Digitale autonomie bij de Belastingdienst

Tweede Kamer der Staten-Generaal2Vergaderjaar 2025–202631 066Belastingdienst26 643Informatie- en communicatietechnologie (ICT)Nr. 1543 BRIEF VAN DE STAATSSECRETARIS VAN FINANCIËN Aan de Voorzitter van de Tweede Kamer der Staten-GeneraalDen Haag, 11 juni 2026Eén van mijn ambities deze kabinetsperiode is om de Belastingdienstvoorloper te maken op het gebied van digitale autonomie. De Belasting-dienst staat er al goed voor, maar om deze ambitie waar te maken zijnkeuzes en investeringen nodig. Bijvoorbeeld door te investeren in deuitbreiding van datacentercapaciteit, het omarmen van nieuwe technolo-gieën, het verder inzetten op open source en door bij te sturen op lopendeIT-projecten om risico’s naar aanleiding van de gewijzigde geopolitiekecontext beter te adresseren.In deze brief ontvangt u mijn visie op digitale autonomie bij de Belasting-dienst, zoals toegezegd tijdens het commissiedebat Belastingdienst van19 maart jl. Ik ga in deze brief in op de goede uitgangspositie van deBelastingdienst, de acties die worden ingezet om deze positie tebehouden en te versterken en wat dit betekent voor een aantal lopendeIT-projecten; de modernisering van de omzetbelasting, moderniseringcontactcenter (MCC) en de uitrol van Microsoft 365 voor de kantoorauto-matisering.In de afgelopen decennia is de samenleving in hoog tempo digitaalverbonden geraakt, over landsgrenzen heen. De afhankelijkheden diedaarbij zijn ontstaan werden lange tijd niet als risico gezien. Nu degeopolitieke verhoudingen zijn veranderd, kijken we anders naar dezeafhankelijkheden. Als de Belastingdienst zijn uitgangspositie rondomautonomie wil behouden en versterken, dan vraagt dat om een wendbareen weerbare organisatie. Mijn doel is dat de Belastingdienst, ook in detoekomst, een organisatie is die zo onafhankelijk mogelijk keuzes kanmaken over zijn digitale omgeving en minder afhankelijk wordt van eenbeperkt aantal, vaak niet-Europese, technologieleveranciers. Maar ook datde Belastingdienst digitale keuzes tussentijds kan herzien en daarmee kaninspelen op ontwikkelingen in de wereld. kst-31066-1543ISSN 0921 - 7371’s-Gravenhage 2026Tweede Kamer, vergaderjaar 2025–2026, 31 066, nr. 15431 De goede uitgangspositie van de BelastingdienstDe Belastingdienst beschikt over eigen datacenters in Apeldoorn waar deapplicaties ter ondersteuning van de primaire processen, het heffen eninnen van belastingen en premies, draaien. Deze applicaties zijn voorna-melijk maatwerkapplicaties die zijn ontwikkeld door de Belastingdienstzelf. De IV-organisatie van de Belastingdienst telt circa 3.600 FTE aaneigen personeel van wie een aanzienlijk aantal dagelijks werkt aan hetbeheer en de ontwikkeling van deze software. Zo wordt er binnen deverschillende ketens van de Belastingdienst gewerkt aan het uitfaserenvan verouderde software door middel van zelfbouw van nieuwe appli-caties. Daarmee beschikt de Belastingdienst over een goede uitgangspo-sitie en veel kennis en expertise om verder te werken aan het versterkenvan de digitale autonomie. Dit is een positie die weinig vergelijkbareoverheidsorganisaties hebben.Dit neemt niet weg dat de Belastingdienst op meerdere lagen van dedigitale infrastructuur, van hardware en virtualisatiesoftware tot bestu-ringssystemen en de kantoorautomatisering, technologie gebruikt vanniet-Europese herkomst. Want voor deze lagen, met name op het gebiedvan hardware, zijn er nog beperkt digitaal autonome alternatievenbeschikbaar of betreft het technologie die de Belastingdienst niet zelf kanontwikkelen. Het eerlijke verhaal is dat, ook met de aanpak die ik gatoelichten, de Belastingdienst nog steeds afhankelijk zal blijven vanniet-Europese technologie, zeker in de infrastructuur. Zo draaienprocessen van de Belastingdienst bijvoorbeeld op een IBM-mainframe,waarbij voor onderhoud een gecontroleerde verbinding met deleverancier wordt gemaakt. Continuïteitsrisico’s zullen daarmee blijvenbestaan, denk hierbij aan de afhankelijkheden van beveiligingsupdates enlicentiechecks van zowel infrastructurele