Antwoord schriftelijke vragen : Antwoord op vragen van het lid Frederik Jansen over de overname van Solvinity door Kyndryl

Antwoord van Staatssecretaris Van Marum (Binnenlandse Zaken en Koninkrijksrelaties)
(ontvangen 19 december 2025).

Vraag 1

Kunt u uitsluiten dat buitenlandse mogendheden met de overname van Solvinity door
Kyndryl toegang krijgen tot vertrouwelijke en gevoelige informatie van Nederlandse
staatsburgers, constaterende dat DigiD en MijnOverheid beheerd worden door de servers
van Solvinity en overwegende dat de Verenigde Staten via de ClOUD Act, data bij Amerikaanse
bedrijven kan vorderen, ook als deze in het buitenland zijn opgeslagen? Zo ja, kunt
u uitleggen hoe u tot dit antwoord gekomen bent? Zo nee, ziet u dit als een probleem?

Antwoord 1

Onder meer de CLOUD Act (Clarifying Lawful Overseas Use of Data Act), de Foreign Intelligence
Surveillance Act (FISA) en Executive Order 12333 maken het, in ieder geval in theorie,
mogelijk dat autoriteiten in de VS onder de in deze wetgeving genoemde voorwaarden
toegang kunnen krijgen tot de gegevens waarover een onderneming in de VS beschikt,
óók wanneer de gegevens zich bevinden onder een dochtervennootschap en op servers
buiten de VS. Als Solvinity wordt overgenomen door een onderneming met moedermaatschappij
in de VS brengt dit Solvinity onder de reikwijdte van deze wetgeving. Het gevolg daarvan
kan, in ieder geval in theorie, zijn dat autoriteiten in de VS in voorkomend geval
toegang krijgen tot de gegevens die door Solvinity in opdracht van de Staat worden
verwerkt.

Momenteel worden gesprekken gevoerd met Solvinity en Kyndryl over het treffen van
maatregelen die er, mede, op zijn gericht om het risico op toegang door een buitenlandse
autoriteit tot de gegevens die Solvinity verwerkt ten behoeve van de Nederlandse overheid
zoveel mogelijk te mitigeren. Over de resultaten van deze gesprekken verwacht ik te
kunnen berichten nadat deze gesprekken zijn afgerond. Op dit moment valt nog niet
in te schatten wanneer dat zal zijn.

Vraag 2

Had u deze overname aan kunnen zien komen? Zo nee, waarom niet? Zo ja, waarom heeft
u er niet tijdig voor gezorgd om gevoelige overheidsprojecten onder te brengen bij
een ander Nederlands bedrijf?

Antwoord 2

In maart 2025 heeft Solvinity onder embargo de directeur van Logius medegedeeld dat
de eigenaar van Solvinity op zoek was naar een overnamekandidaat. Hierbij is de naam
van de overnamekandidaat niet door Solvinity gedeeld. Op verzoek van de directeur
Logius is dit embargo deels opgeheven, zodat hij dit bericht met een beperkt aantal
personen van het kerndepartement van het Ministerie van BZK kon delen in mei 2025.
Het Ministerie van BZK heeft de naam van de overnamekandidaat vernomen op de dag van
de bekendmaking van de overname in de media (5 november jl.).

Voor een aantal organisaties geldt dat het verplaatsen van de huidige diensten naar
een andere provider op korte termijn niet haalbaar is vanwege de complexiteit en afhankelijkheid
van de huidige infrastructuur.

Vraag 3

Bent u alsnog in staat om op korte termijn gevoelige overheidsprojecten die thans
in beheer zijn van Solvinity onder te brengen bij een ander Nederlands bedrijf?

Antwoord 3

Met Solvinity worden gesprekken gevoerd over verschillende maatregelen om de veiligheid
van gegevens en applicaties te bewerkstelligen.

Het op korte termijn onderbrengen van gevoelige overheidsprojecten bij andere partijen
vraagt het doorlopen van aanzienlijke procedures, juridisch, technisch en financieel.

Vraag 4

Hebben u of uw ambtenaren op enige wijze betrokkenheid gehad in de onderhandelingen
omtrent de overname, aangezien het Ministerie van Economische Zaken een grote opdrachtgever
van Solvinity is?

Antwoord 4

Nee. Daarnaast heeft het Ministerie van EZ geen contracten met Solvinity en/of Kyndryl.

Vraag 5

Kunt u deze vragen elk afzonderlijk en zo spoedig mogelijk beantwoorden?

Antwoord 5

Ja, hierbij zijn uw vragen afzonderlijk van elkaar en zo spoedig beantwoord.