Brief regering : Voortgang modernisering Omzetbelasting

26 643
Informatie- en communicatietechnologie (ICT)

Nr. 1534
BRIEF VAN DE STAATSSECRETARIS VAN FINANCIËN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 17 maart 2026

Met deze brief informeer ik uw Kamer over de stand van zaken rondom de implementatie
van het nieuwe systeem voor de omzetbelasting door het Amerikaanse bedrijf Fast Enterprises.
In de afgelopen weken is er in uw Kamer en in de maatschappij veel aandacht ontstaan
voor dit onderwerp. Naar aanleiding van het Wetgevingsoverleg Digitale Zaken van 2 maart
jl. heeft mijn ambtsgenoot de Staatssecretaris van Digitale Economie en Soevereiniteit
contact met mij opgenomen. Daarnaast hebben de leden Kathmann (GroenLinks/PvdA) en
Struijs (50Plus) hierover Kamervragen gesteld. De beantwoording hiervan ontvangt u
zo spoedig mogelijk.

Middels deze brief zal ik u nader informeren over de stand van zaken met betrekking
tot de aanbesteding voor het nieuwe systeem voor de omzetbelasting. Ik zal daarbij
ingaan op de maatregelen die de Belastingdienst neemt en gaat nemen om de risico’s
rondom de continuïteit en vertrouwelijkheid zoveel mogelijk te mitigeren. Daarnaast
zal ik u meenemen in de achtergrond van het besluit tot de aanbesteding en de noodzaak
van de modernisering van de systemen voor de omzetbelasting.

Laat ik daarbij vooropstellen dat ik begrijp dat de aanbesteding van het systeem aan
Fast Enterprises vragen oproept bij uw Kamer. Door de wereldwijde (geo)politieke ontwikkelingen
is de discussie omtrent het versterken van de digitale autonomie en het beperken van
afhankelijkheden van niet-Europese technologie versterkt. Bij de start van deze aanbesteding
speelde dit een beperktere rol.

Geopolitieke context en digitale autonomie

Voordat ik inga op de aanbesteding wil ik eerst stilstaan bij de bredere (geo)politieke
context waarin dit traject moet worden bezien.

Continuïteitsrisico’s als gevolg van geopolitieke ontwikkelingen dienen daarbij in
perspectief te worden gezien. De Belastingdienst is ook in de huidige situatie afhankelijk
van Amerikaanse technologie in de infrastructuur. Veel infrastructurele componenten
zoals virtualisatiesoftware en de besturingssystemen van de servers zijn ook Amerikaanse
producten. Voor onderhoud, licentiechecks of updates wordt vaak gecontroleerd een
(netwerk)connectie gemaakt met de leverancier. Hoewel het uitmaakt of de Belastingdienst
of Fast Enterprises de infrastructuur beheert zullen de continuïteitsrisico’s ten
aanzien van de Amerikaanse leveranciers niet weggenomen zijn. Het huidige systeem
betreft bijvoorbeeld een IBM-mainframe (Amerikaanse leverancier) waarbij voor onderhoud
ook een gecontroleerde (netwerk)connectie wordt gemaakt met de leverancier (hetzelfde
geldt voor de virtualisatiesoftware). Wel geldt dat het zelfstandig beheren van de
infrastructuur meer regie en controle biedt in relatie tot de toegang tot gegevens.

Ik onderschrijf dat het wenselijk is om de digitale autonomie van Nederland verder
te versterken. In het regeerakkoord is de ambitie opgenomen dat er gewerkt moet worden
aan inzicht in en afbouw van strategische technologie-afhankelijkheden. Deze ambitie
is tegelijkertijd niet van de ene op de andere dag te realiseren. Het versterken van
de digitale autonomie van de overheid is een belangrijke en stevige opgave die vraagt
om een rijksbrede aanpak en die het gehele kabinet aangaat. Ik wil daar, vanuit mijn
verantwoordelijkheid voor de Belastingdienst, graag een actieve bijdrage aan leveren
met als doel om Nederland digitaal autonomer te maken. De realiteit is echter dat
de modernisering van dit systeem niet kan wachten.

