Preview document (🔗 origineel)

---

Tweede Kamer der Staten-Generaal	2
Vergaderjaar 2025-2026

31 066 Belastingdienst

26 643 Informatie- en communicatietechnologie (ICT)

Nr. 1543 BRIEF VAN DE STAATSSECRETARIS VAN FINANCIËN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 11 juni 2026

Eén van mijn ambities deze kabinetsperiode is om de Belastingdienst voorloper te maken op het gebied van digitale autonomie. De Belastingdienst staat er al goed voor, maar om deze ambitie waar te maken zijn keuzes en investeringen nodig. Bijvoorbeeld door te investeren in de uitbreiding van datacentercapaciteit, het omarmen van nieuwe technologieën, het verder inzetten op open source en door bij te sturen op lopende IT-projecten om risico’s naar aanleiding van de gewijzigde geopolitieke context beter te adresseren.

In deze brief ontvangt u mijn visie op digitale autonomie bij de Belastingdienst, zoals toegezegd tijdens het commissiedebat Belastingdienst van 19 maart jl. Ik ga in deze brief in op de goede uitgangspositie van de Belastingdienst, de acties die worden ingezet om deze positie te behouden en te versterken en wat dit betekent voor een aantal lopende IT-projecten; de modernisering van de omzetbelasting, modernisering contactcenter (MCC) en de uitrol van Microsoft 365 voor de kantoorautomatisering.

In de afgelopen decennia is de samenleving in hoog tempo digitaal verbonden geraakt, over landsgrenzen heen. De afhankelijkheden die daarbij zijn ontstaan werden lange tijd niet als risico gezien. Nu de geopolitieke verhoudingen zijn veranderd, kijken we anders naar deze afhankelijkheden. Als de Belastingdienst zijn uitgangspositie rondom autonomie wil behouden en versterken, dan vraagt dat om een wendbare en weerbare organisatie. Mijn doel is dat de Belastingdienst, ook in de toekomst, een organisatie is die zo onafhankelijk mogelijk keuzes kan maken over zijn digitale omgeving en minder afhankelijk wordt van een beperkt aantal, vaak niet-Europese, technologieleveranciers. Maar ook dat de Belastingdienst digitale keuzes tussentijds kan herzien en daarmee kan inspelen op ontwikkelingen in de wereld.

De goede uitgangspositie van de Belastingdienst

De Belastingdienst beschikt over eigen datacenters in Apeldoorn waar de applicaties ter ondersteuning van de primaire processen, het heffen en innen van belastingen en premies, draaien. Deze applicaties zijn voornamelijk maatwerkapplicaties die zijn ontwikkeld door de Belastingdienst zelf. De IV-organisatie van de Belastingdienst telt circa 3.600 FTE aan eigen personeel van wie een aanzienlijk aantal dagelijks werkt aan het beheer en de ontwikkeling van deze software. Zo wordt er binnen de verschillende ketens van de Belastingdienst gewerkt aan het uitfaseren van verouderde software door middel van zelfbouw van nieuwe applicaties. Daarmee beschikt de Belastingdienst over een goede uitgangspositie en veel kennis en expertise om verder te werken aan het versterken van de digitale autonomie. Dit is een positie die weinig vergelijkbare overheidsorganisaties hebben.

Dit neemt niet weg dat de Belastingdienst op meerdere lagen van de digitale infrastructuur, van hardware en virtualisatiesoftware tot besturingssystemen en de kantoorautomatisering, technologie gebruikt van niet-Europese herkomst. Want voor deze lagen, met name op het gebied van hardware, zijn er nog beperkt digitaal autonome alternatieven beschikbaar of betreft het technologie die de Belastingdienst niet zelf kan ontwikkelen. Het eerlijke verhaal is dat, ook met de aanpak die ik ga toelichten, de Belastingdienst nog steeds afhankelijk zal blijven van niet-Europese technologie, zeker in de infrastructuur. Zo draaien processen van de Belastingdienst bijvoorbeeld op een IBM-mainframe, waarbij voor onderhoud een gecontroleerde verbinding met de leverancier wordt gemaakt. Continuïteitsrisico’s zullen daarmee blijven bestaan, denk hierbij aan de afhankelijkheden van beveiligingsupdates en licentiechecks van zowel infrastructurele componenten als andere systemen. Dat wil niet zeggen dat deze systemen onmiddellijk stilvallen als een leverancier zijn dienstverlening staakt. Wat betreft de vertrouwelijkheid van data, leveranciers van deze systemen hebben in principe geen toegang tot de gegevens. Alleen in specifieke gevallen, voor onderhoudswerkzaamheden, wordt een gecontroleerde verbinding gemaakt. De Belastingdienst heeft dusdanig veel beheersmaatregelen getroffen dat risico’s tot oneigenlijke toegang tot gegevens zoveel mogelijk zijn gemitigeerd.

