De Cyber Security Raad (CSR) waarschuwt het kabinet dat de Nederlandse telecom- en internetinfrastructuur onvoldoende weerbaar is tegen doelbewuste, geopolitiek gedreven verstoring. In het adviesrapport ‘Verbinding onder druk’ identificeert de Raad vijf systeemrisico’s die Nederland kwetsbaar maken voor sabotage en langdurige uitval.
De Nederlandse communicatie-infrastructuur is van hoge kwaliteit en de sector functioneert goed, erkent de CSR in een advies dat deze zomer verscheen. Tegelijkertijd concludeert de raad dat diezelfde infrastructuur kwetsbaar is voor geopolitiek gedreven verstoring. Die conclusie is gebaseerd op onderzoek dat TNO in opdracht van de raad uitvoerde. De kwetsbaarheid zit in de concentratie, de ketenafhankelijkheden en het gebrek aan uitwijkmogelijkheden.
Die kwetsbaarheid weegt zwaar, omdat de communicatie-infrastructuur eigenlijk het zenuwstelsel van het land is. Burgers zijn ervan afhankelijk voor communicatie, toegang tot informatie, financiële diensten en noodhulp. Het bedrijfsleven kan zonder connectiviteit geen producten of diensten meer leveren. En de telecomsector is nauw verweven met andere vitale sectoren, met name de energie. Een grootschalige verstoring raakt daardoor niet alleen de telecom zelf, maar kan als een sneeuwbal doorwerken naar de rest van de samenleving. Juist in tijden van crisis is betrouwbare communicatie het hardst nodig, en tegelijkertijd het meest waarschijnlijke doelwit.
Concentratie als risicofactor
De geografische concentratie van internetexchanges en datacenters rond Amsterdam is vrij logisch te verklaren. De fysieke zeekabels komen in deze regio aan land, de AMS-IX is uitgegroeid tot een van de grootste internetknooppunten ter wereld, en bedrijven in de Randstad vereisen lage latentie naar de externe datacenters die hun kritieke processen huisvesten. Maar die concentratie staat haaks op het basisprincipe dat redundante infrastructuur geografisch gespreid hoort te zijn. Aanbieders van vaste en mobiele datadiensten passen dat principe wel toe en hebben hun belangrijkste datacenters over het land verspreid. Voor de grote internetexchanges en de datacenters daaromheen geldt dat niet.
Regionale incidenten, waaronder moedwillige sabotage, kunnen daardoor nationaal ontwrichtend worden. De CSR adviseert het kabinet dan ook om geografische spreiding van peering- en transitcapaciteit actief te stimuleren en decentralisatie van de communicatie-infrastructuur te versterken, zowel fysiek als logisch. Netwerken met meerdere onderlinge verbindingen en alternatieve routeringspaden zijn volgens de raad significant beter bestand tegen sabotage, en herstellen na een incident aanzienlijk sneller dan gecentraliseerde architecturen.
Energie en telecom: wederzijds afhankelijk
Het tweede risico gaat over de ketenafhankelijkheid tussen de energie- en communicatiesector. Verstoringen in de stroomvoorziening hebben directe gevolgen voor communicatiediensten. Dat werd duidelijk toen energieleverancier Stedin eerder dit jaar met stroomuitval kampte en Odido-klanten in meerdere regio’s daardoor problemen ondervonden met hun internetverbinding. Omgekeerd groeit de afhankelijkheid van energienetwerken van digitale communicatie, bijvoorbeeld bij het aansturen van omvormers, laadpalen en energiemanagementsystemen. De opkomst van smart grids versterkt die wederzijdse afhankelijkheid. Uit cijfers van de Rijksinspectie Digitale Infrastructuur blijkt dat bij 76 procent van de telecomincidenten een externe leverancier betrokken was.
Het rapport noemt beide sectoren het “centrale zenuwstelsel” van de Nederlandse economie en samenleving. Toch opereren ze grotendeels los van elkaar als het gaat om weerbaarheid en crisisvoorbereiding. De CSR adviseert het kabinet om die interactie expliciet te organiseren. Dat betekent gezamenlijke investeringsplannen voor weerbaarheid, vooraf vastgelegde afspraken over welke verbindingen bij een crisis als eerste worden hersteld, en periodieke crisisoefeningen waarin beide sectoren samenwerken. Het doel is te voorkomen dat een verstoring in de ene sector automatisch doorwerkt naar de andere.
