Drie dossiers, één soevereiniteitsprobleem — Statecraft

Tussen juli 2025 en juli 2026 spelen zich in Nederland drie dossiers tegelijk af die elk afzonderlijk al een statecraft-vraagstuk zouden zijn, en die samen de feitelijke positie van Nederland in 2026 laten zien. Het gaat om een datalek bij een Frans-Luxemburgs zorgconcern waarbij de gegevens van bijna een miljoen Nederlandse vrouwen werden gestolen en losgeld werd betaald aan een Russischtalige criminele organisatie. Het gaat om een Chinese chipfabrikant in Nijmegen waarvan de Nederlandse Staat met een noodwet uit 1952 de feitelijke controle heeft overgenomen. En het gaat om de overname van de IT-leverancier achter DigiD en MijnOverheid door een Amerikaans concern dat onder de CLOUD Act valt, een overname die de Staat na een half jaar toetsing en oplopende maatschappelijke druk uiteindelijk heeft verboden, en waarvan dat verbod inmiddels zelf voor de rechter ligt. Drie verschillende buitenlandse moeders, drie verschillende vormen van afhankelijkheid, drie verschillende reacties van de Nederlandse Staat. Wat ze delen is het onderliggende patroon: de zeggenschap over Nederlandse kritieke infrastructuur ligt niet meer in Nederlandse handen, en de Staat grijpt pas in wanneer druk van buiten of van onderop dat afdwingt.

I. Eurofins en het zorgdatalek

De feiten in statecraft-frame

De Nederlandse Staat heeft een publieke kerntaak, het bevolkingsonderzoek baarmoederhalskanker waar burgers door diezelfde Staat actief toe worden opgeroepen, gedelegeerd via RIVM en Bevolkingsonderzoek Nederland aan vijf private screeningslaboratoria. Clinical Diagnostics NMDL is sinds 2018 dochter van het Frans-Luxemburgse Eurofins Scientific, een beursgenoteerd life sciences conglomeraat met circa 65.000 werknemers in 59 landen en een pro-forma omzet van ruim 6,5 miljard. De security monitoring van de Nederlandse omgeving lag bij een internationaal Eurofins SOC, opererend onder “key guidance documents” van het moederbedrijf. De lokale Nederlandse IT-afdeling was formeel eindverantwoordelijke, maar de feitelijke architectuur was transnationaal.

Tussen 3 en 6 juli 2025 verkreeg de ransomware-as-a-service operatie Nova, een rebrand van RALord met vermoedelijk Russischtalige infrastructuur en operationeel vermoedelijk vanuit een veilig rechtsgebied, drie dagen lang onopgemerkt toegang tot een legacy-omgeving. Die omgeving viel volgens Eurofins door “menselijke fout” buiten de scope van de SOC-monitoring. Het account dat werd gecompromitteerd had een wachtwoord van zestien karakters maar geen MFA. De ontdekking vond plaats op 6 juli. BVO NL werd pas op 6 augustus geïnformeerd.

Wat hier gebeurde, in statecraft-termen: een statelijke verantwoordelijkheid voor de gezondheidsgegevens van uiteindelijk 941.000 Nederlandse vrouwen, gegenereerd door een door de Staat aanbevolen onderzoek, is door drie governance-lagen naar buiten geschoven (RIVM, BVO NL, Clinical Diagnostics NMDL, Eurofins SOC) tot het punt waarop niemand binnen het Nederlandse soevereine bereik nog effectief eigenaar van het risico was.

Het ransom-incident

De meest geopolitiek relevante gebeurtenis krijgt in het IGJ-rapport van 8 april 2026 geen letter, maar staat in elke andere bron. Eurofins heeft Nova betaald, vermoedelijk rond 1,3 tot 1,6 miljoen euro in Bitcoin, op basis van Nova’s eigen formule van twee procent van de assets van de moedermaatschappij. Northwave bevestigde dit, RTL Nieuws kreeg het bevestigd door Nova zelf, en delen van de data verschenen alsnog op het lekplatform omdat Nova vond dat het slachtoffer de afspraak schond door politie te betrekken.

Dit betekent in praktijk dat een private actor binnen een door de Staat georganiseerd bevolkingsonderzoek, met persoonsgegevens van Nederlandse burgers, een transactie heeft uitgevoerd met een criminele organisatie die vermoedelijk opereert vanuit Russisch grondgebied. De Nederlandse Staat is niet de juridische opdrachtgever van die betaling en Eurofins is geen agent van de Staat, alleen ketenpartner via BVO NL. Maar de morele en bestuurlijke realiteit is dat publieke verantwoordelijkheid voor de uitvoering van een door de Staat aanbevolen onderzoek effectief is gebruikt om een vijandige niet-statelijke actor te financieren, zonder enige formele Nederlandse besluitvorming over die overdracht. Onder een staat die zichzelf serieus neemt zou dit een nationale veiligheidsdiscussie zijn over de vraag wie überhaupt bevoegd is om in naam van burgers die deelnemen aan een door de overheid aangeboden onderzoek, losgeld te onderhandelen met georganiseerde criminaliteit. In Nederland is het een voetnoot in een handhavingsbrief van een toezichthouder die expliciet stelt dat ze niet eens een boete mag opleggen.

