Waarom het mythische 'software kill switch' verhaal maar blijft terugkomen

Al jarenlang gaan verhalen rond dat de Verenigde Staten een bondgenootschappelijke F-35 met één druk op de knop aan de grond kunnen houden. Het idee van een verborgen externe "uitschakelaar" blijft hardnekkig rondwaren, vooral in Europa, waar het toestel steeds meer de ruggengraat vormt van de NAVO-luchtstrijdkrachten.

Technisch gezien zijn die verhalen overtrokken. Er bestaat geen magische rode knop in het Pentagon waarmee een Nederlandse of Italiaanse F-35 direct tijdens een missie wordt uitgeschakeld.

De werkelijke macht zit in de digitale toeleveringsketen: servers, software-updates en datatoegang die het vliegtuig in de lucht houden.

Elk F-35-toestel is afhankelijk van een door de VS beheerd digitaal netwerk genaamd ODIN, de afkorting van Operational Data Integrated Network. Dit cloudgebaseerde systeem houdt de gezondheid van vliegtuigen bij, helpt bij het bestellen van reserveonderdelen, stuurt missiedata en levert software-updates aan. Als een land wordt afgesneden van ODIN, vallen zijn gevechtsvliegtuigen niet meteen uit de lucht. Maar de klok begint wel te tikken.

Negentig dagen tot stilstand: wat ODIN werkelijk doet

De F-35 is gebouwd rondom software. Zijn boordcode – een besturingssysteem van meer dan acht miljoen regels, grotendeels geschreven in C++ – regelt sensoren, wapens, onderhoudspredicties en zelfs hoe de piloot het slagveld waarneemt.

Die software is afhankelijk van regelmatig contact met ODIN. Als een toestel 90 dagen lang geen verbinding maakt, wordt het automatisch gedeactiveerd. Het vliegtuig kan technisch gezien nog wel op het platform staan, maar het mag geen gevechtsmissies meer vliegen.

Korte termijn: verlies van optimalisatie en actuele missiegegevens
Middellange termijn: groeiende onderhoudshiaten en onderdelentekorten
Na 90 dagen: automatische software-deactivering en aan de grond houden

Het afsluiten van ODIN-toegang blaast het vliegtuig niet op. Het wurgt stilletjes het ecosysteem dat het betrouwbaar, veilig en gecertificeerd houdt.

De controversiële vergelijking van de Nederlandse defensieminister

In gesprek met Nederlandse radiozender BNR probeerde staatssecretaris van Defensie Gijs Tuinman de angst te sussen dat de VS de Nederlandse vloot kunnen lamleggen.

Hij benadrukte eerst dat de F-35 echt een multinationaal product is. De Britse industrie levert bijvoorbeeld het LiftSystem-aandrijfsysteem voor de korte start- en verticale landingsvariant F-35B. De Verenigde Staten, zo stelde hij, zijn ook afhankelijk van buitenlandse partners en kunnen niet zomaar eenzijdig bepalingen opleggen zonder gevolgen.

Vervolgens voegde hij toe dat de F-35 "in zijn huidige configuratie" nog steeds capabeler zou zijn dan veel concurrerende gevechtsvliegtuigen, zelfs zonder constante software-updates.

Toen kwam de zin die defensiekringen deed opveren.

"Als je ondanks alles toch de update wilt doen, zeg ik iets wat ik nooit zou moeten zeggen maar toch zal doen: je kunt een F-35 ontgrendelen zoals een iPhone."

Met die ene opmerking leek Tuinman te suggereren dat een land zijn F-35 effectief zou kunnen "jailbreaken" – waarbij de Amerikaanse controle over software-upgrades en vergrendelde functies wordt omzeild, vergelijkbaar met hoe technisch onderlegde gebruikers dat met smartphones doen.

Wat 'jailbreaken' van een gevechtsvliegtuig werkelijk zou betekenen

In techterminologie betekent jailbreaken van een iPhone het verwijderen van fabrikantsbeperkingen op wat het apparaat kan draaien. Het opent nieuwe mogelijkheden maar brengt ook echte risico's met zich mee: vervallen garanties, bugs en beveiligingslekken.

Vertaald naar een vijfdegeneratie gevechtsvliegtuig zijn de risico's veel groter. Het aanpassen van de code van het vliegtuig zonder toestemming van Lockheed Martin of de Amerikaanse overheid zou kunnen leiden tot:

Software-conflicten die de vliegveiligheid aantasten
Verstoringen in wapenintegratie en sensorfusie
Blokkering van toekomstige officiële updates of incompatibiliteit ermee
Complicaties bij toegang tot reserveonderdelen en supportcontracten

Het F-35-programma heeft al jaren te maken gehad met ingewikkelde debugging onder streng gecontroleerde omstandigheden. Zelfs kleine wijzigingen kunnen door het hele systeem heen golven. Voor een klantland om zelfstandig de broncode te gaan aanpassen, zou betekenen dat het een enorme technische en juridische last op zich neemt.

Wie heeft daadwerkelijk toegang tot de code van de F-35?

Toegang tot de software van de F-35 is streng gelaagd binnen de partnerstructuur van het programma.