De mate van afhankelijkheid en de bijbehorende risico’s verschillen per laag van de digitale infrastructuur. Dit is overigens niet uniek voor de Belastingdienst, elke grote publieke of private organisatie heeft dit soort afhankelijkheden. Het is belangrijk om permanent inzicht te hebben in de bestaande afhankelijkheden, zodat gericht kan worden bepaald waar deze een onaanvaardbaar risico vormen en daar beheersmaatregelen kunnen worden getroffen.

Aanpak op hoofdlijnen

Mijn aanpak voor de Belastingdienst bestaat uit de volgende vier hoofdlijnen:

1. Behouden en waar nodig versterken eigen ontwikkelcapaciteit: Voor de primaire processen zal de Belastingdienst in toenemende mate voor eigen ontwikkeling en beheer kiezen. De Belastingdienst wil de bestaande ontwikkelcapaciteit gerichter en efficiënter inzetten door slimmer te werken met de aanwezige kennis en capaciteit. Daarbij wordt ingezet op het gebruik van AI bij het ontwerpen, testen en onderhouden van software, zodat er sneller ontwikkeld kan worden. Door meer zelf te doen krijgt de Belastingdienst meer grip op zijn kritieke systemen. Tegelijkertijd gaat zelfbouw ook gepaard met uitdagingen. Het is complexer en vraagt blijvende investeringen in eigen mensen en middelen. Daarbij geldt ook dat op dit moment de meer geavanceerde AI-modellen en -tooling van niet-Europese aanbieders afkomstig is.

2. Uitbreiden datacenterinfrastructuur: Meer zelf ontwikkelen en beheren en de behoefte om AI toe te passen vraagt om steeds meer datacentercapaciteit. De Belastingdienst hanteert hiervoor een tweesporenbeleid:

i. Het eerste spoor is uitbreiding in de eigen datacenters (ODC) in Apeldoorn. Dat is op dit moment niet mogelijk door netcongestie. De groeiende behoefte aan capaciteit, om bijvoorbeeld systemen van andere overheidspartijen onder te brengen of de inzet van AI, kan hierdoor niet worden ingevuld. De Belastingdienst werkt aan een onderbouwing om hogere prioritering te verkrijgen voor aansluiting op het stroomnet.

ii. Het tweede spoor is het gebruik van datacenters van andere (private) partijen en andere aanbieders van Europese soevereine cloudoplossingen. De Belastingdienst zet hier actief en parallel op in. Door ook gebruik te gaan maken van datacenters van andere (private) partijen is de Belastingdienst niet gebonden aan één fysieke locatie. Daarbij geldt dat deze partijen wel moeten voldoen aan de eisen omtrent autonomie, soevereiniteit en informatiebeveiliging van de Belastingdienst.

3. Herzien inkoop- en aanbestedingsbeleid: De Belastingdienst kan niet alles zelf ontwikkelen en blijft voor een deel van de systemen afhankelijk van de markt. In bepaalde gevallen is dat ook een bewuste keuze. Want voor systemen die niet tot de primaire processen behoren, of wanneer een marktoplossing aantoonbaar efficiënter te implementeren is, kan dit gerechtvaardigd zijn. Maar, ook dan geldt dat digitale autonomie en het beheersen van afhankelijkheden in een vroeg stadium worden meegewogen. De Belastingdienst herziet daarom zijn vraagbepaling, inkoop en contractering. Europese aanbestedingsregels laten het niet toe om aanbieders uit landen waarmee de EU een handelsverdrag heeft gesloten uit te sluiten. Dat betekent niet dat er niets mogelijk is. De (juridische) kennis voor de inkoop van meer autonome en Europese oplossingen wordt versterkt en het sourcingsbeleid wordt hierop aangepast. Daarbij zal de Belastingdienst ook het Cloud Sovereignty Framework van de Europese Commissie (EC) betrekken. Waar mogelijk wordt gekozen voor Europese leveranciers. Bij nieuwe systemen wordt nu al vooraf een exitstrategie opgesteld en waar mogelijk contractueel een opzeggingsrecht bedongen bij significante wijzigingen, zoals overnames.