componenten als anderesystemen. Dat wil niet zeggen dat deze systemen onmiddellijk stilvallenals een leverancier zijn dienstverlening staakt. Wat betreft de vertrouwe-lijkheid van data, leveranciers van deze systemen hebben in principe geentoegang tot de gegevens. Alleen in specifieke gevallen, voor onderhouds-werkzaamheden, wordt een gecontroleerde verbinding gemaakt. DeBelastingdienst heeft dusdanig veel beheersmaatregelen getroffen datrisico’s tot oneigenlijke toegang tot gegevens zoveel mogelijk zijngemitigeerd.De mate van afhankelijkheid en de bijbehorende risico’s verschillen perlaag van de digitale infrastructuur. Dit is overigens niet uniek voor deBelastingdienst, elke grote publieke of private organisatie heeft dit soortafhankelijkheden. Het is belangrijk om permanent inzicht te hebben in debestaande afhankelijkheden, zodat gericht kan worden bepaald waar dezeeen onaanvaardbaar risico vormen en daar beheersmaatregelen kunnenworden getroffen.Aanpak op hoofdlijnenMijn aanpak voor de Belastingdienst bestaat uit de volgende vierhoofdlijnen:1.Behouden en waar nodig versterken eigen ontwikkelcapaci-teit: Voor de primaire processen zal de Belastingdienst in toene-mende mate voor eigen ontwikkeling en beheer kiezen. De Belasting-dienst wil de bestaande ontwikkelcapaciteit gerichter en efficiënterinzetten door slimmer te werken met de aanwezige kennis encapaciteit. Daarbij wordt ingezet op het gebruik van AI bij hetontwerpen, testen en onderhouden van software, zodat er snellerontwikkeld kan worden. Door meer zelf te doen krijgt de Belasting-dienst meer grip op zijn kritieke systemen. Tegelijkertijd gaatTweede Kamer, vergaderjaar 2025–2026, 31 066, nr. 15432 zelfbouw ook gepaard met uitdagingen. Het is complexer en vraagtblijvende investeringen in eigen mensen en middelen. Daarbij geldtook dat op dit moment de meer geavanceerde AI-modellen en-tooling van niet-Europese aanbieders afkomstig is.2.Uitbreiden datacenterinfrastructuur: Meer zelf ontwikkelen enbeheren en de behoefte om AI toe te passen vraagt om steeds meerdatacentercapaciteit. De Belastingdienst hanteert hiervoor eentweesporenbeleid:i.Het eerste spoor is uitbreiding in de eigen datacenters (ODC) inApeldoorn. Dat is op dit moment niet mogelijk door netconges-tie. De groeiende behoefte aan capaciteit, om bijvoorbeeldsystemen van andere overheidspartijen onder te brengen of deinzet van AI, kan hierdoor niet worden ingevuld. De Belasting-dienst werkt aan een onderbouwing om hogere prioritering teverkrijgen voor aansluiting op het stroomnet.ii.Het tweede spoor is het gebruik van datacenters van andere(private) partijen en andere aanbieders van Europese soeve-reine cloudoplossingen. De Belastingdienst zet hier actief enparallel op in. Door ook gebruik te gaan maken van datacentersvan andere (private) partijen is de Belastingdienst nietgebonden aan één fysieke locatie. Daarbij geldt dat dezepartijen wel moeten voldoen aan de eisen omtrent autonomie,soevereiniteit en informatiebeveiliging van de Belastingdienst.3.Herzien inkoop- en aanbestedingsbeleid: De Belastingdienst kanniet alles zelf ontwikkelen en blijft voor een deel van de systemenafhankelijk van de markt. In bepaalde gevallen is dat ook een bewustekeuze. Want voor systemen die niet tot de primaire processenbehoren, of wanneer een marktoplossing aantoonbaar efficiënter teimplementeren is, kan dit gerechtvaardigd zijn. Maar, ook dan geldtdat digitale autonomie en het beheersen van afhankelijkheden in eenvroeg stadium worden meegewogen. De Belastingdienst herzietdaarom zijn vraagbepaling, inkoop en contractering. Europeseaanbestedingsregels laten het niet toe om aanbieders uit landenwaarmee de EU een handelsverdrag heeft gesloten uit te sluiten. Datbetekent niet dat er niets mogelijk is. De (juridische) kennis voor deinkoop van meer autonome en Europese oplossingen wordt versterkten het sourcingsbeleid wordt hierop aangepast. Daarbij zal deBelastingdienst ook het Cloud Sovereignty Framework van deEuropese Commissie (EC) betrekken. Waar mogelijk wordt gekozenvoor Europese