De Belastingdienst zal het beheer van het btw-systeem toch niet aan een Amerikaans ict-bedrijf uitbesteden, zo heeft staatssecretaris Eerenberg van Financiën in een brief aan de Tweede Kamer laten weten. Oorspronkelijk was het de bedoeling dat het Amerikaanse Fast Enterprises het beheer zou gaan voeren op het totale systeem, zowel software als infrastructuur. De infrastructuur staat in Apeldoorn, maar wordt beheerd door Fast, door middel van een housing-oplossing geleverd door de Belastingdienst.

Afgelopen maart meldde Eerenberg nog dat de Belastingdienst allerlei maatregelen had getroffen om de risico's van het beheer door een Amerikaans bedrijf te beperken. Tegelijkertijd werd er ook een risicoanalyse uitgevoerd en verkend of de Belastingdienst het beheer en onderhoud van de infrastructuur zou kunnen overnemen van de leverancier. De staatssecretaris noemde dit het zogenoemde hosting-scenario.

"De risicoanalyse is afgerond en wijst uit dat de risico’s rondom de vertrouwelijkheid van gegevens en de continuïteit van de dienstverlening in het housing-scenario, waarbij Fast Enterprises het beheer en onderhoud van de infrastructuur verzorgt, niet afdoende gemitigeerd kunnen worden in de huidige geopolitieke context. Daarom heeft de Belastingdienst besloten om voor ingebruikname van het nieuwe systeem over te gaan op het zogenoemde hosting-scenario", schrijft Eerenberg in zijn brief.

Door te kiezen voor het hosting-scenario in combinatie met de eerder aangekondigde beheersmaatregelen zijn risico’s voor de continuïteit van de dienstverlening en de vertrouwelijkheid van gegevens voldoende gemitigeerd, zo laat de staatssecretaris verder weten. In het hosting-scenario doet de Belastingdienst het beheer en onderhoud van de infrastructuur in plaats van de leverancier. De servers staan in de datacenters van de fiscus en worden beheerd door medewerkers van de Belastingdienst zelf, niet door Fast Enterprises.

Daarnaast komt ook het softwaredistributiemechanisme onder controle van de Belastingdienst. "Daardoor heeft de Belastingdienst controle over de toegang tot de software en de bijbehorende data", aldus Eerenberg. Fast Enterprises blijft wel verantwoordelijk voor de software-oplossing, maar zal geen directe toegang hebben tot de productiegegevens, zo voegt de staatssecretaris toe. "Dit maakt het voor de Belastingdienst op deze manier mogelijk om risico’s rondom de toegang tot data door de leverancier en de continuïteit van de dienstverlening tot een aanvaardbaar niveau te brengen."

De keuze voor het hosting-scenario zorgt wel voor vertraging bij de implementatie van de VAT-refund regeling, die oorspronkelijk voor 1 juli gepland stond. "Ondernemers die gebruik maken van deze regeling worden hierover gelijktijdig met het versturen van deze Kamerbrief geïnformeerd via de daarvoor bestemde kanalen. Voor ondernemers leidt de vertraging niet tot problemen of extra kosten. Ondernemers kunnen gewoon aangifte op de huidige wijze blijven doen totdat het nieuwe systeem geïmplementeerd is", merkt Eerenberg op.

'Backdoorcheck levert niets op'

In de brief schrijft Eerenberg ook dat de Belastingdienst een 'backdoorcheck' op de broncode heeft laten uitvoeren. "Voorafgaand aan de implementatie van het nieuwe systeem zullen de risico’s, de mitigerende maatregelen en de aanvaardbaarheid van de restrisico’s worden onderworpen aan een audit. De Belastingdienst is bezig met de selectie van een externe partij die deze audit gaat uitvoeren. Dit wordt opgenomen in de planning van het hosting-scenario. Daarnaast heb ik ook toegezegd om de broncode te laten controleren op kwetsbaarheden zoals backdoors. De Belastingdienst heeft hiervoor een externe partij gecontracteerd die de broncode heeft gecontroleerd. Dit heeft geen bevindingen opgeleverd."