6G Matrix

Het netwerk als doelwit

Hoe meer data en sturing via één altijd-aan netwerk lopen, hoe groter de schade als dat netwerk zelf wordt binnengedrongen.

6GIoTIoBNanoAI TwinStaatMilitairIndustrieKapitaalBurger
Wat komt er?5 DOSSIERS · TECHNIEKWie trekt eraan?5 DOSSIERS · ACTORENWaartoe?5 DOSSIERS · CONTROL
Wat is het

Het doelwit is hier het netwerk zelf, niet de telefoon. Aanvallen op een toestel staan bij Spyware.

Op 27 augustus 2025 publiceerden de Amerikaanse diensten voor cyberveiligheid (CISA), signalen-inlichtingen (NSA) en federale politie (FBI) met partners een advies. De Algemene Inlichtingen- en Veiligheidsdienst (AIVD) en de Militaire Inlichtingen- en Veiligheidsdienst (MIVD) tekenden mee. Daarin staan groepen die zich richten op de ruggengraat van telecomnetwerken: grote backbone-routers en randrouters[1]. Wie daar zit, kan communicatie en bewegingen van doelwitten volgen.

Hoe het werkt

In Nederland ging het om routers van kleinere internet- en hostingproviders. De aanvallers zijn voor zover bekend niet verder het interne netwerk in gegaan, en de grote providers zijn niet geraakt[2].

Een extra oppervlak zit in Open RAN, open radio access network: het radionetwerk als platform voor apps van derden. Een RIC (RAN Intelligent Controller) mag per gebruiker meten en sturen[3]. Analyses kunnen via het Y1-koppelvlak naar partijen buiten de operator[4]. De architectuur houdt rekening met kwaadaardige xApps, kleine stuurprogramma's. De beveiliging zelf staat niet in die architectuur, maar in een apart document[5].

De Amerikaanse telecomtoezichthouder Federal Communications Commission (FCC) oordeelde in januari 2025 dat de wet Communications Assistance for Law Enforcement Act (CALEA) operators verplicht hun netwerken te beveiligen tegen onrechtmatige toegang of afluisteren. In november 2025 trok dezelfde FCC dat besluit in[6]. Wat eraan hangt, van meter tot camera, staat bij Wat er allemaal verbonden is.

Wat 6G en AI toevoegen

Die aanvallen gaan over netwerken die er al zijn. 6G is het volgende netwerk daaroverheen. De Internationale Telecommunicatie-Unie (ITU), een VN-organisatie, schreef in november 2023 dat het 6G-systeem veilig vanaf het ontwerp wordt verwacht. Bij dat vermogen staat geen streefwaarde[7].

Het 3rd Generation Partnership Project (3GPP), het verbond dat de mobiele standaarden schrijft, gaat in een conceptstudie van september 2026 uit van hetzelfde als bij 5G: of gebruikersdata versleuteld en tegen wijziging beschermd worden, is een keuze van de operator[8]. Een 6G-studie van maart 2026 zegt dat beveiliging wettelijk aftappen niet mag hinderen[9]. Dat is een ontwerpeis, net als bij eerdere generaties. De 5G-tap zelf staat in het 5G-dossier, bij Aftappen in 5G. Wat de staat mag, staat bij Uitzondering nationale veiligheid.

6G wil het netwerk ook laten meten. Dat staat bij Het meetende netwerk. Een bron die een inbraak in het netwerk koppelt aan die metingen, is niet gevonden.

Bewijs · 6
01 · FEIT

Staatsactoren richten zich op de ruggengraat van providers

Het gezamenlijke advies AA25-239A van 27 augustus 2025, herzien op 3 september 2025, van CISA, NSA, FBI en partners, mede ondertekend door de AIVD en de MIVD, schrijft dat deze actoren zich richten op grote backbone-routers van grote telecomproviders en op randrouters van de provider en de klant. Ze passen routers vaak aan om langdurig in netwerken te blijven. Dat kan Chinese inlichtingendiensten in staat stellen communicatie en bewegingen van doelwitten te volgen.

«While these actors focus on large backbone routers of major telecommunications providers, as well as provider edge (PE) and customer edge (CE) routers, they also leverage compromised devices and trusted connections to pivot into other networks.»
02 · FEIT

In Nederland zijn kleinere providers geraakt, de grote niet

Het AIVD-nieuwsbericht van 28 augustus 2025 schrijft dat het niet om grote telecommunicatieproviders gaat, maar om kleinere internet- en hostingproviders. Uit onderzoek van de MIVD en de AIVD blijkt dat de aanvallers toegang hadden tot routers van de Nederlandse doelwitten. Voor zover bekend zijn ze niet verder doorgedrongen in de interne netwerken. Het Cybersecuritybeeld Nederland 2025 voegt toe dat de grote telecomproviders in Nederland niet zijn geraakt.

