Baas van Solvinity probeert zorgen rond DigiD weg te nemen: ‘DigiD is en blijft Nederlands, en het blijft veilig’

Het is een nogal „stormachtige verloving” geworden, zeggen Daniëlle Schuur, bestuurder van ict-bedrijf Solvinity, en Rob Bravenboer, directeur van Kyndryl NL BV. Want de beoogde overname van Solvinity door het Amerikaanse Kyndryl, vorige maand aangekondigd, is op veel weerstand gestuit.

Solvinity levert ict-diensten aan de Nederlandse overheid en is bouwer en beheerder van inlogdienst DigiD. Nederlandse burgers gebruiken DigiD om bijvoorbeeld privacygevoelige data te delen met gemeente, zorgverzekeraar en Belastingdienst. Ook speelt Solvinity een cruciale rol in de beveiligde uitwisseling van informatie tussen Justitie, Openbaar Ministerie en rechtspraak.

Ict-bedrijf Kyndryl is vier jaar geleden afgesplitst van het Amerikaanse techconcern IBM. Het is genoteerd aan de Nasdaq en heeft veel klanten in de financiële wereld, waaronder ABN Amro. En het wil nu alle aandelen Solvinity kopen, voor 40 procent in handen van de Nederlandse oprichters en voor 60 procent van een Brits private-equityfonds.

Dat de Amerikanen eigenaar willen worden van zo’n belangrijk bedrijf viel slecht – juist nu Nederlandse en andere Europese politici meer afstand willen van Amerikaanse en Chinese techbedrijven. Tweede Kamerleden willen er een debat over, en burgers twijfelen aan de betrouwbaarheid van DigiD, blijkt onder meer op sociale media.

Op het kantoor van Kyndryl in Hoofddorp lichten Schuur en Bravenboer het samengaan toe. De overname wacht nog op toestemming van mededingingsautoriteit ACM en het Bureau Toetsing Investeringen van Economische Zaken. Bravenboer: „We hebben de ringen nog niet gekocht, maar we zijn in de buurt.”

Daniëlle Schuur, bestuurder van ict-bedrijf Solvinity.

Rob Bravenboer, directeur van Kyndryl NL BV.

Schuur was de afgelopen weken vooral druk om klanten gerust te stellen, vertelt ze. Die zitten voor twee derde bij de overheid. Volgens haar krijgt Solvinity in Kyndryl NL BV een goede partner. „De operatie en alles voor de klanten ís en blijft veilig”, verzekert ze. „De zorgen die er zijn, kunnen en gaan we wegnemen.”

Veel mensen weten volgens de Solvinity-ceo niet „hoe complementair haar bedrijf en Kyndryl zijn”, en welke vergezichten hun samengaan biedt. „Door de . Doordat er meer innovatie komt. Dat is voor onze klanten en medewerkers een heel mooie volgende stap. En ook voor Nederland.”

De verkoop is een beslissing van de aandeelhouders, niet van jullie, toch?

Schuur: „Ik ben geen aandeelhouder.”

Bravenboer: „Ik ben als managing director van Kyndryl betrokken geweest bij de keuze en het proces tot aankoop.

„Kyndryl heeft een lange historie in Nederland en onze directie is Nederlands. We worden een structuurvennootschap en daarin krijgt de raad van commissarissen [rvc] behoorlijke zeggenschap als het gaat over belangrijke beslissingen. En wat onze rol in de samenleving betreft: ik ben lid van het algemeen bestuur van [brancheorganisatie] NLdigital en daardoor ook van het algemeen bestuur van [werkgeversorganisatie] VNO-NCW. Ik ben door de minister benoemd in de cybersecurityraad.”

Dat gaat over u.

Bravenboer: „Ik word daarin niet om mezelf gekozen, maar vanwege de rol van Kyndryl.

„Maar we zijn natuurlijk ook een commerciële onderneming, en we hebben met bewondering gezien wat Solvinity in de markt heeft weten te doen. Dat heeft mooie contracten binnengehaald, en inhoudelijk past het helemaal bij Kyndryl. Wij zijn er dus wel heel erg blij mee.

„Vooral sentiment tekent nu de reactie hierop, het gaat niet over de inhoud. Niemand weet bijvoorbeeld dat de commissarissen nu zo’n sterke positie krijgen. Dat ik geen rare dingen kán doen, want ik val onder de Nederlandse en Europese wet.”

