Nederlandse banken riskeren systeemuitval door groeiende IT-afhankelijkheid VS

Nederlandse banken en financiële instellingen zijn digitaal afhankelijk van grote Amerikaanse techbedrijven, wat tot concentratie- en systeemrisico’s kan leiden. Verstoring bij één leverancier kan grote delen van de financiële sector raken, waarschuwen de AFM en DNB in een rapport.

De financiële sector in Nederland loopt een groeiend risico door de toenemende afhankelijkheid van een klein aantal niet-Europese IT-leveranciers. Dat stellen de Autoriteit Financiële Markten en De Nederlandsche Bank in een gezamenlijk rapport. Het gaat daarbij om kritieke processen, schrijven de twee toezichthouders.

Steeds meer instellingen besteden IT‑taken uit aan externe partijen, zoals cloud-, software- en AI‑dienstverleners, constateren de Nederlandse toezichthouders. De verschuiving van on-premises IT-infrastructuren naar cloudgebaseerde diensten zorgt voor grote afhankelijkheid. "Waar banken eerder met meerdere leveranciers werkten, wordt nu de volledige IT-stack aan één techbedrijf toevertrouwd."

Dominantie van hyperscalers en geopolitieke druk

"Een paar grote, wereldwijd opererende digitale dienstverleners, de zogeheten hyperscalers, zijn de afgelopen jaren het hele speelveld gaan domineren", aldus het rapport. Het gaat niet alleen om technische aspecten; internationale verhoudingen zijn ook bepalend. "Door recente geopolitieke ontwikkelingen worden de risico’s van deze digitale afhankelijkheid urgenter", stellen de toezichthouders.

Het is 'in het huidige gure geopolitieke klimaat' namelijk mogelijk 'dat statelijke actoren deze afhankelijkheid van digitale dienstverlening misbruiken als politiek pressiemiddel of instrument in een handelsconflict', aldus de AFM en DNB. "Denk bijvoorbeeld aan een situatie waarin essentiële IT-dienstverlening door sancties plotseling wordt stopgezet, of aan een hybride aanval waarbij cyberaanvallen en fysieke schade aan infrastructuur leiden tot de verstoring van kritieke en vitale processen." Financiële instellingen zijn zich bewust van deze risico's, blijkt uit het rapport, maar moeten meer actie ondernemen.

De AFM en DNB waarschuwen voor fundamentele problemen door digitale afhankelijkheid. Dat leidt tot twee soorten risico's: concentratie- en systeemrisico's. Bij concentratierisico liggen te veel middelen bij één of enkele partijen, in dit geval IT-dienstverleners. "Storingen en cyberincidenten bij IT-dienstverleners kunnen daardoor meerdere instellingen tegelijkertijd raken."

Het tweede soort risico gaat een stap verder: bij systeemrisico in de financiële sector kan de hele Nederlandse economie worden geraakt. "Afhankelijkheden beperken zich niet langer tot individuele instellingen, maar kunnen zich, mede via ketens van dienstverleners, opstapelen tot risico’s op systeemniveau." Daardoor hangt de stabiliteit van het financiële stelsel ook af van de robuustheid van externe leveranciers, waarschuwen de toezichthouders.

Weerbaarheid en Europese alternatieven

Zij willen met deze waarschuwing financiële instellingen aansporen hun digitale weerbaarheid verder te versterken. De AFM en DNB benadrukken ook het belang van Europese digitale autonomie. Daarvoor zijn 'volwaardige Europese alternatieven' nodig. Dat vraagt om een sterker innovatie- en investeringsklimaat voor Europese techbedrijven. "Digitale afhankelijkheid is een complex vraagstuk, dat niet op korte termijn is op te lossen."

Reacties (32)

[Knallmeister]

Eigenlijk zou dit oud nieuws moeten zijn, maar het is helaas zeer actueel. Als er een (1) voordeel van Trump in het Witte Huis is, dan is het dat hij Europa wakker heeft geschud, alhoewel ik van mening ben dat we nog tamelijk slaapdronken zijn.

