Brief regering : Digitale autonomie bij de Belastingdienst

26 643
Informatie- en communicatietechnologie (ICT)

Nr. 1543
BRIEF VAN DE STAATSSECRETARIS VAN FINANCIËN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 11 juni 2026

Eén van mijn ambities deze kabinetsperiode is om de Belastingdienst voorloper te maken
op het gebied van digitale autonomie. De Belastingdienst staat er al goed voor, maar
om deze ambitie waar te maken zijn keuzes en investeringen nodig. Bijvoorbeeld door
te investeren in de uitbreiding van datacentercapaciteit, het omarmen van nieuwe technologieën,
het verder inzetten op open source en door bij te sturen op lopende IT-projecten om
risico’s naar aanleiding van de gewijzigde geopolitieke context beter te adresseren.

In deze brief ontvangt u mijn visie op digitale autonomie bij de Belastingdienst,
zoals toegezegd tijdens het commissiedebat Belastingdienst van 19 maart jl. Ik ga
in deze brief in op de goede uitgangspositie van de Belastingdienst, de acties die
worden ingezet om deze positie te behouden en te versterken en wat dit betekent voor
een aantal lopende IT-projecten; de modernisering van de omzetbelasting, modernisering
contactcenter (MCC) en de uitrol van Microsoft 365 voor de kantoorautomatisering.

In de afgelopen decennia is de samenleving in hoog tempo digitaal verbonden geraakt,
over landsgrenzen heen. De afhankelijkheden die daarbij zijn ontstaan werden lange
tijd niet als risico gezien. Nu de geopolitieke verhoudingen zijn veranderd, kijken
we anders naar deze afhankelijkheden. Als de Belastingdienst zijn uitgangspositie
rondom autonomie wil behouden en versterken, dan vraagt dat om een wendbare en weerbare
organisatie. Mijn doel is dat de Belastingdienst, ook in de toekomst, een organisatie
is die zo onafhankelijk mogelijk keuzes kan maken over zijn digitale omgeving en minder
afhankelijk wordt van een beperkt aantal, vaak niet-Europese, technologieleveranciers.
Maar ook dat de Belastingdienst digitale keuzes tussentijds kan herzien en daarmee
kan inspelen op ontwikkelingen in de wereld.

De goede uitgangspositie van de Belastingdienst

De Belastingdienst beschikt over eigen datacenters in Apeldoorn waar de applicaties
ter ondersteuning van de primaire processen, het heffen en innen van belastingen en
premies, draaien. Deze applicaties zijn voornamelijk maatwerkapplicaties die zijn
ontwikkeld door de Belastingdienst zelf. De IV-organisatie van de Belastingdienst
telt circa 3.600 FTE aan eigen personeel van wie een aanzienlijk aantal dagelijks
werkt aan het beheer en de ontwikkeling van deze software. Zo wordt er binnen de verschillende
ketens van de Belastingdienst gewerkt aan het uitfaseren van verouderde software door
middel van zelfbouw van nieuwe applicaties. Daarmee beschikt de Belastingdienst over
een goede uitgangspositie en veel kennis en expertise om verder te werken aan het
versterken van de digitale autonomie. Dit is een positie die weinig vergelijkbare
overheidsorganisaties hebben.

Dit neemt niet weg dat de Belastingdienst op meerdere lagen van de digitale infrastructuur,
van hardware en virtualisatiesoftware tot besturingssystemen en de kantoorautomatisering,
technologie gebruikt van niet-Europese herkomst. Want voor deze lagen, met name op
het gebied van hardware, zijn er nog beperkt digitaal autonome alternatieven beschikbaar
of betreft het technologie die de Belastingdienst niet zelf kan ontwikkelen. Het eerlijke
verhaal is dat, ook met de aanpak die ik ga toelichten, de Belastingdienst nog steeds
afhankelijk zal blijven van niet-Europese technologie, zeker in de infrastructuur.
Zo draaien processen van de Belastingdienst bijvoorbeeld op een IBM-mainframe, waarbij
voor onderhoud een gecontroleerde verbinding met de leverancier wordt gemaakt. Continuïteitsrisico’s
zullen daarmee blijven bestaan, denk hierbij aan de afhankelijkheden van beveiligingsupdates
en licentiechecks van zowel infrastructurele componenten als andere systemen. Dat
wil niet zeggen dat deze systemen onmiddellijk stilvallen als een leverancier zijn
dienstverlening staakt. Wat betreft de vertrouwelijkheid van data, leveranciers van
deze systemen hebben in principe geen toegang tot de gegevens. Alleen in specifieke
gevallen, voor onderhoudswerkzaamheden, wordt een gecontroleerde verbinding gemaakt.
De Belastingdienst heeft dusdanig veel beheersmaatregelen getroffen dat risico’s tot
oneigenlijke toegang tot gegevens zoveel mogelijk zijn gemitigeerd.