4. Verder inzetten op open source: Bij de verwerving van nieuwe software wordt bij gelijke geschiktheid voor open source en open standaarden gekozen. Op dit moment maakt de Belastingdienst al op grote schaal gebruik van open source, zowel in de infrastructuur als in de softwareontwikkeling. Maar deze ambitie reikt verder. Open source wordt bij de ontwikkeling van nieuwe software de standaard, tenzij er zwaarwegende redenen zijn om daarvan af te wijken. De Belastingdienst gaat een actievere rol spelen in open source communities en onderzoeken of (samen met andere partners) ontbrekende functionaliteit kan worden ontwikkeld. Daarmee wordt de afhankelijkheid van leveranciers gereduceerd. De Belastingdienst beschikt over een Open Source Program Office(OSPO) dat begeleidt bij het gebruik van, bijdragen aan en publiceren van open source software. De rol van het OSPO wordt verder uitgebreid door de Belastingdienst.

De Belastingdienst moet en blijft hiervoor nadrukkelijk ook rijksbreed de samenwerking opzoeken en de opgedane kennis en ontwikkelingen delen met andere ministeries en uitvoeringsorganisaties. Voor de ambitie om de digitale autonomie van de Belastingdienst te versterken zijn geen extra middelen beschikbaar gesteld vanuit het regeerakkoord. Daarnaast voer ik de rijksbrede taakstelling uit het regeerakkoord uit, die de komende jaren impact heeft op de beschikbare capaciteit en middelen bij de Belastingdienst. Dit betekent dat de ambities op het vlak van digitale autonomie integraal ingepast moeten worden binnen het bestaande IV-portfolio en de kaders van de huidige begroting. Dit vereist dat er keuzes worden gemaakt en waar nodig, herprioritering plaatsvindt. Hierover zal ik uw Kamer steeds transparant blijven informeren.

Volledige digitale autonomie is geen realistisch streven. De Belastingdienst zal ook in de toekomst gebruik moeten blijven maken van laptops, telefoons, infrastructuur en software van niet-Europese leveranciers. Het streven is niet om alle afhankelijkheden te elimineren, maar om deze te beheersen en waar mogelijk gericht af te bouwen. Daarbij geldt als harde randvoorwaarde dat digitale autonomie niet ten koste mag gaan van informatiebeveiliging of leverbetrouwbaarheid. Europese en of open source alternatieven bieden op dit moment nog niet altijd hetzelfde volwassenheidsniveau. De continuïteit van de heffing, inning en dienstverlening aan burgers en ondernemers blijft te allen tijde vooropstaan.

Digitale autonomie in de praktijk

In de praktijk wordt de aanpak nu al toegepast. De Belastingdienst voert in lopende trajecten risicoanalyses uit, brengt hiermee risico’s zorgvuldig in kaart en beperkt deze vervolgens tot een acceptabel restrisico, ook als dat ingrijpende en stevige keuzes vergt in grote IT-projecten. Zoals uw Kamer weet, werkt de Belastingdienst aan een meerjarige moderniseringsopgave om achterstallig onderhoud in te halen en het IT-landschap toekomstbestendiger te maken. Die modernisering is essentieel voor de continuïteit van de heffing en inning en de kwaliteit van de dienstverlening aan burgers en ondernemers. De keuzes in deze moderniseringstrajecten zijn mede het resultaat van keuzes die jaren geleden, in een andere geopolitieke context, zijn gemaakt. Dat kan leiden tot uitkomsten die in de huidige context niet meer wenselijk zijn. Dat betekent dat er opnieuw naar de risico’s wordt gekeken en dat er waar nodig en mogelijk wordt bijgestuurd door de Belastingdienst.

