Preview document (🔗 origineel)

---

Geachte voorzitter,

Met deze brief informeer ik uw Kamer over de stand van zaken rondom de implementatie van het nieuwe systeem voor de omzetbelasting door het Amerikaanse bedrijf Fast Enterprises. In de afgelopen weken is er in uw Kamer en in de maatschappij veel aandacht ontstaan voor dit onderwerp. Naar aanleiding van het Wetgevingsoverleg Digitale Zaken van 2 maart jl. heeft mijn ambtsgenoot de staatssecretaris van Digitale Economie en Soevereiniteit contact met mij opgenomen. Daarnaast hebben de leden Kathmann (GroenLinks/PvdA) en Struijs (50Plus) hierover Kamervragen gesteld. De beantwoording hiervan ontvangt u zo spoedig mogelijk.

Middels deze brief zal ik u nader informeren over de stand van zaken met betrekking tot de aanbesteding voor het nieuwe systeem voor de omzetbelasting. Ik zal daarbij ingaan op de maatregelen die de Belastingdienst neemt en gaat nemen om de risico’s rondom de continuïteit en vertrouwelijkheid zoveel mogelijk te mitigeren. Daarnaast zal ik u meenemen in de achtergrond van het besluit tot de aanbesteding en de noodzaak van de modernisering van de systemen voor de omzetbelasting.

Laat ik daarbij vooropstellen dat ik begrijp dat de aanbesteding van het systeem aan Fast Enterprises vragen oproept bij uw Kamer. Door de wereldwijde (geo)politieke ontwikkelingen is de discussie omtrent het versterken van de digitale autonomie en het beperken van afhankelijkheden van niet-Europese technologie versterkt. Bij de start van deze aanbesteding speelde dit een beperktere rol.

Geopolitieke context en digitale autonomie

Voordat ik inga op de aanbesteding wil ik eerst stilstaan bij de bredere (geo)politieke context waarin dit traject moet worden bezien.

Continuïteitsrisico’s als gevolg van geopolitieke ontwikkelingen dienen daarbij in perspectief te worden gezien. De Belastingdienst is ook in de huidige situatie afhankelijk van Amerikaanse technologie in de infrastructuur. Veel infrastructurele componenten zoals virtualisatiesoftware en de besturingssystemen van de servers zijn ook Amerikaanse producten. Voor onderhoud, licentiechecks of updates wordt vaak gecontroleerd een (netwerk)connectie gemaakt met de leverancier. Hoewel het uitmaakt of de Belastingdienst of Fast Enterprises de infrastructuur beheert zullen de continuïteitsrisico’s ten aanzien van de Amerikaanse leveranciers niet weggenomen zijn. Het huidige systeem betreft bijvoorbeeld een IBM-mainframe (Amerikaanse leverancier) waarbij voor onderhoud ook een gecontroleerde (netwerk)connectie wordt gemaakt met de leverancier (hetzelfde geldt voor de virtualisatiesoftware). Wel geldt dat het zelfstandig beheren van de infrastructuur meer regie en controle biedt in relatie tot de toegang tot gegevens.

Ik onderschrijf dat het wenselijk is om de digitale autonomie van Nederland verder te versterken. In het regeerakkoord is de ambitie opgenomen dat er gewerkt moet worden aan inzicht in en afbouw van strategische technologie-afhankelijkheden. Deze ambitie is tegelijkertijd niet van de ene op de andere dag te realiseren. Het versterken van de digitale autonomie van de overheid is een belangrijke en stevige opgave die vraagt om een rijksbrede aanpak en die het gehele kabinet aangaat. Ik wil daar, vanuit mijn verantwoordelijkheid voor de Belastingdienst, graag een actieve bijdrage aan leveren met als doel om Nederland digitaal autonomer te maken. De realiteit is echter dat de modernisering van dit systeem niet kan wachten.

