misbruikrisico’s?

Zoals ook opgenomen in het antwoord op vraag 8 is het nog te vroeg om aanvullende eisen op te stellen. De verplichtingen vanuit de AI-verordening zijn immers pas recent van kracht geworden.

Vraag 12

Kunt u de vragen afzonderlijk beantwoorden en in ieder geval vóór het rondetafelgesprek cyberveiligheid en informatiebeveiliging van 20 mei 2026?

Aangezien niet alle benodigde informatie op tijd was ontvangen is het niet gelukt de beantwoording met uw Kamer te delen voor het rondetafelgesprek cyberveiligheid en informatiebeveiliging van 20 mei 2026.

Vraag 1

Bent u bekend met de uitspraak van het Gerechtshof Amsterdam van 14 april 2026 in de zaak tussen X (Twitter) en een individu om inzage te mogen krijgen in de gegevens die het bedrijf van hem bijhoudt?1

Ja.

Vraag 2

Wat is uw reactie op deze uitspraak en de gevolgen die het heeft voor de interpretatie van artikel 15 van de Algemene Verordening Gegevensbescherming (AVG), zowel nationaal als in Europees verband?

De uitspraak is gedaan in een specifieke casus, waarin de rechter op basis van de feiten en omstandigheden van het geval tot een oordeel is gekomen. Van een nieuwe interpretatie van artikel 15 van de Algemene Verordening Gegevensbescherming (AVG) geeft de uitspraak geen blijk. Het is veeleer een toepassing van deze bepaling in de praktijk. De normen uit de AVG laten daar ook ruimte toe; zij staan een weging van belangen en een risicogebaseerde aanpak voor. Op dit moment zie ik in deze uitspraak dan ook geen aanleiding om te concluderen dat de interpretatie van artikel 15 van de AVG, zowel op nationaal als in Europees verband, hierdoor wezenlijk wijzigt.

Vraag 3

Bent u bereid om de Autoriteit Persoonsgegevens te vragen om een onafhankelijke analyse uit te voeren naar de gevolgen van de uitspraak voor de interpretatie, handhaving en uitoefening van het inzagerecht voor individuele gebruikers?

De Autoriteit Persoonsgegevens (AP) ziet als onafhankelijke toezichthouder toe op de naleving van de AVG en kan handhavend optreden wanneer sprake is van een overtreding van de regels die zijn neergelegd in de AVG. Daarnaast heeft de toezichthouder een belangrijke rol in voorlichting. Op dit moment biedt de AP via haar website duidelijke informatie en handvatten voor de uitoefening van het inzagerecht. Indien zij van mening is dat nieuwe ontwikkelingen aanleiding geven voor een nadere duiding of actualisatie van deze handvatten, ligt het in de rede dat de AP dit zelfstandig zal bezien. Ik zie alles bijeengenomen geen reden om de AP hierom te vragen.

Vraag 4

Bent u op de hoogte van meer (soortgelijke) rechtszaken die tegen grote techbedrijven als X (Twitter) lopen? Welke gevolgen heeft de uitspraak op deze lopende zaken?

Ik beschik niet over deze informatie.

Vraag 5

Hoe wordt er op toegezien dat X (Twitter) de uitspraak van de rechter naar behoren uitvoert en (nagenoeg) volledige inzage geeft in de persoonsgegevens van de gebruiker, gezien het feit dat deze partij eerder al weigerde dit te doen?

In civielrechtelijke zaken zoals deze is het aan partijen zelf om uitvoering te geven aan een rechterlijke uitspraak. De uitspraak in kwestie is uitvoerbaar bij voorraad, wat inhoudt dat aan de uitspraak direct gevolg moet worden gegeven. Indien een partij dit nalaat, staan voor de wederpartij onder andere civielrechtelijke middelen open om nakoming af te dwingen.

Vraag 6

Bent u op de hoogte dat X (Twitter) in deze zaak meermaals heeft geprobeerd om de andere partij een spreekverbod op te leggen? Erkent u dat deze handelingen vanuit een groot internationaal techbedrijf intimiderend is tegenover één individu?

Ik heb kennisgenomen van berichten in de media, waarin wordt gesteld dat X getracht zou hebben om de andere partij een spreekverbod op te leggen. Behalve wat hierover naar buiten is gebracht, beschik ik niet over informatie op basis waarvan ik objectief kan vaststellen wat er tussen partijen is voorgevallen. Ik wil daar dan ook geen uitspraken over doen.

Vraag 7

Biedt de richtlijn tegen Strategic Lawsuit Against Public Participation (anti-SLAPP-richtlijn) genoeg bescherming tegen individuen die een zaak aanspannen richting grote internationale techbedrijven zoals X (Twitter)? Welke aanvullende maatregelen kunt u nemen om individuen die procederen tegen dit soort bedrijven te beschermen?

De richtlijn betreffende bescherming van bij publieke participatie betrokken personen tegen kennelijk ongegronde vorderingen of misbruik van procesrecht («strategische rechtszaken tegen publieke participatie») bevat maatregelen die mensen en organisaties die actief zijn in het publieke debat, kunnen gebruiken om zich te verweren tegen juridische procedures die tégen hen worden aangespannen met het doel om hen het zwijgen op te leggen. Dergelijke rechtszaken staan ook wel bekend onder de Engelstalige afkorting SLAPP (Strategic Lawsuits Against Public Participation). Er is geen sprake van een SLAPP als een individu zelf een procedure aanspant tegen een groot internationaal techbedrijf. Als het bedrijf in reactie op de rechtszaak zelf procedures start tegen het individu of een tegenvordering indient, dan kan daar onder omstandigheden wel sprake van zijn. Het Nederlandse procesrecht voorziet in afdoende maatregelen om hiertegen op te komen. Ter uitvoering van de richtlijn moet enkel de door de richtlijn voorgeschreven maatregel van zekerheidstelling nog worden geïmplementeerd. Het betreffende wetsvoorstel is aanhangig bij Uw Kamer2.

Vraag 8

Bent u bekend met de afwijzing van een handhavingsverzoek van de betrokken individu bij de Autoriteit Consument & Markt (ACM), mede omdat er al een civiele zaak loopt?2 Kunt u er in samenwerking met de ACM op toezien dat handhavingsverzoeken en civiele zaken elkaar in het vervolg niet meer uitsluiten?

Bij de behandeling van handhavingsverzoeken past de ACM haar prioriteringsbeleid toe. Daarbij kijkt ACM naar de schadelijkheid van het gedrag waar het verzoek op is gericht, hoe groot het maatschappelijk belang is en in hoeverre ACM in staat is doeltreffend en doelmatig op te treden. In het kader van een beoordeling of de inzet van middelen efficiënt is, of de ingeschatte impact die optreden van ACM kan hebben, kan het reeds lopen van een civiele procedure een factor zijn die wordt meewegen om een verzoek al dan niet in behandeling te nemen. Als een civiele rechter het geschil al behandelt, kan de ACM concluderen dat haar inzet minder noodzakelijk is. De ACM heeft daarin een eigen verantwoordelijkheid waar zij onafhankelijk van politieke sturing invulling aan geeft. Het kabinet kan en gaat daar niet in treden.

Vraag 9

Welke gevolgen heeft het als X (Twitter) niet voldoet aan deze uitspraak? Kan het bedrijf worden gesanctioneerd of alsnog tot openheid gedwongen worden?

Voor dit antwoord verwijs ik naar het antwoord op vraag 5. Dit is iets tussen partijen; het kabinet heeft hierin geen rol.

Vraag 10

Zijn de huidige boetemogelijkheden voor het niet naleven van de AVG volgens u voldoende effectief? Bent u bereid te onderzoeken of er aanvullende handhavingsmogelijkheden, zoals het persoonlijk aansprakelijk maken van bestuurders zoals in andere EU-landen,3 wenselijk zijn voor bedrijven die stelselmatig de wet niet naleven?

Ik beschik niet over aanknopingspunten dat het bestaande instrumentarium tekort schiet. Artikel 82 AVG voorziet in een recht op schadevergoeding; de AVG sluit daarbij niet uit dat bestuurders persoonlijk aansprakelijk worden gesteld voor schade die is ontstaan door schendingen van de AVG. In Nederland biedt het burgerlijk recht hiervoor mogelijkheden. Verder bestaat de mogelijkheid dat ex artikel 83 AVG een persoonlijke boete aan een bestuurder of leidinggevende wordt opgelegd, wanneer in strijd met de AVG is gehandeld en dat handelen als functioneel daderschap aan een of meer personen kan worden toegerekend.

Vraag 11

Erkent u dat, na deze historische uitspraak, elke gebruiker het recht heeft om (nagenoeg) volledige inzage te verkrijgen in de gegevens die X (Twitter) over hem of haar bijhoudt? Voor welke andere (soorten) bedrijven zet deze uitspraak een precedent?

De uitspraak is een belangrijke invulling van het inzagerecht uit de AVG in de praktijk. Uit de uitspraak wordt duidelijk dat weigeringsgronden slechts onder uitzonderlijke omstandigheden met succes kunnen worden ingeroepen. Voor welke andere verwerkingen deze uitspraak in het bijzonder precedentwerking heeft, kan ik niet overzien. Zoals ook beschreven in mijn antwoord op vraag 2, heeft de uitspraak betrekking op een specifieke casus waarin de rechter op basis van concrete feiten, omstandigheden van het geval en een belangenafweging tot een oordeel is gekomen.

Vraag 12

Bent u het met de indieners eens dat de toegang tot het inzagerecht voor alle gebruikers toegankelijk moet zijn en uitgeoefend kan worden, ongeacht juridische kennis en middelen?

Ik onderschrijf deze stelling. Dat de uitoefening van het recht op inzage zo toegankelijk mogelijk moet zijn, is ook mijn opvatting. Dit geldt voor alle rechten die onder de AVG aan de burger toekomen. De AP geeft op haar website duidelijke informatie en handvatten ten aanzien van verzoeken om inzage. Daarnaast is op de website van de AP een voorbeeldbrief voor het doen van een verzoek tot het verwijderen persoonsgegevens te vinden.

Vraag 13

Hoe kan de rechtspositie van individuele gebruikers versterkt worden om zich met gemak te beroepen op het inzagerecht richting grote techbedrijven? Welke maatregelen kunt u hiertoe nemen?

In het Coalitieakkoord 2026–2030, «Aan de slag», is opgenomen dat het kabinet voornemens is te werken aan een herziening en vereenvoudiging van de AVG in Europees verband en in de toepassing van de huidige AVG in Nederland. Mijn ambtsvoorganger heeft daarnaast toegezegd om te gaan werken aan een brede revisie van de Nederlandse Uitvoeringswet AVG (UAVG)5. Hierbij zal ook aandacht zijn voor rechtsbescherming en de toegang daartoe.

Vraag 14

Bent u bereid om in Europees verband te pleiten voor een eensgezinde uitleg van het inzagerecht van de AVG conform de rechtelijke uitspraak, en de Nederlandse interpretatie te erkennen als norm binnen alle EU-lidstaten?

Zoals ook in mijn antwoord op vraag 2 beschreven, zie ik in deze uitspraak geen nieuwe interpretatie van het desbetreffende artikel, doch vooral een toepassing in de geest daarvan. Ik heb geen aanleiding om te concluderen dat de uitleg van artikel 15 van de AVG zowel op nationaal als in Europees verband, hierdoor wezenlijk anders moet komen luiden.

Vraag 15

Bent u het met de indieners eens dat grote techbedrijven zoals X (Twitter) zouden moeten meebetalen aan de handhaving van de wetgeving die zij overtreedt, zoals het geval is onder de Digital Services Act, maar nog niet het geval is onder de AVG?

De Digital Services Act (DSA) voorziet in artikel 43 in een jaarlijkse toezichtsvergoeding aan de Europese Commissie voor enkele aangewezen online platforms (very large online platforms, VLOP) en dat bovendien niet in alle, maar slechts in specifieke gevallen. Het betreft hier een andere systematiek dan onder de AVG, waar bedrijven niet betalen voor het toezicht of de handhaving op zichzelf, maar pas financiële gevolgen en boetes dragen als zij de regels overtreden. Ik zie geen reden voor een andere opzet onder de AVG.

