Preview document (🔗 origineel)

---

Geachte Voorzitter,

In reactie op het verzoek van lid Kathmann (PRO) op 2 december 2025 om u te informeren ‘over de problematische afhankelijkheid van big tech en de opkomst van generatieve AI’ doe ik u hierbij de aanvullende reactie van het kabinet ten aanzien van het Cybersecuritybeeld 2025 (CSBN 2025) toekomen, met daarbij specifieke aandacht voor de opkomst van generatieve AI.¹

Aanvullende reactie op het Cybersecuritybeeld 2025

Het kabinet onderschrijft dat Nederland en Europa voor cruciale digitale infrastructuur, evenals voor het afnemen van digitale processen c.q. diensten, sterk afhankelijk zijn geworden van een klein aantal buitenlandse techaanbieders. Dat maakt ons kwetsbaar in een veranderende wereldorde waarin technologie vaker als geopolitiek machtsmiddel wordt ingezet.

In de komende kabinetsperiode wil ik mij daarom inzetten op een overheid waarbij digitale autonomie het uitgangspunt is. Soevereiniteit wordt één van de leidende principes bij digitale inkoop- en aanbestedingen. Daarnaast wordt onderzocht of en hoe een Europees voorkeursprincipe bij aanbestedingen van digitale producten en diensten kan bijdragen aan het verminderen van afhankelijkheden. Met het recent gepubliceerde wetsvoorstel voor een Cloud & AI Development Act (CADA) heeft de Europese Commissie eveneens tot doel overheden in de EU te stimuleren tot inkoop van Europese clouddiensten.

Het probleem van digitale strategische afhankelijkheden werd eveneens door mijn ambtsvoorganger(s) erkend. Reeds in 2023 is de Agenda Digitale Open Strategische Autonomie (DOSA) gepubliceerd, en recenter is het versterken van digitale weerbaarheid en autonomie van de overheid als prioriteit in de Nederlandse Digitaliseringsstrategie (NDS) aangemerkt.

Daarnaast heeft uw Kamer actief bijgedragen aan de beleidsontwikkeling op dit gebied, onder meer door de initiatiefnota ‘Wolken aan de Horizon’. Zoals ook in de kabinetsreactie op uw initiatiefnota gesteld is,² bouwt deze brief voort op verschillende eerdere Kamerstukken die naar uw Kamer zijn gestuurd.

Geconstateerde risico’s in het CSBN 2025

Samengevat wijst het CSBN 2025 voor wat betreft de strategische afhankelijkheden van cruciale digitale infrastructuur op vier concrete risico’s, zijnde:

1. Digitale afhankelijkheden kunnen worden vergroot, wat implicaties heeft voor de Nederlandse digitale open strategische autonomie. Zo kunnen wetten een extraterritoriale werking hebben en bestaan er beperkingen voor Nederland voor het toezicht dat kan worden uitgeoefend.

2. Door grootschalige concentratie kan een single point of failure ontstaan. Een storing of cyberincident kan wereldwijde doorwerking krijgen. Vitale sectoren kunnen afhankelijk zijn van één aanbieder, wat betekent dat een incident bij die aanbieder grote impact kan hebben.

3. De machtspositie van grote aanbieders kan worden versterkt door zowel de aanbod- als vraagzijde. Aan de aanbodzijde kunnen aanbieders een eigen ecoysteem creëren van verschillende diensten, waar organisaties lastig uit kunnen treden (vendor lock-in). Aan de vraagzijde kiezen organisaties veel voor de grootste aanbieders, veelal omdat (Europese) alternatieven niet voorhanden zijn of bijvoorbeeld minder functionaliteiten bieden. Ook dit vergroot de machtspositie.

4. Organisaties kunnen geleidelijk aan de regie over kernprocessen verliezen, bijvoorbeeld omdat kennis weglekt, de controle over de werking van systemen afneemt of omdat de onderhandelingsruimte ten opzichte van aanbieders van digitale infrastructuur beperkt is.