Aanbestedingstraject
Onder mijn ambtsvoorgangers is ingezet op het planmatig moderniseren en vernieuwen van het IT-landschap van de Belastingdienst. In dat kader is de Belastingdienst in 2020 gestart met het programma om het verouderde omzetbelastingsysteem te moderniseren. Om de mogelijkheden in kaart te brengen heeft de Belastingdienst in 2021 een marktconsultatie gedaan. Daaruit bleek dat er oplossingen in de markt beschikbaar zijn.

In 2022 is na extern advies besloten om een aanbesteding te starten en een pakketoplossing uit de markt aan te schaffen in plaats van zelf een nieuw systeem te bouwen. Uit dit advies bleek dat een oplossing uit de markt sneller en tegen lagere kosten zou kunnen worden gerealiseerd dan wanneer de Belastingdienst zelf een systeem zou bouwen.¹ De Belastingdienst heeft later een tweede, onafhankelijk advies gevraagd. Ook hierin werd geconcludeerd dat een pakketoplossing uit de markt sneller kon worden geïmplementeerd dan een zelfbouwtraject. Uw Kamer is over de keuze voor een pakketoplossing reeds in februari 2023 geïnformeerd.²

In 2023 is de Belastingdienst een aanbestedingsprocedure gestart. Na het doorlopen van een zorgvuldige Europese aanbestedingsprocedure is de opdracht gegund aan het Amerikaanse bedrijf Fast Enterprises. Dit bedrijf scoorde het beste op de van te voren aangegeven criteria uit de aanbestedingsstukken, zoals gegevensbeheer, informatiebeveiliging gebruiksvriendelijkheid en datamigratie. In maart 2025 heeft mijn ambtsvoorganger u tijdens het commissiedebat Belastingdienst geïnformeerd over de gunning aan Fast Enterprises.

Er is bewust gezocht naar bewezen technologie en gekeken naar de ervaringen van andere Europese landen. Zo heeft de Finse belastingdienst dezelfde pakketoplossing reeds geïmplementeerd voor alle belastingmiddelen en processen. Wel draait de Finse belastingdienst dit systeem op dit moment, met uitzondering van het applicatiebeheer, in eigen beheer. Op korte termijn zal de Finse belastingdienst, in het kader van het versterken van de weerbaarheid, de overstap maken naar een externe cloudomgeving van een Amerikaanse partij. Inmiddels heeft de Deense Belastingdienst ook een contract met deze leverancier afgesloten.

Huidige situatie en maatregelen

Stand van zaken implementatie

De implementatie betreft een integrale oplossing waarbij Fast het beheer gaat voeren op het totale systeem (software en infrastructuur). De infrastructuur staat in Apeldoorn, maar wordt beheerd door Fast (door middel van een housing-oplossing geleverd door de Belastingdienst). Er is hier geen sprake van opslag of verwerking van de gegevens van belastingplichtigen in een cloudomgeving.

Gezien Fast de infrastructuur beheert bestaan er risico’s rondom de toegang tot data (exclusiviteit) en continuïteit van het systeem. Als onderdeel van het programma worden deze risico’s geanalyseerd en worden voorgenomen beheersmaatregelen uitgewerkt (in samenspraak met de leverancier). De Belastingdienst werkt nog aan de realisatie van de oplossing. Dat wil zeggen dat er nog wordt gewerkt aan de configuratie en het gereedmaken van het pakket, maar dat het nog niet in productie is genomen.

Om het nieuwe systeem zo veilig mogelijk in te richten worden er maatregelen genomen. Als onderdeel van het programma voert de Belastingdienst een risicoanalyse conform de IRAM (Information Risk Assessment Methodology) uit. Dit is een veelgebruikte methodiek die helpt bij het identificeren, analyseren en behandelen van risico’s op het gebied van informatiebeveiliging. Op basis hiervan worden maatregelen uitgewerkt en geïmplementeerd, en vervolgens op hun effectiviteit getoetst.

Gelijktijdig en als onderdeel van de risicoanalyse laat ik parallel onderzoeken op welke termijn en onder welke voorwaarden de Belastingdienst het beheer en onderhoud van de infrastructuur in Apeldoorn kan overnemen van Fast Enterprises (van housing naar hosting). Dit kan als een alternatieve route dienen in het geval uit de risicoanalyse blijkt dat de restrisico’s, na het treffen van de beheersmaatregelen, niet tot een aanvaardbaar niveau kunnen worden teruggebracht. Het zorgvuldig uitwerken van deze alternatieve route vergt tijd. Ik zal uw Kamer hierover informeren voor het zomerreces.

