Nederland zit in een grijze fase, niet openlijk in oorlog maar ook niet in vrede. Zo typeert de Rijksinspectie Digitale Infrastructuur (RDI) de huidige situatie in haar deze week gepubliceerde Trendradar 2026-2035. Netwerken, kabels en datacenters noemt de inspectie inmiddels een geopolitiek machtsinstrument, en tegelijk een doelwit.
Hybride aanvallen blijven
Voor deze vijfde editie bracht de RDI samen met dertig experts uit bedrijfsleven, kennisinstellingen en overheid 26 trends in kaart. Heimelijke aanvallen door statelijke actoren, van hacks op vitale diensten tot het verstoren van communicatiesignalen en sabotage van fysieke infrastructuur, zijn volgens het rapport sterk toegenomen. De inspectie verwacht dat dit dreigingsniveau structureel wordt. Nederland leunt voor vitale delen van zijn digitale infrastructuur op andere landen, een afhankelijkheid die steeds vaker als drukmiddel word ingezet.
Aanvallers kiezen de omweg via leveranciers
Statelijke actoren laten het werk graag over aan criminele groepen, waardoor de opdrachtgever buiten beeld blijft. Ook gaan ze vaker via de toeleveringsketen naar binnen. De RDI wijst op SolarWinds in 2020, de inbraak bij bestandsoverdrachtsoftware Cleo in 2024 en misbruik van Citrix-kwetsbaarheden in 2025. AI maakt het er niet eenvoudiger op. Het rapport noemt LAMEHUG, malware met een ingebouwd taalmodel die vorig jaar werd ingezet door APT28, een groep die aan Rusland gelieerd is. Het mkb is volgens de inspectie vaker doelwit als het grootbedrijf, terwijl de weerbaarheid daar achterblijft.
Wellicht is dit het meest onderschatte punt uit het hele rapport. Een kleine leverancier met een plat netwerk en een verouderde firewall is voor een statelijke actor gewoon een handige voordeur.
Wat betekent de RDI Trendradar voor Nederlandse organisaties?
Beschikbaarheid wordt minder vanzelfsprekend. Nederland haalt nu meer dan 99,98 procent, maar de RDI twijfelt hoe lang dat houdbaar is en wil dat uitval eerder als een te verwachten incident wordt gezien. Over quantum is de inspectie stellig. Start nu met de overstap naar post-quantum cryptografie, ook zonder wettelijke plicht, omdat aanvallers versleutelde data vandaag al opslaan om die later te kraken. Een groot deel van de kenners deelt die urgentie, zeker voor organisaties met gegevens die over tien jaar nog gevoelig zijn.
Opvallend is ook de waarschuwing over e-commerce. Sinds 2024 passeren jaarlijks meer dan een miljard pakketten de Nederlandse grens en 85 tot 95 procent van die producten voldoet niet aan EU-regels, ook op het gebied van cyberbeveiliging. Denk aan goedkope IoT-apparaten die zomaar op een bedrijfsnetwerk belanden.
Zet de Trendradar op de agenda van het volgende MT-overleg en stel dan twee vragen. Welke leveranciers hebben toegang tot ons netwerk, en hoe draaien we door als de verbinding een dag weg valt?