Ook de Amerikaanse. Uiteindelijk zijn jullie een Amerikaans bedrijf.

„Correct. De aandeelhouder is Amerikaans en het bedrijf is beursgenoteerd in New York. Maar, één: wij zijn niet van plan iets te veranderen aan wat Solvinity doet. Twee: we hebben een bijzondere governancestructuur, waarin de commissarissen veel te zeggen hebben. En drie: die we verwerken zijn encrypted [versleuteld] en we houden ons aan de hoogste standaarden van zowel Nederland als Europa. We zijn onlangs gecertificeerd voor DORA [een nieuwe strenge Europese cybersecuritywet voor financiële instellingen].”

U benadrukt de bestuursstructuur. Waarom is die volgens u relevant?

„We hebben een structuur gekozen die niet gewoon is voor buitenlandse partijen in corporate Nederland. Met onafhankelijke, Nederlandse commissarissen, die dus niet in dienst van ons zijn en die hebben met Kyndryl.”

Die commissarissen – wel betaald door Kyndryl – zijn consultant en investeerder Jenny Elissen, bedrijfseconoom en KPMG-commissaris Kuldip Singh en Frits Grotenhuis, directeur-bestuurder van Topsector ICT en commissaris bij organisatieadviseur Twynstra-Gudde.

Als het bijvoorbeeld gaat om de vraag ‘kan Amerika aan onze DigiD zitten’, wat maakt de rvc dan voor verschil?  

„Dat wil ik eerst ontkrachten. Amerika kan sowieso niet aan onze DigiD zitten.”

U vertelt geruststelling over de rvc, waarom is die dan

„Omdat ik als Nederlands staatsburger geen dingen kan en mag doen die niet in lijn zijn met Nederlandse en Europese wetgeving. Dus als er in een buitengewoon hypothetisch geval dingen gebeuren die niet volgens de wet zijn, dan kunnen we

Grote Amerikaanse bedrijven als Microsoft en Amazon tuigen op in Europa. Maar als puntje bij paaltje komt, vallen ook zij onder Amerikaanse wetgeving die bedrijven kan dwingen de Amerikaanse overheid toegang tot data te geven.

„Daar vallen heel veel partijen onder.”

Dan maakt deze constructie toch geen verschil? Waarom zouden jullie kunnen wat Microsoft in deze niet kan?

Stel: de Amerikaanse regering is boos omdat ASML apparatuur heeft geleverd aan China. Ze wil Nederland straffen en dwingt daarom het Amerikaanse bedrijf Kyndryl om de dienstverlening ten behoeve van DigiD te staken. Wat kunnen jullie dan doen?

„Ik vind hem nogal hypothetisch, maar oké. Stel dat Kyndryl zo’n verzoek zou ontvangen, dan informeren wij de klant direct en zetten natuurlijk alles in het werk om ervoor te zorgen dat we dit niet gaan doen. We zullen alle weerstand bieden die wettelijk is toegestaan. 

„De data zijn versleuteld. Dus zelfs als de overheid van een ander land daar toegang toe heeft, is er niets mee te doen. Als het verder doorgezet wordt, zal ik dat gewoon niet uitvoeren. Daarbij word ik geholpen door de rvc. Die moet zich ook houden aan de Nederlandse wet.

„En stel: de knop . Dan kán ik met het bedrijf nog verder. Ik heb de beschikking over de bankrekeningen. Ik kan mensen uitbetalen. Hoeveel moet je nog meer doen? We nemen dit bui-ten-ge-woon serieus.”

Maar is het uw keuze? De bazen zitten in Amerika. De Amerikaanse regering heeft die macht. Microsoft zegt ook: we willen het niet, we zouden ertegen procederen. Toch heeft het bijvoorbeeld de e-mail van leden van het Internationaal Strafhof na Amerikaanse sancties tegen dat hof.

„Ik vind ons door onze structuur niet te vergelijken met andere.”

Logius, het ict-agentschap van Binnenlandse Zaken, kwam onlangs met een verklaring naar aanleiding van de onrust rondom Solvinity en DigiD. Het kabinet onderzoekt de gevolgen van de voorgenomen overname met ondersteuning van de landsadvocaat. Kijkt die naar de structuur?

Bravenboer: „Dat weet ik niet. Bovendien ben ik geen partij in deze.”