leveranciers. Bij nieuwe systemen wordt nu al voorafeen exitstrategie opgesteld en waar mogelijk contractueel eenopzeggingsrecht bedongen bij significante wijzigingen, zoalsovernames.4.Verder inzetten op open source: Bij de verwerving van nieuwesoftware wordt bij gelijke geschiktheid voor open source en openstandaarden gekozen. Op dit moment maakt de Belastingdienst al opgrote schaal gebruik van open source, zowel in de infrastructuur alsin de softwareontwikkeling. Maar deze ambitie reikt verder. Opensource wordt bij de ontwikkeling van nieuwe software de standaard,tenzij er zwaarwegende redenen zijn om daarvan af te wijken. DeBelastingdienst gaat een actievere rol spelen in open sourcecommunities en onderzoeken of (samen met andere partners)ontbrekende functionaliteit kan worden ontwikkeld. Daarmee wordtde afhankelijkheid van leveranciers gereduceerd. De Belastingdienstbeschikt over een Open Source Program Office(OSPO) dat begeleidtbij het gebruik van, bijdragen aan en publiceren van open sourcesoftware. De rol van het OSPO wordt verder uitgebreid door deBelastingdienst.Tweede Kamer, vergaderjaar 2025–2026, 31 066, nr. 15433 De Belastingdienst moet en blijft hiervoor nadrukkelijk ook rijksbreed desamenwerking opzoeken en de opgedane kennis en ontwikkelingen delenmet andere ministeries en uitvoeringsorganisaties. Voor de ambitie om dedigitale autonomie van de Belastingdienst te versterken zijn geen extramiddelen beschikbaar gesteld vanuit het regeerakkoord. Daarnaast voer ikde rijksbrede taakstelling uit het regeerakkoord uit, die de komende jarenimpact heeft op de beschikbare capaciteit en middelen bij de Belasting-dienst. Dit betekent dat de ambities op het vlak van digitale autonomieintegraal ingepast moeten worden binnen het bestaande IV-portfolio ende kaders van de huidige begroting. Dit vereist dat er keuzes wordengemaakt en waar nodig, herprioritering plaatsvindt. Hierover zal ik uwKamer steeds transparant blijven informeren.Volledige digitale autonomie is geen realistisch streven. De Belasting-dienst zal ook in de toekomst gebruik moeten blijven maken van laptops,telefoons, infrastructuur en software van niet-Europese leveranciers. Hetstreven is niet om alle afhankelijkheden te elimineren, maar om deze tebeheersen en waar mogelijk gericht af te bouwen. Daarbij geldt als harderandvoorwaarde dat digitale autonomie niet ten koste mag gaan vaninformatiebeveiliging of leverbetrouwbaarheid. Europese en of opensource alternatieven bieden op dit moment nog niet altijd hetzelfdevolwassenheidsniveau. De continuïteit van de heffing, inning en dienstver-lening aan burgers en ondernemers blijft te allen tijde vooropstaan.Digitale autonomie in de praktijkIn de praktijk wordt de aanpak nu al toegepast. De Belastingdienst voert inlopende trajecten risicoanalyses uit, brengt hiermee risico’s zorgvuldig inkaart en beperkt deze vervolgens tot een acceptabel restrisico, ook als datingrijpende en stevige keuzes vergt in grote IT-projecten. Zoals uw Kamerweet, werkt de Belastingdienst aan een meerjarige moderniseringsopgaveom achterstallig onderhoud in te halen en het IT-landschap toekomstbe-stendiger te maken. Die modernisering is essentieel voor de continuïteitvan de heffing en inning en de kwaliteit van de dienstverlening aanburgers en ondernemers. De keuzes in deze moderniseringstrajecten zijnmede het resultaat van keuzes die jaren geleden, in een andere geopoli-tieke context, zijn gemaakt. Dat kan leiden tot uitkomsten die in de huidigecontext niet meer wenselijk zijn. Dat betekent dat er opnieuw naar derisico’s wordt gekeken en dat er waar nodig en mogelijk wordt bijgestuurddoor de Belastingdienst.Deze context is in het afgelopen jaar zichtbaar geworden in een aantalconcrete dossiers waarover mijn ambtsvoorganger en ik uw Kamerhebben geïnformeerd. Ik neem u in deze brief mee in de aanvullendemaatregelen in het traject rondom de modernisering van de omzetbe-lasting (OB). Daar vindt een aanpassing plaats in de scope en neemt deBelastingdienst het beheer en onderhoud van de infrastructuur over