Voortgang verkenning bad hosting

Tweede Kamer der Staten-Generaal2Vergaderjaar 2025–202626 643Informatie- en communicatietechnologie (ICT)29 911Bestrijding georganiseerde criminaliteitNr. 1544 BRIEF VAN DE MINISTER VAN JUSTITIE EN VEILIGHEID Aan de Voorzitter van de Tweede Kamer der Staten-GeneraalDen Haag, 3 juli 2026In 2025 bent u via de Kamerbrief «Integrale aanpak cybercrime»(Kamerstuk 26 643, nr. 1357) geïnformeerd over de verkenning naar deaanpak van bad hosting naar aanleiding van de toezegging tijdens hetcommissiedebat Cybercrime van 24 oktober 2024. In de verkenning is de,aan bad hosting gerelateerde, resellerproblematiek meegenomen. In dezebrief wordt u geïnformeerd over de voortgang van maatregelen naaraanleiding van de verkenning. Het betreft activiteiten op het gebied vanhandhaving, wet- en regelgeving, enkele overige maatregelen eninternationale samenwerking.HostingproblematiekDe hostingproblematiek in Nederland vormt al jaren een grote uitdagingvoor opsporingsdiensten. Misbruik van hostingdiensten vormt eenbelangrijk onderdeel van meerdere vormen van online criminaliteit.Alhoewel het overgrote deel van de Nederlandse hostingsector zelfmaatregelen neemt tegen het gebruik van hun diensten door criminelen,is er een deel dat onbewust (bad hosting) of bewust (bullet proof hosting)malafide activiteiten faciliteert. Dat maakt verschillende vormen vanonline criminaliteit lastig op te sporen, zoals phishing, ransomware,malware, DDoS-aanvallen, maar ook doxing, sextortion en deverspreiding van beeldmateriaal van seksueel kindermisbruik. Dit is metname het geval bij bullet proof hosting, waarbij criminelen serverruimtekunnen gebruiken van hostingaanbieders die nauwelijks toezicht houdenop hun klanten, geen opvolging aan meldingen van misbruik geven, en insommige gevallen adverteren met het niet meewerken aan verzoeken ofbevelen van opsporingsdiensten. Daarnaast is er bij bad hosting veelalsprake van een resellerconstructie, waarbij diensten via meerderetussenpartijen worden aangeboden of «doorverhuurd», waardoor hetachterhalen van de verantwoordelijke partij wordt bemoeilijkt encriminelen makkelijker uit het zicht van opsporingsdiensten blijven. kst-26643-1544ISSN 0921 - 7371’s-Gravenhage 2026Tweede Kamer, vergaderjaar 2025–2026, 26 643, nr. 15441 Beeld en ontwikkelingVolgens het Internet Organised Crime Threat Assessment 2026 (IOCTA2026) van Europol speelt bullet proof hosting een steeds grotere rolbinnen de cybercrime-economie. Cybercriminelen maken gebruik vancomplexe infrastructuren en technieken om buiten het zicht van opspo-ringsinstanties te blijven en hun servers moeilijk traceerbaar te maken.Daarbij worden activiteiten verspreid over meerdere servers in verschil-lende landen, waardoor verschillen in wetgeving, procedures en juris-dictie internationale opsporing kunnen vertragen. Hierdoor wordt hettijdig detecteren van malafide internetverkeer aanzienlijk lastiger gemaakt.Een opvallende en zorgelijke ontwikkeling is de overstap van criminelennaar het opzetten van eigen digitale infrastructuren, mogelijk omvoorwaarden van een hostingaanbieder te omzeilen en de opsporingverder te bemoeilijken. Het gebruik van deze werkwijzen maken het zeercomplex en tijdrovend om daders op te sporen en infrastructuur offline tehalen.Voortgang aanpak bad hostingHieronder worden enkele maatregelen en initiatieven nader toegelicht.Deze zijn in deze brief onderverdeeld in vier categorieën: handhaving,wet- en regelgeving, overige maatregelen en initiatieven, en Europese eninternationale samenwerking.1) HandhavingHandhaving op grond van de DigitaledienstenverordeningDe Digitaledienstenverordening (DSA) beoogt een veilige, voorspelbareen betrouwbare online