Partnerniveau 1: Het Verenigd Koninkrijk – enige volledige partner die mag bijdragen aan de kernbroncode

Speciale status: Israël – gemachtigd om software aan te passen voor zijn op maat gemaakte F-35I

Partnerniveau 2: Nederland en anderen – geen onafhankelijk recht om kernsoftware te wijzigen

Het VK, als enige "Niveau 1"-partner, heeft delen van de code meegeschreven en heeft uniek inzicht in de software-architectuur. Israël kreeg een speciale uitzondering waarmee het zijn F-35I kan aanpassen aan nationale behoeften met binnenlandse software en wapens.

Nederland, een Niveau 2-partner, geniet niet zo'n mate van controle. Nederlandse ingenieurs kunnen nationale systemen rondom het vliegtuig aansluiten, maar ze kunnen niet vrijelijk het hart van het besturingssysteem van het toestel herschrijven.

Waarom Tuinmans opmerking voor opgetrokken wenkbrauwen zorgde

Op papier stuit het idee dat de Koninklijke Luchtmacht zijn F-35's simpelweg kan "ontgrendelen" op harde grenzen. Zonder toegang tot de volledige broncode en de ontwikkelingsgereedschappen is het omvormen van het toestel tot een onafhankelijk bij te werken platform verre van eenvoudig.

Elk eenzijdig geknutsel zou Nederland ook kunnen afsnijden van precies die updates en reserveonderdelen die de vloot gevechtklaar houden.

Lockheed Martin beheert een wereldwijde onderdelenpool om alle F-35-gebruikers te bevoorraden. Dat systeem worstelt al met knelpunten. Een klant die software buiten officiële kanalen om aanpast, zou te maken kunnen krijgen met discussies over aansprakelijkheid, certificering en geschiktheid voor ondersteuning.

Tuinmans opmerking klinkt dus minder als een concreet technisch plan en meer als een politiek signaal: een manier om te zeggen dat Nederland niet volledig overgeleverd is aan Washington, ook al blijft de praktische weg naar echte autonomie nog vaag.

Strategische afhankelijkheid in het tijdperk van software

Het debat spreekt over een grotere verschuiving in defensie. Moderne wapens draaien niet langer alleen om hardware, zoals motoren of vliegtuigrompen. Ze zijn afhankelijk van constante datastromen, clouddiensten en versleutelde code die in het buitenland wordt bewaard.

Voor Europese regeringen roept dat ongemakkelijke vragen op. Kan een soevereine luchtmacht vertrouwen op een toestel dat zichzelf deactiveert na 90 dagen offline? Hoeveel invloed krijgen de VS door controle over ODIN en kernsoftware? Zouden landen moeten investeren in hun eigen digitale infrastructuur om die afhankelijkheid te verminderen?

Sommigen hedgen al. Het VK en Italië hebben zich bij Japan gevoegd voor het volgende-generatie GCAP-jagerproject, met de belofte van gedeelde controle over software. Frankrijk, Duitsland en Spanje duwen het rivaliserende FCAS-programma met hetzelfde doel van digitale soevereiniteit.

Kernconcepten achter de controverse

Voor niet-specialisten helpen enkele termen het Nederlandse debat te kaderen:

Missiedatabestanden (MDFs). Dit zijn enorme databases die de F-35 vertellen hoe vijandelijke radars, raketten en vliegtuigen eruitzien. Ze worden regelmatig bijgewerkt naarmate de inlichtingen veranderen. Een toestel dat vliegt met verouderde MDFs zou nieuwe bedreigingen kunnen missen of doelen verkeerd identificeren.

Wereldwijde onderdelenpool. In plaats van dat elk land al zijn eigen onderdelen opslaat, delen gebruikers een centrale pool beheerd door Lockheed Martin. Toegang tot die pool hangt af van het volgen van programmregels, inclusief software-basislijnen en onderhoudsstandaarden.

Jailbreaken. In consumententechnologie betekent dit het omzeilen van ingebouwde beperkingen. Toegepast op een F-35 wijst het op het losmaken van de software van door de VS opgelegde limieten om extra flexibiliteit te krijgen, maar stelt het vliegtuig ook bloot aan onvoorspelbare bijwerkingen.

Hoe een echte 'ontgrendelingspoging' eruit zou kunnen zien

Als een land echt zou proberen zijn F-35-vloot te "ontgrendelen", zou het proces waarschijnlijk stil en geleidelijk verlopen, niet met een dramatische persconferentie.

Ingenieurs zouden eerst delen van ODIN lokaal repliceren, door nationale servers te bouwen om onderhouds- en missiedatafuncties te spiegelen. Ze zouden dan mogelijk met de VS onderhandelen over beperkte extra toegang, waarbij ze veiligheidsbehoeften aanvoeren. Volledige, niet-gesanctioneerde code-herschrijving zou een hoog-risico laatste redmiddel zijn, gereserveerd voor een scenario waarin politieke relaties al waren ingestort.

Dat gedachte-experiment onthult de kerntensie: de F-35 biedt ongeëvenaarde sensorfusie, stealth en interoperabiliteit, maar bindt gebruikerslanden aan een langdurige digitale relatie met Washington. Tuinmans iPhone-analogie gaf die spanning een levendig beeld – en suggereerde dat sommige Europese functionarissen nog steeds zoeken naar het software-"instellingenmenu" op een toestel dat ze niet helemaal controleren.