Die Übernahme von Solvinity für Logius-Dienste (Position)

Dieses Dokument beschreibt die Übernahme von Solvinity durch Kyndryl und die Bedeutung für die Dienste von Logius. Im Fokus steht DigiD, aber auch die Message Box wird thematisiert, denn sie erleichtert viel Kommunikation zwischen Bürgern und Regierung. Sie können Dieses Dokument erhalten Sie hier als PDF-Datei.

Zusammenfassung

In diesem Positionspapier wird beschrieben, wie die geplante Übernahme von Solvinity durch Kyndryl die strategische Position wichtiger niederländischer digitaler Regierungseinrichtungen erheblich verändern wird, obwohl die operativen Dienste kurzfristig intakt bleiben werden. Seit 2020 liefert Solvinity unter der Leitung von Logius die Infrastruktur und Hardwareplattform für Kerneinrichtungen wie DigiD, MijnOverheid (einschließlich der Message Box) und Digipoort. Die Verantwortung für Politik, Architektur und Dienstleistungen liegt vollständig bei der Regierung, die technische Kontinuität hängt jedoch von einem privaten Infrastrukturanbieter ab.

Durch die Übernahme werden Eigentum und letztendliche Kontrolle über diesen Anbieter auf eine Nicht-EU-Partei übertragen, was laut dem European Cloud Sovereignty Framework zu einer Verringerung des Souveränitätsniveaus von etwa SEAL-3 (digitale Resilienz unter EU-Kontrolle) auf SEAL-1 (formale rechtliche Souveränität) führt!

Das Papier verortet diese Verschiebung explizit in einem veränderten geopolitischen Klima, in dem amerikanische Gesetzgebung, Sanktionsregime und politischer Druck nachweislich Auswirkungen auf digitale Dienste haben können, selbst bei strengen vertraglichen Vereinbarungen und Datenstandorten innerhalb Europas. Basierend auf klassischen Prinzipien der Informationssicherheit (Verfügbarkeit, Integrität und Vertraulichkeit) identifiziert das Papier hohe strategische Souveränitätsrisiken, mittelfristige Autonomierisiken und konkrete Umsetzungsrisiken und macht deutlich, dass es sich hierbei nicht um eine technische, sondern um eine grundlegende politische Frage handelt. Die Kernbotschaft ist, dass die Regierung nun explizit entscheiden muss, welche Risiken sie bereit ist, für lebenswichtige digitale Einrichtungen und die damit verbundenen Kosten zu tragen, und dass ein Aufschub oder eine stillschweigende Akzeptanz einer politischen Entscheidung ohne explizite Rechenschaftspflicht gleichkommt.

Logius und Solvinity

Im Jahr 2020 wurde Solvinity von Logius mit der Bereitstellung der zugrunde liegenden Infrastruktur und Hardwareplattform für eine Reihe staatlicher digitaler Einrichtungen beauftragt. Dies betrifft Rechenzentrumskapazität, Server, Speicher, Netzwerk und Sicherheitseinrichtungen. Solvinity stellt diese Infrastruktur bereit. Die Kontrolle und Verantwortung für die öffentlichen digitalen Dienste liegt bei Logius.

Logius bestimmt die Architektur, Sicherheitsanforderungen, Governance und Nutzung der Systeme und ist als Implementierungsorganisation unter anderem für den Betrieb von DigiD verantwortlich. DigiD selbst, die Anwendung, Datenverarbeitung und Richtlinienverwaltung, ist und bleibt vollständig im Besitz der niederländischen Regierung. DigiD ist der Schlüssel zu allen staatlichen Dienstleistungen und damit verbundenen Dienstleistungen, wie zum Beispiel dem Zugang zu Informationen im Gesundheitswesen.

