Brief regering : Reactie op verzoek van het lid Kathmann, gedaan tijdens de Regeling van Werkzaamheden van 2 december 2025, over digitale strategische afhankelijkheden van Nederlandse overheid n.a.v. het Cybersecuritybeeld 2025

Nr. 1548
BRIEF VAN DE STAATSSECRETARIS VAN ECONOMISCHE ZAKEN EN KLIMAAT

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 10 juli 2026

In reactie op het verzoek van lid Kathmann (PRO) op 2 december 2025 om u te informeren
«over de problematische afhankelijkheid van big tech en de opkomst van generatieve
AI» doe ik u hierbij de aanvullende reactie van het kabinet ten aanzien van het Cybersecuritybeeld
2025 (CSBN 2025) toekomen, met daarbij specifieke aandacht voor de opkomst van generatieve
AI.1

Aanvullende reactie op het Cybersecuritybeeld 2025

Het kabinet onderschrijft dat Nederland en Europa voor cruciale digitale infrastructuur,
evenals voor het afnemen van digitale processen c.q. diensten, sterk afhankelijk zijn
geworden van een klein aantal buitenlandse techaanbieders. Dat maakt ons kwetsbaar
in een veranderende wereldorde waarin technologie vaker als geopolitiek machtsmiddel
wordt ingezet.

In de komende kabinetsperiode wil ik mij daarom inzetten op een overheid waarbij digitale
autonomie het uitgangspunt is. Soevereiniteit wordt één van de leidende principes
bij digitale inkoop- en aanbestedingen. Daarnaast wordt onderzocht of en hoe een Europees
voorkeursprincipe bij aanbestedingen van digitale producten en diensten kan bijdragen
aan het verminderen van afhankelijkheden. Met het recent gepubliceerde wetsvoorstel
voor een Cloud & AI Development Act (CADA) heeft de Europese Commissie eveneens tot
doel overheden in de EU te stimuleren tot inkoop van Europese clouddiensten.

Het probleem van digitale strategische afhankelijkheden werd eveneens door mijn ambtsvoorganger(s)
erkend. Reeds in 2023 is de Agenda Digitale Open Strategische Autonomie (DOSA) gepubliceerd,
en recenter is het versterken van digitale weerbaarheid en autonomie van de overheid
als prioriteit in de Nederlandse Digitaliseringsstrategie (NDS) aangemerkt.

Daarnaast heeft uw Kamer actief bijgedragen aan de beleidsontwikkeling op dit gebied,
onder meer door de initiatiefnota «Wolken aan de Horizon». Zoals ook in de kabinetsreactie
op uw initiatiefnota gesteld is,2 bouwt deze brief voort op verschillende eerdere Kamerstukken die naar uw Kamer zijn
gestuurd.

Geconstateerde risico’s in het CSBN 2025

Samengevat wijst het CSBN 2025 voor wat betreft de strategische afhankelijkheden van
cruciale digitale infrastructuur op vier concrete risico’s, zijnde:

1. Digitale afhankelijkheden kunnen worden vergroot, wat implicaties heeft voor de Nederlandse
digitale open strategische autonomie. Zo kunnen wetten een extraterritoriale werking
hebben en bestaan er beperkingen voor Nederland voor het toezicht dat kan worden uitgeoefend.

2. Door grootschalige concentratie kan een single point of failure ontstaan. Een storing of cyberincident kan wereldwijde doorwerking krijgen. Vitale
sectoren kunnen afhankelijk zijn van één aanbieder, wat betekent dat een incident
bij die aanbieder grote impact kan hebben.

3. De machtspositie van grote aanbieders kan worden versterkt door zowel de aanbod- als
vraagzijde. Aan de aanbodzijde kunnen aanbieders een eigen ecoysteem creëren van verschillende
diensten, waar organisaties lastig uit kunnen treden (vendor lock-in). Aan de vraagzijde kiezen organisaties veel voor de grootste aanbieders, veelal
omdat (Europese) alternatieven niet voorhanden zijn of bijvoorbeeld minder functionaliteiten
bieden. Ook dit vergroot de machtspositie.

4. Organisaties kunnen geleidelijk aan de regie over kernprocessen verliezen, bijvoorbeeld
omdat kennis weglekt, de controle over de werking van systemen afneemt of omdat de
onderhandelingsruimte ten opzichte van aanbieders van digitale infrastructuur beperkt
is.

Bovenop deze risico’s beschrijft het CSBN 2025 dat we er in de huidige geopolitieke
context rekening mee moeten houden dat landen hun eigen belangen scherper afwegen,
waardoor Nederland geconfronteerd kan worden met (digitale) afhankelijkheden die als
drukmiddel kunnen worden ingezet.

Reactie kabinet t.a.v. geconstateerde risico’s

De problemen, zoals in het CSBN benoemd, zijn niet nieuw of onbekend. De verregaande
marktconcentratie aan de aanbodzijde, inclusief de vendor lock-in, alsmede de belemmeringen
bij de vraagzijde, zijn reeds benoemd in de kabinetsreactie op uw initiatiefnota «Wolken
aan de Horizon».3

Eén van de benoemde risico’s die kan voortvloeien uit het vergroten van digitale afhankelijkheden
is de toepassing van wetgeving met extraterritoriale werking. Er zijn diverse landen,
die wet- en regelgeving kennen met extraterritoriale werking die medewerking van dienstverleners
bij gegevensverzoeken van veiligheidsdiensten verplicht.4 Dergelijke wet- en regelgeving kan in bepaalde gevallen mogelijk leiden tot ongewenste
toegang tot Nederlandse gegevens. Hetzelfde gaat ook op voor wetgeving omtrent sanctiemechanismen,
wat onder meer inhoudt dat personen en organisaties geen diensten of ondersteuning
meer mogen leveren aan gesanctioneerde personen/organisaties, met risico op civiele
of strafrechtelijke vervolging bij overtreding. Ook in gevallen waarin overeenkomsten
gesloten zijn met een Europese dochter van een dergelijke organisatie, is het toch
mogelijk dat deze gehoor moet geven aan een dergelijke sanctiemaatregel.

