De verhuizing van de Stichting Internet Domeinregistratie Nederland (SIDN), de organisatie die de .nl-domeinnamen beheert, naar Amazon is nog geen voldongen feit, zo heeft demissionair minister Adriaansens van Economische Zaken laten weten. De bewindsvrouw is verrast over het besluit van de SIDN en zegt dat dit haar zorgen baart. Er zal een quickscan worden uitgevoerd om te kijken of er geen Nederlands of Europees alternatief beschikbaar is dat kan voldoen aan de eisen van de SIDN.

De SIDN kondigde in januari aan dat het de complete ict-omgeving, inclusief het domeinregistratieplatform, gaat verhuizen naar Amazon. "We gaan de komende twee jaar daarom onze complete ict-omgeving naar Amazon Web Services (AWS) overzetten, inclusief Fury. Begin 2026 moet dat hele proces afgerond zijn. Mijn persoonlijke overtuiging is dat de hele sector over vijf tot acht jaar de stap naar de cloud heeft gemaakt. Wij lopen daarin nu voorop", liet SIDN-cto Loek Bakker weten.

Zorgen minister

Vanwege de rol die de SIDN speelt vroegen GroenLinks-PvdA, Nieuw Sociaal Contract en D66 de minister om opheldering. De bewindsvrouw merkt op dat haar ministerie alleen mondeling door de SIDN over de verhuisplannen is ingelicht. Na de aankondiging in januari hebben de stichting en het ministerie 'frequent contact' gehad. In deze gesprekken heeft de minister naar eigen zeggen haar zorgen geuit over de plannen en het gebrek aan draagvlak onder de stakeholders.

Tevens heeft Adriaansens de SIDN gewezen op het convenant tussen de stichting en haar ministerie, waarin afspraken zijn gemaakt over borging van de continuïteit van de dienstverlening, de binding met Nederland en het belang van goede betrokkenheid van de stakeholders van de SIDN. De minister voegt toe dat er met de SIDN is afgesproken dat er op dit moment geen onomkeerbare stappen worden gezet. "De verhuizing is dus nog geen voldongen feit", merkt Adriaansens op.

De bewindsvrouw heeft de SIDN ook gevraagd om de belanghebbenden van de stichting, waaronder de Rijksoverheid, veel nauwer te betrekken in de overwegingen die achter de verhuisplannen liggen en inzage te geven waarom er naar het oordeel van de SIDN binnen Nederland of de EU geen vergelijkbare alternatieven beschikbaar zijn. "Dit alles maakt dat ik op dit moment nog geen definitief standpunt kan innemen over de voorgenomen verhuizing", laat Adriaansens weten.

Vitale aanbieder

De activiteiten van de SIDN vallen onder diverse wetten en regels, waaronder de Wet beveiliging netwerk- en informatiesystemen (Wbni) en de Algemene verordening gegevensbescherming (AVG). Op basis van de Wbni zal Rijksinspectie Digitale Infrastructuur (RDI) als toezichthouder beoordelen of de verhuizing risico’s oplevert voor de veiligheid, integriteit en continuïteit van het .nl domein, en in hoeverre deze risico’s door SIDN worden gemitigeerd door bestaande of aanvullende maatregelen.

Op grond van de AVG moet de SIDN eerst een privacyonderzoek (DPIA) uitvoeren om alle risico's met de verwerking van persoonsgegevens in kaart te brengen en wat hieraan wordt gedaan. "De verhuizing kan slechts plaatsvinden nadat deze processen zijn afgerond en SIDN ook op dit gebied voldoet aan haar zorgplicht", legt de minister uit. Ze voegt toe dat de dienstverlening van de SIDN een essentieel onderdeel vormt van de digitale infrastructuur van Nederland. SIDN is op grond van het nationale vitaalbeleid als aanbieder van dns-diensten en beheerder en register van het .nl-domein aangemerkt als vitale aanbieder.

Afhankelijkheid Amazon

Een verhuizing van de SIDN naar Amazon zou volgens de minister een 'bepaalde afhankelijkheid' van het Amerikaanse bedrijf creëren. Het kabinet kijkt dan ook of de verhuizing van het domeinregistratiesysteem risico’s oplevert voor de Nederlandse digitale open strategische autonomie. "SIDN zal vanuit haar zorgplicht moeten documenteren en beoordelen in hoeverre de verhuizing risico’s oplevert voor onze publieke belangen zoals veiligheid van gegevens en de continuïteit van de dienstverlening van SIDN", laat de minister weten.

Amerikaanse Cloud Act

De Amerikaanse autoriteiten kunnen op basis van de US Cloud Act, Amerikaanse wetgeving met extraterritoriale werking, gegevens van klanten bij Amazon opeisen. Met een gerechtelijk bevel kan er zo toegang worden geëist tot gegevens die zijn opgeslagen of worden verwerkt bij Amerikaanse bedrijven of Europese leveranciers onder Amerikaanse jurisdictie. "De DPIA, die nog moet worden afgerond, zal de risico's en mitigerende maatregelen in kaart moeten brengen. Dit is een voorwaarde om de verhuizing te laten plaatsvinden", merkt Adriaansens op.

De drie politieke partijen hadden de minister ook gevraagd of ze met volle zekerheid kan zeggen dat alle registratiegegevens en .nl-domeinen, van nationale websites tot e-mailadressen, afgeschermd en veilig zijn bij een Amerikaans bedrijf. "Nee, volle zekerheid kan nooit worden gegeven, ongeacht welke leverancier gebruikt wordt en waar deze vandaan komt", antwoordt de bewindsvrouw (pdf). "De risico’s moeten beheersbaar zijn."

De minister voegt toe dat ze verrast is over het voorgenomen besluit en dit haar zorgen baart. "De verhuizing is echter nog geen voldongen feit. Ik heb deze zorgen in een gesprek met de bestuurders van SIDN ook kenbaar gemaakt en heb aangegeven dat SIDN eerst nog diverse stappen in het proces moet doorlopen voordat gezegd kan worden of dit besluit gerechtvaardigd is."