Deze context is in het afgelopen jaar zichtbaar geworden in een aantal concrete dossiers waarover mijn ambtsvoorganger en ik uw Kamer hebben geïnformeerd. Ik neem u in deze brief mee in de aanvullende maatregelen in het traject rondom de modernisering van de omzetbelasting (OB). Daar vindt een aanpassing plaats in de scope en neemt de Belastingdienst het beheer en onderhoud van de infrastructuur over van de leverancier. En in het geval van de uitrol van M365 voor de kantoorautomatisering heeft de Belastingdienst beheersmaatregelen getroffen. Daarnaast laat ik de eerder gemaakte keuzes opnieuw tegen het licht houden. Dankzij recente ontwikkelingen op het gebied van datacentercapaciteit en het marktaanbod is er perspectief ontstaan. Scenario’s die in een eerder stadium onhaalbaar leken, zijn dat misschien nu wel. Dat gaat de Belastingdienst onderzoeken. Daarbij worden ook de bevindingen van het Adviescollege ICT-toetsing betrokken dat momenteel onderzoek verricht naar de uitrol van M365. De inzet blijft uiteindelijk onveranderd. Op een zo spoedig mogelijke termijn wil ik overstappen naar een meer autonoom alternatief wanneer dit beschikbaar komt en past bij een organisatie als de Belastingdienst.

Modernisering omzetbelasting

De Belastingdienst werkt aan de modernisering van het verouderde systeem voor de omzetbelasting. Na het doorlopen van een zorgvuldige Europese aanbestedingsprocedure is de opdracht hiervoor gegund aan Fast Enterprises. Op 17 maart jl. heb ik uw Kamer hierover geïnformeerd en aangegeven welke beheersmaatregelen er door de Belastingdienst zijn genomen om de risico’s voor de continuïteit van de dienstverlening en de vertrouwelijkheid van gegevens te beperken. Daarbij gaf ik aan dat de Belastingdienst als onderdeel van het programma een risicoanalyse conform de Information Risk Assessment Methodology (IRAM) uitvoerde en parallel verkende of de Belastingdienst het beheer en onderhoud van de infrastructuur kan overnemen van de leverancier, het zogenoemde hosting-scenario.

Overgang op hosting-scenario en gevolgen planning

De risicoanalyse is afgerond en wijst uit dat de risico’s rondom de vertrouwelijkheid van gegevens en de continuïteit van de dienstverlening in het housing-scenario, waarbij Fast Enterprises het beheer en onderhoud van de infrastructuur verzorgt, niet afdoende gemitigeerd kunnen worden in de huidige geopolitieke context. Daarom heeft de Belastingdienst besloten om voor ingebruikname van het nieuwe systeem over te gaan op het zogenoemde hosting-scenario. Met de overgang naar het hosting-scenario kunnen, in combinatie met de eerder aangekondigde beheersmaatregelen, de risico’s voor de continuïteit van de dienstverlening en de vertrouwelijkheid van gegevens afdoende worden gemitigeerd.

In het hosting-scenario doet de Belastingdienst het beheer en onderhoud van de infrastructuur in plaats van de leverancier. De servers staan in onze eigen datacenters en worden beheerd door medewerkers van de Belastingdienst zelf, niet door de leverancier. Ook het softwaredistributiemechanisme komt onder controle van de Belastingdienst. Daardoor heeft de Belastingdienst controle over de toegang tot de software en de bijbehorende data. Fast Enterprises blijft verantwoordelijk voor de software-oplossing, maar zal geen directe toegang hebben tot de productiegegevens. Dit maakt het voor de Belastingdienst op deze manier mogelijk om risico’s rondom de toegang tot data door de leverancier en de continuïteit van de dienstverlening tot een aanvaardbaar niveau te brengen.

Het overgaan op het hosting-scenario is een essentiële wijziging, vlak voor de implementatie van het onderdeel VAT-refund in een langlopend en belangrijk moderniseringstraject. Het is een keuze die recht doet aan het belang dat ik hecht om risico’s rondom de toegang tot data en de continuïteit van het systeem zoveel mogelijk te mitigeren. Ook past deze keuze bij de ambitie om meer regie te voeren over de kritische systemen van de Belastingdienst. Maar deze keuze betekent wel dat eerder gemaakte plannen moeten worden aangepast en dat extra werk moet plaatsvinden.

Dat heeft gevolgen voor de planning. Duidelijk is dat deze koerswijziging vertraging met zich meebrengt voor de oorspronkelijke planning om per 1 juli 2026 de regeling VAT-refund geïmplementeerd te hebben in het nieuwe systeem. Deze datum is niet langer haalbaar. Ondernemers die gebruik maken van deze regeling worden hierover gelijktijdig met het versturen van deze Kamerbrief geïnformeerd via de daarvoor bestemde kanalen. Voor ondernemers leidt de vertraging niet tot problemen of extra kosten. Ondernemers kunnen gewoon aangifte op de huidige wijze blijven doen totdat het nieuwe systeem geïmplementeerd is.

