La adquisición de Solvinity para los servicios de Logius (puesto)

Este documento describe la adquisición de Solvinity por parte de Kyndryl y la importancia para los servicios de Logius. La atención se centra en DigiD, pero también se analiza el buzón de mensajes, porque facilita en gran medida la comunicación entre los ciudadanos y el gobierno. Puedes obtenga este documento como un archivo PDF aquí.

Resumen ejecutivo

Este documento de posición describe cómo la adquisición propuesta de Solvinity por parte de Kyndryl cambiará materialmente la posición estratégica de las instalaciones vitales del gobierno digital holandés, a pesar de que los servicios operativos permanecerán intactos en el corto plazo. Desde 2020, Solvinity ha suministrado la infraestructura y la plataforma de hardware bajo la dirección de Logius para instalaciones centrales como DigiD, MijnOverheid (incluido Message Box) y Digipoort. La responsabilidad de las políticas, la arquitectura y los servicios recae enteramente en el gobierno, pero la continuidad técnica depende de un proveedor de infraestructura privado.

La adquisición transfiere la propiedad y el control final de este proveedor a una parte no perteneciente a la UE, lo que, según el Marco Europeo de Soberanía de la Nube, ¡conduce a una disminución en el nivel de soberanía de aproximadamente SEAL-3 (resiliencia digital bajo control de la UE) a SEAL-1 (soberanía legal formal)!

El documento sitúa explícitamente este cambio en un clima geopolítico modificado, en el que la legislación estadounidense, los regímenes de sanciones y la presión política pueden tener un impacto demostrado en los servicios digitales, incluso con acuerdos contractuales estrictos y ubicación de datos dentro de Europa. Basado en principios clásicos de seguridad de la información (disponibilidad, integridad y confidencialidad), el documento identifica altos riesgos estratégicos de soberanía, riesgos de autonomía a mediano plazo y riesgos concretos de implementación, y deja claro que no se trata de una cuestión técnica sino política fundamental. El mensaje central es que el gobierno ahora debe elegir explícitamente qué riesgos está dispuesto a asumir para las instalaciones digitales vitales y los costos asociados, y que el aplazamiento o la aceptación implícita equivale a una decisión política sin responsabilidad explícita.

Logius y Solvinidad

En 2020, Logius encargó a Solvinity el suministro de la infraestructura subyacente y la plataforma de hardware para una serie de instalaciones digitales gubernamentales. Esto se refiere a la capacidad del centro de datos, servidores, almacenamiento, redes e instalaciones de seguridad. Solvinity proporciona esta infraestructura. El control y la responsabilidad de los servicios públicos digitales recae en Logius.

Logius determina la arquitectura, los requisitos de seguridad, la gobernanza y el uso de los sistemas y, como organización de implementación, es responsable del funcionamiento de DigiD, entre otras cosas. El propio DigiD, la aplicación, el procesamiento de datos y la gestión de políticas, es y seguirá siendo propiedad total del gobierno holandés. DigiD es la clave para todos los servicios gubernamentales y servicios relacionados, como el acceso a la información en el sector sanitario.

En 2025 se anunció que Kyndryl adquirirá Solvinity. Kyndryl es una importante empresa estadounidense de servicios de TI que gestiona infraestructura para gobiernos y grandes empresas de todo el mundo, y se escindió de IBM en 2021. La empresa no suministra productos de consumo, pero se centra en mantener técnicamente en funcionamiento los sistemas de TI vitales. La adquisición no cambiará automáticamente los servicios técnicos diarios, pero pondrá la propiedad y el control final sobre el proveedor de infraestructura en manos estadounidenses. Está surgiendo un nuevo contexto administrativo y estratégico en torno a una plataforma que se utiliza para instalaciones públicas esenciales.

Además de DigiD, otras instalaciones centrales de Logius también utilizan esta infraestructura, incluido MijnOverheid (incluido el cuadro de mensajes para la comunicación entre el gobierno y los ciudadanos), Digipoort (tráfico de mensajes entre el gobierno y las empresas), autorizaciones e instalaciones dentro del sistema OIN para la identificación de organizaciones. Para PKIoverheid, el sistema de acuerdos PKIoverheid gestiona, dirige y supervisa a los proveedores de servicios de certificados dentro del sistema”. La plataforma Solvinity no ejecuta una aplicación separada, sino un conjunto coherente de servicios gubernamentales digitales, de los cuales el gobierno es responsable desde el punto de vista político, mientras que la continuidad técnica depende de un proveedor de infraestructura privado.