«Het gaat hierbij niet om grote telecommunicatieproviders, maar om kleinere Internet Service - en Hosting providers.»
03 · FEIT

De VS stelde een beveiligingsplicht in en trok die in

In januari 2025 oordeelde de Amerikaanse telecomtoezichthouder FCC dat artikel 105 van de wet CALEA operators verplicht hun netwerken te beveiligen tegen onrechtmatige toegang of afluisteren van communicatie. In november 2025 trok dezelfde FCC dat besluit in, omdat het niet aansloot op de aard van de cyberdreigingen en niet paste bij een wendbare en samenwerkende aanpak.

«we conclude that section 105 of Communications Assistance for Law Enforcement Act (“CALEA”) affirmatively requires telecommunications carriers to secure their networks from unlawful access or interception of communications.»
04 · FEIT

De ITU verwacht 6G veilig vanaf het ontwerp, zonder streefwaarde

Aanbeveling ITU-R M.2160 van november 2023 schrijft dat het IMT-2030-systeem veilig vanaf het ontwerp wordt verwacht. Bij dat vermogen staat geen streefwaarde, anders dan bij andere vermogens in hetzelfde raamwerk, die wel een getal hebben.

«Enhanced security and resilience: IMT-2030 system is expected to be secure by design.»
05 · IN ONTWIKKELING

In het 6G-concept blijft versleuteling een keuze van de operator

In het 6G-beveiligingsconcept TR 33.801-01 versie 0.6.0 van september 2026 is de aanname dat het gebruik van integriteitsbescherming en vertrouwelijkheidsbescherming voor gebruikersdata optioneel is en afhangt van het beveiligingsbeleid van de operator. Dit is een conceptstudie, geen norm.

«It is assumed that the use of integrity protection and confidentiality protection for user data is optional and up to the operator's security policy.»
06 · IN ONTWIKKELING

6G-beveiliging mag wettelijk aftappen niet hinderen

In de 6G-studie TR 22.870 versie 20.0.0 van maart 2026 staat als potentiële eis dat het 6G-netwerk beveiligingsmechanismen moet bieden die communicatie en data beschermen en tegelijk wettelijk aftappen niet hinderen. Dit is een studie, nog geen norm.

«[PR 5.5.1.2-4] The 6G network shall provide security mechanisms that offer protection of communication and data while at the same time not hindering Lawful Interception (ref TS 33.126 [312], clause 6.4).»
Grens en tegengeluid

EU-lidstaten en het Duitse BSI, de dienst voor cyberveiligheid, zien bij Open RAN een groter aanvalsoppervlak, en apps van derden die zicht krijgen op de locatie van gebruikers. Het BSI schat dat risico als middel tot hoog in, het is geen vastgesteld lek[10]. Tegelijk zien overheden Open RAN als uitweg uit Huawei en ZTE. De Europese Commissie noemt het weren van die twee gerechtvaardigd, maar haar mededeling C(2023) 4049 noemt Open RAN niet[11]. Draait het radionetwerk in de cloud (cloud-RAN), dan heeft de cloudbeheerder volgens het BSI de volle controle. Telefónica meldt dat het radiosoftware draait in AWS, de clouddienst van Amazon. Dat is een opgave van het bedrijf zelf[12]. In Nederland is geen inzet van Open RAN gevonden. Vodafone kiest volgens eigen opgave Ericsson als enige leverancier van het radionetwerk[13].

07 · FEIT

De FCC noemt de hack van aftapsystemen alleen 'naar verluidt'

Het FCC-besluit van januari 2025 schrijft dat aanvallen naar verluidt onbevoegde toegang gaven tot informatie en netwerkinfrastructuur die cruciaal is voor wettelijk aftappen onder CALEA. Die zin rust op een krantenbron. In het gezamenlijke advies AA25-239A komen wettelijk aftappen en interceptie niet voor.

«Those attacks include Salt Typhoon’s attack on three of the nation’s largest service providers, reportedly gaining unauthorized access to information and network infrastructure crucial to lawful federal wiretap and data collection requests pursuant to authority under CALEA;»
08 · FEIT

TU Delft is gescand, niet aangevallen

Het Cybersecuritybeeld Nederland 2025 corrigeert berichten dat de Universiteit Delft onsuccesvol was aangevallen. Bevestigd kan worden dat de universiteit is gescand, maar dat er geen sprake was van een aanval.

«Zo verscheen in de media dat de Universiteit Delft (onsuccesvol) was aangevallen door Salt Typhoon. Bevestigd kan worden dat de universiteit is gescand, maar dat er geen sprake was van een aanval.»
09 · IN ONTWIKKELING

In het 6G-concept geldt quantumveilige versleuteling niet overal

In het 6G-beveiligingsconcept TR 33.801-01 versie 0.6.0 is post-quantumcryptografie niet van toepassing op de beveiliging van twee lagen van het radioprotocol. 6G quantumveilig noemen is daarmee te stellig. Dit is een conceptstudie, geen norm.