Mitigerende maatregelen

Ik zal hieronder ingaan op de maatregelen die de Belastingdienst heeft getroffen en gaat treffen om deze risico’s zoveel mogelijk te beperken. De leverancier gaat werken op locatie in Apeldoorn onder toezicht van medewerkers van de Belastingdienst (vier-ogenprincipe) die worden opgeleid om het systeem te beheren. Er wordt door de leverancier, eenmaal in productie, geen beheer op afstand gevoerd. De Belastingdienst is in overleg met de leverancier om te bewerkstellingen dat er wordt gewerkt met medewerkers die niet onder Amerikaanse jurisdictie vallen. Ook onderzoekt de Belastingdienst samen met de leverancier de mogelijkheid dat zij een onafhankelijke Europese entiteit oprichten met de intentie om het contract met de Belastingdienst daarheen te verhuizen. De Belastingdienst werkt met Fast aan de invulling van bovenstaande mitigerende maatregelen.

Daarnaast werkt de Belastingdienst met de leverancier aan het uitbreiden van de escrow-regeling die is opgenomen in de overeenkomst met Fast Enterprises zodat deze een ruimere toepassing krijgt. Dit is een regeling die dient als waarborg op de continuïteit van de dienstverlening. Er wordt een kopie van de broncode en documentatie in bewaring gegeven bij een Nederlandse onafhankelijke derde partij. In geval van het niet nakomen van dienstverleningsafspraken wordt deze broncode en documentatie vrijgegeven. De Belastingdienst gaat een proces inrichten om te zorgen dat de Belastingdienstmedewerkers de in dat geval benodigde expertise hebben om zelf het volledige beheer uit te voeren. Daarnaast gaat de Belastingdienst de broncode door een onafhankelijke partij onderzoeken op mogelijke kwetsbaarheden, zoals achterdeuren (backdoors).

De Belastingdienst heeft de infrastructuur ingericht als een “onvertrouwde” omgeving binnen de infrastructuur van de Belastingdienst. De omgeving is gezoneerd en koppelingen of verbindingen met andere systemen worden gecontroleerd. De effectiviteit van de beheersmaatregelen en de betrouwbaarheid van de omgeving worden onderworpen aan audits en penetratietesten alvorens de afweging wordt gemaakt of systemen in productie gaan (of data wordt ingeladen in de omgeving).

Aangezien Fast Enterprises een Amerikaanse leverancier is die onder Amerikaanse jurisdictie valt komen de gegevens van belastingplichtigen daarmee in potentie binnen de reikwijdte van extraterritoriale wetgeving zoals de CLOUD Act en de FISA Amendments Act. De CLOUD Act stelt Amerikaanse opsporingsdiensten in staat om via een gerechtelijk bevel toegang te krijgen tot gegevens bij dienstverleners die onder Amerikaanse jurisdictie vallen, ongeacht waar die gegevens zijn opgeslagen. De FISA-wetgeving stelt Amerikaanse opsporingsdiensten instaat om in het kader van nationale veiligheid deze gegevens te verzamelen zonder individueel gerechtelijk bevel.

Met de eerdergenoemde maatregelen kunnen deze risico’s worden beperkt, met als doel om deze terug te brengen tot een aanvaardbaar restrisico. Daarbij merk ik op dat het gebruikmaken van een externe leverancier betekent dat risico’s nooit volledig kunnen worden weggenomen. De Belastingdienst blijft de risico’s doorlopend monitoren en zal in de komende tijd additionele maatregelen blijven verkennen. Zoals ik eerder in de brief aangaf laat ik parallel onderzoeken onder welke voorwaarden de Belastingdienst het beheer en onderhoud in eigen hand kan nemen.