Vraag 16

Hoeveel belastinggeld betaalt X (Twitter) momenteel in Nederland?

Gelet op de fiscale geheimhoudingsplicht die is neergelegd in artikel 67 van de Algemene wet inzake rijksbelastingen worden door de belastinginspecteur geen uitspraken gedaan over de fiscale positie van individuele belastingplichtigen.

Vraag 17

Kunt u deze vragen afzonderlijk van elkaar en zo snel mogelijk beantwoorden?

De vragen zijn afzonderlijk van elkaar en zo snel mogelijk beantwoord.

Vraag 1

Bent u bekend met het bericht «Opinie: Bescherm de lichamelijke integriteit van vrouwen, ook in de digitale wereld»?1

Ja, het kabinet is hiermee bekend.

Vraag 2

Kunt u het onderzoek van Investico, waaruit is gebleken dat alle grote Nederlandse drogisten, zoals Kruidvat, Etos en Trekpleister, (gevoelige) informatie over de vruchtbaarheid en seksuele gezondheid van klanten delen met Amerikaanse en Chinese techbedrijven, voorzien van een kabinetsreactie?2

Het kabinet vindt het zorgelijk en neemt de signalen over het mogelijk delen van (gevoelige) informatie dan ook serieus. Alleen het beoordelen van specifieke situaties is aan de toezichthoudende autoriteiten, in Nederland is dat de Autoriteit Persoonsgegevens (AP). Het kabinet kan hierover geen uitspraken doen. Een kabinetsreactie hierover ligt dan ook niet in de rede.

Vraag 3

Kunt u specifiek maken welke persoonsgegevens door de onderzochte apps en drogisten worden doorverkocht? Is hier sprake van medische gegevens, die enkel met een wettelijke grondslag of na uitdrukkelijke toestemming verwerkt mogen worden?

Zoals in het antwoord op vraag 2 is aangegeven, is een dergelijke beoordeling niet aan het kabinet, maar aan de toezichthoudende autoriteit.

Vraag 4

Voldoet de gegevensverwerking door de gezondheidsapps en de drogisten aan de nationale privacywetgeving? Zo ja of nee? Kunt u dit op basis van onderzoek onderbouwen?

In zijn algemeenheid merkt het kabinet op dat de verwerking van bijzondere categorieën van persoonsgegevens, waartoe gezondheidsgegevens behoren, verboden is tenzij er een uitzonderingsgrond van toepassing is, bijvoorbeeld wanneer uitdrukkelijke toestemming is gegeven. Het Hof van Justitie van de Europese Unie (HvJEU) heeft geoordeeld dat het begrip «bijzondere persoonsgegevens» in dit soort gevallen ruim dient te worden uitgelegd. Daaronder vallen ook persoonlijke gegevens die bij het online bestellen van geneesmiddelen worden ingevoerd, zoals namen en adressen. Of hier gehandeld wordt in strijd met de Algemene Verordening Gegevensbescherming (AVG) is, zoals eerder al in het antwoord op vraag 2 is aangegeven, aan de toezichthoudende autoriteiten, de AP.

Vraag 5

Zijn de Autoriteit Persoonsgegevens (AP) en de Autoriteit Consument & Markt (ACM) op de hoogte van de mogelijk illegale handel in gezondheidsgegevens? Zo ja, wordt hier naar uw weten nader onderzoek naar gedaan? Zo nee, bent u bereid dit in samenwerking met de toezichthouders wel te doen?

De AP heeft desgevraagd laten weten zich bewust te zijn van de grootschalige dataverzameling en datahandel op het internet. Datahandel (in brede zin) is van 2020 tot 2023 een van de strategische aandachtsgebieden geweest van de AP. Ook nu besteedt de AP nog de nodige aandacht aan datahandel. Zo controleert de AP sinds 2024, en nu nog steeds, strenger op cookiebanners. De AP controleert of websites op de juiste manier toestemming vragen voor cookies en andere volgsoftware en pakt misleidende cookiebanners aan.
De AP en de ACM doen geen mededelingen over individuele zaken en eventuele lopende onderzoeken.

Vraag 6

Wat is uw oordeel over het gebruik van tracking cookies bij online webshops, waardoor mogelijk gevoelige informatie over het koopgedrag van klanten aan derden wordt doorverkocht? Is dit mogelijk in strijd met de privacywetgeving?

Het kabinet deelt de opvatting dat het gebruik van tracking cookies in bepaalde gevallen problematisch kan zijn, bijvoorbeeld waar gebruikers als gevolg van dark patterns, informatie-overload en consentmoeheid toestemming geven terwijl deze mogelijk afwijkt van hun werkelijke voorkeuren. Voor de volledigheid wordt hierbij ook verwezen naar de kabinetsreactie op het rapport De prijs van gratis internet van het Rathenau Instituut, die op 19 december 2025 met de Kamer is gedeeld.
Het gebruik van tracking cookies bij online webshops is onderworpen aan voorwaarden uit de toepasselijke privacyregelgeving, met name AVG en de e-privacyrichtlijn, die in Nederland is geïmplementeerd in de Telecommunicatiewet. Voor het plaatsen van dergelijke cookies is daarom geïnformeerde en ondubbelzinnige toestemming van de gebruiker vereist. Wanneer het gaat om gevoelige persoonsgegevens geldt een versterkt, expliciet toestemmingsvereiste. De beoordeling of sprake is van strijdigheid met de geldende privacyregelgeving is aan de toezichthouder.

Vraag 7

Kunt u expliciet benoemen welke acties u nationaal en in Europees verband neemt om tracking cookies zo veel mogelijk te beperken en het informatie- en toestemmingsrecht van burgers over wat er met hun gegevens gebeurt te versterken?

Het kabinet zet zich nationaal en Europees in om op het gebied van tracking cookies onder meer de informatie- en toestemmingsrechten van burgers te versterken. Zo staat het kabinet positief tegenover de in de Digitale Omnibus voorgestelde automatische gecentraliseerde consentopties, waarmee gebruikers meer controle over hun gegevens krijgen. De onderhandelingen over dit voorstel lopen nog. Voor een weergave van de overige door het kabinet te nemen acties wordt verwezen naar de kabinetsreactie op het rapport De prijs van gratis internet van het Rathenau Instituut, die op 19 december 2025 met de Kamer is gedeeld.

Vraag 8

Indien blijkt dat gezondheidsapps en drogisten in strijd met de wet medische gegevens van personen hebben verwerkt, welke gevolgen heeft dit voor deze bedrijven?

Onder de AVG is het verwerken van medische gegevens, die gelden als bijzondere categorieën van persoonsgegevens, verboden tenzij op dat verbod een uitzondering van toepassing is. Het houden van toezicht op en het handhaven van de rechtmatigheid van gegevensverwerkingen in de private sector is, als gezegd, een taak van de onafhankelijke toezichthouder, de AP. Zij beschikt over een eigen repertoire aan bevoegdheden en handhavingsinstrumenten. Zo kan de AP onderzoek instellen naar de naleving van de gegevensbeschermingswetgeving, boetes en dwangsommen opleggen, alsook stopzetting van gegevensverwerkingen gelasten. Het is aan de AP om te bepalen welke manier van handhaving onder de omstandigheden het meest geëigend is.

Vraag 9

Deelt u de analyse van de indieners dat de lichamelijke integriteit van personen in een digitale wereld ook vraagt om toereikende privacybescherming? Is dit momenteel juridisch goed genoeg beschermd?

Het kabinet onderschrijft dit belang volledig. Alleen beschikt het kabinet niet over aanknopingspunten dat de gegevensbeschermingswetgeving lacunes vertoont.

Vraag 10

Bent u bereid om aanvullende stappen te nemen om de medische gegevens van personen die gezondheidsapps gebruiken of gezondheidsproducten kopen bij drogisten beter te beschermen? Zo ja, hoe gaat u dit doen?

Bij de verwerking van persoonsgegevens is de AVG van toepassing. Het is aan de verwerkingsverantwoordelijke om te voldoen aan de kaders die in de AVG worden gesteld aan de verwerking van persoonsgegevens en aan de strengere eisen die worden gesteld aan de verwerking van bijzondere persoonsgegevens, zoals medische gegevens. Het is aan de AP om toezicht te houden op de naleving van de AVG.

Vraag 11

Hoeveel vrouwen in Nederland maken gebruik van zogeheten «cyclusapps», in het bijzonder van Flo en Clue? Kunt u aangeven of de wijze waarop zij geïnformeerd worden bij het gebruik van deze apps en het delen van hun gegevens, conform de huidige wet- en regelgeving is?

Uit het onderzoek van Rutgers over het gebruik van natuurlijke methoden om een zwangerschap te voorkomen onder de vrouwen van 18 tot en met 29 jaar is gebleken dat 37% van de groep gebruikmaakt van een cyclusapp om hun menstruatie bij te houden, waarvan Flo het vaakst werd benoemd3. Cyclusapps moeten zich bij de verwerking van (bijzonder) persoonsgegevens houden aan de kaders die worden gesteld in de AVG, indien zij zijn gevestigd in de EU. Cyclusapps die buiten de EU zijn gevestigd, dienen ook aan de AVG te voldoen, indien zij diensten of goederen aanbieden in de EU. Zowel Clue, die is gevestigd in Duitsland, als Flo, die is gevestigd in het Verenigd Koninkrijk en de Verenigde Staten, moeten daarmee voldoen aan de AVG.

Vraag 12

Welke mogelijke hiaten ziet u in de bestaande wet- en regelgeving in het effectief optreden tegen het onrechtmatig bewaren en/of delen van gevoelige informatie over bijvoorbeeld miskramen, seksuele activiteit, etcetera met derde partijen, mogelijk voor commerciële doeleinden?

Zoals volgt uit de antwoorden op vragen 10 en 11, is er geen blijk van hiaten in de wet- en regelgeving. Het komt eerder aan op de naleving daarvan. Het doen van onderzoek daarnaar, is als gezegd, een taak van de onafhankelijke toezichthouder.

Vraag 13

Deelt u de zorgen dat het doorverkopen van medische gegevens van vrouwen kan zorgen tot ongewenste profilering, agressieve gerichte advertenties, of zelfs het opstellen van dataprofielen van de medische geschiedenis van vrouwen?

Het kabinet vindt het uiterst belangrijk dat de gegevens van vrouwen niet ten onrechte gebruikt worden voor zaken als ongewenste profilering, agressieve gerichte advertenties of het opstellen van dataprofielen. Het kabinet vindt het dan ook van belang dat de onafhankelijke toezichthouder hier scherp op is. In elk geval, zoals eerder al genoemd is, is het houden van toezicht op en het handhaven van de rechtmatigheid van gegevensverwerkingen in de private sector een taak van de onafhankelijke toezichthouder, namelijk de AP. Het is aan de AP om te bepalen welke manier van handhaving onder de omstandigheden het meest geëigend is.

Vraag 14

Heeft u indicaties voor welke doeleinden de doorverkochte medische gegevens van vrouwen, die zien op hun gezondheid en seksualiteit, worden gebruikt? Is dit in overeenstemming met het doel waarmee de data in eerste instantie met bedrijven is gedeeld?

Desgevraagd heeft het Centrale Bureau Drogisterijbedrijven aan het kabinet laten weten dat er geen persoonlijke gegevens doorverkocht worden. De online drogisterijen hebben privacyverklaringen op hun websites waarin is opgenomen welke gegevens worden verwerkt. Aangezien dit per drogisterij kan verschillen, wordt voor nadere informatie verwezen naar de betreffende websites. Wanneer een gebruiker niet noodzakelijke cookies weigert, worden alleen functionele cookies geplaatst die nodig zijn om de website goed te laten werken. Zonder toestemming worden bovendien geen persoonsgegevens van individuele klanten gedeeld met externe partijen zoals Google of Facebook.
Als gezegd is het beoordelen of specifieke situaties in overeenstemming zijn met de AVG aan de bevoegde toezichthoudende autoriteiten; in Nederland is dat de AP.

