Nederland onder druk.

DE GRENZEN VAN HET ONDERZOEK

Waar kijken we naar?

Periode. 1 januari 2014 tot en met 31 oktober 2026. De opgenomen publicaties lopen tot en met 31 oktober; aanvullende broncontrole en redactie vonden plaats op 1 november. Het jaar 2026 is onvolledig.

Deze editie en het vervolg. De basisperiode is inhoudelijk afgesloten binnen de beschreven kwalitatieve scope. De eerste vervolgupdate gaat over november–december 2026.

Gebied. De nadruk ligt op Europees Nederland. Ook voorbeelden waarbij Nederlandse mensen, organisaties of belangen in het buitenland worden geraakt zijn meegenomen. Dat staat bij het betreffende voorbeeld. De Caribische delen van het Koninkrijk zijn niet voor de hele periode onderzocht.

Onderwerpen. We kijken naar spionage, digitale aanvallen, beïnvloeding, druk op mensen en organisaties, economische afhankelijkheden, drones, activiteiten op zee en verstoring van verbindingen.

Soort onderzoek. Dit is kwalitatief onderzoek: we beoordelen wat gebeurtenissen en bronnen onderbouwen, zonder een volledige landelijke telling te maken.

Bronnen. Het onderzoek gebruikt geselecteerde openbare bronnen en voorbeelden. Het is geen volledige landelijke inventarisatie. Een melding, vermoeden, vastgestelde gebeurtenis en officiële beoordeling blijven afzonderlijk herkenbaar.

Lees de uitgebreide onderzoeksaanpak of bekijk hoe het onderzoek is gecontroleerd.

Neemt de dreiging voor Nederland toe

Een digitale aanval kan de goederenafhandeling in Rotterdam raken. Spionage kan zich richten op een internationale organisatie in Den Haag. En druk van een buitenlandse overheid kan mensen persoonlijk treffen. De voorbeelden van NotPetya, de OPCW en druk op mensen buiten hun herkomstland laten verschillende kanten van het onderwerp zien. Ze bewijzen niet dat er één gezamenlijke operatie achter zit.

Nederland heeft te maken met spionage, digitale aanvallen, beïnvloeding en druk op mensen en organisaties. Soms is Nederland zelf het doelwit. Soms raken we betrokken doordat een aanval op een buitenlandse organisatie ook hier gevolgen heeft. Deze problemen bestonden al vóór de grootschalige Russische invasie van Oekraïne in 2022. Dat blijkt uit de onderzochte jaarverslagen en voorbeelden, zoals de operatie tegen de organisatie voor het verbod op chemische wapens en het misbruik van Nederlandse internetapparatuur.

Op belangrijke onderdelen neemt de dreiging toe, vooral vanuit Rusland. Dat zeggen de Nederlandse inlichtingendiensten, die informatie verzamelen over gevaren voor onze veiligheid. De militaire dienst, de MIVD, beschrijft meer hybride aanvallen tegen Nederland. De Algemene Inlichtingen- en Veiligheidsdienst, afgekort AIVD, en de MIVD zien ook dat Rusland meer mogelijkheden krijgt om digitale aanvallen uit te voeren. Dit zijn hun beoordelingen. Ons onderzoek meet niet zelf hoe de totale dreiging voor Nederland is veranderd. Zie de MIVD-beoordeling over 2024 en de AIVD-beoordeling over 2025.

De ontwikkeling gaat bovendien niet overal en ieder jaar dezelfde kant op. Bij Russische fysieke sabotage in Europa zagen de diensten een piek in de zomer van 2024. Daarna volgde een afname, en vanaf de zomer van 2025 weer een voorzichtige toename van sabotage of de voorbereiding daarvan. Die Europese ontwikkeling is geen telling van Nederlandse gevallen. Zie de beoordeling over Rusland.

Een stijgende dreiging betekent ook niet automatisch dat de schade stijgt. Een aanval kan mislukken, worden tegengehouden of weinig gevolgen hebben. Omgekeerd kunnen er meer meldingen binnenkomen doordat mensen beter opletten. Daarom maken we steeds duidelijk wat er is gebeurd, wie volgens de bron verantwoordelijk is en wat de gevolgen waren.

Onderzoeksvraag en kennisdatum

Wat weten we op basis van openbare bronnen over hybride dreigingen die Nederland sinds 2014 raken, welke activiteiten en gevolgen zijn onderbouwd en welke veranderingen kunnen we verantwoord beschrijven? Deze editie omvat de periode1 januari 2014 t/m 31 oktober 2026. De aanvullende bronnencontrole is uitgevoerd op 1 november. De selectie geeft geen volledig landelijk overzicht.

Wat we bedoelen met hybride dreiging

Het woord hybride betekent hier dat verschillende manieren van druk uitoefenen kunnen samengaan. Denk aan spionage, digitale aanvallen, misleidende informatie, economische druk of sabotage. Zulke middelen kunnen worden gebruikt om een ander land te verzwakken of zijn besluiten te beïnvloeden. Dat kan zonder een openlijke militaire aanval, maar ook naast een oorlog.

Niet ieder verdacht voorval is daarmee een bewezen hybride aanval. Een storing kan een technische oorzaak hebben. Een drone kan zonder kwade bedoelingen rondvliegen. En een buitenlandse regering kan een handelsmaatregel nemen die openlijk is aangekondigd. We onderzoeken daarom per geval wat bekend is over de handeling, de bedoeling en de mogelijke opdrachtgever.

Sabotage betekent dat iemand bewust iets beschadigt of verstoort. Spionage draait om het heimelijk verzamelen van informatie. Bij digitale spionage gebeurt dat bijvoorbeeld door in te breken in een computersysteem. Deze handelingen kunnen met elkaar samenhangen, maar zijn niet hetzelfde: toegang tot een netwerk bewijst nog niet dat iemand het ook heeft gesaboteerd.

