Update 24 september 2026: de consultatieperiode is verlengd tot 9 oktober a.s.
Overmorgen sluit een internetconsultatie die de aandacht zou moeten krijgen van iedereen die zich bezig houdt met cybersecurity en aanverwante onderwerpen. Het is de consultatie door het ministerie van EZK met de onduidelijke titel ‘Wetsvoorstel nummerbeleid‘, die hier wordt aangekondigd.
Uit de ontwerp toelichting blijkt dat een belangrijk doel van het wetsvoorstel is om online fraude tegen te gaan. Het algemene deel van deze toelichting bevat een inleiding over de doelen van de wetswijziging. Onder meer wordt in paragraaf 1 opgemerkt:
Voor het derde onderwerp worden wijzigingen voorgesteld met betrekking tot nummerherkenning. Deze wijzigingen hebben als doel een aantal specifieke ontwikkelingen op dit terrein te faciliteren en de integriteit van de hierbij gebruikte telecommunicatievoorzieningen (nummers en het systeem voor nummerherkenning) te vergroten, zodat effectiever kan worden opgetreden tegen misbruik van nummers zoals spoofing. Spoofing is een techniek waarmee door onjuist gebruik van een nummer (bijvoorbeeld de weergave van een ander nummer dan het nummer van de oproepende gebruiker) de gebelde of berichtontvangende persoon kan worden misleid ten aanzien van de herkomst van de oproep of het bericht.
In dit wetsvoorstel zijn ook andere wijzigingen opgenomen, die voor een deel samenhangen met de voornoemde onderwerpen. Dit betreft diverse transparantie-aspecten van het gebruik van nummers waaronder in het kader van nummerportabiliteit, het door de ACM beheerde register van toekenningen van nummers, en de bescherming van de belangen van eindgebruikers en andere aanbieders ten opzichte van nummerhouders. Ook worden aanvullende bevoegdheden opgenomen voor de ACM bij de uitgifte van nummers als algemene maatregel tegen fraude; deze bevoegdheden betreffen zowel preventieve als repressieve instrumenten. Voorts omvat het voorstel enkele elementen van meer wetstechnische aard, die deels een relatie hebben met (de implementatie van) Europese regelgeving.
In paragraaf 2 wordt ingegaan op de nieuwe ontwikkelingen rondom communicatiediensten, zoals de opkomst van VoIP (Voice over IP-telefoondiensten), messaging (IP-gebaseerde berichtendiensten, zoals Signal en WhatsApp) en M2M (machine-to-machine communicatiediensten, zoals auto’s en andere apparaten die digitaal kunnen bellen).
Opkomst van online fraude, onder meer dankzij Whatsapp
Al deze nieuwe mogelijkheden hebben geleid tot risico’s voor mensen en organisaties.
Een voorbeeld daarvan is dat messaging dienst Whatsapp alle telefoonnummers openbaar maakt, zodat die nummers makkelijk door criminelen en anderen met ongewenste bedoelingen kunnen worden gevonden.
Deze ontwikkeling wordt in de toelichting beschreven:
Een vierde ontwikkeling is een meer schadelijke ontwikkeling, namelijk de toename van fraude die met elektronische communicatiemiddelen plaatsvindt (hierna: online fraude). In de afgelopen jaren is de omvang hiervan gegroeid en inmiddels persistent aanwezig in de samenleving. De financiële schade voor consumenten en bedrijven alsmede de maatschappelijke gevolgen zijn groot. Het fenomeenbeeld online fraude 2024 van de Politie geeft een indicatie van de (nationale) omvang. In 2023 werden bijna 70.000 aangiften van online fraude gedaan, met een totale schade van 110 miljoen euro. De laagdrempeligheid voor fraudeurs, gecombineerd met het potentieel grote bereik, draagt daaraan bij. Getroffen personen kunnen individueel ook grote financiële schade ondervinden, met daarnaast ook emotionele gevolgen.
Van bijzonder belang voor dit wetsvoorstel zijn fraudevormen die plaatsvinden via of met behulp van voorzieningen van elektronische communicatienetwerken, zoals phishing en bankhelpdeskfraude. Phishing betreft het versturen van misleidende berichten (per e-mail, SMS of via andere kanalen) waarbij slachtoffers worden bewogen tot het prijsgeven van vertrouwelijke informatie zoals inloggegevens. Bij bankhelpdeskfraude doen fraudeurs zich voor als medewerkers van een bank, politie of andere instanties, en proberen zij op die wijze toegang te krijgen tot bankrekeningen of andere financiële gegevens van slachtoffers. Bankhelpdeskfraude was in de afgelopen jaren structureel een van de meest voorkomende vormen van online fraude die ook de grootste financiële schade tot gevolg had. De omvang in 2025 van de schade van bankhelpdeskfraude was 25,8 miljoen euro; dat van phishing 1,8 miljoen euro [2].