Vraag 15

Kunt u deze vragen afzonderlijk van elkaar en zo snel mogelijk beantwoorden?

De vragen zijn zo snel als mogelijk afzonderlijk beantwoord.

Vraag 1

Bent u op de hoogte van de hack bij ChipSoft, het bedrijf dat software voor patiëntendossiers en andere digitale systemen voor ziekenhuizen levert?1

Ja.

Vraag 2

Kunt u toelichten wat de ernst is van de hack en hoeveel ziekenhuizen, huisartsenpraktijken en eventuele andere zorgverleners zijn geraakt door de hack?

Patiënten moeten erop kunnen vertrouwen dat hun gegevens veilig zijn. Chipsoft voert momenteel samen met een extern team van cybersecurity-experts forensisch onderzoek uit om de oorzaak, omvang en bron van het incident vast te stellen. ChipSoft levert software aan ongeveer 70% van de Nederlandse ziekenhuizen. Uit voorzorg zijn sinds 8 april 20:00 uur de verbindingen met patiëntportalen die door ChipSoft worden gehost, verbroken. Dit betreft Zorgportaal, HiX Mobile2 en het Zorgplatform. Deze zijn hierdoor tijdelijk niet beschikbaar geweest. Inmiddels is er sinds vrijdag 17 april weer sprake van het gefaseerd opstarten van functionaliteiten, nadat deze veilig zijn bevonden. Op donderdag 16 april heeft ChipSoft gecommuniceerd met de klanten die dat betrof dat er bij de hack ook gegevens zijn gestolen. Hierover heb ik de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april 2026 geïnformeerd3. ChipSoft heeft geen gedetailleerde inzage gegeven in welke klanten op welke wijze getroffen zijn. In de zojuist genoemde Kamerbrief heb ik ons inzicht met u gedeeld. De resultaten van het forensisch onderzoek, die van belang zijn voor de hersteloperatie bij zorginstellingen, zullen, zo heeft ChipSoft ons laten weten, zo snel mogelijk worden gecommuniceerd. In de tussentijd ondersteunt Z-CERT, als expertisecentrum cybersecurity in de zorg, en biedt hulp aan ChipSoft voor analyse, communicatie en incidentmanagement. Z-CERT informeert en adviseert haar deelnemers over deze situatie.

Vraag 3

Wat zijn de gevolgen van de hack voor zorgverleners en hun patiënten, bijvoorbeeld doordat zorginstellingen hun systemen offline hebben moeten halen?

Navraag bij de betrokken zorginstellingen leert dat de zorgprocessen doorlopen en zorgverleners bij de gegevens van patiënten kunnen. Patiënten kunnen echter wel hinder ondervinden bij het online maken van afspraken, dit gaat nu telefonisch. Daarnaast kunnen patiënten momenteel niet zelf hun dossier inzien. Ook is er met name impact op de uitwisseling van gegevens. Tussen zorgverleners, zoals huisarts en ziekenhuizen, kunnen digitale verwijzingen niet goed plaatsvinden.
Ziekenhuizen zijn hier echter op dit soort incidenten voorbereid en zij hebben hiervoor noodprotocollen die ook in werking zijn getreden. Hierdoor kunnen veel zorgprocessen doorlopen, maar vaak met een noodzakelijke extra inzet van personeel.

Vraag 4

Is bepaalde zorg uitgesteld vanwege de hack en zo ja, op welke schaal?

Nee, de zorgprocessen lopen door.

Vraag 5

Is er gevoelige data, zoals patiëntgegevens, in handen gekomen van criminelen?

Patiënten moeten erop kunnen vertrouwen dat hun gegevens veilig zijn. Op donderdag 16 april heeft ChipSoft gecommuniceerd met haar klanten dat er bij de hack patiëntgegevens zijn gestolen. Welke exacte patiëntgegevens hierbij zijn buitgemaakt is nog in onderzoek. Ik heb de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april hierover geïnformeerd.4 Ik vind dit een zeer ernstige zaak. ChipSoft moet alles uit de kast halen en de volle verantwoordelijkheid nemen om snel en zorgvuldig te onderzoeken en duidelijkheid te creëren voor patiënten en zorgverleners, zodat mensen weten of hun data gestolen is en om welke data het gaat.

Vraag 6

Hoe verklaart u de verschillende aanpak van ziekenhuizen na de hack, bijvoorbeeld in het wel of niet offline halen van systemen?

Ziekenhuizen die klant zijn bij ChipSoft hebben op advies van Z-CERT, het expertisecentrum cybersecurity in de zorg, preventieve maatregelen genomen en hebben monitoring op hun lopende systemen geïntensiveerd. De keuzes die gemaakt worden, zijn door de ziekenhuizen of organisaties zelf gemaakt op basis van eigen specifieke situatie en risico inschatting.

Vraag 7

Verschilt de impact van de hack tussen ziekenhuizen die hun gegevens lokaal, hybride of juist in een cloudomgeving opslaan? Kunt u uitleggen welke keuze de meeste weerbaarheid biedt?

De gegevens van de zorgaanbieders die gebruikmaken van de cloudomgeving van ChipSoft zijn gestolen. Van instellingen die de software van ChipSoft in eigen beheer uitvoeren of door derden laten beheren, zijn geen gegevens gestolen. Hierover heb ik de Kamer, mede namens de Staatssecretaris van Justitie en Veiligheid, in een Kamerbrief op 21 april geïnformeerd.5
Er valt niet in z’n algemeenheid te zeggen welke keuze de meeste weerbaarheid biedt. Dit hangt af van de lokale context van de zorgaanbieder en de risicoafweging die gedaan is en de beheersmaatregelen die daarbij genomen zijn.

Vraag 8

Welke rol speelt de overheid in de afwikkeling van de hack?

Wat betreft de afwikkeling van de hack en opsporing en/of vervolging ligt de verantwoordelijkheid bij de politie en het Openbaar Ministerie (OM). Diverse toezichthouders doen onderzoek naar de hack. Vanuit onze stelselverantwoordelijkheid ondersteunen we de koepelorganisaties die in het Informatieberaad Zorg zitten met informatie over de digitale aanval en een woordvoeringslijn die zij kunnen gebruiken naar hun leden.
Ook worden bijvoorbeeld handelingsperspectieven uitgewisseld. VWS en organisaties die gesubsidieerd worden door VWS ondersteunen de getroffen zorginstellingen zoveel als mogelijk. Zo financiert de overheid Z-CERT, het expertise centrum cybersecurity in de zorg. Z-CERT, biedt hulp aan ChipSoft voor analyse, communicatie en incidentmanagement. Z-CERT informeert en adviseert haar deelnemers over deze situatie. Vanuit het ministerie volgen we de ontwikkelingen zeer nauw, adviseren we koepels en zorgaanbieders en duiden we de rollen en bevoegdheden, waar nodig.

Vraag 9

Zijn er alternatieven voorhanden bij een hack als deze, bijvoorbeeld alternatieve software waar ziekenhuizen en andere zorgverleners op kunnen terugvallen?

Ziekenhuizen hebben draaiboeken en protocollen voor als systemen niet werken om te zorgen dat het zorgproces door kan blijven gaan. Dit volgt uit de verplichte risico analyse die zij moeten doen. Zo gaan bijvoorbeeld verwijzingen van huisartsen naar Chipsoft-ziekenhuizen niet meer digitaal, maar per mail of telefonisch. Zie ook het antwoord op vraag 3. Het is aan zorgverleners zelf om deze protocollen, gegeven de specifieke situatie van de betreffende zorgverlener, in te richten. De ingebruikname van een ander elektronisch patiëntendossier of andere alternatieve software is niet iets wat in enkele dagen of weken geregeld kan worden. Dit is technisch zeer complex en kent een lange doorlooptijd. Bovendien brengt het hoge kosten en andere risico’s met zich mee.

Vraag 10

Welke eisen gelden er voor leveranciers van cruciale zorg-ICT?

Nederlandse zorgaanbieders zijn wettelijk verplicht om te voldoen aan de norm voor informatiebeveiliging in de zorg, de NEN 7510. De NEN 7510 geeft richtlijnen voor controlemaatregelen en stelt eisen aan het informatiebeveiligingssystemen. De norm vereist ook beheersmaatregelen voor bedrijfscontinuïteit en bereikbaarheid. Bij de inzet van ICT-producten die medische gegevens verwerken, eisen zorgaanbieders van de softwareleveranciers van deze ICT-producten dat ook zij voldoen aan de NEN 7510. Softwareleveranciers dienen dit aan te tonen met een certificaat.
In de nabije toekomst zullen aanvullende eisen voor cyberweerbaarheid worden gesteld in de NIS2-richtlijn die wordt omgezet in de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit. De European Health Data Space-verordening (EHDS) draagt bij aan toegankelijkheid van de zorg-ICT-markt in Nederland en Europa en betere databeschikbaarheid. Deze verordening gaat de nieuwe eis stellen dat EPD-systemen aan de kaders rondom cyberveiligheid moeten gaan voldoen conform de Cyberweerbaarheidsverordening6.

Vraag 11

Is de ketenweerbaarheid op het gebied van ICT in de zorg wat u betreft op orde, onder andere in de domeinen hosting, beheer, en koppelingen? Waarom wel of niet?

Zorgaanbieders zijn verantwoordelijk voor de afspraken die gemaakt worden met hun ICT-leveranciers. Uit deze verantwoordelijkheid volgt dat zij handelingsperspectieven moeten opstellen op basis van de individuele risicoafwegingen en passend bij de eigen context. In de NEN7510 is de verplichting opgenomen een risicobeoordeling uit te voeren en digitale afhankelijkheden in kaart te brengen. Daarnaast gaat de Cyberbeveiligingswet (Cbw) organisaties, waaronder zorgaanbieders, verplichten om hun leveranciersketen in kaart te brengen, en om aan de leveranciers in die keten informatiebeveiligingsnormen te stellen. De Cbw is voorzien medio 2026 in te gaan.

Vraag 12

Deelt u de opvatting dat dit geen incident is, maar een symptoom van te grote afhankelijkheid van een paar dominante leveranciers in de zorg, waarbij een incident bij één leverancier meteen een nationale zorgvraag wordt?

Nee, ik deel die opvatting niet. Zorgaanbieders dienen afspraken te maken met zorg-ICT-leveranciers en hierbij risico’s af te wegen. Het is wel zo dat de omvang van een hack groter kan zijn wanneer een leverancier met een groot marktaandeel wordt getroffen waarbij ook nog eens patiëntgegevens zijn opgeslagen.

Vraag 13

Deelt u de zorgen over de risico’s wanneer één dominante marktpartij de infrastructuur levert voor zorginstellingen of andere essentiële publieke voorzieningen?

