Aquisição da Solvinity para serviços Logius (cargo)

Este documento descreve a aquisição da Solvinity pela Kyndryl e a importância para os serviços da Logius. O foco está no DigiD, mas a caixa de mensagens também é discutida, pois facilita muito a comunicação entre cidadão e governo. Você pode obtenha este documento como um arquivo PDF aqui.

Resumo executivo

Este documento de posição descreve como a proposta de aquisição da Solvinity pela Kyndryl mudará materialmente a posição estratégica de instalações vitais do governo digital holandês, apesar do facto de os serviços operacionais permanecerem intactos no curto prazo. Desde 2020, a Solvinity fornece a infraestrutura e a plataforma de hardware sob a direção da Logius para instalações principais como DigiD, MijnOverheid (incluindo a Message Box) e Digipoort. A responsabilidade pela política, arquitectura e serviços cabe inteiramente ao governo, mas a continuidade técnica depende de um fornecedor privado de infra-estruturas.

A aquisição transfere a propriedade e o controle final deste fornecedor para uma parte fora da UE, o que, de acordo com o Quadro Europeu de Soberania em Nuvem, leva a uma diminuição no nível de soberania de aproximadamente SEAL-3 (resiliência digital sob controle da UE) para SEAL-1 (soberania legal formal)!

O documento coloca explicitamente esta mudança num clima geopolítico alterado, em que a legislação americana, os regimes de sanções e a pressão política podem comprovadamente ter um impacto nos serviços digitais, mesmo com acordos contratuais rigorosos e localização de dados na Europa. Com base em princípios clássicos de segurança da informação (disponibilidade, integridade e confidencialidade), o documento identifica elevados riscos de soberania estratégica, riscos de autonomia a médio prazo e riscos concretos de implementação, e deixa claro que esta não é uma questão técnica, mas sim uma questão política fundamental. A mensagem principal é que o governo deve agora escolher explicitamente quais os riscos que está disposto a assumir relativamente às instalações digitais vitais e aos custos associados, e que o adiamento ou a aceitação implícita equivale a uma decisão política sem responsabilização explícita.

Logius e Solvinidade

Em 2020, a Solvinity foi contratada pela Logius para fornecer a infraestrutura subjacente e a plataforma de hardware para uma série de instalações digitais em todo o governo. Isto diz respeito à capacidade do data center, servidores, armazenamento, rede e instalações de segurança. A Solvinity fornece essa infraestrutura. O controle e a responsabilidade pelos serviços digitais públicos cabem à Logius.

A Logius determina a arquitetura, os requisitos de segurança, a governança e o uso dos sistemas e, como organização implementadora, é responsável pela operação do DigiD, entre outras coisas. O próprio DigiD, a aplicação, o processamento de dados e o gerenciamento de políticas, é e continuará sendo de propriedade integral do governo holandês. DigiD é a chave para todos os serviços governamentais e serviços relacionados, como o acesso à informação na área da saúde.

Em 2025 foi anunciado que a Solvinity será adquirida pela Kyndryl. Kyndryl é uma grande empresa americana de serviços de TI que gerencia infraestrutura para governos e grandes empresas em todo o mundo, e foi desmembrada da IBM em 2021. A empresa não fornece produtos de consumo, mas se concentra em manter sistemas de TI vitais funcionando tecnicamente. A aquisição não alterará automaticamente os serviços técnicos quotidianos, mas colocará a propriedade e o controlo final sobre o fornecedor de infra-estruturas em mãos americanas. Está a emergir um novo contexto administrativo e estratégico em torno de uma plataforma utilizada para instalações públicas essenciais.

Além do DigiD, outras instalações principais do Logius também utilizam esta infraestrutura, incluindo MijnOverheid (incluindo a Caixa de Mensagens para comunicação governo-cidadão), Digipoort (tráfego de mensagens entre governo e empresas), Autorizações e facilidades dentro do sistema OIN para identificação organizacional. Para PKIoverheid, o sistema de acordo PKIoverheid gerencia, dirige e supervisiona os provedores de serviços de certificação dentro do sistema.” A plataforma Solvinity não gere uma aplicação separada, mas sim um conjunto coerente de serviços governamentais digitais, pelos quais o governo é responsável em termos políticos, enquanto a continuidade técnica depende de um fornecedor privado de infraestruturas.