Het toezichtsysteem als papieren architectuur

Lees de slotpassage van het IGJ-rapport opnieuw. “Op grond van de Wabpvz is de inspectie, voor zover zij toeziet op deze wet, niet bevoegd bestraffende maatregelen in te zetten.” Dat is de hele Nederlandse handhavingsarchitectuur in één zin. De wettelijke verplichting om volgens NEN 7510 te werken bestaat sinds het Besluit elektronische gegevensverwerking door zorgaanbieders. In de drie jaar voorafgaand aan het incident is er geen enkele audit uitgevoerd. De toezichthouder met sectorkennis (IGJ) mag alleen herstelmaatregelen opleggen. De toezichthouder die boetes mag opleggen (AP) heeft geen sectorkennis en doet er bij een dossier van deze omvang routinematig jaren over. Het maximale AVG-bedrag van 20 miljoen of 4 procent van de wereldomzet klinkt afschrikwekkend tot je beseft dat Eurofins een werkkapitaalbuffer voor incidenten van deze categorie houdt die deze boete absorbeert als kostenpost.

NEN 7510 functioneert hier als compliance-theater. SCAL binnen Eurofins Nederland had certificering, NMDL en LCPL hadden die niet, en niemand binnen de Eurofins-governance of binnen de Staat had blijkbaar belang of mandaat om die discrepantie tot escalatie te brengen. De directeur-bestuurder zei tegen de inspectie dat hij niet wist of er ooit een audit was gedaan, en moest dat na het inspectiebezoek navragen.

Het rapport citeert daarnaast NEN 7512 Hoofdstuk 5 als getoetste norm voor gegevensuitwisseling tussen zorgaanbieders: “Voordat het kader tot stand komt, behoort voor het geheel van de communicatiepartijen duidelijk te worden welke mate van risico acceptabel is.” Op de vraag welke richtlijnen Clinical Diagnostics hanteerde in de uitwisseling met BVO NL kwam het antwoord dat men technische standaarden gebruikte die voortkwamen uit de inrichting van elektronische patiëntendossiers, zoals Edifact en HL7v2. Dat is een protocolantwoord op een governance-vraag. De norm vereist dat partijen voorafgaand aan de uitwisseling het acceptabele risiconiveau gezamenlijk vaststellen, en daar bestond geen documentatie van. Het wettelijk kader vraagt op papier precies wat in de werkelijkheid niet bleek te bestaan, en de handhaving zwijgt. Dat is een sterker indictment dan het feit dat een norm werd overtreden: hier werd een norm overtreden waarvan de toezichthouder zelf erkent dat hij een essentieel vereiste is voor een effectief informatiebeveiligingsmanagementsysteem.

Regulatoire ontwijking via corporate herstructurering

De passage over NMDL is in statecraft-termen de meest cynische. Tussen het incident in juli 2025 en het plan van aanpak in februari 2026 zijn de laboratoriumactiviteiten van NMDL geheel overgedragen aan LCPL en heeft de Raad van Accreditatie in november 2025 de accreditatie van NMDL ingetrokken. Resultaat: het plan van aanpak voor NEN 7510-certificering hoeft volgens Eurofins alleen LCPL te dekken, omdat NMDL als operationele entiteit feitelijk is opgeheven. De entiteit waar de hack plaatsvond bestaat daarmee in handhavingstermen niet meer in dezelfde gedaante. Eventuele toekomstige sancties richten zich op een lege huls, terwijl de feitelijke onderneming met andere kop verder draait. Dit is exact het patroon dat private equity-gedreven zorgconcentraties mogelijk maken, en exact waarom Nederlandse toezichtsarchitectuur die ontworpen is voor stichtingen en familiebedrijven niet meer past op de werkelijkheid van de sector.

Het patroon: passieve overdracht zonder ingrijpen

De Nederlandse reactie op Eurofins is in essentie een briefrapport. Geen verwerkingsverbod, geen tijdelijke schorsing van de zorgrelatie, geen heroverweging van het uitbestedingsmodel, geen herziening van de NZa-concentratietoetsing op weerbaarheidsgronden. De Staat heeft de afhankelijkheid gecreëerd door uitbesteding, en de Staat ziet vervolgens toe hoe een buitenlandse moeder onderhandelt met criminele actoren over de gegevens van Nederlandse burgers. Dit is de eerste van de drie patronen: passief gedogen.

II. Nexperia en de noodwet uit 1952

De feiten in statecraft-frame

Nexperia is gevestigd in Nijmegen, voortgekomen uit Philips/NXP, en sinds 2018 eigendom van het Shanghai-genoteerde Wingtech Technology. Wingtech werd in december 2024 door de Verenigde Staten op de Entity List geplaatst, wat Amerikaanse bedrijven verbiedt zaken te doen met Wingtech. Eind september 2025 activeerde het ministerie van Economische Zaken de Wet beschikbaarheid goederen, een noodwet uit 1952 die in uitzonderlijke gevallen de beschikbaarheid van strategische goederen kan veiligstellen. Op 12 oktober 2025 kondigde het kabinet aan dat het de feitelijke controle had overgenomen. De Ondernemingskamer schorste kort daarop de Chinese CEO Zhang Xuezheng en plaatste Duitse interim-leiding aan het roer. De Amsterdamse rechter bevestigde de maatregelen nadien.