De mate van afhankelijkheid en de bijbehorende risico’s verschillen per laag van de
digitale infrastructuur. Dit is overigens niet uniek voor de Belastingdienst, elke
grote publieke of private organisatie heeft dit soort afhankelijkheden. Het is belangrijk
om permanent inzicht te hebben in de bestaande afhankelijkheden, zodat gericht kan
worden bepaald waar deze een onaanvaardbaar risico vormen en daar beheersmaatregelen
kunnen worden getroffen.

Aanpak op hoofdlijnen

Mijn aanpak voor de Belastingdienst bestaat uit de volgende vier hoofdlijnen:

1. Behouden en waar nodig versterken eigen ontwikkelcapaciteit: Voor de primaire processen zal de Belastingdienst in toenemende mate voor eigen ontwikkeling
en beheer kiezen. De Belastingdienst wil de bestaande ontwikkelcapaciteit gerichter
en efficiënter inzetten door slimmer te werken met de aanwezige kennis en capaciteit.
Daarbij wordt ingezet op het gebruik van AI bij het ontwerpen, testen en onderhouden
van software, zodat er sneller ontwikkeld kan worden. Door meer zelf te doen krijgt
de Belastingdienst meer grip op zijn kritieke systemen. Tegelijkertijd gaat zelfbouw
ook gepaard met uitdagingen. Het is complexer en vraagt blijvende investeringen in
eigen mensen en middelen. Daarbij geldt ook dat op dit moment de meer geavanceerde
AI-modellen en -tooling van niet-Europese aanbieders afkomstig is.

2. Uitbreiden datacenterinfrastructuur: Meer zelf ontwikkelen en beheren en de behoefte om AI toe te passen vraagt om steeds
meer datacentercapaciteit. De Belastingdienst hanteert hiervoor een tweesporenbeleid:

i. Het eerste spoor is uitbreiding in de eigen datacenters (ODC) in Apeldoorn. Dat is
op dit moment niet mogelijk door netcongestie. De groeiende behoefte aan capaciteit,
om bijvoorbeeld systemen van andere overheidspartijen onder te brengen of de inzet
van AI, kan hierdoor niet worden ingevuld. De Belastingdienst werkt aan een onderbouwing
om hogere prioritering te verkrijgen voor aansluiting op het stroomnet.

ii. Het tweede spoor is het gebruik van datacenters van andere (private) partijen en andere
aanbieders van Europese soevereine cloudoplossingen. De Belastingdienst zet hier actief
en parallel op in. Door ook gebruik te gaan maken van datacenters van andere (private)
partijen is de Belastingdienst niet gebonden aan één fysieke locatie. Daarbij geldt
dat deze partijen wel moeten voldoen aan de eisen omtrent autonomie, soevereiniteit
en informatiebeveiliging van de Belastingdienst.

3. Herzien inkoop- en aanbestedingsbeleid: De Belastingdienst kan niet alles zelf ontwikkelen en blijft voor een deel van de
systemen afhankelijk van de markt. In bepaalde gevallen is dat ook een bewuste keuze.
Want voor systemen die niet tot de primaire processen behoren, of wanneer een marktoplossing
aantoonbaar efficiënter te implementeren is, kan dit gerechtvaardigd zijn. Maar, ook
dan geldt dat digitale autonomie en het beheersen van afhankelijkheden in een vroeg
stadium worden meegewogen. De Belastingdienst herziet daarom zijn vraagbepaling, inkoop
en contractering. Europese aanbestedingsregels laten het niet toe om aanbieders uit
landen waarmee de EU een handelsverdrag heeft gesloten uit te sluiten. Dat betekent
niet dat er niets mogelijk is. De (juridische) kennis voor de inkoop van meer autonome
en Europese oplossingen wordt versterkt en het sourcingsbeleid wordt hierop aangepast.
Daarbij zal de Belastingdienst ook het Cloud Sovereignty Framework van de Europese
Commissie (EC) betrekken. Waar mogelijk wordt gekozen voor Europese leveranciers.
Bij nieuwe systemen wordt nu al vooraf een exitstrategie opgesteld en waar mogelijk
contractueel een opzeggingsrecht bedongen bij significante wijzigingen, zoals overnames.

