Het “uiterst teleurgestelde” Kyndryl moet afdruipen zonder Solvinity te hebben gekocht. Een “politisering” van het proces rondom de koop van de DigiD-beheerder zou roet in het eten hebben gegooid. Opeens valt een Amerikaans bedrijf in hetzelfde verdoemhoekje als tegenhangers in Rusland en China. Wat zijn de lessen van de Solvinity-rel? En heeft Nederland gekregen wat het verlangde: de volledige zeggenschap, en dus soevereiniteit, over de eigen digitale kroonjuwelen?
Onafhankelijk IT-expert Michiel Steltman constateert tegenover Techzine dat de blokkade van Kyndryls beoogde overname van cloudprovider Solvinity positief is ontvangen. “Ik begrijp de motivatie om het beheer van DigiD bij een volledig Nederlands bedrijf te houden goed. Tegelijkertijd roept het verhaal bij mij vragen op.” Hij is niet de enige. Zo benadrukt techprominent Bert Hubert dat de Wet Ongewenste Zeggenschap Telecommunicatie (WOZT), geciteerd door het Bureau Toetsing Investeringen (BTI) bij zijn advies om de overname te blokkeren, rust op “lastig te definiëren” kwesties als publiek belang, openbare orde of openbare veiligheid. Concreet uitte het BTI zijn zorgen over het mogelijke gebruik van de CLOUD Act en FISA om bij DigiD-data te komen via Solvinity.
Verschillende signalen
Willemijn Aerdts, staatssecretaris Digitale Economie en Soevereiniteit, ging in op het advies van het BTI om de overname te blokkeren. Steltman spreekt over “tegenstrijdige signalen over de risico-inschatting”. Eerder waren bestuurders en publieke instanties juist relatief positief over de Solvinity-deal. “Zo gaf Logius, gevolgd door minister Van der Burg van Binnenlandse Zaken, recent aan dat het risico van Amerikaans ingrijpen in DigiD acceptabel werd geacht.” Steltman ziet “weinig consistentie” in dit beleid. De Autoriteit Consument & Markt (ACM), had in februari een positief oordeel over de inlijving van Solvinity, al was dat enkel op het gebied van martkwerking en concurrentie. Dat is immers waar de ACM over gaat. Dat het BTI anders oordeelde, is niet zo gek. Het kende namelijk andere maatstaven. Desondanks is de reeks signalen genoemd door Steltman zeker lastig te volgen. Het zou ons niet verbazen als dit kabinet bij een volgend vraagstuk omtrent soevereiniteit stiller is tot het een oordeel velt.
Duidelijker was de publieke reactie, die overigens niet direct is genoemd als beweegreden van Aerdts om nu al met een verbod te komen. 200.000 burgers ondertekenden een petitie tegen de overname. In eerste instantie riep de aankondiging van de Solvinity-overname weinig publieke reactie op. Toegegeven, ook wij hadden aanvankelijk niet door dat een rel aanstaande zou zijn. Maar een kort geding en een rechtszaak tegen de Staat volgden, naast massaal negatief sentiment over de deal in het publieke debat. De rechter oordeelde deze maand dat Nederland het DigiD-contract met Solvinity mocht verlengen om de continuïteit van de dienstverlening te waarborgen. Een vertrek, wanneer dan ook, zou sowieso maanden duren. Een andere zaak, van mediaplatform en Follow the Money-onderdeel The Firewall, is ingetrokken nu de overname is geblokkeerd.
Simon Besteman, directeur van Dutch Cloud Community, vertelt ons dat zijn organisatie blij is met het besluit tot blokkade. “Met de verkoop had ons land toegang tot de kerntaken en gegevens waarmee Nederland bestuurd wordt in niet-Europese handen laten komen. Wij deelden de zorg die velen in de samenleving hadden voor onze nationale veiligheid en onafhankelijkheid.”
Dutch Cloud Community, aanspreekpunt en gemeenschap van meer dan honderd cloudbedrijven actief in Nederland, heeft “volledig vertrouwen in het onderbrengen van belangrijke diensten als DigiD in het Nederlandse cloud ecosysteem”, aldus Besteman.
