IRIS², de Infrastructure for Resilience, Interconnectivity and Security by Satellite, is het Europese satellietcommunicatieprogramma waarmee de EU een juridisch en technisch soevereine connectiviteitslaag wil opbouwen voor overheden, defensie en kritieke sectoren. Het programma valt onder het EU Space Programme en moet Europa minder afhankelijk maken van niet-Europese satellietaanbieders, commerciële netwerken en buitenlandse jurisdicties.
Wat is IRIS² en waarom is het anders dan Starlink?
IRIS² is specifiek ontworpen als overheidsdienst met Europese rechtsgrondslag, terwijl Starlink een commercieel Amerikaans product is dat onderworpen is aan de CLOUD Act en het toezicht van Amerikaanse autoriteiten.
In december 2023 tekende de Europese Commissie een concessiecontract met het SpaceRISE-consortium, een samenwerkingsverband van Eutelsat, SES en Hispasat, aangevuld met technologiepartners. De totale investering bedraagt circa 10,6 miljard euro, waarvan 2,4 miljard euro afkomstig is uit EU-middelen, deels via het EU Space Programme en deels via Horizon Europe-programma’s voor ruimtetechnologie. De ESA (European Space Agency) levert technische ondersteuning bij de ontwikkeling van de satellietarchitectuur en de grondstationinfrastructuur.
De constellatie omvat 290 satellieten in lage (LEO) en middelhoge (MEO) aardbanen. Dit hybride ontwerp is bewust gekozen: LEO-satellieten leveren lage latency voor tijdkritische toepassingen, terwijl MEO-satellieten brede dekking bieden voor minder latency-gevoelige overheidscommunicatie.
Thierry Breton, voormalig Europees Commissaris voor de Interne Markt, stelde bij de ondertekening van het concessiecontract: “IRIS² zal Europa voorzien van veilige connectiviteit die niet afhankelijk is van buitenlandse infrastructuur, en zo de strategische autonomie van de Unie versterken.”
Beveiligingsniveaus en encryptienormen voor IRIS²-dataverkeer
IRIS² kent een gelaagde beveiligingsarchitectuur met aparte capaciteitslagen voor overheidsgebruikers en commerciële afnemers, waarbij de overheidslaag hogere classificatieniveaus ondersteunt.
Voor gouvernementeel gebruik wordt een zogenoemde “governmental service” laag voorzien die versleuteld verkeer op EU-gerubriceerd niveau kan verwerken. De exacte technische standaarden worden bepaald in samenwerking met de Europese Raad, ENISA en nationale beveiligingsautoriteiten. Verwacht wordt dat eenzelfde raamwerk geldt als voor andere EU-ruimteprogramma’s: gebruik van door ENISA goedgekeurde cryptografische algoritmen, waarbij post-quantum cryptografie (PQC) nadrukkelijk op de agenda staat voor het moment van volledige operationalisering rond 2030.
In vergelijking met grondgebonden soevereine cloudinfrastructuur geldt het volgende onderscheid:
| Kenmerk | IRIS² (satelliet) | Soevereine on-premise of Zwitserse cloud |
|---|---|---|
| Juridische jurisdictie | EU-rechtskader, geen extraterritoriale werking | Afhankelijk van locatie: Zwitsers of EU-recht |
| Encryptieniveau | EU-gerubriceerd (overheidslaag), in ontwikkeling | Configureerbaar, inclusief post-quantum gereed |
| Fysieke controle | Grondstations onder Europese beheer | Volledig in eigen beheer (on-premise) of contractueel |
| Beschikbaarheid nu | Niet voor commerciële afnemers vóór 2027 | Direct beschikbaar |
| Failover-rol | Primaire functie: redundantie bij gronduitval | Primaire opslaginfrastructuur |
IRIS² als redundante verbinding onder NIS-2 voor kritieke infrastructuur
NIS-2 (Richtlijn 2022/2555) verplicht essentiële en belangrijke entiteiten tot maatregelen voor bedrijfscontinuïteit, inclusief redundante communicatieverbindingen bij uitval van primaire netwerken. IRIS² is hiervoor een serieuze kandidaat zodra het operationeel is.
