Op 13 oktober 2026 liet staatssecretaris Willemijn Aerdts de Tweede Kamer weten dat het verbod op de overname van Solvinity, het bedrijf dat onder meer de infrastructuur achter DigiD host, ook na de bezwaarprocedure blijft staan. De Amerikaanse IT-dienstverlener Kyndryl mag het bedrijf niet overnemen. Voor de overheid gaat het om de nationale veiligheid, maar de les is breder: wie geen exitstrategie voor de cloud heeft, merkt pas bij een overname hoe weinig grip er eigenlijk is.
Wat er precies is besloten
Het verbod dateert van 26 mei 2026. Het Bureau Toetsing Investeringen (BTI) concludeerde toen dat de overname een risico kon vormen voor het publiek belang. De toetsing vond plaats op grond van de Wet ongewenste zeggenschap telecommunicatie. Solvinity en meerderheidsaandeelhouder Host Lux maakten bezwaar, en in juli oordeelde de rechter dat het verbod mocht blijven staan, mits de staatssecretaris onderzocht of andere maatregelen beter zouden passen.
Na die heroverweging en aanvullend onderzoek is de conclusie dezelfde gebleven. Kyndryl heeft aangegeven de uitkomst te accepteren. Solvinity bestudeert het besluit nog.
De kern van de zaak is niet of Kyndryl een goede dienstverlener is. Het gaat om zeggenschap: wie bepaalt straks wat er met de infrastructuur en de gegevens gebeurt, en onder welk rechtsstelsel valt die partij?
Overname van uw IT-leverancier: een onderschat leverancierrisico
De Staat heeft een wettelijk instrument om een ongewenste overname tegen te houden. Uw organisatie heeft dat niet. Als de hostingpartij, het softwarebedrijf of de SaaS-leverancier waar u op draait wordt verkocht, gaat de dienstverlening in de regel gewoon door, maar onder een nieuwe eigenaar met mogelijk een ander prijsbeleid, een andere roadmap of een ander juridisch kader.
Voor organisaties die werken met vertrouwelijke gegevens, zoals advocatenkantoren, accountants, zorgaanbieders en gemeenten, is dat geen theoretisch risico. Komt een Europese leverancier in handen van een partij buiten de EU, dan kan bijvoorbeeld buitenlandse wetgeving opeens van toepassing worden op uw data. Eerder schreven we al waarom data in de EU op zichzelf nog geen grip geeft, onder meer door de Amerikaanse CLOUD Act.
Ook los van de nationaliteit van de koper geldt: een overname is een van de momenten waarop leveranciersafhankelijkheid zichtbaar wordt. Hoe makkelijk kunt u dan nog vertrekken?
Zo bouwt u een exitstrategie voor de cloud
Een exitstrategie is een vooraf uitgewerkt plan om data, applicaties en diensten gecontroleerd naar een andere omgeving te verhuizen. Regelgeving zoals DORA voor de financiële sector maakt zo’n plan al verplicht, en ook onder NIS2 en de Cyberbeveiligingswet wordt leveranciersbeheer steeds belangrijker. Praktische stappen:
- Breng uw afhankelijkheden in kaart. Welke diensten zijn bedrijfskritisch, wie is de leverancier en wie is de uiteindelijke eigenaar?
- Leg exitafspraken contractueel vast. Denk aan een opzegrecht bij wijziging van zeggenschap (change of control), een meldplicht bij overname en afspraken over ondersteuning bij migratie.
- Kies voor open standaarden en open source. Data in open formaten en software die u ook zelf of bij een andere partij kunt draaien, maakt vertrekken realistisch in plaats van theoretisch.
- Test de exit. Exporteer periodiek uw data en controleer of u die daadwerkelijk elders kunt inlezen. Een plan dat nooit is geoefend, werkt zelden op het moment dat het nodig is.
Zeggenschap over data structureel borgen
De sterkste exitstrategie is een architectuur waarin u niet afhankelijk bent van de goede wil van één partij. Gedecentraliseerde infrastructuur gaat daarvan uit: uw organisatie beheert zelf de hardware waarop data en diensten draaien, met open-sourcesoftware zoals Nextcloud voor bestanden en samenwerking. Wordt een softwareleverancier verkocht, dan blijven uw data en uw draaiende omgeving gewoon van u.
Met Certified Nodes kunnen bedrijven meerdere nodes inzetten als cluster voor High Availability (HA). Is een van de nodes niet beschikbaar of moet er onderhoud plaatsvinden, dan nemen de andere nodes het werk over. Zo combineert u zeggenschap over data met de continuïteit die u van een grote cloudaanbieder gewend bent. Op onze pagina Privacy alternatieven vindt u een overzicht van Europese en open-source opties.
De Solvinity-zaak laat zien dat de overheid digitale soevereiniteit serieus neemt. Voor het bedrijfsleven is de vraag niet of een leverancier ooit van eigenaar wisselt, maar of u er dan klaar voor bent.
Bron: NL Times – Dutch government again blocks sale of DigiD provider Solvinity to U.S. company (13 oktober 2026). Zie ook AG Connect – Bezwaarprocedure Solvinity afgerond; besluit ongewijzigd.
Dit artikel is met behulp van AI opgezet en gegenereerd, en als voorstel voorgelegd aan een menselijke redacteur die het heeft beoordeeld voordat het werd geplaatst.