De uitwerking van het hosting-scenario is bepalend voor de duur van de vertraging en een nieuwe datum voor de livegang van VAT-refund. Aangezien de Belastingdienst parallel aan het uitvoeren van de risicoanalyse is begonnen met de verkenning naar het hosting-scenario zijn er vooralsnog geen gevolgen voor de implementatie van de binnenlandse omzetbelasting per juli 2027. De verwachting is dat de nadere uitwerking van het hosting-scenario in juli 2026 gereed is. Dan kan er een nieuwe planningsdatum voor de livegang van VAT-refund worden gegeven. Ik zal uw Kamer daarover informeren via de eerstvolgende stand-van-zakenbrief, die u ontvangt voorafgaand aan het commissiedebat Belastingdienst van september 2026.

Stand van zaken beheersmaatregelen en toezeggingen

In mijn eerdere brief en tijdens het commissiedebat Belastingdienst heb ik verschillende maatregelen genoemd die de Belastingdienst heeft getroffen en gaat treffen om de risico’s in de huidige geopolitieke context zo veel mogelijk te beperken. In bijlage 1 vindt u een tabel met de stand van zaken per toezegging. Een aantal van deze maatregelen neemt in relevantie af, omdat de voorziene overgang naar het hosting-scenario de onderliggende risico’s al adresseert. Hieronder zal ik stilstaan bij een aantal van deze maatregelen.

Uitbreiding escrow

De Belastingdienst heeft samen met de leverancier de escrow-regeling uitgebreid. Dit is een maatregel die dient als waarborg op de continuïteit van de dienstverlening. Dit betekent dat een kopie van de broncode en documentatie in bewaring wordt gegeven bij een onafhankelijke Nederlandse derde partij. In het geval dat de leverancier wegvalt, kan de Belastingdienst de software zelf blijven exploiteren. Daarnaast is geregeld dat vrijgave van de broncode plaatsvindt bij risico’s die optreden als een beroep wordt gedaan op extraterritoriale wetgeving van derde landen waarmee toegang tot gegevens of systemen van de Belastingdienst kan worden afgedwongen. Hiermee heeft de Belastingdienst een stevige technische en juridische waarborg ingebouwd, zowel voor de continuïteit van de dienstverlening als de vertrouwelijkheid van gegevens.

Vier-ogenprincipe

In de brief van maart dit jaar heb ik aangegeven dat de leverancier op locatie in Apeldoorn gaat werken onder toezicht van medewerkers van de Belastingdienst, het zogenoemde vier-ogenprincipe (Kamerstuk 31 066, nr. 1534). Aangezien de Belastingdienst het beheer en onderhoud van de infrastructuur gaat overnemen is dit vier-ogenprincipe als structurele maatregel niet langer van toepassing. De leverancier kan namelijk geen toegang verkrijgen tot de productiegegevens. De Belastingdienst investeert in de opleiding van eigen medewerkers zodat zij het beheer en onderhoud van de systemen zelfstandig kunnen uitvoeren. Enkel in uitzonderlijke gevallen, wanneer zich bijvoorbeeld een verstoring voordoet die analyse door de leverancier vereist, kan de Belastingdienst besluiten de leverancier tijdelijk en onder strikte controle toegang te verlenen. Dit gebeurt uitsluitend op verzoek van en onder begeleiding van de Belastingdienst.

Audit en backdoorcheck

Voorafgaand aan de implementatie van het nieuwe systeem zullen de risico’s, de mitigerende maatregelen en de aanvaardbaarheid van de restrisico’s worden onderworpen aan een audit. De Belastingdienst is bezig met de selectie van een externe partij die deze audit gaat uitvoeren. Dit wordt opgenomen in de planning van het hosting-scenario. Daarnaast heb ik ook toegezegd om de broncode te laten controleren op kwetsbaarheden zoals backdoors. De Belastingdienst heeft hiervoor een externe partij gecontracteerd die de broncode heeft gecontroleerd. Dit heeft geen bevindingen opgeleverd.

Europese entiteit

Ook is aangekondigd dat er samen met de leverancier wordt onderzocht of het mogelijk is dat de leverancier een onafhankelijke Europese entiteit opricht met de intentie om het contract met de Belastingdienst hierheen te verhuizen. Het overleg hierover met de leverancier is nog gaande en wordt meegenomen in de uitwerking van het hosting-scenario.

