Overnameverbod voor DigiD-hoster Solvinity blijft staan

Het kabinet houdt vast aan het verbod op de overname van Solvinity door het Amerikaanse Kyndryl. Solvinity levert het platform achter DigiD. Staatssecretaris Aerdts heeft het bezwaar tegen dat verbod afgehandeld en ziet nog steeds een bedreiging voor het publieke belang. Het besluit dateert van 12 oktober; de Tweede Kamer is op 13 oktober geïnformeerd.

Kyndryl accepteert de uitkomst, schrijft het bedrijf in een verklaring van 13 oktober. De koper zegt dat de overname door het gehandhaafde verbod niet kan worden afgerond. Ook roept Kyndryl Solvinity en zijn aandeelhouders op het besluit te aanvaarden en de rust rond klanten, medewerkers en bedrijfsvoering te bewaren. Kyndryl zegt zijn bestaande klanten in Nederland te blijven bedienen.

De voorgenomen aankoop werd op 5 november 2025 bekendgemaakt. Kyndryl wilde met Solvinity zijn aanbod van beveiligde computerdiensten uitbreiden. Het bedrijf presenteerde de combinatie destijds als een manier om klanten meer mogelijkheden voor beveiliging en modernisering te bieden. Afronding was afhankelijk van onder meer toestemming van toezichthouders; de aankondiging betekende dus nog geen eigendomsoverdracht. Het kabinet verbood de transactie in mei. Solvinity en meerderheidsaandeelhouder Host Lux maakten op 11 juni bezwaar.

DigiD blijft een overheidsdienst

Vergroot illustratie ↗

Solvinity levert het computerplatform waarop onder meer DigiD en MijnOverheid draaien. De Nederlandse overheidsorganisatie Logius is eigenaar van die diensten. Volgens Logius ging de geplande verkoop daarom over een leverancier, terwijl de diensten zelf bij de overheid bleven. Dat onderscheid is belangrijk voor mensen die via DigiD hun zaken met de overheid regelen: de leverancier verzorgt een deel van de technische ondergrond waarop zij vertrouwen.

De zorgen over de overname gaan mede over toegang tot gevoelige informatie. De rechtbank Rotterdam beschreef op 14 juli het risico waarop het kabinet zijn verbod baseerde: de Amerikaanse overheid zou via Amerikaanse wetgeving en de moedermaatschappij toegang kunnen krijgen tot informatie waartoe Solvinity toegang heeft. De rechter wees toen een verzoek om het verbod tijdelijk stil te zetten af. Op de meeste inhoudelijke argumenten ging de rechter niet in, omdat de bedrijven de beslissing op hun bezwaar konden afwachten. Die uitspraak was daarmee geen volledige beoordeling van alle bezwaren tegen de overname.

Voor gebruikers maakt DigiD zelf onderscheid tussen inloggen en de gegevens die daarna zichtbaar worden. Informatie over inkomen of gezondheid blijft bij de organisatie waarbij iemand inlogt; DigiD bewaart die dossiers niet. Tijdens het inloggen wordt het burgerservicenummer versleuteld doorgegeven. Solvinity verwerkt volgens de DigiD-uitleg wel IP-adressen en e-mailadressen, voor de internetverbinding en meldingen. Gegevens van het DigiD-account, zoals adres en telefoonnummer, zijn versleuteld en mogen niet door medewerkers van Solvinity worden ingezien.

Overstappen vraagt voorbereiding

Een andere leverancier is niet van de ene op de andere dag geregeld. In de op 11 juni bijgewerkte uitleg meldt DigiD dat het contract met Solvinity is verlengd omdat een overstap vóór augustus 2026 niet veilig en verantwoord kon worden uitgevoerd. De voorbereiding kost tijd; een onzorgvuldige overstap kan volgens DigiD de veiligheid en werking van de dienst in gevaar brengen.

Het kabinet koos op 4 juni al een andere route om het volgende platformcontract aan te besteden: via de Aanbestedingswet Defensie- en Veiligheid. Die biedt volgens de overheid meer mogelijkheden om risico’s voor de nationale veiligheid te beperken dan een gewone Europese aanbesteding. De lopende overeenkomst met Solvinity eindigt uiterlijk in augustus 2028. De voorbereiding van een nieuw contract begon tegelijk met de verlenging in mei. Bij de uiteindelijke toekenning van de opdracht zal de Kamer opnieuw worden geïnformeerd, staat in die aankondiging.

De afhandeling van het bezwaar laat volgens de bijbehorende beslisnota nog een juridische vervolgstap open. De partijen kunnen binnen zes weken na de beslissing in beroep bij de rechtbank Rotterdam. Ook kunnen zij opnieuw een tijdelijke maatregel aan de rechter vragen.