AI die hackt? Dat woord bestaat niet.

Geen week gaat voorbij zonder een verhaal over een AI-systeem dat “hackt”. Spannend nieuws, bijna filmisch. Jammer alleen dat het niet klopt. Hacken is geen technische term maar een juridische: computervredebreuk, artikel 138ab. Iets waarvoor je gedagvaard kunt worden, veroordeeld, misschien zelfs beroemd in de verkeerde kringen. Een AI-systeem heeft geen opzet, geen strafblad, geen advocaat die “maar edelachtbare, mijn cliënt is een taalmodel” mag bepleiten. Dus “AI hackt” is grammaticaal net zo correct als “de wasmachine is jaloers”. Wat er wél gebeurt: het systeem lost een probleem op. En daar is het, tot onze stille frustratie, vaak beter in dan de stagiair die de firewall moest instellen.

Regie verloren, les geleerd

Op 25 mei 2026 verbood staatssecretaris Willemijn Aerdts van Economische Zaken de overname van Solvinity door het Amerikaanse Kyndryl. Zij volgde daarmee het advies van het Bureau Toetsing Investeringen (BTI), dat op grond van de Wet ongewenste zeggenschap telecommunicatie een risico voor het publieke belang vaststelde.

Het is een ingrijpend besluit, want de overheid grijpt hiermee rechtstreeks in de markt in. Nu het stof is neergedaald, is het goed om met een nuchtere blik terug te kijken. Niet om met de vinger te wijzen, maar om de juiste lessen te trekken.

Het fundament ligt er al dertig jaar

Nederland is door de Europese Commissie voor de rechter gesleept. De reden: het kabinet heeft de richtlijn voor de bescherming van vitale sectoren als energie, vervoer, zorg en digitale infrastructuur nog altijd niet omgezet in nationale wetgeving. Het ministerie van Justitie en Veiligheid antwoordt dat er ’eerst een goed fundament nodig is’. Dat antwoord verdient een nadere blik.

Het normenkader voor informatieveiligheid waarop dit leunt, ISO 27001, bestaat in de vorm van zijn voorgangers sinds de jaren negentig. De Europese richtlijn ligt al jaren op tafel. Wetgeving begint bovendien in Brussel en Nederland is lid en mag gewoon meedoen, niet pas zodra de tekst definitief is. Een fundament had er allang kunnen en ook moeten liggen. Hoeveel tijd wil het kabinet nog?

OpenKAT 1.22 (Deanna): Sneller werken, rustiger systemen

We zijn trots op de release van OpenKAT 1.22 “Deanna”. Deze versie is vernoemd naar Deana, de moeder van onze mascotte Keiko. Zij is onlangs overleden. Met deze naam eren we haar en tegelijk staat deze release symbool voor een stevige, betrouwbare basis. Deze release draait om één ding: performance. OpenKAT is op veel plekken flink geoptimaliseerd. Dat merk je direct:

• Alles voelt sneller
• Systemen worden minder belast
• Analyses verlopen efficiënter en soepeler Met andere woorden: OpenKAT doet hetzelfde werk, maar slimmer en lichter.

Werkt gewoon fijner Naast de technische verbeteringen is ook gekeken naar het dagelijks gebruik:

OpenKAT 1.21 (lapjeskat): Een nieuwe basis onder Stichting LibreKAT

Met trots kondigen wij release 1.21 van OpenKAT aan. Deze versie markeert een bijzonder moment: het is de eerste release na de overgang van OpenKAT naar Stichting LibreKAT. Release 1.21 staat in het teken van stabiliteit, continuïteit en toekomstbestendigheid. In deze versie zijn de onderliggende softwarecomponenten geactualiseerd naar de meest recente stabiele versies. Daarnaast is gewerkt aan een nieuwe technische basis die verdere ontwikkeling structureel ondersteunt. Daarmee is een stevig fundament gelegd om OpenKAT duurzaam door te ontwikkelen binnen de nieuwe governance-structuur.

Soevereiniteit vraagt geheugen

In het debat in de Tweede Kamer over de overname van Solvinity door Kyndryl en de gevolgen voor DigiD vielen zinnen van het kabinet op. Ze klinken op het eerste gezicht redelijk. ‘We willen de markt niet verstoren.’, ‘Er is nog geen volwaardig alternatief.’, ‘We kunnen geen Europese Google bouwen.’ of ‘De overheid mag bedrijven niet uitsluiten.’Het klinkt voorzichtig, juridisch zuiver en bestuurlijk beheerst. Maar historisch klopt het niet.