Hoe dit zich sinds 2014 heeft ontwikkeld

Om de huidige dreiging te begrijpen, kijken we ook terug. De voorbeelden hieronder volgen de tijd. Ze vormen een selectie; een jaar zonder genoemd voorbeeld is geen jaar zonder dreiging. Daarna kijken we uitgebreider naar de verschillende onderwerpen.

Vóór 2022

De bronnen uit de eerste onderzoeksjaren beschrijven al spionage, beïnvloeding en economische druk. De Russische boycot van goederen uit 2014 raakte bijvoorbeeld Nederlandse exportbelangen. Het onderzochte voorbeeld beschrijft welke bedrijven en sectoren kwetsbaar waren. Het vertelt niet hoeveel schade zij uiteindelijk hebben geleden. Zie het dossier over de goederenboycot.

Rond het MH17-onderzoek in 2015 waren er digitale pogingen tegen de Onderzoeksraad voor Veiligheid. Onderdelen van het oorspronkelijke technische bewijs ontbreken in ons dossier. Voor de Russische operatie tegen de OPCW in 2018 is de onderbouwing anders: Defensie bevestigt dat de operatie is verstoord. De OPCW is de internationale organisatie die toeziet op het verbod op chemische wapens. Zie de MH17-gerelateerde pogingen en de verstoorde OPCW-operatie.

Ook personen kunnen doelwit zijn. De moorden in Almere en Den Haag en de beoordeling van vermoedelijke Iraanse betrokkenheid horen daarom bij het onderzoek. Het vaststaan van een moord betekent niet dat alle vragen over de opdrachtgever zijn beantwoord. Wat politie, justitie en rechters hebben vastgesteld, verschilt per zaak. We nemen de uitkomst van de ene zaak niet over voor de andere. Zie Almere, Den Haag en de beoordeling van de AIVD.

In 2016 werd een Turkse diplomatieke vertegenwoordiger teruggetrokken na het doorgeven van informatie over Nederlandse personen en organisaties. Het kabinet noemde dat ongewenste inmenging. Deze zaak zegt niets over de betrokkenheid van een hele gemeenschap. Zie het dossier over de Turkse religieuze attaché.

In 2017 raakte de digitale aanval NotPetya de goederenafhandeling in Rotterdam. Dat laat zien hoe een internationale aanval ook Nederlandse gevolgen kan hebben. Bij een ander voorbeeld werden Nederlandse routers, apparaten die internetverkeer doorgeven, volgens de MIVD misbruikt door de Russische militaire inlichtingendienst GRU. Hoeveel Nederlandse apparaten het betrof en wat de verdere schade was, is onbekend. Vermelding in een volgend jaarverslag maakt er geen nieuwe operatie van. Zie NotPetya en de gehackte routers.

Van 2022 tot en met 2024

In 2022 werd voorkomen dat een Russische inlichtingenofficier toegang kreeg tot het Internationaal Strafhof in Den Haag. Het Hof onderzoekt en vervolgt ernstige internationale misdrijven. In het dossier staan ook digitale aanvallen op het Hof. Het zijn verschillende gebeurtenissen, met verschillende gevolgen. Zie de geweigerde toegang en de digitale aanval uit 2023.

Op een onderzoeksnetwerk van Defensie werd Chinese spionagesoftware gevonden. De Nederlandse inbraak vond plaats in 2023 en werd op 6 februari 2024 openbaar gemaakt. De software heet COATHANGER. Volgens het aangehaalde beveiligingsadvies bleven de gevolgen beperkt doordat het netwerk was opgedeeld in gescheiden delen. Wereldwijde aantallen slachtoffers van de bredere operatie zijn geen Nederlandse aantallen. Zie het COATHANGER-dossier.

Economische druk kan eveneens gevolgen hebben. Gazprom stopte in 2022 de gaslevering aan GasTerra. GasTerra vermeldt ook dat het vervangend gas inkocht en aan zijn eigen leveringsverplichtingen bleef voldoen. Beide kanten zijn nodig om de gevolgen te begrijpen. Zie de gasleveringszaak.

Het kabinet verlangde sluiting van Chinese vestigingen in Nederland die in de berichten servicestations of politiebureaus worden genoemd. Het vond de vestiging daarvan onacceptabel. In de gebruikte antwoorden uit 2023 stelde het kabinet de vermeende intimidatie niet vast. Sluiting en bewezen intimidatie zijn dus geen verwisselbare conclusies. Zie het dossier over de servicestations.

Nederland kan ook buiten het eigen grondgebied worden geraakt. Voorbeelden zijn de verstoring van satellietsignalen die hier televisiekijkers bereikte en de benadering van marineschip Zr.Ms. Tromp en zijn helikopter door Chinese eenheden op 7 juni 2024. Dat laatste gebeurde in de Oost-Chinese Zee. Nederland en China geven er een verschillende uitleg aan. Ons onderzoek beslist niet wie in dat geschil gelijk heeft en bewijst geen bedoeling om Nederland via een hybride operatie te treffen. Zie de satellietverstoring en de ontmoeting bij de Tromp.

2025 en een deel van 2026

De officiële beoordelingen beschrijven ernstige dreigingen, maar zijn steeds gebonden aan hun onderwerp, gebied en datum. Het Dreigingsbeeld Statelijke Actoren meldde in juli 2025 geen bekende uitgevoerde fysieke sabotage door staten in Nederland. Er waren wel voorbereidingen bekend. Dat gaat over de kennis van toen en mag niet zomaar worden doorgetrokken naar heel 2026. Zie de beoordeling over sabotage.