Quadro europeu para fornecer informações sobre a soberania

O Quadro de Soberania da Nuvem da Comissão Europeia é um quadro de avaliação que foi desenvolvido para fornecer informações e comparação sobre até que ponto os serviços digitais, em particular os serviços de nuvem e de plataforma, estão realmente sob controlo, legislação e controlo europeus. O quadro destina-se expressamente a situações em que a propriedade, o controlo e a jurisdição podem divergir, como nas aquisições por partes não pertencentes à UE. Neste quadro, os níveis SEAL (Níveis de Garantia Efetiva de Soberania) introduzem uma escala ascendente (SEAL-0 a SEAL-4) que indica o quão fortemente a soberania digital europeia é garantida: desde nenhuma soberania significativa (SEAL-0) até à plena soberania digital sob a legislação exclusiva da UE e controlo da UE (SEAL-4). No contexto de uma aquisição, os níveis SEAL oferecem um instrumento concreto para avaliar se uma organização ainda pode cumprir os requisitos europeus em matéria de jurisdição, acesso a dados, continuidade e autonomia estratégica após a aquisição, independentemente de contratos formais ou boas intenções. O quadro ajuda os administradores e os governos a discutir o controlo real em vez de estruturas puramente legais.

Nas aquisições, muitas vezes vemos organizações descerem de nível SEAL, mesmo que os contratos permaneçam formalmente intactos. Para tarefas governamentais críticas, SEAL-3 ou SEAL-4 é geralmente considerado o limite inferior. A infraestrutura para DigiD passaria de SEAL-3 (resiliência digital sob controlo da UE) para SEAL-1 (soberania legal formal) através da aquisição do fornecedor de infraestrutura por uma parte não pertencente à UE. Este é um grande impacto.

##Mudança climática

A proposta aquisição da Solvinity ocorre numa realidade que mudou fundamentalmente ao longo do último ano, desde que a nova administração dos EUA tomou posse. Embora as propostas de TI fossem frequentemente avaliadas pelo departamento de TI com base na qualidade técnica e no preço, é cada vez mais necessária uma avaliação (política) administrativa no que diz respeito ao efeito do produto na autonomia estratégica da organização. Quatro desenvolvimentos recentes ilustram que a auto-evidência com que confiamos nos prestadores de serviços americanos está sob pressão.

1. O precedente do ‘controle do obturador’ (Maxar). O caso em torno da empresa de satélites Maxar deixa claro que os contratos comerciais de fornecimento estão subordinados a interesses geopolíticos. Apesar dos acordos de direito privado, o governo americano parecia ser capaz de limitar ou direcionar o fornecimento de dados aos aliados através do Shutter Control. Como aconteceu após uma conversa conflituosa entre o governo americano e o presidente da Ucrânia sobre o fornecimento de imagens de satélite. Isto abre um precedente para outros sectores: a propriedade da infra-estrutura determina, em última análise, quem opera o “switch” e não o cliente pagante.

2. Erosão da rede de segurança jurídica (Privacy Shield). A base jurídica para o intercâmbio de dados é instável. A confiança nos acordos transatlânticos foi prejudicada pela incerteza em torno dos sucessores do Escudo de Privacidade. O clima político nos EUA, onde os órgãos de supervisão (como a função do provedor de privacidade) podem ser marginalizados por ordens executivas como as da administração Trump, demonstra a vulnerabilidade. Na prática, as garantias para a protecção de dados de não-americanos parecem depender das questões políticas do momento em Washington. Existe actualmente uma batalha jurídica na Europa sobre a validade desta rede de segurança.

3. Escalada em torno das regulamentações europeias (Caso X). As relações entre as empresas tecnológicas americanas e o legislador europeu endureceram. Após a introdução da Lei dos Serviços Digitais (DSA) e das multas e advertências associadas contra a plataforma, existem ameaças abertas de retirar serviços ou ignorar as sanções europeias, apoiadas pela pressão política dos EUA. Isto ilustra um novo risco: os proprietários americanos de infra-estruturas críticas poderiam usar a sua posição como alavanca em conflitos comerciais mais amplos entre os EUA e a UE. Os dados do governo holandês podem, portanto, tornar-se involuntariamente parte de um jogo de poder político.