Im Jahr 2025 wurde bekannt gegeben, dass Solvinity von Kyndryl übernommen wird. Kyndryl ist ein großes amerikanisches IT-Dienstleistungsunternehmen, das die Infrastruktur für Regierungen und große Unternehmen weltweit verwaltet und 2021 von IBM abgespalten wurde. Das Unternehmen liefert keine Konsumgüter, sondern konzentriert sich darauf, wichtige IT-Systeme technisch am Laufen zu halten. Die Übernahme wird nicht automatisch die täglichen technischen Dienstleistungen verändern, sondern das Eigentum und die letztendliche Kontrolle über den Infrastrukturanbieter in amerikanische Hände legen. Rund um eine Plattform, die für wichtige öffentliche Einrichtungen genutzt wird, entsteht ein neuer administrativer und strategischer Kontext.

Neben DigiD nutzen auch andere Kerneinrichtungen von Logius diese Infrastruktur, darunter MijnOverheid (einschließlich der Message Box für die Kommunikation zwischen Regierung und Bürger), Digipoort (Nachrichtenverkehr zwischen Regierung und Unternehmen), Autorisierungen und Einrichtungen innerhalb des OIN-Systems zur Organisationsidentifikation. Für PKIoverheid verwaltet, leitet und überwacht das PKIoverheid-Vereinbarungssystem die Zertifikatsdienstanbieter innerhalb des Systems.“ Auf der Solvinity-Plattform wird keine separate Anwendung ausgeführt, sondern ein kohärentes Paket digitaler Regierungsdienste, für die die Regierung politisch verantwortlich ist, während die technische Kontinuität von einem privaten Infrastrukturanbieter abhängt.

Europäischer Rahmen zur Bereitstellung von Einblicken in die Souveränität

Das Cloud Sovereignty Framework der Europäischen Kommission ist ein Bewertungsrahmen, der entwickelt wurde, um Erkenntnisse und Vergleiche darüber zu ermöglichen, inwieweit digitale Dienste, insbesondere Cloud- und Plattformdienste, tatsächlich unter europäische Kontrolle, Gesetzgebung und Kontrolle fallen. Der Rahmen ist ausdrücklich für Situationen gedacht, in denen Eigentum, Kontrolle und Zuständigkeit voneinander abweichen können, beispielsweise bei Übernahmen durch Nicht-EU-Parteien. In diesem Rahmen führen die SEAL-Stufen (Sovereignty Effective Assurance Levels) eine aufsteigende Skala (SEAL-0 bis SEAL-4) ein, die angibt, wie stark die europäische digitale Souveränität gewährleistet ist: von keiner sinnvollen Souveränität (SEAL-0) bis hin zu vollständiger digitaler Souveränität unter ausschließlichem EU-Recht und EU-Kontrolle (SEAL-4). Im Rahmen einer Übernahme bieten die SEAL-Levels ein konkretes Instrument zur Beurteilung, ob eine Organisation auch nach der Übernahme unabhängig von formellen Verträgen oder guten Absichten die europäischen Anforderungen hinsichtlich Zuständigkeit, Datenzugriff, Kontinuität und strategischer Autonomie noch erfüllen kann. Das Rahmenwerk hilft Administratoren und Regierungen, über tatsächliche Kontrolle statt rein rechtlicher Strukturen zu diskutieren.

Bei Übernahmen kommt es häufig vor, dass Unternehmen auf der SEAL-Ebene absteigen, auch wenn die Verträge formell intakt bleiben. Für kritische Regierungsaufgaben gilt im Allgemeinen SEAL-3 oder SEAL-4 als Untergrenze. Durch die Übernahme des Infrastrukturanbieters durch eine Nicht-EU-Partei würde sich die Infrastruktur für DigiD von SEAL-3 (digitale Widerstandsfähigkeit unter EU-Kontrolle) zu SEAL-1 (formale rechtliche Souveränität) entwickeln. Das ist eine große Auswirkung.

##Verändertes Klima

Die geplante Übernahme von Solvinity erfolgt in einer Realität, die sich im vergangenen Jahr seit dem Amtsantritt der neuen US-Regierung grundlegend verändert hat. Während IT-Ausschreibungen früher häufig von der IT-Abteilung anhand der technischen Qualität und des Preises beurteilt wurden, ist zunehmend eine (politisch-)administrative Beurteilung im Hinblick auf die Auswirkung des Produkts auf die strategische Autonomie der Organisation erforderlich. Vier aktuelle Entwicklungen verdeutlichen, dass das Selbstverständnis, mit dem wir amerikanischen Dienstleistern vertraut haben, unter Druck gerät.