De AIVD en MIVD meldden daarnaast dat zij in Nederland in 2025 geen acute succesvolle Russische cybersabotageaanvallen hadden vastgesteld. Cybersabotage is het opzettelijk verstoren of beschadigen via computersystemen. De uitspraak van de diensten betekent niet dat er geen Russische digitale activiteit of andere dreiging was. Dezelfde diensten beschrijven juist groeiende mogelijkheden voor digitale aanvallen. Zie het jaarverslagonderdeel over Rusland.

De recentere dossiers bevatten ook dronemeldingen, verdachte voorbereidingen en geweldsincidenten. Niet overal staat vast wat er precies is gebeurd of wie de opdrachtgever was. Een groep die zegt verantwoordelijk te zijn, een verdachte in een onderzoek en een bewezen opdrachtgever zijn drie verschillende dingen. Bovendien is 2026 nog geen volledig jaar. We vergelijken het daarom niet zonder meer met een heel eerder jaar.

Nieuwe kennis over gevolgen in 2026

De Kamerantwoorden van 28 oktober geven meer informatie over de spoorsabotage van 15 september. Volgens een NS-schatting zijn ruim 44.000 reizen niet gemaakt bij 40 verstoringen. Dat zijn geen40 bewezen afzonderlijke aanvallen of44.000 unieke slachtoffers. Eerdere 35 meldingen vormen een andere bronmaat. De precieze financiële schade en opdrachtgever blijven onbekend. Zie de Kamerantwoorden.

Wat dronemeldingen ons vertellen

Drones maken de onzekerheid bij dit onderwerp goed zichtbaar. Een waarneming kan aanleiding zijn om in te grijpen, terwijl nog onduidelijk is wie er vliegt en waarom. Daarom begint de uitleg bij de vraag wat een melding eigenlijk meet.

Bij drones is het belangrijk te weten wat er wordt geteld. Gaat het om meldingen, toestellen, vluchten of waarnemingen op een bepaalde plek? Meerdere mensen kunnen dezelfde drone melden. Een melding is daarom geen telling van een uniek toestel of een bewezen aanval.

Ook officiële cijfers kunnen verschillen. Twee publicaties van de Inspectie Leefomgeving en Transport, afgekort ILT, geven voor 2022 verschillende dronecijfers. Het optellen van de drie kolommen in de ene tabel levert 174 op; in de andere 218. We weten niet waardoor dat verschil ontstaat. We houden beide tabellen daarom apart. Een lege categorie vullen we niet als nul in, en een halfjaar vergelijken we niet alsof het een heel jaar is. Zie de ILT-jaarpublicatie en de afzonderlijke factsheet.

De diensten ontvingen in 2025 meer meldingen over drones. Russische betrokkenheid kon daarbij vaak niet worden bevestigd. Ook is niet iedere waargenomen drone een dreiging. De meldingen bij Volkel en Eindhoven in hetzelfde novemberweekend bewijzen dus niet dat er drie afzonderlijke vijandige operaties plaatsvonden. Hoeveel unieke toestellen er waren, is onbekend. Zie de beoordeling over dronemeldingen, Volkel op 21 november, Volkel op 22 november en Eindhoven.

Er is ook een eerder dronecijfer over 2014, afkomstig uit berichtgeving. Omdat de oorspronkelijke ILT-publicatie daarvan niet is gelezen, voegen we dit niet samen met de latere tabellen tot één groeilijn. Zie het cijfer over 2014.

Aanvulling: Eemshaven

Op28 oktober werd bekend dat op 20 oktober een dronebestuurder bij de Eemshaven was aangehouden. Volgens ANP en Eemskrant is hij vrijgelaten en blijft hij verdachte. De man woont in België; zijn nationaliteit is niet bekendgemaakt. Een verband met andere Groningse waarnemingen is niet vastgesteld. Motief, opdrachtgever en aantal unieke drones blijven onbekend. Zie de berichtgeving over de aanhouding.

Wat er speelt rond schepen en kabels op de Noordzee

Op zee speelt een vergelijkbare vraag. Een schip zien, het begeleiden en vaststellen dat het spioneert zijn verschillende dingen. Tegelijk kunnen verkenningen belangrijk zijn voor de veiligheid van verbindingen onder water.

De Noordzee bevat verbindingen waarvan Nederland afhankelijk is, zoals energieverbindingen en internetkabels. Officiële bronnen beschrijven Russische belangstelling voor deze infrastructuur en activiteiten die op verkenning wijzen. Verkenning, voorbereiding, daadwerkelijke beschadiging en bewezen sabotage moeten wel afzonderlijk worden onderzocht. Zie het Noordzeedossier en de Kamerantwoorden.

Een van de gebruikte reeksen vermeldt 20 begeleidingen van Russische schepen in 2024 en 61 in 2025. Dat zijn meer geregistreerde begeleidingen. Het betekent niet automatisch dat er evenveel extra spionage- of sabotageoperaties waren. De cijfers kunnen ook veranderen doordat toezicht, beleid of beschikbare mensen en schepen veranderen. Vanaf juli 2023 werd begeleiding een permanente taak. Dat maakt een vergelijking met eerdere jaren lastig. De twaalf begeleidingen in januari en februari 2026 rekenen we niet door naar een heel jaar. Zie de recente begeleidingscijfers, de reeks vanaf 2023 en de oudere cijfers.

Schepen kunnen via AIS automatisch gegevens uitzenden, zoals hun identiteit en positie. Als een schip niet op een openbare kaart verschijnt, bewijst dat nog niet dat de zender bewust is uitgezet. Er kan ook een probleem zijn met ontvangst of dekking. Om daarover een conclusie te trekken zijn de oorspronkelijke gegevens en technische controles nodig. Die hebben we hier niet zelf uitgevoerd. Zie het dossier over de Admiral Vladimirsky en het dossier over de Akademik Karpinsky.