4. Verder inzetten op open source: Bij de verwerving van nieuwe software wordt bij gelijke geschiktheid voor open source
en open standaarden gekozen. Op dit moment maakt de Belastingdienst al op grote schaal
gebruik van open source, zowel in de infrastructuur als in de softwareontwikkeling.
Maar deze ambitie reikt verder. Open source wordt bij de ontwikkeling van nieuwe software
de standaard, tenzij er zwaarwegende redenen zijn om daarvan af te wijken. De Belastingdienst
gaat een actievere rol spelen in open source communities en onderzoeken of (samen
met andere partners) ontbrekende functionaliteit kan worden ontwikkeld. Daarmee wordt
de afhankelijkheid van leveranciers gereduceerd. De Belastingdienst beschikt over
een Open Source Program Office(OSPO) dat begeleidt bij het gebruik van, bijdragen aan en publiceren van open source
software. De rol van het OSPO wordt verder uitgebreid door de Belastingdienst.

De Belastingdienst moet en blijft hiervoor nadrukkelijk ook rijksbreed de samenwerking
opzoeken en de opgedane kennis en ontwikkelingen delen met andere ministeries en uitvoeringsorganisaties.
Voor de ambitie om de digitale autonomie van de Belastingdienst te versterken zijn
geen extra middelen beschikbaar gesteld vanuit het regeerakkoord. Daarnaast voer ik
de rijksbrede taakstelling uit het regeerakkoord uit, die de komende jaren impact
heeft op de beschikbare capaciteit en middelen bij de Belastingdienst. Dit betekent
dat de ambities op het vlak van digitale autonomie integraal ingepast moeten worden
binnen het bestaande IV-portfolio en de kaders van de huidige begroting. Dit vereist
dat er keuzes worden gemaakt en waar nodig, herprioritering plaatsvindt. Hierover
zal ik uw Kamer steeds transparant blijven informeren.

Volledige digitale autonomie is geen realistisch streven. De Belastingdienst zal ook
in de toekomst gebruik moeten blijven maken van laptops, telefoons, infrastructuur
en software van niet-Europese leveranciers. Het streven is niet om alle afhankelijkheden
te elimineren, maar om deze te beheersen en waar mogelijk gericht af te bouwen. Daarbij
geldt als harde randvoorwaarde dat digitale autonomie niet ten koste mag gaan van
informatiebeveiliging of leverbetrouwbaarheid. Europese en of open source alternatieven
bieden op dit moment nog niet altijd hetzelfde volwassenheidsniveau. De continuïteit
van de heffing, inning en dienstverlening aan burgers en ondernemers blijft te allen
tijde vooropstaan.

Digitale autonomie in de praktijk

In de praktijk wordt de aanpak nu al toegepast. De Belastingdienst voert in lopende
trajecten risicoanalyses uit, brengt hiermee risico’s zorgvuldig in kaart en beperkt
deze vervolgens tot een acceptabel restrisico, ook als dat ingrijpende en stevige
keuzes vergt in grote IT-projecten. Zoals uw Kamer weet, werkt de Belastingdienst
aan een meerjarige moderniseringsopgave om achterstallig onderhoud in te halen en
het IT-landschap toekomstbestendiger te maken. Die modernisering is essentieel voor
de continuïteit van de heffing en inning en de kwaliteit van de dienstverlening aan
burgers en ondernemers. De keuzes in deze moderniseringstrajecten zijn mede het resultaat
van keuzes die jaren geleden, in een andere geopolitieke context, zijn gemaakt. Dat
kan leiden tot uitkomsten die in de huidige context niet meer wenselijk zijn. Dat
betekent dat er opnieuw naar de risico’s wordt gekeken en dat er waar nodig en mogelijk
wordt bijgestuurd door de Belastingdienst.