1. Der Präzedenzfall der „Shutter Control“ (Maxar). Der Fall um den Satellitenkonzern Maxar macht deutlich, dass kommerzielle Lieferverträge geopolitischen Interessen untergeordnet sind. Trotz privatrechtlicher Vereinbarungen schien die amerikanische Regierung durch Shutter Control in der Lage zu sein, die Datenlieferung an Verbündete einzuschränken oder zu steuern. So geschah es nach einem kontroversen Gespräch zwischen der amerikanischen Regierung und dem Präsidenten der Ukraine über die Lieferung von Satellitenbildern. Dies schafft einen Präzedenzfall für andere Sektoren: Das Eigentum an der Infrastruktur bestimmt letztendlich, wer den „Switch“ betreibt, nicht der zahlende Kunde.

2. Erosion des rechtlichen Sicherheitsnetzes (Privacy Shield). Die Rechtsgrundlage für den Datenaustausch ist instabil. Das Vertrauen in transatlantische Abkommen wurde durch die Unsicherheit über die Nachfolgeregelungen des Privacy Shield beschädigt. Das politische Klima in den USA, wo Aufsichtsbehörden (wie die Funktion des Datenschutz-Ombudsmanns) durch Anordnungen wie die der Trump-Administration außer Gefecht gesetzt werden können, verdeutlicht die Verwundbarkeit. In der Praxis scheinen Garantien für den Schutz der Daten von Nicht-Amerikanern von den aktuellen politischen Themen in Washington abzuhängen. Derzeit gibt es in Europa einen Rechtsstreit um die Gültigkeit dieses Sicherheitsnetzes.

3. Eskalation um europäische Vorschriften (Fall X). Die Beziehungen zwischen amerikanischen Technologieunternehmen und dem europäischen Gesetzgeber haben sich verschärft. Nach der Einführung des Digital Services Act (DSA) und den damit verbundenen Bußgeldern und Verwarnungen gegen Plattformen gibt es offene Drohungen, Dienste einzustellen oder europäische Sanktionen zu ignorieren, unterstützt durch politischen Druck aus den USA. Dies verdeutlicht ein neues Risiko: Amerikanische Eigentümer kritischer Infrastrukturen könnten ihre Position als Hebel in umfassenderen Handelskonflikten zwischen den USA und der EU nutzen. Daten der niederländischen Regierung können daher unbeabsichtigt Teil eines politischen Machtspiels werden.

4. Der Fall des Internationalen Strafgerichtshofs zeigte, wie geopolitische Spannungen zu digitalen Abhängigkeiten führen. Als die Vereinigten Staaten Sanktionen gegen ICC-Beamte verhängten, hatte dies nicht nur Auswirkungen auf Diplomatie und Finanzen, sondern auch Auswirkungen auf betriebliche digitale Dienste wie E-Mail und andere wichtige IT-Einrichtungen. Lieferanten mit einem amerikanischen Rechtsbezug schienen daher unabhängig von vertraglichen Vereinbarungen oder dem Speicherort der Daten sensibel auf politische Entscheidungen außerhalb Europas zu reagieren. Digitale Dienste sind Teil der Ausübung geopolitischer Macht, und die Abhängigkeit von außereuropäischen Gerichtsbarkeiten kann zu tatsächlichen Störungen der Kontinuität und Autonomie selbst internationaler Verfassungsinstitutionen führen.

Bei diesen Beispielen müssen wir bedenken, dass das Völkerrecht derzeit aufgrund des Übergangs zu einer neuen, pluralistischen Weltordnung unter Druck steht; eine Welt, in der die alten Machtstrukturen bröckeln und Großmächte (USA, China, Russland) auf der Grundlage der Realpolitik statt auf der Grundlage von Regeln und Verträgen regieren.