Ook de plaats doet ertoe. De territoriale zee is de zee direct langs de kust die tot het grondgebied behoort. Verder op zee heeft Nederland in een bepaald gebied economische rechten. Die gebieden en de rest van de Noordzee zijn niet hetzelfde. Een gebeurtenis in de Oostzee is evenmin automatisch een gebeurtenis bij Nederland.

Aanvulling: bescherming en toezicht

Defensie kondigde op 29 oktober versterking van SeaSEC in Scheveningen aan, gericht op veiligheid op en onder water, zoals kabels en leidingen. Op30 oktober kreeg Defensie een permanente monitoringtaak rond het Caribisch deel van het Koninkrijk. Dit zijn beschermingsmaatregelen; het effect is nog niet vastgesteld. Onze historische dekking van het Caribisch gebied blijft beperkt. Zie SeaSEC en het Caribische mandaat.

Wanneer navigatiesignalen worden verstoord

Verbindingen kunnen ook worden verstoord zonder dat een kabel wordt beschadigd. Bij satellietnavigatie gaat het om signalen. De plaats waar een verstoring optreedt en de manier waarop die wordt gemeld zijn belangrijk om de cijfers te begrijpen.

Vliegtuigen en andere gebruikers kunnen last hebben van verstoorde satellietnavigatie. Jamming betekent dat een signaal wordt gestoord. Spoofing betekent dat een misleidend signaal wordt aangeboden, waardoor bijvoorbeeld een verkeerde positie kan worden weergegeven.

In een ILT-reeks steeg het aantal meldingen waarin spoofing werd genoemd van ongeveer 153 in 2023 naar 1.318 in 2024. Die meldingen betroffen gebeurtenissen buiten het Nederlandse luchtruim bij vluchten met een Nederlandse relatie. We mogen ze dus niet presenteren als 1.318 aanvallen boven Nederland. Het gebruik van het woord spoofing in een melding bewijst ook niet zelfstandig wie achter de verstoring zit. Zie de spoofingmeldingen.

Een andere reeks bevat bredere gps-meldingen. Die kan deels dezelfde gevallen bevatten en mag niet zomaar bij de eerste reeks worden opgeteld. De vastgelegde storing bij Vlissingen laat bovendien zien waarom ook onbedoelde oorzaken onderzocht moeten worden. Zie de gps-meldingen en het voorbeeld uit Vlissingen.

Hoe mensen en politieke besluiten onder druk komen

De gevolgen beperken zich niet tot apparaten, schepen en netwerken. Mensen kunnen zelf doelwit zijn. Ook hier moeten we onderscheid maken tussen een poging om invloed uit te oefenen en het aantoonbare effect daarvan.

Een buitenlandse overheid kan proberen invloed uit te oefenen op mensen die elders wonen. Daarbij kan het gaan om toezicht, bedreiging of druk op familieleden. Dit wordt vaak grensoverschrijdende repressie genoemd. In de onderzochte bronnen staan ook beoordelingen en meldingen over dergelijke druk. Niet overal is bekend hoeveel mensen het betrof of wanneer iedere handeling plaatsvond. Zie de beoordeling over druk op mensen buiten het herkomstland en de meldingen over Russische studenten en een wetenschapper.

Bij politieke beïnvloeding maakt het veel uit wat precies is aangetoond. Contact leggen met een politicus is iets anders dan iemand betalen. Een boodschap verspreiden is iets anders dan aantoonbaar een verkiezingsuitslag veranderen. Het dossier over Voice of Europe bewijst bijvoorbeeld geen betaling aan Nederlandse politici. Ook de eerdere Nederlandse vestiging bewijst niet dat Rusland de organisatie vanaf haar oprichting aanstuurde. Zie Voice of Europe en de beoordeling over benadering van politici.

Het Dreigingsbeeld Statelijke Actoren noemt de bekende heimelijke beïnvloedingspogingen en hun effecten in Nederland relatief klein. Dat oordeel gaat over die pogingen. Het betekent niet dat bedreiging of onderdrukking van individuele mensen weinig gevolgen heeft. Zie de beoordeling over beïnvloeding en repressie.

Aanvulling: toegang van binnenuit en een nieuwe verdenking

De AIVD waarschuwde op 28 oktober voor mensen met toegang die bewust of onbewust schade kunnen veroorzaken. De voorbeelden in de brochure zijn uitlegvoorbeelden en tellen niet als nieuwe Nederlandse gevallen. OM en politie meldden daarnaast een aanhouding op 27 oktober wegens mogelijke diensten voor een buitenlandse mogendheid, rond intimidatie bij bijeenkomsten in 2025–2026. Het blijft een verdenking; de bron benoemt geen specifieke opdrachtgever. De uitkomst van de aangekondigde voorgeleiding op 30 oktober is niet vastgesteld. Zie de AIVD-waarschuwing en het opsporingsbericht.

Waarom afhankelijkheid en internationale organisaties meetellen

Naast heimelijke activiteiten bestaat openlijke druk, bijvoorbeeld via sancties. Ook afhankelijkheid van energie of technologie kan een rol spelen. Het is nodig om per geval te onderzoeken hoe die druk wordt ingezet en wat de gevolgen zijn.

Nederlandse organisaties kunnen afhankelijk zijn van buitenlandse energie, technologie, kennis of leveranciers. Die afhankelijkheid kan een risico vormen. Daarmee is nog niet bewezen dat een leverancier bewust druk uitoefent, of dat er al schade is ontstaan.

Dat onderscheid is ook belangrijk bij het Internationaal Strafhof. Het Hof kan te maken krijgen met spionage en digitale aanvallen, maar ook met openlijke politieke druk en sancties. Sancties zijn maatregelen om druk uit te oefenen, bijvoorbeeld beperkingen op financiële transacties. We kijken welk besluit zulke maatregelen invoerde en wat daarin staat. De nog onvoldoende gecontroleerde bewering over een latere uitbreiding van Amerikaanse sancties blijft een open onderzoeksvraag. Zie de sancties tegen het Strafhof, het onderzoek naar heimelijke druk op het Hof en de nog te controleren uitbreiding.