Richtlijn 2022/2555 moest uiterlijk 17 oktober 2024 door alle EU-lidstaten zijn omgezet in nationale wetgeving. Artikel 21 van NIS-2 schrijft voor dat entiteiten technische en organisatorische maatregelen nemen die proportioneel zijn aan de risico’s, waaronder maatregelen voor de continuïteit van netwerk- en informatiesystemen. Voor organisaties in sectoren als energie, transport, water, financiën en overheid betekent dit concreet dat een single point of failure in de communicatieketen niet acceptabel is.
IRIS² kan in dit kader dienen als:
- Backup-verbinding wanneer grondgebonden glasvezel- of 5G-verbindingen uitvallen door een cyberaanval of fysieke calamiteit.
- Communicatiekanaal voor crisiscoördinatie tussen overheidsinstanties wanneer reguliere internet-routing is aangetast.
- Verbindingsoptie voor afgelegen locaties of kritieke infrastructuur (energiecentrales, waterbeheersinstallaties) die nu slecht bereikbaar zijn via grondgebonden netwerken.
Het Europees Agentschap voor Cyberbeveiliging (ENISA) stelt hierover: “De ruimtevaartsector is uitdrukkelijk opgenomen in de NIS-2-richtlijn als kritieke sector, wat betekent dat organisaties die afhankelijk zijn van ruimte-gebaseerde diensten nu concrete beveiligingsverplichtingen hebben.”
Juridische en regulatoire kaders voor organisaties die IRIS² integreren
Meerdere EU-rechtsinstrumenten zijn van toepassing op organisaties die IRIS² in hun architectuur willen opnemen.
De primaire rechtsgrondslag voor het IRIS²-programma zelf is Verordening (EU) 2021/696, de EU Space Regulation, die het EU Space Programme instelt en de beheersstructuur voor programma’s zoals Galileo, Copernicus en IRIS² vastlegt. EUSPA (EU Agency for the Space Programme) is de autoriteit die de uitvoering van het EU Space Programme coördineert en toezicht houdt op de dienstverlening aan gebruikers.
NIS-2 is het meest directe regulatoire kader voor afnemers van IRIS². Artikel 6 lid 4 van Richtlijn 2022/2555 kwalificeert de ruimtevaartsector expliciet als kritieke sector. Dit heeft twee gevolgen voor organisaties:
- Satellietoperatoren en grondstationbeheerders vallen zelf onder NIS-2-verplichtingen als essentiële entiteiten.
- Afnemende organisaties die IRIS² als kritieke schakel in hun communicatieketen opnemen, moeten de afhankelijkheid van deze leverancier adresseren in hun toeleveringsketenbeheer (artikel 21 lid 2 onder d van NIS-2).
Aanvullend is de GDPR relevant voor alle persoonsgegevens die via IRIS² worden verzonden. Omdat IRIS² een Europees rechtskader heeft en geen Amerikaans eigenaarschap kent, valt het dataverkeer niet automatisch onder de CLOUD Act of de Foreign Intelligence Surveillance Act (FISA). Dit is een wezenlijk voordeel ten opzichte van diensten van hyperscalers als Microsoft Azure of AWS, waarbij de Amerikaanse moedermaatschappij wettelijk verplicht kan zijn medewerking te verlenen aan verzoeken van Amerikaanse inlichtingendiensten.
Praktische beperkingen van IRIS² in de periode 2026-2030
Voor compliance officers en IT-beslissers is eerlijkheid over de huidige staat van IRIS² essentieel: de dienst is in 2025 nog niet operationeel beschikbaar voor externe afnemers en kent tot circa 2030 aanzienlijke beperkingen.
De voornaamste beperkingen zijn:
Tijdlijn en fasering: Eerste gouvernementele basisdiensten worden verwacht rond 2027-2028. Volledige operationele capaciteit met alle 290 satellieten is voorzien voor circa 2030. Er bestaat een reëel risico op verdere vertraging, zoals ook bij eerdere EU-ruimteprogramma’s (Galileo had meerdere jaren vertraging ten opzichte van de oorspronkelijke planning).