4. O caso envolvendo o Tribunal Penal Internacional revelou como as tensões geopolíticas se traduzem em dependências digitais. Quando os Estados Unidos impuseram sanções aos funcionários do TPI, isso não só teve um impacto na diplomacia e nas finanças, mas também afectou os serviços digitais operacionais, como o correio electrónico e outras instalações informáticas essenciais. Os fornecedores com ligações jurídicas americanas pareciam, portanto, sensíveis à tomada de decisões políticas fora da Europa, independentemente dos acordos contratuais ou da localização dos dados. Os serviços digitais fazem parte do exercício do poder geopolítico e a dependência de jurisdições não europeias pode levar a perturbações reais na continuidade e autonomia até mesmo das instituições constitucionais internacionais.

Nestes exemplos, devemos lembrar que o direito internacional está actualmente sob pressão devido a uma transição para uma nova ordem mundial pluralista; um mundo em que as antigas estruturas de poder estão a desmoronar-se e as grandes potências (EUA, China, Rússia) governam com base na Realpolitik em vez de regras e tratados.

Problema de segurança da informação

O tema toca o cerne da segurança da informação e deve ser visto a partir dos clássicos objetivos de segurança de disponibilidade, integridade e confidencialidade (BIV). Estes três princípios formaram a base da segurança da informação desde a década de 1970, inicialmente em contextos militares e governamentais e mais tarde em sistemas de informação civis e comerciais. Nas décadas que se seguiram, foram explicitamente estabelecidas em normas internacionais, estruturas de auditoria e políticas governamentais, e desde então tornaram-se líderes na avaliação de riscos relacionados com a automação, a subcontratação e as dependências da cadeia. A aplicação do BIV a instalações governamentais digitais, como o DigiD e outros serviços Logius, não é, portanto, uma abordagem nova, mas a continuação de um princípio de segurança que foi comprovado durante décadas num contexto de crescente digitalização e complexidade.

Os riscos deste tema manifestam-se sempre ao longo destes três objetivos de segurança. A disponibilidade está em risco quando a continuidade da infraestrutura subjacente já não pode ser totalmente aplicada pelo governo, por exemplo, em caso de perturbações, dependência de fornecedores ou tomada de decisões estratégicas fora da esfera de influência pública. A integridade diz respeito à medida em que o governo pode garantir comprovadamente que os sistemas, configurações e dados não são alterados indesejavelmente e que a supervisão, a auditoria e a gestão de alterações permanecem eficazes num domínio técnico subcontratado. A confidencialidade diz respeito ao risco de os dados pessoais e os dados de autenticação serem expostos, indirectamente ou de outra forma, a acesso não autorizado ou a reclamações legais fora do quadro jurídico holandês e europeu. Esses riscos não são construções teóricas, mas questões clássicas de segurança da informação que surgem novamente e são amplificadas em uma infraestrutura digital moderna e terceirizada.

Os riscos

Os desenvolvimentos obrigam a uma recalibração da análise de risco em torno do Solvinity e do Logius. A questão já não é apenas se os serviços são adequados, mas se o Estado holandês mantém controlo suficiente num cenário em que a legislação americana ou a pressão política entram em conflito com os interesses e regulamentos holandeses.

Riscos estratégicos de soberania (alto)

B= Disponibilidade, I=Integridade e V=confidencialidade

Riscos de autonomia a médio prazo

B= Disponibilidade, I=Integridade e V=confidencialidade

Riscos práticos de implementação (subjacentes)

B= Disponibilidade, I=Integridade e V=confidencialidade

As opções de política

Para riscos estratégicos relacionados ao DigiD, Message Box e outros serviços Logius, existem quatro opções clássicas de ação na gestão de políticas e riscos. Para o governo, estas opções diferem muito em termos de realidade e significado político.

A discussão não é sobre se existem riscos, mas sobre quais os riscos que o governo está preparado para suportar numa base estrutural e quais os riscos que pretende evitar ou gerir activamente. Esta é uma escolha política e não técnica.

