Kabinet: strenge aanpak bad hosting en malafide resellers

Volgens de minister vormt misbruik van de Nederlandse hostingsector al jaren een hardnekkig probleem voor opsporingsdiensten. Via malafide serverruimte kunnen criminelen relatief eenvoudig cyberdelicten faciliteren, zoals ransomware-aanvallen, phishing, doxing en de verspreiding van beeldmateriaal van seksueel kindermisbruik. Omdat er vaak gebruik wordt gemaakt van ingewikkelde resellerconstructies—waarbij digitale capaciteit via meerdere tussenpartijen wordt doorverhuurd—blijven de daadwerkelijke daders dikwijls buiten het zicht van de politie.

Europol waarschuwt voor eigen criminele netwerken

De urgentie voor de maatregelen wordt onderstreept door recente bevindingen uit het Internet Organised Crime Threat Assessment 2026 (IOCTA) van Europol. Daaruit blijkt dat cybercriminelen hun infrastructuren steeds complexer inrichten en hun activiteiten verspreiden over verschillende landen om opsporing en jurisdicties te omzeilen. Zorgwekkend is dat criminelen in toenemende mate hun eigen digitale infrastructuren opzetten om de voorwaarden van legitieme hostingaanbieders te omzeilen.

Opsporingsdiensten hebben de afgelopen periode al een reeks succesvolle interventies uitgevoerd:

• Inbeslagname van 250 servers: In november 2025 rolde de politie een malafide hostingbedrijf op dat sinds 2022 in meer dan 80 cybercrimeonderzoeken opdook. Met de inbeslagname van ruim 250 fysieke servers werden duizenden virtuele servers offline gehaald.
• Sanctiehandhaving door de FIOD: Op 18 mei 2026 hield de FIOD twee verdachten aan voor het overtreden van EU-sancties. Een Nederlands bedrijf fungeerde vermoedelijk als dekmantel voor een eerder gesanctioneerde webhoster die betrokken was bij cyberaanvallen en desinformatiecampagnes. Hierbij werden ruim 800 servers in beslag genomen.

Pleitbezorging voor wettelijke KYC-verplichting

Een van de belangrijkste maatregelen om malafide klanten te weren is het invoeren van een Know Your Customer (KYC)-beleid, waarbij de identiteit van klanten verplicht wordt gecontroleerd. Hoewel veel bonafide Nederlandse hostingbedrijven dit al vrijwillig doen via de sectorbrede Gedragscode Abusebestrijding, geldt er onder de Europese Digitaledienstenverordening (DSA) momenteel geen algemene wettelijke verplichting.

Het kabinet ziet een verplicht KYC-beleid als een krachtig middel, maar waarschuwt voor een nationaal 'waterbedeffect': criminelen zouden hun uitwijkklasse eenvoudig verplaatsen naar andere Europese landen met soepelere regels. Nederland wil een verplichte KYC-toets daarom aankaarten bij de geplande evaluatie van de DSA in 2027 en zoekt op Europees niveau samenwerking met gelijkgestemde lidstaten.

Scherpere inkoop en publiek-private samenwerking

Naast wetgeving en strafrechtelijke opsporing neemt de overheid extra maatregelen om de sector op te schonen:

• Waarschuwingsbrief aan de sector: De politie verstuurde in maart 2026 opnieuw een waarschuwingsbrief naar Nederlandse hostingbedrijven met een lijst van bekende malafide resellers en bullet proof-dienstverleners. Veel hostingbedrijven beëindigen na zo'n waarschuwing direct de contracten met de betreffende klanten.
• Strengere inkoopregels Rijksoverheid: Het ministerie van Justitie en Veiligheid werkt aan het verstrengen van de eigen inkoopvoorwaarden. De Rijksoverheid wil uitsluitend nog hostingdiensten afnemen van leveranciers die proactief misbruik bestrijden en de Gedragscode Abusebestrijding naleven.
• Samenwerking via 'Cyclotron': Binnen het National Cyber Security Centre (NCSC) is eind 2025 een speciale use case gestart waarin de Dutch Cloud Community, TU Delft, cybersecuritybedrijven en de politie samenwerken om methodes te ontwikkelen die bullet proof hosters sneller identificeren.
• Eigen SBI-code: Om beter zicht te krijgen op de omvang van de hostingsector is bij het CBS een aanvraag ingediend voor een specifieke uitsplitsing in de Standaard Bedrijfsindeling (SBI-code).

Internationaal trekt Nederland de kar binnen het Counter Ransomware Initiative (CRI), waar samen met het Verenigd Koninkrijk wordt gewerkt aan een internationale gedragscode tegen bullet proof hosting, geïnspireerd op het Nederlandse model.