Aanbestedingstraject

Onder mijn ambtsvoorgangers is ingezet op het planmatig moderniseren en vernieuwen
van het IT-landschap van de Belastingdienst. In dat kader is de Belastingdienst in
2020 gestart met het programma om het verouderde omzetbelastingsysteem te moderniseren.
Om de mogelijkheden in kaart te brengen heeft de Belastingdienst in 2021 een marktconsultatie
gedaan. Daaruit bleek dat er oplossingen in de markt beschikbaar zijn.

In 2022 is na extern advies besloten om een aanbesteding te starten en een pakketoplossing
uit de markt aan te schaffen in plaats van zelf een nieuw systeem te bouwen. Uit dit
advies bleek dat een oplossing uit de markt sneller en tegen lagere kosten zou kunnen
worden gerealiseerd dan wanneer de Belastingdienst zelf een systeem zou bouwen.1 De Belastingdienst heeft later een tweede, onafhankelijk advies gevraagd. Ook hierin
werd geconcludeerd dat een pakketoplossing uit de markt sneller kon worden geïmplementeerd
dan een zelfbouwtraject. Uw Kamer is over de keuze voor een pakketoplossing reeds
in februari 2023 geïnformeerd.2

In 2023 is de Belastingdienst een aanbestedingsprocedure gestart. Na het doorlopen
van een zorgvuldige Europese aanbestedingsprocedure is de opdracht gegund aan het
Amerikaanse bedrijf Fast Enterprises. Dit bedrijf scoorde het beste op de van te voren
aangegeven criteria uit de aanbestedingsstukken, zoals gegevensbeheer, informatiebeveiliging
gebruiksvriendelijkheid en datamigratie. In maart 2025 heeft mijn ambtsvoorganger
u tijdens het commissiedebat Belastingdienst geïnformeerd over de gunning aan Fast
Enterprises.

Er is bewust gezocht naar bewezen technologie en gekeken naar de ervaringen van andere
Europese landen. Zo heeft de Finse belastingdienst dezelfde pakketoplossing reeds
geïmplementeerd voor alle belastingmiddelen en processen. Wel draait de Finse belastingdienst
dit systeem op dit moment, met uitzondering van het applicatiebeheer, in eigen beheer.
Op korte termijn zal de Finse belastingdienst, in het kader van het versterken van
de weerbaarheid, de overstap maken naar een externe cloudomgeving van een Amerikaanse
partij. Inmiddels heeft de Deense Belastingdienst ook een contract met deze leverancier
afgesloten.

Huidige situatie en maatregelen

Stand van zaken implementatie

De implementatie betreft een integrale oplossing waarbij Fast het beheer gaat voeren
op het totale systeem (software en infrastructuur). De infrastructuur staat in Apeldoorn,
maar wordt beheerd door Fast (door middel van een housing-oplossing geleverd door
de Belastingdienst). Er is hier geen sprake van opslag of verwerking van de gegevens
van belastingplichtigen in een cloudomgeving.

Gezien Fast de infrastructuur beheert bestaan er risico’s rondom de toegang tot data
(exclusiviteit) en continuïteit van het systeem. Als onderdeel van het programma worden
deze risico’s geanalyseerd en worden voorgenomen beheersmaatregelen uitgewerkt (in
samenspraak met de leverancier). De Belastingdienst werkt nog aan de realisatie van
de oplossing. Dat wil zeggen dat er nog wordt gewerkt aan de configuratie en het gereedmaken
van het pakket, maar dat het nog niet in productie is genomen.

Om het nieuwe systeem zo veilig mogelijk in te richten worden er maatregelen genomen.
Als onderdeel van het programma voert de Belastingdienst een risicoanalyse conform
de IRAM (Information Risk Assessment Methodology) uit. Dit is een veelgebruikte methodiek
die helpt bij het identificeren, analyseren en behandelen van risico’s op het gebied
van informatiebeveiliging. Op basis hiervan worden maatregelen uitgewerkt en geïmplementeerd,
en vervolgens op hun effectiviteit getoetst.