De gronden waren tweeërlei. Officieel: ernstige tekortkomingen in de bedrijfsvoering die de continuïteit en nationale veiligheid bedreigden. Volgens latere reconstructies in NRC en andere media: de CEO was bezig het bedrijf leeg te halen, wilde de waferproductie naar China verplaatsen, had Brits IP over MOSFET-productie laten doorvloeien naar een ander door hem geleid Chinees bedrijf, wilde een onderzoekscentrum in München sluiten en veertig procent van het Europese personeel ontslaan. Achter de schermen zou ook directe Amerikaanse druk hebben gespeeld: Washington liet Nexperia weten dat het zelf op de Entity List zou belanden als het de Chinese CEO niet zou ontslaan.

Het ingrijppatroon

Dit is fundamenteel anders dan Eurofins. De Nederlandse Staat heeft hier wel ingegrepen, en met een instrument dat 73 jaar onaangetast in de gereedschapskist had gelegen. De Wet beschikbaarheid goederen uit 1952 is naoorlogse defensiewetgeving, bedoeld voor het waarborgen van schaarse strategische goederen in crisistijd. Het feit dat dit instrument in 2025 wordt geactiveerd tegen een Chinese eigenaar van een chipproducent, zegt drie dingen tegelijk. Eén: Nederland behandelt halfgeleiders inmiddels expliciet als crisis-categorie, zoals voedsel of munitie in 1952. Twee: het reguliere mededingings- en investeringstoetsingsinstrumentarium (Wet Vifo, BTI) heeft bij deze acquisitie in 2018 niets tegengehouden, dus moet er nu retroactief worden ingegrepen met noodrecht. Drie: de feitelijke aanleiding ligt minstens zo zeer in Washington als in Den Haag.

Wingtech bereidt nu een internationale arbitragezaak voor tegen de Nederlandse Staat. De Chinese accountant weigert de jaarcijfers 2025 goed te keuren omdat Wingtech sinds eind september geen toegang meer heeft tot systemen en informatie van Nexperia-onderdelen buiten China. Het rapporteerde over 2025 een nettoverlies van meer dan een miljard euro. China heeft formeel geprotesteerd via het ministerie van Handel, met de standaardformulering dat Nederland zich niet moet mengen in interne bedrijfsaangelegenheden en dat de Ondernemingskamer-uitspraak een ernstige schending vormt van de rechten van Chinese ondernemingen.

In statecraft-termen is dit het eerste serieuze gebruik van Nederlandse noodwetgeving in een strategische technologiesector sinds de Koude Oorlog. Het is ook een directe demonstratie dat de Nederlandse Staat onder voldoende druk wel degelijk bereid is een buitenlandse eigenaar de feitelijke zeggenschap af te nemen. Tegelijk is het pijnlijk dat die bereidheid niet voortkwam uit een autonome Nederlandse risicoanalyse uit 2018 toen Wingtech Nexperia overnam, maar uit een combinatie van Amerikaanse export controls en het gedrag van de Chinese CEO. Nederland reageert hier, het anticipeert niet. En het reageert in coördinatie met, of onder druk van, een Amerikaanse bondgenoot die zelf ook geen onbevangen actor is.

Het tweede patroon is dus: reactieve ingreep onder bondgenootschappelijke druk, met instrumenten die in dezelfde wetgeving wel altijd hadden bestaan maar nooit waren ingezet.

III. DigiD, Solvinity en Kyndryl

De feiten in statecraft-frame

DigiD is het Nederlandse identiteitsplatform waarmee in 2025 jaarlijks circa 700 miljoen authenticaties plaatsvinden voor 16,5 miljoen burgers, gekoppeld aan het BSN. Het wordt beheerd door Logius, een agentschap van het ministerie van Binnenlandse Zaken. De feitelijke IT-platformdienstverlening, het zogeheten Picard-platform, is uitbesteed aan Solvinity, een statutair Nederlandse aanbieder die sinds 2014 in handen is van de Britse private-equitypartij Vitruvian Partners. Het platform draait in een overheidsdatacenter, het beheer ligt bij Solvinity. Een alternatief inlogsysteem voor de overheid bestaat niet. Daarnaast loopt circa 100 miljoen officieel berichtenverkeer per jaar via MijnOverheid.

In het najaar van 2025 werd bekend dat het Amerikaanse Kyndryl, een afsplitsing van IBM en zelf beursgenoteerd in de VS, Solvinity wil overnemen. Kyndryl meldde de voorgenomen overname op 21 november 2025 bij het Bureau Toetsing Investeringen, dat een onderzoek startte op grond van de Wet ongewenste zeggenschap telecommunicatie. Dat detail is niet triviaal. In het publieke debat werd maandenlang aangenomen dat de toetsing onder de Wet Vifo viel, tot het kabinet in het Kamerdebat van 11 februari 2026 verduidelijkte dat de WOZT de grondslag was. Zelfs de wettelijke basis waarop de Staat zijn eigen kritieke infrastructuur toetste, was maandenlang geen publiek vaststaand gegeven. De ACM keurde de concentratie op 26 februari 2026 goed; nationale veiligheid valt buiten haar mandaat. Centraal in de WOZT-toetsing staat de vraag of Solvinity, na overname, onder de Amerikaanse CLOUD Act en aanverwante extraterritoriale wetgeving zou vallen, en daarmee gedwongen kan worden om gegevens van Nederlandse burgers aan Amerikaanse autoriteiten te overhandigen. In het uiterste geval zou Washington de toegang tot DigiD kunnen blokkeren.