Deze context is in het afgelopen jaar zichtbaar geworden in een aantal concrete dossiers
waarover mijn ambtsvoorganger en ik uw Kamer hebben geïnformeerd. Ik neem u in deze
brief mee in de aanvullende maatregelen in het traject rondom de modernisering van
de omzetbelasting (OB). Daar vindt een aanpassing plaats in de scope en neemt de Belastingdienst
het beheer en onderhoud van de infrastructuur over van de leverancier. En in het geval
van de uitrol van M365 voor de kantoorautomatisering heeft de Belastingdienst beheersmaatregelen
getroffen. Daarnaast laat ik de eerder gemaakte keuzes opnieuw tegen het licht houden.
Dankzij recente ontwikkelingen op het gebied van datacentercapaciteit en het marktaanbod
is er perspectief ontstaan. Scenario’s die in een eerder stadium onhaalbaar leken,
zijn dat misschien nu wel. Dat gaat de Belastingdienst onderzoeken. Daarbij worden
ook de bevindingen van het Adviescollege ICT-toetsing betrokken dat momenteel onderzoek
verricht naar de uitrol van M365. De inzet blijft uiteindelijk onveranderd. Op een
zo spoedig mogelijke termijn wil ik overstappen naar een meer autonoom alternatief
wanneer dit beschikbaar komt en past bij een organisatie als de Belastingdienst.

Modernisering omzetbelasting

De Belastingdienst werkt aan de modernisering van het verouderde systeem voor de omzetbelasting.
Na het doorlopen van een zorgvuldige Europese aanbestedingsprocedure is de opdracht
hiervoor gegund aan Fast Enterprises. Op 17 maart jl. heb ik uw Kamer hierover geïnformeerd
en aangegeven welke beheersmaatregelen er door de Belastingdienst zijn genomen om
de risico’s voor de continuïteit van de dienstverlening en de vertrouwelijkheid van
gegevens te beperken. Daarbij gaf ik aan dat de Belastingdienst als onderdeel van
het programma een risicoanalyse conform de Information Risk Assessment Methodology (IRAM) uitvoerde en parallel verkende of de Belastingdienst het beheer en onderhoud
van de infrastructuur kan overnemen van de leverancier, het zogenoemde hosting-scenario.

Overgang op hosting-scenario en gevolgen planning

De risicoanalyse is afgerond en wijst uit dat de risico’s rondom de vertrouwelijkheid
van gegevens en de continuïteit van de dienstverlening in het housing-scenario, waarbij
Fast Enterprises het beheer en onderhoud van de infrastructuur verzorgt, niet afdoende
gemitigeerd kunnen worden in de huidige geopolitieke context. Daarom heeft de Belastingdienst
besloten om voor ingebruikname van het nieuwe systeem over te gaan op het zogenoemde
hosting-scenario. Met de overgang naar het hosting-scenario kunnen, in combinatie
met de eerder aangekondigde beheersmaatregelen, de risico’s voor de continuïteit van
de dienstverlening en de vertrouwelijkheid van gegevens afdoende worden gemitigeerd.

In het hosting-scenario doet de Belastingdienst het beheer en onderhoud van de infrastructuur
in plaats van de leverancier. De servers staan in onze eigen datacenters en worden
beheerd door medewerkers van de Belastingdienst zelf, niet door de leverancier. Ook
het softwaredistributiemechanisme komt onder controle van de Belastingdienst. Daardoor
heeft de Belastingdienst controle over de toegang tot de software en de bijbehorende
data. Fast Enterprises blijft verantwoordelijk voor de software-oplossing, maar zal
geen directe toegang hebben tot de productiegegevens. Dit maakt het voor de Belastingdienst
op deze manier mogelijk om risico’s rondom de toegang tot data door de leverancier
en de continuïteit van de dienstverlening tot een aanvaardbaar niveau te brengen.

Het overgaan op het hosting-scenario is een essentiële wijziging, vlak voor de implementatie
van het onderdeel VAT-refund in een langlopend en belangrijk moderniseringstraject.
Het is een keuze die recht doet aan het belang dat ik hecht om risico’s rondom de
toegang tot data en de continuïteit van het systeem zoveel mogelijk te mitigeren.
Ook past deze keuze bij de ambitie om meer regie te voeren over de kritische systemen
van de Belastingdienst. Maar deze keuze betekent wel dat eerder gemaakte plannen moeten
worden aangepast en dat extra werk moet plaatsvinden.

Dat heeft gevolgen voor de planning. Duidelijk is dat deze koerswijziging vertraging
met zich meebrengt voor de oorspronkelijke planning om per 1 juli 2026 de regeling
VAT-refund geïmplementeerd te hebben in het nieuwe systeem. Deze datum is niet langer
haalbaar. Ondernemers die gebruik maken van deze regeling worden hierover gelijktijdig
met het versturen van deze Kamerbrief geïnformeerd via de daarvoor bestemde kanalen.
Voor ondernemers leidt de vertraging niet tot problemen of extra kosten. Ondernemers
kunnen gewoon aangifte op de huidige wijze blijven doen totdat het nieuwe systeem
geïmplementeerd is.