Gelijktijdig en als onderdeel van de risicoanalyse laat ik parallel onderzoeken op
welke termijn en onder welke voorwaarden de Belastingdienst het beheer en onderhoud
van de infrastructuur in Apeldoorn kan overnemen van Fast Enterprises (van housing
naar hosting). Dit kan als een alternatieve route dienen in het geval uit de risicoanalyse
blijkt dat de restrisico’s, na het treffen van de beheersmaatregelen, niet tot een
aanvaardbaar niveau kunnen worden teruggebracht. Het zorgvuldig uitwerken van deze
alternatieve route vergt tijd. Ik zal uw Kamer hierover informeren voor het zomerreces.

Mitigerende maatregelen

Ik zal hieronder ingaan op de maatregelen die de Belastingdienst heeft getroffen en
gaat treffen om deze risico’s zoveel mogelijk te beperken. De leverancier gaat werken
op locatie in Apeldoorn onder toezicht van medewerkers van de Belastingdienst (vier-ogenprincipe)
die worden opgeleid om het systeem te beheren. Er wordt door de leverancier, eenmaal
in productie, geen beheer op afstand gevoerd. De Belastingdienst is in overleg met
de leverancier om te bewerkstellingen dat er wordt gewerkt met medewerkers die niet
onder Amerikaanse jurisdictie vallen. Ook onderzoekt de Belastingdienst samen met
de leverancier de mogelijkheid dat zij een onafhankelijke Europese entiteit oprichten
met de intentie om het contract met de Belastingdienst daarheen te verhuizen. De Belastingdienst
werkt met Fast aan de invulling van bovenstaande mitigerende maatregelen.

Daarnaast werkt de Belastingdienst met de leverancier aan het uitbreiden van de escrow-regeling
die is opgenomen in de overeenkomst met Fast Enterprises zodat deze een ruimere toepassing
krijgt. Dit is een regeling die dient als waarborg op de continuïteit van de dienstverlening.
Er wordt een kopie van de broncode en documentatie in bewaring gegeven bij een Nederlandse
onafhankelijke derde partij. In geval van het niet nakomen van dienstverleningsafspraken
wordt deze broncode en documentatie vrijgegeven. De Belastingdienst gaat een proces
inrichten om te zorgen dat de Belastingdienstmedewerkers de in dat geval benodigde
expertise hebben om zelf het volledige beheer uit te voeren. Daarnaast gaat de Belastingdienst
de broncode door een onafhankelijke partij onderzoeken op mogelijke kwetsbaarheden,
zoals achterdeuren (backdoors).

De Belastingdienst heeft de infrastructuur ingericht als een «onvertrouwde» omgeving
binnen de infrastructuur van de Belastingdienst. De omgeving is gezoneerd en koppelingen
of verbindingen met andere systemen worden gecontroleerd. De effectiviteit van de
beheersmaatregelen en de betrouwbaarheid van de omgeving worden onderworpen aan audits
en penetratietesten alvorens de afweging wordt gemaakt of systemen in productie gaan
(of data wordt ingeladen in de omgeving).

Aangezien Fast Enterprises een Amerikaanse leverancier is die onder Amerikaanse jurisdictie
valt komen de gegevens van belastingplichtigen daarmee in potentie binnen de reikwijdte
van extraterritoriale wetgeving zoals de CLOUD Act en de FISA Amendments Act. De CLOUD
Act stelt Amerikaanse opsporingsdiensten in staat om via een gerechtelijk bevel toegang
te krijgen tot gegevens bij dienstverleners die onder Amerikaanse jurisdictie vallen,
ongeacht waar die gegevens zijn opgeslagen. De FISA-wetgeving stelt Amerikaanse opsporingsdiensten
instaat om in het kader van nationale veiligheid deze gegevens te verzamelen zonder
individueel gerechtelijk bevel.