Eind november 2025 zei staatssecretaris Eddie van Marum bij WNL op zondag dat DigiD “Nederlands blijft” en dat Solvinity “geen toegang heeft” tot DigiD. Op 17 december 2025 herriep hij die uitspraak in antwoord op Kamervragen van Barbara Kathmann (GroenLinks-PvdA): de overname kan wel degelijk leiden tot het weglekken van persoonsgegevens en andere kritieke overheidsinformatie naar Amerikaanse partijen, “in ieder geval in theorie”. Uit de interne veiligheidsanalyse van het kabinet bleek dat het platform “gezien de huidige architectuur niet zodanig is dicht te zetten dat de leverancier niet meer bij de data/persoonsgegevens zou kunnen komen”.

In het voorjaar van 2026 escaleerde de hoogste privacyfunctionaris van Logius, Pieter van Oordt, publiek. Eerst via LinkedIn met een oproep tot een “chique oplossing”: stel de overname enkele maanden uit en gebruik die tijd om DigiD en MijnOverheid weg te halen bij Solvinity. Vervolgens daadwerkelijk via de rechter, met een eigen kort geding tegen de Staat om de overname te blokkeren, gebaseerd op de interne veiligheidsanalyse van zijn eigen werkgever. Parallel bouwden de stichtingen Privacy First, The Firewall en Human Rights in Finance vanaf januari 2026 een bestuursrechtelijk traject op: een verzoek aan het BTI en de bewindspersoon om de overname te stoppen, een ingebrekestelling toen reactie uitbleef, en uiteindelijk een procedure bij de rechtbank Rotterdam. Een ambtenaar die tegen zijn eigen Staat procedeert op basis van de risicoanalyse van zijn eigen dienst, en burgerstichtingen die de toezichthouder in gebreke moeten stellen omdat een antwoord uitblijft: dat is het beeld van de toetsingsfase.

Twintig dagen in mei

De ontknoping voltrok zich in een sequentie die om precisie vraagt, omdat de volgorde zelf het analytische materiaal is.

Op 27 maart 2026 besloot het kabinet het contract met Solvinity met twee jaar te verlengen, tot 2028. Een Kamermeerderheid had per motie gevraagd niet te verlengen zolang een Amerikaanse overname dreigde; het kabinet legde die motie naast zich neer met het argument dat een verantwoorde overstap naar een andere leverancier of naar eigen beheer zes tot acht maanden zou vergen, terwijl het contract op 6 augustus 2026 afliep. Op 6 mei, de laatste dag waarop de verlengingsoptie kon worden gelicht, probeerden drie burgers de verlenging via een kort geding te blokkeren. De voorzieningenrechter wees de vorderingen dezelfde dag af (ECLI:NL:RBDHA:2026:12862): zonder verlenging zou het veilige gebruik van essentiële overheidsapplicaties op losse schroeven komen te staan, en de eisers konden hun stelling dat een snellere transitie mogelijk was niet concreet maken. Wel bevestigde het vonnis een juridisch detail dat later gewicht kreeg: de toepasselijke ARBIT-voorwaarden geven de Staat het recht de overeenkomst met onmiddellijke ingang te ontbinden bij een wijziging van zeggenschap. De Staat verlengde dus met een ontsnappingsclausule voor precies het scenario dat iedereen vreesde. Na het vonnis werd de verlengingsovereenkomst ondertekend.

In de week daarop werd een petitie met bijna 200.000 handtekeningen aangeboden aan de vaste commissie voor Digitale Zaken. Op 25 mei, Pinkstermaandag, verbood staatssecretaris Willemijn Aerdts (Digitale Economie en Soevereiniteit) de overname volledig, op advies van het BTI en op grond van de WOZT. De timing werd expliciet gemotiveerd: er waren serieuze indicaties dat de voltooiing van de transactie aanstaande was. De Kamerbrief benadrukt dat de toets “landenneutraal, risico-gebaseerd, en proportioneel” is; de inhoudelijke motivering blijft vertrouwelijk en wordt de Kamer in een besloten technische briefing toegelicht. Kyndryl reageerde uiterst teleurgesteld en sprak van politisering van het proces. Volgens NRC is het de eerste keer dat Nederland een overname door een Amerikaans bedrijf verbiedt; volledige verboden zijn in het hele Nederlandse investeringstoetsingsstelsel op de vingers van één hand te tellen.