Voor drinkwater, waterbeheer, zorg, betalingsverkeer en chemische of nucleaire processen hebben we nog geen volledige historische reeks van gebeurtenissen. Een rapport dat mogelijke uitval van die diensten beschrijft, vult dat gebrek niet met echte gebeurtenissen aan. Zie de onderzochte afhankelijkheden en mogelijke gevolgen voor andere diensten.

Aanvulling: gegevens via advertenties

FTM publiceerde op 31 oktober onderzoek naar advertentiedata en Gazprom, met een Spaanse test en een eerdere Nederlandse relatie. Tegelijk meldde FTM dat het tijdens het onderzoek geen verkeer tussen Between Digital en Mediahuis/De Telegraaf aantrof. Wij hebben de ruwe onderzoeksdata niet gecontroleerd. Het is een journalistiek onderzoeksspoor en bewijst geen Nederlandse sabotage of rekrutering. Zie FTM.

Wat weten we nu?

Officiële beoordelingen wijzen op een toegenomen dreiging op belangrijke onderdelen, vooral vanuit Rusland. De onderzochte voorbeelden laten zien dat Nederland al langer wordt geraakt door spionage, beïnvloeding, digitale aanvallen en druk op mensen en organisaties.

Hoe de totale hoeveelheid hybride activiteit in Nederland sinds 2014 is veranderd, kunnen we met deze gegevens niet betrouwbaar bepalen. Ook voor de totale schade kunnen we geen betrouwbare groei of daling berekenen. De beschikbare tellingen meten verschillende zaken, zoals meldingen of begeleidingen, en de jaren zijn niet overal even goed onderzocht.

Dit onderzoek biedt wel een vastgelegd vertrekpunt. Nieuwe informatie kan ermee worden vergeleken. Daarbij maken we onderscheid tussen een nieuwe gebeurtenis, een oude gebeurtenis die pas later bekend wordt en een veranderde beoordeling. Zo blijft zichtbaar wat er werkelijk is veranderd in onze kennis.

Hoe zeker is deze conclusie?

We hebben redelijke zekerheid over het bredere oordeel dat de dreiging op belangrijke onderdelen toeneemt: officiële bronnen en voorbeelden ondersteunen dit, maar onderliggende inlichtingen zijn niet volledig openbaar. We hebben sterke onderbouwing voor de beperking dat dit dossier geen betrouwbaar landelijk groeipercentage kan geven. Nieuwe meldingen kunnen ook samenhangen met beter toezicht en latere bekendmaking.

De basisperiode is nu afgesloten t/m 31 oktober. Vanaf november volgen maandrondes op initiatief van de gebruiker. Per kwartaal worden deze samengebracht; de eerste vervolgperiode is november–december 2026.

Wat we nog niet weten en wat ook meeweegt

Een duidelijk verhaal moet ook laten zien wanneer schade uitblijft, een verdenking vervalt of bewijs ontbreekt. Anders lijken alle signalen dezelfde kant op te wijzen.

Sommige feiten begrenzen het beeld van de dreiging of de schade. Die vermelden we ook. Volgens de MIVD voorkwam snel handelen van het doelwit dat een Russische partij toegang tot het netwerk kreeg. Daarmee staat nog niet vast dat een sabotageaanval is voorkomen. Bij de chipinformatiezaak zijn naast veroordelingen ook gedeeltelijke vrijspraken gegeven. We weten niet of de uitspraak definitief is of dat hoger beroep speelt. Zie de verhinderde netwerktoegang, de nadere beoordeling daarvan en de chipinformatiezaak.

Ook de testpakketten uit Amsterdam bewijzen niet dat een concrete vliegtuigaanslag is voorkomen. De beschuldiging tegen de verzenders is ingetrokken. En bij schade aan door Nederland gefinancierde Palestijnse projecten hoort de informatie dat eerder meegenomen zonnepanelen later zijn teruggegeven. Zie de testpakketten en de Palestijnse projecten.

Andere vragen blijven open. Dat geldt onder meer voor een bericht over een politiehack uit 2017, de zaak van een onderzoeker bij de Technische Universiteit Eindhoven, een mogelijke uitbreiding van sancties tegen het Strafhof en een specifieke bewering over Oekraïense spionage rond MH17. Waar oorspronkelijke documenten ontbreken of maar beperkt zijn gelezen, presenteren we zulke beweringen niet als bewezen. Ontkenningen blijven erbij staan. Zie de politiehackclaim, de TU/e-zaak, het sanctiespoor en de Oekraïense MH17-claim.

De gegevens zijn niet voor elk jaar en elk onderwerp even volledig. Een leeg vak in onze overzichten betekent daarom: hier hebben we geen geval vastgelegd. Het betekent niet dat er niets is gebeurd. We schatten ontbrekende aantallen ook niet zelf bij.

Zo is het onderzoek gedaan

Wat we hebben onderzocht

We bekijken gebeurtenissen en openbare informatie vanaf 1 januari 2014 tot en met 31 oktober 2026. Het jaar 2026 is dus nog niet compleet. We gebruiken onder meer jaarverslagen, Kamerstukken, berichten van politie en justitie, rechterlijke uitspraken en journalistiek onderzoek.

De aandacht ligt vooral op Europees Nederland. We nemen ook voorbeelden mee waarbij Nederlandse mensen, organisaties of belangen in het buitenland worden geraakt. Dat staat er dan bij. De Caribische delen van het Koninkrijk zijn niet voor de hele periode onderzocht. We kunnen daarover dus geen volledig beeld geven.

