L’acquisizione di Solvinity per i servizi Logius (posizione)

Questo documento descrive l’acquisizione di Solvinity da parte di Kyndryl e l’importanza per i servizi di Logius. L’attenzione è rivolta a DigiD, ma si discute anche della finestra di messaggio, perché facilita molta la comunicazione tra cittadini e governo. Puoi ottieni questo documento come file PDF qui.

Riepilogo esecutivo

Questo documento descrive come la proposta acquisizione di Solvinity da parte di Kyndryl cambierà materialmente la posizione strategica delle strutture vitali del governo digitale olandese, nonostante il fatto che i servizi operativi rimarranno intatti nel breve termine. Dal 2020, Solvinity fornisce l’infrastruttura e la piattaforma hardware sotto la direzione di Logius per strutture chiave come DigiD, MijnOverheid (inclusa la Message Box) e Digipoort. La responsabilità per la politica, l’architettura e i servizi spetta interamente al governo, ma la continuità tecnica dipende da un fornitore di infrastrutture privato.

L’acquisizione trasferisce la proprietà e il controllo finale di questo fornitore a un soggetto extra-UE, il che, secondo lo European Cloud Sovereignty Framework, porta a una diminuzione del livello di sovranità da circa SEAL-3 (resilienza digitale sotto il controllo dell’UE) a SEAL-1 (sovranità legale formale)!

Il documento colloca esplicitamente questo cambiamento in un clima geopolitico mutato, in cui la legislazione americana, i regimi sanzionatori e la pressione politica possono avere un impatto dimostrabile sui servizi digitali, anche con accordi contrattuali rigorosi e localizzazione dei dati in Europa. Basandosi sui classici principi della sicurezza informatica (disponibilità, integrità e riservatezza), il documento identifica elevati rischi di sovranità strategica, rischi di autonomia a medio termine e rischi concreti di implementazione, e chiarisce che non si tratta di una questione tecnica ma politica fondamentale. Il messaggio centrale è che il governo deve ora scegliere esplicitamente quali rischi è disposto a sopportare per le strutture digitali vitali e i costi associati, e che il rinvio o l’accettazione implicita equivalgono a una decisione politica senza responsabilità esplicita.

##Logius e Solvinity

Nel 2020, Solvinity è stata incaricata da Logius di fornire l’infrastruttura sottostante e la piattaforma hardware per una serie di strutture digitali a livello governativo. Ciò riguarda la capacità del data center, i server, l’archiviazione, la rete e le strutture di sicurezza. Solvinity fornisce questa infrastruttura. Il controllo e la responsabilità dei servizi digitali pubblici spetta a Logius.

Logius determina l’architettura, i requisiti di sicurezza, la governance e l’utilizzo dei sistemi e come organizzazione di implementazione è responsabile, tra le altre cose, del funzionamento di DigiD. DigiD stesso, l’applicazione, l’elaborazione dei dati e la gestione delle politiche, è e rimarrà interamente di proprietà del governo olandese. DigiD è la chiave per tutti i servizi governativi e i servizi correlati, come l’accesso alle informazioni nel settore sanitario.

Nel 2025 è stato annunciato che Solvinity sarà acquisita da Kyndryl. Kyndryl è un’importante società americana di servizi IT che gestisce infrastrutture per governi e grandi aziende in tutto il mondo ed è stata scorporata da IBM nel 2021. La società non fornisce prodotti di consumo, ma si concentra sul mantenimento del funzionamento tecnico dei sistemi IT vitali. L’acquisizione non cambierà automaticamente i servizi tecnici quotidiani, ma metterà la proprietà e il controllo finale sul fornitore dell’infrastruttura in mani americane. Sta emergendo un nuovo contesto amministrativo e strategico attorno a una piattaforma utilizzata per le strutture pubbliche essenziali.

