Onderzeese datakabels zijn de fysieke ruggengraat van het mondiale internet: dunne bundels glasvezel op de oceaanbodem die continenten met elkaar verbinden en waarover meer dan 95% van al het intercontinentale data- en telefoonverkeer loopt (Europese Commissie, EU Action Plan on Cable Security, 2024). Voor Europese organisaties in gereguleerde sectoren, zoals overheid, rechtspraktijk en financiële dienstverlening, is de kwetsbaarheid van deze infrastructuur geen abstracte geopolitieke kwestie maar een directe bedreiging voor bedrijfscontinuïteit, datasoevereiniteit en naleving van regelgeving.
Wat maakt onderzeese kabels zo kwetsbaar voor sabotage?
Onderzeese kabels zijn fysiek moeilijk te bewaken en juridisch complex om te beschermen. Ze lopen door internationale wateren, aanlandingspunten zijn beperkt in aantal en reparatieschepen zijn schaars.
De incidenten van de afgelopen jaren illustreren het risico concreet. In november 2024 werden twee kabels in de Baltische Zee beschadigd, waaronder de BCS East-West Interlink tussen Zweden en Litouwen en de C-Lion1-kabel tussen Finland en Duitsland. Hoewel anker- of ankersleep als mechanische oorzaak niet kan worden uitgesloten, wezen Europese inlichtingendiensten en de NAVO op de mogelijkheid van opzettelijke beschadiging. Eerder, in oktober 2022, werden de Nord Stream-gaspijpleidingen opgeblazen, wat aantoont dat onderwaterinfrastructuur een aantrekkelijk doelwit is voor statelijke actoren met hybride oorlogsdoelstellingen.
Wereldwijd registreert de International Cable Protection Committee (ICPC) gemiddeld 150 tot 200 kabelincidenten per jaar, met een stijgend aandeel dat wordt toegeschreven aan intentionele beschadiging (ICPC, 2024). De Europese Commissie wees in haar Aanbeveling (EU) 2024/779 over de bescherming van onderzeese kabelinfrastructuur op een structureel knelpunt: de gemiddelde hersteltijd na ernstige kabelschade bedraagt ongeveer acht weken, omdat het aantal gespecialiseerde kabelreparatieschepen wereldwijd beperkt is en prioritering van herstelwerkzaamheden politieke en commerciële complexiteit met zich meebrengt.
Bedrijfscontinuïteit: wat uitval of sabotage concreet betekent
De impact van kabeluitval verschilt sterk per organisatie, afhankelijk van hoe de connectiviteitsarchitectuur is ingericht en welke diensten via welke routes lopen.
Organisaties die hun primaire werkomgeving volledig in een publieke cloud hebben ondergebracht bij een Amerikaanse hyperscaler, lopen een bijzonder risico. De datacenters van Microsoft Azure, Amazon Web Services en Google Cloud in Europa zijn via transatlantische kabels verbonden met hun beheer- en authenticatiesystemen in de Verenigde Staten. Uitval van een kritieke kabelroute kan betekenen dat authenticatiediensten, identiteitsbeheer of essentiële API-aanroepen tijdelijk niet beschikbaar zijn, zelfs als de data zelf in Europa staat. Voor organisaties in de rechterlijke macht, de gezondheidszorg of de financiële sector, waar continuïteit wettelijk is vereist, is dit een direct compliance-probleem.
Daarnaast geldt een second-order effect: wanneer meerdere organisaties tegelijkertijd worden getroffen door dezelfde kabeluitval, neemt de druk op alternatieve routes en satellieten sterk toe. De capaciteit van alternatieve verbindingen is niet onbeperkt en prioritering vindt dan commercieel plaats, niet op basis van maatschappelijke urgentie.
De EU Cable Security Toolbox en verplichtingen onder NIS-2
De EU Cable Security Toolbox, gepubliceerd in februari 2026 door de Europese Commissie als uitwerking van het EU Action Plan on Cable Security, biedt een gemeenschappelijk kader voor lidstaten en aanbieders van kritieke digitale infrastructuur.
De toolbox omvat maatregelen op vier niveaus: versterking van de fysieke beveiliging rondom kabellandingsstations, coördinatie van bewaking in internationale wateren via EU-lidstaten en NAVO-partners, versnelling van vergunningsprocedures voor kabelherstel, en diversificatie van eigendom en routering om strategische afhankelijkheid van niet-Europese partijen te verminderen.