Marco europeo para dar una idea de la soberanía

El Marco de Soberanía de la Nube de la Comisión Europea es un marco de evaluación que se ha desarrollado para proporcionar información y comparar en qué medida los servicios digitales, en particular los servicios de nube y de plataforma, realmente caen bajo el control, la legislación y el control europeos. El marco está expresamente destinado a situaciones en las que la propiedad, el control y la jurisdicción pueden divergir, como en adquisiciones por partes no pertenecientes a la UE. En este marco, los niveles SEAL (Niveles de Garantía Efectiva de Soberanía) introducen una escala ascendente (SEAL-0 a SEAL-4) que indica con qué firmeza está garantizada la soberanía digital europea: desde ninguna soberanía significativa (SEAL-0) hasta la soberanía digital plena bajo la legislación exclusiva de la UE y el control de la UE (SEAL-4). En el contexto de una adquisición, los niveles SEAL ofrecen un instrumento concreto para evaluar si una organización aún puede cumplir con los requisitos europeos en materia de jurisdicción, acceso a datos, continuidad y autonomía estratégica después de la adquisición, independientemente de contratos formales o buenas intenciones. El marco ayuda a los administradores y gobiernos a discutir el control real en lugar de estructuras puramente legales.

En las adquisiciones, a menudo se ve que las organizaciones bajan de nivel SEAL, incluso si los contratos permanecen formalmente intactos. Para tareas gubernamentales críticas, SEAL-3 o SEAL-4 generalmente se considera el límite inferior. La infraestructura para DigiD pasaría de SEAL-3 (resiliencia digital bajo control de la UE) a SEAL-1 (soberanía legal formal) mediante la adquisición del proveedor de infraestructura por parte de una parte no perteneciente a la UE. Este es un impacto importante.

##Cambió el clima

La adquisición propuesta de Solvinity se produce en una realidad que ha cambiado fundamentalmente durante el último año desde que asumió el cargo la nueva administración estadounidense. Mientras que las licitaciones de TI solían ser evaluadas a menudo por el departamento de TI en función de la calidad técnica y el precio, cada vez se requiere más una evaluación administrativa (política) con respecto al efecto del producto en la autonomía estratégica de la organización. Cuatro acontecimientos recientes ilustran que la evidencia con la que confiábamos a los proveedores de servicios estadounidenses está bajo presión.

1. El precedente del ‘control de obturador’ (Maxar). El caso de la empresa de satélites Maxar deja claro que los contratos de suministro comerciales están subordinados a intereses geopolíticos. A pesar de los acuerdos de derecho privado, el gobierno estadounidense parecía poder limitar o dirigir el suministro de datos a los aliados a través de Shutter Control. Como ocurrió después de una conversación conflictiva entre el gobierno estadounidense y el presidente de Ucrania sobre el suministro de imágenes de satélite. Esto sienta un precedente para otros sectores: la propiedad de la infraestructura determina en última instancia quién opera el ‘interruptor’, no el cliente que paga.

2. Erosión de la red de seguridad jurídica (Privacy Shield). La base jurídica para el intercambio de datos es inestable. La confianza en los acuerdos transatlánticos se ha visto dañada por la incertidumbre que rodea a los sucesores del Escudo de Privacidad. El clima político en Estados Unidos, donde los órganos de supervisión (como la función del defensor del pueblo de la privacidad) pueden ser marginados por órdenes ejecutivas como las de la administración Trump, demuestra la vulnerabilidad. En la práctica, las garantías para la protección de datos de los no estadounidenses parecen depender de las cuestiones políticas del momento en Washington. Actualmente existe una batalla legal en Europa sobre la validez de esta red de seguridad.

3. Escalada en torno a la normativa europea (Caso X). Las relaciones entre las empresas tecnológicas estadounidenses y la legislatura europea se han endurecido. Tras la introducción de la Ley de Servicios Digitales (DSA) y las multas y advertencias asociadas contra la plataforma, existen amenazas abiertas de retirar servicios o ignorar las sanciones europeas, respaldadas por la presión política de Estados Unidos. Esto ilustra un nuevo riesgo: los propietarios estadounidenses de infraestructura crítica podrían utilizar su posición como influencia en conflictos comerciales más amplios entre Estados Unidos y la UE. Por lo tanto, los datos del gobierno holandés pueden convertirse involuntariamente en parte de un juego de poder político.