omgeving te bevorderen en de verspreiding vanillegale online inhoud aan te pakken. Daartoe bevat de DSA enerzijds eenkader voor de aansprakelijkheid van aanbieders van tussenhandel-diensten, waaronder hostingdiensten en online platforms, en anderzijdseen aantal zorgvuldigheidsverplichtingen waar deze diensten aan moetenvoldoen.Hostingdiensten en online platforms dienen illegale online content teverwijderen of ontoegankelijk te maken zodra zij hier kennis van hebben.Doen zij dat niet, dan kunnen zij geen beroep doen op de beperking vanaansprakelijkheid die zij in beginsel genieten, en riskeren zij zelf aanspra-kelijkheid. Kennis kan onder meer ontstaan door de ontvangst van eenmelding van illegale online content. Daarnaast legt de DSA aan tussen-handeldiensten zorgvuldigheidsverplichtingen op, zoals het instellen vaneffectieve contactpunten voor gebruikers, bedrijven en bevoegdeautoriteiten en het inrichten van kennisgevings- en actiemechanismen,zodat het melden van illegale online content voor iedereen eenvoudig entoegankelijk is. De DSA voorziet in maximumharmonisatie. Nationaalkunnen daarom geen aanvullende zorgvuldigheidsverplichtingen aantussenhandeldiensten worden opgelegd.De DSA biedt verschillende mogelijkheden om bad hostingdiensten aan tespreken op hun verantwoordelijkheid. In Nederland houdt de AutoriteitConsument en Markt (ACM) primair toezicht op de naleving van de DSAvoor hier gevestigde tussenhandeldiensten. Voor de zogenoemde zeergrote online platforms (VLOP’s) en zeer grote online zoekmachines(VLOSE’s) ligt het toezicht primair bij de Europese Commissie. De ACMheeft zelf geen bevoegdheid tot het geven van bevelen voor het verwij-deren van illegale inhoud. Het geven van verwijderbevelen of hetoptreden tegen bepaalde illegale inhoud is voorbehouden aan daartoeTweede Kamer, vergaderjaar 2025–2026, 26 643, nr. 15442 bevoegde autoriteiten, zoals in Nederland het Openbaar Ministerie (OM)en de Autoriteit online Terroristisch en Kinderpornografisch Materiaal(ATKM). Wel verplicht de DSA dat tussenhandeldiensten dergelijkebevelen onverwijld uitvoeren en de uitvaardigende autoriteit informerenover de genomen maatregelen.Het OM en de politie maken bij voorkeur eerst gebruik van kennisgevings-en actiemechanismen voor het indienen van een verwijderverzoek bij debetreffende hostingdienst of het onlineplatform. Onder meer een deel vande hostingsector en het OM behoren tot de ondertekenaars van deGedragscode Notice-and-Take Down (NTD).1 In deze gedragscode zijnnadere praktische principes overeengekomen voor het doen en afhan-delen van meldingen. Indien een melding via deze procedure niet tot hetgewenste effect leidt, kan in specifieke gevallen en onder voorwaardendoor de officier van justitie na machtiging van de rechter-commissaris eenverwijderingsbevel worden gegeven op grond van artikel 125p van hetWetboek van Strafvordering (Sv).Voor de bullet proof hostingdiensten, die bewust bijdragen aan crimineleactiviteiten, zal bovenstaande vaak onvoldoende zijn. Hiervoor bevat hetstrafrecht middelen om illegale praktijken tegen te gaan, bijvoorbeeld omin te zetten in een opsporingsonderzoek. Om de verschillende vormen vanhandhaving, zoals de bestuursrechtelijke en strafrechtelijke handhaving,bij illegale content te versterken, werken de verschillende toezichthouderssamen binnen het Samenwerkingsplatform Digitale Toezichthouders(SDT), waarbinnen ook een DSA Kamer is ingericht. De ACM vervulthiervan het voorzitterschap vanuit haar rol als digitaledienstencoördinatoronder de DSA. De DSA Kamer is opgericht om de handhaving van de DSAte coördineren en expertise over toezicht op online tussenhandeldienstente bundelen. Zo wordt er momenteel in dat kader