Informationssicherheitsproblem

Das Thema berührt den Kern der Informationssicherheit und muss aus den klassischen Sicherheitszielen Verfügbarkeit, Integrität und Vertraulichkeit (BIV) betrachtet werden. Diese drei Prinzipien bilden seit den 1970er Jahren die Grundlage der Informationssicherheit, zunächst im militärischen und staatlichen Kontext und später in zivilen und kommerziellen Informationssystemen. In den folgenden Jahrzehnten wurden sie explizit in internationalen Standards, Prüfungsrahmen und Regierungsrichtlinien verankert und sind seitdem führend bei der Bewertung von Risiken im Zusammenhang mit Automatisierung, Outsourcing und Kettenabhängigkeiten. Die Anwendung von BIV auf digitale Regierungseinrichtungen wie DigiD und andere Logius-Dienste ist daher kein neuer Ansatz, sondern die Fortführung eines seit Jahrzehnten bewährten Sicherheitsprinzips im Kontext zunehmender Digitalisierung und Komplexität.

Die Risiken innerhalb dieses Themas manifestieren sich immer entlang dieser drei Sicherheitsziele. Die Verfügbarkeit ist gefährdet, wenn die Kontinuität der zugrunde liegenden Infrastruktur nicht mehr vollständig durch den Staat durchgesetzt werden kann, beispielsweise bei Störungen, Lieferantenabhängigkeit oder strategischen Entscheidungen außerhalb des öffentlichen Einflussbereichs. Integrität betrifft das Ausmaß, in dem die Regierung nachweislich garantieren kann, dass Systeme, Konfigurationen und Daten nicht unerwünscht geändert werden und dass Überwachung, Prüfung und Änderungsmanagement innerhalb eines ausgelagerten technischen Bereichs wirksam bleiben. Bei der Vertraulichkeit geht es um das Risiko, dass personenbezogene Daten und Authentifizierungsdaten indirekt oder auf andere Weise unbefugtem Zugriff oder Rechtsansprüchen außerhalb des niederländischen und europäischen Rechtsrahmens ausgesetzt sind. Diese Risiken sind keine theoretischen Konstruktionen, sondern klassische Probleme der Informationssicherheit, die in einer modernen, ausgelagerten digitalen Infrastruktur erneut auftreten und verstärkt werden.

Die Risiken

Die Entwicklungen erzwingen eine Neukalibrierung der Risikoanalyse rund um Solvinity und Logius. Die Frage ist nicht mehr nur, ob die Dienstleistungen angemessen sind, sondern auch, ob der niederländische Staat in einem Szenario, in dem amerikanische Gesetzgebung oder politischer Druck mit niederländischen Interessen und Vorschriften in Konflikt geraten, ausreichende Kontrolle behält.

Strategische Souveränitätsrisiken (hoch)

| Risiko | Erklärung | BIV | |——————————————————————————————————————————————————————————————————————————————————————————————————————————–|—————————| | Verlust der ultimativen Kontrolle | Infrastruktur für Kernanlagen fällt unter eine ausländische Muttergesellschaft | B / I / V | | Begrenzte politische Freiheit | Strategische Entscheidungen werden von externen kommerziellen Interessen beeinflusst | B/I | | Rechtliche Extraterritorialität | Ausländische Gesetzgebung kann indirekt Einfluss auf Infrastruktur und Geschäftsbetrieb nehmen | V | | Irreversible Abhängigkeit | Technische und vertragliche Komplexität macht Re-Insourcing in der Praxis sehr schwierig | B | | Strukturelle Verhandlungsschwäche | Langfristig gesehen wird der Spielraum der Regierung bei der Vertragsverlängerung geringer sein
B / I | | Abhängigkeit | Begrenzte Wiederherstellbarkeit im Falle einer erzwungenen Migration der Infrastruktur: Wenn die bestehende Umgebung verschwindet, können digitale Vertrauensmechanismen nicht sofort übertragen werden, sodass die Regierung nicht ausreichend autonom ist, um wichtige Dienste schnell wiederherzustellen. | B/I |