Het is belangrijk dat er sprake is van een gezonde marktwerking op de zorg-ICT-markt. Op verzoek van de toenmalige Minister van VWS heeft de Nederlandse Zorgautoriteit (NZa) in januari 2025 een rapport uitgebracht: «Sturing op kwaliteit en betaalbaarheid zorg-ICT». Daarin staat dat onder andere in de ziekenhuiszorg een paar grote leveranciers de markt domineren. Deze marktconcentratie zorgt voor minder concurrentie, wat de prijzen op kan drijven en innovatie kan vertragen. Ook is er een definitieve leidraad goedwerkende markten voor zorg-ICT van de ACM7 gepubliceerd. Het Ministerie van VWS maakt hieruit op dat het voor nieuwe innovatieve spelers moeilijk is voet aan de grond te krijgen, omdat zorginstellingen huiverig zijn om risico’s te nemen door met kleine of nieuwe partijen in zee te gaan. Bovendien wordt toetreding tot de Nederlandse markt van nieuwe buitenlandse leveranciers bemoeilijkt door de complexe, internationaal niet te vergelijken bekostigingssystematiek in onze zorgsector. Een te grote eenzijdige afhankelijkheid kan risico’s met zich brengen voor de continuïteit van zorg. Zorginstellingen zijn zelf verantwoordelijk om deze risico’s in kaart te brengen en keuzes te maken om invulling te geven aan overwegingen van digitale autonomie.
In de brief Voortgang agenda databeschikbaarheid van 20 januari 2026 is de stand van zaken over de zorg-ICT-markt uiteengezet. Om de risico’s te beperken, ga ik de komende tijd aan de slag om de bewustwording en kennis en expertise bij bestuurders over zorg-ICT te vergroten. Ook wordt samen met partijen onderzocht hoe het inkoopproces verbeterd kan worden. Daarnaast wordt er samen met overheidspartijen met een regulerende of toezichthoudende rol in het zorgveld een zogenoemde signaleringstafel opgezet. Daar kunnen signalen over zorg-ICT worden gedeeld en kan vanuit bestaand instrumentarium bekeken worden of en zo ja welke (gezamenlijke) interventie gewenst is. Naast de hierboven genoemde acties zet ik in op de European Health Data Space (EHDS) om de markt toegankelijker te maken voor EPD-leveranciers. Om dat te bereiken worden er op Europees niveau harmoniserende regels gesteld aan interoperabiliteit tussen de EPD-systemen en aan een verplicht loggingsmechanisme voor gebruik van gegevens door zorgverleners. Ook wordt gekeken hoe het toezicht versterkt kan worden op zorg-ICT.

Vraag 14

Zijn er maatregelen die u neemt om dergelijke marktdominantie tegen te gaan, bijvoorbeeld door afspraken te maken over het inkoop- en aanbestedingsbeleid in de zorgsector? Waarom wel of niet?

In de eerste plaats zijn zorgaanbieders zelf verantwoordelijk voor de inkoop, aanbesteding en contractering van zorg-ICT. Wel blijkt uit het NZa rapport «Sturing op kwaliteit en betaalbaarheid zorg-ICT» januari 2025 dat de bewustwording en kennis en expertise bij bestuurders over zorg-ICT vergroot kan worden. Daarom wordt samen met partijen onderzocht hoe het inkoopproces verbeterd kan worden, bijvoorbeeld door de inzet van externe expertise om gezamenlijke inkoop van een kernapplicatie te laten slagen. Dit zorgt voor schaalvoordelen en vergroot de kans op samenwerking. Over dit soort onderwerpen heeft mijn ministerie ook regelmatig overleg met de ICT-gebruikersverenigingen van de ziekenhuizen.

Vraag 15

Hoe zorgt u voor voldoende diversificatie tussen ICT-leveranciers bij zorginstellingen? Is het uw verantwoordelijkheid om monopolievorming in de zorg-ICT tegen te gaan?

De Autoriteit Consument en Markt (ACM) houdt toezicht op eerlijke concurrentie en marktwerking, zo ook op de zorg-ICT markt. In eerste instantie is zij de toezichthouder op basis van de Mededingingswet die toezicht houdt op de markt en ook concentraties (fusies/overnames) beoordeelt. Zij heeft in haar brief op 28 januari 20258 aangegeven dat de zorg-ict markt niet goed werkt omdat ICT-systemen gesloten zijn. De ACM geeft aan dat zij op dit moment onvoldoende instrumenten heeft om eerlijke concurrentie en marktwerking structureel af te dwingen en adviseert het Ministerie van VWS om openheid van digitale informatiesystemen via wetgeving te verplichten.
Ik vind het belangrijk dat de zorg-ICT-markt toegankelijk is, zodat concurrentie en innovatie worden gestimuleerd. Met de EHDS wordt ook ingezet op een zo open mogelijke markt voor onder andere EPD-leveranciers. Ik onderzoek de mogelijkheden om als randvoorwaardelijk onderdeel van de EHDS, te komen tot additionele regulerende instrumenten.

Vraag 16

Is het wenselijk dat zorginstellingen individueel ICT-diensten inkopen en hierover onderhandelen? Welke voor- en nadelen ziet u bij een meer gezamenlijke vorm van inkoop?

In de eerste plaats zijn zorgaanbieders zelf verantwoordelijk voor de inkoop, aanbesteding en contractering. Gezamenlijke inkoop kan schaalvoordelen opleveren, vergroot de kans op samenwerking en versterkt de positie van de zorgaanbieders. Een nadeel kan zijn dat er minder maatwerk wordt geleverd.

Vraag 17

Wat is de status van de uitvoering van de motie-Bushoff/Bevers om bij de evaluatie van de Wet vifo te bezien of bij fusies en overnames vanuit het buitenland van digitale zorginfrastructuur vergelijkbare voorwaarden gesteld kunnen worden als bij andere cruciale sectoren, zoals de chip-, energie- en telecomsector?2

Sinds juni 2023 is de Wet Veiligheidstoets investeringen, fusies en overnames (vifo) van kracht. De Wet vifo introduceerde een mechanisme voor investeringstoetsing in Nederland. Recent is de wet, conform de toezegging aan de Tweede Kamer, geëvalueerd.
Tevens is in december 2025 de herziene Foreign Direct Investment (FDI)-screeningsverordening vastgesteld. Met de wijziging van de Verordening worden de reikwijdte en procedures van de nationale investeringstoetsingsregimes in de Europese Unie gestroomlijnd om economische veiligheidsrisico’s van investeringen op een meer coherente manier aan te pakken. Nadat de herziene FDI verordening formeel is vastgesteld, start de termijn voor omzetting van de Verordening in nationale wetgeving. In Nederland wordt deze Verordening geïmplementeerd in de Wet vifo. Ik koers aan op een verwijzing in de wet vifo naar de (terminologie van de) Wet weerbaarheid kritieke entiteiten (Wwke). Hiermee zullen kritieke entiteiten in de zorg in het geval van vijandige investeringen, fusies of overnames kunnen worden getoetst.

Vraag 18

Deelt u de zorgen van de Autoriteit Consument & Markt (ACM) over gesloten datastandaarden bij ICT-aanbieders in de zorg, aangezien systemen daardoor niet goed met elkaar communiceren en zorgaanbieders minder keuze hebben in hun leveranciers, met monopolievorming tot gevolg?

Ja ik deel deze zorgen. Het niet gebruiken van open standaarden en de geslotenheid van ICT-systemen bevordert niet de door de Nationale, Visie en Strategie10 gewenste interoperabiliteit op weg naar databeschikbaarheid. Om dat te veranderen zal een mix van Europese verplichtingen en nationale keuzes nodig zijn. Met de European Health Data Space (EHDS) verordening wordt ingezet op een zo open mogelijke markt voor EPD-leveranciers. Om dat te bereiken worden er op Europees niveau harmoniserende regels gesteld aan interoperabiliteit tussen de EPD-systemen. Vanuit de NVS-ambitie stuur ik op openstelling van systemen via open gestandaardiseerde koppelvlakken: publiek beschikbare koppelvlakken,
zodat data veilig, herbruikbaar en leverancier-onafhankelijk kan stromen door het hele stelsel. De specificaties van deze open koppelvlakken zijn een publieke verantwoordelijkheid. Zo nodig zal ik deze koppelvlakken ook als open source laten ontwikkelen en beschikbaar stellen aan marktpartijen.

Vraag 19

Wat is de status van de uitvoering van de motie-Bushoff/Kathmann over een routekaart waarlangs ICT-leveranciers in de zorg de komende jaren verplicht worden gebruik te maken van open datastandaarden?3

In mijn brief «stand van zaken landelijk dekkend netwerk» die ik voor het commissiedebat digitale zorg (gepland op 21 mei) naar uw Kamer zal sturen, zal ik dieper ingaan op dit vraagstuk.

Vraag 20

Welke structurele problemen in de zorg-ICT legt deze hack bloot? Wie is er aan zet om deze op te lossen?

Het onderzoek naar deze hack is nog in volle gang. Het is daarmee te vroeg om een verband te leggen tussen deze hack en structurele problemen in de zorg-ICT.

Vraag 21

Welke maatregelen neemt u om de cyberveiligheid en weerbaarheid van zorginstellingen structureel te vergroten?

In het versterken van de cyberweerbaarheid van de zorg neem ik een kader stellende, toezichthoudende, stimulerende en faciliterende rol in. In de brief over informatieveiligheid in de zorg van 4 december 2025 heeft mijn voorganger uw Kamer geïnformeerd over de maatregelen die mijn ministerie neemt12. Ik ondersteun zorginstellingen bij het voorkomen van incidenten door het verhogen van bewustzijn van zorgmedewerkers in het programma Informatieveilig gedrag in de zorg. Een groot deel van cyberincidenten zijn mede veroorzaakt door menselijk handelen. Daarnaast bied ik hulpmiddelen aan om te voldoen aan de NEN7510, de norm voor informatiebeveiliging in de zorg. Deze norm schrijft organisatorische, mensgerichte, fysieke en technologische beheersmaatregelen voor die de digitale weerbaarheid van een organisatie concreet verhogen. Dit met het doel om dreigingen te voorkomen, detecteren of erop te reageren. Tot slot helpt het expertisecentrum cybersecurity in de zorg (Z-CERT) zorginstellingen in het voorkomen van incidenten door te monitoren en eventuele dreigingsinformatie te delen. Daarnaast biedt Z-CERT ondersteuning bij het beperken van de gevolgen wanneer er onverhoopt een incident heeft plaatsgevonden.

Vraag 22

Wat wordt de rol van de Cyberbeveiligingswet, zodra deze is aangenomen, om dergelijke hacks te voorkomen en sneller af te wikkelen? Wat gaat er concreet veranderen in een casus zoals deze?

Voor alle zorgaanbieders is de NEN 7510, de norm voor informatiebeveiliging in de zorg, nu al wettelijk verplicht. De Cyberbeveiligingswet (Cbw) gaat bredere eisen stellen aan netwerk- en informatiebeveiliging voor diverse sectoren waaronder de sector zorg. Zodra de Cbw van kracht is (voorzien medio 2026), hebben organisaties die onder de wet vallen een meldplicht. Dit houdt in dat een significante cyberincident13 binnen 24 uur wordt gemeld bij het portaal van het Nationaal Cyber Security Centrum (NCSC). Het NSCS werkt nauw samen met Z-CERT, het expertisecentrum op het gebied van het cybersecurity in de zorg. Deze meldplicht zorgt ervoor dat alle significante meldingen worden gemonitord en er tijdig wordt gewaarschuwd tegen cyberdreigingen. Daarnaast stelt de Cbw een zorgplicht voor organisaties verplicht. Dit houdt in dat organisaties vallend onder Cbw maatregelen moeten nemen om hun netwerk- en informatiesystemen te beschermen tegen significante incidenten. De Cbw zal cyberincidenten niet voorkomen, maar de cyberweerbaarheid in Nederland en daarmee ook in de sector zorg wordt verhoogd doordat significante cyberincidenten worden gemonitord en vervolgens snel wordt gehandeld om de beveiliging van informatiesystemen en bedrijfscontinuïteit te waarborgen.

Vraag 23

Kunt u deze vragen afzonderlijk van elkaar en nog vóór het commissiedebat over digitale ontwikkelingen in de zorg van 21 mei 2026 beantwoorden?

Ja.

Vraag 1

Bent u bekend met het bericht: «Rechter dwarsboomt IT-aanbesteding rijksoverheid van € 3 mrd» (Financieel Dagblad, 9 maart 2026)?1

Ja.

Vraag 2

Bent u eveneens bekend met de uitspraak van de rechter in Den Haag, die stelt dat twee IT-aanbestedingen van de Rijksoverheid ter waarde van 3,3 miljard euro gestaakt moeten worden?2

Ja.

Vraag 3

Wat is uw reactie op de berichtgeving en de rechterlijke uitspraak?

De Staat werkt momenteel aan verduidelijking en, waar nodig, aanpassing van de aanbestedingsvoorwaarden, in lijn met het vonnis.
Mede omdat de zaak onder de rechter is, wordt niet in algemene zin ingegaan op de berichtgeving. Dat is anders ten aanzien van concrete vragen die de Kamer stelt.