Naar aanleiding van incidenten en onderzoek concludeert de NCTV in het CSBN dat organisaties
binnen de Rijksoverheid veel digitale processen afnemen van een klein aantal leveranciers,
waarbij weinig tot geen rekening gehouden wordt met het voorkomen van concentratierisico’s.
Bovendien wegen en beschouwen overheidsorganisaties onvoldoende de (strategische)
risico’s van hun leveranciers en dienstverleners en blijkt dat meerdere overheidsorganisaties
geen succesvolle terugvalopties hebben. Er is, aldus het gestelde in het CSBN, ook
onvoldoende aandacht voor digitale weerbaarheid en afhankelijkheden op bestuurstafels.

Het kabinet onderschrijft dit en heeft in het coalitieakkoord aangegeven dat de inzet
van het kabinet erop gericht is om strategische afhankelijkheden af te bouwen en zoveel
mogelijk te diversifiëren, ook op digitaal vlak. Specifiek op het gebied van cloud
zijn recent twee stappen gezet met de herziening van het rijksbreed cloudbeleid5 en de uitgevoerde verkenning naar de soevereine overheidscloud in het kader van de
NDS6.

Om digitale afhankelijkheden af te bouwen en te voorkomen, is verder binnen de NDS
digitale weerbaarheid en autonomie één van de prioriteiten waar overheidsbreed aan
wordt gewerkt. Vanuit de NDS komt er daarnaast een routekaart digitale autonomie evenals
een referentiekader digitale autonomie. Nederland is ook één van de oprichtende lidstaten
van de European Digital Infrastructure Consortium (EDIC) Digitale Gemeenschapsgoederen.

Opkomst generatieve AI

Het gebruik van generatieve AI in de samenleving en door de Nederlandse overheid is
de afgelopen jaren toegenomen. Zo laat de in het najaar van 2025 verschenen Overheidsbrede
monitor generatieve AI van TNO (in opdracht van BZK) een duidelijke toename zien in
het aantal generatieve AI-toepassingen bij Nederlandse overheidsorganisaties.7 Een substantieel deel van de onderzochte generatieve AI-toepassingen maakt gebruik
van niet-Nederlandse taalmodellen en systemen. Vanaf april 2025 geldt het overheidsbrede
standpunt generatieve AI.8 Mede gelet op het belang van autonomie maakt hiervan onderdeel uit dat wij als Nederlandse
overheid een voorkeur hebben voor het gebruik van Nederlandse of Europese open taalmodellen.

In het kader van de Nederlandse Digitaliseringsstrategie (NDS) wordt binnen de prioriteit
AI gewerkt aan het stimuleren van de inzet van Nederlandse en Europese óf open taalmodellen,
mede om daarmee de Europese AI-industrie te stimuleren ten behoeve van strategische
digitale autonomie. Er zijn in dat kader bijvoorbeeld een aantal AI-projecten binnen
de overheid die het Nederlandse taalmodel GPT-NL gaan beproeven in de praktijk, mede
ten behoeve van de doorontwikkeling van het model.9

Verder wordt gewerkt aan visie en beleid op Generatieve AI-modellen, waarbij gekeken
wordt naar maatregelen om de inzet van Europese en/of open AI-modellen in plaats van
niet-Europese, gesloten AI-modellen te bevorderen. Het streven is om dit herziene
beleid dit jaar vast te stellen.

Ten slotte werkt Nederland samen met onder andere Frankrijk en Italië aan een gemeenschappelijke
Europese infrastructuur in taaltechnologieën, zoals grote Europese taalmodellen, via
de Alliance for Language Technologies- European Digital Infrastructure Consortium (ALT-EDIC)). Hier bovenop is dit jaar een aanvraag van BZK goedgekeurd inzake de
Europese Apply AI call: GenAI for Public Administrations. Dit initiatief richt zich op de ontwikkeling van een Europees, publiek platform
waarmee overheden op een veilige en verantwoorde manier generatieve AI-bouwblokken
en toepassingen kunnen ontwikkelen, configureren en hergebruiken. Met diverse uitvoeringsorganisaties,
de VNG, IPO, AIC4NL en Brainport Eindhoven wordt er de komende vier jaar gebouwd,
met partners uit onder andere de Benelux, Denemarken en andere EU-lidstaten, aan een
Europese infrastructuur voor verantwoorde AI-toepassingen.

Daarnaast wordt gewerkt aan toegang tot AI-rekenkracht voor het bedrijfsleven (mkb,
startups), onderzoekers en overheden, rekening houdend met digitale autonomie. Dit
krijgt momenteel vorm via drie routes:

1. Onderzoeken van manieren om de huidige beschikbare rekenkracht en aanbod van taalmodellen
binnen de overheid effectiever in te zetten.

2. Verkennen van manieren om het makkelijker te maken voor overheden om zaken te doen
met Europese partijen die Generatieve AI en rekencapaciteit leveren.

3. De realisatie van de AI-fabriek in Groningen waar het finetunen, testen en trainen
van AI-modellen betreft. Daarnaast is Nederland via de EuroHPC Joint Undertaking ook aangesloten op het Europese netwerk van AI-fabrieken, waar de AI-fabriek in Groningen
onderdeel van uit zal maken.

De Staatssecretaris van Economische Zaken en Klimaat,
W.J.M. Aerdts