De uitwerking van het hosting-scenario is bepalend voor de duur van de vertraging
en een nieuwe datum voor de livegang van VAT-refund. Aangezien de Belastingdienst
parallel aan het uitvoeren van de risicoanalyse is begonnen met de verkenning naar
het hosting-scenario zijn er vooralsnog geen gevolgen voor de implementatie van de
binnenlandse omzetbelasting per juli 2027. De verwachting is dat de nadere uitwerking
van het hosting-scenario in juli 2026 gereed is. Dan kan er een nieuwe planningsdatum
voor de livegang van VAT-refund worden gegeven. Ik zal uw Kamer daarover informeren
via de eerstvolgende stand-van-zakenbrief, die u ontvangt voorafgaand aan het commissiedebat
Belastingdienst van september 2026.

Stand van zaken beheersmaatregelen en toezeggingen

In mijn eerdere brief en tijdens het commissiedebat Belastingdienst heb ik verschillende
maatregelen genoemd die de Belastingdienst heeft getroffen en gaat treffen om de risico’s
in de huidige geopolitieke context zo veel mogelijk te beperken. In bijlage 1 vindt
u een tabel met de stand van zaken per toezegging. Een aantal van deze maatregelen
neemt in relevantie af, omdat de voorziene overgang naar het hosting-scenario de onderliggende
risico’s al adresseert. Hieronder zal ik stilstaan bij een aantal van deze maatregelen.

Uitbreiding escrow

De Belastingdienst heeft samen met de leverancier de escrow-regeling uitgebreid. Dit
is een maatregel die dient als waarborg op de continuïteit van de dienstverlening.
Dit betekent dat een kopie van de broncode en documentatie in bewaring wordt gegeven
bij een onafhankelijke Nederlandse derde partij. In het geval dat de leverancier wegvalt,
kan de Belastingdienst de software zelf blijven exploiteren. Daarnaast is geregeld
dat vrijgave van de broncode plaatsvindt bij risico’s die optreden als een beroep
wordt gedaan op extraterritoriale wetgeving van derde landen waarmee toegang tot gegevens
of systemen van de Belastingdienst kan worden afgedwongen. Hiermee heeft de Belastingdienst
een stevige technische en juridische waarborg ingebouwd, zowel voor de continuïteit
van de dienstverlening als de vertrouwelijkheid van gegevens.

Vier-ogenprincipe

In de brief van maart dit jaar heb ik aangegeven dat de leverancier op locatie in
Apeldoorn gaat werken onder toezicht van medewerkers van de Belastingdienst, het zogenoemde
vier-ogenprincipe (Kamerstuk 31 066, nr. 1534). Aangezien de Belastingdienst het beheer en onderhoud van de infrastructuur gaat
overnemen is dit vier-ogenprincipe als structurele maatregel niet langer van toepassing.
De leverancier kan namelijk geen toegang verkrijgen tot de productiegegevens. De Belastingdienst
investeert in de opleiding van eigen medewerkers zodat zij het beheer en onderhoud
van de systemen zelfstandig kunnen uitvoeren. Enkel in uitzonderlijke gevallen, wanneer
zich bijvoorbeeld een verstoring voordoet die analyse door de leverancier vereist,
kan de Belastingdienst besluiten de leverancier tijdelijk en onder strikte controle
toegang te verlenen. Dit gebeurt uitsluitend op verzoek van en onder begeleiding van
de Belastingdienst.

Audit en backdoorcheck

Voorafgaand aan de implementatie van het nieuwe systeem zullen de risico’s, de mitigerende
maatregelen en de aanvaardbaarheid van de restrisico’s worden onderworpen aan een
audit. De Belastingdienst is bezig met de selectie van een externe partij die deze
audit gaat uitvoeren. Dit wordt opgenomen in de planning van het hosting-scenario.
Daarnaast heb ik ook toegezegd om de broncode te laten controleren op kwetsbaarheden
zoals backdoors. De Belastingdienst heeft hiervoor een externe partij gecontracteerd die de broncode
heeft gecontroleerd. Dit heeft geen bevindingen opgeleverd.