B=Verfügbarkeit, I=Integrität und V=Vertraulichkeit

Mittelfristige Autonomierisiken

| Risiko | Erklärung | BIV | |————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————|——| | Remote-Governance | Die Entscheidungsfindung liegt außerhalb der direkten demokratischen Kontrolle | Ich | | Verlust von Systemwissen | Kritisches Wissen verlagert sich auf den Lieferanten | B/I | | Begrenzte strategische Agilität | Richtlinienänderungen erfordern die Zustimmung oder Mitarbeit einer externen Partei. Dies kann insbesondere in geopolitischen Konflikten zum Tragen kommen B | | Zugang zu Informationen oder Dienstleistungen für eine ausländische Macht | Die Gesetzgebung erfordert den Zugriff auf Systeme oder Informationen. Da die Plattform von Solvinity verwaltet wird, ist der Zugriff auf Grundlage einer Genehmigung möglich. Dies betrifft nicht nur DigiD, sondern auch die Meldungsbox. Das Problem besteht darin, dass dieser Zugriff nicht oder nur sehr schwer zu erkennen ist. Es ist schon länger bekannt, dass gesammelte verschlüsselte Daten nach dem Motto „Jetzt sammeln, später entschlüsseln“ auch länger gespeichert werden. | V |

B=Verfügbarkeit, I=Integrität und V=Vertraulichkeit

Praktische Umsetzungsrisiken (zugrundeliegend)

B=Verfügbarkeit, I=Integrität und V=Vertraulichkeit

Die Richtlinienoptionen

Für strategische Risiken rund um DigiD, die Message Box und andere Logius-Dienste gibt es vier klassische Handlungsoptionen im Policy- und Risikomanagement. Für die Regierung unterscheiden sich diese Optionen hinsichtlich ihrer Realität und politischen Bedeutung erheblich.

Dabei geht es nicht um die Frage, ob Risiken bestehen, sondern darum, welche Risiken der Staat strukturell zu tragen bereit ist und welche Risiken er aktiv vermeiden bzw. steuern will. Das ist eine politische Entscheidung, keine technische.

1. Vermeidung – das Risiko strukturell beseitigen

Kern: die Abhängigkeit selbst beenden.

Dies ist die weitreichendste Option und beeinflusst grundlegende Entscheidungen über die Gestaltung der digitalen Regierung.

Mögliche Schritte:

• Übernahmeverbot.
• Beschleunigter Übergang zum Nachfolger von DigiD (eIDAS). Eine Umsetzung erfolgte beispielsweise bereits durch das belgische Unternehmen „itsme“, das auch in den Niederlanden tätig werden kann.
• Umnutzung der Infrastruktur in eine vollständig öffentliche oder staatlich kontrollierte Umgebung. Damit ist ein Aufstieg zum SEAL Level 4 möglich.
• Trennung lebenswichtiger Kernanlagen von der kommerziellen Infrastruktur
• Gesetzlich festlegen, dass bestimmte digitale Einrichtungen nur unter nationale Kontrolle fallen dürfen
• Aufbau einer regierungsweiten Infrastruktureinrichtung für lebenswichtige Dienste

Politische Bedeutung:

• Maximale (digitale) Souveränität
• Hohe Kosten und lange Vorlaufzeit
• Erzwingt explizite Entscheidungen darüber, was „kritische Infrastruktur“ ist.

2. Reduzieren (mindern) – das Risiko beherrschbar machen

Kern: Abhängigkeit akzeptieren, aber klar einschränken.

Mögliche Schritte:

• Verschärfung der vertraglichen Anforderungen an Ausstieg, Eventualverbindlichkeit und Einbringlichkeit
• Vorschreiben einer technischen und organisatorischen Trennung (Ring-Fencing) für lebenswichtige Dienste
• Stärkung der staatlichen Prüfungs- und Überwachungsbefugnisse
• Aufbau paralleler Einrichtungen oder Fallback-Szenarien
• Festlegung von Anforderungen für die Wissenssicherung innerhalb der Regierung
• Ausarbeitung einer ganzheitlichen digitalen Beschaffungsrichtlinie für das, was ausgelagert werden darf und unter welchen Bedingungen. Dienstleistungen können mit der bereits entwickelten europäischen Politik verknüpft werden.

