De digitalisering van de financiële sector is de afgelopen jaren in een stroomversnelling gekomen. Banken, verzekeraars en fintechs vertrouwen steeds meer op een klein aantal, veelal niet-Europese technologieaanbieders voor essentiële IT-diensten. Denk aan cloudopslag, cybersecurity, betalingsverkeer en klantgerichte systemen.

In een gezamenlijk rapport van 20 oktober 2025 waarschuwen De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) dat deze afhankelijkheid een directe bedreiging vormt voor de stabiliteit, privacy en digitale soevereiniteit van het Europese financiële systeem.

Nieuwe ontwikkelingen laten zien dat dit geen theoretisch risico meer is

In de Tweede Kamer bestaat grote zorg nu het Amerikaanse bedrijf Kyndryl een overnamebod heeft uitgebracht op Solvinity — de partij die cruciale IT-diensten levert voor DigiD en MijnOverheid. Kamerleden vrezen dat overheidsinformatie onder Amerikaanse surveillancewetgeving kan komen te vallen, met gevolgen voor privacy, continuïteit en nationale veiligheid.

In dit artikel leggen wij uit waarom deze toenemende afhankelijkheid problematisch is, welke verplichtingen voortvloeien uit Europese regelgeving én wat financiële instellingen kunnen doen om risico’s te beperken.

Wat is het risico van digitale afhankelijkheid?

DNB en AFM benoemen vier structurele risico’s die ontstaan wanneer instellingen zwaar leunen op dezelfde, dominante IT-leveranciers.

1. Privacy en gegevensbescherming onder druk

Wanneer financiële of overheidsdata wordt opgeslagen buiten de Europese Unie, kan deze onder buitenlandse regels vallen — waaronder Amerikaanse surveillancewetgeving.

Het debat rond Solvinity en DigiD illustreert dit scherp. Kamerleden waarschuwen dat een buitenlandse machthebber in theorie invloed kan uitoefenen op de digitale infrastructuur van de Nederlandse overheid. Ook het kabinet erkent dat zo’n overname “zorgwekkend” kan zijn.

Voor financiële instellingen betekent dit: aantoonbare naleving van de AVG wordt complexer, risico’s op datalekken nemen toe en reputatieschade ligt op de loer.

2. Vendor lock-in: overstappen wordt praktisch onmogelijk

Veel organisaties bouwen hun IT-landschap volledig op één cloudplatform. Overstappen is technisch ingewikkeld, kostbaar en tijdrovend. Hierdoor ontstaat een langdurige afhankelijkheid, waardoor instellingen minder wendbaar zijn bij incidenten, cyberdreigingen of geopolitieke spanningen.

3. Concentratierisico: één storing raakt een hele sector

Wanneer meerdere instellingen dezelfde leverancier gebruiken, kan één storing of cyberaanval leiden tot massale uitval van betalingsverkeer, klantportalen of dataverwerking.

Een dergelijke “single point of failure” vormt een systeemrisico dat de hele Europese financiële infrastructuur kan ontwrichten.

4. Geopolitieke spanningen en extraterritoriale wetgeving

Financiële infrastructuur die in handen komt van buitenlandse partijen, kan gevoelig worden voor politieke druk of sancties.

Het Kamerdebat rondom Kyndryl–Solvinity toont aan hoe snel essentiële IT-diensten onderdeel kunnen worden van geopolitieke belangen.

Hoe reageren financiële instellingen en IT-leveranciers?

Hoewel instellingen de risico’s herkennen, blijven zij in de praktijk sterk afhankelijk van niet-Europese aanbieders. Europese alternatieven zijn beperkt of nog onvoldoende volwassen. Toch worden stappen gezet om de weerbaarheid te vergroten:

• nood- en herstelplannen voor kritieke IT-uitval;
• objectieve inventarisatie van alle IT-afhankelijkheden;
• maatregelen tegen vendor lock-in;
• striktere eisen aan datalocatie en encryptie.

Tegelijkertijd ontwikkelen technologiebedrijven “sovereign cloud”-oplossingen, waarmee Europese data binnen de EU blijft en onder lokale wetgeving valt.

Welke wetgeving geldt?

Het Europese regelgevingskader dwingt financiële instellingen om digitale risico’s actief te beheersen.

DORA – Digital Operational Resilience Act

DORA verplicht instellingen om:

• alle IT-afhankelijkheden te registreren en te monitoren;
• exit strategieën en noodscenario’s op te stellen;
• periodiek weerbaarheidstests uit te voeren;
• verantwoordelijkheid te behouden voor uitbestede diensten — zonder uitzonderingen.

Aanvullende EU-kaders

• AVG/GDPR – strikte regels voor privacy en dataopslag;
• NIS2 – aangescherpte cybersecurity-verplichtingen voor vitale sectoren, waaronder financiële instellingen;
• EU Data Act – stimuleert dataportabiliteit en verplicht cloudproviders om overstappen eenvoudiger te maken.

Wat verwachten DNB en AFM van financiële instellingen?

De toezichthouders geven een duidelijk signaal af: instellingen moeten digitale afhankelijkheid actief terugdringen. Concreet verwachten zij:

1. Volledig inzicht in afhankelijkheden

Instellingen moeten exact weten:

• welke leveranciers cruciale processen ondersteunen;
• waar data wordt opgeslagen;
• welke risico’s voortvloeien uit extraterritoriale wetgeving.

2. Actief terugdringen van hoogrisico-concentraties

Denk aan:

• gebruik van meerdere cloudproviders;
• open technologieën die overstappen mogelijk maken;
• behoud van controle over encryptiesleutels;
• Europese oplossingen waar dat mogelijk en verantwoord is.

3. Voorbereiding op crisissituaties

Bij geopolitieke spanningen of grootschalige cyberaanvallen moeten instellingen kunnen voortbestaan — ook wanneer een leverancier tijdelijk uitvalt.

Wat moeten organisaties nu doen?

De huidige ontwikkelingen — van DigiD en Solvinity tot de waarschuwingen van DNB en AFM — laten zien dat digitale afhankelijkheid geen toekomstrisico is, maar een actueel vraagstuk.

Concrete actiepunten:

• Maak een volledig overzicht van alle IT-diensten en datalocaties.
• Toets contracten op lock-in-risico’s en extraterritoriale wetgeving.
• Bereid exit strategieën en herstelplannen voor.
• Onderzoek Europese cloudoplossingen of hybride modellen.
• Zorg voor juridisch en technisch onderbouwde datacontrole (encryptiesleutels, toegangsbeheer).

Organisaties die nu maatregelen nemen, vergroten hun digitale weerbaarheid én verkleinen hun juridische en operationele risico’s.

Digitale afhankelijkheid raakt privacy, continuïteit en soevereiniteit

De zorgen rond DigiD en Solvinity laten zien dat digitale afhankelijkheid niet alleen een financieel risico is, maar ook een nationaal en geopolitiek vraagstuk. De financiële sector – die sterk leunt op digitale infrastructuur – bevindt zich daarbij in de frontlinie.

Transparantie, risicobeheersing en strategische diversificatie worden onmisbaar.

ACG International adviseert financiële instellingen en fintechs over digitale weerbaarheid, outsourcing, cloudcontracten en compliance met DORA, NIS2 en de EU Data Act.

Wilt u weten hoe uw organisatie haar digitale afhankelijkheden kan verminderen of welke maatregelen juridisch vereist zijn?

Neem gerust contact met ons op – onze specialisten staan voor u klaar.