Hoe gaan we die afhankelijkheid van die Amerikaanse Techsector doorbreken: Allereerst worden er vele hectoliters koffie gedronken, en dan klopt de overlegsector zich op de borst. Vervolgens zal er niet echt veel veranderen.

Cynisch? welnee.

[Reactie gewijzigd door Knallmeister op 20 oktober 2025 17:25]

[eheijnen]

En daar komen ze NU pas achter....
Dat zijn zij en vele anderen al decennia...

[Glashelder]

Het meest hilarische is dat DNB ook gewoon in Azure zit…

Als Azure Engineer zijnde vind ik dit echt een onbegrijpelijke ontwikkeling gezien de huidige geopolitieke ontwikkelingen. Eigenlijk is niets in Azure echt nodig. Ja, veel ontwikkelingen zijn echt super handig, maar voor je bedrijfsprocessen zijn echt wel on premise alternatieven. Het kost je wel wat meer geld, niet alleen aan hardware maar ook gewoon aan FTE. Nou en?

We blijven onszelf wijsmaken dat we al die snufjes echt nodig hebben.

[swhnld]

Ik ben het niet met je eens dat on-prem duurder hoeft te zijn. Het hangt allemaal van schaal en verstand af.

Schaal, een aanbieder van een cloud oplossing moet ook servers draaien en beheren. Voor een bedrijfje met 50 mensen is dat te duur misschien om zelf te doen en huur je bij een ander, maar een bedrijf met 50.000 mensen, dan spreek je over een hele andere schaal, dan kan de berekening ineens anders uitpakken.

Verstand, sommige mensen zien uitbesteden (/cloud) als de heilige graal. Magisch is alles geregeld. Tot je nadenkt en kleine lettertjes leest. Je bent immers nog steeds aansprakelijk als bedrijf bij een data lek, je hebt nog steeds backups nodig en moet kunnen aantonen dat die werken, je hebt nog steeds uitwijkplannen nodig en moet die testen. En hoe ga je een omgeving niet onder je controle uitzetten als er ingebroken is om schade te beperken, rij even langs bij Amazon of Microsoft?

Er is wetgeving voldoende in opkomst, NIS2, CRA, DORA, het valt mij tegen dat DNB niet zelf het goede voorbeeld geeft en de financiële instellingen waarschuwen dat hun vergunningen in gevaar komen als ze hun verantwoordelijkheid niet nemen. Advies nu is maar contant geld in huis te halen, want vertrouwen in eigen kunnen is er niet.

[downtime]

Contant geld in huis halen is natuurlijk zinloos aangezien je daarmee wel bij de supermarkt kunt betalen maar de supermarkt zelf z'n leveranciers en personeel alleen maar digitaal kan betalen. Je voorkomt er geen lege winkelschappen mee, zeker niet als er paniek ontstaat. Wat doe je dan nog met je contante geld?

[fenrirs]

Melk, vlees, aardappels, groenten en eieren bij de boer, meel bij de molen en zelfs gasflessen kan je hier in het dorp contant betalen.
OK, gaat maar een beperkte tijd goed, maar we komen een eind, zelfs als de stroom uitvalt.

[Barsonax]

Ik zie het ook bij de DNB dat ze behoorlijk vast zitten in het Azure moeras. Dat vastzitten hoeft natuurlijk niet perse want je kan ook voor technieken kiezen die niet perse vastzitten aan Azure maar portable zijn zodat je ook naar andere clouds kan.

Dan heb je tenminste een exit strategie omdat als partij x niet meer betrouwbaar is je relatief makkelijk kan switchen.

Binnen Europa zijn er tegenwoordig alternatieven zoals scaleway die toch een behoorlijke set aan bouwblokken (denk aan managed databases, S3, identity, networking, kubernetes) hebben. Veel applicaties zouden daar in passen.