Politische Bedeutung:

• Weniger drastisch, schneller umsetzbar
• Löst die strukturelle Abhängigkeit nicht vollständig, verringert sie jedoch
• Erfordert ständige administrative Aufmerksamkeit

3. Übertragung – Übertragung des Risikos auf eine andere Partei

Kern: Weitergabe des Risikos vertraglich oder gesetzlich.

Relevante Beobachtung für die Regierung: Dies ist keine ernsthafte Option für Souveränitäts- und Autonomierisiken.

Warum nicht:

• Die Regierung bleibt politisch und gesellschaftlich verantwortlich
• Kontinuität von Einrichtungen wie DigiD und der Message Box ist nicht „versicherbar“
• Reputations- und Vertrauensschäden sind nicht übertragbar

Politische Bedeutung:

• Wichtig, explizit auszuschließen
• Verhindert falsche Sicherheit („es steht im Vertrag“)

4. Akzeptieren – das Risiko bewusst tragen

Kern: Erkennen, dass das Risiko besteht und entscheiden, es zu akzeptieren.

Dies erfordert eine explizite politische Verantwortung.

Mögliche Schritte:

• Halten Sie förmlich fest, welcher Souveränitätsverlust als akzeptabel gilt
• Machen Sie transparent, welche Abhängigkeiten bestehen
• Periodische Neubewertung des Risikos (zum Beispiel bei geopolitischen Veränderungen)
• Klare Kommunikation gegenüber Bürgern und Parlament

Politische Bedeutung:

• Kurzfristig niedrigste Kosten
• Hohes Ausfallrisiko bei Zwischenfällen
• Erfordert ausdrückliche Verantwortung: Dieses Risiko wurde bewusst eingegangen

Die Optionen sind zusammengefasst:

Offene Probleme

Nachfolgend finden Sie eine zusammenhängende Reihe von Kernthemen, zu denen Klarheit erforderlich ist, um eine inhaltliche, politisch reine Debatte zu führen. Sie sind bewusst als offene Themen (keine Stellungnahmen) formuliert, damit sie von den Abgeordneten für Fragen, Stellungnahmen und Anträge genutzt werden können. Sie sind nach Souveränität, Governance, Kontinuität und politischer Verantwortung gruppiert.

1. Souveränität und Autonomie (grundlegend)

1. Welche digitalen Regierungseinrichtungen stufen wir als lebenswichtig ein, in dem Sinne, dass eine strukturelle Abhängigkeit von amerikanischer Kontrolle als unerwünscht angesehen wird?
2. Welcher Grad an Autonomieverlust ist bei Kernfunktionen wie DigiD und der Message Box akzeptabel?
3. Ist das aktuelle Design das Ergebnis einer expliziten politischen Entscheidung oder das Ergebnis einer schrittweisen Auslagerung ohne integralen Entscheidungspunkt?
4. Wo liegt die Untergrenze der digitalen Souveränität: Wann ist eine Abhängigkeit nicht mehr akzeptabel, auch wenn der Dienst technisch gut funktioniert?

2. Eigentum, Kontrolle und Verantwortung

1. Wie verhalten sich Eigentum an der Infrastruktur, Kontrolle über den Anbieter und Verantwortung für öffentliche Dienstleistungen in Krisensituationen zueinander?
2. Verfügt die Regierung über genügend Beharrlichkeit in der Praxis, ihrer öffentlichen Verantwortung bei Interessenkonflikten gerecht zu werden?
3. Ist die aktuelle Governance auf tägliche Stabilität oder auch auf strategische Stressszenarien (Geopolitik, Rechtskonflikte, Eskalationen) ausgelegt?

3. Kontinuität und Wiederherstellbarkeit

1. Inwieweit kann die Regierung selbstständig und zeitnah Reparaturen oder Abweichungen vornehmen, wenn die bestehende Infrastrukturumgebung nicht mehr verfügbar ist?
2. Welche strukturellen Sanierungsbeschränkungen bestehen, die vertraglich oder technisch nicht schnell behoben werden können?
3. Wurden diese Einschränkungen bei früheren Entscheidungen zur Auslagerung von Kernanlagen ausdrücklich berücksichtigt?
4. Wie hoch ist die sozialverträgliche maximale Ausfallzeit von Einrichtungen wie DigiD und der Message Box im Krisenfall?

