Onderzeese datakabels zijn de fysieke ruggengraat van het mondiale internet: glasvezelbuizen die op de oceaanbodem liggen en continenten met elkaar verbinden voor het transport van vrijwel al het digitale verkeer. Tot voor kort werden ze in Europese cybersecurityregelgeving slechts zijdelings behandeld. Dat verandert ingrijpend nu de Europese wetgever ze expliciet inbedt in de NIS-2-reikwijdte, aangespoord door een reeks ernstige incidenten die de strategische kwetsbaarheid van deze infrastructuur blootleggen.
Waarom onderzeese kabels nu centraal staan in NIS-2
Het NIS-2-wijzigingsvoorstel COM(2026)13 brengt onderzeese kabelexploitanten en de direct afhankelijke sectoren formeel onder de reikwijdte van de richtlijn. Aanleiding zijn meerdere hybride operaties gericht op Europese kabeltrajecten, waaronder de beschadiging van de BCS East-West Interlink en de Baltic Connector in 2023, die openlijk in verband werden gebracht met statelijke of parastatelijke actoren.
Ongeveer 95 procent van al het intercontinentale internetverkeer loopt via onderzeese glasvezelkabels, aldus ENISA in zijn rapport over dreigingen voor kabelinfrastructuur (2023). De EU-onderzeese kabelstrategie (JOIN(2023)20) stelt bovendien dat Europa voor zijn externe connectiviteit afhankelijk is van meer dan 70.000 km aan onderzeese kabels die Europese kustpunten met de rest van de wereld verbinden. Dat maakt sabotage van een beperkt aantal kritieke knooppunten voldoende om aanzienlijke verstoringen te veroorzaken voor clouddiensten, financiële transacties en overheidsnetwerken tegelijk.
“Subsea cables are a critical infrastructure on which our digital economy and society depends. Any disruption to them can have severe consequences for connectivity, communication and economic activity.”
Thierry Breton, voormalig Europees Commissaris voor de Interne Markt, bij de presentatie van de EU Undersea Cable Strategy 2023
In 2023 registreerde ENISA meer dan 150 significante incidenten in de sector digitale infrastructuur, waarvan een groeiend deel te herleiden was tot opzettelijke fysieke sabotage of hybride operaties (ENISA Threat Landscape 2023). Dit heeft de politieke urgentie versneld om kabelinfrastructuur niet langer als vanzelfsprekend te beschouwen.
Verplichtingen voor organisaties met grensoverschrijdende kabelafhankelijkheid
Organisaties die als essentiële of belangrijke entiteit onder NIS-2 vallen en voor hun cloudconnectiviteit afhankelijk zijn van grensoverschrijdende datakabelverbindingen, krijgen te maken met een gelaagd pakket verplichtingen.
Ten eerste schrijft NIS-2 (Richtlijn 2022/2555, artikel 21) voor dat entiteiten passende technische en organisatorische maatregelen nemen om de risico’s voor de beveiliging van hun netwerk- en informatiesystemen te beheersen. Grensoverschrijdende kabelroutes zijn daarbinnen een expliciete risicocomponent zodra COM(2026)13 kracht van wet krijgt. Dat betekent dat het risicoregister van een organisatie niet alleen datacenters en softwareketens moet bevatten, maar ook de fysieke transmissie-infrastructuur die haar clouddiensten in stand houdt.
Ten tweede verplicht NIS-2 tot het opstellen en testen van continuïteitsplannen die ook scenario’s voor infrastructuuruitval afdekken. Uitval van een kabeltraject is geen theoretisch risico meer: het is een scenario waarvoor aantoonbaar alternatieve routering moet zijn gereserveerd. Ten derde gelden meldingsverplichtingen bij significante incidenten, inclusief incidenten die voortkomen uit verstoringen in de upstream transmissie-infrastructuur van een cloudleverancier.
Continuïteitsplanning zonder afhankelijkheid van één kabelroute
De kern van weerbaarheid op dit vlak is routediversificatie: het bewust spreiden van datastromen over meerdere fysiek gescheiden kabeltrajecten en daarbinnen meerdere landingsstations. Dat klinkt voor veel organisaties als een taak van de cloudleverancier, maar de verantwoordelijkheid gaat verder dan contractuele garanties.