Oltre a DigiD, anche altre strutture principali di Logius utilizzano questa infrastruttura, tra cui MijnOverheid (inclusa la Message Box per la comunicazione governo-cittadino), Digipoort (traffico di messaggi tra governo e aziende), Autorizzazioni e strutture all’interno del sistema OIN per l’identificazione organizzativa. Per PKIoverheid, il sistema di accordi PKIoverheid gestisce, dirige e supervisiona i fornitori di servizi di certificazione all’interno del sistema." La piattaforma Solvinity non gestisce un’applicazione separata, ma un insieme coerente di servizi governativi digitali, di cui il governo è responsabile dal punto di vista politico, mentre la continuità tecnica dipende da un fornitore di infrastrutture private.

Quadro europeo per fornire informazioni sulla sovranità

Il Cloud Sovereignty Framework della Commissione Europea è un quadro di valutazione che è stato sviluppato per fornire informazioni e confronti sulla misura in cui i servizi digitali, in particolare i servizi cloud e di piattaforma, ricadono effettivamente sotto il controllo, la legislazione e il controllo europei. Il quadro è espressamente destinato a situazioni in cui proprietà, controllo e giurisdizione possono divergere, come nel caso di acquisizioni da parte di soggetti extra-UE. In questo quadro, i livelli SEAL (Sovereignty Effective Assurance Levels) introducono una scala ascendente (da SEAL-0 a SEAL-4) che indica quanto fortemente è garantita la sovranità digitale europea: da nessuna sovranità significativa (SEAL-0) a piena sovranità digitale sotto il diritto esclusivo dell’UE e il controllo dell’UE (SEAL-4). Nel contesto di un’acquisizione, i livelli SEAL offrono uno strumento concreto per valutare se un’organizzazione può ancora soddisfare i requisiti europei in materia di giurisdizione, accesso ai dati, continuità e autonomia strategica dopo l’acquisizione, indipendentemente da contratti formali o buone intenzioni. Il quadro aiuta gli amministratori e i governi a discutere il controllo effettivo anziché le strutture puramente legali.

Nelle acquisizioni spesso si vedono le organizzazioni scendere al livello SEAL, anche se i contratti rimangono formalmente intatti. Per compiti governativi critici, SEAL-3 o SEAL-4 è generalmente considerato il limite inferiore. L’infrastruttura per DigiD passerebbe da SEAL-3 (resilienza digitale sotto il controllo dell’UE) a SEAL-1 (sovranità legale formale) attraverso l’acquisizione del fornitore dell’infrastruttura da parte di un soggetto extra-UE. Questo è un impatto notevole.

##Clima cambiato

La proposta acquisizione di Solvinity si inserisce in una realtà che è radicalmente cambiata nell’ultimo anno da quando è entrata in carica la nuova amministrazione statunitense. Mentre in passato gli appalti IT venivano spesso valutati dal dipartimento IT in base alla qualità tecnica e al prezzo, è sempre più necessaria una valutazione amministrativa (politica) per quanto riguarda l’effetto del prodotto sull’autonomia strategica dell’organizzazione. Quattro recenti sviluppi dimostrano che l’evidenza di cui ci fidavamo nei fornitori di servizi americani è sotto pressione.

1. Il precedente del “Controllo dell’otturatore” (Maxar). Il caso della società satellitare Maxar dimostra chiaramente che i contratti di fornitura commerciale sono subordinati agli interessi geopolitici. Nonostante gli accordi di diritto privato, il governo americano sembrava essere in grado di limitare o indirizzare la fornitura di dati agli alleati attraverso Shutter Control. Come è successo dopo una conversazione conflittuale tra il governo americano e il presidente dell’Ucraina sulla fornitura di immagini satellitari. Ciò costituisce un precedente per altri settori: la proprietà dell’infrastruttura determina in ultima analisi chi gestisce lo “scambio”, non il cliente pagante.