Met de eerdergenoemde maatregelen kunnen deze risico’s worden beperkt, met als doel
om deze terug te brengen tot een aanvaardbaar restrisico. Daarbij merk ik op dat het
gebruikmaken van een externe leverancier betekent dat risico’s nooit volledig kunnen
worden weggenomen. De Belastingdienst blijft de risico’s doorlopend monitoren en zal
in de komende tijd additionele maatregelen blijven verkennen. Zoals ik eerder in de
brief aangaf laat ik parallel onderzoeken onder welke voorwaarden de Belastingdienst
het beheer en onderhoud in eigen hand kan nemen.

Noodzaak modernisering systemen voor de omzetbelasting

Jaarlijks wordt er circa 80 miljard euro aan omzetbelasting afgedragen aan de Belastingdienst.
De verwerking van de aangiften die aan deze inning ten grondslag ligt vindt plaats
met een systeem dat sterk is verouderd en dringend toe is aan modernisering. Over
de noodzaak om het systeem van de omzetbelasting te moderniseren is uw Kamer door
mijn ambtsvoorgangers in de afgelopen jaren veelvuldig geïnformeerd.3

Externe toezichthouders, waaronder de Algemene Rekenkamer (AR), vragen hier al jaren
structureel aandacht voor. Zo constateert de AR reeds in het Verantwoordingsonderzoek
2018 dat het systeem voor de omzetbelasting sterk is verouderd en de benodigde kennis
om het te onderhouden schaars is.4 In het verantwoordingsonderzoek 2019 schrijft de AR dat de continuïteit van de omzetbelasting
nog steeds onder druk staat.5 In 2022 stelt de AR dat verdere vertraging van de modernisering van de omzetbelasting
niet meer wenselijk is.6 Ook in 2023 herhaalt de AR deze zorgen.7

De noodzaak om het systeem voor de omzetbelasting te moderniseren is nog steeds onverminderd
urgent. Niet moderniseren en het blijven voortzetten van het verouderde systeem brengt
risico’s met zich mee. Het huidige systeem dat gebruikt wordt voor de omzetbelasting
is ongeveer veertig jaar oud en is gebaseerd op verouderde technologie. Het onderhouden
van dit systeem wordt complexer en kostbaarder naarmate het systeem verder veroudert.
Op termijn nemen de risico’s dat storingen en uitval optreden, met directe gevolgen
voor de continuïteit, toe. Bovendien geldt ook dat de specialistische kennis van deze
verouderde technologie steeds schaarser wordt. Niet alleen binnen de Belastingdienst,
maar ook op de arbeidsmarkt. Aangezien het huidige systeem niet aangepast kan worden
moet er veel handmatig werk plaatsvinden. Zo is er een aanzienlijk aantal medewerkers
fulltime belast met het handmatig overtypen en invoeren van uitgevallen berichten
en het herstellen van de gevolgen daarvan.

Naast de risico’s omtrent continuïteit is de beperkte wendbaarheid van het systeem
ook een dringende reden om het te moderniseren. Het huidige systeem is beperkt aanpasbaar,
grote en of structurele wijzingen in de omzetbelasting kunnen daarom niet worden doorgevoerd.

Dit raakt de uitvoerbaarheid van zowel nationaal als (verplicht) Europees beleid.
Beleidswensen vanuit uw Kamer kunnen nu niet of nauwelijks worden geïmplementeerd.
Europese regelgeving en richtlijnen vereisen dat aanpassingen in de systemen van de
Belastingdienst tijdig plaatsvinden. Voor de implementatie van Europese regelgeving
zoals ViDA (Vat in the Digital Age) is bijvoorbeeld al rekening gehouden met de implementatie
in het nieuwe systeem. Het alsnog overgaan op zelfbouw brengt een doorlooptijd met
zich mee die ruimschoots voorbij de vereiste implementatiedatum van deze wetgeving
reikt. Als deze wetgeving niet tijdig wordt geïmplementeerd kan dit leiden tot ingebrekestellingen
van de Europese Commissie en problemen voor het (Nederlandse) bedrijfsleven.