Tussen de ondertekening van de tweejarige verlenging op 6 mei en de bekendmaking van het verbod op 26 mei zaten twintig dagen. Wie alleen de koppen leest, ziet een tegenstrijdigheid: de Staat bindt zich vaster aan een leverancier waarvan hij de verkoop drie weken later wegens risico voor het publieke belang verbiedt. Wie de stukken leest, ziet twee verschillende risico’s die uit elkaar zijn getrokken: het continuïteitsrisico van de dienst, dat verlenging afdwong, en het soevereiniteitsrisico van de eigendomswijziging, dat het verbod afdwong. Daar komt een derde laag bij. De WOZT-kwalificatie van Solvinity hangt aan de functie die het bedrijf feitelijk vervult in de publieke infrastructuur, en een vers verlengd contract voor het beheer van DigiD en MijnOverheid maakt die kwalificatie moeilijker betwistbaar, niet makkelijker. Of dat verband bewust is gelegd, valt uit de openbare stukken niet op te maken. Niets in de kabinetscommunicatie duidt op een ontworpen sequentie; de verlenging werd verdedigd ondanks de overnamezorgen, niet met het oog op het verbod. Het beeld dat overblijft is dat van parallelle sporen die elkaar achteraf bleken te versterken, benut door juristen die zagen wat zich aandiende. Dat is vakmanschap, geen doctrine. Het verbod is een goede uitkomst die er beter uitziet dan het proces dat hem heeft voortgebracht.

De procedurele tegenlezing, en wat het verbod ermee doet

Voor wie het verschil tussen Nexperia en Kyndryl wegredeneerde als rechtsstatelijke zorgvuldigheid was tijdens de toetsing een verdedigbare tegenlezing voorhanden, en die werd bij EZ en BZK met enige routine opgevoerd. Nexperia was een acute interventie tegen wat de Ondernemingskamer feitelijk heeft vastgesteld als asset stripping in real time, met zichtbare IP-doorvloeiing, dreigende sluiting van het Münchense onderzoekscentrum en aangekondigde ontmanteling van de Europese personeelsbasis als feiten op tafel op het moment van de ingreep. Kyndryl was een aangekondigde overname in een regulier toetsingsregime, met termijnen die wettelijk zijn vastgelegd. In die lezing was het verschil in tempo een functie van het verschil tussen noodbevoegdheid en regulier regime, niet van geopolitieke moed.

Die tegenlezing viel toen al op één feit. In mei 2025, een half jaar vóór de WOZT-toetsing van Kyndryl begon, heeft Microsoft in opdracht van het Witte Huis de e-mail en andere Microsoft-diensten van de hoofdaanklager van het Internationaal Strafhof in Den Haag afgesloten. Dat is geen hypothetisch CLOUD Act-scenario meer. Een Amerikaanse cloudleverancier handelde op last van een Amerikaanse executive order tegen een functionaris van een internationale rechtbank op Nederlands grondgebied. In de Nexperia-logica zou dit een acuut-risicofeit zijn dat het reguliere toetsingsregime onvoldoende maakt. In de Kyndryl-toetsing vertaalde dat feit zich niet zichtbaar in een ander tempo of instrumentarium, terwijl de interne veiligheidsanalyse al concludeerde dat de architectuur niet zodanig is dicht te zetten dat de leverancier niet meer bij de data zou kunnen komen.

Een eerdere versie van dit stuk trok daaruit de conclusie dat het verschil, na verrekening van de procedurele verklaring, neerkwam op: tegen China kan, tegen de Verenigde Staten durft Den Haag voorlopig niet. Die conclusie is door de feiten gecorrigeerd, en de correctie is leerzamer dan de oorspronkelijke stelling. Den Haag durfde wel. Maar de reconstructie van wat daarvoor nodig was, is zelf de diagnose. Een petitie met bijna 200.000 handtekeningen. Een Kamermeerderheid die zich per motie tegen de overname keerde. Drie stichtingen die het BTI in gebreke stelden en tot aan de bestuursrechter procedeerden. De hoogste privacyfunctionaris van de eigen uitvoeringsdienst die een kort geding tegen de eigen Staat aanspande. Een half jaar toetsing waarin de verantwoordelijke bewindspersoon eerst ontkende dat er een probleem was en dat vervolgens moest herroepen. Bij Nexperia volstond druk van één bondgenoot van bovenaf om binnen weken een noodwet uit 1952 te activeren. Bij Kyndryl was zes maanden gestapelde druk van onderop nodig om een regulier toetsingsinstrument tot zijn wettelijke conclusie te laten komen. De asymmetrie is niet verdwenen, ze is verschoven: niet meer in de uitkomst, wel in de drempel.

En dan het instrument. Niet de Wet Vifo, maar de WOZT: een sectorale telecomwet, geschreven om te voorkomen dat partijen met geopolitieke belangen zeggenschap verwerven over Nederlandse telecominfrastructuur, in de wandeling de anti-Huawei-wet. Door Solvinity onder de WOZT te brengen classificeert het kabinet de cloudlaag onder de nationale identiteitsinfrastructuur de facto als kritieke telecommunicatie. De SEO-evaluatie van het toetsingsstelsel had gewaarschuwd voor het omgekeerde risico, namelijk dat partijen via de lichtere WOZT onder de strengere Vifo-toets zouden kunnen duiken. Hier gebeurde het tegendeel: de WOZT werd opgerekt om te leveren waar de Vifo-scope tekortschoot. Dat is wetstechnisch vindingrijk, en het zet een precedent waarvan de reikwijdte door niemand is gedefinieerd. Als de cloudleverancier achter DigiD een telecommunicatiepartij is, wat zijn dan de aggregatieknopen van de fiscale, sociale-zekerheids- en zorgketens? Het kabinet heeft die vraag niet beantwoord, maar wel een uitbreiding van de Wet Vifo per 1 januari 2027 aangekondigd. Het precedent kwam eerst, de doctrine volgt fragmentarisch. Dat is de Nederlandse volgorde.