Noodzaak modernisering systemen voor de omzetbelasting

Jaarlijks wordt er circa 80 miljard euro aan omzetbelasting afgedragen aan de Belastingdienst. De verwerking van de aangiften die aan deze inning ten grondslag ligt vindt plaats met een systeem dat sterk is verouderd en dringend toe is aan modernisering. Over de noodzaak om het systeem van de omzetbelasting te moderniseren is uw Kamer door mijn ambtsvoorgangers in de afgelopen jaren veelvuldig geïnformeerd.³

Externe toezichthouders, waaronder de Algemene Rekenkamer (AR), vragen hier al jaren structureel aandacht voor. Zo constateert de AR reeds in het Verantwoordingsonderzoek 2018 dat het systeem voor de omzetbelasting sterk is verouderd en de benodigde kennis om het te onderhouden schaars is.⁴ In het verantwoordingsonderzoek 2019 schrijft de AR dat de continuïteit van de omzetbelasting nog steeds onder druk staat.⁵ In 2022 stelt de AR dat verdere vertraging van de modernisering van de omzetbelasting niet meer wenselijk is.⁶ Ook in 2023 herhaalt de AR deze zorgen.⁷

De noodzaak om het systeem voor de omzetbelasting te moderniseren is nog steeds onverminderd urgent. Niet moderniseren en het blijven voortzetten van het verouderde systeem brengt risico’s met zich mee. Het huidige systeem dat gebruikt wordt voor de omzetbelasting is ongeveer veertig jaar oud en is gebaseerd op verouderde technologie. Het onderhouden van dit systeem wordt complexer en kostbaarder naarmate het systeem verder veroudert. Op termijn nemen de risico’s dat storingen en uitval optreden, met directe gevolgen voor de continuïteit, toe. Bovendien geldt ook dat de specialistische kennis van deze verouderde technologie steeds schaarser wordt. Niet alleen binnen de Belastingdienst, maar ook op de arbeidsmarkt. Aangezien het huidige systeem

niet aangepast kan worden moet er veel handmatig werk plaatsvinden. Zo is er een aanzienlijk aantal medewerkers fulltime belast met het handmatig overtypen en invoeren van uitgevallen berichten en het herstellen van de gevolgen daarvan.

Naast de risico’s omtrent continuïteit is de beperkte wendbaarheid van het systeem ook een dringende reden om het te moderniseren. Het huidige systeem is beperkt aanpasbaar, grote en of structurele wijzingen in de omzetbelasting kunnen daarom niet worden doorgevoerd.

Dit raakt de uitvoerbaarheid van zowel nationaal als (verplicht) Europees beleid. Beleidswensen vanuit uw Kamer kunnen nu niet of nauwelijks worden geïmplementeerd. Europese regelgeving en richtlijnen vereisen dat aanpassingen in de systemen van de Belastingdienst tijdig plaatsvinden. Voor de implementatie van Europese regelgeving zoals ViDA (Vat in the Digital Age) is bijvoorbeeld al rekening gehouden met de implementatie in het nieuwe systeem. Het alsnog overgaan op zelfbouw brengt een doorlooptijd met zich mee die ruimschoots voorbij de vereiste implementatiedatum van deze wetgeving reikt. Als deze wetgeving niet tijdig wordt geïmplementeerd kan dit leiden tot ingebrekestellingen van de Europese Commissie en problemen voor het (Nederlandse) bedrijfsleven.

Planning en vervolgstappen

Vanuit uw Kamer is, tijdens het Wetgevingsoverleg van de Commissie Digitale Zaken van 2 maart jl., verzocht om geen onomkeerbare stappen te nemen tot aan het commissiedebat Belastingdienst van 19 maart aanstaande. Op dit moment wordt er nog geen gebruik gemaakt van het nieuwe systeem. Het huidige systeem functioneert ongewijzigd. Wel wordt er doorgewerkt aan de voorbereiding van de ingebruikname om te voorkomen dat er verdere vertraging optreedt. Daarbij merk ik op dat de gunning in maart 2025 definitief is geworden en het contact met Fast Enterprises is getekend. De Belastingdienst is als contractpartij gehouden aan de verplichtingen die hieruit voortvloeien. Het opzeggen of niet nakomen van het contract zal juridische en financiële consequenties met zich meebrengen.