Dekking: De initiële constellatie zal primair Europa, Afrika en omringende zeegebieden bedekken. Mondiale dekking, vergelijkbaar met Starlink, is een latere fase. Organisaties met activiteiten buiten de EU moeten hier rekening mee houden.
Latency: LEO-segmenten bieden naar verwachting een latency van 20-40 milliseconden, vergelijkbaar met Starlink. MEO-segmenten zitten hoger (circa 150-600 ms), wat ze ongeschikt maakt voor realtime toepassingen zoals VoIP of videoconferentie. De exacte prestaties per gebruiksprofiel worden pas duidelijk bij operationele ingebruikname.
Capaciteit en prioritering: De totale capaciteit van IRIS² wordt gedeeld tussen een gouvernementele laag en een commerciële laag. In de beginfase is de beschikbare bandbreedte per gebruiker beperkt. IRIS² is dan ook in eerste instantie bedoeld als noodcommunicatie- en redundantieoplossing, niet als primaire breedbanddienst voor grootschalig dataverkeer.
Terminals en integratie: De grondterminals waarmee organisaties toegang krijgen tot IRIS² zijn begin 2025 nog niet beschikbaar. Organisaties die nu al plannen maken voor integratie in hun bedrijfscontinuïteitsarchitectuur, doen dit op basis van technische specificaties die nog in ontwikkeling zijn.
Veelgestelde vragen over IRIS² en soevereine connectiviteit
Wanneer is IRIS² operationeel beschikbaar voor overheidsgebruikers?
De eerste basisdiensten worden verwacht rond 2027-2028. Volledige operationele capaciteit met de geplande 290-satellieten-constellatie wordt niet voor circa 2030 verwacht. Organisaties dienen hun continuïteitsplannen hierop af te stemmen en mogen IRIS² niet opnemen als beschikbare maatregel in de huidige cyclus van NIS-2-audits.
Valt IRIS²-dataverkeer onder de CLOUD Act of Patriot Act?
IRIS² is een EU-programma met een concessie aan een Europees consortium en valt onder EU-rechtskader. Het dataverkeer via IRIS² is daarmee niet blootgesteld aan extraterritoriale werking van de Amerikaanse CLOUD Act of de Patriot Act, in tegenstelling tot diensten van Amerikaanse hyperscalers waarvan de moedermaatschappij in de VS is gevestigd.
Welke organisaties vallen onder NIS-2 in de ruimtevaartsector?
Artikel 6 lid 4 van Richtlijn 2022/2555 kwalificeert de ruimtevaartsector als kritieke sector. Dit omvat grondstations, satellietoperatoren en aanbieders van ruimtegebaseerde diensten. Afnemende organisaties in andere sectoren (energie, overheid, financiën) die IRIS² als kritieke verbinding inzetten, moeten de afhankelijkheid adresseren in hun leveranciersrisicobeheer.
Kan IRIS² Microsoft 365 of een cloudwerkplek vervangen?
Nee. IRIS² is uitsluitend een communicatie-infrastructuur en levert geen applicaties, opslag of samenwerkingsdiensten. Het kan dienen als soevereine verbindingslaag voor een on-premise of Zwitserse cloudoplossing, bijvoorbeeld op basis van Nextcloud, als grondgebonden verbindingen uitvallen. Wie soevereine data-opslag wil, heeft altijd aanvullende maatregelen nodig naast satellietconnectiviteit.
Hoe verhoudt de latency van IRIS² zich tot Starlink?
De LEO-component van IRIS² biedt naar verwachting latency vergelijkbaar met Starlink (20-40 ms), maar de MEO-component zit aanzienlijk hoger. Starlink is vandaag operationeel beschikbaar en heeft een bewezen trackrecord in latency-prestaties; IRIS² moet dat nog waarmaken bij ingebruikname. Voor latency-gevoelige toepassingen blijft grondgebonden connectiviteit de voorkeur houden, waarbij IRIS² uitsluitend als failover dient.