4. El caso que involucra a la Corte Penal Internacional reveló cómo las tensiones geopolíticas se traducen en dependencias digitales. Cuando Estados Unidos impuso sanciones a funcionarios de la CPI, esto no solo tuvo un impacto en la diplomacia y las finanzas, sino que también afectó a los servicios digitales operativos, como el correo electrónico y otras instalaciones informáticas esenciales. Por lo tanto, los proveedores con una conexión legal estadounidense parecían ser sensibles a la toma de decisiones políticas fuera de Europa, independientemente de los acuerdos contractuales o la ubicación de los datos. Los servicios digitales son parte del ejercicio del poder geopolítico, y la dependencia de jurisdicciones no europeas puede conducir a perturbaciones reales de la continuidad y autonomía incluso de las instituciones constitucionales internacionales.

En estos ejemplos debemos recordar que el derecho internacional está actualmente bajo presión debido a una transición hacia un nuevo orden mundial pluralista; un mundo en el que las viejas estructuras de poder se están desmoronando y las grandes potencias (Estados Unidos, China, Rusia) gobiernan sobre la base de la Realpolitik en lugar de reglas y tratados.

Problema de seguridad de la información

El tema toca el núcleo de la seguridad de la información y debe verse desde los objetivos de seguridad clásicos de disponibilidad, integridad y confidencialidad (BIV). Estos tres principios han formado la base de la seguridad de la información desde la década de 1970, inicialmente en contextos militares y gubernamentales y más tarde en sistemas de información civiles y comerciales. En las décadas siguientes, se establecieron explícitamente en estándares internacionales, marcos de auditoría y políticas gubernamentales, y desde entonces se han convertido en líderes en la evaluación de riesgos relacionados con la automatización, la subcontratación y las dependencias de la cadena. Por lo tanto, la aplicación de BIV a instalaciones de gobierno digital como DigiD y otros servicios de Logius no es un enfoque nuevo, sino la continuación de un principio de seguridad que ha sido probado durante décadas en un contexto de creciente digitalización y complejidad.

Los riesgos dentro de este tema siempre se manifiestan a lo largo de estos tres objetivos de seguridad. La disponibilidad está en riesgo cuando el gobierno ya no puede hacer cumplir plenamente la continuidad de la infraestructura subyacente, por ejemplo en caso de interrupciones, dependencia de proveedores o toma de decisiones estratégicas fuera de la esfera de influencia pública. La integridad se refiere al grado en que el gobierno puede garantizar de manera demostrable que los sistemas, las configuraciones y los datos no se modifiquen de manera indeseable, y que la supervisión, la auditoría y la gestión de cambios sigan siendo efectivas dentro de un dominio técnico subcontratado. La confidencialidad se refiere al riesgo de que los datos personales y los datos de autenticación queden expuestos, indirectamente o de otro modo, a accesos no autorizados o reclamaciones legales fuera del marco legal holandés y europeo. Estos riesgos no son construcciones teóricas, sino problemas clásicos de seguridad de la información que surgen nuevamente y se amplifican en una infraestructura digital moderna y subcontratada.

Los riesgos

Los acontecimientos obligan a recalibrar el análisis de riesgos en torno a Solvinity y Logius. La cuestión ya no es sólo si los servicios son adecuados, sino si el Estado holandés conserva suficiente control en un escenario en el que la legislación o la presión política estadounidense entran en conflicto con los intereses y regulaciones holandesas.

Riesgos de soberanía estratégica (altos)

B= Disponibilidad, I=Integridad y V=confidencialidad

Riesgos de autonomía a medio plazo

B= Disponibilidad, I=Integridad y V=confidencialidad

Riesgos prácticos de implementación (subyacentes)

B= Disponibilidad, I=Integridad y V=confidencialidad

Las opciones de política

Para los riesgos estratégicos relacionados con DigiD, Message Box y otros servicios de Logius, existen cuatro opciones clásicas de acción en materia de políticas y gestión de riesgos. Para el gobierno, estas opciones difieren mucho en términos de realidad y significado político.

La discusión no gira en torno a si existen riesgos, sino a cuáles riesgos el gobierno está dispuesto a asumir de manera estructural y cuáles quiere evitar o gestionar activamente. Se trata de una elección política, no técnica.

1. Evitación: eliminar estructuralmente el riesgo

Núcleo: acabar con la dependencia misma.