Wat het verbod niet oplost

Het verbod adresseert de eigendomswijziging, niet de afhankelijkheid. De interne veiligheidsanalyse die concludeerde dat het platform gezien de huidige architectuur niet is dicht te zetten voor de leverancier, beschrijft de situatie van vandaag, met Solvinity onder Britse private equity, onverminderd. Het contract loopt tot 2028. Vitruvian wil nog steeds verkopen en heeft nu een gehavende asset in de etalage: Solvinity stelde bij de rechter dat zijn voortbestaan op het spel staat. Op 6 juli 2026 diende bij de rechtbank Rotterdam het verzoek om een voorlopige voorziening van Solvinity en Host Lux, de Luxemburgse vertegenwoordiger van Vitruvian, om het verbod te schorsen; de bezwaarprocedure bij het ministerie loopt tot naar verwachting eind september. Solvinity betoogt dat de WOZT-toetsing onterecht is, dat de staatssecretaris zich liet leiden door mediahype, en dat de Staat, als Solvinity werkelijk zo vitaal is, het bedrijf zelf had kunnen kopen toen het te koop stond. Dat laatste argument is retorisch bedoeld maar raakt onbedoeld de kern van dit stuk: de Staat heeft inderdaad nooit overwogen de eigen identiteitsinfrastructuur terug te kopen, en dat zegt meer over Den Haag dan over Solvinity.

De structurele vraag, DigiD en MijnOverheid weghalen bij een private cloudleverancier en onderbrengen in een omgeving die immuun is voor extraterritoriale wetgeving, is met het verbod niet beantwoord maar uitgesteld. Het politieke momentum dat die operatie had kunnen afdwingen, is met het verbod goeddeels ontladen. En bij de volgende verkooppoging, aan een koper uit een ander land van herkomst, begint dezelfde toets opnieuw, met een uitkomst die allerminst vastligt: de landenneutraliteit die de Kamerbrief benadrukt, snijdt aan twee kanten. Of hier ten halve is gekeerd dan wel de structurele vraag opnieuw is doorgeschoven, valt op het moment van schrijven niet vast te stellen. De toets is simpel en voltrekt zich binnen twaalf tot achttien maanden: staat de verhuizing van de identiteitsinfrastructuur naar een soevereine omgeving dan op een gefinancierde planning, of is het dossier gesloten omdat de acute aanleiding is weggenomen. Dat is de dragertoets voor dit verbod.

Dit is het derde patroon, scherper geformuleerd dan in de eerdere versie van dit stuk: bij afhankelijkheid van de bondgenoot zelf grijpt de Staat uiteindelijk wel in, maar pas nadat binnenlandse mobilisatie de kosten van niet-ingrijpen hoger heeft gemaakt dan de kosten van ingrijpen, en met het lichtste instrument dat de uitkomst nog kan dragen.

Synthese: drie kleuren afhankelijkheid

Wat de drie dossiers samen tonen is dat Nederland in 2026 over de zeggenschap van drie verschillende categorieën kritieke infrastructuur drie verschillende interventiehoudingen aanneemt, en dat die houdingen meer worden bepaald door de identiteit van de buitenlandse moeder dan door de aard van het risico.

Bij commerciële afhankelijkheid van een EU/private actor (Eurofins, Frans-Luxemburgs) is de reactie passieve berusting. De Staat ziet toe hoe een buitenlands concern met data van Nederlandse burgers onderhandelt met criminele organisaties, en de eigen toezichthouders hebben geen tanden. Er is geen heroverweging van het uitbestedingsmodel.

Bij geopolitieke afhankelijkheid van een rivaliserende statelijke actor (Wingtech, China) en onder bondgenootschappelijke druk wel een ingreep, en wel met instrumenten uit de gereedschapskist van de Koude Oorlog. De ingreep is reactief, niet anticiperend, en hij komt minstens zoveel uit Washington als uit Den Haag.

Bij infrastructurele afhankelijkheid van de bondgenoot zelf (Kyndryl, VS) volgde na een half jaar aarzeling, herroepen beleidsuitspraken en ambtelijke escalatie uiteindelijk een volledig verbod, maar pas nadat een petitie, een Kamermeerderheid, drie procederende stichtingen en een eigen privacyfunctionaris de politieke kosten van stilzitten onhoudbaar hadden gemaakt, en op grond van een sectorale telecomwet die voor een ander gevaar was geschreven. Het feit dat een Amerikaans concern in 2025 in opdracht van het Witte Huis al een ICC-functionaris op Nederlands grondgebied had afgesloten van zijn werkmiddelen, was op zichzelf onvoldoende om de toetsing te versnellen of te verzwaren; de mobilisatie van onderop was dat wel.