Met de overgang naar het hosting-scenario en de eerdergenoemde beheersmaatregelen ben ik ervan overtuigd dat de Belastingdienst op een verantwoorde wijze kan doorgaan met de implementatie van het nieuwe systeem voor de omzetbelasting. Het systeem zal draaien in eigen datacenters van de Belastingdienst, de continuïteit van de dienstverlening is beter geborgd door de uitbreiding van de escrow en de leverancier heeft geen directe toegang tot de productiegegevens. Uw Kamer heeft op 18 juni een technische briefing over de modernisering omzetbelasting gepland staan. De nadere uitwerking van het hosting-scenario is nog gaande en de nieuwe planningsdatum voor de livegang van VAT-refund kan pas worden gegeven als deze uitwerking is afgerond. Daarom wil ik u verzoeken om de briefing op een later moment te laten plaatsvinden, zodat de Belastingdienst uw Kamer een volledig en actueel beeld kan geven. Ik verwacht, zoals aangegeven, dat dit na het zomerreces zal zijn. Ik zal uw Kamer hierover informeren via de eerstvolgende stand-van-zakenbrief.

Modernisering contactcentervoorziening (MCC)

Burgers, bedrijven en intermediairs hebben via verschillende kanalen (telefonie, videobellen, baliebezoeken en chatten) contact met de Belastingdienst, Toeslagen en Douane. Dit contact wordt afgehandeld en beheerd via de contactcentervoorziening van de Belastingdienst. Dit is een oplossing waarmee capaciteitsmanagement, kwaliteitsmanagement en alle klantinteracties via verschillende kanalen en platformen worden beheerd en afgehandeld.

Deze contactcentervoorziening is technisch en functioneel verouderd en moet daarom worden vervangen en gemoderniseerd. Het contract met de leverancier loopt in 2028 af, vanaf dan wordt er geen ondersteuning meer geleverd. Het huidige on-premises product wordt niet langer aangeboden door de leverancier. Het aflopen van de ondersteuning heeft consequenties voor de toegang tot het systeem, de dienstverlening aan burgers en bedrijven en op termijn zullen er risico's ontstaan voor de beveiliging en de continuïteit van het systeem. De Belastingdienst is daarom gestart met het programma Modernisering Contactcentervoorziening (MCC). Het doel hiervan is om de continuïteit van de dienstverlening van de Belastingdienst, Toeslagen en Douane te garanderen door de huidige verouderde voorziening te vervangen door een moderne contactcenteroplossing. Daarmee kan de dienstverlening aan burgers, ondernemers en intermediairs worden voortgezet en verbeterd.

In deze brief heb ik u meegenomen in mijn visie op digitale autonomie bij de Belastingdienst. Ook in dit traject speelt digitale autonomie een rol. Aangezien het hier om een lopende aanbesteding gaat kan ik nog niet op de uitkomst vooruitlopen. Maar ik wil wel duidelijk zijn. Ik heb in dit traject twee belangen te wegen: het correct doorlopen van een aanbesteding en het belang van digitale autonomie bij een nieuwe contactcentervoorziening. Ik vind het belangrijk dat we aan die beide belangen tegemoet komen. Dat betekent op dit moment dat ik moet wachten op de uitkomst van de aanbesteding. Op basis van die uitkomst zal ik meteen handelen. Ik zal dit doen met de lijn uit deze brief als uitgangspunt. Ik zal daarmee niet akkoord gaan met risico’s die onverantwoord zijn voor de gegevens van burgers en ondernemers. Ik wil een nieuw contactcenter aansluiten op mijn uitgangspunten rond digitale autonomie en weeg daarbij ook de continuïteit voor de dienstverlening. Ik zal uw Kamer hierover informeren via de stand-van-zakenbrief Belastingdienst en betrek daar nadrukkelijk ook de waardevolle conclusies van het Adviescollege ICT-toetsing bij. Het rapport van het Adviescollege over MCC treft u aan in bijlage 2.