«PQC is not applicable to PDCP/MAC CE security»
10 · IN ONTWIKKELING

De 6G-beveiligingsstudie is een concept, geen norm

Het 6G-beveiligingsdocument TR 33.801-01 versie 0.6.0 van september 2026 is een concept. Het is niet door de 3GPP-partners goedgekeurd en mag niet worden geïmplementeerd.

«The present document has been developed within the 3rd Generation Partnership Project (3GPP TM) and may be further elaborated for the purposes of 3GPP. The present document has not been subject to any approval process by the 3GPP Organizational Partners and shall not be implemented.»
11 · FEIT

Open RAN geeft apps van derden zicht op locatie, waarschuwen lidstaten

De NIS-samenwerkingsgroep van de EU-lidstaten (NIS CG) schreef in mei 2022 dat Open RAN 'will give access to information flows to new third-party applications', met als voorbeeld 'real-time location data of users connected to the network'. Open RAN 'would exacerbate a number of the security risks of 5G networks and expand the attack surface in the radio access part of the network.' Het Duitse BSI (Bundesamt für Sicherheit in der Informationstechnik) vond 'mittlere bis hohe Sicherheitsrisiken' in een groot deel van de koppelvlakken en onderdelen, omdat de specificaties niet zijn ontwikkeld volgens 'security/privacy by design/default'. Breekt een xApp uit zijn afscherming, dan dreigt volgens het BSI directer dat 'the 3GPP User Plane or Control Plane data being accessed'. De Amerikaanse CISA en NSA vragen om 'multi-factor authentication' voor databronnen van rApps en xApps. Eurocommissaris Breton: 'Under no circumstances should the potential deployment in Europe's 5G networks of Open RAN lead to new vulnerabilities.' Het BSI-rapport dateert van 2022; latere O-RAN-releases zijn daarin niet beoordeeld.

«Open RAN will give access to information flows to new third-party applications, which raises security issues with regard to data passing through the network (e.g. real-time location data of users connected to the network).»
12 · FEIT

De Commissie vindt het weren van Huawei en ZTE gerechtvaardigd

In juni 2023 schreef de Europese Commissie dat besluiten van lidstaten 'to restrict or exclude Huawei and ZTE are justified and compliant with the 5G Toolbox.' en dat 'Huawei and ZTE represent in fact materially higher risks than other 5G suppliers.' 'Ten Member States' hadden toen zulke beperkingen opgelegd. De NIS CG ziet in Open RAN 'perspectives for allowing greater diversification of suppliers', maar ook 'possibly more high-risk suppliers'. De Amerikaanse NTIA (National Telecommunications and Information Administration) lanceerde een fonds dat 'will invest $1.5 billion in the development of open and interoperable networks', voor leveranciers van bondgenoten en 'not vendors from nations that threaten our national security.' Vodafone UK zette in 2023 OpenRAN in 'to replace legacy Huawei technology across 2,500 mobile sites' (P*). CISA en NSA wijzen erop dat meer leveranciers ook 'supply chain challenges' meebrengt. Open RAN is dus zowel een veiligheidsrisico als een geopolitiek instrument.

«the Commission considers that decisions adopted by Member States to restrict or exclude Huawei and ZTE are justified and compliant with the 5G Toolbox.»
13 · FEIT

Vodafone kiest in Nederland Ericsson als enige radioleverancier

In oktober 2025 meldden Ericsson en Vodafone (P*): 'Ericsson will be Vodafone's sole RAN vendor in Ireland, Netherlands, and Portugal'. Het gaat om 'Open RAN-compatible Massive MIMO radios' en 'a number of AI-powered rApps which will be deployed market-by-market'. Ericsson meldt dat zijn rApp-ecosysteem rApps bevat 'developed by Ericsson and third parties' en 'has 28 registered members' (P*). De persberichten van VodafoneZiggo en Odido over hun Ericsson-contracten noemen in de berichttekst geen Open RAN. KPN tekende in april 2019 'een voorlopige overeenkomst' met Huawei voor het radio- en antennenetwerk (P*). Wat daarna met Huawei in het Nederlandse RAN gebeurde, staat in deze primaire bronnen niet. Compatibele radio's en rApps van derden betekenen nog geen netwerk met meerdere RAN-leveranciers.

«Ericsson will be Vodafone's sole RAN vendor in Ireland, Netherlands, and Portugal»
Wie zit erachter · 7
Standaardisatie en normen · mondiaal
3GPP

Het industrieverbond dat de technische specificaties van mobiele netwerken schrijft. Zijn eisen voor waarneming in 5G (release 19) benoemen het privacyrisico voor mensen zonder telefoon.