De Belastingdienst heeft gekozen voor een stapsgewijze implementatie. De planning hiervoor heeft mijn ambtsvoorganger op 13 november 2025 met uw Kamer gedeeld.⁸ Naar aanleiding van de IRAM worden de risico’s verder in kaart gebracht en worden waar er aanvullende beheersmaatregelen getroffen door de Belastingdienst. Vooralsnog ligt de Belastingdienst op planning voor de livegang van VAT-refund op 1 juli 2026.⁹

Informatieverzoek onderliggende stukken

De leden Kathmann (GroenLinks/PvdA) en Struijs (50PLUS) hebben daarnaast gevraagd naar alle relevante notities, adviezen, (risico)analyses en documenten, die betrokken zijn bij de keuze voor Fast Enterprises. De Belastingdienst heeft hier met prioriteit een zoekslag naar gedaan en bijgevoegd vindt u de stukken die daarbij zijn aangetroffen. Omdat ik het belangrijk vind uw Kamer voor het debat van 19 maart te informeren, is de zoekslag met prioriteit uitgevoerd. Daardoor kan ik uw Kamer documenten doen toekomen die bezien op de aanbesteding, advisering, informatievoorziening en besluitvorming vanuit verschillende fasen binnen de overstap naar een ander OB-systeem. Wanneer er nieuwe relevantie informatie naar boven komt, waarmee een nieuw licht wordt geschenen op de reeds gedeelde inlichtingen, wordt dit op korte termijn met u gedeeld.

Afsluiting

Ik hecht, net als uw Kamer, veel belang aan het versterken van de digitale autonomie van onze overheid. Dit is ook één van de uitgangspunten uit het regeerakkoord. Samen met het kabinet wil ik hier in de komende tijd naartoe werken.

Voor de systemen van de omzetbelasting geldt dat de modernisering niet langer kan wachten. Dit systeem is inmiddels rond de veertig jaar oud, de kennis wordt schaarser, de risico’s op storingen en uitval groter en de mogelijkheid om nieuw beleid uit te voeren is zeer beperkt.

De keuze voor een pakketoplossing is weloverwogen gemaakt. De Belastingdienst heeft de aanbestedingsprocedure zorgvuldig doorlopen en de gunning is in maart 2025 definitief verleend. Ik ben dan ook voornemens dit traject voort te zetten.

Naar aanleiding van de (geo)politieke en maatschappelijke ontwikkelingen bekijkt de Belastingdienst de risico’s en voorgenomen maatregelen nogmaals kritisch. Ook in de komende periode zal de Belastingdienst blijven bezien waar aanvullende maatregelen kunnen worden genomen om de risico’s die onderkend zijn bij de modernisering van de omzetbelasting, verder te beperken. Ik heb er vertrouwen in dat met deze getroffen en toekomstige aanvullende maatregelen de risico’s voor de continuïteit en vertrouwelijkheid voldoende worden beheerst.

Hoogachtend,

de staatssecretaris van Financiën, Eelco Eerenberg

---

1. Open overheid↩︎

2. Kamerstukken II 2022/23, 31066, nr. 1174↩︎

3. Voor het laatst in Kamerstukken II 2025/26, 31066, nr. 1518↩︎

4. Resultaten verantwoordingsonderzoek 2018 Ministerie van Financiën en Nationale Schuld | Algemene Rekenkamer↩︎

5. Resultaten verantwoordingsonderzoek 2019 Ministerie van Financiën en Nationale Schuld | Algemene Rekenkamer↩︎

6. Resultaten verantwoordingsonderzoek 2022 Ministerie van Financiën en Nationale Schuld | Algemene Rekenkamer↩︎

7. Resultaten verantwoordingsonderzoek 2023 Ministerie van Financiën en Nationale Schuld | Algemene Rekenkamer↩︎

8. Kamerstukken II 2025/26, 31066, nr. 1518↩︎

9. VAT-refund is de teruggaaf van Nederlandse btw aan buitenlandse ondernemers.↩︎