Modernisering kantoorautomatisering door uitrol Microsoft 365

Mijn ambtsvoorganger heeft u meerdere malen geïnformeerd¹ over de uitrol van M365 voor de kantoorautomatisering bij de Belastingdienst, Douane en Toeslagen. De Belastingdienst gaat de in 2025 gemaakte keuzes opnieuw bekijken. Want in een jaar tijd kunnen omstandigheden zoals beschikbare datacentercapaciteit en marktaanbod zijn veranderd, waardoor eerder niet-haalbare opties nu wel mogelijk zijn. Daarom gaat de Belastingdienst, voordat er verdere stappen worden genomen in de uitrol van M365, het on-premises scenario uitlopen. Bij het on-premises scenario draait de software op eigen servers van de Belastingdienst.

Ongeacht de uitkomst daarvan, blijft de inzet op lange termijn onveranderd: een meer autonome en soevereine oplossing die passend is voor de Belastingdienst, Douane en Toeslagen. Daarom volgt de Belastingdienst actief de ontwikkelingen op de markt en binnen de rijksoverheid. Zodra er een bewezen alternatief beschikbaar komt gaat de Belastingdienst de overstap maken. Op dit moment doet het Adviescollege ICT-toetsing onderzoek naar de uitrol van M365 bij de Belastingdienst, Douane en Toeslagen. Na afronding van dit onderzoek ontvangt u van mij het rapport en mijn bestuurlijke reactie.

Adobe Analytics

De Belastingdienst is recent door een ethisch hacker gewezen op het gebruik van Adobe Analytics op de websites van de Belastingdienst, waarbij gedragsgegevens zonder toestemming werden doorgezonden naar Adobe. Op basis hiervan is de Belastingdienst een onderzoek gestart en is de functionaliteit inmiddels uitgezet. De Belastingdienst heeft de Autoriteit Persoonsgegevens (AP) geïnformeerd en een datalekmelding gedaan. Ik betreur dat dit is gebeurd en ik ben dankbaar dat deze ethisch hacker de Belastingdienst hierop heeft gewezen. De Belastingdienst waardeert dergelijke signalen en moedigt ethische hackers aan om kwetsbaarheden te melden via de daarvoor bestemde kanalen. Daarnaast heeft het lid Van der Berg (JA21) op 3 juni jl. hierover Kamervragen gesteld. Bij de beantwoording van deze vragen wordt uw Kamer nader geïnformeerd over deze kwestie en de weg voorwaarts. Momenteel wordt er nog een inventarisatie gedaan naar soortgelijke tooling en wordt de documentatie die in deze Kamervragen is opgevraagd nog verzameld.

Tot slot

Met deze brief heb ik uw Kamer meegenomen in mijn visie op digitale autonomie bij de Belastingdienst. Daarbij heb ik laten zien dat de Belastingdienst niet afwacht, maar ook nu al concrete stappen zet. Ook wanneer dat ingrijpende keuzes vergt in lopende IT-projecten.

De weg naar meer digitale autonomie bij de Belastingdienst is veelomvattend. Ik heb er vertrouwen in dat ik dit, samen met uw Kamer, kan volbrengen. Prioritering en het maken van scherpe keuzes zal noodzakelijk zijn om de beschikbare capaciteit en middelen effectief in te zetten binnen de bestaande kaders. Dat vraagt het nodige van de Belastingdienst, maar ook van uw Kamer als het gaat om realistische verwachtingen.

In de bredere maatschappelijke discussie over digitale autonomie komt de Belastingdienst regelmatig ter sprake, maar dan vooral in het kader van concrete dossiers zoals M365 en de modernisering van de omzetbelasting. Die aandacht begrijp ik, maar is niet representatief voor hoe de Belastingdienst er daadwerkelijk voor staat op het gebied van digitale autonomie. Ik zal uw Kamer over de verdere ontwikkelingen blijven informeren.