Het onderzoek begon met veel aandacht voor Rusland, Oekraïne en conflicten rond het Midden-Oosten. Later zijn onder meer China, Turkije, economische afhankelijkheid en druk op mensen met banden met een ander land toegevoegd. Dat is geen ranglijst van landen. Een nationaliteit of buitenlandse leverancier is op zichzelf geen bewijs dat een regering ergens achter zit.

De onderwerpen lopen uiteen van digitale aanvallen en beïnvloeding tot drones, schepen op de Noordzee en druk op internationale organisaties. We kijken ook naar diensten waarvan het dagelijks leven afhankelijk is, zoals energie, internet, water en vervoer. Die worden vaak vitale voorzieningen genoemd. Een aanvalsmethode, zoals hacken, en een mogelijk doelwit, zoals een energiebedrijf, tellen we niet als twee aparte aanvallen.

Dit is een onderzoek met geselecteerde voorbeelden. Het is geen volledige lijst van alles wat in Nederland is gebeurd. Het startjaar 2014 is onze onderzoeksgrens; het is niet het jaar waarin deze dreigingen begonnen.

Wat een melding wel en niet bewijst

In dit onderzoek gebruiken we verschillende woorden bewust naast elkaar:

• Een melding betekent dat iemand iets heeft gemeld. Dat moet soms nog worden onderzocht.
• Een vastgestelde gebeurtenis is onderbouwd, maar daarmee staat de dader of opdrachtgever nog niet altijd vast.
• Een vermoeden of beschuldiging is een uitspraak die nog niet voldoende is bewezen.
• Een officiële beoordeling is het oordeel van bijvoorbeeld een inlichtingendienst. Dat oordeel kan ook steunen op informatie die niet openbaar is.
• Een scenario is een bedacht, mogelijk voorbeeld waarmee onderzoekers gevolgen verkennen. Het is geen verslag van iets dat werkelijk is gebeurd.
• Een open onderzoeksvraag betekent dat er nog informatie nodig is om een conclusie te trekken.

Hetzelfde voorval kan in een jaarverslag, een Kamerbrief en vijf krantenartikelen staan. Dat zijn dan zeven publicaties, geen zeven aanvallen. Als al die publicaties dezelfde oorspronkelijke verklaring gebruiken, zijn het ook geen zeven afzonderlijke bevestigingen.

Ook datums vragen aandacht. De ontdekking van een aanval, de aanval zelf en het nieuwsbericht erover kunnen in verschillende jaren vallen. We gebruiken een publicatiedatum niet als vervanging voor een onbekende gebeurtenisdatum. Zo valt Stuxnet buiten onze periode: een bericht uit 2024 maakt die oudere gebeurtenis niet nieuw. Het Zimbra-voorbeeld blijft hier buitenlandse context: de aangehaalde bron meldt dat deze aanval geen Nederlandse slachtoffers maakte. Zie Stuxnet en het buitenlandse Zimbra-dossier.

Hoe deze editie is bijgewerkt

Voor de afsluiting is gericht gezocht naar publicaties van 27–31 oktober en zijn relevante oorspronkelijke stukken opgeslagen en gelezen. Oudere bronnen behouden hun eerdere leesstatus. De methode volgt de drie samenhangende cycli van Reuser: vraag en bronnen plannen, informatie verzamelen en controleren, en vervolgens betekenis en onzekerheid uitleggen. De opdrachtgever blijft betrokken; een menselijke onafhankelijke review staat nog open. Het NCSC-bericht van 7 oktober over verwachte Chinese cyberaanvallen is een oudere bronaanvulling en geen nieuw voorval uit de laatste oktoberweek. Zie de methodebron en de cyberwaarschuwing.

Samen onderzoeken: mens en AI

Dit onderzoek is een pilot van Boog-IT: gemaakt door een mens en kunstmatige intelligentie (AI) samen. Maurice bepaalde het doel en stuurde de verbreding, onder meer naar drones, de Noordzee en druk op mensen. Hij vroeg ook om gewone taal, bronopslag en aanvullende review. AI hielp zoeken, lezen, ordenen, analyseren, schrijven en controleren.

De visie van Boog-IT

Voor Boog-IT staat OSINT aan het begin van een nieuwe fase. OSINT is onderzoek waarbij we informatie uit openbare bronnen verzamelen, beoordelen en omzetten in bruikbare inzichten. Met hulp van AI willen we dat onderzoek sneller uitvoeren, meer relevante bronnen betrekken en onderwerpen beter in samenhang begrijpen. Denk aan de verbinding tussen digitale aanvallen, druk op mensen, economische afhankelijkheden en de bescherming van infrastructuur.

Boog-IT wil hierin pionieren door expertise in het cyberdomein te verbinden met OSINT en AI. Cyberexpertise helpt technische gebeurtenissen en kwetsbaarheden te begrijpen. OSINT geeft richting aan het zoeken en beoordelen van openbare informatie. AI ondersteunt het verwerken van informatie, het leggen van mogelijke verbanden en het helder opschrijven van bevindingen. Menselijke expertise en beoordeling blijven nodig om richting te geven, aannames te toetsen en conclusies te verantwoorden.

Openbaar is meer dan online

Niet alle informatie is openbaar. Ook is niet alle openbare informatie online te vinden: denk aan boeken, fysieke archieven en stukken die alleen ter inzage beschikbaar zijn. Een onderzoek dat uitsluitend zoekmachines gebruikt, kan daardoor relevante bronnen missen.

Andersom is online vindbaarheid niet hetzelfde als beschikbaarheid als openbare bron. Een zoekresultaat of een werkende link zegt op zichzelf niet voor wie informatie toegankelijk of bestemd is. Bij afgeschermde, gelekte of onbedoeld blootgestelde gegevens moeten herkomst, toegangsvoorwaarden en geschiktheid voor dit onderzoek afzonderlijk worden beoordeeld.

