De helft van de Nederlandse pensioenfondsen deelt zijn e-mailomgeving bij Microsoft met andere instellingen, meestal via de pensioenuitvoerder. Dat blijkt uit onderzoek van onderzoeks- en adviesbureau Lindstead naar de openbaar zichtbare e-mailinstellingen van alle 390 financiële instellingen met een vergunning van DNB. Een storing of blokkade bij één omgeving raakt alle fondsen daarin tegelijk.
Van de 111 pensioenfondsen delen er 56 hun Microsoft 365-omgeving met minstens twee andere instellingen. Vijf omgevingen tellen er samen 52. Hun namen komen overeen met die van de uitvoerders NN, TKP, Achmea, Blue Sky Group en APG. Onder die fondsen vallen ABP, PME en de drie KLM-fondsen.
De meeste fondsen besteden hun administratie uit, en vaak beheert de uitvoerder ook de e-mail en de accounts. De grootste gedeelde omgeving, die van NN, telt 16 fondsen. De naam van een omgeving zegt wel wie haar beheert. Wie de eigenaar van een fonds is, zegt die naam niet.
DNB en de AFM waarschuwden in oktober 2025 al voor concentratierisico. Dat ontstaat doordat de sector afhangt van een handvol niet-Europese IT-leveranciers. Cijfers per instelling noemden de toezichthouders toen niet. Het pensioenfonds van DNB zelf ondertekent zijn e-mail in dezelfde omgeving als het eigen domein van NN.
Ook alle grote banken op Microsoft
De afhankelijkheid van Microsoft beperkt zich niet tot pensioenfondsen. Van de 360 financiële instellingen waarvan het domein e-mail ontvangt, laten er 282 hun e-mail via Microsoft 365 lopen (78,3%). Bij pensioenfondsen is dat 90,1% en bij verzekeraars 87,6%. Betaal- en e-geldinstellingen kiezen vaker voor Google.
Alle zes Nederlandse bankengroepen onder direct toezicht van de ECB mailen via Microsoft: Rabobank, ING, ABN AMRO, ASN Bank, BNG Bank en NWB Bank. Van de negen Franse bankengroepen doet geen enkele dat. Ook de AFM en DNB gebruiken Microsoft 365.
Microsoft, Google en Amazon Web Services zijn sinds november 2025 aangewezen als kritieke ICT-dienstverleners onder de Digital Operational Resilience Act. Daarmee vallen ze onder het toezicht van de Europese toezichthouders.
Fintechs voorop met ChatGPT en Claude
Naast e-mail keek Lindstead naar kunstmatige intelligentie. Van de 328 organisaties hebben er 55 (16,8%) hun domein geverifieerd bij OpenAI of Anthropic, de makers van ChatGPT en Claude. Bij betaal- en e-geldinstellingen is dat ruim 42%. Onder de instellingen met een verificatie zijn onder meer Adyen, bunq, Mollie en Bitvavo.
Geen van de zes grote banken heeft zo’n verificatie, en van de 110 pensioenfondsen hebben er twee. Daaruit volgt niet dat ze geen AI gebruiken. Een verificatie laat zien dat een domein is geclaimd, niet hoeveel een dienst wordt gebruikt. Wie AI afneemt via Azure OpenAI of Microsoft Copilot, doet dat bovendien binnen de bestaande Microsoft-omgeving. Daarvan blijft geen apart spoor achter.
Bij het Franse Mistral heeft geen enkele Nederlandse instelling haar domein geverifieerd. DNB-bestuurder Steven Maijoor zei in februari 2026 dat de sector binnen vijf jaar veel minder afhankelijk zou kunnen zijn van Amerikaanse technologie.
Hoe ver die afhankelijkheid reikt, laten de gegevens slechts deels zien. Ze tonen waar e-mail en accounts draaien, niet waar betalingen of de polis- en pensioenadministratie lopen. Lindstead begeleidt zelf instellingen bij een overstap naar Europese infrastructuur. Het bureau adviseert pensioenbesturen hun uitvoerder te vragen in welke omgeving de e-mail en accounts van het fonds draaien, en welke andere fondsen die omgeving delen.