Brief regering : Stand van zaken aanvullende maatregelen Logius in relatie tot Solvinity

32 761
Verwerking en bescherming persoonsgegevens

Nr. 1517
BRIEF VAN DE STAATSSECRETARIS VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 4 juni 2026

Met deze brief informeer ik uw Kamer zoals toegezegd in de beantwoording van Kamervragen
van het lid Kathmann (GL-PvdA) c.s.1 over de stand van zaken rondom de specifieke technische maatregelen en de voorbereiding
van de contractopvolging voor het infrastructuur-platform van het agentschap Logius
van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties.

Op 26 mei 2026 heeft het kabinet de overname van Solvinity door Kyndryl verboden.
Hierover zult u separaat geïnformeerd worden middels vertrouwelijke technische briefing.
Onafhankelijk van deze keuze acht ik het noodzakelijk om te onderzoeken of aanvullende
maatregelen nodig zijn ten aanzien van de keuze in de te volgen aanbestedingsprocedure
voor Logius. Daarnaast heb ik onderzocht welke aanvullende technische maatregelen
kunnen worden genomen om de continuïteit en veiligheid van dienstverlening nu en in
de toekomst te blijven borgen.

De voorgenomen overname van Solvinity door Kyndryl was aanleiding voor de CISO Logius
om eind 2025 een kwetsbaarhedensscan uit te voeren. Deze analyse is in april 2026
in vertrouwelijkheid gedeeld met de Tweede Kamer. De kwetsbaarhedenscan omvat een
breed pakket aan mogelijke maatregelen op het gebied van versleuteling, monitoring,
netwerkbeveiliging en beheer. Hieruit zijn vier maatregelen geprioriteerd die het
meeste effect hebben op het gebied van versleuteling, monitoring, netwerkbeveiliging
en beheer.

– Aanvullende versleuteling van persoonsgegevens in databases van applicatie;

– Aanvullende versleuteling van persoonsgegevens in logging;

– Aanvullende versleuteling van persoonsgegevens vóór opslag op de storage van de leverancier;

– (Aanvullende) Back-ups bij een ander overheidsdatacenter als vangnet voor continuïteit
en herstelbaarheid.

Logius heeft in de afgelopen maanden per voorziening getoetst waar de kwetsbaarheden
zitten en welke specifieke technische maatregelen getroffen kunnen worden. Het gaat
om risico-verminderende maatregelen om geïdentificeerde risico’s te minimaliseren.
Risico’s kunnen nooit volledig worden weggenomen en er zal altijd een restrisico blijven
bestaan, zoals in elke complexe IT-keten. Deze maatregelen zijn afwogen tegen de gevolgen
voor continuïteit, mogelijke vertragingen van werkzaamheden en de financiële gevolgen.

Dit heeft erin geresulteerd dat in ieder geval de volgende werkzaamheden worden doorgevoerd:

– DigiD: werkzaamheden ten aanzien van het doorvoeren van extra versleuteling van de database
worden nu voorbereid en ingepland. DigiD heeft de overige drie voorgestelde maatregelen
al eerder doorgevoerd.

– MijnOverheid: de voorgestelde maatregelen zullen worden uitgevoerd. Logius zal nadere afspraken
maken met het kerndepartement over de planning van uitvoering van de werkzaamheden.

Voor de overige voorzieningen geldt dat het doorvoeren van de voorgestelde maatregelen
op dit moment niet opportuun is. De maatregelen worden uiteraard wel meegenomen in
het reguliere proces van doorontwikkeling en vernieuwing van voorzieningen.

Naast de implementatie van bovenstaande maatregelen wordt ook de monitoring van het
platform van Solvinity verder versterkt. Dit door het aantal detectieregels verder
uit te bereiden en de monitoring daarvan onder te brengen bij het Logius Security
Operations Center (SOC). De werkzaamheden hiervoor zullen in de komende maanden uitgevoerd
gaan worden.

Aankomende aanbesteding platformbeheer Logius

De huidige overeenkomst met Solvinity is op 6 mei 2026 verlengd en loopt uiterlijk
af in augustus 2028. De inmiddels verboden overname van Solvinity door Kyndryl heeft
ervoor gezorgd dat Logius samen met het kerndepartement kritisch heeft gekeken hoe
het toekomstige aanbestedingsproces kan worden ingericht. Hiervoor is advies ingewonnen
bij de Landsadvcoaat. Dit heeft geresulteerd in de keuze om een procedure op basis
van de Aanbestedingswet Defensie en Veiligheid (ADV) op te starten en verder uit te
werken. De reden hiervoor is dat de ADV meer mogelijkheden biedt dan een reguliere
Europese Aanbesteding om risico’s voor de nationale veiligheid te beperken, zoals
het uitzonderen van partijen afkomstig uit landen met lokale wetgeving die het mogelijk
maakt data van Nederlandse burgers op te vragen. Op dit moment treft Logius de voorbereidingen
voor het uitvoeren van de aanbesteding en zal pas bij gunning weer de openbaarheid
zoeken.

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties,
E. van der Burg