Een openbare bron hoeft bovendien niet gratis te zijn. Een boek, krantenabonnement of commerciële databank kan voor het publiek beschikbaar zijn. Openbare beschikbaarheid betekent ook niet dat materiaal vrij mag worden hergebruikt. Vindbaarheid, toegang en hergebruik zijn verschillende vragen. Met open source bedoelen we hier openbare informatiebronnen; dat zegt niets over een vrije software- of hergebruiklicentie.

Onderzoek met zichtbare grenzen

AI maakt ontbrekende informatie niet vanzelf beschikbaar en een voorgesteld verband is nog geen vastgestelde samenhang. We houden daarom bij welke bronnen werkelijk zijn geraadpleegd, welke passages de conclusies dragen en wat onbekend blijft. Voor dit onderzoek is de dekking van niet-digitale bronnen niet systematisch vastgesteld; hun mogelijke belang is geen claim dat ze al volledig zijn onderzocht.

Met deze pilot wil Boog-IT een werkwijze ontwikkelen waarin cyberexpertise, brononderzoek en AI elkaar versterken. Sneller, breder en integraler onderzoek is onze ambitie. In vervolgupdates willen we beoordelen wat deze samenwerking daadwerkelijk oplevert. Deze pilot bevat nog geen gemeten tijdwinst, kostenbesparing of bewezen kwaliteitsvoorsprong. Pionieren beschrijft onze inzet om de aanpak te ontwikkelen en ervan te leren; het is geen claim dat Boog-IT de eerste of enige partij is die zo werkt.

Wie is verantwoordelijk?

Boog-IT draagt de redactionele verantwoordelijkheid. Maurice is opdrachtgever en beoogd eindredacteur. Deze editie is door de opdrachtgever vrijgegeven voor publicatie. Dat is geen onafhankelijke inhoudelijke review. Zijn sturing betekent niet dat hij alle bronnen persoonlijk heeft gecontroleerd.

Wat is gecontroleerd en wat blijft open?

Bronregisters en onderzoekslogs maken zichtbaar welke documenten en passages zijn gelezen en welke gegevens ontbreken. Er zijn afzonderlijke AI-reviews en controles op verwijzingen en PDF’s uitgevoerd. Zo zijn in de afsluitende basiseditie drie verbeteringen verwerkt: duidelijkere verwijzingen naar de geldende onderzoeksgrenzen, de vermelding dat de vrijgelaten dronebestuurder verdachte blijft en een expliciete toelichting op de toenmalige onderzoeksstatus in de samenvatting. Dat zijn concrete correcties, geen bewijs dat alle fouten zijn gevonden.

Een onafhankelijke menselijke inhoudelijke review en een test met lezers zonder voorkennis staan nog open. AI kan fouten maken en een andere AI-controle kan dezelfde blinde vlekken hebben. De methodereview aan de hand van de RIS Propeller Intelligence Cycle is geen certificering. Lees hoe we het onderzoek aanpakken.

Wat willen we leren?

We willen leren of deze samenwerking helpt om een begrijpelijk en controleerbaar onderzoek te maken. Bij vervolgupdates willen we nagaan of uitspraken naar de juiste bronpassage leiden, welke inhoudelijke correcties nodig zijn, wat lezers begrijpen en welke keuzes de eindredacteur maakt. Tijdwinst, kostenbesparing en een nauwkeurigheidspercentage zijn nog niet gemeten. De pilot is achteraf aan het lopende onderzoek toegevoegd; er is geen vooraf opgezet vergelijkend experiment uitgevoerd.

De basisperiode blijft 2014 tot en met 31 oktober 2026. Maandrondes volgen op initiatief van Maurice; publicatie-updates zijn per kwartaal voorzien via het websiteproject. Nieuwe informatie en correcties krijgen een eigen datum en versie.

Hoe dit aansluit op andere onderzoeken

Dit onderzoek staat naast andere manieren om naar veiligheid te kijken. Een beoordeling van dreigingen, een mogelijke toekomstige crisis en een verzameling historische voorbeelden beantwoorden elk een andere vraag.

Dreigingsbeeld Statelijke Actoren 2025

Dit rapport van de Nederlandse diensten beschrijft dreigingen die van staten uitgaan. Het helpt om voorbeelden van spionage, sabotage en beïnvloeding in een groter verband te plaatsen. De diensten beschikken ook over geheime informatie. Wij kunnen die informatie niet zelf controleren. Daarom schrijven we steeds wie een oordeel geeft en op welk moment. Zie het Dreigingsbeeld Statelijke Actoren.

Rijksbrede Risicoanalyse 2026

Deze analyse onderzoekt welke grote gevaren de samenleving kunnen raken. Dat gaat zowel over opzettelijk veroorzaakte gebeurtenissen als over ongevallen en natuurlijke oorzaken. Onderzoekers gebruiken daarvoor bedachte maar mogelijke situaties. Zo kunnen ze bekijken welke gevolgen tegelijk kunnen optreden en welke voorzieningen kwetsbaar zijn. Een voorbeeld over beschadigde kabels in het Caribisch gebied is dus geen bewijs dat die sabotage werkelijk heeft plaatsgevonden. Zie de Rijksbrede Risicoanalyse en het onderscheid tussen scenario en gebeurtenis.

We hebben in acht themarapporten gerichte delen gelezen. Vier andere onderwerpen zijn inhoudelijk alleen via het hoofdrapport bekeken. Alle twaalf openbare themarapporten zijn opgeslagen, maar opslaan is niet hetzelfde als volledig lezen en controleren. De niet-openbare uitwerkingen over sanctiepolitiek en grote technologiebedrijven hebben we niet ontvangen.