Europese entiteit

Ook is aangekondigd dat er samen met de leverancier wordt onderzocht of het mogelijk
is dat de leverancier een onafhankelijke Europese entiteit opricht met de intentie
om het contract met de Belastingdienst hierheen te verhuizen. Het overleg hierover
met de leverancier is nog gaande en wordt meegenomen in de uitwerking van het hosting-scenario.

Met de overgang naar het hosting-scenario en de eerdergenoemde beheersmaatregelen
ben ik ervan overtuigd dat de Belastingdienst op een verantwoorde wijze kan doorgaan
met de implementatie van het nieuwe systeem voor de omzetbelasting. Het systeem zal
draaien in eigen datacenters van de Belastingdienst, de continuïteit van de dienstverlening
is beter geborgd door de uitbreiding van de escrow en de leverancier heeft geen directe
toegang tot de productiegegevens. Uw Kamer heeft op 18 juni een technische briefing
over de modernisering omzetbelasting gepland staan. De nadere uitwerking van het hosting-scenario
is nog gaande en de nieuwe planningsdatum voor de livegang van VAT-refund kan pas
worden gegeven als deze uitwerking is afgerond. Daarom wil ik u verzoeken om de briefing
op een later moment te laten plaatsvinden, zodat de Belastingdienst uw Kamer een volledig
en actueel beeld kan geven. Ik verwacht, zoals aangegeven, dat dit na het zomerreces
zal zijn. Ik zal uw Kamer hierover informeren via de eerstvolgende stand-van-zakenbrief.

Modernisering contactcentervoorziening (MCC)

Burgers, bedrijven en intermediairs hebben via verschillende kanalen (telefonie, videobellen,
baliebezoeken en chatten) contact met de Belastingdienst, Toeslagen en Douane. Dit
contact wordt afgehandeld en beheerd via de contactcentervoorziening van de Belastingdienst.
Dit is een oplossing waarmee capaciteitsmanagement, kwaliteitsmanagement en alle klantinteracties
via verschillende kanalen en platformen worden beheerd en afgehandeld.

Deze contactcentervoorziening is technisch en functioneel verouderd en moet daarom
worden vervangen en gemoderniseerd. Het contract met de leverancier loopt in 2028
af, vanaf dan wordt er geen ondersteuning meer geleverd. Het huidige on-premises product
wordt niet langer aangeboden door de leverancier. Het aflopen van de ondersteuning
heeft consequenties voor de toegang tot het systeem, de dienstverlening aan burgers
en bedrijven en op termijn zullen er risico's ontstaan voor de beveiliging en de continuïteit
van het systeem. De Belastingdienst is daarom gestart met het programma Modernisering
Contactcentervoorziening (MCC). Het doel hiervan is om de continuïteit van de dienstverlening
van de Belastingdienst, Toeslagen en Douane te garanderen door de huidige verouderde
voorziening te vervangen door een moderne contactcenteroplossing. Daarmee kan de dienstverlening
aan burgers, ondernemers en intermediairs worden voortgezet en verbeterd.

In deze brief heb ik u meegenomen in mijn visie op digitale autonomie bij de Belastingdienst.
Ook in dit traject speelt digitale autonomie een rol. Aangezien het hier om een lopende
aanbesteding gaat kan ik nog niet op de uitkomst vooruitlopen. Maar ik wil wel duidelijk
zijn. Ik heb in dit traject twee belangen te wegen: het correct doorlopen van een
aanbesteding en het belang van digitale autonomie bij een nieuwe contactcentervoorziening.
Ik vind het belangrijk dat we aan die beide belangen tegemoet komen. Dat betekent
op dit moment dat ik moet wachten op de uitkomst van de aanbesteding. Op basis van
die uitkomst zal ik meteen handelen. Ik zal dit doen met de lijn uit deze brief als
uitgangspunt. Ik zal daarmee niet akkoord gaan met risico’s die onverantwoord zijn
voor de gegevens van burgers en ondernemers. Ik wil een nieuw contactcenter aansluiten
op mijn uitgangspunten rond digitale autonomie en weeg daarbij ook de continuïteit
voor de dienstverlening. Ik zal uw Kamer hierover informeren via de stand-van-zakenbrief
Belastingdienst en betrek daar nadrukkelijk ook de waardevolle conclusies van het
Adviescollege ICT-toetsing bij. Het rapport van het Adviescollege over MCC treft u
aan in bijlage 2.