Vraag 4

Kunt u toelichten welke aanpassingen u gaat doorvoeren of al heeft doorgevoerd in de aanbestedingsvoorwaarden om aan de rechterlijke uitspraak te voldoen?

Nee, op dit moment nog niet. Het onderzoek naar de mogelijkheden om de aanbestedingsvoorwaarden te verduidelijken danwel aan te passen loopt nog.

Vraag 5

Zouden de IT-aanbestedingen, indien ze doorgang vinden, de digitale autonomie van Nederland vergroten of verkleinen? Kunt u dit onderbouwen?

Op dit moment kan niet concreet worden gezegd of de aanbestedingen de digitale autonomie van Nederland vergroten danwel verkleinen. Echter, op de Europese Aanbesteding Programmatuur 2025 (EAP-2025) aanbestedingen waren en blijven de Algemene Rijksvoorwaarden bij IT-overeenkomsten (ARBIT) van toepassing. De ARBIT bevat ook voorwaarden die bijdragen aan digitale autonomie en soevereiniteit, zoals voorwaarden met betrekking tot exit, opzegging, ontbinding en informatieveiligheid.
Met de aanbestedingen wordt beoogd raamovereenkomsten te sluiten met daartoe geschikt bevonden resellers. Dat zijn resellers die zich aan de aanbestedingsvoorwaarden conformeren. De deelnemers doen binnen de raamovereenkomsten met de resellers nadere uitvragen voor de levering van specifieke producten. De impact op de digitale autonomie is vooral afhankelijk van de inhoud van deze nadere uitvragen.

Vraag 6

Hoe houdt u de komende vier jaar de mogelijkheid om de afhankelijkheid van Amerikaanse techbedrijven via aanbestedingen te verkleinen conform de wens van de Tweede Kamer,3 nu u middels een raamovereenkomst de voorwaarden voor nieuwe inkoop jarenlang vastlegt?

Bij aanpassing van de aanbestedingsstrategie en -voorwaarden wordt, waar van toepassing en mogelijk, (nieuw) rijksbreed beleid geborgd, waaronder rijksbreed beleid inzake digitale autonomie en soevereiniteit.
Deelnemers moeten binnen hun inkoopvraagstukken borgen dat zij gericht besluiten nemen inzake de reductie van het risico op afhankelijkheid. Dat betekent dat zij bestaande producten vervangen door alternatieven die minder / geen risico op afhankelijkheid kennen. Voor nieuwe producten dienen zij voor hun nadere uitvragen binnen de raamovereenkomsten aanvullende eisen en voorwaarden op te nemen, passend bij de specifieke opdracht, om te borgen dat het risico op afhankelijkheid beheersbaar blijft.

Vraag 7

Ziet u met de rechterlijke uitspraak en de noodzaak om de aanbestedingsvoorwaarden aan te passen ook de mogelijkheid om digitale autonomie zwaarder mee te wegen als criterium?

Deze vraag kan op dit moment nog niet worden beantwoord. De categorie Software Rijk onderzoekt nog of en zo ja, in welke mate de aanbestedingsvoorwaarden ten aanzien van digitale soevereiniteit en autonomie verder moeten worden aangepast.

Vraag 8

Welke gevolgen heeft de rechterlijke uitspraak voor de twee IT-aanbestedingen ter waarde van 3,3 miljard euro? Kunt u een overzicht geven van lopende contracten waar deze uitspraak mogelijk ook gevolgen voor heeft?

Voor het antwoord op de eerste vraag wordt verwezen naar het antwoord op vraag 3. De aanbestedingen zijn gestaakt. De Staat onderzoekt de noodzaak en mogelijkheden voor aanpassing of herziening van de aanbestedingsvoorwaarden en neemt op basis van de bevindingen een besluit inzake de vervolgaanpak. Ter overbrugging zijn de bestaande raamovereenkomsten verlengd, om te voorkomen dat de inkoop van standaardprogrammatuur tussentijds stilvalt.
De uitspraak van de rechter heeft gevolgen voor alle opdrachten (nadere overeenkomsten) die worden afgesloten onder de verlengde raamovereenkomsten van het Ministerie van Defensie en van het Ministerie van Justitie en Veiligheid. De ministeries zijn hierover geïnformeerd.

Vraag 9

Wat is het doel en de noodzaak van de twee IT-aanbestedingen? Welke diensten zouden precies ingekocht worden bij Microsoft en Oracle, en in welke ministeries en overheidsorganisaties zouden deze gebruikt worden?

Zoals toegelicht bij vraag 6 is het doel van de aanbestedingen om voor de inkoop van standaardprogrammatuur (zowel nieuwe, als uitbreidingen op bestaande software) een duidelijk en rechtmatig afsprakenkader te creëren. Deze aanbestedingen hebben niet specifiek betrekking op software van Microsoft of Oracle.
De noodzaak van de aanbestedingen is drieledig, namelijk:
Diensten die worden ingekocht zijn: de levering van standaardsoftware, onderhoud en support, helpdeskondersteuning, adviesdiensten, installatie en configuratie van standaardsoftware en trainingen en opleidingen.
De aanbestedingen worden uitgevoerd ten behoeve van het Ministerie van Defensie en het Ministerie van Justitie en Veiligheid. De lijst met deelnemende organisaties staat onderaan de beantwoording van deze lijst met vragen en antwoorden.

Vraag 10

Waarom vraagt u in de aanbesteding voor deze grote IT-projecten om «levering van standaardprogrammatuur van vendor Microsoft» in plaats van dat u de technische eisen uitvraagt van de software die u wil inkopen?4

Binnen de lopende raamovereenkomsten moet het voor deelnemers mogelijk zijn om, indien nodig, het aantal licenties voor het gebruik, onderhoud en/of beheer van deze programmatuur uit te kunnen breiden. Een uitvraag op basis van technische eisen kan leiden tot aanbod van een ander typen licenties, hetgeen praktisch niet wenselijk is en tot kostenverhoging kan leiden.

Vraag 11

Wat bedoelt u met «gerelateerde open source toepassingen» aan de standaardprogrammatuur van Microsoft? Op welke toepassingen gaat dit, en waarom neemt u deze af via de tussenhandelaar?5

Met «gerelateerde open source toepassingen» aan de standaardprogrammatuur van Microsoft wordt de closed source- en open source, software bedoeld die softwareleveranciers gebruiken voor het leveren van hun software(diensten). Dat is ook van toepassing voor software(diensten) van Microsoft (Perceel6. Binnen deze aanbesteding is het leveren van open-source software(diensten) voorbehouden aan een ander Perceel, Perceel 2. Om te voorkomen dat dit voorbehoud ervoor zorgt dat de software van de softwareleverancier in Perceel 1 niet meer werkt, danwel wordt uitgesloten, omdat deze open source software bevat, is de uitzonderingsgrond toegevoegd dat ook software(diensten) met gerelateerde open source toepassingen in Perceel 1 kunnen worden aangeboden.
De Staat neemt deze oplossingen af via resellers omdat de Staat de software op deze wijze op basis van eenduidige voorwaarden (ARBIT) in kan kopen.

Vraag 12

Hoe verhoudt het niet opnemen van technische eisen voor de af te nemen software zich tot artikel 2.75–2.77 van de Aanbestedingswet 2012, nu ook de term «of gelijkwaardig» (2.76, lid 4, subartikel b) ontbreekt?6

De EAP-aanbestedingen leiden tot raamovereenkomsten met meerdere resellers die in principe alle gangbare standaardprogrammatuur (> 4.000) kunnen leveren. De concrete, technische eisen worden niet in de raamovereenkomst vastgelegd, maar pas bij elke afzonderlijke nadere offerteaanvraag van een deelnemer. Die offerteaanvraag kan:
Waar de Aanbestedingswet 2012 een lichter regime of een uitzondering toestaat, geldt die ook voor de betreffende nadere offerteaanvraag voor standaardprogrammatuur en bijbehorende dienstverlening. Dat kan bijvoorbeeld in de volgende situaties:
Samengevat: de technische specificaties worden per opdracht geformuleerd binnen het raamwerk, en waar de wet uitzonderingen of een lichter regime toelaat, wordt dat op die specifieke nadere offerteaanvraag toegepast.

Vraag 13

Zijn de toepasselijke (verplichte of aanbevolen) standaarden van het Forum Standaardisatie uitgevraagd in deze aanbestedingen? Zo nee, waarom niet, en hoe verzekert u dan dat ook gegadigden naast Microsoft en Oracle aan de aanbesteding kunnen voldoen?

Ja, de standaarden van het Forum Standaardisatie zijn uitgevraagd.

Vraag 14

Zijn de IT-aanbestedingen gericht op het inkopen van software of het vinden van softwareverkopers? Gaan deze aanbestedingen niet feitelijk over het aangaan van een licentieovereenkomst, waarbij het softwarebedrijf als rechthebbende eenzijdig de voorwaarden bepaalt?

De EAP-aanbestedingen zijn gericht op het contracteren van meerdere resellers (softwareverkopers) die binnen de raamovereenkomst in principe alle gangbare standaardprogrammatuur (>4.000 softwareproducten) kunnen leveren.
De deelnemers doen binnen de (rijksinkoopvoorwaarden van de) raamovereenkomst bij de gecontracteerde resellers nadere offerteaanvragen die leiden tot het aangaan van licentieovereenkomsten. De licentieovereenkomsten worden echter gesloten onder de voorwaarden van de Rijksoverheid en niet eenzijdig onder voorwaarden van de softwareleverancier.

Vraag 15

Zijn Microsoft en Oracle de énige techbedrijven die kunnen voldoen aan de technische en operationele eisen die u stelt in de aanbesteding? Zo ja, bent u het dan met de indieners eens dat de aanbesteding toeschrijft naar Microsoft en Oracle?

Nee, niet alleen Microsoft of Oracle kunnen aan de aanbestedingseisen voldoen.
De EAP-aanbestedingen leiden tot raamovereenkomsten met meerdere resellers die in principe een zeer breed scala aan standaardprogrammatuur (meer dan 4.000 producten) kunnen leveren. De EAP2025-aanbestedingen schrijven daarom niet toe naar Microsoft of Oracle.

Vraag 16

Wat bedoelt de Staat met de stelling dat «80 tot 85% van de offerteaanvragen een productgerichte offerteaanvraag [betreft]»? Kan er sprake zijn van een open aanbesteding als het merendeel van offertes om één specifiek product vraagt?

Met «80–85%» wordt gedoeld op het aandeel nadere offerteaanvragen dat productgericht is en middels minicompetities binnen de raamovereenkomsten wordt uitgevraagd. Het doen van productgerichte uitvragen binnen een raamovereenkomst is wettelijk toegestaan in die gevallen waar de Aanbestedingswet 2012 een lichter regime of een uitzondering toestaat. Zie ook de beantwoording op vraag 12.
De aanbesteding is open want deze heeft tot doel meerdere opdrachtnemers te contracteren die in staat zijn om de gevraagde standaard programmatuur te kunnen leveren.

Vraag 17

Hoeveel van deze 80 tot 85% van deze productgerichte offerteaanvragen worden uiteindelijk bij Microsoft en Oracle afgenomen? Kunt u dit inzichtelijk maken?

Nee, die informatie kan niet inzichtelijk worden gemaakt, omdat deze informatie niet centraal wordt geregistreerd.

Vraag 18

Zorgen deze productgerichte offerteaanvragen ervoor dat het op voorhand vrijwel zeker is dat software van Microsoft en Oracle zal worden gekozen? Zo nee, waarom is er dan gekozen voor productgerichte offerteaanvragen? Zo ja, is het dan terecht om te stellen dat er sprake is van een vendor lock-in?

Nee, een productgerichte offerteaanvraag zorgt ervoor dat door één van de gecontracteerde resellers een specifiek product (standaardprogrammatuur) wordt uitgevraagd en geleverd. Dit kan Microsoft of Oracle betreffen, maar ook andere standaardprogrammatuur.
Voor een productgerichte uitvraag wordt gekozen, omdat er bijvoorbeeld sprake is van uitbreiding van de licenties van een oplossing die reeds in gebruik is. Zie ook de beantwoording van vraag 12.
Een productgerichte uitvraag betekent op zichzelf niet dat sprake is van een vendor lock-in.