vande leverancier. En in het geval van de uitrol van M365 voor de kantoorau-tomatisering heeft de Belastingdienst beheersmaatregelen getroffen.Daarnaast laat ik de eerder gemaakte keuzes opnieuw tegen het lichthouden. Dankzij recente ontwikkelingen op het gebied van datacenterca-paciteit en het marktaanbod is er perspectief ontstaan. Scenario’s die ineen eerder stadium onhaalbaar leken, zijn dat misschien nu wel. Dat gaatde Belastingdienst onderzoeken. Daarbij worden ook de bevindingen vanhet Adviescollege ICT-toetsing betrokken dat momenteel onderzoekverricht naar de uitrol van M365. De inzet blijft uiteindelijk onveranderd.Op een zo spoedig mogelijke termijn wil ik overstappen naar een meerautonoom alternatief wanneer dit beschikbaar komt en past bij eenorganisatie als de Belastingdienst.Tweede Kamer, vergaderjaar 2025–2026, 31 066, nr. 15434 Modernisering omzetbelastingDe Belastingdienst werkt aan de modernisering van het verouderdesysteem voor de omzetbelasting. Na het doorlopen van een zorgvuldigeEuropese aanbestedingsprocedure is de opdracht hiervoor gegund aanFast Enterprises. Op 17 maart jl. heb ik uw Kamer hierover geïnformeerden aangegeven welke beheersmaatregelen er door de Belastingdienst zijngenomen om de risico’s voor de continuïteit van de dienstverlening en devertrouwelijkheid van gegevens te beperken. Daarbij gaf ik aan dat deBelastingdienst als onderdeel van het programma een risicoanalyseconform de Information Risk Assessment Methodology (IRAM) uitvoerdeen parallel verkende of de Belastingdienst het beheer en onderhoud vande infrastructuur kan overnemen van de leverancier, het zogenoemdehosting-scenario.Overgang op hosting-scenario en gevolgen planningDe risicoanalyse is afgerond en wijst uit dat de risico’s rondom devertrouwelijkheid van gegevens en de continuïteit van de dienstverleningin het housing-scenario, waarbij Fast Enterprises het beheer enonderhoud van de infrastructuur verzorgt, niet afdoende gemitigeerdkunnen worden in de huidige geopolitieke context. Daarom heeft deBelastingdienst besloten om voor ingebruikname van het nieuwe systeemover te gaan op het zogenoemde hosting-scenario. Met de overgang naarhet hosting-scenario kunnen, in combinatie met de eerder aangekondigdebeheersmaatregelen, de risico’s voor de continuïteit van de dienstver-lening en de vertrouwelijkheid van gegevens afdoende wordengemitigeerd.In het hosting-scenario doet de Belastingdienst het beheer en onderhoudvan de infrastructuur in plaats van de leverancier. De servers staan in onzeeigen datacenters en worden beheerd door medewerkers van deBelastingdienst zelf, niet door de leverancier. Ook het softwaredistributie-mechanisme komt onder controle van de Belastingdienst. Daardoor heeftde Belastingdienst controle over de toegang tot de software en debijbehorende data. Fast Enterprises blijft verantwoordelijk voor desoftware-oplossing, maar zal geen directe toegang hebben tot deproductiegegevens. Dit maakt het voor de Belastingdienst op deze maniermogelijk om risico’s rondom de toegang tot data door de leverancier ende continuïteit van de dienstverlening tot een aanvaardbaar niveau tebrengen.Het overgaan op het hosting-scenario is een essentiële wijziging, vlakvoor de implementatie van het onderdeel VAT-refund in een langlopenden belangrijk moderniseringstraject. Het is een keuze die recht doet aanhet belang dat ik hecht om risico’s rondom de toegang tot data en decontinuïteit van het systeem zoveel mogelijk te mitigeren. Ook past dezekeuze bij de ambitie om meer regie te voeren over de kritische systemenvan de Belastingdienst. Maar deze keuze betekent wel dat eerdergemaakte plannen moeten worden aangepast en dat extra werk moetplaatsvinden.Dat heeft gevolgen voor de planning. Duidelijk is dat deze koerswijzigingvertraging met zich meebrengt voor de oorspronkelijke planning om per1 juli 2026 de regeling VAT-refund geïmplementeerd te hebben in hetnieuwe systeem. Deze datum is niet langer haalbaar. Ondernemers diegebruik maken van deze regeling worden hierover gelijktijdig met hetversturen