De dominante positie van Amerikaanse technologiebedrijven is namelijk niet het resultaat van spontane marktwerking alleen. Silicon Valley is gevormd in een periode waarin de Amerikaanse overheid technologie expliciet als strategisch instrument inzette. Na de Tweede Wereldoorlog werd technologische superioriteit gezien als voorwaarde voor nationale veiligheid. Het Department of Defense groeide uit tot de grootste technologie-inkoper ter wereld. Universiteiten kregen federale onderzoeksbudgetten. Startups ontvingen opdrachten. Risico’s werden door de staat gedragen. De overheid trad bewust op als eerste klant.Zij wachtte niet tot er een volwassen alternatief was. Zij creëerde het.

Podcast: Ik zal je leren: toxische werkomgevingen

Ik zal je leren! Is uw organisatie ziek?

In deze aflevering van Ik zal je leren schuift Brenno de Winter aan in het seizoensthema “wegkomen bij Big Tech”. Maar al snel gaat het gesprek verder dan tech alleen: Brenno legt uit waarom informatiebeveiliging nooit puur een technisch ding is, maar altijd het samenspel is van Regulering, Organisatie en Techniek (ROT). En precies daar wringt het vaak in organisaties: onduidelijke structuren, rollen en bevoegdheden maken securitywerk onuitvoerbaar, waarna de CISO alsnog de schuld krijgt, terwijl volgens wet- en regelgeving juist bestuurders eindverantwoordelijk zijn.

Podcast: CTRL-ALT-DEBATE over Soevereiniteit en DigiD

Ctrl Alt Debate: “DigiD in Nederlandse handen? Het kan gewoon, het is een politieke keuze

Wat als digitale veiligheid vooral een goed verteld verhaal is? En wat als het echte probleem niet ligt bij techniek, maar bij het níét maken van keuzes?

In deze aflevering schuift Brenno de Winter aan bij Harm Teunis en Astrid Oosenbrug. Brenno staat bekend om zijn scherpe blik op digitale veiligheid en zijn vaste uitgangspunt: wat is aantoonbaar waar en wat stelt ons vooral gerust?

Positionpaper rondetafelgesprek Tweede Kamer 27 januari 2026

De overname van Solvinity voor dienstverlening van Logius (position)

Dit document beschrijft de overname van Solvinity door Kyndryl en de betekenis voor dienstverlening van Logius. De focus is gericht op DigiD, maar ook wordt stilgestaan bij de berichtenbox, omdat hier veel communicatie tussen burger en overheid in wordt gefaciliteerd. U kunt dit document hier als pdf-bestand ophalen.

Managementsamenvatting

Deze position paper beschrijft hoe de voorgenomen overname van Solvinity door Kyndryl de strategische positie van vitale Nederlandse digitale overheidsvoorzieningen wezenlijk verandert, ondanks het feit dat de operationele dienstverlening op korte termijn intact blijft. Sinds 2020 levert Solvinity het infrastructuur- en hardwareplatform onder regie van Logius voor kernvoorzieningen zoals DigiD, MijnOverheid (inclusief de Berichtenbox) en Digipoort. De verantwoordelijkheid voor beleid, architectuur en dienstverlening ligt volledig bij de overheid, maar de technische continuïteit is afhankelijk van een private infrastructuurleverancier.

Fundamenten van informatiebeveiliging

Eindelijk is het zover. Mijn nieuwe boek is beschikbaar: Fundamenten van informatiebeveiliging.

Digitale veiligheid faalt zelden door een gebrek aan maatregelen, maar vaak door onduidelijke verantwoordelijkheden, een zwakke organisatiecultuur of het vergeten van de menselijke maat.

In Fundamenten van informatiebeveiliging breng ik die werelden samen: de harde kant van techniek en wetgeving, én de zachte kant van organisatie, leiderschap en gedrag.

Het boek laat zien hoe informatiebeveiliging echt kan slagen wanneer regulering, organisatie en techniek met elkaar in balans worden gebracht. Met praktische voorbeelden, lessen uit andere (meer volwassen) sectoren (zoals de luchtvaart) en direct toepasbare handvatten voor bestuurders, CISO’s en professionals.