Rijksanalyse zet een cyberaanval op een grote cloudaanbieder bovenaan de digitale risicolijst voor Nederland

De cloud staat bovenaan en dat is ongebruikelijk

Een grootschalige cyberaanval op een van de grote cloudaanbieders hoort tot de belangrijkste veiligheidsrisico’s voor Nederland. Dat is de uitkomst van de Rijksbrede Risicoanalyse Nationale Veiligheid 2026, die op 16 oktober werd gepubliceerd. Het scenario valt op omdat het in twee opzichten hoog scoort: de analisten achten het betrekkelijk waarschijnlijk, en de gevolgen zouden groot zijn.

Die combinatie is zeldzaam in dit soort stukken. Doorgaans staan de zwaarste scenario’s in de hoek van de kleine kans, en de waarschijnlijke gebeurtenissen in de hoek van de beperkte schade. Bij een uitval van een cloudreus vallen beide samen, en juist dat maakt het volgens de analyse tot een dreiging die bestuurlijke aandacht vraagt.

Wie de analyse heeft opgesteld

De analyse is gemaakt door deskundigen van het Analistennetwerk Nationale Veiligheid, op verzoek van de Nationaal Coordinator Terrorismebestrijding en Veiligheid. In dat netwerk werken het RIVM, TNO, Instituut Clingendael, SEO Economisch Onderzoek, de AIVD en de MIVD samen.

Het stuk is geen beleidsplan. Het is een inventarisatie van wat het Koninkrijk kan ontregelen, en het dient als onderbouwing voor de herziening van de Veiligheidsstrategie voor het Koninkrijk der Nederlanden. Pas in die strategie maakt het kabinet keuzes over wat het beschermt en waarmee.

Acht categorieen dreigingen in een overzicht

De analisten brengen de dreigingen onder in acht categorieen: klimaat en natuurrampen, infectieziekten, ernstige ongevallen, polarisatie en extremisme en terrorisme, ongewenste inmenging in de democratische rechtsstaat, internationale militaire dreigingen, economische dreigingen en cyberdreigingen. De wereld is in vier jaar wezenlijk veranderd, stellen zij, met geopolitieke, economische en digitale gevaren naast risico’s die niemand bedoelt, zoals een pandemie of extreem weer.

Nieuw is dat ook gecombineerde scenario’s zijn doorgerekend, waarin meerdere dreigingen tegelijk optreden. Dat maakt de analyse ingewikkelder, maar het sluit beter aan bij hoe crises zich in de praktijk aandienen.

Waarom de afhankelijkheid van de cloud zo zwaar weegt

Het bijbehorende themarapport over cyberdreigingen wijst op de afhankelijkheid van een beperkt aantal buitenlandse technologiebedrijven. Die concentratie raakt volgens de analisten de digitale zelfstandigheid van Nederland en vergroot de kwetsbaarheid van de infrastructuur, omdat storingen bij een enkele aanbieder zich meteen over veel afnemers verspreiden.

De sectoren die daarbij worden genoemd lopen dwars door het dagelijks leven heen: betalingsverkeer, zorginstellingen, energievoorziening, overheidsdiensten, regionale waterdistributie en logistiek. De analyse benoemt ook dat digitale incidenten door kunnen slaan naar fysieke ontregeling, omdat digitale systemen inmiddels diep in de samenleving verweven zijn.

Het scenario over de duistere kanten van Big Tech

Een van de uitgewerkte scenario’s heeft de titel De duistere kanten van Big Tech. Daarin groeit de afhankelijkheid van grote technologiebedrijven zo ver door dat de overheid de greep verliest op haar eigen digitale diensten en op de gegevens die daarin staan.

Dat is een andere soort dreiging dan een aanval. Er hoeft niemand in te breken: het verlies van zeggenschap ontstaat uit gewone contracten, koppelingen en gewoontes. Daarmee valt het scenario ook moeilijker te bestrijden met beveiliging alleen.

Ook toeleveranciers en satellieten komen voorbij

Naast de cloud noemen de analisten aanvallen via toeleveranciers die doorwerken in vitale infrastructuur, en kwetsbaarheden in satellietsystemen. Verder gaat het over verlies van gegevens en het uitlekken van gevoelige informatie, en over kettingreacties waarin een digitaal incident fysieke schade veroorzaakt.

Wat die punten bindt, is dat de zwakke plek bij een ander ligt dan bij de organisatie die de schade oploopt. Een ziekenhuis of een waterbedrijf kan zijn eigen systemen op orde hebben en toch stilvallen.

Wat dit voor Nederland betekent

De Nederlandse cijfers geven het betoog gewicht. Volgens een analyse van persbureau ANP op het Handelsregister van de KVK groeide het aantal cybersecuritybedrijven in Nederland van iets meer dan honderd begin 2020 naar 962 in het vierde kwartaal van dit jaar, tegen 233 eind 2021. Het aantal datalekmeldingen bij de Autoriteit Persoonsgegevens liep in dezelfde periode op van 24.000 in 2020 naar ruim 39.000 vorig jaar.

Recente incidenten laten zien hoe snel zoiets merkbaar wordt. Bij de hack van Odido werden gegevens van 6,2 miljoen Nederlanders buitgemaakt, en het cyberincident bij Ahold Delhaize hield de systemen van Albert Heijn, Etos en Gall en Gall een week uit de lucht. Het Nationaal Cyber Security Centrum noemt de Cyberbeveiligingswet als een van de verklaringen voor de groei van de sector.

Wat de analyse niet oplost

Het stuk bevat geen rangorde met kansen in procenten en geen schadebedragen, en dat beperkt wat er direct mee te doen is. Het advies blijft op hoofdlijnen: versterk de digitale weerbaarheid, bouw risicovolle afhankelijkheden af en werk crisisplannen verder uit.

Daarnaast vragen de analisten om fundamentele strategische keuzes over internationale samenwerking en over de verdeling van schaarse middelen. Welke keuzes dat worden, staat nergens in de analyse. Dat is aan het kabinet, en dus is nog onbekend of en hoe de afhankelijkheid van een handvol buitenlandse aanbieders daadwerkelijk kleiner wordt.