Bovenop deze risico’s beschrijft het CSBN 2025 dat we er in de huidige geopolitieke context rekening mee moeten houden dat landen hun eigen belangen scherper afwegen, waardoor Nederland geconfronteerd kan worden met (digitale) afhankelijkheden die als drukmiddel kunnen worden ingezet.

Reactie kabinet t.a.v. geconstateerde risico’s

De problemen, zoals in het CSBN benoemd, zijn niet nieuw of onbekend. De verregaande marktconcentratie aan de aanbodzijde, inclusief de vendor lock-in, alsmede de belemmeringen bij de vraagzijde, zijn reeds benoemd in de kabinetsreactie op uw initiatiefnota ‘Wolken aan de Horizon’.³

Eén van de benoemde risico’s die kan voortvloeien uit het vergroten van digitale afhankelijkheden is de toepassing van wetgeving met extraterritoriale werking. Er zijn diverse landen, die wet- en regelgeving kennen met extraterritoriale werking die medewerking van dienstverleners bij gegevensverzoeken van veiligheidsdiensten verplicht.⁴ Dergelijke wet- en regelgeving kan in bepaalde gevallen mogelijk leiden tot ongewenste toegang tot Nederlandse gegevens. Hetzelfde gaat ook op voor wetgeving omtrent sanctiemechanismen, wat onder meer inhoudt dat personen en organisaties geen diensten of ondersteuning meer mogen leveren aan gesanctioneerde personen/organisaties, met risico op civiele of strafrechtelijke vervolging bij overtreding. Ook in gevallen waarin overeenkomsten gesloten zijn met een Europese dochter van een dergelijke organisatie, is het toch mogelijk dat deze gehoor moet geven aan een dergelijke sanctiemaatregel.

Naar aanleiding van incidenten en onderzoek concludeert de NCTV in het CSBN dat organisaties binnen de Rijksoverheid veel digitale processen afnemen van een klein aantal leveranciers, waarbij weinig tot geen rekening gehouden wordt met het voorkomen van concentratierisico’s. Bovendien wegen en beschouwen overheidsorganisaties onvoldoende de (strategische) risico’s van hun leveranciers en dienstverleners en blijkt dat meerdere overheidsorganisaties geen succesvolle terugvalopties hebben. Er is, aldus het gestelde in het CSBN, ook onvoldoende aandacht voor digitale weerbaarheid en afhankelijkheden op bestuurstafels.

Het kabinet onderschrijft dit en heeft in het coalitieakkoord aangegeven dat de inzet van het kabinet erop gericht is om strategische afhankelijkheden af te bouwen en zoveel mogelijk te diversifiëren, ook op digitaal vlak. Specifiek op het gebied van cloud zijn recent twee stappen gezet met de herziening van het rijksbreed cloudbeleid⁵ en de uitgevoerde verkenning naar de soevereine overheidscloud in het kader van de NDS⁶.

Om digitale afhankelijkheden af te bouwen en te voorkomen, is verder binnen de NDS digitale weerbaarheid en autonomie één van de prioriteiten waar overheidsbreed aan wordt gewerkt. Vanuit de NDS komt er daarnaast een routekaart digitale autonomie evenals een referentiekader digitale autonomie. Nederland is ook één van de oprichtende lidstaten van de European Digital Infrastructure Consortium (EDIC) Digitale Gemeenschapsgoederen.

Opkomst generatieve AI

Het gebruik van generatieve AI in de samenleving en door de Nederlandse overheid is de afgelopen jaren toegenomen. Zo laat de in het najaar van 2025 verschenen Overheidsbrede monitor generatieve AI van TNO (in opdracht van BZK) een duidelijke toename zien in het aantal generatieve AI-toepassingen bij Nederlandse overheidsorganisaties.⁷ Een substantieel deel van de onderzochte generatieve AI-toepassingen maakt gebruik van niet-Nederlandse taalmodellen en systemen. Vanaf april 2025 geldt het overheidsbrede standpunt generatieve AI.⁸ Mede gelet op het belang van autonomie maakt hiervan onderdeel uit dat wij als Nederlandse overheid een voorkeur hebben voor het gebruik van Nederlandse of Europese open taalmodellen.