1. Evitar – remover estruturalmente o risco

Núcleo: encerrando a própria dependência.

Esta é a opção de maior alcance e afecta escolhas fundamentais sobre a concepção do governo digital.

Etapas possíveis:

• Proibir aquisição.
• Transição acelerada para o sucessor do DigiD (eIDAS). Por exemplo, já foi feita uma implementação pela empresa belga ‘itsme’, que também pode trabalhar nos Países Baixos.
• Adaptação da infra-estrutura para um ambiente totalmente público ou controlado pelo Estado. Isso torna possível um passo para o nível 4 do SEAL.
• Separação de instalações centrais vitais da infraestrutura comercial
• Estipular legalmente que determinados recursos digitais só podem ficar sob controle nacional
• Construir uma instalação de infraestrutura em todo o governo para serviços vitais

Significado político:

• Soberania máxima (digital)
• Altos custos e longos prazos de entrega
• Força escolhas explícitas sobre o que constitui “infraestrutura crítica”.

2. Reduzir (mitigar) – tornar o risco gerenciável

Essencial: aceite a dependência, mas limite-a claramente.

Etapas possíveis:

• Reforço dos requisitos contratuais em matéria de saída, contingência e recuperabilidade
• Obrigação de separação técnica e organizacional (ring fencing) para serviços vitais
• Reforçar os poderes de auditoria e vigilância do governo
• Construir instalações paralelas ou cenários alternativos
• Definir requisitos para garantia de conhecimento dentro do governo
• Elaborar uma política integral de sourcing digital para o que pode ou não ser externalizado e em que condições. Os serviços podem ser ligados à política europeia que já foi desenvolvida.

Significado político:

• Menos drástico, mais rápido de implementar
• Não resolve completamente a dependência estrutural, mas reduz-a
• Requer atenção administrativa permanente

3. Transferência – transferência do risco para outra parte

Essencial: repassar o risco contratual ou legalmente.

Observação relevante para o governo: Esta não é uma opção séria para riscos de soberania e autonomia.

Por que não:

• O governo permanece política e socialmente responsável
• A continuidade de instalações como o DigiD e a Caixa de Mensagens não é “segurável”
• Os danos à reputação e à confiança não são transferíveis

Significado político:

• Importante excluir explicitamente
• Evita falsa segurança (“está no contrato”)

4. Aceite – assuma o risco conscientemente

Essencial: reconhecer que o risco existe e decidir aceitá-lo.

Isto requer responsabilidade política explícita.

Etapas possíveis:

• Registrar formalmente qual perda de soberania é considerada aceitável
• Torne transparente quais dependências existem
• Reavaliação periódica do risco (por exemplo, em caso de mudanças geopolíticas)
• Comunicação clara com os cidadãos e o parlamento

Significado político:

• Custos mais baixos no curto prazo
• Alto risco de falha em caso de incidentes
• Requer responsabilização explícita: este risco foi assumido conscientemente

As opções estão resumidas:

Questões pendentes

Abaixo está um conjunto coerente de questões centrais sobre as quais é necessária clareza para conduzir um debate substantivo e politicamente puro. Foram deliberadamente formuladas como questões abertas (não como posições), para que os deputados possam utilizá-las para perguntas, posicionamentos e moções. Estão agrupados de acordo com a soberania, governação, continuidade e responsabilidade política.

1. Soberania e autonomia (fundamental)

1. Que instalações governamentais digitais qualificamos como vitais, no sentido de que a dependência estrutural do controlo americano é considerada indesejável?
2. Que grau de perda de autonomia é aceitável com instalações básicas como DigiD e Message Box?
3. A concepção actual é o resultado de uma escolha política explícita ou o resultado de uma externalização gradual sem um ponto de decisão integral?
4. Onde está o limite inferior da soberania digital: quando é que uma dependência já não é aceitável, mesmo que o serviço funcione tecnicamente bem?

2. Propriedade, controle e responsabilidade

1. Como se relacionam a propriedade da infra-estrutura, o controlo sobre o fornecedor e a responsabilidade pelos serviços públicos em situações de crise?
2. O governo tem perseverança suficiente na prática para cumprir a sua responsabilidade pública em caso de conflitos de interesses?
3. A governação atual está desenhada para a estabilidade diária, ou também para cenários de stress estratégico (geopolítica, conflitos jurídicos, escaladas)?