4. Rechtlicher und geopolitischer Kontext

1. Welche rechtlichen und geopolitischen Entwicklungen könnten die Handlungsfreiheit der niederländischen Regierung in Zukunft einschränken?
2. Wie wird mit Situationen umgegangen, in denen rechtliche Rahmenbedingungen im Widerspruch zu politischen Zielen oder öffentlichen Interessen stehen?
3. Wurde eine Szenarioanalyse für sich ändernde geopolitische Umstände durchgeführt und wenn ja, wie belastbar sind die Ergebnisse?

5. Politische Optionen und Umkehrbarkeit

1. Welche der aktuellen Entscheidungen sind umkehrbar und welche führen tatsächlich zu langfristigen oder dauerhaften Abhängigkeiten?
2. Welche politischen Optionen sind derzeit in einem Zeitraum von 5 bis 10 Jahren noch realistisch?
3. Welche Risiken können durch Minderung kontrolliert werden und welche bleiben strukturell bestehen, unabhängig von zusätzlichen Maßnahmen?
4. Wo liegt der Punkt, an dem die Risikoakzeptanz eine explizite politische Entscheidung sein sollte und nicht eine implizite Konsequenz?

6. Demokratische Rechenschaftspflicht und Transparenz

1. Ab wann ist das Repräsentantenhaus aktiv an Entscheidungen beteiligt, die die digitale Autonomie strukturell beeinflussen?
2. Wie wird den Bürgern erklärt, wer letztendlich die Kontrolle über zentrale digitale Regierungseinrichtungen hat?
3. Ist hinreichend klar, welche Risiken bewusst eingegangen werden und wer dafür politisch verantwortlich ist?

Kolophon

Dieses Papier der LibreKAT Foundation wurde mit der Hilfe und Unterstützung verschiedener Personen und Organisationen erstellt: AdversIQ B.V., Anovum B.V., Jeroen Baten, BIT B.V., Van Buuren IT Security B.V., Chateau IT, Cloudaware Cybersecurity, Coderial B.V., Cynalytics B.V., DSEC Consulting B.V., Stichting DIVD, Jesse Six Dijkstra, Sebastiaan van ’t Erve, Freedom Internet, Innerheight Internet Services B.V., Mathison B.V., Stichting IP Zorg, Good Cloud B.V., Chris van ’t Hof, Koopman Digital Forensics & Consulting (KDFC), Pieter Muller, Guido de Nobel, Oosenbrug Advies, Vereniging Open Domein, OpenNovations B.V., Stichting Petities.nl, Mr. Victor de Pous, Unicorn Holding B.V., Hans de Raad, Vigilis Consultancy, Weissheid und De Winter Information Solutions.

Über die LibreKAT Foundation

Die LibreKAT Foundation setzt sich für eine sicherere digitale Gesellschaft ein. Der Fokus der Stiftung liegt auf offener, kontrollierbarer und überprüfbarer Informationssicherheit. Dies erreichen wir durch Wissensaustausch, Community-Aufbau und Unterstützung von Open-Source-Lösungen im Bereich Cybersicherheit. Wir bieten beispielsweise OpenKAT zur Identifizierung von Schwachstellen, die Methodology for Information Security Research with Audit Value (MIAW), Checklisten für Informationssicherheit und organisieren das Cyber ​​Research Council, um komplexe Probleme zu untersuchen und anschaulich zu erklären.

Unser Ziel umfasst:

• Förderung der Entwicklung und Nutzung von Open-Source-Software und -Hardware für sichere digitale Infrastrukturen.
• Förderung der Transparenz und Reproduzierbarkeit in Sicherheitsprozessen.
• Organisation und Unterstützung von Forschung, Schulung und Aktivitäten zur digitalen Resilienz.
• Vernetzung von Bürgern, Unternehmen, Regierung und sozialen Organisationen, um die kollektive digitale Widerstandsfähigkeit zu erhöhen.

Der Vorstand der Stiftung besteht aus:

• Brenno de Winter, Vorsitzender
• Jan Klopper, Sekretär
• Astrid Oosenbrug, Schatzmeisterin