samengewerkt bij eenonderzoek naar een specifieke hostingdienst.Opsporingsonderzoek naar bullet proof hosterDe aanpak van bullet proof hosters is een aandachtspunt voor de politie inde opsporing. Een voorbeeld hiervan is een onderzoek naar een malafidehostingbedrijf dat in november 2025 heeft geleid tot de inbeslagname vanmaar liefst ruim 250 fysieke servers. Met de inbeslagname van de fysiekeservers zijn duizenden virtuele servers uit de lucht gehaald. Het hostingbe-drijf werd enkel gebruikt om criminele activiteiten te faciliteren en is alsinds 2022 in meer dan 80 onderzoeken naar cybercrimedelicten voorge-komen. De aanbieder verhuurde digitale ruimte aan criminelen voor onderandere ransomware-aanvallen, phishing en verspreiding van beeldmate-riaal van seksueel kindermisbruik. Het hostingbedrijf profileerde zich alsbullet proof hoster, beloofde volledige anonimiteit voor gebruikers ensuggereerde niet mee te werken met opsporingsdiensten. Met deinbeslagname van de servers is het criminele proces verstoord waardoordeze servers niet meer voor malafide doeleinden kunnen worden gebruikten verdere potentiële slachtoffers zijn voorkomen.Hoewel dit een voorbeeld is van een succesvolle actie, blijkt ook uit dezecasus dat strafrechtelijke opsporing en vervolging bij bad hostingcomplex en tijdsintensief zijn. Opsporingsonderzoeken kunnen maandentot jaren duren, terwijl de meeste gevallen onverwijlde interventievereisen om verdere schade te beperken of te voorkomen. De aanpak vanbad hosting blijft daarom belangrijk en krijgt de nodige prioriteit.1De Gedragscode Notice-and-Take-Down is in april 2026 geactualiseerd om onder andere beteraan te sluiten bij de DSA. Beschikbaar via: https://www.cleannetworks.net/wp-content/uploads/2026/04/Gedragscode-Notice-and-Take-Down-2026-2.0.pdfTweede Kamer, vergaderjaar 2025–2026, 26 643, nr. 15443 SanctiesIn het coalitieakkoord zijn ambities opgenomen ten aanzien van Europesesancties als instrument in de bestrijding van cybercriminelen. Een sanctiekan bestaan uit een inreisverbod en/of het bevriezen van tegoeden. Het isdaarnaast verboden om diensten te leveren aan gesanctioneerdeindividuen of organisaties. Er geldt daarom een onderzoeksplicht voorNederlandse en Europese organisaties om actief na te gaan of hun(potentiële) klant is opgenomen op de Europese sanctielijst. Deze plichtgeldt ook voor hostingdiensten.Het aanbieden van hosting- en vergelijkbare diensten aan gesanctio-neerde personen en entiteiten is strafbaar en kan aanleiding geven totstrafrechtelijke vervolging. De handhaving op grond van sanctiewetgevingheeft de afgelopen jaren een prominentere rol gekregen in de aanpak vancybercrime. Zo heeft de Fiscale Inlichtingen- en Opsporingsdienst (FIOD)op 18 mei 2026 twee verdachten aangehouden op grond van verdenkingvan het (indirect) ter beschikking stellen van economische middelen aandoor de Europese Unie gesanctioneerde entiteiten. Het onderzoek richtzich op de rol van een bedrijf dat volgens de FIOD als dekmantelfungeerde voor een eerder gesanctioneerd webhostingbedrijf wegens hetfaciliteren van destabiliserende activiteiten (waaronder cyberaanvallen enverspreiding van desinformatie) gericht tegen de Europese Unie.Daarnaast wordt een tweede bedrijf onderzocht dat een faciliterende rolzou hebben gespeeld bij het leveren van internetverbindingen voor deservers van het hostingbedrijf. In het onderzoek zijn meerdere locaties endatacenters doorzocht en zijn ruim 800 servers in beslag genomen. Dezezaak onderstreept de verantwoordelijkheid van hostingproviders,datacenters en andere aanbieders van digitale infrastrictuur om na tegaan aan wie hun diensten worden aangeboden.2) Wet- en regelgevingKnow your customer-beleidEén van