van deze Kamerbrief geïnformeerd via de daarvoor bestemdekanalen. Voor ondernemers leidt de vertraging niet tot problemen of extraTweede Kamer, vergaderjaar 2025–2026, 31 066, nr. 15435 kosten. Ondernemers kunnen gewoon aangifte op de huidige wijze blijvendoen totdat het nieuwe systeem geïmplementeerd is.De uitwerking van het hosting-scenario is bepalend voor de duur van devertraging en een nieuwe datum voor de livegang van VAT-refund.Aangezien de Belastingdienst parallel aan het uitvoeren van de risico-analyse is begonnen met de verkenning naar het hosting-scenario zijn ervooralsnog geen gevolgen voor de implementatie van de binnenlandseomzetbelasting per juli 2027. De verwachting is dat de nadere uitwerkingvan het hosting-scenario in juli 2026 gereed is. Dan kan er een nieuweplanningsdatum voor de livegang van VAT-refund worden gegeven. Ik zaluw Kamer daarover informeren via de eerstvolgende stand-van-zakenbrief, die u ontvangt voorafgaand aan het commissiedebat Belas-tingdienst van september 2026.Stand van zaken beheersmaatregelen en toezeggingenIn mijn eerdere brief en tijdens het commissiedebat Belastingdienst heb ikverschillende maatregelen genoemd die de Belastingdienst heeftgetroffen en gaat treffen om de risico’s in de huidige geopolitieke contextzo veel mogelijk te beperken. In bijlage 1 vindt u een tabel met de standvan zaken per toezegging. Een aantal van deze maatregelen neemt inrelevantie af, omdat de voorziene overgang naar het hosting-scenario deonderliggende risico’s al adresseert. Hieronder zal ik stilstaan bij eenaantal van deze maatregelen.Uitbreiding escrowDe Belastingdienst heeft samen met de leverancier de escrow-regelinguitgebreid. Dit is een maatregel die dient als waarborg op de continuïteitvan de dienstverlening. Dit betekent dat een kopie van de broncode endocumentatie in bewaring wordt gegeven bij een onafhankelijke Neder-landse derde partij. In het geval dat de leverancier wegvalt, kan deBelastingdienst de software zelf blijven exploiteren. Daarnaast is geregelddat vrijgave van de broncode plaatsvindt bij risico’s die optreden als eenberoep wordt gedaan op extraterritoriale wetgeving van derde landenwaarmee toegang tot gegevens of systemen van de Belastingdienst kanworden afgedwongen. Hiermee heeft de Belastingdienst een stevigetechnische en juridische waarborg ingebouwd, zowel voor de continuïteitvan de dienstverlening als de vertrouwelijkheid van gegevens.Vier-ogenprincipeIn de brief van maart dit jaar heb ik aangegeven dat de leverancier oplocatie in Apeldoorn gaat werken onder toezicht van medewerkers van deBelastingdienst, het zogenoemde vier-ogenprincipe (Kamerstuk 31 066, nr.1534). Aangezien de Belastingdienst het beheer en onderhoud van deinfrastructuur gaat overnemen is dit vier-ogenprincipe als structurelemaatregel niet langer van toepassing. De leverancier kan namelijk geentoegang verkrijgen tot de productiegegevens. De Belastingdienstinvesteert in de opleiding van eigen medewerkers zodat zij het beheer enonderhoud van de systemen zelfstandig kunnen uitvoeren. Enkel inuitzonderlijke gevallen, wanneer zich bijvoorbeeld een verstoringvoordoet die analyse door de leverancier vereist, kan de Belastingdienstbesluiten de leverancier tijdelijk en onder strikte controle toegang teverlenen. Dit gebeurt uitsluitend op verzoek van en onder begeleiding vande Belastingdienst.Tweede Kamer, vergaderjaar 2025–2026, 31 066, nr. 15436 Audit en backdoorcheckVoorafgaand aan de implementatie van het nieuwe systeem zullen derisico’s, de mitigerende maatregelen en de aanvaardbaarheid van derestrisico’s worden onderworpen aan een audit. De Belastingdienst isbezig met de selectie van een externe partij die deze audit gaat uitvoeren.Dit wordt opgenomen in de planning van het hosting-scenario. Daarnaastheb ik ook toegezegd om de broncode te laten controleren op kwetsbaar-heden zoals backdoors. De Belastingdienst heeft hiervoor een externepartij gecontracteerd die de broncode heeft gecontroleerd. Dit heeft geenbevindingen opgeleverd.Europese entiteitOok is aangekondigd