Esta es la opción de mayor alcance y afecta decisiones fundamentales sobre el diseño del gobierno digital.

Posibles pasos:

• Prohibir la adquisición.
• Transición acelerada al sucesor de DigiD (eIDAS). Por ejemplo, la empresa belga “itsme” ya ha realizado una implementación, que también puede operar en los Países Bajos.
• Reutilizar la infraestructura a un entorno totalmente público o controlado por el estado. Eso hace posible un paso al nivel SEAL 4.
• Separar las instalaciones centrales vitales de la infraestructura comercial
• Estipular legalmente que ciertas instalaciones digitales solo puedan estar bajo control nacional.
• Construcción de una instalación de infraestructura para servicios vitales en todo el gobierno.

Importancia política:

• Máxima soberanía (digital)
• Altos costos y largo plazo de entrega.
• Obliga a tomar decisiones explícitas sobre lo que constituye una “infraestructura crítica”.

2. Reducir (mitigar): hacer que el riesgo sea manejable

Core: aceptar la dependencia, pero limitarla claramente.

Posibles pasos:

• Reforzar los requisitos contractuales sobre salida, contingencia y recuperabilidad.
• Exigir la separación técnica y organizativa (ring fencing) para servicios vitales.
• Fortalecer los poderes gubernamentales de auditoría y vigilancia.
• Construcción de instalaciones paralelas o escenarios alternativos.
• Establecer requisitos para garantizar el conocimiento dentro del gobierno.
• Elaborar una política integral de abastecimiento digital sobre qué se puede o no subcontratar y en qué condiciones. Los servicios pueden vincularse a la política europea que ya se ha desarrollado.

Importancia política:

• Menos drástico, más rápido de implementar
• No soluciona completamente la dependencia estructural, pero la reduce
• Requiere atención administrativa permanente

3. Transferencia: transferir el riesgo a otra parte

Esencial: transmitir el riesgo contractual o legalmente.

Observación relevante para el gobierno: Esta no es una opción seria por los riesgos de soberanía y autonomía.

¿Por qué no?

• El gobierno sigue siendo política y socialmente responsable.
• La continuidad de instalaciones como DigiD y Message Box no es “asegurable”
• El daño a la reputación y la confianza no es transferible

Importancia política:

• Importante excluir explícitamente
• Evita falsas seguridad (“está en el contrato”)

4. Aceptar – asumir el riesgo conscientemente

Núcleo: reconocer que el riesgo existe y decidir aceptarlo.

Esto requiere una responsabilidad política explícita.

Posibles pasos:

• Registrar formalmente qué pérdida de soberanía se considera aceptable.
• Hacer transparente qué dependencias existen.
• Reevaluación periódica del riesgo (por ejemplo en caso de cambios geopolíticos)
• Comunicación clara hacia los ciudadanos y el parlamento.

Importancia política:

• Costes más bajos a corto plazo
• Alto riesgo de fallo en caso de incidencias
• Requiere responsabilidad explícita: este riesgo se asumió conscientemente

Las opciones se resumen:

Cuestiones pendientes

A continuación se presenta un conjunto coherente de cuestiones centrales sobre las cuales se requiere claridad para llevar a cabo un debate sustantivo y políticamente puro. Se han formulado deliberadamente como cuestiones abiertas (no como posiciones), para que los parlamentarios puedan utilizarlas para preguntas, posicionamientos y mociones. Están agrupados según la soberanía, la gobernanza, la continuidad y la responsabilidad política.

1. Soberanía y autonomía (fundamental)

1. ¿Qué instalaciones de gobierno digital calificamos como vitales, en el sentido de que la dependencia estructural del control estadounidense se considera indeseable?
2. ¿Qué grado de pérdida de autonomía es aceptable con instalaciones centrales como DigiD y Message Box?
3. ¿Es el diseño actual el resultado de una elección política explícita o el resultado de una subcontratación gradual sin un punto de decisión integral?
4. ¿Dónde está el límite inferior de la soberanía digital? ¿Cuándo ya no es aceptable una dependencia, incluso si el servicio funciona técnicamente bien?

2. Propiedad, control y responsabilidad

1. ¿Cómo se relacionan entre sí la propiedad de la infraestructura, el control sobre el proveedor y la responsabilidad de los servicios públicos en situaciones de crisis?
2. ¿Tiene el gobierno suficiente perseverancia en la práctica para cumplir con su responsabilidad pública en caso de conflictos de intereses?
3. ¿La gobernanza actual está diseñada para la estabilidad diaria, o también para escenarios de estrés estratégico (geopolítica, conflictos legales, escaladas)?