Modernisering kantoorautomatisering door uitrol Microsoft 365

Mijn ambtsvoorganger heeft u meerdere malen geïnformeerd1 over de uitrol van M365 voor de kantoorautomatisering bij de Belastingdienst, Douane
en Toeslagen. De Belastingdienst gaat de in 2025 gemaakte keuzes opnieuw bekijken.
Want in een jaar tijd kunnen omstandigheden zoals beschikbare datacentercapaciteit
en marktaanbod zijn veranderd, waardoor eerder niet-haalbare opties nu wel mogelijk
zijn. Daarom gaat de Belastingdienst, voordat er verdere stappen worden genomen in
de uitrol van M365, het on-premises scenario uitlopen. Bij het on-premises scenario
draait de software op eigen servers van de Belastingdienst.

Ongeacht de uitkomst daarvan, blijft de inzet op lange termijn onveranderd: een meer
autonome en soevereine oplossing die passend is voor de Belastingdienst, Douane en
Toeslagen. Daarom volgt de Belastingdienst actief de ontwikkelingen op de markt en
binnen de rijksoverheid. Zodra er een bewezen alternatief beschikbaar komt gaat de
Belastingdienst de overstap maken. Op dit moment doet het Adviescollege ICT-toetsing
onderzoek naar de uitrol van M365 bij de Belastingdienst, Douane en Toeslagen. Na
afronding van dit onderzoek ontvangt u van mij het rapport en mijn bestuurlijke reactie.

Adobe Analytics

De Belastingdienst is recent door een ethisch hacker gewezen op het gebruik van Adobe
Analytics op de websites van de Belastingdienst, waarbij gedragsgegevens zonder toestemming
werden doorgezonden naar Adobe. Op basis hiervan is de Belastingdienst een onderzoek
gestart en is de functionaliteit inmiddels uitgezet. De Belastingdienst heeft de Autoriteit
Persoonsgegevens (AP) geïnformeerd en een datalekmelding gedaan. Ik betreur dat dit
is gebeurd en ik ben dankbaar dat deze ethisch hacker de Belastingdienst hierop heeft
gewezen. De Belastingdienst waardeert dergelijke signalen en moedigt ethische hackers
aan om kwetsbaarheden te melden via de daarvoor bestemde kanalen. Daarnaast heeft
het lid Van der Berg (JA21) op 3 juni jl. hierover Kamervragen gesteld. Bij de beantwoording
van deze vragen wordt uw Kamer nader geïnformeerd over deze kwestie en de weg voorwaarts.
Momenteel wordt er nog een inventarisatie gedaan naar soortgelijke tooling en wordt
de documentatie die in deze Kamervragen is opgevraagd nog verzameld.

Tot slot

Met deze brief heb ik uw Kamer meegenomen in mijn visie op digitale autonomie bij
de Belastingdienst. Daarbij heb ik laten zien dat de Belastingdienst niet afwacht,
maar ook nu al concrete stappen zet. Ook wanneer dat ingrijpende keuzes vergt in lopende
IT-projecten.

De weg naar meer digitale autonomie bij de Belastingdienst is veelomvattend. Ik heb
er vertrouwen in dat ik dit, samen met uw Kamer, kan volbrengen. Prioritering en het
maken van scherpe keuzes zal noodzakelijk zijn om de beschikbare capaciteit en middelen
effectief in te zetten binnen de bestaande kaders. Dat vraagt het nodige van de Belastingdienst,
maar ook van uw Kamer als het gaat om realistische verwachtingen.

In de bredere maatschappelijke discussie over digitale autonomie komt de Belastingdienst
regelmatig ter sprake, maar dan vooral in het kader van concrete dossiers zoals M365
en de modernisering van de omzetbelasting. Die aandacht begrijp ik, maar is niet representatief
voor hoe de Belastingdienst er daadwerkelijk voor staat op het gebied van digitale
autonomie. Ik zal uw Kamer over de verdere ontwikkelingen blijven informeren.

De Staatssecretaris van Financiën,
E. Eerenberg

BIJLAGE 1 Toezegging modernisering omzetbelasting

Nr.

Toezegging

Status

Commissiedebat Belastingdienst 19 maart 2026

1.

Voor de livegang van (eerste fase) OB-systeem wordt een onafhankelijke derde partij
verzocht om oordeel te vellen over de risico's, mitigerende maatregelen en de aanvaardbaarheid
van de restrisico’s.