dat er samen met de leverancier wordt onderzochtof het mogelijk is dat de leverancier een onafhankelijke Europese entiteitopricht met de intentie om het contract met de Belastingdienst hierheen teverhuizen. Het overleg hierover met de leverancier is nog gaande enwordt meegenomen in de uitwerking van het hosting-scenario.Met de overgang naar het hosting-scenario en de eerdergenoemdebeheersmaatregelen ben ik ervan overtuigd dat de Belastingdienst op eenverantwoorde wijze kan doorgaan met de implementatie van het nieuwesysteem voor de omzetbelasting. Het systeem zal draaien in eigendatacenters van de Belastingdienst, de continuïteit van de dienstverleningis beter geborgd door de uitbreiding van de escrow en de leverancierheeft geen directe toegang tot de productiegegevens. Uw Kamer heeft op18 juni een technische briefing over de modernisering omzetbelastinggepland staan. De nadere uitwerking van het hosting-scenario is noggaande en de nieuwe planningsdatum voor de livegang van VAT-refundkan pas worden gegeven als deze uitwerking is afgerond. Daarom wil ik uverzoeken om de briefing op een later moment te laten plaatsvinden,zodat de Belastingdienst uw Kamer een volledig en actueel beeld kangeven. Ik verwacht, zoals aangegeven, dat dit na het zomerreces zal zijn. Ikzal uw Kamer hierover informeren via de eerstvolgende stand-van-zakenbrief.Modernisering contactcentervoorziening (MCC)Burgers, bedrijven en intermediairs hebben via verschillende kanalen(telefonie, videobellen, baliebezoeken en chatten) contact met deBelastingdienst, Toeslagen en Douane. Dit contact wordt afgehandeld enbeheerd via de contactcentervoorziening van de Belastingdienst. Dit is eenoplossing waarmee capaciteitsmanagement, kwaliteitsmanagement enalle klantinteracties via verschillende kanalen en platformen wordenbeheerd en afgehandeld.Deze contactcentervoorziening is technisch en functioneel verouderd enmoet daarom worden vervangen en gemoderniseerd. Het contract met deleverancier loopt in 2028 af, vanaf dan wordt er geen ondersteuning meergeleverd. Het huidige on-premises product wordt niet langer aangebodendoor de leverancier. Het aflopen van de ondersteuning heeft conse-quenties voor de toegang tot het systeem, de dienstverlening aan burgersen bedrijven en op termijn zullen er risico’s ontstaan voor de beveiligingen de continuïteit van het systeem. De Belastingdienst is daarom gestartmet het programma Modernisering Contactcentervoorziening (MCC). Hetdoel hiervan is om de continuïteit van de dienstverlening van de Belas-tingdienst, Toeslagen en Douane te garanderen door de huidige verou-derde voorziening te vervangen door een moderne contactcenterop-Tweede Kamer, vergaderjaar 2025–2026, 31 066, nr. 15437 lossing. Daarmee kan de dienstverlening aan burgers, ondernemers enintermediairs worden voortgezet en verbeterd.In deze brief heb ik u meegenomen in mijn visie op digitale autonomie bijde Belastingdienst. Ook in dit traject speelt digitale autonomie een rol.Aangezien het hier om een lopende aanbesteding gaat kan ik nog niet opde uitkomst vooruitlopen. Maar ik wil wel duidelijk zijn. Ik heb in dit trajecttwee belangen te wegen: het correct doorlopen van een aanbesteding enhet belang van digitale autonomie bij een nieuwe contactcentervoor-ziening. Ik vind het belangrijk dat we aan die beide belangen tegemoetkomen. Dat betekent op dit moment dat ik moet wachten op de uitkomstvan de aanbesteding. Op basis van die uitkomst zal ik meteen handelen. Ikzal dit doen met de lijn uit deze brief als uitgangspunt. Ik zal daarmee nietakkoord gaan met risico’s die onverantwoord zijn voor de gegevens vanburgers en ondernemers. Ik wil een nieuw contactcenter aansluiten opmijn uitgangspunten rond digitale autonomie en weeg daarbij ook decontinuïteit voor de dienstverlening. Ik zal uw Kamer hierover informerenvia de stand-van-zakenbrief Belastingdienst en betrek daar nadrukkelijkook de waardevolle conclusies van het Adviescollege ICT-toetsing bij. Hetrapport van het Adviescollege over MCC treft u aan in bijlage 2.Modernisering kantoorautomatisering