[Reactie gewijzigd door Barsonax op 20 oktober 2025 16:42]

[jaapio88]

Laten we nu hier niet heel hard gaan roepen dat we het beter weten. Want wij - techneuten - zijn er schuldig aan dat alle bedrijven denken dat ze in de public cloud beter af zijn. Wij bedachten dat al die super nuttige speciale versies van databases beter paste dan de databases waar we al decennia mee werkte.

Het is zeker waar dat de business zich heeft laten verleiden door de leugens dat het goedkoper is. Maar ik denk dat we onszelf ook wel even goed in de spiegel moeten aankijken. Met de mededeling, 'ik ben er mede schuldig aan dat we nieuwe technologieën wilde gebruiken zonder 24/7 shifts'

[Orangelights23]

Daar komen ze niet achter hoor, dit is voor de zoveelste keer gerapporteerd. Groeten, een CISO bij een bank die inmiddels draait op Europese alternatieven.

[Simon Weel]

Alles wat niet core business heet wordt afgestoten. Dat is al heel lang bezig. Mijn vader werkte in de zuivel. Ze hadden hun eigen vrachtwagenpark met tankwagens e.d. En toen kwam Bereschot en die zei: die vrachtwagens, dat heeft toch niks met zuivel te maken? Die moet je wegdoen en dan inhuren wanneer je ze nodig hebt. En dat idee is de afgelopen 50 - 60 jaar door het hele bedrijfsleven doorgevoerd, tot de paperclips aan toen - die kan je ook huren. Of neem mijn eigen bedrijfstak de bouw. Vroeger had een aannemer personeel die alles deed. Nu heeft een aannemer een coordinator die alle ZZP's moet coördineren - zelf bouwen ze niets meer. Maarja, op een dag zegt de helft van de ZZP'ers: nee, nu even niet. En dan heb je een probleem. Een zelfgekozen probleem.

[JayPe]

Just-in-time versus geen betere raad dan voorraad.

Chips die niet geleverd kunnen worden en een opdrogende bevoorradingsketen.. hmm.

Misschien wegen de besparingen die er de afgelopen jaren mee gemaakt zijn ook wel gewoon op tegen de crisis waar de auto-industrie nu in dreigt te belanden. Maar dan wel graag als een gecalculeerd risico.

Net zoals de DNB, of zoals vandaag de AWS storing liet zien: Heel veel services. Als we gewend zijn dat alles altijd werkt, zijn we dan extra onthand als het ineens niet meer werkt?

Darwin zei niet: De sterkste overleeft. Maar die zich het best kan aanpassen aan de veranderende omstandigheden.

[Pasteis]

Probleem is vooral dat men te weinig bij risico’s stilstaat. Of te veel vanuit een optimistisch gedachtegoed denken.

En ik snap het, want beleidsmakers en aandeelhouders zijn moeilijk te overtuigen als het hen geld of voordeel kost.

[KorporaalTimmer]

De EU stond destijds toe dat Microsoft Nokia kwam slopen en opbreken. Als ze daar iets beter over nagedacht hadden dan zou Europa nog steeds eigen telefoons, tablets en ook een eigen OS hebben. Vervolgens had de EU boetes kunnen opleggen aan elk bedrijf dat het OS niet ondersteunde en we hadden veel minder problemen gehad. Dat het nu te laat is dat weet iedereen.

[Heloise]

Dat lijkt me wel erg simpel gedacht en ook niet zoals ik dat begrepen heb.

Het was Nokia die, kort gezegd, gewoon niet met de tijd was meegegaan, en producten (telefoons) bleef maken die niet langer bij hun klanten in de smaak vielen omdat die elders “betere” konden kopen (en daar dan ook nog meer geld voor wilden betalen).

[rustycrab]

Laat dit nou een keer de schakeling zijn voor deze grote partijen om een beetje te verdiepen en de wil te hebben om van deze big tech af te stappen.

Misschien groter op laten bloeien wat de voordelen zijn van FOSS alternatieven en Linux wel degelijk een goed alternatief is.