Vraag 19

Deelt u de analyse van de indiener dat deze mate van productgerichte offerteaanvragen een vendor lock-in van enkele grote techbedrijven in de hand speelt? Zo nee, kunt u onderbouwen dat dit niet het geval is?

Nee, de analyse wordt niet gedeeld.
In de vraag worden oorzaak en gevolg omgedraaid. Immers, het uitgangspunt is dat een deelnemer standaardprogrammatuur functioneel uitvraagt, tenzij op grond van de Aanbestedingswet 2012 voor de concrete opdracht een lichter regime of een uitzondering geldt. In dat geval kan de deelnemer een productgerichte uitvraag doen bij de gecontracteerde reseller.
Een vendor lock-in kan ontstaan ná ingebruikneming van de oplossing met de beste prijs-kwaliteitverhouding. In die situatie kan die afhankelijkheid een grond zijn om bij uitbreidingen of vernieuwing productgericht uit te (moeten) vragen.

Vraag 20

Is software van Microsoft en Oracle de enige manier om uw dienstverlening te kunnen handhaven? Zo nee, waarom is dan gekozen voor de productgerichte offerteaanvragen?

Nee, software van Microsoft en Oracle is niet de enige manier om dienstverlening te kunnen handhaven. De vraag of een deelnemer zonder software van bijvoorbeeld Microsoft, Oracle of een andere fabrikant kan, wordt op deelnemer niveau vastgesteld.
Centraal inzicht in overwegingen die ten aanzien van besluitvorming over offerteaanvragen van individuele deelnemers ten grondslag ligt, ontbreekt; die gegevens zijn niet centraal bijgehouden en geregistreerd.

Vraag 21

Is dezelfde constructie met productgerichte offerteaanvragen, met sublicentiëring via tussenhandelaren, eerder toegepast bij IT-aanbestedingen van de Rijksoverheid, zoals gesteld wordt in de berichtgeving? Zijn er lopende contracten waarbij dezelfde constructie van toepassing is?

Ja, dezelfde constructie met productgerichte offerteaanvragen, met sublicentiëring via tussenhandelaren is eerder toegepast bij uitgevoerde aanbestedingen voor raamovereenkomsten van de Rijksoverheid inzake de levering van standaardprogrammatuur.
Ja, er zijn lopende contracten waarbij dezelfde constructie van toepassing is.

Vraag 22

Hoe verhouden deze productgerichte offerteaanvragen bij Microsoft en Oracle zich tot de Aanbestedingswet 2012, artikel 1.10a, in het bijzonder lid 2, namelijk het verbod om opdrachten te ontwerpen «met het doel bepaalde ondernemers ten onrechte te bevoordelen»?7

In dit kader kan worden verwezen naar het antwoord op vraag 18. Overigens zien productgerichte uitvragen niet alleen toe op Microsoft en Oracle. De gronden om productgericht uit te vragen, gelden in gelijke mate voor de softwareproducten (> 4.000) van alle vendors.

Vraag 23

Bent u bekend met (in omvang) vergelijkbare aanbestedingen van ICT die op een soortgelijke manier, door het noemen van de merknaam, een of meer Europese leveranciers bevoordelen? Zo ja, welke zijn dat? Zo nee, waarom is dit bij Amerikaanse bedrijven dan wel het geval?

Nee. In dit kader kan verder worden verwezen naar de beantwoording op vraag 10.
De aanbestedingen richten zich niet specifiek op de levering van producten van Amerikaansen vendors, maar op producten (> 4.000) die de deelnemers via de gecontracteerde resellers afnemen.

Vraag 24

Kunt u alle relevante stukken die betrokken zijn bij de (voorbereiding van) deze twee IT-aanbestedingen aan de Kamer doen toekomen, inclusief risico-analyses en voorbereidende notities?

Ja, in de bijlagen treft u de relevante aanbestedingsstukken en nota’s van inlichtingen aan.

Vraag 25

Kunt u deze vragen afzonderlijk van elkaar beantwoorden, en toezeggen dat u de IT-aanbestedingen niet doorzet totdat deze juridisch houdbaar zijn en de Kamer volledig is geïnformeerd?

De vragen zijn afzonderlijk van elkaar beantwoord.
Toegezegd wordt dat de aanbestedingen worden voortgezet nadat op basis van de resultaten van de in- en externe consultaties een besluit is genomen over de (mate van) aanpassing van de aanbestedingsvoorwaarden en de vervolgaanpak. De Kamer zal tegelijkertijd met de markt worden geïnformeerd op de wijze waarop de aanbesteding zal worden hervat.

Vraag 1

Bent u bekend met het bericht: «Onderzoek naar Amerikaanse cloud-risico’s door Ministerie van overheidswebsite verwijderd» (De Volkskrant, 5 maart 2026)?

Ja.

Vraag 2

Kunt u verklaren waarom het onderzoek naar de risico’s van de Amazon «European Sovereign Cloud» tijdelijk offline is gehaald?1

Vanwege onduidelijkheden in de interpretatie is de publicatie tijdelijk teruggenomen voor verduidelijking in het begeleidende bericht en daarna opnieuw geplaatst; de inhoud van het rapport is geheel ongewijzigd.

Vraag 3

Wat is uw reactie op het rapport?

Het onderzoeksrapport dat SLM heeft laten opstellen door het advocatenkantoor Greenberg Traurig bevat een objectieve juridische beoordeling van de AWS ESC ten aanzien van de soevereiniteit op data en soevereiniteit op de beschikbaarheid van het systeem.
Het onderzoek heeft samengevat de volgende bevindingen opgeleverd:
De conclusie van Greenberg Traurig dat de AWS European Sovereign Cloud compatibel kan zijn met de visie digitale autonomie en soevereiniteit, heeft alleen betrekking op een deel van de eisen ten aanzien van Nederlandse of Europese jurisdictie, maar niet op de overige autonomie doelstellingen van de Visie.

Vraag 4

Wat is het doel geweest van het onderzoek van GreenbergTraurig? Wat wordt er gedaan met de uitkomsten?

Binnen de scope en mandaat van SLM Microsoft, Google Cloud en AWS valt het onderzoeken van het aanbod van de genoemde partijen. Zo voert SLM onder meer Data Protection Impact Assessments (DPIA’s) uit op diensten van deze partijen.
Gezien het beschikbaar zijn van de AWS European Sovereign Cloud (AWS ESC) per 15–01 jl. is dit aanbod in opdracht van SLM onderzocht.
Het onderzoeksrapport dat SLM heeft laten opstellen door het advocatenkantoor Greenberg Traurig bevat een objectieve juridische beoordeling van de AWS ESC ten aanzien van de soevereiniteit op data en soevereiniteit op de beschikbaarheid van het systeem.
Een belangrijke disclaimer is dat dit geen technisch onderzoek is naar de doeltreffendheid van technische en/of organisatorische maatregelen van AWS. Ook betreft dit geen beleidsadvies of een compliance-beoordeling.

Vraag 5

Hoe reageert u op de kritiek dat het rapport eenzijdig is geschreven? Ziet u aanleiding om de risico’s nader te onderzoeken?

Het rapport beoogt een objectieve juridische beoordeling te geven van de juridische onderzoeksvragen die in het rapport geformuleerd zijn.
Momenteel is er geen aanleiding om de risico’s nader te onderzoeken. Nu wordt prioriteit gegeven aan onderzoek en contractering van EU leveranciers (momenteel STACKITt, ESET en OVH).

Vraag 6

Hoe leest u de conclusies van het rapport, waaruit blijkt dat de Amerikaanse overheid via de Amazon «European Sovereign Cloud» nog steeds toegang kan krijgen tot Nederlandse data?

Zie beantwoording vraag 3.

Vraag 7

Kunt u bevestigen dat het afnemen van de Amazon «European Sovereign Cloud» en soortgelijke initiatieven van Amerikaanse techgiganten niet bijdraagt aan het digitaal autonoom maken van Nederland? Wordt het afbouwen van het gebruik hiervan onderdeel van het kabinetsbeleid?

Zie antwoord op vraag 3 (voor eerste deelvraag).
Het kabinetsbeleid is er, middels de Nederlandse Digitalisering Strategie (NDS), op gericht een soevereine overheidscloud te realiseren, waar mogelijk en passend in samenwerking met de Nederlandse of Europese IT industrie.
In algemene zin is de inzet van het kabinet erop gericht om eenzijdige afhankelijkheden van derde landen af te bouwen en zoveel mogelijk te diversifiëren, ook op digitaal vlak.

Vraag 8

Hebben ministeries, uitvoeringsorganisaties, zbo’s of andere overheidsdiensten reeds plannen om gebruik te maken van de Amazon «European Sovereign Cloud» of soortgelijke initiatieven? Zo ja, kunt u een overzicht geven van organisaties die van plan zijn om de dienst af te nemen of dit al hebben gedaan?

Overheidsorganisaties zijn verantwoordelijk voor hun eigen gebruik van clouddiensten. Op dit moment is mij niet bekend of er overheidsorganisaties voornemens zijn deze clouddienst te gaan gebruiken.

Vraag 9

Zijn er nog andere risicoanalyses of onderzoeken uitgevoerd naar de gevolgen voor de digitale autonomie bij het afnemen van de Amazon «Sovereign European Cloud» of soortgelijke initiatieven? Zo ja, kunt u deze aan de Kamer doen toekomen?

In samenwerking met een werkgroep van het CIO Platform Nederland, waaraan ook een aantal overheid CIO’s deelnemen, is er een inventarisatie gedaan naar een aantal cloud diensten die als «soevereine cloud» worden aangeboden.
Deze inventarisatie is nog niet afgerond en indien een rapport wordt opgesteld, kan het gedeeld worden met de Tweede Kamer.

Vraag 10

Kunt u deze vragen afzonderlijk en zo snel mogelijk beantwoorden?

De vragen zijn zo spoedig mogelijk beantwoord.

Vraag 1

Bent u bekend met het bericht «Digitale autonomie en de uitbesteding applicatiediensten omzetbelasting door de Staat»1 en de desbetreffende aanbesteding van de Belastingdienst?2

Ja.

Vraag 2

Wat is uw reactie op het bericht en de aanbesteding?

Voor het antwoord op deze vraag verwijs ik u naar de Kamerbrief die u op 17 maart jl. over dit onderwerp heeft ontvangen.

Vraag 3

Op welke gronden is gekozen om (het beheer en het onderhoud van) de software van de omzetbelasting bij FAST Enterprises in te kopen, namelijk het softwarepakket «GenTax»?

Het systeem voor de omzetbelasting is sterk verouderd en dringend toe aan modernisering. Daarover is uw Kamer in de laatste jaren veelvuldig geïnformeerd. De Belastingdienst is in 2020 gestart met het traject om het verouderde omzetbelastingsysteem te moderniseren. In 2021 heeft de Belastingdienst een marktconsultatie gedaan, waaruit bleek dat er oplossingen in de markt beschikbaar zijn. In 2022 is na extern advies besloten om een aanbesteding te starten en een pakketoplossing uit de markt aan te schaffen in plaats van zelf een nieuw systeem te bouwen. Uit het advies bleek dat een oplossing uit de markt sneller en tegen lagere kosten zou kunnen worden gerealiseerd dan wanneer de Belastingdienst zelf een systeem zou bouwen.
In 2023 is de Belastingdienst een aanbestedingsprocedure (een concurrentiegerichte dialoog) gestart. Na het doorlopen van een zorgvuldige Europese aanbestedingsprocedure is de opdracht gegund aan het Amerikaanse bedrijf Fast Enterprises. Dit bedrijf scoorde het beste op de aangegeven criteria uit de vooraf via TenderNed openbaar gemaakte aanbestedingsstukken. Voorbeelden van criteria zijn: gebruiksvriendelijkheid, gegevensbeheer, informatiebeveiliging en datamigratie.

