De Rijksinspectie Digitale Infrastructuur (RDI) heeft 26 ontwikkelingen in kaart gebracht die de digitale infrastructuur de komende tien jaar raken. Agentic AI, AI-gedreven cyberaanvallen, ketenaanvallen en de quantumdreiging krijgen de hoogste impactscore. De inspectie signaleert daarnaast een groeiende weerbaarheidskloof tussen het MKB en het grootbedrijf.
De Trendradar 2026-2035 is de vijfde editie van het overzicht dat de RDI periodiek publiceert. De inspectie stelde de lijst samen met 30 experts uit bedrijfsleven, kennisinstellingen en overheden. De trends zijn verdeeld over drie thema’s: technologie, geopolitiek en maatschappij. Elke trend krijgt een impactscore (hoog, middel of laag) en een termijn waarop de RDI het hoogtepunt verwacht. De inspectie gebruikt de radar om het eigen toezicht te prioriteren, maar richt zich met het rapport ook op beleidsmakers en bedrijven in de digitale infrastructuur.
AI aan beide kanten van de aanval
Volgens de RDI worden AI-systemen sinds 2025 steeds vaker aan elkaar gekoppeld en voorzien van een doel dat ze grotendeels zelfstandig bereiken. Met de juiste autorisaties kunnen zulke agents transacties uitvoeren, systemen aansturen en beslissingen nemen namens gebruikers. De inspectie geeft deze trend een hoge impact op een termijn van nul tot drie jaar. Agentic AI kan ook worden ingezet voor autonoom uitgevoerde ransomware-aanvallen of voor het zelfstandig vinden en misbruiken van kwetsbaarheden.
De RDI stelt dat AI de drempel voor cybercriminaliteit verlaagt, omdat taalmodellen code voor aanvallen kunnen genereren en aanvallen kunnen automatiseren. Als voorbeeld noemt het rapport de inzet van de malware LAMEHUG in 2025 door de aan Rusland gelieerde groep APT28. Organisaties houden daardoor minder tijd over om kwetsbaarheden te verhelpen. Effectieve verdediging vraagt volgens de inspectie vaak zelf ook om AI.
Ketenaanvallen en het MKB
Statelijke actoren voeren aanvallen steeds vaker uit via derde partijen zoals criminele groepen, waardoor de opdrachtgever moeilijker te achterhalen is. Ook richten aanvallers zich vaker op leveranciers en onderaannemers. De RDI verwijst naar SolarWinds in 2020, de inbraak bij bestandsoverdrachtprogramma Cleo in 2024 en misbruik van Citrix-kwetsbaarheden in 2025. Het MKB is volgens het rapport vaker doelwit dan grote bedrijven, wat aanvallen minder zichtbaar maakt.
Tegelijk blijft de cyberweerbaarheid van het MKB achter, vooral bij complexere maatregelen zoals data-encryptie. Omdat MKB-bedrijven deel uitmaken van kritieke ketens, maakt die kloof volgens de inspectie de hele digitale infrastructuur kwetsbaarder.
Quantum en regeldruk
De RDI waarschuwt voor ‘harvest now, decrypt later’: statelijke actoren slaan versleutelde communicatie nu op om die later met quantumcomputers te ontcijferen. De inspectie roept organisaties op nu al te beginnen met de overstap naar post-quantum cryptografie, ook zonder wettelijke verplichting. Die overstap vergt tijd en soms nieuwe hardware, vooral bij systemen met een lange levensduur.
Op het gebied van wetgeving signaleert de RDI een spagaat. De opeenstapeling van GDPR, NIS2, DORA, de Data Act en de AI-verordening maakt naleving complex en kostbaar, vooral voor kleinere organisaties. De EU zet in op vereenvoudiging, maar volgens het rapport kan dat ertoe leiden dat risico’s minder goed zijn afgedekt. Een wispelturige wetgever maakt het daarnaast lastiger te voorspellen waar bedrijven aan moeten voldoen.
Beschikbaarheid minder vanzelfsprekend
Nederland haalt nu een beschikbaarheid van meer dan 99,98 procent voor kritieke infrastructuur. De RDI verwacht dat de nadruk door hybride dreigingen verschuift van continue beschikbaarheid naar het vermogen om verstoringen op te vangen. Extra druk komt volgens het rapport van het stijgende energie- en waterverbruik door datacenters en AI, en van het aanhoudende tekort aan ICT-professionals. Omdat AI vooral junior werk overneemt, verwacht de inspectie dat op termijn minder mensen doorgroeien naar seniorfuncties.
Het volledige rapport is te lezen via Trendradar 2026-2035.