Geen vangnet bij langdurige uitval
Het derde risico dat het CSR identificeert, is het meest concreet. Nederland kent weliswaar afspraken tussen mobiele operators om bij grootschalige uitval elkaars klanten tijdelijk over te nemen voor spraak- en sms-verkeer (de zogenoemde regional roaming), maar die regeling is beperkt. Hij treedt pas in werking bij meer dan 500.000 getroffen klanten, een verwachte storingsduur van meer dan drie dagen en een specifieke regio. Dataverkeer valt er bovendien niet onder, en een formele, wettelijk verankerde regeling ontbreekt. De CSR pleit voor uitbreiding van deze afspraken richting bredere disasterroaming, specifiek gericht op kritieke gebruikers, en voor het stimuleren van satellietcommunicatie als back-up.
Daarnaast speelt het probleem van noodstroom (het vierde risico volgens CSR). Basisstations voor mobiele communicatie beschikken over batterijcapaciteit die doorgaans slechts een aantal uren overbrugt. Bij langere stroomuitval valt de mobiele communicatie weg, precies op de momenten dat die het hardst nodig is. De CSR adviseert het kabinet om samen met de sector een plan te ontwikkelen voor de vergroting van de noodstroomcapaciteit op kritieke punten, en om het herstelvermogen van de energie-infrastructuur zelf te vergroten. Hoe sneller de stroom terug is, hoe kleiner de vervolgschade.
Buitenlandse afhankelijkheden
De Nederlandse connectiviteit is op een aantal cruciale punten afhankelijk van buitenlandse partijen. Internetexchanges, DNS- en registratiediensten en aanbieders van satellietcommunicatie maken veel gebruik van externe datacenters die in handen zijn van een buitenlandse eigenaar. In het huidige geopolitieke klimaat kan die afhankelijkheid zich vertalen in concrete kwetsbaarheid. Niet alleen door handelsblokkades of het plotseling stopzetten van dienstverlening, maar ook door nevenschade bij sabotage die op een ander land is gericht. Sommige aanbieders mitigeren dat risico al door infrastructuur van meerdere partijen af te nemen of cloud- en on-premisesoplossingen te combineren. Maar dat is niet structureel geborgd.
De CSR benoemt deze leveranciersafhankelijkheid als vijfde risico en adviseert om vitale data en kernnetwerkfuncties zoveel mogelijk binnen Nederlandse of Europese jurisdictie onder te brengen. Dat is overigens geen garantie voor controle: ook bij een Nederlandse leverancier kan de feitelijke zeggenschap over bedrijfskritieke software beperkt zijn.
Daarbij verwijst de raad expliciet naar Europese initiatieven als het European Tech Sovereignty Package, dat de Europese capaciteiten voor onder meer halfgeleiders, AI, cloud en open source moet versterken. Ook de nieuwe Cyberbeveiligingswet bevat richtlijnen om “diversificatie in de markt en de leveranciersketen aan te jagen waar de afhankelijkheid van een enkele partij onevenredige veiligheidsrisico’s met zich meebrengt”.
Dreigingsbeeld als fundament
Het CSR-advies past in een breder dreigingsbeeld. De AIVD constateert in zijn jaarverslag over 2025 dat Nederland de grootste veiligheidsdreiging in decennia ervaart. Rusland bereidt zich voor op langdurige confrontatie met westerse landen en kwalificeert bepaalde activiteiten als sabotage, grenzend aan staatsterrorisme. China vormt de grootste dreiging voor de Nederlandse economische veiligheid, met spionageactiviteiten, cyberaanvallen en heimelijke verwerving van technologie. Het advies haalt twee waarschuwende voorbeelden aan. In 2023 legde een cyberaanval de Oekraïense telecomoperator Kyivstar, een dochter van het in Amsterdam gevestigde VEON, dagenlang plat. 24 miljoen klanten zaten al die tijd zonder mobiele communicatie. En in de Chinese Volt Typhoon-campagne nestelden staatshackers zich sinds 2021 sluimerend in Amerikaanse vitale infrastructuur, vermoedelijk als voorbereiding op toekomstige sabotage.
De Oekraïense ervaring levert de scherpste les. Na de Kyivstar-aanval bleek hoe kwetsbaar een gecentraliseerde infrastructuur is. Oekraïense telecomaanbieders hebben sindsdien in snel tempo hun netwerken gedecentraliseerd en redundant gemaakt. Concurrenten die normaal op prijs en kwaliteit strijden, besloten samen te werken aan beschikbaarheid en veiligheid om het land verbonden te houden. Dat is in feite de kern van wat de CSR het kabinet voorhoudt: organiseer in vredestijd wat Oekraïne onder vuur moest improviseren.