2. Erosione della rete di sicurezza giuridica (Privacy Shield). La base giuridica per lo scambio di dati è instabile. La fiducia negli accordi transatlantici è stata danneggiata dall’incertezza che circonda i successori del Privacy Shield. Il clima politico negli Stati Uniti, dove gli organi di vigilanza (come la funzione del difensore civico per la privacy) possono essere messi da parte da ordini esecutivi come quelli dell’amministrazione Trump, dimostra la vulnerabilità. In pratica, le garanzie per la protezione dei dati dei non americani sembrano dipendere dalle questioni politiche del momento a Washington. Attualmente in Europa è in corso una battaglia legale sulla validità di questa rete di sicurezza.

3. Escalation attorno alle normative europee (Caso X). Le relazioni tra le aziende tecnologiche americane e il legislatore europeo si sono inasprite. Dopo l’introduzione del Digital Services Act (DSA) e le relative multe e avvertimenti contro la piattaforma, ci sono minacce aperte di ritirare i servizi o di ignorare le sanzioni europee, supportate dalla pressione politica degli Stati Uniti. Ciò illustra un nuovo rischio: i proprietari americani di infrastrutture critiche potrebbero utilizzare la loro posizione come leva in conflitti commerciali più ampi tra Stati Uniti e UE. I dati del governo olandese possono quindi diventare involontariamente parte di un gioco di potere politico.

4. Il caso che coinvolge la Corte penale internazionale ha rivelato come le tensioni geopolitiche si traducano in dipendenze digitali. Quando gli Stati Uniti hanno imposto sanzioni ai funzionari della Corte penale internazionale, ciò non ha avuto solo un impatto sulla diplomazia e sulla finanza, ma ha influenzato anche i servizi digitali operativi, come la posta elettronica e altre strutture IT essenziali. I fornitori con un legame giuridico americano sembravano quindi sensibili alle decisioni politiche al di fuori dell’Europa, indipendentemente dagli accordi contrattuali o dall’ubicazione dei dati. I servizi digitali fanno parte dell’esercizio del potere geopolitico e la dipendenza da giurisdizioni extraeuropee può portare a effettive interruzioni della continuità e dell’autonomia anche delle istituzioni costituzionali internazionali.

In questi esempi dobbiamo ricordare che il diritto internazionale è attualmente sotto pressione a causa della transizione verso un nuovo ordine mondiale pluralistico; un mondo in cui le vecchie strutture di potere si stanno sgretolando e le grandi potenze (Stati Uniti, Cina, Russia) governano sulla base della Realpolitik invece che su regole e trattati.

Problema di sicurezza delle informazioni

Il tema tocca il nocciolo della sicurezza delle informazioni e deve essere visto secondo i classici obiettivi di sicurezza di disponibilità, integrità e riservatezza (BIV). Questi tre principi hanno costituito il fondamento della sicurezza informatica fin dagli anni ’70, inizialmente in contesti militari e governativi e successivamente nei sistemi informativi civili e commerciali. Nei decenni successivi, sono stati esplicitamente stabiliti negli standard internazionali, nei quadri di audit e nelle politiche governative, e da allora sono diventati leader nella valutazione dei rischi legati all’automazione, all’outsourcing e alle dipendenze della catena. L’applicazione del BIV a strutture governative digitali come DigiD e altri servizi Logius non è quindi un approccio nuovo, ma la continuazione di un principio di sicurezza dimostrato da decenni in un contesto di crescente digitalizzazione e complessità.