De Europese Commissie stelde eerder al in haar Aanbeveling (EU) 2024/779 dat “submarine cables are the backbone of the global digital economy” en dat bescherming ervan “a matter of European sovereignty and security” is.
Voor gereguleerde organisaties is de koppeling met Richtlijn (EU) 2022/2555, de NIS-2-richtlijn, cruciaal. NIS-2 verplicht entiteiten in aangewezen sectoren, waaronder digitale infrastructuur, overheid, energie en gezondheidszorg, tot een gedocumenteerde risicoanalyse die alle afhankelijkheden in de toeleveringsketen omvat. De afhankelijkheid van specifieke kabelroutes voor de toegang tot primaire bedrijfsdiensten moet aantoonbaar zijn beoordeeld. Bij een incident geldt bovendien een meldplicht: een aanzienlijk incident dat de drempelwaarden voor impact overschrijdt, moet binnen 24 uur worden gerapporteerd aan de bevoegde nationale autoriteit.
ENISA, het Agentschap van de Europese Unie voor cyberbeveiliging, formuleerde het als volgt: “The dependency of Europe on a limited number of cable landing stations creates single points of failure that adversaries can exploit with relatively low effort.”
Cable Projects of European Interest: langetermijnperspectief op redundantie
De Europese Commissie heeft 13 Cable Projects of European Interest (CPEI) aangewezen als strategische prioriteit voor Europese connectiviteitssoevereiniteit. Deze projecten, gefinancierd via de Connecting Europe Facility (CEF) Digital, richten zich op het aanleggen of upgraden van kabelverbindingen die Europese lidstaten, overzeese gebieden en strategische derde landen verbinden via routes die minder afhankelijk zijn van bestaande concentratiepunten.
| Aspect | Huidige situatie | Doelstelling via CPEI |
|---|---|---|
| Routediversiteit | Sterk geconcentreerd via Atlantische en Middellandse Zee-routes | Nieuwe noordelijke, zuidelijke en overzeese routes |
| Eigendomsstructuur | Overwegend in handen van hyperscalers en niet-EU-partijen | Groter aandeel Europees of publiek eigendom |
| Landingsstations | Beperkt aantal kwetsbare concentratiepunten | Spreiding en versterking van aanlandingspunten |
| Financiering | Primair commercieel | Gedeeltelijk via CEF Digital en lidstatelijke cofinanciering |
De CPEI-projecten zijn geen korte-termijn oplossing: kabelprojecten hebben een doorlooptijd van vijf tot tien jaar, inclusief vergunningverlening, mariene surveys en aanleg. Organisaties die nu hun continuïteitsplannen opstellen, kunnen de CPEI-ontwikkelingen meewegen in hun langetermijnarchitectuur, maar mogen er niet op rekenen als bescherming voor de komende jaren.
Connectiviteitsarchitectuur diversifiëren: praktische overwegingen
Diversificatie van connectiviteit is geen eenmalige technische ingreep maar een architectuurprincipe dat doorwerkt in leverancierskeuzes, contracten en risicobeoordeling.
De eerste stap is inzicht: welke routes gebruikt uw primaire internetverbinding, welke kabellandingsstations zijn betrokken en via welke backbone lopen de diensten van uw cloudleveranciers? Veel organisaties beschikken hier niet over. Internet Service Providers zijn verplicht op verzoek inzicht te geven in routeringsinformatie, en cloudleveranciers kunnen worden gevraagd hun peering-architectuur te documenteren als onderdeel van leveranciersrisicobeheersing onder NIS-2.
De tweede stap is diversificatie van de internetaansluitingen zelf: gebruik meerdere providers met aantoonbaar verschillende upstreamroutes en landingsstations. Combineer vaste verbindingen met een satellietbackup. Op dit punt is IRIS² relevant: het Europese satellietcommunicatieprogramma Infrastructure for Resilience, Interconnectivity and Security by Satellite (IRIS²) biedt bij volledige operationele capaciteit, voorzien rond 2030, een soevereine Europese optie voor beveiligde satellietconnectiviteit. In de aanloopfase kunnen commerciële LEO-satellieten (Low Earth Orbit) worden ingezet als tijdelijke aanvulling, met de kanttekening dat die diensten buiten Europese jurisdictie vallen en daarmee eigen soevereiniteitsvragen oproepen.
