De Nederlandse overheid neemt aanvullende beveiligingsmaatregelen rond DigiD en MijnOverheid naar aanleiding van de voorgenomen overname van IT-dienstverlener Solvinity door het Amerikaanse technologiebedrijf Kyndryl. Dat blijkt uit een brief van staatssecretaris Vincent Karremans van Binnenlandse Zaken aan de Tweede Kamer. Na bekendmaking van de overnameplannen liet Logius, de beheerorganisatie achter DigiD en MijnOverheid, direct een kwetsbaarhedenscan uitvoeren op de betrokken systemen.

DigiD, dat inmiddels door meer dan 16,5 miljoen Nederlanders wordt gebruikt, draait samen met MijnOverheid op infrastructuur van Solvinity. Ook het beveiligde communicatiesysteem van het ministerie van Justitie en Veiligheid maakt gebruik van het platform. De uitkomsten van de scan hebben geleid tot een reeks aanvullende maatregelen om de bescherming van persoonsgegevens verder te versterken.
Een van de belangrijkste maatregelen is de uitbreiding van de versleuteling binnen DigiD. Daarbij worden persoonsgegevens in de database extra versleuteld, evenals gegevens die worden vastgelegd in logbestanden. Ook worden persoonsgegevens voortaan aanvullend versleuteld voordat deze worden opgeslagen op de infrastructuur van Solvinity. Volgens de staatssecretaris worden de voorbereidingen voor deze aanpassingen momenteel getroffen.

Verdere uitbreidingen

Daarnaast heeft Logius maatregelen genomen om de continuïteit van de dienstverlening beter te waarborgen. Zo worden back-ups voortaan ook opgeslagen in een ander overheidsdatacenter, zodat systemen sneller kunnen worden hersteld bij eventuele verstoringen of incidenten. Deze maatregel is inmiddels doorgevoerd.
Ook de monitoring van het Solvinity-platform wordt verder uitgebreid. Het aantal detectieregels wordt verhoogd en het toezicht op verdachte activiteiten komt onder verantwoordelijkheid van het Security Operations Center van Logius. Deze werkzaamheden staan voor de komende maanden gepland.
Het kabinet besloot eerder al om de overname van Solvinity door Kyndryl te blokkeren vanwege nationale veiligheidsbelangen. Tegelijkertijd is het huidige contract voor het beheer van DigiD verlengd tot augustus 2028. Voor toekomstige aanbestedingen zal gebruik worden gemaakt van de Aanbestedingswet Defensie en Veiligheid, waardoor de overheid meer mogelijkheden krijgt om leveranciers uit te sluiten die onder buitenlandse wetgeving vallen die toegang tot Nederlandse persoonsgegevens mogelijk maakt.

Met de aanvullende maatregelen wil het kabinet de digitale weerbaarheid van cruciale overheidsdiensten verder versterken en de controle over vitale digitale infrastructuur behouden.