De gemeenschappelijke noemer is een Staat die de architectuur van zijn kritieke infrastructuur jarenlang heeft laten ontstaan zonder serieuze soevereiniteitstoetsing, en die nu per dossier reactief moet beslissen of, hoe en namens wie hij überhaupt nog optreedt. De drie patronen, passief gedogen bij commerciële afhankelijkheid, reactief ingrijpen onder bondgenootschappelijke druk bij geopolitieke rivalen, en pas ingrijpen na binnenlandse mobilisatie bij bondgenoten, zijn niet het resultaat van een coherente doctrine. Ze zijn het resultaat van een ad hoc reactie op situaties die langs verschillende mechanismen op de Nederlandse Staat afkomen.

Wat dit zegt over Nederland in een fragmenterende internationale orde

Voor wie de geluiden uit Brussel, Washington en Beijing van de afgelopen achttien maanden volgt, is de richting onmiskenbaar. De internationale orde fragmenteert langs technologische, juridische en monetaire blokken. Extraterritoriale wetgeving (CLOUD Act, Entity List, EU CSRD/DORA) wordt steeds vaker als instrument van geopolitiek beleid gebruikt. Ransomware en cyberoperaties opereren in toenemende mate vanuit jurisdicties die niet meewerken aan opsporing. Kritieke infrastructuur in elke EU-lidstaat wordt strategisch herkaart als nationale veiligheid in plaats van als interne markt.

In deze context is Nederland structureel kwetsbaar. Niet omdat het instrumenten ontbreekt, want de Wet beschikbaarheid goederen uit 1952 heeft inmiddels bewezen toepasbaar te zijn, de WOZT heeft bewezen oprekbaar te zijn tot de cloudlaag onder de identiteitsinfrastructuur, de NIS2- en Vifo-kaders zijn geïmplementeerd, en de Cyberbeveiligingswet met de Wet weerbaarheid kritieke entiteiten breiden de zorgplicht binnenkort uit tot ruim 8.000 organisaties. Het probleem is niet de afwezigheid van instrumenten, maar de afwezigheid van een doctrine die ze in samenhang inzet vóórdat de schade is geleden.

Architectuurschets van wat een coherente doctrine zou omvatten

Een coherente doctrine schrijven is een eigen exercitie en hoort niet in dit stuk thuis. Maar de richting waarin het bestaande instrumentarium zou moeten worden gecombineerd valt aan te wijzen, en dat is een minimum dat een serie over EU en internationaal aan de lezer verschuldigd is. Vijf bouwstenen.

De eerste is een uitbreiding van de Wet Vifo van ex post naar ex ante, en van haar huidige scope (sensitieve technologie, vitale aanbieders) naar identiteitsinfrastructuur en data-aggregatieknopen. Het Solvinity-verbod heeft deze lacune niet gedicht maar juist zichtbaar gemaakt: omdat de Vifo-scope niet paste, moest de Staat uitwijken naar een telecomwet die voor een ander gevaar was geschreven. Het kabinet heeft inmiddels een Vifo-uitbreiding per 1 januari 2027 aangekondigd; de toets voor die uitbreiding is of zij identiteitsinfrastructuur en aggregatieknopen expliciet onder een zwaarder en eerder regime brengt, of opnieuw ruimte laat voor oprekking per casus. Het ICC-precedent uit mei 2025 maakt duidelijk dat de identiteit van de moedermaatschappij van een aggregatieknoop minstens zo bepalend is voor het risico als de inhoud van de gegevens. Wie publieke identiteitsinfrastructuur beheert moet onder een zwaarder en eerder toetsingsregime vallen, niet onder hetzelfde regime als generieke IT-dienstverlening, en zeker niet onder een regime dat per rechtszaak moet worden opgerekt.

De tweede is een soevereiniteitscriterium in de NZa-concentratietoets bij zorgaanbieders. Op dit moment toetst de NZa op marktmacht en zorgkwaliteit. De Eurofins-casus laat zien dat concentratie van publieke verwerkingen bij private partijen onder buitenlandse zeggenschap een eigenstandig nationaal weerbaarheidsrisico vormt, dat los staat van de vraag of de markt voldoende blijft. Een toetsingscriterium dat aggregatie van publiek-uitvoerende verwerkingen op één buitenlandse moeder als zelfstandige weerbaarheidskwestie behandelt, sluit een lacune die nu door private equity en transnationale concentratie wordt geëxploiteerd.

De derde is een herziening van de Wabvpz-handhavingsbevoegdheden. Een sectoraal toezichthouder met domeinkennis (IGJ) die geen bestraffende bevoegdheid heeft, gekoppeld aan een algemeen toezichthouder met bestraffende bevoegdheid (AP) maar zonder sectorkennis en met meerjarige doorlooptijden, levert in de praktijk noch afschrikking noch herstel. De keuze is bestraffende bevoegdheid bij IGJ aanvullend op AP, of een geïntegreerd zorgtoezicht waarin domeinkennis en sanctiebevoegdheid in één hand liggen. Beide opties zijn beter dan de huidige situatie waarin Eurofins drie jaar lang geen audit had en de toezichthouder daar alleen vriendelijk om bevestiging van een toekomstige certificering kan verzoeken.