3. Continuidad y recuperabilidad

1. ¿En qué medida puede el gobierno reparar o desviarse de manera independiente y oportuna cuando el entorno de infraestructura existente ya no está disponible?
2. ¿Qué limitaciones estructurales de recuperación existen que no pueden resolverse rápidamente contractual o técnicamente?
3. ¿Se han tenido en cuenta explícitamente estas limitaciones en la toma de decisiones anteriores sobre la subcontratación de instalaciones básicas?
4. ¿Cuál es el tiempo máximo socialmente aceptable de inactividad de instalaciones como DigiD y Message Box en una situación de crisis?

4. Contexto jurídico y geopolítico

1. ¿Qué acontecimientos jurídicos y geopolíticos podrían limitar la libertad de acción del gobierno holandés en el futuro?
2. ¿Cómo se manejan las situaciones en las que los marcos legales entran en conflicto con objetivos políticos o intereses públicos?
3. ¿Se ha realizado un análisis de escenarios para las circunstancias geopolíticas cambiantes y, de ser así, qué tan sólidos son los resultados?

5. Opciones de política y reversibilidad

1. ¿Cuáles de las opciones actuales son reversibles y cuáles en realidad conducen a dependencias permanentes o de largo plazo?
2. ¿Qué opciones políticas siguen siendo realistas en la actualidad en un plazo de cinco a diez años?
3. ¿Qué riesgos se pueden controlar con mitigación y cuáles persistirán estructuralmente, independientemente de las medidas adicionales?
4. ¿Dónde está el punto en el que la aceptación del riesgo debería ser una decisión política explícita y no una consecuencia implícita?

6. Responsabilidad democrática y transparencia

1. ¿En qué momento la Cámara participa activamente en las decisiones que influyen estructuralmente en la autonomía digital?
2. ¿Cómo se explica a los ciudadanos quiénes en última instancia tienen el control sobre las instalaciones centrales del gobierno digital?
3. ¿Está suficientemente claro qué riesgos se asumen conscientemente y quién es políticamente responsable de ellos?

Colofón

Este documento de la Fundación LibreKAT fue creado con la ayuda y el apoyo de varias personas y organizaciones: AdversIQ B.V., Anovum B.V., Jeroen Baten, BIT B.V., Van Buuren IT Security B.V., Chateau IT, Cloudaware Cybersecurity, Coderial B.V., Cynalytics B.V., DSEC Consulting B.V., Stichting DIVD, Jesse Six Dijkstra, Sebastiaan van ’t Erve, Freedom Internet, Innerheight Internet Services B.V., Mathison B.V., Stichting IP Zorg, Good Cloud B.V., Chris van ’t Hof, Koopman Digital Forensics & Consulting (KDFC), Pieter Muller, Guido de Nobel, Oosenbrug Advies, Vereniging Open Domein, OpenNovations B.V., Stichting Petities.nl, Sr. Victor de Pous, Unicorn Holding B.V., Hans de Raad, Vigilis Consultancy, Weissheid y De Winter Information Solutions.

Acerca de la Fundación LibreKAT

La Fundación LibreKAT está comprometida con una sociedad digital más segura. La fundación se centra en la seguridad de la información abierta, controlable y verificable. Hacemos esto a través del intercambio de conocimientos, la creación de comunidades y el apoyo a soluciones de código abierto dentro de la ciberseguridad. Por ejemplo, ofrecemos OpenKAT para identificar vulnerabilidades, la Metodología para la investigación de seguridad de la información con valor de auditoría (MIAUW), listas de verificación para la seguridad de la información y organizamos el Cyber ​​​​Research Council para investigar problemas complejos y explicarlos claramente.

Nuestro objetivo incluye:

• Estimular el desarrollo y uso de software y hardware de código abierto para infraestructuras digitales seguras.
• Promover la transparencia y reproducibilidad en los procesos de seguridad.
• Organizar y apoyar la investigación, la formación y las actividades sobre resiliencia digital.
• Conectar ciudadanos, empresas, gobierno y organizaciones sociales para aumentar la resiliencia digital colectiva.

El patronato de la Fundación está formado por:

• Brenno de Winter, presidente
• Jan Klopper, secretario
• Astrid Oosenbrug, tesorera