In het kader van de Nederlandse Digitaliseringsstrategie (NDS) wordt binnen de prioriteit AI gewerkt aan het stimuleren van de inzet van Nederlandse en Europese óf open taalmodellen, mede om daarmee de Europese AI-industrie te stimuleren ten behoeve van strategische digitale autonomie. Er zijn in dat kader bijvoorbeeld een aantal AI-projecten binnen de overheid die het Nederlandse taalmodel GPT-NL gaan beproeven in de praktijk, mede ten behoeve van de doorontwikkeling van het model.⁹

Verder wordt gewerkt aan visie en beleid op Generatieve AI-modellen, waarbij gekeken wordt naar maatregelen om de inzet van Europese en/of open AI-modellen in plaats van niet-Europese, gesloten AI-modellen te bevorderen. Het streven is om dit herziene beleid dit jaar vast te stellen.

Ten slotte werkt Nederland samen met onder andere Frankrijk en Italië aan een gemeenschappelijke Europese infrastructuur in taaltechnologieën, zoals grote Europese taalmodellen, via de Alliance for Language Technologies– European Digital Infrastructure Consortium (ALT-EDIC)). Hier bovenop is dit jaar een aanvraag van BZK goedgekeurd inzake de Europese Apply AI call: GenAI for Public Administrations. Dit initiatief richt zich op de ontwikkeling van een Europees, publiek platform waarmee overheden op een veilige en verantwoorde manier generatieve AI-bouwblokken en toepassingen kunnen ontwikkelen, configureren en hergebruiken. Met diverse uitvoeringsorganisaties, de VNG, IPO, AIC4NL en Brainport Eindhoven wordt er de komende vier jaar gebouwd, met partners uit onder andere de Benelux, Denemarken en andere EU-lidstaten, aan een Europese infrastructuur voor verantwoorde AI-toepassingen.

Daarnaast wordt gewerkt aan toegang tot AI-rekenkracht voor het bedrijfsleven (mkb, startups), onderzoekers en overheden, rekening houdend met digitale autonomie. Dit krijgt momenteel vorm via drie routes:

1. Onderzoeken van manieren om de huidige beschikbare rekenkracht en aanbod van taalmodellen binnen de overheid effectiever in te zetten.

2. Verkennen van manieren om het makkelijker te maken voor overheden om zaken te doen met Europese partijen die Generatieve AI en rekencapaciteit leveren.

3. De realisatie van de AI-fabriek in Groningen waar het finetunen, testen en trainen van AI-modellen betreft. Daarnaast is Nederland via de EuroHPC Joint Undertaking ook aangesloten op het Europese netwerk van AI-fabrieken, waar de AI-fabriek in Groningen onderdeel van uit zal maken.

W.J.M. Aerdts

Staatssecretaris van Economische Zaken

---

1. Voor een eerdere reactie op de CSBN 2025, zie de aanbiedingsbrief van minister van Justitie en Veiligheid (JenV): Kamerbrief over Cybersecuritybeeld Nederland 2025 en voortgang Nederlandse Cybersecuritystrategie | Rijksoverheid.nl↩︎

2. Kamerstukken II 2024/25, 36 574, nr. 3.↩︎

3. Ibid, pp. 4-7.↩︎

4. Zie tevens 2026Z08716&did=2026D26573">Antwoord op vragen van het lid Van den Berg over de feitelijke veiligheidsrisico’s, juridische reikwijdte en afhankelijkheden rond DigiD, Solvinity en Kyndryl | Tweede Kamer der Staten-Generaal, waar hier nader op wordt ingegaan.↩︎

5. Kamerstukken 2025/26, 26 643, nr. 1541↩︎

6. Kamerstukken 2025/26, 26 643, nr. 1537↩︎

7. https://open.overheid.nl/documenten/dafe19ab-8874-42a0-a55f-315ac5825282/file↩︎

8. https://open.overheid.nl/documenten/bc03ce31-0cf1-4946-9c94-e934a62ebe73/file↩︎

9. De eerste use cases van GPT-NL - GPT-NL↩︎