Moskou’s lange oorlog en de Nederlandse financiële sector

De ontwerpbegroting van 30 september 2026 zet defensie op 17,1 biljoen roebel in 2027, 35 procent van de rijksuitgaven, en ongeveer 50 biljoen over 2027 tot 2029. De btw ging in januari naar 22 procent om dat te dragen.

Ongeveer 7 miljoen granaten en raketten in 2025, het laatste volle jaar, zeventien keer 2021, terwijl het front 10 tot 15 duizend per dag gebruikt. Nieuwe tanks gaan grotendeels in voorraad. Dat is bouwen aan een volgende oorlog.

Het leger groeide van ongeveer 850 duizend naar 1,3 miljoen. Contracten lopen door zolang de mobilisatie niet is beëindigd. Rusland houdt de grootste pool recente gevechtservaring in Europa onder de wapenen.

Vijf divisies, dertien brigades en dertig regimenten gevormd in 2025 in de hele krijgsmacht, vier divisies meer gepland voor 2026; aan de grens worden brigades divisies, in de nieuwe districten Leningrad en Moskou. Westerse diensten noemen 2029 als het jaar waarin dat gereed kan zijn.

70 miljard roebel voor patriottische vorming in 2026, twintig keer 2021. 780 duizend leerlingen in cadettentrajecten, militaire basistraining vanaf dertien jaar. Een bevolking die op een nieuw besturingssysteem wordt gezet (zie onze WACKO-studie).

Minister Belojsov, in het bijzijn van Poetin, december 2025: de NAVO bereidt zich voor op een confrontatie rond 2030, dus moet de gereedheid voor een lange periode worden gehandhaafd. Poetin, dezelfde maand: als Europa een oorlog begint, is Rusland er nu al klaar voor.

2026 was een reële krimp van het defensiebudget. De werving zakte begin 2026 naar het laagste kwartaal in drie jaar. Geen westerse dienst ziet een aanval op een NAVO-land in het komende jaar. Dit is een structuur, geen aanvalsdatum.

Sabotage en digitale verstoring kunnen banken via gedeelde infrastructuur raken. Dit is geen cartoon van een gehackte Nederlandse bank.

Schokken bereiken ook kredietnemers, onderpand en financieringsmarkten. De oorlog hoeft de bank niet zelf te raken.

Tegenmaatregelen en sancties zijn een eigen route, naast de storing en naast de economische schok.

Vertrouwensverlies kan deposito’s in beweging zetten. De vier pijlen tonen hoe de oorlog de sector kan raken, niet hoe vaak dat gebeurt.

15 en 16 februari 2022: DDoS op Oekraïense banken. Britse beoordeling op 18 februari: de GRU was vrijwel zeker betrokken.

Effecten op Europese internetgebruikers en windparken. Geen bewijs dat die spillovers banken deden falen.

Sberbank Europe, de Europese dochter van de Russische staatsbank, zag in enkele dagen haar deposito’s wegstromen: klanten haalden hun geld weg uit angst voor sancties. Op 28 februari verklaarde de ECB haar failing or likely to fail. Een reputatieschok, geen hack; en geen doorsnee Nederlandse bank.

De tijdlijn verbindt verschillende mechanismen. Zij bewijst niet dat dit één gecoördineerde operatie was.

Stroom hoort bij communicatie, cash en personeel. De waarde zit in de combinatie.

Zonder backup-verbinding is het loket met stroom nog geen bereikbare dienst.

Cashlogistiek hoort in hetzelfde punt. Wie contant moet opnemen, heeft aan een generator alleen niets.

Personeel maakt de combinatie pas tot een dienst die iemand kan gebruiken.

Meer dan 2.400 kantoren, ongeveer 55 procent, kunnen een lange stroomuitval doorstaan. Gedateerde opgave, geen onafhankelijke uptime-audit.

NSPK bestaat sinds 2014. De binnenlandse kaartverwerking was opgezet vóór de invasie.

De Russische centrale bank beschrijft dat binnenlandse verwerking doorging. Dat is zelfrapportage.

Binnenlandse continuïteit is iets anders dan internationale toegang. Doorwerken bewijst niet dat sancties faalden.

Een systeem kan blijven werken en tegelijk duurder, beperkter en afhankelijker van de staat worden.