[Reactie gewijzigd door rustycrab op 20 oktober 2025 18:31]

[Bedge85]

Hopelijk komt dit rapport van de toezichthouder ook aan bij de fiscus: nieuws: Ook fiscus kan geen EU-alternatief voor Microsoft vinden en zet migratie door

[Falcon10]

Het is een issue dat reeds een decennia, en langer, geleden begonnen is, met het enige verschil dat toen veel nog on-prem draaide, en ondanks dat de infrastructuur ook grotendeels op bijvoorbeeld Micorosft software draaide, kon je indien er enige sancties zouden zijn vanuit de VS je infrastrctuur draaiende houden (al was het dan tegen het contract of regelgeving in en zonder securityupdates).

Nu kan men gewoon de toegang tot je hele infrastructuur afzetten, zonder dat je er iets aan kan doen (zie die rechter bij het Gerechtshof in Den Haag). Dit soort risico's heeft men in het verleden over het oog gekeken (bewust/onbewust), of geminimaliseerd.

Echter met alle geopolitieke spanningen en afhankelijkheid die deze systemen nu hebben in het ganse eocomische systeem van Europa, is het nu een probleem. ( en terecht). Dit komt nog eens dubbel zo hard naar boven in wetgevingen zoals DORA, NIS2, CER, ...

Probleem is dat je niet "snel" even overschakeld van MS/Google/AWS/Oracle naar .... Want er is niets Europees dat het zo direct aan kan/support heeft/etc. Dit is minstens een 10 jaren plan eer we hier aan kunnen beginnen.

Onlangs nog een op een Cyberevent geweest, en daar was eenbepaalde onderzoeker, die het in de mond durfde te nemen door te zeggen: "Misschien dat we terug meer on-prem moeten gaan".

[Pinkys Brain]

Waar een wil is, is een weg. De wil is het probleem.

Er is niets fundamenteel anders dan 10 jaar terug ... er is niets fundamenteels waar Azure/AWS voor nodig is. Vooral 365 bespaart wat geld voor de IT, maar dat is over het hele bedrijf gezien ook niet fundamenteel.

Amerikaanse software kom je niet omheen, Amerikaanse SaaS wel.

[gpon]

Niet alleen Nederland maar de halve wereld is afhankelijk van een handjevol Big Tech bedrijven uit de USA. Waarom? Gewoon gemakzucht. In China hebben ze dit veel slimmer aangepakt door werkelijk voor elke westerse oplossing een lokaal alternatief te creëren. Maar zij hebben ook de middelen en mankracht om dit op touw te zetten. In Europa is er simpelweg teveel verdeeldheid onder de lidstaten om die afhankelijk te doorbreken. Waar EU-lidstaten zitten te bekvechten is Amerika de lachende derde.

Trump hoeft maar de stekker eruit te trekken en alle banken en overheid infra ligt op zijn gat.

[sircampalot]

Deze waarschuwing valt wel heel toevallig samen met de grote storing bij AWS.
Zou de waarschuwing al die tijd wachtend op de plank hebben gelegen?

[Heloise]

Ik moet hier geweldig om lachen: wat een naïviteit bij deze partijen, en in het verlengde de gehele EU.

Een kind kon dit decennia geleden al zien aankomen, met een EU die altijd voorrang geeft (nog steeds) aan nationale belangen en kleinzieligheid (bv. het hierboven al genoemde USB-C item, en in het verleden bv. al dan niet kromme komkommers).

Natuurlijk zijn en waren er allerlei EU programma’s (subsidies) om (weer) vooraan te komen staan in de wereld, maar die waren en zijn in het bedrijfsleven vooral berucht om hun bureaucratie. En bij universiteiten vooral om hun “gratis” geld en boterzachte voorwaarden (zodat bv. al bestaande research-resultaten nog eens opnieuw te gelde gemaakt kunnen worden).

Kortom, de EU heeft gewoon decennia lang de verkeerde keuzes gemaakt en plukt daar nu de zure druiven van. Deels wordt dit afgewenteld op de “winnaars” (dus niet-EU Big Tech), maar die hebben niets anders gedaan dan gebruik maken van de geboden mogelijkheden (en nagenoeg altijd binnen de wettelijke kaders).