14 ONDERWERPEN →
Toezichthouder · VS
FCC

De Amerikaanse Federal Communications Commission. Gaf op 1 december 2022 een gedeeltelijke vergunning voor de tweede generatie van Starlink. Nam op 14 maart 2024 regels aan zodat een satelliet en een mobiel netwerk samen dode zones kunnen dichten.

3 ONDERWERPEN →
EU-instelling · EU
Europese Commissie

Het uitvoerende orgaan van de EU. Stelt wetten voor en ziet toe op de uitvoering; het AI Office van de Commissie handhaaft de regels voor algemene AI-modellen, en het in- en uitreissysteem EES draait onder haar leiding.

19 ONDERWERPEN →
VN-organisatie · mondiaal
ITU

De Internationale Telecommunicatie-unie, een VN-organisatie. ITU-R legde in 2023 het raamwerk voor 6G (IMT-2030) vast; ITU-T beschrijft de digitale tweeling van het netwerk.

17 ONDERWERPEN →
Toezichthouder · DE
BSI

Het Bundesamt für Sicherheit in der Informationstechnik (BSI). Op het eigen kortprofiel schrijft het dat het informatiebeveiliging in de digitalisering vormgeeft door preventie, detectie en reactie, voor staat, economie en samenleving. Dezelfde alinea noemt het de cyberveiligheidsautoriteit van de Bond en vormgever van een veilige digitalisering in Duitsland.

1 ONDERWERP →
Bedrijf · VK
Vodafone

Britse telecomaanbieder. Zegt dat het netwerk objecten zonder sim kan waarnemen, en wil die waarneming via een programmeerinterface aan derden aanbieden.

2 ONDERWERPEN →
Bedrijf · SE
Ericsson

Zweedse netwerkbouwer. Bouwt de radio in de masten, volgde in 2026 drones daarmee in Texas, en wijst in een white paper over 6G-spectrum naar de centimeterband (7 tot 15 gigahertz).

7 ONDERWERPEN →
Bronnen bij de tekst
  1. 01Staatsactoren richten zich op backbone-routers van operatorsCISA, AA25-239A — joint cybersecurity advisory (2025)
  2. 02In Nederland routers van kleinere providers, grote niet geraaktAIVD, Nederlandse providers doelwit van Salt Typhoon (2025)
  3. 03In Open RAN mogen apps van derden per gebruiker meten en sturen in het radionetwerkO-RAN ALLIANCE, O-RAN: architectuur Near-RT RIC (2025)
  4. 04RAN-analyses uit de RIC kunnen via het Y1-koppelvlak naar partijen buiten het operatordomeinETSI, ETSI TS 103 982: O-RAN-architectuur (2026)
  5. 05De O-RAN-architectuur rekent op kwaadaardige xApps, maar de beveiliging staat niet in de releaseO-RAN ALLIANCE, O-RAN: architectuur Near-RT RIC (2025)
  6. 06FCC stelde een beveiligingsplicht in en trok die inFCC, FCC 25-9 — CALEA section 105 (2025)
  7. 07ITU verwacht dat 6G veilig is vanaf het ontwerpITU-R, Recommendation ITU-R M.2160-0 — IMT for 2030 and beyond (2023)
  8. 086G-concept: versleuteling van gebruikersdata blijft optioneel3GPP, TR 33.801-01 V0.6.0 — 6G security study (2026)
  9. 096G-beveiliging mag wettelijk aftappen niet hinderen3GPP, TR 22.870 — 6G use cases, road digitalisation (2026)
  10. 10EU-lidstaten en het Duitse BSI: Open RAN vergroot het aanvalsoppervlak en geeft derden zicht op locatiedataNIS Cooperation Group, NIS CG: cybersecurity van Open RAN (2022)
  11. 11De andere kant: overheden zien Open RAN als uitweg uit afhankelijkheid van Huawei en ZTEEuropese Commissie, EC: uitvoering 5G Toolbox (2023)
  12. 12Cloud-RAN: de cloudbeheerder heeft volgens het BSI volledige controle, en Telefónica draait RAN-software al in AWSBSI, BSI: Open-RAN Risikoanalyse (2022)
  13. 13In Nederland is geen Open RAN-inzet gevonden: Vodafone kiest één RAN-leverancier, wel met rAppsEricsson, Ericsson en Vodafone: vijfjarig RAN-contract (2025)
Volgend dossier
Internet of Things

Het Internet of Things is alles met een sensor en een verbinding dat zelf gegevens verstuurt. In dit dossier: de slimme stad, de deurbel, het verkeer, de slimme meter, en labels zonder batterij op dozen en kleding.

Lees verder →

Lees ook

Ook verbonden met Vindbaar op internet, Geheime-diensten-AI, Telecom-RAN, Spyware.

↑ Terug naar 6G