I rischi all’interno di questo tema si manifestano sempre lungo questi tre obiettivi di sicurezza. La disponibilità è a rischio quando la continuità dell’infrastruttura sottostante non può più essere pienamente garantita dal governo, ad esempio in caso di interruzioni, dipendenza dai fornitori o processo decisionale strategico al di fuori della sfera di influenza pubblica. L’integrità riguarda la misura in cui il governo può garantire in modo dimostrabile che sistemi, configurazioni e dati non vengano modificati in modo indesiderato e che la supervisione, l’audit e la gestione delle modifiche rimangano efficaci all’interno di un ambito tecnico esternalizzato. La riservatezza riguarda il rischio che i dati personali e i dati di autenticazione siano esposti, indirettamente o in altro modo, ad accessi non autorizzati o ad azioni legali al di fuori del quadro giuridico olandese ed europeo. Questi rischi non sono costruzioni teoriche, ma classici problemi di sicurezza informatica che si ripropongono e amplificati in una moderna infrastruttura digitale in outsourcing.

I rischi

Gli sviluppi impongono una ricalibrazione dell’analisi del rischio relativa a Solvinity e Logius. La questione non è più solo se i servizi sono adeguati, ma se lo Stato olandese mantiene un controllo sufficiente in uno scenario in cui la legislazione americana o la pressione politica sono in conflitto con gli interessi e le normative olandesi.

Rischi di sovranità strategica (alti)

B=Disponibilità, I=Integrità e V=Riservatezza

Rischi di autonomia nel medio termine

B=Disponibilità, I=Integrità e V=Riservatezza

Rischi pratici di implementazione (sottostanti)

| Rischio | Spiegazione | BIV | |———————————————————-||——————————————————————————————————————————————————————————————————————————————————————————————————————–||—–| | Escalation fuori dalla sfera nazionale | La gestione degli incidenti richiede un coordinamento oltre i confini nazionali se l’incidente è sufficientemente importante o è di natura geopolitica B | | Fiducia pubblica sotto pressione | La spiegabilità ai cittadini diventa più difficile | V| | Frammentazione delle responsabilità | Mancanza di chiarezza su chi effettivamente può intervenire | Io | | La migrazione a un’altra soluzione richiede molto tempo | Se la preparazione non è sufficiente, la migrazione della soluzione potrebbe richiedere ulteriore tempo. Prendiamo in considerazione, ad esempio, il rilascio di certificati di sicurezza a tutti gli utenti, l’esecuzione di audit per garantire la sicurezza e la creazione di un’organizzazione di gestione ben funzionante. | B |

B=Disponibilità, I=Integrità e V=Riservatezza

Le opzioni politiche

Per i rischi strategici legati a DigiD, Message Box e altri servizi Logius, esistono quattro opzioni classiche di intervento nella politica e nella gestione del rischio. Per il governo queste opzioni differiscono notevolmente in termini di realtà e significato politico.

La discussione non riguarda l’esistenza o meno di rischi, ma quali rischi il governo è disposto a sopportare su base strutturale e quali rischi vuole evitare o gestire attivamente. Questa è una scelta politica, non tecnica.

1. Evitamento: rimozione strutturale del rischio

Core: porre fine alla dipendenza stessa.

Questa è l’opzione di più ampia portata e influenza le scelte fondamentali sulla progettazione del governo digitale.

Possibili passaggi:

• Divieto di acquisizione.
• Transizione accelerata al successore di DigiD (eIDAS). Ad esempio, la società belga “itsme” ha già effettuato un’implementazione, che può funzionare anche nei Paesi Bassi.
• Riconversione dell’infrastruttura in un ambiente completamente pubblico o controllato dallo Stato. Ciò rende possibile il passaggio al livello 4 di SEAL.
• Separazione delle strutture essenziali dalle infrastrutture commerciali
• Stabilire giuridicamente che alcune strutture digitali possano rientrare solo sotto il controllo nazionale
• Costruire una struttura infrastrutturale a livello governativo per servizi vitali

Significato politico:

• Massima sovranità (digitale).
• Costi elevati e tempi lunghi
• Obbliga scelte esplicite su ciò che costituisce “infrastruttura critica”.

2. Ridurre (mitigare): rendere il rischio gestibile

Core: accettare la dipendenza, ma limitarla chiaramente.