Sinds mei 2025 schakelt Rusland zelf het mobiele internet uit, tegen drones: 69 keer in mei, minstens 2.099 keer in juli 2025, daarna ongeveer 2.000 per maand. QR- en SBP-betalingen, mobiele terminals en bankapps vallen dan uit; de centrale bank verbindt de terugkeer van contant geld ermee.

De maat is een handeling die blijft lukken: boodschappen, een rekening, een uitkering.

Essentiële productie heeft dezelfde stroom, dezelfde verbinding en soms dezelfde mensen nodig.

Collectieve capaciteit is geen som van plannen die elk voor zich de reserve al hebben ingeboekt.

Oekraïne en Rusland lieten zien wat telt als het misgaat: of de boodschappen, het loon en de uitkering nog lukken; of de productie doorgaat; en of de reserve waarop iedereen rekent er maar één keer is. Met die maat kijken wij nu naar de Nederlandse keten.

De Strategie Nationale Veiligheid, door het kabinet vastgesteld in april 2007 (Kamerstuk 30821 nr. 3), bracht moedwillige en niet-moedwillige dreigingen voor het eerst in één nationale aanpak. De voortgangsbrief van 2008 (nr. 6) zette de cyclus door.

De NRB 2007 scoorde dertien scenario’s op waarschijnlijkheid en impact, op één diagram; in 2012 waren het er 45. Griep, overstroming en moedwillige verstoring naast elkaar, met dezelfde maat.

Per thema leidde de analyse tot een agenda van te versterken capaciteiten. Dat was de bedoeling: niet alleen rangschikken, maar weten wat het land moet kunnen.

Niet dat alles bekend was, maar dat uiteenlopende dreigingen voor het eerst systematisch op een gemeenschappelijke manier werden beoordeeld. Of de volgende stap inmiddels is gezet, is de vraag van vandaag.

Het kader bestaat nog, en dat is winst. Het bleef bewust eenvoudig: sinds 2026 vertellen vier combinatiescenario’s hoe dreigingen samenhangen, maar gemeten wordt die samenhang nog altijd niet. De volgende slides laten zien wat er bleef en wat er niet kwam.

Er valt iets uit, of het wordt uitgezet: stroom, telecom, GNSS, cloud, identiteit, brandstof, of een defensieve afsluiting.

Een betaalrail die van dat uitgevallen stuk afhangt, stopt.

Mensen gaan naar wat nog werkt. Cashlogistiek, geldautomaten, vertrouwen en liquiditeit kunnen die beweging niet altijd opnemen.

Lonen, uitkeringen, winkels, en de bereidheid om geld in het systeem te laten. Het DNB-kettingvoorbeeld (Box 2 in het Financial Stability Report van najaar 2024) stopt bij de liquiditeit van de bank.

Sinds mei 2025 schakelt Rusland mobiel internet uit tegen drones. Kaartterminals en QR-betalingen vallen daarmee uit, en de centrale bank zelf koppelt de groei van het contante geld in 2026 aan die afsluitingen: 2,55 biljoen roebel van februari tot en met juli. Een eigen verdedigingsmaatregel als eerste orde, de betaalketen als tweede, de cash als derde.

Blijven betalingen en systemen werken: stroom, telecom, cloud, de betaalrail. Dat is de keten van de vorige slides.

Zijn instructies en transacties aantoonbaar echt: wie betaalt, aan wie, met welke bevoegdheid? Gestolen inloggegevens en valse betaalopdrachten raken een bank zonder dat er iets uitvalt.

Blijven banken en hun klanten financieel levensvatbaar: liquiditeit, kredietverliezen, een run. Sberbank Europe viel in 2022 zonder hack om, door een reputatieschok.

Identiteit: interoperabele, hardwarebeveiligde credentials (eIDAS 2.0, de EU-identiteitswallet). Transacties: aantoonbare autorisatie, getest onder DORA en TIBER-EU. Privacy: verifieerbaar zonder traceerbaar te zijn (de EU-blauwdruk voor anonieme bewijzen). Continuïteit: andere netwerken, offline betalen (digitale euro). De bouwstenen liggen er; de samenhang ontbreekt, en de oorlogsdreiging is de reden om die nu te maken.

Een bewijs van identiteit herstelt geen stroom en geen telecom, stopt geen run en beschermt niet tegen een gekaapt toestel of een gedwongen gebruiker. Daarom horen de drie kwetsbaarheden bij drie verschillende antwoorden; alleen de middelste wordt door een vertrouwensinfrastructuur kleiner.