De derde stap is de architectuurkeuze voor primaire toepassingen: organisaties die hun werkprocessen inrichten op lokaal gehoste of Europees soeverein gehoste software, zijn minder afhankelijk van permanente intercontinentale verbindingen. Een Nextcloud-omgeving op eigen of Europees gehoste infrastructuur blijft functioneren bij uitval van transatlantische routes, terwijl een Microsoft 365-omgeving voor authenticatie en bedrijfskritieke diensten wel afhankelijk kan zijn van dergelijke routes.
Leveranciersafhankelijkheid en cloudrisico voor gereguleerde organisaties
Gereguleerde organisaties hebben onder NIS-2 en de Algemene Verordening Gegevensbescherming (AVG, Verordening (EU) 2016/679) een expliciete verplichting tot het beoordelen van risico’s in de toeleveringsketen, inclusief technische afhankelijkheden.
Bij de beoordeling van cloudleveranciers die hun backbone via onderzeese kabelroutes routeren, zijn de volgende vragen relevant voor compliance officers en IT-beslissers:
- Welke kabellandingsstations gebruikt de leverancier voor transatlantische of intercontinentale routering, en zijn er contractuele garanties voor omleiding bij uitval?
- Heeft de leverancier aantoonbaar redundante routes via geografisch gespreide kabelverbindingen, of is er feitelijk sprake van een single point of failure?
- Zijn de diensten voor authenticatie, identiteitsbeheer en sleutelbeheer Europees gelocaliseerd, of zijn deze afhankelijk van datacenters buiten de EU die via kabel bereikbaar moeten zijn?
- Wat is de maximale uitvalduur die de leverancier contractueel garandeert en welk scenario geldt bij langdurige kabelstoring (langer dan de contractuele SLA)?
De antwoorden op deze vragen moeten zijn vastgelegd in het risicoregister en jaarlijks worden getoetst. NIS-2 eist dat organisaties aantoonbaar de risico’s kennen die voortvloeien uit afhankelijkheid van derde partijen in de toeleveringsketen, en dat zij passende beheersmaatregelen hebben getroffen.
FAQ: Onderzeese datakabels en soevereiniteit
Valt schade aan onderzeese kabels onder de meldplicht van NIS-2?
Ja. Organisaties die vallen onder NIS-2 (Richtlijn (EU) 2022/2555) en afhankelijk zijn van connectiviteit via onderzeese kabels, moeten aanzienlijke incidenten melden bij hun nationale autoriteit. Uitval die leidt tot verstoorde dienstverlening geldt als significant incident als de drempelwaarden voor impact worden overschreden.
Wat zijn de Cable Projects of European Interest (CPEI)?
De 13 CPEIs zijn strategische kabelprojecten die door de Europese Commissie zijn aangewezen als prioriteit voor Europese connectiviteitssoevereiniteit. Ze worden deels gefinancierd via de Connecting Europe Facility (CEF) Digital en moeten de redundantie van kabelverbindingen tussen EU-lidstaten, overzeese gebieden en derde landen vergroten.
Wat is IRIS² en wanneer is het operationeel?
IRIS² (Infrastructure for Resilience, Interconnectivity and Security by Satellite) is het Europese satellietcommunicatieprogramma dat veilige, soevereine connectiviteit moet bieden als alternatief of aanvulling op kabelverbindingen. Volledige operationele capaciteit wordt voorzien rond 2030, met initiële diensten eerder gepland.
Hoe beoordeel ik of mijn cloudleverancier afhankelijk is van kwetsbare kabelroutes?
Vraag uw cloudleverancier naar hun peering- en transitroutes, de geografische ligging van hun backbone-knooppunten en welke kabellandingsstations zij gebruiken. Toets of er contractuele garanties zijn voor alternatieve routering bij uitval. Leveranciers die uitsluitend op Atlantische routes steunen voor transatlantische dienstverlening vormen een verhoogd risico.
Wat verplicht de EU Cable Security Toolbox organisaties concreet te doen?
De EU Cable Security Toolbox (februari 2026) legt primair verplichtingen op aan lidstaten en aanbieders van kritieke digitale infrastructuur. Voor gereguleerde organisaties betekent dit indirect dat zij in hun risicoanalyse onder NIS-2 de afhankelijkheid van specifieke kabelroutes moeten meewegen en aantoonbaar moeten beschikken over een continuïteitsplan bij langdurige uitval.
