De eisen blijken uit documenten die NRC kreeg met een beroep op inzagerecht in de Inlichtingenwet WIV. Dat is minder spannend dan het lijkt. Veel wordt geheim geacht door Defensie. Zelfs in uittreksels van de Kamer van Koophandel is gelakt, te weten de namen van bestuurders. Kijk voor de grap is naar bijgaand KvK-uittreksel dat is ‘gewobt’.

Fox-IT is, zo blijkt uit de inmiddels voor iedereen openbare stukken, gehouden aan de Algemene Beveiligingseisen voor Defensieopdrachten (ABDO 2006). Daar worden nu meer eisen aan verbonden dan gebruikelijk. Er dreigt verlies van opdrachten, maar dat is een papieren tijger. Het Rijk kan nauwelijks meer buiten Fox-IT.

Het is ook onthullend dat de afhankelijkheid van een private partij voor de Nederlandse defensie kennelijk zo groot is dat Fox-IT, voor zover althans zichtbaar, Den Haag niet te voren heeft geïnformeerd dat er een overname aankwam. Wellicht is dit onder de radar  wel mondeling gebeurd, om de verhoudingen niet te verstoren en de grote omzet van Fox-IT bij de overheid te behouden. Zou de  Britse NCC Group een bedrijf kopen met een risico de belangrijkste klant te verliezen?

Normale vereisten

In ABDO 2006 staat in artikel 48 de eis van opgave van gewijzigde omstandigheden aan leveranciers van de MIVD:
De Opdrachtnemer is verplicht de MIVD terstond mededeling te doen van de volgende aangelegenheden:
- naamsverandering en verandering van de oorspronkelijke rechtspersoon;
- de benoeming van nieuwe bestuurders in de organisatie;
- wijzigingen in het aandelenbezit;

Fox-IT heeft dat in een e-mail op de ochtend van de overname op 24 november 2015 gedaan, gericht aan Erik Akerboom, destijds hoge ambtenaaar bij Defensie, inmiddels politiebaas: ‘Beste Erik…We zijn erg trots op wat we tot nu toe hebben bereikt en nu nog trotser om met je te mogen delen dat we een nieuwe stap hebben gemaakt.’

De naam van de afzender heeft Defensie weggelakt, maar @Cryperon als Twitter-account laten staan in het vrijgegeven berichtje: @Crypteron is van Fox IT-chef en -aandeelhouder Ronald Prins. Ook een vorm van veiligheid.

Er zijn vervolgens nog meer vereisten van de ABDO 2006:

50. Verplichtingen Opdrachtnemer m.b.t. buitenlandse eigendom en invloed
De Opdrachtnemer zal de Directeur van de MIVD onverwijld schriftelijk op de hoogte stellen van:
a voorgenomen benoemingen van bestuurders die niet de Nederlandse nationaliteit hebben;
b wijzigingen in aandeelhouderschap waardoor meer dan 50% van de aandelen in bezit komt van een
buitenlandse natuurlijke of rechtspersoon;

c wijzigingen in zeggenschapsverhoudingen waardoor de zeggenschap grotendeels in handen komt van een buitenlandse natuurlijke of rechtspersoon;             
d voorgenomen samenwerking met buitenlandse bedrijven (b.v. joint-ventures).

De Directeur MIVD zal de Opdrachtnemer binnen vier weken schriftelijk mededelen of hij uit
beveiligingsoverwegingen bezwaar heeft tegen de voorgenomen benoeming, wijziging in aandelenbezit of zeggenschap dan wel voorgenomen samenwerking. Afhankelijk van de mogelijke veiligheidsrisico’s kan de Directeur MIVD besluiten de verleende autorisatie op te schorten of in te trekken.
51. Buitenlandse invloed
Het is niet de bedoeling buitenlandse bedrijven per definitie uit te sluiten van Gerubriceerde Defensieopdrachten maar op deze wijze de invloed te controleren van enig individu of groep die belangen kan hebben die tegenstrijdig zijn met die van de Staat en op deze wijze de veiligheid van de staat en zijn bondgenoten te beschermen.

Na de nodige communicatie met Fox-IT en de nieuwe eigenaar komen de eisen op tafel in mei 2016, in een mail van Generaal-majoor Eichelsheim, de baas van de MIVD:

Fox Holding en de dochterbedrijven moeten Nederlandse BV’s blijven;
dat alle lopende en nieuwe crypto-opdrachten van de overheid moeten onder dochter Fox Crypto komen;
met louter Nederlands management en medewerkers, tenzij toestemming voor een buitenlander;
met een geheel gescheiden IT-systeem;
technologie en kennis mogen niet zonder toestemming buiten de grens worden gebracht;
voorafgaande instemming van de Minister van Defensie met nieuwe bestuurders;
bij verdere vervreemding krijgt de overheid eerste recht op koop van aandelen.

Fox-IT is akkoord met de eisen om alle activiteiten van Fox-IT Nederlands te houden. Maar wellicht heeft NCC problemen met het eerste recht om de aandelen van onderdeel Crypto als eerste te kopen. Dit vermindert de waarde van Fox-IT voor NCC immers.

Verstandige en haalbare eisen?

NCC heeft na veertien maanden nog geen overeenkomst hierover met de Nederlandse overheid. Dat is mede te wijten aan onzekerheid bij de verschillende betrokken onderdelen van de overheid: MIVD, AIVD en Nationaal Cyber Security Center. Volgens oprichter Ronald Prins kan er spoedig getekend worden met de MIVD, en komt het goed.

De vraag is of de eisen van de overheid zin hebben:
 Staat een Nederlands paspoort van alle bazen en medewerkers van Fox-IT garant voor de beste dienstverlening?
Stel dat de beste mensen van Fox-IT die al jaren voor de Nederlandse overheid werken binnen NCC promotie kunnen maken naar een internationaal onderdeel, gaan ze dan verloren voor inzet in Nederland?
Stel dat ingeval van cyberoorlog met Rusland Nederland met andere landen waar de NCC-groep actief is verdedigd moet worden, is de puur Nederlandse cyberdefensie dan de beste of een inzet van ‘geallieerden’, zoals eerder in de geschiedenis?