Schuur: „De DigiD-applicatie is van Logius, en die behoudt het ook. DigiD is en blijft daarmee Nederlands. Ook onder Kyndryl. En je denkt toch ook niet dat we deze overname zouden doen als we daar twijfels over hadden gehad?”

U bent ongeveer twee jaar ceo van Solvinity. Was het uw opdracht om het bedrijf klaar te maken voor de verkoop?

Schuur: „Ik ben aangesteld om het bedrijf te laten groeien, klanten beter van dienst te zijn en ook om te kijken wat de volgende strategische stap zou kunnen zijn. Het bedrijf groeit. Dan zijn meer investeringen nodig. Kyndryl is denk ik een heel mooi nieuw huis voor Solvinity en de klanten.”

Had dat ook een Nederlands ‘huis’ kunnen zijn?

Aarzelt. „is achter gesloten deuren. Daar kan ik niet veel over zeggen. Daar zijn geheimhoudingsverklaringen voor ondertekend. Ik ben blij met Kyndryl.”

Jullie waren in handen van private equity, en dat soort bedrijven wil geld verdienen. Draait dit niet gewoon om de prijs per aandeel?

Schuur: „Ik ben geen aandeelhouder, maar ik denk dat er écht is gekeken naar de kwaliteit en de voorwaarden, de stabiliteit voor de mensen en de klanten.”

Blijft u aan als ceo?

Schuur: ‘Daar heb ik geen half moment over nagedacht. Daar is nog absoluut niet over gesproken.”

Tegen welke beperkingen om te groeien en innoveren liep u aan?

Schuur: „Er zijn meer , ook om onze huidige klantenbase snel mee te kunnen nemen in de innovaties rondom AI en cybersecurity.”

Bravenboer: „De cybersecuritydreiging is enórm. Kyndryl heeft op cybersecuritygebied wereldwijd 7.000 . Bij Solvinity zitten ook goede specialisten, maar wij kunnen extra waarde toevoegen. Dat is uiteindelijk goed voor Nederland.”

Dus terwijl Amerika op defensiegebied Europa dwingt meer zijn eigen broek op te houden, zeggen jullie eigenlijk: voor cybersecurity kunnen we nog maar beter onder een Amerikaanse paraplu schuilen.

Bravenboer: „Die framing past mij niet helemaal. Wat ik zou zeggen: we hebben kennis nodig en die kennis zit niet alleen in één land. De specialisten waar ik net aan dacht, zitten bijvoorbeeld in Denemarken en Schotland. Wij verkopen geen producten. We zijn een dienstverlener. Het gaat erom dat je kennis kunt ontsluiten voor anderen.”

Kunt u dit toespitsen op DigiD en MijnOverheid?

Bravenboer:  „We hebben nog niet gekeken naar de details. Wij beheren bedrijfskritische omgevingen voor de top van de wereld. Ik denk wel dat we hierbij kunnen helpen.”

Schuur: „Ons platform wordt voortdurend geaudit en we hebben alle certificaten. Er wordt heel nauw toezicht gehouden op de veiligheid, ook door de overheid.”

Vindt u dit eigenlijk een non-discussie, gevoerd door mensen zonder technische kennis?

Bravenboer: „Ik snap het sentiment wel. Ik heb het zelf niet. Afhankelijkheid draait niet alleen om landen. Je kunt ook afhankelijk zijn van hele grote bedrijven of van producten die iedereen gebruikt.”

Wat moet Europa concreet doen?

Kan Logius DigiD laten draaien zonder Solvinity?

Schuur: „Het platform dat wij met Solvinity hebben gebouwd is te draaien. Maar Logius gaat over DigiD en heeft de toegang tot DigiD. is een combinatie. En dat kunnen we met Kyndryl continueren. Het gaat over services, het gaat over mensen. Dezelfde bevlogen mensen die het hebben ontworpen en onderhouden, blijven dat doen.”

En niet over Trump, bedoelt u.

Schuur: „Het gaat over bevlogen mensen.”

Vindt u Solvinity onderdeel van de kritieke digitale infrastructuur in Nederland?

Schuur: „Ik vind dat wij missie-kritische diensten leveren en onze klanten daarbij helpen en ondersteunen, zeker.”

En stel dat Logius dit nu met iemand anders wil gaan doen. Wat gebeurt er dan?

Schuur: „Dat kan ik niet voor Logius zeggen. Wat er is gezegd: het is Nederlands, het blijft Nederlands en het blijft veilig. En daar sta ik volledig achter.”