| Strategie | Toepassing | Aandachtspunt voor soevereine omgevingen |
|---|---|---|
| Multi-route kabelafspraken | Contractueel vastleggen dat leverancier gebruikmaakt van ten minste twee fysiek gescheiden kabeltrajecten via verschillende kabelconsortia | Controleer of kabelconsortia geen gemeenschappelijke aandeelhouders hebben die jurisdictionele risico’s opleveren (CLOUD Act) |
| On-premise of nationaal datacenter als primair systeem | Kerndata en kritieke werkprocessen lokaal hosten zodat kabeluitval geen directe bedrijfsstilstand veroorzaakt | Meest effectieve maatregel voor organisaties die NIS-2-verplichtingen combineren met GDPR-soevereiniteit |
| LEO-satelliet als noodcommunicatie | Commerciële low-earth-orbit satellieten als tijdelijke terugvaloptie voor communicatie | Let op eigendomsstructuur en toepasselijk recht van de aanbieder; niet alle LEO-diensten voldoen aan Europese soevereiniteiteisen |
| IRIS² (zodra operationeel) | EU-overheidssatellietnetwerk als gecertificeerde back-up voor kritieke sectoren | Verwachte operationele capaciteit 2027-2029; nu al meenemen in architectuurplanning |
Een continuïteitsplan dat kabeluitval serieus neemt, definieert voor elk kritiek systeem de maximale tolerantie voor verlies van externe connectiviteit (RTO/RPO) en legt vast welk alternatief pad binnen die termijn beschikbaar is. Voor organisaties met soevereine on-premise werkplekken, zoals een Nextcloud-gebaseerde samenwerkingsomgeving die lokaal wordt gehost, is de afhankelijkheid van externe kabelverbindingen per definitie kleiner: interne samenwerking loopt door ook als de buitenverbinding wegvalt.
IRIS², satellietcommunicatie en Europese back-upopties
Het IRIS²-programma (Infrastructure for Resilience, Interconnectivity and Security by Satellite) is de Europese respons op de behoefte aan een soevereine satellietcommunicatieoptie voor overheden en kritieke sectoren. Het programma omvat een constellatie van meerdere honderden satellieten in lage en middelbare banen, bedoeld om beveiligde breedbandconnectiviteit te bieden als aanvulling op grondgebonden kabelinfrastructuur.
“De dreigingen voor onderzeese kabels zijn niet langer hypothetisch. We zien een patroon van hybride acties die bewust gericht zijn op het destabiliseren van de digitale ruggengraat van Europa.”
Juhan Lepassaar, uitvoerend directeur ENISA, bij de publicatie van het ENISA Threat Landscape 2023
IRIS² is qua governance en financiering een EU-programma, waardoor het in principe buiten de jurisdictie van niet-Europese wetgeving zoals de Amerikaanse CLOUD Act valt. Dat maakt het programma relevant voor organisaties die niet alleen continuïteit maar ook jurisdictionele soevereiniteit nastreven. De operationele realiteit is echter dat IRIS² pas beschikbaar is rond 2027-2029. In de tussenliggende periode kunnen organisaties commerciële LEO-diensten inzetten, mits zij de jurisdictionele achtergrond van de aanbieder zorgvuldig beoordelen.
Hybride dreigingen en de Wet weerbaarheid kritieke entiteiten
De bescherming van kabelinfrastructuur raakt aan twee parallelle regelgevingskaders die elkaar aanvullen maar niet overlappen. NIS-2 dekt de cybersecurity-dimensie: de bescherming van netwerk- en informatiesystemen tegen digitale dreigingen en verstoringen. De Wet weerbaarheid kritieke entiteiten (Wwke), de Nederlandse implementatie van de CER-richtlijn (Richtlijn 2022/2557), dekt de fysieke weerbaarheid: bescherming van de entiteit zelf en haar fysieke infrastructuur tegen sabotage, terrorisme en andere fysieke bedreigingen.
Voor onderzeese kabeloperatoren en hun directe afhankelijke organisaties betekent dit dat zij aan beide regimes tegelijk moeten voldoen. De hybride dreiging, waarbij statelijke actoren zowel digitale aanvallen als fysieke sabotage combineren, maakt het scheiden van deze twee domeinen in de praktijk onwerkbaar. Een organisatie die haar cyberrisico’s goed beheerst maar geen beeld heeft van de fysieke kwetsbaarheden van haar kabelroutes, heeft een blinde vlek die beide regimes adresseren.
De Digital Networks Act (DNA), die parallel aan COM(2026)13 wordt ontwikkeld, beoogt aanvullende harmonisatie voor de governance van digitale netwerkinfrastructuur in de EU, inclusief kabelinfrastructuur. Hoewel de DNA primair gericht is op marktregulering, raken de vereisten voor toegang, beveiliging en veerkracht direct aan de complianceverplichtingen van grote cloudaanbieders die Europese kabelroutes gebruiken.