De Staatssecretaris van Financiën,
E. Eerenberg

BIJLAGE 1 Toezegging modernisering omzetbelasting

Commissiedebat Belastingdienst 19 maart 2026
1.	Voor de livegang van (eerste fase) OB-systeem wordt een onafhankelijke derde partij verzocht om oordeel te vellen over de risico's, mitigerende maatregelen en de aanvaardbaarheid van de restrisico’s.	In uitvoering. Een externe partij wordt geselecteerd die een onafhankelijk onderzoek uitvoert als onderdeel van de voorbereidingen op de livegang van VAT-refund. Dit onderzoek wordt opgenomen in de planning van de realisatie van het hosting-scenario.
2.	Toezegging om de Kamer na het externe onderzoek en vóór de livegang te informeren.	In uitvoering. Dit verzoek was gerelateerd aan het housing-scenario. De Kamer wordt via deze Kamerbrief geïnformeerd over het besluit om een hosting-scenario vorm te geven en het niet live gaan van de regeling VAT-refund per 1 juli 2026. De Tweede Kamer zal kort na het zomerreces worden geïnformeerd over de herziene planning via de stand-van-zakenbrief.
3.	Er komt een technische briefing over OB.	In uitvoering. De technische briefing is ingepland op 18 juni 2026. De nadere uitwerking van het hosting-scenario is nog gaande en de nieuwe planningsdatum voor de livegang van VAT-refund kan pas worden gegeven als deze uitwerking is afgerond. Daarom wil ik u verzoeken om de briefing op een later moment te laten plaatsvinden, zodat de Belastingdienst uw Kamer een volledig en actueel beeld kan geven.
Kamerbrief 17 maart 2026
4.	De leverancier gaat werken op locatie in Apeldoorn onder toezicht van medewerkers van de Belastingdienst (vier-ogenprincipe) die worden opgeleid om het systeem te beheren.	In uitvoering. Betreft een mitigerende maatregel. Nu wordt overgestapt op het hosting-scenario, wordt deze maatregel gebruikt in geval van verstoringen waarvoor analyse door de leverancier nodig is. Zie voor een meer uitgebreide toelichting de passage in de Kamerbrief.
5.	Er wordt door de leverancier, eenmaal in productie, geen beheer op afstand gevoerd.	In uitvoering. Betreft een mitigerende maatregel die nodig is in het housing-scenario. In het hosting-scenario wordt dit gemitigeerd en in lijn gebracht met hoe de Belastingdienst alle andere omgevingen beheert waarbij in absolute noodzaak onder de controle van de Belastingdienst een verbinding kan worden opgezet met de leverancier.
6.	De Belastingdienst is in overleg met de leverancier om te bewerkstelligen dat er wordt gewerkt met medewerkers die niet onder Amerikaanse jurisdictie vallen.	In uitvoering. Het overleg hierover is gaande met de leverancier. Dit wordt meegenomen in de uitwerking van het hosting-scenario.
7.	Ook onderzoekt de Belastingdienst samen met de leverancier de mogelijkheid dat zij een onafhankelijke Europese entiteit oprichten met de intentie om het contract met de Belastingdienst daarheen te verhuizen.	In uitvoering. Het overleg met de leverancier is hierover gaande. Dit wordt meegenomen in de uitwerking van het hosting-scenario.
8.	Daarnaast werkt de Belastingdienst met de leverancier aan het uitbreiden van de escrow-regeling die is opgenomen in de overeenkomst met Fast Enterprises zodat deze een ruimere toepassing krijgt. Dit is een regeling die dient als waarborg op de continuïteit van de dienstverlening.	Afgerond. De Belastingdienst is met de leverancier op 8 mei jl. een uitbreiding van de escrow-regeling overeengekomen. De escrow is verplaatst naar Nederland. Daarnaast is geregeld dat vrijgave van de broncode plaatsvindt bij risico’s die optreden als gevolg van de toepassing van extraterritoriale wetgeving van derde landen waarmee toegang tot gegevens of systemen van de Belastingdienst wordt afgedwongen.
9.	Daarnaast laat de Belastingdienst de broncode door een onafhankelijke partij onderzoeken op mogelijke kwetsbaarheden, zoals achterdeuren (backdoors).	In uitvoering.De Belastingdienst heeft hiervoor een externe partij gecontracteerd die de broncode heeft gecontroleerd. Dit heeft geen bevindingen opgeleverd.
10.	Wanneer er nieuwe relevantie informatie naar boven komt in relatie tot het informatieverzoek van de Tweede Kamer, waarmee een nieuw licht wordt geworpen op de reeds gedeelde inlichtingen, wordt dit op korte termijn met de Tweede Kamer gedeeld.	In uitvoering. Er zijn tot dit moment geen andere stukken die (alsnog) gedeeld worden met de Tweede Kamer.

---

1. Voor het laatst via Kamerstukken II, 2025/26, 31 011, nr. 1107. Op 4 februari 2026 heeft in de Tweede Kamer een technische briefing plaatsgevonden over de uitrol van M365 bij de Belastingdienst, Douane en Toeslagen.↩︎