Vraag 4

Op welke manier is er, ten tijde van de aanbesteding, rekening gehouden met digitale autonomie als voorwaarde voor aanbestedingen van overheids-ICT? Zou u dit in de huidige politieke context anders beoordelen?

Het traject is gestart in een andere (geo)politieke context. Het versterken van de nationale digitale autonomie door het beperken van de afhankelijkheid van niet-Europese technologie speelde destijds een beperktere rol in de afwegingen. Er is bewust gezocht naar bewezen technologie en gekeken naar de ervaringen van andere Europese landen.
De aanbesteding is zorgvuldig doorlopen conform de Europese aanbestedingsregels. De gevolgde Europese aanbestedingsregels maken het niet mogelijk om niet-Europese landen uit te sluiten indien hier handelsverdragen mee zijn gesloten.
Tegelijkertijd ziet dit kabinet ook dat Nederland kwetsbaar is geworden door afhankelijkheid van een klein aantal buitenlandse (tech)spelers en kijkt daarom met veel aandacht naar de digitale, en open strategische, autonomie van Nederland. In Europees verband wordt daarom gesproken over het herzien van de aanbestedingswet- en regelgeving, en een eventueel EU-voorkeursprincipe bij aanbestedingen in specifieke sectoren.

Vraag 5

Indien de keuze voor FAST Enterprises de digitale autonomie niet bevordert, kunt u dan onderbouwen waarom dit alsnog de voorkeursoptie is?

In 2020 startte de Belastingdienst het traject voor de modernisering van het verouderde omzetbelastingsysteem. Een marktconsultatie in 2021 wees uit dat er geschikte pakketoplossingen beschikbaar waren in de markt. In 2022 is na een onderzoek uitgevoerd door McKinsey besloten om een aanbesteding te starten om een bewezen pakketoplossing voor de omzetbelasting aan te schaffen in plaats van zelf een nieuw systeem te bouwen.3 Uit het onderzoek bleek dat het aanschaffen van een systeem sneller te realiseren is dan zelf bouwen. Een tweede onafhankelijk onderzoek heeft dit beeld bevestigd.
De Belastingdienst heeft een zorgvuldige Europese aanbestedingsprocedure doorlopen in de vorm van een concurrentiegerichte dialoog. Het stond Nederlandse en Europese bedrijven uiteraard vrij om hieraan deel te nemen, dat hebben zij ook gedaan. Na het doorlopen van deze aanbestedingsprocedure is de opdracht gegund aan het Amerikaanse bedrijf, Fast Enterprises. Zoals ik reeds aangaf in het antwoord op vraag 3 scoorde dit bedrijf het beste op de van te voren aangegeven criteria in de aanbestedingsstukken. Daarnaast sluiten de gevolgde Europese aanbestedingsregels Amerikaanse bedrijven niet uit.

Vraag 6

Kunt u onderbouwen waarom er niet is gekozen om de software van de omzetbelasting intern te ontwikkelen en beheren of dit in te kopen bij een Nederland of Europees bedrijf?

Zie antwoord vraag 5.

Vraag 7

Hoe garandeert u dat de relatie met FAST Enterprises niet door de Verenigde Staten gebruikt zal worden als drukmiddel, in het licht van de Nationale Veiligheidsstrategie van de VS?3 Kunt u inzicht geven in alle maatregelen die zijn genomen om dit risico te voorkomen?

Ik kan u die garantie niet geven. Het volledig uitsluiten van dit risico is bij een afhankelijkheid van een externe leverancier niet mogelijk. Het kabinet is doorlopend met de Verenigde Staten in gesprek om dergelijke vergaande maatregelen te voorkomen.5 In een extreem geval, kan de leverancier onder statelijke druk gedwongen worden om te stoppen met het leveren van diensten. In de recente geschiedenis is dit alleen onder zeer specifieke sanctiewetgeving gebeurd. De risico’s rondom continuïteit in relatie tot de Amerikaanse leverancier dienen te worden afgewogen tegen de risico’s die samenhangen met het langer in stand houden van het huidige verouderde systeem waarover ik u in de oplegbrief heb geïnformeerd. Deze risico’s acht ik groter en reëler dan dat de relatie met de leverancier als drukmiddel wordt ingezet.
De Belastingdienst voert als onderdeel van het programma een risicoanalyse conform de IRAM (Information Risk Assessment Methodology) uit. Op basis daarvan worden maatregelen uitgewerkt en geïmplementeerd en vervolgens op hun effectiviteit getoetst. Gelijktijdig en als onderdeel van de risicoanalyse laat ik parallel onderzoeken op welke termijn en onder welke voorwaarden de Belastingdienst het beheer en onderhoud van de infrastructuur van het systeem kan overnemen van Fast Enterprises. Dit kan als een alternatieve route dienen in het geval uit de risicoanalyse blijkt dat de restrisico’s, na het treffen van de beheersmaatregelen, niet tot een aanvaardbaar niveau kunnen worden teruggebracht. Het zorgvuldig uitwerken van deze alternatieve route vergt tijd. Ik zal uw Kamer hierover informeren voor het zomerreces.
Ik zal hierbij ingaan op een aantal maatregelen die nader worden uitgewerkt. De Belastingdienst werkt met Fast aan de invulling van deze mitigerende maatregelen. Zo zal de leverancier gaan werken op locatie in Apeldoorn onder toezicht van medewerkers van de Belastingdienst die worden opgeleid om het systeem te beheren. Er wordt door de leverancier, eenmaal in productie, geen beheer op afstand vanuit de Verenigde Staten gevoerd. De Belastingdienst heeft de infrastructuur ingericht als een «onvertrouwde» omgeving binnen de infrastructuur van de Belastingdienst. De omgeving is gezoneerd en koppelingen of verbindingen met andere systemen worden gecontroleerd.
De Belastingdienst is in gesprek met de leverancier over het treffen van aanvullende beheersmaatregelen. Het gaat daarbij onder meer, maar niet uitsluitend, om te bewerkstelligen dat er wordt gewerkt met medewerkers die niet onder Amerikaanse jurisdictie vallen. Ook is de Belastingdienst in gesprek met de leverancier om de escrow-regeling die is opgenomen in de overeenkomst met Fast een ruimere toepassing te geven. Dit is een regeling die dient als waarborg op de continuïteit van de dienstverlening. Er wordt een kopie van de broncode en documentatie in bewaring gegeven bij een Nederlandse onafhankelijke derde partij. In geval van het niet nakomen van dienstverleningsafspraken wordt deze broncode en documentatie vrijgegeven. De Belastingdienst gaat een proces inrichten om te zorgen dat de Belastingdienstmedewerkers in dat geval over de benodigde expertise beschikken en werkzaamheden kunnen uitvoeren.

Vraag 8

Kan de Belastingdienst gedurende de looptijd van het contract wel of niet volledig zelfstandig en zonder bijdrage van FAST Enterprises: 1) reageren op incidenten in GenTax; 2) bugfixes doorvoeren in GenTax; en 3) GenTax aanpassen zodat het voldoet aan nieuwe regelgeving?

Nee, deze handelingen kan de Belastingdienst niet volledig zelfstandig uitvoeren. Dit onderwerp is wel onderdeel van de kritische blik op de beheersmaatregelen en de nadere uitwerking hiervan. Zoals hiervoor aangegeven is de Belastingdienst een proces aan het inrichten om te zorgen dat de Belastingdienstmedewerkers de benodigde expertise hebben om continuïteit te waarborgen ingeval van niet nakomen van dienstverleningsafspraken.

Vraag 9

Kunt u precies aangeven wat de werkzaamheden en de taken zijn van het projectteam van FAST Enterprises dat op Nederlandse bodem diensten zal leveren, zowel vóór als na de implementatie van GenTax?4

De implementatie betreft een integrale oplossing waarbij Fast het beheer gaat voeren op het totale systeem (software en infrastructuur). De infrastructuur staat in Apeldoorn, maar wordt beheerd door Fast (door middel van een housing-oplossing geleverd door de Belastingdienst). Zoals in de specificatie van de opdracht beschreven zal het projectteam van Fast, op Nederlandse bodem, werkzaamheden uitvoeren die samenhangen met de realisatie, configuratie en implementatie van GenTax. Dit gebeurt onder toezicht van Belastingdienstmedewerkers (vier-ogenprincipe). De Belastingdienst werkt met Fast aan wijze waarop hier invulling aan wordt gegeven.
Het projectteam van Fast ondersteunt daarnaast de voorbereiding en uitvoering van de migratie naar de nieuwe oplossing en begeleidt de organisatorische inbedding daarvan. Ook verzorgt Fast de opleidingsmaterialen die nodig zijn om medewerkers met het nieuwe systeem te laten werken.
Na de implementatie is Fast verantwoordelijk voor het onderhoud van de oplossing, waaronder het herstellen en verbeteren van functionaliteit en het doorvoeren van productupdates. Verder draagt het projectteam van Fast op dit moment zorg voor het technisch applicatiebeheer en de beschikbaarheid en werking van de oplossing op basis van de overeengekomen service levels. Fast biedt daarnaast ondersteuning bij vragen en verstoringen en blijft, waar nodig en binnen de functionele kaders van de oplossing, configuratiewijzigingen doorvoeren wanneer wet- en regelgeving verandert.
In geval van wijzigingen in wet- en regelgeving ondersteunt Fast bij de configuratie hiervan. Deze wijzigingen voert Fast niet zelfstandig uit. Hiervoor geldt het voortbrengingsproces waarbij Fast bij het configureren samenwerkt met de Belastingdienst. De configuratie van het systeem moet worden goedgekeurd door de Belastingdienst. Dat gebeurt via een proces van definities, verschillende testen, goedkeuren en acceptatie.
Verder werkt Fast doorlopend aan verbeteringen van het Gentax-pakket. Deze verbeteringen kunnen zowel betrekking hebben op de implementatie van nieuwe Europese wet- en regelgeving als functionele en technische verbeteringen van het Gentax-pakket zelf. Het doorvoeren van deze verbeteringen vindt plaats onder regie van de Belastingdienst.

Vraag 10

Valt FAST Enterprises volledig en uitsluitend onder Nederlandse en Europese jurisdictie? Zo niet, heeft u dan in kaart gebracht welke gevolgen deze aanbesteding heeft voor de digitale autonomie van Nederland?

Nee, Fast Enterprises is een Amerikaans bedrijf en valt daarmee onder Amerikaanse jurisdictie. Daarmee komen de gegevens waartoe de leverancier, na implementatie, toegang krijgt in potentie binnen reikwijdte van extraterritoriale wetgeving zoals de CLOUD Act en de FISA Amendments Act.
De Belastingdienst is met de leverancier in gesprek over de mogelijkheid dat zij een onafhankelijke Europese entiteit oprichten met de intentie om het contract met de Belastingdienst, dat valt onder Nederlands recht, daarheen te verhuizen. Dit wordt momenteel juridisch nader verkend.

Vraag 11

Welke analyses zijn uitgevoerd op het risico op spionage, dataweglek en het vergroten van de afhankelijkheid van de Verenigde Staten door deze keuze? Kunt u deze aan de Kamer doen toekomen (al dan niet vertrouwelijk), en de uitkomsten op hoofdlijnen delen?

De Belastingdienst voert als onderdeel van het programma een risicoanalyse conform de IRAM (Information Risk Assessment Methodology) uit. Dit is een internationaal erkende methodiek om informatierisico's systematisch in kaart te brengen en te beoordelen. Deze analyse is nog niet afgerond; op basis van de uitkomsten worden maatregelen uitgewerkt en geïmplementeerd, en vervolgens op hun effectiviteit getoetst. Het nieuwe systeem wordt niet in gebruik genomen voordat de beheersmaatregelen aantoonbaar effectief zijn ingericht.
Aangezien de IRAM nog wordt uitgevoerd, kan ik de uitkomsten op dit moment nog niet met uw Kamer delen. Zodra de analyse is afgerond, ben ik bereid de resultaten en de daaruit voortvloeiende maatregelen vertrouwelijk ter inzage aan uw Kamer aan te bieden.