de kansrijke maatregelen om bad hosting, en de hieraangerelateerde resellerproblematiek, tegen te gaan, is het identificeren enverifiëren van de identiteit van klanten van hostingdiensten, ook wel knowyour customer (KYC)-beleidgenoemd. Met een accuraat KYC-beleidkunnen verantwoordelijke partijen sneller worden achterhaald en wordenaangesproken wanneer er sprake is van illegale content of andere vormenvan online criminaliteit. Onder de DSA geldt momenteel geen algemeneKYC-verplichting voor de hostingsector. Echter, KYC-beleid is niet nieuwvoor de sector en wordt reeds op vrijwillige basis toegepast door diversehostingaanbieders, onder meer door ondertekenaars van de GedragscodeAbusebestrijding. De Gedragscode Abusebestrijding is breed gedragenbinnen de Nederlandse internetsector en betrokken stakeholders. Met deGedragscode wordt aanbieders een handreiking gedaan om effectievemaatregelen te nemen tegen misbruik van hun diensten, zoals hetinvoeren van een KYC-beleid, het hanteren van de Gedragscode NTD enhet zekerstellen van bereikbaarheid door het hebben van een algemeen,herkenbaar e-mailadres voor meldingen van misbruik dat dagelijks wordtuitgelezen.Uit de verkenning naar bad hosting kwam naar voren dat een wettelijkeverplichting van het KYC-beleid een goede maatregel kan zijn om badhosting tegen te gaan. Op dit moment zijn hostingdiensten niet verplichtom een KYC-beleid te voeren, en kiezen sommige hostingdiensten erbewust voor om bijvoorbeeld de Gedragscode Abusebestrijding niet teondertekenen. Om ervoor te zorgen dat het KYC-beleid door de geheleTweede Kamer, vergaderjaar 2025–2026, 26 643, nr. 15444 sector wordt toegepast, bestaat de wens om dit wettelijk te verplichtenvoor alle hostingdiensten.Bij de implementatie van een Nederlandse KYC-verplichting voor dehostingsector bestaat er een aanzienlijk risico dat de malafide hosters hunactiviteiten verplaatsen naar andere Europese landen met een minderstrikt regime. Hierdoor ontstaat er mogelijk een waterbedeffect, waarbij deproblematiek wordt verplaatst in plaats van wordt tegengegaan. Vanuitdeze landen kunnen criminelen namelijk alsnog (Nederlandse) slachtoffersblijven maken. Het kabinet zet daarom in op een Europese aanpak en deversterking van de samenwerking op internationaal niveau. In dit kaderwordt de samenwerking gezocht met lidstaten die de hostingproblematiekherkennen en wordt dit op Europees niveau aangekaart.DSA evaluatieIn 2027 is een evaluatie van de DSA door de Europese Commissievoorzien. In dat jaar zal ook de Nederlandse Uitvoeringswet digitaledien-stenverordening worden geëvalueerd. De Staatssecretaris DigitaleEconomie en Soevereiniteit coördineert dit namens Nederland en zal bijde ministeries, toezichthouders en maatschappelijke organisatiesinventariseren wat hun ervaringen zijn en welke wijzigingen van de DSAzij eventueel nodig en wenselijk achten. Dit zal worden meegenomen bijhet bepalen van de Nederlandse inzet op EU-niveau. Daarbij kanNederland pleiten voor aanscherpingen van de DSA, daarbij rekeninghoudend met het feit dat het nog relatief jonge wetgeving betreft. Ookhier valt te denken aan de introductie van een KYC-verplichting voorhostingdiensten.Non-paper EU Tech Sovereignty PackageNaast de evaluatie van de DSA heeft de Europese Commissie onlangs eenvoorstel gedaan voor een Europees Tech Sovereignty Package. Met ditpakket beoogt de Europese Commissie digitale autonomie te bevorderen,onder meer door innovatie op het gebied van cloud en artificiëleintelligentie te stimuleren. Deze ontwikkeling leidt naar verwachting toteen verdere opschaling van cloudinfrastructuur en datacenters binnenEuropa, waardoor ook misbruik van deze infrastructuur (en hiermee debad hostingproblematiek) kan