Controle en regie kwijt
DigiD-beheer lijkt voorlopig veiliggesteld. Een Nederlandse aanbieder zal deze cruciale digitale dienst blijven verzorgen, ook als dat niet Solvinity is. Maar Steltman vraagt zich af wat er gebeurd was als Solvinity geen beheerder was geweest van DigiD. “Wordt het behoorlijke zware instrument van marktinterventie hier echt ingezet vanwege bredere nationale belangen, of vooral vanwege deze ene, specifieke casus? Het lijkt me moeilijk te verdedigen dat je met de ene pet op ingrijpt bij een leverancier omdat je met je andere pet het lastig vindt om vanwege de publieke druk over te stappen naar een ander.”
Niet-Europese investeerders, met name Amerikaanse, kunnen regelmatig dieper in de buidel tasten. Voor overnames is dit niet alleen een competitief voordeel tegenover Europese partijen, maar vanzelfsprekend aantrekkelijk voor de te overnemen speler. Solvinity vond in Kyndryl de meest lucratieve optie. “Potentiële investeerders met niet-Europees kapitaal in hun structuur zullen zich wel twee keer bedenken om nog te kijken naar partijen met een klantportfolio in de publieke sector”, vertelt Steltman ons. “Je weet nooit hoe dat afloopt als de pers er op duikt.”
Pieter van Oordt, Chief Privacy Officer bij Logius en inmiddels bekend als de DigiD-klokkenluider, werd geschorst als rijksambtenaar. We hebben hem gevraagd of hij inmiddels weer in zijn functie is hersteld en zullen dit bericht updaten als we daar duidelijkheid over hebben. Van Oordt liet op LinkedIn wel al weten dat het kabinet “voor 80 procent mijn navigatie” gevolgd heeft. In die 20 procent schuilt wel “de controle, de regie op het vervolg”, stelt hij. “Wat hebben we niet gedaan? We zijn niet met alle partijen aan tafel gegaan. Kan iedereen met opgeheven hoofd weg? Nee.”
Conclusie: een ongemakkelijk pad naar volwassenheid
De weg naar de Kyndryl-blokkade liep via omleidingen. Experts kaarten aan dat de communicatie, de argumentatie en de timing beter had gekund. Desondanks is iedereen behalve Kyndryl en de Amerikaanse ambassade op zijn minst neutraal en overwegend positief over het eindresultaat. Het is maar de vraag of een soortgelijke publieke rel was ontstaan als de beoogde overname van de DigiD-beheerder jaren geleden had plaatsgevonden. Soevereiniteit is inmiddels een bekend gegeven in het publieke debat. Lang was het ondenkbaar geweest om een legitiem bedrijf uit de VS de halt toe te roepen. Sterker nog, bij de inmiddels beruchte overname van ex-NXP-component Nexperia door Chinese investeerders (later Wingtech) in 2017 is in het afgelopen jaar pas grootschalige controverse ontstaan.
Toegegeven, Solvinity en Nexperia hebben weinig met elkaar te maken. Maar de reactie vanuit de samenleving is, zoals Steltman terecht concludeert, een potentieel beperkende factor voor welke buitenlandse koper dan ook bij bedrijven die een kritieke rol in de publieke sector spelen. Zonder de expertise van Solvinity te willen bagetalliseren kunnen we vaststellen dat DigiD-beheer prima in Nederlandse handen kan blijven. Dat is ook het probleem niet. Deze saga drukt echter de vinger op de vele zere plekken. Op allerlei fronten ontbreekt het aan duidelijkheid, consistentie en daarmee voorspelbaarheid rondom dit vraagstuk. Soevereiniteit moet uitkristalliseren tot een te definiëren factor en, op een of andere wijze, uitlegbaar zijn voor potentiële investeerders. Randgevallen zijn er altijd, daarom is het goed dat het BTI, de ACM en het kabinet naar context kunnen handelen. Steltman: “ik vraag me af of het verbieden van deze overname de situatie echt gaat verbeteren. Ik zie vooral een politiek gebaar. Maar ik zie liever een overheid die zichtbaar en serieus investeert in een sterke Nederlandse markt door zaken te doen met kleinere Nederlandse partijen.”