Het Nederlandse kabinet versterkt de beveiliging van DigiD door de aanbesteding van gegevensopslag onder strengere regels te plaatsen, vergelijkbaar met die van defensie. Vanaf nu kunnen alleen bedrijven meedoen die niet in een land zijn gevestigd waar de overheid wettelijk toegang kan vragen tot Nederlandse persoonsgegevens. Dit is een reactie op de geopolitieke spanningen en de recente zorgen over de mogelijke overname van Solvinity, het huidige cloudbedrijf dat DigiD-gegevens beheert, door het Amerikaanse Kyndryl.

De overname door Kyndryl werd eind mei 2026 verboden ter bescherming van het publieke belang. Solvinity slaat gevoelige data op van overheidsdiensten zoals de Belastingdienst, zorgverzekeraars en pensioenfondsen. De betrokken gegevens omvatten onder meer adres, leeftijd, gezinssamenstelling en telefoonnummer. Hoewel het kabinet niet expliciet Amerikaanse bedrijven uitsluit, erkent staatssecretaris Van de Burg dat de Amerikaanse wetgeving momenteel wel een risico vormt.

De nieuwe aanpak betekent dat toekomstige aanbestedingen voor DigiD worden behandeld als een kwestie van nationale veiligheid. Dit zorgt voor meer controle over waar en hoe Nederlandse data worden opgeslagen. De regels moeten voorkomen dat strategische informatie in handen valt van buitenlandse machten, terwijl tegelijkertijd wordt benadrukt dat de situatie in andere landen in de toekomst kan veranderen.