toenemen. Voor de publicatie van hetpakket is er in april een Nederlands non-paper over het EU TechSovereignty Package gepubliceerd. Hierin is onder andere aandachtgevraagd voor het risico van misbruik van diensten op digitale infra-structuur door criminelen of andere malafide entiteiten. Bij het uitwerkenvan nieuwe of aangepaste regelgeving is het noodzakelijk om in eenvroeg stadium rekening te houden met de hostingproblematiek enmogelijk misbruik van de infrastructuur.3) Overige maatregelen en initiatievenResellerbrief van de politieIn maart 2026 heeft de Nederlandse politie net als in voorgaande jareneen brief aan Nederlandse hostingbedrijven verstuurd, waarin zij wordengewaarschuwd voor het verhuren van serverruimte aan malafide resellersdie cybercriminaliteit faciliteren. In de brief is een lijst opgenomen vanbedrijven die zichzelf, via onder andere cybercriminele fora of op andereonline platformen, presenteren als bullet proof dienstverlener, al dan nietonder vermelding van het specifieke delict dat zij faciliteren. De waarschu-wingsbrief van de politie is een effectief middel gebleken. Het kan voorhostingpartijen een aanleiding zijn om de relatie met specifieke klanten teTweede Kamer, vergaderjaar 2025–2026, 26 643, nr. 15445 beëindigen door de contractuele overeenkomst op te zeggen en geendiensten meer aan te bieden. Hostingbedrijven blijken zich niet altijdbewust te zijn van hun malafide klanten, en kunnen na ontvangst van debrief direct actie ondernemen.RijksinkoopHet geven van het goede voorbeeld als rijksoverheid door het inkopen vanhostingdiensten bij leveranciers die zich inzetten voor een schonerinternet krijgt blijvende aandacht. Momenteel wordt in het kader vanMaatschappelijk Verantwoord Opdrachtgeven en Inkopen (MVOI) vanuithet Ministerie van Justitie en Veiligheid bezien op welke wijze deinkoopregels voor hostingdiensten binnen de rijksoverheid kunnenworden aangescherpt, zodat uitsluitend diensten worden afgenomen vanleveranciers die zich proactief inzetten voor een schoner internet en deGedragscode Abusebestrijding onderschrijven. De overheid kan hiermeelaten zien waarde te hechten aan de inspanningen die hostingpartijenleveren om zeker te stellen dat zij geen criminaliteit faciliteren.Cyclotron use case bullet proof hostersCyclotron is een publiek-private samenwerking bij het NCSC gericht ophet binnen een «trusted community» met elkaar delen van relevanteinformatie over digitale incidenten en dreigingen, deze gezamenlijk teanalyseren en de opgedane inzichten en kennis te delen met een brederegroep. Vaak wordt hierbij gezamenlijk gewerkt aan een specifiek thema,ook wel «use case» genoemd. Het doel van de samenwerking is omNederland weerbaarder te maken tegen cyberaanvallen. Binnen desamenwerking worden meerdere «use cases» uitgevoerd die door hetNCSC worden gecoördineerd. In oktober 2025 is er een use case opgezetdie is gericht op bullet proof hosting. Binnen deze use case wordt er doorde Dutch Cloud Community, TU Delft, de politie en diverse cybersecurity-bedrijven samengewerkt om een methodiek te ontwikkelen die kanworden gebruikt om bullet proof hosters te identificeren. Hierbij wordtgebruikgemaakt van de kennis en data van de deelnemers van de usecase.Standaard Bedrijfsindeling – SBIMomenteel is er geen eenduidig beeld van de hostingsector. Er bestaanverschillende soorten tussenpersonen die verschillende soorten hosting-diensten leveren. Bedrijven worden met een Standaard Bedrijfsindelingcode (SBI) in het Handelsregister geregistreerd. Een SBI bestaat uit vier ofvijf cijfers en geeft aan wat de hoofdactiviteit van een bedrijf of organi-satie is. Om meer zicht op Nederlandse bedrijven te verkrijgen diehostingdiensten