Geopolitiek heeft een geschiedenis van geografisch determinisme, en in de jaren dertig van erger. Niet alle hedendaagse geopolitiek draagt die erfenis, maar de gewoonte om ruimte en macht als lot te lezen zit er nog in.

Wat tussen staten beweegt, is ook economisch, juridisch, maatschappelijk en identitair. Een oorlog bereikt een bank via sancties, contracten, vertrouwen en recht, niet via een kaart alleen.

Daarom noemden wij het in 2015 geodynamiek: geopolitiek, geo-economisch, geo-maatschappelijk, geo-juridisch, geo-cultureel, en zo verder. Niet waar een land ligt, maar hoe de verhoudingen bewegen.

Wij hebben geleerd risico’s te identificeren. Elk risico kreeg een eigen kaart. Sinds 2026 verbinden vier combinatiescenario’s kaarten tot een verhaal, maar de samenhang wordt niet gemeten.

De volgende ambitie is meten hoe die risico’s verbonden zijn. Van losse kaarten naar één netwerk.

Neem de keten van DNB: ransomware bij één telecomaanbieder, bank I valt uit, de uitwijk overbelast aanbieder B, bank II valt uit, desinformatie, deposito’s weg. De nationale risicoanalyse ziet de telecomstoring, DNB de liquiditeit van de bank, TIBER één instelling, het MOB het contante geld. Vier kaarten, elk juist, en niemand meet de keten als geheel. Dat is wat Geomics zou toevoegen. Voorstel, nog geen gemeten graaf.

De risicobeoordeling scoort wat kan misgaan: kans maal impact, in 2007 en nog in 2026. De verkenningen eromheen zagen wel kansen: de Technologieverkenning van 2014 heette letterlijk een verkenning van kansen en dreigingen. In haar laatste stap gingen voornamelijk de dreigingen door naar de scenario’s.

Het internet is gebouwd op vertrouwen tussen partijen, niet op veiligheid: wachtwoorden, open protocollen, identiteit achteraf. Wat er anders moet, is inmiddels ongeveer bekend en ligt deels al klaar (vorige slide). De dreiging van oorlog kan die overgang versnellen die toch moet.

Zweden laat kaarten tot zeven dagen offline werken voor voedsel, medicijnen en brandstof, met Visa en Mastercard als partij. De Nederlandse uitgestelde pinbetaling is als oplossing aangewezen, maar nog niet in werking.

De dreiging kan de overgang naar een beter stelsel versnellen. Als of wanneer een oorlog uitbreekt, is de digitale infrastructuur dan beter beschermd dan vandaag. Dat is een opwaarts risico, en het hoort in de analyse.

Oorlog is een verschrikking, geen innovatiebeleid. Maar de dreiging van oorlog kan ons dwingen om vóór de crisis te bouwen aan systemen die niet alleen veiliger zijn, maar ook slimmer, vrijer en veerkrachtiger.

Een lange oorlog van Rusland, die de financiële sector via afhankelijkheden bereikt: stroom, telecom, cloud, identiteit, betaalrails. Dat is kwalitatief nieuw voor Nederland, en het staat sinds 2026 als combinatiescenario in de rijksbrede risicoanalyse.

China als leverancier en als drukmiddel, en AI als aanvalswapen op precies dezelfde ketens. De analyse die alleen Rusland ziet, ziet te weinig.

Dezelfde AI verandert wat wij kunnen zien en bouwen: modellen die de samenhang der dingen kunnen tonen, en een veiliger stelsel dat nu betaalbaar en haalbaar wordt. Wie alleen neerwaarts scoort, mist dit.

Twee neerwaartse en één opwaartse verschuiving, alle drie kwalitatief nieuw, vragen om een andere aanpak: de geïntegreerde nationale risicoanalyse fors opwaarderen, van bewust eenvoudig naar samenhang, en de sectorale risicoanalyses, zoals die van de financiële sector vandaag, met dezelfde ambitie. Niet als vraag aan de zaal, als opdracht aan onszelf.

Zoals Nederland in 2008 met de nationale risicobeoordeling vooropliep, kan het dat twintig jaar later opnieuw: de samenhang meten en ernaar handelen, in de nationale én in de sectorale analyses. Dat is de opdracht.