door uitrol Microsoft 365Mijn ambtsvoorganger heeft u meerdere malen geïnformeerd1 over deuitrol van M365 voor de kantoorautomatisering bij de Belastingdienst,Douane en Toeslagen. De Belastingdienst gaat de in 2025 gemaaktekeuzes opnieuw bekijken. Want in een jaar tijd kunnen omstandighedenzoals beschikbare datacentercapaciteit en marktaanbod zijn veranderd,waardoor eerder niet-haalbare opties nu wel mogelijk zijn. Daarom gaatde Belastingdienst, voordat er verdere stappen worden genomen in deuitrol van M365, het on-premises scenario uitlopen. Bij het on-premisesscenario draait de software op eigen servers van de Belastingdienst.Ongeacht de uitkomst daarvan, blijft de inzet op lange termijn onver-anderd: een meer autonome en soevereine oplossing die passend is voorde Belastingdienst, Douane en Toeslagen. Daarom volgt de Belasting-dienst actief de ontwikkelingen op de markt en binnen de rijksoverheid.Zodra er een bewezen alternatief beschikbaar komt gaat de Belasting-dienst de overstap maken. Op dit moment doet het AdviescollegeICT-toetsing onderzoek naar de uitrol van M365 bij de Belastingdienst,Douane en Toeslagen. Na afronding van dit onderzoek ontvangt u van mijhet rapport en mijn bestuurlijke reactie.Adobe AnalyticsDe Belastingdienst is recent door een ethisch hacker gewezen op hetgebruik van Adobe Analytics op de websites van de Belastingdienst,waarbij gedragsgegevens zonder toestemming werden doorgezondennaar Adobe. Op basis hiervan is de Belastingdienst een onderzoek gestarten is de functionaliteit inmiddels uitgezet. De Belastingdienst heeft deAutoriteit Persoonsgegevens (AP) geïnformeerd en een datalekmeldinggedaan. Ik betreur dat dit is gebeurd en ik ben dankbaar dat deze ethischhacker de Belastingdienst hierop heeft gewezen. De Belastingdienstwaardeert dergelijke signalen en moedigt ethische hackers aan omkwetsbaarheden te melden via de daarvoor bestemde kanalen. Daarnaastheeft het lid Van der Berg (JA21) op 3 juni jl. hierover Kamervragen1Voor het laatst via Kamerstukken II, 2025/26, 31 011, nr. 1107. Op 4 februari 2026 heeft in deTweede Kamer een technische briefing plaatsgevonden over de uitrol van M365 bij deBelastingdienst, Douane en Toeslagen.Tweede Kamer, vergaderjaar 2025–2026, 31 066, nr. 15438 gesteld. Bij de beantwoording van deze vragen wordt uw Kamer nadergeïnformeerd over deze kwestie en de weg voorwaarts. Momenteel wordter nog een inventarisatie gedaan naar soortgelijke tooling en wordt dedocumentatie die in deze Kamervragen is opgevraagd nog verzameld.Tot slotMet deze brief heb ik uw Kamer meegenomen in mijn visie op digitaleautonomie bij de Belastingdienst. Daarbij heb ik laten zien dat deBelastingdienst niet afwacht, maar ook nu al concrete stappen zet. Ookwanneer dat ingrijpende keuzes vergt in lopende IT-projecten.De weg naar meer digitale autonomie bij de Belastingdienst is veelom-vattend. Ik heb er vertrouwen in dat ik dit, samen met uw Kamer, kanvolbrengen. Prioritering en het maken van scherpe keuzes zal noodzakelijkzijn om de beschikbare capaciteit en middelen effectief in te zetten binnende bestaande kaders. Dat vraagt het nodige van de Belastingdienst, maarook van uw Kamer als het gaat om realistische verwachtingen.In de bredere maatschappelijke discussie over digitale autonomie komt deBelastingdienst regelmatig ter sprake, maar dan vooral in het kader vanconcrete dossiers zoals M365 en de modernisering van de omzetbelasting.Die aandacht begrijp ik, maar is niet representatief voor hoe de Belasting-dienst er daadwerkelijk voor staat op het gebied van digitale autonomie. Ikzal uw Kamer over de verdere ontwikkelingen blijven informeren.De Staatssecretaris van Financiën,E. EerenbergTweede Kamer, vergaderjaar 2025–2026, 31 066, nr. 15439 Toezegging modernisering omzetbelastingNr.ToezeggingStatusCommissiedebat Belastingdienst 19 maart 20261.Voor de livegang van (eerste fase)OB-systeem wordt een onafhanke-lijke derde partij verzocht om oordeelte vellen over de risico’s, mitigerendemaatregelen en de aanvaardbaarheidvan de restrisico’s.In