Planning en vervolgstappen

Vanuit uw Kamer is, tijdens het Wetgevingsoverleg van de Commissie Digitale Zaken
van 2 maart jl., verzocht om geen onomkeerbare stappen te nemen tot aan het commissiedebat
Belastingdienst van 19 maart aanstaande. Op dit moment wordt er nog geen gebruik gemaakt
van het nieuwe systeem. Het huidige systeem functioneert ongewijzigd. Wel wordt er
doorgewerkt aan de voorbereiding van de ingebruikname om te voorkomen dat er verdere
vertraging optreedt. Daarbij merk ik op dat de gunning in maart 2025 definitief is
geworden en het contact met Fast Enterprises is getekend. De Belastingdienst is als
contractpartij gehouden aan de verplichtingen die hieruit voortvloeien. Het opzeggen
of niet nakomen van het contract zal juridische en financiële consequenties met zich
meebrengen.

De Belastingdienst heeft gekozen voor een stapsgewijze implementatie. De planning
hiervoor heeft mijn ambtsvoorganger op 13 november 2025 met uw Kamer gedeeld.8 Naar aanleiding van de IRAM worden de risico’s verder in kaart gebracht en worden
waar er aanvullende beheersmaatregelen getroffen door de Belastingdienst. Vooralsnog
ligt de Belastingdienst op planning voor de livegang van VAT-refund op 1 juli 2026.9

Informatieverzoek onderliggende stukken

De leden Kathmann (GroenLinks/PvdA) en Struijs (50PLUS) hebben daarnaast gevraagd
naar alle relevante notities, adviezen, (risico)analyses en documenten, die betrokken
zijn bij de keuze voor Fast Enterprises. De Belastingdienst heeft hier met prioriteit
een zoekslag naar gedaan en bijgevoegd vindt u de stukken die daarbij zijn aangetroffen.
Omdat ik het belangrijk vind uw Kamer voor het debat van 19 maart te informeren, is
de zoekslag met prioriteit uitgevoerd. Daardoor kan ik uw Kamer documenten doen toekomen
die bezien op de aanbesteding, advisering, informatievoorziening en besluitvorming
vanuit verschillende fasen binnen de overstap naar een ander OB-systeem. Wanneer er
nieuwe relevantie informatie naar boven komt, waarmee een nieuw licht wordt geschenen
op de reeds gedeelde inlichtingen, wordt dit op korte termijn met u gedeeld.

Afsluiting

Ik hecht, net als uw Kamer, veel belang aan het versterken van de digitale autonomie
van onze overheid. Dit is ook één van de uitgangspunten uit het regeerakkoord. Samen
met het kabinet wil ik hier in de komende tijd naartoe werken.

Voor de systemen van de omzetbelasting geldt dat de modernisering niet langer kan
wachten. Dit systeem is inmiddels rond de veertig jaar oud, de kennis wordt schaarser,
de risico’s op storingen en uitval groter en de mogelijkheid om nieuw beleid uit te
voeren is zeer beperkt.

De keuze voor een pakketoplossing is weloverwogen gemaakt. De Belastingdienst heeft
de aanbestedingsprocedure zorgvuldig doorlopen en de gunning is in maart 2025 definitief
verleend. Ik ben dan ook voornemens dit traject voort te zetten.

Naar aanleiding van de (geo)politieke en maatschappelijke ontwikkelingen bekijkt de
Belastingdienst de risico’s en voorgenomen maatregelen nogmaals kritisch. Ook in de
komende periode zal de Belastingdienst blijven bezien waar aanvullende maatregelen
kunnen worden genomen om de risico’s die onderkend zijn bij de modernisering van de
omzetbelasting, verder te beperken. Ik heb er vertrouwen in dat met deze getroffen
en toekomstige aanvullende maatregelen de risico’s voor de continuïteit en vertrouwelijkheid
voldoende worden beheerst.

De Staatssecretaris van Financiën,
E. Eerenberg