In uitvoering. Een externe partij wordt geselecteerd die een onafhankelijk onderzoek uitvoert als
onderdeel van de voorbereidingen op de livegang van VAT-refund. Dit onderzoek wordt
opgenomen in de planning van de realisatie van het hosting-scenario.

2.

Toezegging om de Kamer na het externe onderzoek en vóór de livegang te informeren.

In uitvoering. Dit verzoek was gerelateerd aan het housing-scenario. De Kamer wordt via deze Kamerbrief
geïnformeerd over het besluit om een hosting-scenario vorm te geven en het niet live
gaan van de regeling VAT-refund per 1 juli 2026. De Tweede Kamer zal kort na het zomerreces
worden geïnformeerd over de herziene planning via de stand-van-zakenbrief.

3.

Er komt een technische briefing over OB.

In uitvoering. De technische briefing is ingepland op 18 juni 2026. De nadere uitwerking van het
hosting-scenario is nog gaande en de nieuwe planningsdatum voor de livegang van VAT-refund
kan pas worden gegeven als deze uitwerking is afgerond. Daarom wil ik u verzoeken
om de briefing op een later moment te laten plaatsvinden, zodat de Belastingdienst
uw Kamer een volledig en actueel beeld kan geven.

Kamerbrief 17 maart 2026

4.

De leverancier gaat werken op locatie in Apeldoorn onder toezicht van medewerkers
van de Belastingdienst (vier-ogenprincipe) die worden opgeleid om het systeem te beheren.

In uitvoering. Betreft een mitigerende maatregel. Nu wordt overgestapt op het hosting-scenario,
wordt deze maatregel gebruikt in geval van verstoringen waarvoor analyse door de leverancier
nodig is. Zie voor een meer uitgebreide toelichting de passage in de Kamerbrief.

5.

Er wordt door de leverancier, eenmaal in productie, geen beheer op afstand gevoerd.

In uitvoering. Betreft een mitigerende maatregel die nodig is in het housing-scenario. In het hosting-scenario
wordt dit gemitigeerd en in lijn gebracht met hoe de Belastingdienst alle andere omgevingen
beheert waarbij in absolute noodzaak onder de controle van de Belastingdienst een
verbinding kan worden opgezet met de leverancier.

6.

De Belastingdienst is in overleg met de leverancier om te bewerkstelligen dat er wordt
gewerkt met medewerkers die niet onder Amerikaanse jurisdictie vallen.

In uitvoering. Het overleg hierover is gaande met de leverancier. Dit wordt meegenomen in de uitwerking
van het hosting-scenario.

7.

Ook onderzoekt de Belastingdienst samen met de leverancier de mogelijkheid dat zij
een onafhankelijke Europese entiteit oprichten met de intentie om het contract met
de Belastingdienst daarheen te verhuizen.

In uitvoering. Het overleg met de leverancier is hierover gaande. Dit wordt meegenomen in de uitwerking
van het hosting-scenario.

8.

Daarnaast werkt de Belastingdienst met de leverancier aan het uitbreiden van de escrow-regeling
die is opgenomen in de overeenkomst met Fast Enterprises zodat deze een ruimere toepassing
krijgt. Dit is een regeling die dient als waarborg op de continuïteit van de dienstverlening.

Afgerond. De Belastingdienst is met de leverancier op 8 mei jl. een uitbreiding van de escrow-regeling
overeengekomen. De escrow is verplaatst naar Nederland. Daarnaast is geregeld dat
vrijgave van de broncode plaatsvindt bij risico’s die optreden als gevolg van de toepassing
van extraterritoriale wetgeving van derde landen waarmee toegang tot gegevens of systemen
van de Belastingdienst wordt afgedwongen.

9.

Daarnaast laat de Belastingdienst de broncode door een onafhankelijke partij onderzoeken
op mogelijke kwetsbaarheden, zoals achterdeuren (backdoors).

In uitvoering.De Belastingdienst heeft hiervoor een externe partij gecontracteerd die de broncode
heeft gecontroleerd. Dit heeft geen bevindingen opgeleverd.

10.

Wanneer er nieuwe relevantie informatie naar boven komt in relatie tot het informatieverzoek
van de Tweede Kamer, waarmee een nieuw licht wordt geworpen op de reeds gedeelde inlichtingen,
wordt dit op korte termijn met de Tweede Kamer gedeeld.

In uitvoering. Er zijn tot dit moment geen andere stukken die (alsnog) gedeeld worden met de Tweede
Kamer.