De analyse gebruikt soms dezelfde informatie als het Dreigingsbeeld Statelijke Actoren. Op zo’n punt zijn het geen twee onafhankelijke bevestigingen. Zie de vastgelegde bronoverlap.

CLARIS van HCSS

Het Haagse onderzoeksinstituut HCSS houdt met CLARIS een overzicht bij van Chinese activiteiten. Het helpt ons zoeken naar voorbeelden en die te ordenen naar middel en doelwit. Van vijftien zichtbare verwijzingen naar Nederland zijn er twee uitgewerkt. Eén verwijst naar een zaak die al in ons onderzoek stond. De overige twaalf zijn nog niet gecontroleerd als Nederlandse gevallen.

De periodeaanduidingen in CLARIS zijn niet overal hetzelfde. Een tijdlijn die doorloopt tot 2026 bewijst niet dat alle jaren tot 2026 volledig zijn onderzocht. Daarom nemen we de aantallen niet automatisch over. In de toelichting staat dat de Taipei Representative Office het methodedocument financieel heeft ondersteund. De auteurs verklaren onafhankelijk te werken. Zie CLARIS, de uitleg van de methode en de verschillen in datering.

Vergelijking met Dreigingsmonitor

Dreigingsmonitor kijkt onder meer hoe vaak bepaalde woorden in jaarverslagen voorkomen. Dat kan laten zien hoeveel aandacht een onderwerp krijgt. Het vertelt niet rechtstreeks hoe vaak een aanval plaatsvindt. Ons onderzoek kijkt naar beschreven gebeurtenissen en hun onderbouwing. De twee benaderingen beantwoorden dus verschillende vragen. We hebben niet alle Nederlandse onderzoeken vergeleken en noemen dit onderzoek daarom niet het grootste, eerste of meest volledige. Zie de methodetoelichting van Dreigingsmonitor.

Moeilijke woorden uitgelegd

• OSINT: onderzoek met informatie die openbaar beschikbaar is.
• AIVD: Algemene Inlichtingen- en Veiligheidsdienst. Deze dienst onderzoekt dreigingen voor de nationale veiligheid.
• MIVD: Militaire Inlichtingen- en Veiligheidsdienst. Deze dienst onderzoekt dreigingen die van belang zijn voor Defensie.
• Corpus: de verzameling bronnen en voorbeelden die voor het onderzoek is gebruikt.
• Casus of dossier: een uitgewerkt voorbeeld of onderwerp. Dat kan ook een vermoeden of een groep samenhangende gebeurtenissen zijn.
• Actor: de persoon, organisatie of staat die iets doet of mogelijk heeft gedaan.
• Attributie: het aanwijzen van een vermoedelijke of vastgestelde verantwoordelijke. Daarbij moet duidelijk zijn wie dat oordeel geeft en waarop het berust.
• Aggregaat: een samengevoegde beschrijving of telling van meerdere gevallen. De afzonderlijke gevallen zijn niet altijd bekend.
• Bewijsfamilie: bronnen die voor een bepaalde uitspraak op dezelfde oorspronkelijke informatie steunen.
• Vitale infrastructuur: voorzieningen en verbindingen die belangrijk zijn voor het functioneren van de samenleving, zoals energie, water en communicatie.
• Diaspora: mensen die buiten hun land van herkomst, of dat van hun familie, wonen. Dit woord zegt niets over betrokkenheid bij een dreiging.
• Repressie: mensen onder druk zetten of onderdrukken, bijvoorbeeld met bedreiging of intimidatie.
• Ketenafhankelijkheid: afhankelijk zijn van andere organisaties om een product of dienst te kunnen leveren.
• Nulmeting: een vastgelegd beginpunt voor latere vergelijking. Hier gaat het vooral om beschreven voorbeelden en kennis, niet om een complete landelijke telling.
• Peildatum: de datum tot waar de gebruikte kennis in deze editie is verwerkt.
• Broncontrole: nagaan wat een bron werkelijk zegt en of die de betreffende uitspraak ondersteunt.
• Hash: een digitale vingerafdruk van een bestand, waarmee veranderingen kunnen worden ontdekt. Die zegt niet of de inhoud waar is.
• Peerreview: beoordeling door een andere deskundige. Een AI-controle vervangt geen onafhankelijke menselijke beoordeling.

Controles en beoordeling

Methodereview en afzonderlijke AI-reviews uitgevoerd. Onafhankelijke menselijke inhoudelijke review en lezerstest zijn niet uitgevoerd.

Technische controles en AI-review zijn geen onafhankelijke menselijke peerreview. De bronnotities hieronder laten zien welke passages zijn gebruikt en waar de beperkingen liggen.

Over dit onderzoek

Boog-IT | Mens-en-AI-pilot. Opdracht en inhoudelijke sturing: Maurice. Onderzoeksondersteuning en tekst: AI. Redactionele verantwoordelijkheid: Boog-IT.

Publicatie-editie van 1 november 2026. Kennisstand 31 oktober 2026.

Bronnen en uitleg

Bij iedere verwijzing staan de bron-ID’s en leesbeperkingen. Meerdere berichten kunnen op dezelfde oorspronkelijke bron berusten; het aantal verwijzingen is geen aantal onafhankelijke bevestigingen.

BEWAREN EN TERUGLEZEN

Downloads en vervolgupdates

Hoe gaat het onderzoek verder?

De basisperiode tot en met 31 oktober 2026 is inhoudelijk afgesloten binnen de beschreven scope. De aanvullende controle en redactie zijn uitgevoerd op 1 november.

Vanaf november wordt het onderzoek maandelijks bijgewerkt op initiatief van de opdrachtgever. Kwartaalupdates brengen de nieuwe bevindingen samen: eerst november–december 2026, daarna volledige kalenderkwartalen vanaf het eerste kwartaal van 2027.