Helft van de pensioenfondsen deelt e-mailomgeving bij Microsoft met andere instellingen

In dit artikel:

Meer dan de helft van de Nederlandse pensioenfondsen deelt de Microsoft 365-omgeving voor e-mail en accounts met andere instellingen. Dat blijkt uit onderzoek van Lindstead naar de openbaar zichtbare e-mailinstellingen van 390 financiële instellingen met een DNB-vergunning. Van de 111 pensioenfondsen delen er 56 een omgeving met minstens twee andere fondsen, meestal via hun externe pensioenuitvoerder. De grootste gedeelde omgeving, die van NN, omvat 16 fondsen. In vijf omgevingen zijn samen 52 fondsen ondergebracht, waaronder ABP, PME en de drie KLM-fondsen.

Een storing, cyberincident of blokkade bij zo’n omgeving kan daardoor meerdere fondsen tegelijk raken. DNB en de AFM waarschuwden in oktober 2025 al voor dit concentratierisico: de financiële sector leunt sterk op een beperkt aantal, vooral niet-Europese, IT-leveranciers. Microsoft is veruit de belangrijkste e-mailleverancier. Van de 360 onderzochte instellingen die e-mail ontvangen, gebruikt 78,3 procent Microsoft 365; onder pensioenfondsen is dat 90,1 procent en onder verzekeraars 87,6 procent. Alle zes Nederlandse bankengroepen die rechtstreeks onder ECB-toezicht staan, gebruiken Microsoft voor hun e-mail. Microsoft, Google en Amazon Web Services vallen sinds november 2025 onder Europees toezicht als kritieke ICT-dienstverleners.

Lindstead onderzocht ook of instellingen hun domein hebben geregistreerd bij AI-bedrijven OpenAI of Anthropic. Dat was het geval bij 55 van de 328 organisaties, waaronder Adyen, bunq, Mollie en Bitvavo. Slechts twee pensioenfondsen en geen van de zes grote banken hadden zo’n verificatie. Dat bewijst echter niet dat zij geen AI gebruiken, omdat toepassingen via bijvoorbeeld Microsoft Azure OpenAI of Copilot geen afzonderlijk spoor opleveren.

De gegevens laten niet zien waar andere vitale processen, zoals betalingen en pensioenadministratie, worden uitgevoerd. Lindstead adviseert pensioenbesturen daarom hun uitvoerder te vragen in welke ICT-omgeving hun e-mail en accounts staan en welke andere fondsen die omgeving delen. DNB-bestuurder Steven Maijoor zei in februari 2026 dat de sector binnen vijf jaar minder afhankelijk zou moeten kunnen zijn van Amerikaanse technologie.