als hoofdactiviteit aanbieden, is door het Ministerie vanJustitie en Veiligheid gezamenlijk met de ACM en de ATKM een verzoekbij het CBS (Centraal Bureau voor de Statistiek) ingediend voor detoekenning van een extra uitsplitsing op de bestaande SBI-code voor dehostingsector. Door de extra uitsplitsing wordt het zicht op de hosting-sector aangescherpt. Met een scherpere code voor de hostingsector kanmakkelijker informatie, zoals statistische gegevens over deze sector en deverschillende diensten, worden opgevraagd bij de Kamer vanKoophandel.Tweede Kamer, vergaderjaar 2025–2026, 26 643, nr. 15446 4) Europese en internationale samenwerkingEuropolDe aanpak van malafide hosters krijgt steeds meer internationaleaandacht en wordt in toenemende mate gezamenlijk opgepakt door eengroeiend aantal landen. Vaak gebeurt dit met ondersteuning van Europol,waarbij onder andere Nederland een leidende rol heeft. De deelnemendelanden willen een waterbedeffect van de hostingproblematiek voorkomen.De samenwerking richt zich op de verstoring van criminele infrastructuurwaarbij er een specifieke focus is op de bad hostingproblematiek,informatie-uitwisseling tussen Europol-landen, en de inzet op grond vande Europese sanctiewetgeving. De komende periode wordt deze operati-onele samenwerking verder vormgegeven en geconcretiseerd.De Nederlandse politie heeft bovendien de eerder genoemde resellerbriefin Europol-verband met partners gedeeld, met het advies om in anderelanden een soortgelijke actie te organiseren, waarbij de eigen sector voorbullet proof hosters en malafide resellers wordt gewaarschuwd.Handelingskader voor internetserviceprovidersIn november 2025 heeft het NCSC in samenwerking met de FBI en anderecyberagentschappen een document ten behoeve van internetproviders encybersecurity specialisten gepubliceerd om bullet proof hosting tegen tegaan.2 Dit document bevat richtlijnen om bullet proof hostingproviders teidentificeren en aanbevelingen voor maatregelen die internetproviderskunnen nemen. In het document worden onder andere adviezen gegevenvoor het inrichten van een KYC-beleid, waarbij persoonlijke gegevens vanklanten worden opgevraagd en geverifieerd. Door deze maatregelenwordt het voor bullet proof hostingproviders moeilijker om hun activi-teiten in stand te houden, omdat zij voor internettoegang en onderlig-gende netwerk- en infrastructuurdiensten afhankelijk zijn van internetpro-viders.Counter Ransomware InitiativeHet Counter Ransomware Initiativeis een internationaal samenwerkings-verband voor het tegengaan van ransomware. Nederland en het VerenigdKoninkrijk hebben het initiatief genomen binnen het Counter RansomwareInitiative aandacht te vragen voor de aanpak van bad hosting. Enerzijdswordt gewerkt aan het ontwikkelen en delen van betrouwbare data overhet ecosysteem van bullet proof hosting, bijvoorbeeld over de omvangvan de problematiek en in hoeverre het ransomware mogelijk maakt. Dewens is om onderzoeken naar bullet proof hosting door andere landen testimuleren en relevante kennis en inzicht te delen. Daarnaast wordtgewerkt aan een gedragscode om bullet proof hosting tegen te gaan. Debedoeling hiervan is dat zo veel mogelijk deelnemende landen binnen hetCRI-netwerk de gedragscode ondersteunen door deze op nationaal niveaute implementeren en het gebruik ervan door de eigen sector te stimuleren.Bij het opstellen van de gedragscode binnen de CRI wordt de NederlandseGedragscode Abusebestrijding als voorbeeld gebruikt.De Minister van Justitie en Veiligheid,D.M. van Weel2Bullet proof Defense: Mitigating Risks From Bullet proof Hosting Providers. Beschikbaar via:https://www.ic3.gov/CSA/2025/251119.pdfTweede Kamer, vergaderjaar 2025–2026, 26 643, nr. 15447