De vierde is een Nederlandse positiebepaling in de Europese cybersecurity certification scheme voor cloud (EUCS). Het EUCS-debat draait al jaren rond de vraag of “immune from non-EU law” een eigenstandig criterium moet zijn voor de hoogste assurance-niveaus bij overheidscloud. Frankrijk en Italië hebben dat verdedigd, Nederland heeft een minder uitgesproken positie gekozen. Het ICC-precedent maakt het verdedigen van immuniteit van extraterritoriale wetgeving voor de hoogste categorie overheidsdiensten geen ideologische maar een operationele eis. Een actieve Nederlandse positie in dit dossier, gekoppeld aan een nationale eis dat identiteitsinfrastructuur en aggregatieknopen van publieke verwerkingen onder die hoogste categorie vallen, sluit de cloudkant van het probleem dat DigiD blootlegt.

De vijfde is een doctrine voor losgeldbetalingen door private ketenpartners in publiek gemandateerde verwerkingen. Op dit moment beslist een buitenlandse moedermaatschappij autonoom of zij betaalt aan een criminele organisatie als haar Nederlandse dochter is getroffen in een publiek-uitvoerende verwerking. Dat is een operationele keuze met directe nationale veiligheidsimplicaties die in geen enkel regime is verankerd. Een meldplicht voorafgaand aan betaling, gekoppeld aan een nationale beslislijn waarbij de Staat ten minste consulteert en in het uiterste geval kan blokkeren, is geen onverdedigbare interventie in private contracten. Het is de erkenning dat losgeldbetaling in dit type ketens een statecraft-handeling is geworden.

Deze vijf bouwstenen vormen samen geen doctrine, maar een architectuur waarbinnen een doctrine geschreven kan worden. Ze maken het Eurofins-patroon (aggregatie zonder toetsing), het Nexperia-patroon (reactief ingrijpen na het feit) en het Kyndryl-patroon (ingrijpen pas na mobilisatie bij bondgenoten) elk afzonderlijk minder waarschijnlijk. Ze veranderen niet de geopolitieke positie van Nederland, ze veranderen het instrumentarium waarmee Nederland binnen die positie opereert.

Slot

Het IGJ-rapport over Clinical Diagnostics, de Wingtech-arbitragezaak en het overnameverbod rond Solvinity zijn drie verschillende symptomen van hetzelfde diagnostische beeld. Een staat die zijn kritieke infrastructuur heeft uitgeleverd en die nu, geval per geval, ontdekt wat dat in een minder vriendelijke wereld werkelijk betekent. Het Solvinity-verbod laat zien dat het bestaande instrumentarium onder voldoende druk kan leveren. Het laat ook zien wat die druk moet omvatten voordat er geleverd wordt, en dat druk geen doctrine is: elke volgende casus begint opnieuw, met een nieuwe mobilisatie, een nieuw op te rekken instrument en een nieuwe rechtszaal. Want daar wordt de Nederlandse soevereiniteitsdoctrine op dit moment feitelijk geschreven. Wingtech vecht de Nexperia-ingreep aan in internationale arbitrage, Solvinity en Vitruvian vechten het overnameverbod aan bij de bestuursrechter, en in beide procedures zal een rechter vastleggen wat de wetgever heeft nagelaten te definiëren: waar de grens ligt tussen legitieme bescherming van het publieke belang en willekeur.

De vraag voor de komende kabinetsperiode is dus niet of de drie patronen moeten worden geharmoniseerd tot één doctrine. De vraag is wie de hierboven geschetste architectuur omzet in wetgeving, op welke termijn, en met welke politieke bereidheid om het verzet van zowel buitenlandse moedermaatschappijen als Nederlandse uitbestedingsbelangen te dragen. Zonder die bereidheid wordt het de moeite niet waard om de architectuur te bouwen, en zonder de architectuur wordt elk volgend Eurofins, Nexperia of DigiD opnieuw als verrassing behandeld door het bestuur dat de huidige situatie zelf heeft toegestaan.

Versiebeheer

v2.0 · 11 juli 2026. Herziening naar aanleiding van het overnameverbod van 25 mei 2026. Sectie III geactualiseerd en uitgebreid met de subsecties “Twintig dagen in mei” en “Wat het verbod niet oplost”; wettelijke grondslag van de toetsing gecorrigeerd van Wet Vifo naar WOZT; de conclusie uit de eerste versie dat Den Haag tegen de Verenigde Staten voorlopig niet durft in te grijpen, is door de feiten gecorrigeerd en vervangen door een drempelanalyse: ingrijpen bij bondgenoten volgt pas na binnenlandse mobilisatie. Het derde patroon, de synthese, de instrumentenalinea, bouwsteen één en het slot zijn daarop herschreven, met de dragertoets op twaalf tot achttien maanden als toetsbaar criterium.

v1.0 · 25 mei 2026. Eerste publicatie.

Jacob Huibers is interim-manager met ruim twintig jaar ervaring in de Nederlandse publieke sector. Hij werkte als clustermanager, clusterdirecteur en kwartiermaker bij gemeenten van vijftigduizend tot ruim tweehonderdduizend inwoners en bij regionale samenwerkingsverbanden in het sociaal en fysiek domein. Statecraft is zijn platform voor strategische reflectie op publieke uitvoering, pijler IV van House of Viridian.

Reactie en tegenspraak via Statecraft.nl.