Possibili passaggi:

• Inasprimento dei requisiti contrattuali in materia di uscita, contingenza e recuperabilità
• Richiedere la separazione tecnica e organizzativa (ring fencing) per i servizi vitali
• Rafforzare i poteri di audit e sorveglianza del governo
• Costruire strutture parallele o scenari di fallback
• Stabilire i requisiti per la garanzia della conoscenza all’interno del governo
• Elaborazione di una politica di approvvigionamento digitale integrale per ciò che può o meno essere esternalizzato e a quali condizioni. I servizi possono essere collegati alla politica europea già sviluppata.

Significato politico:

• Meno drastico, più veloce da implementare
• Non risolve completamente la dipendenza strutturale, ma la riduce
• Richiede attenzione amministrativa permanente

3. Trasferimento: trasferimento del rischio a un’altra parte

Core: trasferire il rischio contrattualmente o legalmente.

Osservazione rilevante per il governo: questa non è un’opzione seria per i rischi di sovranità e autonomia.

Perché no:

• Il governo rimane politicamente e socialmente responsabile
• La continuità di strutture come DigiD e Message Box non è “assicurabile”
• Il danno alla reputazione e alla fiducia non è trasferibile

Significato politico:

• Importante escludere esplicitamente
• Previene false garanzie (“è nel contratto”)

4. Accetta: sopporta il rischio consapevolmente

Fondamentale: riconoscere che il rischio esiste e decidere di accettarlo.

Ciò richiede una responsabilità politica esplicita.

Possibili passaggi:

• Registrare formalmente quale perdita di sovranità è considerata accettabile
• Rendere trasparenti le dipendenze esistenti
• Rivalutazione periodica del rischio (ad esempio in caso di cambiamenti geopolitici)
• Comunicazione chiara verso i cittadini e il Parlamento

Significato politico:

• Costi più bassi nel breve termine
• Elevato rischio di guasto in caso di incidenti
• Richiede una responsabilità esplicita: questo rischio è stato corso consapevolmente

Le opzioni sono riassunte:

Problemi in sospeso

Di seguito è riportato un insieme coerente di questioni fondamentali sulle quali è necessaria chiarezza per condurre un dibattito sostanziale e politicamente puro. Sono stati deliberatamente formulati come questioni aperte (non posizioni), in modo che i parlamentari possano utilizzarli per domande, posizioni e mozioni. Sono raggruppati in base alla sovranità, alla governance, alla continuità e alla responsabilità politica.

1. Sovranità e autonomia (fondamentale)

1. Quali strutture del governo digitale consideriamo vitali, nel senso che la dipendenza strutturale dal controllo americano è considerata indesiderabile?
2. Quale grado di perdita di autonomia è accettabile con strutture fondamentali come DigiD e Message Box?
3. Il disegno attuale è il risultato di una scelta politica esplicita, oppure il risultato di una progressiva esternalizzazione senza un punto decisionale integrale?
4. Dov’è il limite inferiore della sovranità digitale: quando una dipendenza non è più accettabile, anche se il servizio funziona tecnicamente bene?

2. Proprietà, controllo e responsabilità

1. Come si relazionano tra loro la proprietà delle infrastrutture, il controllo sul fornitore e la responsabilità dei servizi pubblici in situazioni di crisi?
2. Il governo ha sufficiente perseveranza nella pratica per adempiere alla propria responsabilità pubblica in caso di interessi contrastanti?
3. L’attuale governance è progettata per la stabilità quotidiana, o anche per scenari di stress strategico (geopolitica, conflitti legali, escalation)?

3. Continuità e recuperabilità

1. In che misura il governo può riparare o deviare in modo indipendente e tempestivo quando l’ambiente infrastrutturale esistente non è più disponibile?
2. Quali sono i limiti strutturali del recupero che non possono essere risolti rapidamente a livello contrattuale o tecnico?
3. Queste limitazioni sono state esplicitamente prese in considerazione nei precedenti processi decisionali riguardanti l’esternalizzazione delle strutture principali?
4. Qual è il tempo massimo di inattività socialmente accettabile di strutture come DigiD e Message Box in una situazione di crisi?