Due diligence voor compliance officers: kabelafhankelijkheden in kaart brengen
Compliance officers in sectoren als overheid, recht, financiën en gezondheidszorg dienen de kabelafhankelijkheden van hun leveranciersketen systematisch te documenteren. Dat begint met het stellen van gerichte vragen aan cloudleveranciers en datacenterbeheerders, maar gaat verder dan een vragenlijst.
Concreet betekent due diligence op dit vlak het volgende. Vraag uw cloudleverancier schriftelijk om een overzicht van de kabelconsortia waarvan zij gebruikmaken voor intercontinentale datatransmissie, inclusief de namen van de landingsstations. Controleer of er contractuele garanties zijn voor geografische diversificatie van routes. Voer een traceroute-analyse uit op kritieke datastroompaden om te verifiëren of de werkelijke routering overeenkomt met de contractuele beloften. Leg in het risicoregister vast welke systemen en processen stilvallen bij uitval van een specifieke kabelroute en binnen welke tijdsgrens alternatieve routing beschikbaar moet zijn.
Controleer ook of uw datacenterpartner zelf NIS-2-plichtig is en hoe zij de kabelrisico’s in hun eigen beveiligingsbeleid hebben opgenomen. Vraag naar hun continuïteitsaanpak bij kabeluitval en de mate waarin zij daarvoor contractuele afspraken hebben met meerdere kabelconsortia. Organisaties die werken met on-premise of nationaal gehoste infrastructuur hebben hierbij een inherent voordeel: hun kernprocessen zijn minder afhankelijk van continue externe verbindingen, waardoor de impact van kabeluitval beperkter is en de resterende externe verbindingen eenvoudiger te monitoren zijn.
FAQ: Onderzeese kabels, NIS-2 en infrastructuursoevereiniteit
Vallen alle Europese organisaties onder de NIS-2-verplichting met betrekking tot onderzeese kabels?
Nee. Alleen organisaties die expliciet als essentiële of belangrijke entiteit worden aangemerkt, vallen onder NIS-2. Daarbinnen zijn de verplichtingen rond kabelinfrastructuur met name relevant voor aanbieders van digitale infrastructuur, telecomaanbieders, overheidsinstanties en organisaties in sectoren zoals energie, financiën en gezondheidszorg die grensoverschrijdende cloudconnectiviteit gebruiken.
Wat is het verschil tussen NIS-2 en de Wet weerbaarheid kritieke entiteiten (Wwke) voor kabelbeveiliging?
NIS-2 richt zich op cybersecurity en digitale weerbaarheid, inclusief netwerk- en informatiesystemen. De Wwke (gebaseerd op de CER-richtlijn) dekt de fysieke weerbaarheid van kritieke entiteiten, waaronder de fysieke bescherming van kabelinfrastructuur tegen sabotage. Beide regimes zijn complementair en kunnen tegelijk van toepassing zijn op dezelfde organisatie.
Hoe kan mijn organisatie controleren via welke kabelroutes onze cloudleverancier data verstuurt?
Vraag uw cloudleverancier om een overzicht van de primaire en secundaire transmissieroutes en de onderliggende kabelconsortia waarvan zij gebruikmaken. Combineer dit met traceroute-analyses en contractuele clausules die de leverancier verplichten u te informeren bij significante routewijzigingen of incidenten op kabeltrajecten.
Is IRIS² al operationeel als back-up voor onderzeese kabels?
IRIS² bevindt zich op het moment van schrijven in de aanbestedingsfase en de eerste operationele capaciteit wordt niet eerder dan 2027-2029 verwacht. Het programma biedt op termijn een concrete Europese back-upoptie, maar organisaties kunnen nu al werken met commerciële LEO-satellietdiensten als tijdelijke noodmaatregel, mits die voldoen aan de soevereiniteitsvereisten die van toepassing zijn op hun sector.
Wat betekent het NIS-2-wijzigingsvoorstel COM(2026)13 concreet voor compliance officers?
COM(2026)13 stelt voor onderzeese kabelexploitanten en hun directe afhankelijke sectoren formeel onder de NIS-2-scoping te brengen. Voor compliance officers betekent dit dat zij de kabelafhankelijkheden van hun cloudleveranciers moeten opnemen in hun risicoregister, continuïteitsmaatregelen moeten documenteren en moeten aantonen dat zij alternatieve routeringsopties hebben geëvalueerd. Volg de voortgang van het voorstel via EUR-Lex (https://eur-lex.europa.eu).