Vraag 12

Kunt u alle relevante notities, adviezen, (risico)analyses en documenten, die betrokken zijn bij de keuze voor FAST Enterprises, in volledigheid met de Kamer delen?

Tijdens de regeling van werkzaamheden op 3 maart jl. heeft uw Kamer verzocht om alle relevante stukken en notities die de keuze onderbouwen te ontvangen. Dit verzoek heb ik ontvangen. Omdat ik het belangrijk vind uw Kamer voor het debat van 19 maart te informeren, is de zoekslag met prioriteit uitgevoerd. Daardoor kan ik uw Kamer documenten doen toekomen die bezien op de aanbesteding, advisering, informatievoorziening en besluitvorming vanuit verschillende fasen binnen de overstap naar een ander OB-systeem. De documenten zijn bijgevoegd bij de Kamerbrief over het systeem voor de omzetbelasting die u op 17 maart jl. heeft ontvangen.
Wanneer er nieuwe relevantie informatie naar boven komt, waarmee een nieuw licht wordt geschenen op de reeds gedeelde inlichtingen, wordt dit op korte termijn met u gedeeld.

Vraag 13

Onder welke voorwaarden is het in eigen beheer en onderhoud nemen van de applicatiediensten voor de omzetbelasting een haalbare oplossing? Welke aanvullende middelen of capaciteit is nodig om dit te realiseren?

De Belastingdienst heeft dit jaar op hoofdlijnen een aantal andere scenario’s verkend. Eén van deze scenario’s is dat de Belastingdienst het beheer van de infrastructuur overneemt (van housing naar hosting). Zoals aangegeven in het antwoord op vraag 7 en in de Kamerbrief die u heeft ontvangen laat ik de mogelijkheid tot het zelfstandig beheren van de infrastructuur gelijktijdig en als onderdeel van de risicoanalyse parallel onderzoeken en zal ik uw Kamer hier voor het zomerreces over informeren. Voor een besluit wordt genomen of een toezegging wordt gedaan voor een andere variant dan het continueren van de huidige koers geldt wel dat de impact in beeld moet worden gebracht en expliciet worden gewogen inclusief de daarbij behorende dekking.
In het geval dat er voor een andere koers wordt gekozen dan de huidige zullen de risico’s en gevolgen die samenhangen met het langer in stand houden van het huidige verouderde systeem toenemen. Dat betekent dat het gevolgen kan hebben voor de tijdige implementatie van Europese wet- en regelgeving zoals de ViDA. Als deze wetgeving niet tijdig wordt geïmplementeerd kan dit leiden tot ingebrekestellingen van de Europese Commissie en problemen voor het (Nederlandse) bedrijfsleven.

Vraag 14

Heeft de Belastingdienst een duidelijke sourcingstrategie voor het inkopen van ICT-diensten? Zo ja, kunt u deze met de Kamer delen?

Ja de Belastingdienst heeft een ICT-sourcingstrategie opgesteld. Deze strategie is erop gericht om een onderbouwde keuze te maken bij de aanschaf van software. De voorkeur is om bewezen standaardoplossingen uit de markt te gebruiken, zodat de Belastingdienst marktconform kan werken. Deze strategie is eerder in oktober 2024 met uw Kamer gedeeld.7
De Belastingdienst zal het sourcingbeleid herzien en waar nodig actualiseren. Daarbij zal rekening worden gehouden met recente (geo)politieke en technische ontwikkelingen.

Vraag 15

Welke mogelijkheden heeft u om alsnog van deze leverancier af te zien, gezien de veranderende politieke situatie en de uitgesproken wens van de Kamer om digitale afhankelijkheden af te bouwen?

Het is mogelijk om de overeenkomst (onder voorwaarden) met de leverancier te ontbinden. Ik zie dat niet als een reëel scenario. Voor de systemen van de omzetbelasting geldt dat de modernisering niet langer kan wachten. Dit systeem is inmiddels rond de veertig jaar oud, de kennis wordt schaarser, de risico’s op storingen en uitval groter en de mogelijkheid om nieuw beleid uit te voeren is zeer beperkt. De keuze voor deze oplossing is weloverwogen gemaakt. De Belastingdienst heeft de aanbestedingsprocedure zorgvuldig doorlopen en de gunning is in maart 2025 definitief verleend. Zoals aangegeven in de Kamerbrief die u heeft ontvangen en in mijn antwoord op vraag 7 zet ik het traject voort en laat ik parellel onderzoeken door de Belastingdienst of het beheer en onderhoud van de infrastructuur door de Belastingdienst kan worden overgenomen.

Vraag 16

Waarom is het McKinsey-rapport «Kopen of zelf bouwen?,» dat betrokken is geweest bij de keuze om de software van de omzetbelasting in te kopen, niet meer Openbaar?5 Kunt u het rapport opnieuw Openbaar maken?

Het rapport staat nog steeds online. De link uit het artikel is verouderd. Het is in te zien via: Open overheid.

Vraag 17

Welke ambities zijn er om het gebruik van GenTax uit te breiden naar andere middelen dan de omzetbelasting, aangezien in het McKinsey-rapport wordt gesteld dat uitbreiding een voordeel is van het inkopen van een extern pakket?

Op dit moment zijn er geen plannen om het gebruik van GenTax uit te breiden naar andere belastingmiddelen.

Vraag 18

Uit welk advies bleek dat ook het beheer en onderhoud van de applicatiediensten uitbesteed moest worden? Op welke momenten is de Kamer geïnformeerd dat beheer en onderhoud bij een niet-Europees bedrijf zou worden belegd?

Hierover is geen extern advies ingewonnen.
De Tweede Kamer is periodiek geïnformeerd over de voortgang van de aanbesteding. Tijdens het commissiedebat Belastingdienst in maart 2025 is aangegeven dat de gunning aan Fast Enterprises had plaatsgevonden. Aangezien het ongebruikelijk is om uw Kamer op dit detailniveau te informeren over aanbestedingen, bent u niet specifiek geïnformeerd over het uitbesteden van het beheer en onderhoud van applicatiediensten.

Vraag 19

Zijn de waarschuwing en het advies van het Adviescollege ICT uit 2024 naar behoren opgevolgd?6 Zo nee, om welke redenen is dit niet nageleefd?

Ja. Het Adviescollege ICT heeft in april 2024 advies uitgebracht over het programma modernisering omzetbelasting. In dit advies onderschreef het Adviescollege de keuze van de Belastingdienst voor een pakketoplossing, maar werd de Belastingdienst geadviseerd de voorbereiding op een aantal punten te versterken. Mijn ambtsvoorganger heeft uw Kamer op 7 mei 2024 geïnformeerd over de wijze waarop de Belastingdienst deze adviezen zou opvolgen.10 Deze adviezen zijn opgepakt en benut door de Belastingdienst voor het verdere verloop van het traject.

Vraag 20

Kunt u nauwkeurig toelichten in welke mate medewerkers van FAST Enterprises toegang krijgt tot de gegevens die verwerkt worden bij het heffen van de omzetbelasting? Welke garantie is er dat data via deze medewerkers toegankelijk wordt voor Amerikaanse overheidsdiensten?

Fast Enterprises zal de servers gaan beheren die geplaatst worden in het datacenter van de Belastingdienst in Apeldoorn. Daardoor krijgt Fast Enterprises, als de OB-regeling(en) in productie zijn genomen, toegang tot data van belastingplichtigen. De mate waarin medewerkers van Fast toegang krijgen tot data die in deze servers staat hangt af van hun autorisatie. Het uitgangspunt is dat medewerkers van Fast tijdens de productiefase geen toegang hebben tot productiedata en daartoe alleen tijdelijk toegang verkrijgen wanneer dit nodig is om hun beheerwerk te verrichten.
Fast Enterprises heeft een geheimhoudingsverklaring ondertekend. Deze verklaring voorkomt niet dat de Amerikaanse Staat voorgenoemde data kan vorderen op basis van extra territoriale wetgeving zoals de CLOUD Act en FISA Amendments Act. Er worden maatregelen genomen om dit risico te mitigeren, zoals het inrichten van het eerdergenoemde vier-ogen principe en infrastructurele beperkingen om data uit het systeem te kunnen halen, en logging en monitoring.

Vraag 21

Deelt u de zienswijze dat het feit dat de servers van de Belastingdienst in Nederland blijven onvoldoende is om de risico’s voor de vertrouwelijkheid en cyberveiligheid weg te nemen, als een Amerikaanse partij straks toegang krijgt tot de servers?

Het gegeven dat de servers in het datacenter van de Belastingdienst staan is op zichzelf niet afdoende om alle risico’s weg te nemen. Daarom gaat de Belastingdienst ook aanvullende maatregelen nemen, zoals aangegeven in de brief die u bij met deze antwoorden heeft ontvangen, om deze risico’s tot een acceptabel niveau terug te brengen.

Vraag 22

Bent u bereid om een kort, onafhankelijk onderzoek uit te voeren naar de mogelijkheid om het project alsnog stop te zetten, met behoud van de continuïteit van de belastingheffing?

Het stopzetten van het project acht ik niet verstandig, de redenen daarvoor heb ik uitgebreid toegelicht in de Kamerbrief die u heeft ontvangen. Een onderzoek met als uitgangspunt het stopzetten van dit traject lijkt mij prematuur gezien het feit dat de risicoanalyse en de uitwerking van beheersmaatregelen nog gaande zijn. Zoals aangegeven in de Kamerbrief die u heeft ontvangen en in mijn antwoord op vraag 7 laat ik, als onderdeel van de risicoanalyse, door de Belastingdienst parellel onderzoeken of het beheer en onderhoud van de infrastructuur door de Belastingdienst kan worden overgenomen.
Ik acht het zorgvuldiger om eerst het uitwerken van deze route en het afronden van de risicoanalyse af te wachten en vervolgens de uitkomsten hiervan te beoordelen. Voorafgaand aan de ingebruikname van het nieuwe systeem zullen alle beheersmaatregelen worden getoetst op hun effectiviteit. Ik ben bereid deze toetsing door een onafhankelijke partij te laten doen en de resultaten met uw Kamer te delen.

Vraag 23

Kunt u een actueel overzicht geven van de planning van het lopende implementatietraject?

De Belastingdienst heeft gekozen voor een stapsgewijze implementatie. Deze planning is door mijn ambtsvoorganger op 13 november 2025 met uw Kamer gedeeld.11
Juli 2026
Juli 2027
4. Kleine ondernemersregeling (NL-KOR): de btw-vrijstelling voor ondernemers met een jaaromzet in Nederland tot en met € 20.000;.
Juli 2028

Vraag 24

Kunt u toezeggen om geen onomkeerbare stappen te zetten in de migratie van de diensten naar FAST Enterprises, totdat volledig is uitgesloten dat de digitale autonomie hierdoor wordt ondermijnd en de Kamer zich hierover heeft kunnen uitspreken?

Er wordt op dit moment nog geen gebruik gemaakt van het nieuwe systeem. Het huidige systeem functioneert ongewijzigd. Wel wordt er doorgewerkt aan de voorbereiding van de ingebruikname om te voorkomen dat er vertraging optreedt en de risico’s met betrekking tot de continuïteit van het systeem daarmee toenemen. Daarbij merk ik op dat de gunning in maart 2025 definitief is geworden en het contact met Fast Enterprises is getekend. De Belastingdienst is als contractpartij gehouden aan de verplichtingen die hieruit voortvloeien. Het opzeggen of niet nakomen van het contract zal juridische en financiële consequenties met zich meebrengen.
Zoals aangegeven in de Kamerbrief en in de antwoorden op vraag 7 en 13 zal ik u voor het zomerreces en dus voor de ingebruikname van het systeem informeren over het uitwerken van de alternatieve route en de risicoanalyse.

Vraag 25

Kunt u deze vragen afzonderlijk en zo snel mogelijk beantwoorden en in ieder geval te voldoen aan de aanvullende informatieverzoeken voordat het commissiedebat Belastingdienst van 19 maart 2026 plaatsvindt?

Ja, de vragen zijn zoveel mogelijk afzonderlijk van elkaar beantwoord.