Telecomaanbieders, naast banken en andere sectoren, nemen reeds diverse maatregelen tegen online fraude, individueel, sectoraal of in samenwerking met banken en andere sectoren. Bij de bestrijding van online fraude spelen telecomaanbieders een bijzondere rol met – in het kader van dit wetsvoorstel – het oog vooral op spraak- en berichtendiensten waarvoor telefoonnummers worden gebruikt. Bij deze diensten wordt voor bepaalde vormen van online fraude misbruik gemaakt van specifieke telecomvoorzieningen, zoals de faciliteit voor nummerherkenning bij spoofing. Spoofing voedt fraudevormen als phishing en bankheldeskfraude.
De aanpak van online fraude is complex gezien de vele verschillende vormen van deze fraude die op hun beurt gebruik maken van verschillende modi operandi. Zij kunnen in de loop der tijd veranderen als gevolg van een waterbedeffect: bij het bestrijden van bepaalde fraudevormen verplaatsen fraudeurs zich naar andere), en worden bovendien gevoed door technologische ontwikkelingen zoals kunstmatige intelligentie en maatschappelijke trends. Ook het misbruik van nummers ontwikkelt zich langs deze lijnen. Daarom is hiervoor een op de huidige tijd aangepast wettelijk kader nodig dat voorziet in passende mogelijkheden en verantwoordelijkheden voor de telecomsector. Dit kader dient met name ook een preventieve werking te hebben, als aanvulling op de strafrechtelijke aanpak van online fraude. Om verschuivingen snel het hoofd te kunnen bieden, is bewegingsruimte binnen het wettelijke kader voor telecomaanbieders van belang.
Al deze genoemde ontwikkelingen hebben ertoe geleid dat er diverse knelpunten zijn ontstaan, waardoor de huidige wetgeving op meerdere terreinen niet meer voldoet aan haar doelstellingen: naast het beschermen van eindgebruikers, ook het bevorderen van mededinging en het faciliteren van marktontwikkelingen.
[2] Bron: NVB, persbericht 28 april 2026.
Het zal me benieuwen of via dit wetsvoorstel en de nieuwe maatregelen de risico’s kunnen worden ingedamd.
Vanuit het publiek is er weinig interesse voor deze consultatie, want hoewel de consultatie al op 10 juli jl. is gestart, is er maar één reactie (met weinig inhoud). Het is te hopen dat mensen en/of organisaties met verstand van zaken naar het voorstel kijken en deelnemen aan de consultatie als zij verbeterpunten zien.
Aanvulling 26 september 2026
Inmiddels zijn er drie commentaren op het voorstel.
Één daarvan is van Human Rights in Finance (HRIF.eu), die op de eigen site een artikel over de consultatiedeelname publiceerde: Wordt via wetsvoorstel nummerbeleid een identificatieplicht voor (pre-paid) telefonie ingevoerd?. HRIF schrijft onder meer:
Er wordt met vage bewoordingen en verwijzingen naar pre-paid kaarten een wettige infrastructuur gebouwd die neer kan komen op het voor alle telefoonnummers en telefoongebruikers invoeren van een identificatieplicht. Dat wordt dus ook een mooie database om te gaan hacken. Dat risico is wat HRIF.EU betreft te hoog en daarom dienden we deze consultatiereactie in.
De opzet van de wet is in feite té ruim bemeten. In feite wordt voor de toekomst een blanco cheque gegeven aan de overheid om met latere regelgeving allerlei regels rond identificatie van gebruikers van telefoons, VOIP, prepaid abonnementen etc, te kunnen gaan regelen. Een onderbouwing is er niet, afgezien van wat anekdotisch cijfermateriaal over bankhelpdeskfraude.
Die structuur – hier is de wet, later regelen we de rest- is ons een doorn in het oog. Bij mensenrechtenschendingen en dit soort maatregelen moet je vooraf precies weten wat de bedoeling, motivatie en reikwijdte is. En op dit punt faalt het ontwerp, de motivatie en de toelichting bij de wet. Dus ons standpunt is daarom:
- Geen generieke identificatieplicht.
- Een anonieme ondergrens.
- Alle wezenlijke keuzes in de wet zelf in plaats van in latere regelingen.
- Advies van de Autoriteit Persoonsgegevens voordat het voorstel verder gaat.
- Bescherming en verankeringen van recht op inzage/rectificatie/afscherming in de wet zélf.
Veiligheidsrisico’s door antimisdaadmaatregelen
HRIF signaleert dat bij het nemen van misdaadbestrijdingsmaatregelen (zoals ook in de witwasbestrijding) vaak maatregelen worden genomen die zelf weer cybersecurity risico’s opleveren:
Dat is terug te zien op 12 september 2026 bij Revolut. Criminelen stuurden gegevensverzoeken vanaf een echt e-maildomein van een overheidsinstantie. Revolut volgde de procedure en leverde paspoortkopieën, verificatieselfies en transactiegegevens van klanten. Er werd niets gehackt: de wettelijke verstrekkingsroute was zelf het lek.
(Ook een illustratie dat e-mail onbruikbaar is voor vertrouwelijke communicatie!)
