Schriftelijke vragen : Het bericht dat de NS ICT uitbesteedt aan een Amerikaanse leverancier

Vraag 1

Bent u bekend met het bericht «NS besteedt ict deels uit aan Amerikaanse leverancier»?1

Vraag 2

Kunt u toelichten welke ICT-processen van de NS precies worden uitbesteed?2 Zijn dit (onderdelen van) kritieke processen met gevolgen voor de continuïteit van
de NS indien ze langer dan één dag uitvallen?

Vraag 3

Klopt het dat er ook (onderdelen van) beveiligingssystemen worden uitbesteed aan een
Amerikaans bedrijf? Welke gevolgen heeft dit voor de digitale autonomie van de Nederlandse
(spoor)infrastructuur?

Vraag 4

Deelt u de opvatting van de NS dat de uitbestede processen niet missiekritisch zijn?3 Kunt u schetsen welke gevolgen het heeft voor de dienstverlening van de NS indien
deze systemen wél uitvallen? Kunt u uitsluiten dat de uitvoering van de dienstverlening
van NS (het laten rijden van treinen op het hoofdrailnet) in gevaar zou kunnen komen
wanneer de betreffende systemen uitvallen? Zo ja, kunt u dit motiveren? Zo nee, deelt
u dan de zorgen over deze uitbesteding?

Vraag 5

Kan de Amerikaanse overheid, via wet- en regelgeving zoals de CLOUD Act, Foreign Intelligence
Surveillance Act (FISA), en Executive Order 12333, toegang krijgen tot gevoelige gegevens
over de Nederlandse spoorinfrastructuur? Kunt u dit met een ja of nee beantwoorden
en dit met concrete verwijzing naar relevante juridische bronnen toelichten?

Vraag 6

Biedt de groeiende afhankelijkheid van Amerikaanse ICT-bedrijven de mogelijkheid voor
de Verenigde Staten om druk uit te oefenen op Nederland, bijvoorbeeld door de continuïteit
van de dienstverlening van de NS in gevaar te brengen?

Vraag 7

Deelt u de mening dat de NS digitale autonomie zou moeten betrachten en af zou moeten
zien van deze aanbesteding bij een Amerikaans bedrijf? Welke concrete mogelijkheden
ziet u hiertoe?

Vraag 8

Waarom voldeed KPN niet meer als aangewezen ICT-leverancier voor deze diensten? Was
het strikt noodzakelijk om de ICT uit te besteden, en zo ja, waarom aan een niet-Europees
bedrijf?

Vraag 9

Past de keuze van de NS om haar ICT uit te besteden aan een Amerikaans bedrijf binnen
de ambitie van het kabinet om meer digitaal onafhankelijk te worden? Welke rol heeft
de Staat als enig aandeelhouder hierin?

Vraag 10

Hoe kijkt u aan tegen de keuze van de NS om, tegen de achtergrond van de huidige geopolitieke
situatie en nadat de Rijksoverheid herhaaldelijk het belang van digitale autonomie
benadrukte, alsnog ICT uit te besteden aan een niet-Europees bedrijf?

Vraag 11

Acht u de lange doorlooptijd van het contract, namelijk zes tot twaalf jaar, geschikt
gezien de onzekerheid van de geopolitieke relatie met de Verenigde Staten?

Vraag 12

Klopt het dat er geen nationale richtlijnen bestaan om Amerikaanse partijen te weren?
Staat dit wel voorzien in het nieuwe cloudbeleid dat nog steeds in ontwikkeling is?

Vraag 13

Is in deze aanbesteding voldaan aan de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten
(ABRO), waarin staat dat er strenge eisen gesteld moeten worden aan digitale autonomie
en soevereiniteit?

Vraag 14

Is het mogelijk om via het Cloud Sovereignty Framework van de EU wél voorkeur te geven
aan Europese partijen bij ICT-aanbestedingen? Waarom is daar in dit geval geen gebruik
van gemaakt?

Vraag 15

Kunt u deze vragen afzonderlijk van elkaar en zo spoedig mogelijk beantwoorden, nog
voordat er onomkeerbare stappen worden gezet?