4. Contesto giuridico e geopolitico

1. Quali sviluppi giuridici e geopolitici potrebbero limitare in futuro la libertà d’azione del governo olandese?
2. Come vengono gestite le situazioni in cui i quadri giuridici sono in conflitto con gli obiettivi politici o gli interessi pubblici?
3. È stata effettuata un’analisi di scenario per il cambiamento delle circostanze geopolitiche e, in caso affermativo, quanto sono solidi i risultati?

5. Opzioni politiche e reversibilità

1. Quali delle scelte attuali sono reversibili e quali portano effettivamente a dipendenze a lungo termine o permanenti?
2. Quali opzioni politiche sono attualmente ancora realistiche nell’arco di 5-10 anni?
3. Quali rischi possono essere controllati con la mitigazione e quali persisteranno strutturalmente, indipendentemente da misure aggiuntive?
4. Qual è il punto in cui l’accettazione del rischio dovrebbe essere una decisione politica esplicita piuttosto che una conseguenza implicita?

6. Responsabilità democratica e trasparenza

1. A che punto la Camera è attivamente coinvolta nelle decisioni che influenzano strutturalmente l’autonomia digitale?
2. Come viene spiegato ai cittadini chi ha in definitiva il controllo sulle principali strutture governative digitali?
3. È sufficientemente chiaro quali rischi vengono assunti consapevolmente e chi ne è politicamente responsabile?

Colofone

Questo documento della Fondazione LibreKAT è stato creato con l’aiuto e il supporto di varie persone e organizzazioni: AdversIQ B.V., Anovum B.V., Jeroen Baten, BIT B.V., Van Buuren IT Security B.V., Chateau IT, Cloudaware Cybersecurity, Coderial B.V., Cynalytics B.V., DSEC Consulting B.V., Stichting DIVD, Jesse Six Dijkstra, Sebastiaan van ’t Erve, Freedom Internet, Innerheight Internet Services B.V., Mathison B.V., Stichting IP Zorg, Good Cloud B.V., Chris van ’t Hof, Koopman Digital Forensics & Consulting (KDFC), Pieter Muller, Guido de Nobel, Oosenbrug Advies, Vereniging Open Domein, OpenNovations B.V., Stichting Petities.nl, Mr. Victor de Pous, Unicorn Holding B.V., Hans de Raad, Vigilis Consultancy, Weissheid e De Winter Information Solutions.

Informazioni sulla Fondazione LibreKAT

La Fondazione LibreKAT è impegnata a favore di una società digitale più sicura. La fondazione si concentra sulla sicurezza delle informazioni aperta, controllabile e verificabile. Lo facciamo attraverso la condivisione delle conoscenze, la creazione di comunità e il supporto di soluzioni open source nell’ambito della sicurezza informatica. Offriamo ad esempio OpenKAT per l’identificazione delle vulnerabilità, la Metodologia per la ricerca sulla sicurezza delle informazioni con valore di audit (MIAW), liste di controllo per la sicurezza delle informazioni e organizziamo il Cyber ​​​​Research Council per indagare su problemi complessi e spiegarli chiaramente.

Il nostro obiettivo include:

• Stimolare lo sviluppo e l’uso di software e hardware open source per infrastrutture digitali sicure.
• Promuovere la trasparenza e la riproducibilità dei processi di sicurezza.
• Organizzare e sostenere attività di ricerca, formazione e attività sulla resilienza digitale.
• Collegare cittadini, aziende, governo e organizzazioni sociali per aumentare la resilienza digitale collettiva.

Il Consiglio della Fondazione è composto da:

• Brenno de Winter, presidente
• Jan Klopper, segretario
• Astrid Oosenbrug, tesoriera