uitvoering. Een externe partij wordt geselec-teerd die een onafhankelijk onderzoek uitvoertals onderdeel van de voorbereidingen op delivegang van VAT-refund. Dit onderzoek wordtopgenomen in de planning van de realisatie vanhet hosting-scenario.2.Toezegging om de Kamer na hetexterne onderzoek en vóór delivegang te informeren.In uitvoering. Dit verzoek was gerelateerd aanhet housing-scenario. De Kamer wordt via dezeKamerbrief geïnformeerd over het besluit omeen hosting-scenario vorm te geven en het nietlive gaan van de regeling VAT-refund per 1 juli2026. De Tweede Kamer zal kort na het zomerre-ces worden geïnformeerd over de herzieneplanning via de stand-van-zakenbrief.3.Er komt een technische briefing overOB.In uitvoering. De technische briefing is ingeplandop 18 juni 2026. De nadere uitwerking van hethosting-scenario is nog gaande en de nieuweplanningsdatum voor de livegang van VAT-refundkan pas worden gegeven als deze uitwerking isafgerond. Daarom wil ik u verzoeken om debriefing op een later moment te laten plaatsvin-den, zodat de Belastingdienst uw Kamer eenvolledig en actueel beeld kan geven.Kamerbrief 17 maart 20264.De leverancier gaat werken op locatiein Apeldoorn onder toezicht vanmedewerkers van de Belastingdienst(vier-ogenprincipe) die wordenopgeleid om het systeem te beheren.In uitvoering. Betreft een mitigerende maatregel.Nu wordt overgestapt op het hosting-scenario,wordt deze maatregel gebruikt in geval vanverstoringen waarvoor analyse door deleverancier nodig is. Zie voor een meer uitge-breide toelichting de passage in de Kamerbrief.5.Er wordt door de leverancier,eenmaal in productie, geen beheerop afstand gevoerd.In uitvoering. Betreft een mitigerende maatregeldie nodig is in het housing-scenario. In hethosting-scenario wordt dit gemitigeerd en in lijngebracht met hoe de Belastingdienst alle andereomgevingen beheert waarbij in absolutenoodzaak onder de controle van de Belasting-dienst een verbinding kan worden opgezet metde leverancier.6.De Belastingdienst is in overleg metde leverancier om te bewerkstelligendat er wordt gewerkt met medewer-kers die niet onder Amerikaansejurisdictie vallen.In uitvoering. Het overleg hierover is gaande metde leverancier. Dit wordt meegenomen in deuitwerking van het hosting-scenario.7.Ook onderzoekt de Belastingdienstsamen met de leverancier demogelijkheid dat zij een onafhanke-lijke Europese entiteit oprichten metde intentie om het contract met deBelastingdienst daarheen teverhuizen.In uitvoering. Het overleg met de leverancier ishierover gaande. Dit wordt meegenomen in deuitwerking van het hosting-scenario.8.Daarnaast werkt de Belastingdienstmet de leverancier aan het uitbreidenvan de escrow-regeling die isopgenomen in de overeenkomst metFast Enterprises zodat deze eenruimere toepassing krijgt. Dit is eenregeling die dient als waarborg op decontinuïteit van de dienstverlening.Afgerond. De Belastingdienst is met de leveran-cier op 8 mei jl. een uitbreiding van de escrow-regeling overeengekomen. De escrow isverplaatst naar Nederland. Daarnaast is geregelddat vrijgave van de broncode plaatsvindt bijrisico’s die optreden als gevolg van de toepas-sing van extraterritoriale wetgeving van derdelanden waarmee toegang tot gegevens ofsystemen van de Belastingdienst wordtafgedwongen.9.Daarnaast laat de Belastingdienst debroncode door een onafhankelijkepartij onderzoeken op mogelijkekwetsbaarheden, zoals achterdeuren(backdoors).In uitvoering.De Belastingdienst heeft hiervooreen externe partij gecontracteerd die debroncode heeft gecontroleerd. Dit heeft geenbevindingen opgeleverd.BIJLAGE 1Tweede Kamer, vergaderjaar 2025–2026, 31 066, nr. 154310 Nr.ToezeggingStatus10.Wanneer er nieuwe relevantieinformatie naar boven komt in relatietot het informatieverzoek van deTweede Kamer, waarmee een nieuwlicht wordt geworpen op de reedsgedeelde inlichtingen, wordt dit opkorte termijn met de Tweede Kamergedeeld.In uitvoering. Er zijn tot dit moment geen anderestukken die (alsnog) gedeeld worden met deTweede Kamer. Tweede Kamer, vergaderjaar 2025–2026, 31 066, nr. 154311