3. Continuidade e recuperabilidade

1. Até que ponto o governo pode reparar ou desviar-se de forma independente e atempada quando o ambiente de infra-estruturas existente já não estiver disponível?
2. Que limitações estruturais existem à recuperação que não podem ser resolvidas rapidamente, contratual ou tecnicamente?
3. Estas limitações foram explicitamente tidas em conta em decisões anteriores relativas à terceirização de instalações essenciais?
4. Qual é o tempo máximo de indisponibilidade socialmente aceitável de instalações como o DigiD e a Message Box numa situação de crise?

4. Contexto jurídico e geopolítico

1. Que desenvolvimentos jurídicos e geopolíticos poderão limitar a liberdade de ação do governo holandês no futuro?
2. Como são tratadas as situações em que os quadros jurídicos entram em conflito com os objectivos políticos ou com os interesses públicos?
3. Foi feita uma análise de cenário para a evolução das circunstâncias geopolíticas e, em caso afirmativo, quão robustos são os resultados?

5. Opções políticas e reversibilidade

1. Quais das escolhas actuais são reversíveis e quais conduzem efectivamente a dependências de longo prazo ou permanentes?
2. Que opções políticas ainda são realistas num período de 5 a 10 anos?
3. Que riscos podem ser controlados com mitigação e quais persistirão estruturalmente, independentemente de medidas adicionais?
4. Onde está o ponto em que a aceitação do risco deve ser uma decisão política explícita e não uma consequência implícita?

6. Responsabilidade democrática e transparência

1. Até que ponto a Câmara está ativamente envolvida nas decisões que influenciam estruturalmente a autonomia digital?
2. Como é explicado aos cidadãos quem, em última análise, tem controlo sobre as principais instalações governamentais digitais?
3. Está suficientemente claro quais riscos são assumidos conscientemente e quem é politicamente responsável por eles?

Colofão

Este artigo da Fundação LibreKAT foi criado com a ajuda e apoio de várias pessoas e organizações: AdversIQ BV, Anovum BV, Jeroen Baten, BIT BV, Van Buuren IT Security BV, Chateau IT, Cloudaware Cybersecurity, Coderial BV, Cynalytics BV, DSEC Consulting BV, Stichting DIVD, Jesse Six Dijkstra, Sebastiaan van ’t Erve, Freedom Internet, Innerheight Internet Services B.V., Mathison B.V., Stichting IP Zorg, Good Cloud B.V., Chris van ’t Hof, Koopman Digital Forensics & Consulting (KDFC), Pieter Muller, Guido de Nobel, Oosenbrug Advies, Vereniging Open Domein, OpenNovations B.V., Stichting Petities.nl, Sr. BV, Hans de Raad, Vigilis Consultancy, Weissheid e De Winter Information Solutions.

Sobre a Fundação LibreKAT

A Fundação LibreKAT está comprometida com uma sociedade digital mais segura. A fundação se concentra na segurança da informação aberta, controlável e verificável. Fazemos isso por meio do compartilhamento de conhecimento, da construção de comunidades e do suporte a soluções de código aberto em segurança cibernética. Por exemplo, oferecemos OpenKAT para identificação de vulnerabilidades, a Metodologia para Pesquisa de Segurança da Informação com Valor de Auditoria (MIAUW), listas de verificação para segurança da informação e organizamos o Conselho de Pesquisa Cibernética para investigar problemas complexos e explicá-los claramente.

Nosso objetivo inclui:

• Estimular o desenvolvimento e a utilização de software e hardware de código aberto para infraestruturas digitais seguras.
• Promover transparência e reprodutibilidade nos processos de segurança.
• Organizar e apoiar investigação, formação e atividades sobre resiliência digital.
• Conectar cidadãos, empresas, governo e organizações sociais para aumentar a resiliência digital coletiva.

A diretoria da Fundação é composta por:

• Brenno de Winter, presidente -Jan Klopper, secretário
• Astrid Oosenbrug, tesoureira