In juni 2026 stopte de technologie-agenda van corporate-investment banking (CIB) eindelijk met doen alsof. Morgan Stanley, JPMorgan en Citi zitten in het bestuur van FINOS en behandelen open source nu als kerninfrastructuur in plaats van een nevenproject — een verschuiving die Banking Dive vastlegde in zijn recente reportage over de drie banken die dubbel inzetten op gedeelde code via FINOS en de Linux Foundation (Banking Dive, 2026). De reden is oncomfortabel voor vendors: de CIB-stack moet nu end-to-end inspecteerbaar zijn, en proprietary black boxes overleven geen DORA Artikel 5-audit.
Dit artikel verbindt die verschuiving met de engineeringkant. De Rust-libraries die ik publiceer — noyalib, http-handle, hsh, KyberLib, html-generator, Shokunin SSG — zijn op zichzelf niet het punt. Het zijn concrete voorbeelden van hoe een cloud-native CIB-stack er nu uitziet als je de FINOS-these serieus neemt: permissieve licenties, geen unsafe, ondertekende artefacten en supply-chain-provenance ingebakken op compileertijd.
01. Waarom CIB's overstappen op open source
Drie drukken duwen CIB's richting open source, en geen ervan is ideologisch.
Talent. De sterkste infrastructuur-engineers van 2026 bouwen in het openbaar. Het FINOS State of Open Source in Financial Services-rapport 2025 zet de bijdragebasis stevig op de groeicurve, met aan banken gelieerde maintainers nu zichtbaar over CNCF-runtimeprojecten en FINOS-workstreams (Linux Foundation, 2025). Wanneer een CTO van een Tier-1 bank een senior Rust- of Kotlin-engineer nodig heeft die een herbouw van een clearingsysteem kan opleveren, verwacht die engineer upstream te committen. Proprietary-only shops verliezen het wervingsgesprek vroeg.
Compliance. DORA Artikel 5 legt niet-delegeerbare verantwoordelijkheid voor ICT-risico bij het bestuur. Basel III koppelt operationeel-risicokapitaal aan storingen. Beide regimes gaan ervan uit dat de instelling elk onderdeel in het productiepad kan auditen — en dat is structureel eenvoudiger met permissieve open source code onder MIT, Apache 2.0 of BSD-3-Clause dan met een black-box ISV-release waar de SBOM "vertrouw ons" is. CycloneDX- en SPDX-bills of materials, SLSA-provenance-attestaties en sigstore-handtekeningen zijn nu de minimale lat die een toezichthouder verwacht bij een release-pipeline te zien.
Levertempo. Een CIB-platformteam dat een wijziging aan een payment engine in dagen levert in plaats van kwartalen wint niet op heroïek. Het wint op gedeeld substraat — Kubernetes, OpenTelemetry, ISO 20022-schema-libraries, FINOS Common Domain Model — dat niemand betaalt om opnieuw te implementeren. De economie pleit niet langer voor maatwerkrails.
Drie drukken, één conclusie. Overstappen op open is een leveringsbeslissing, geen inkoopbeslissing.
02. De Rust-met-zero-dependency-stack
De cloud-native CIB-stack in 2026 is niet langer het LAMP-tijdperkbeeld van "open source = Linux + nginx + Postgres". Het is een gelaagde set permissief gelicentieerde, geheugenveilige componenten — elk met zijn eigen SBOM, zijn eigen provenance en zijn eigen minimale aanvalsoppervlak. De Rust-libraries die ik onderhoud passen schoon op die gelaagdheid.
- Edge ingress. http-handle is een zero-dependency, RFC 7230 / 9112-compliant HTTP/1.1-server geschreven in safe Rust — gebouwd voor het moment dat een CIB-platformteam beseft dat de ingresslaag geen 200 transitieve crates moet binnenhalen. Het pleidooi staat uitgewerkt in http-handle: zero-dependency edge ingress voor banken in Rust.
- Configuratielaag. noyalib parseert YAML 1.2 met 406/406 spec-compliance, JSON-Schema-validatie en een lossless Concrete Syntax Tree — zodat Kubernetes-manifesten, MCP-serverregisters en CI-workflows ophouden een stil aanvalsoppervlak te zijn. Zie Waarom YAML een veiligere Rust-stack nodig heeft voor AI, MCP en financiële infrastructuur in 2026.
- Cryptografische primitieven. hsh levert Argon2id-, bcrypt- en scrypt-wachtwoordhashing met een constante-tijd verificatie-API. KyberLib implementeert ML-KEM-512/768/1024 onder FIPS 203 voor de post-quantum migratie die wordt uitgewerkt in KyberLib en de post-quantum bankmigratie in 2026.
- Content en edge delivery. html-generator compileert toegankelijke Markdown naar gestructureerde HTML; Shokunin SSG bouwt de publicatie die u nu leest; CloudCDN staat er als open source, AI-native edge voor.
Geen van deze zijn "frameworks" in de oude bankaire zin. Het zijn kleine, permissief gelicentieerde, ondertekende componenten met expliciete threat models. Dat is de operationele vorm die de FINOS-these aanmoedigt — en de vorm die een CIB-platformteam zonder slidedeck voor een toezichthouder kan verdedigen.
Een kleine eerlijke kanttekening: het doel is niet "herschrijf de bank in Rust". Het is om CIB-platformteams de optie te geven van een geheugenveilige, low-dependency-stack op de dragende lagen — ingress, parsing, crypto, build, supply chain — zonder elders een religieuze beslissing af te dwingen.
03. Open source draagt de ISO-, AI- en quantumagenda's
De drie structurele CIB-agenda's van 2026 — de ISO 20022-cutover, agentic AI in operations en de post-quantum cryptografie-migratie — draaien allemaal op inspecteerbare code. Geen ervan werkt als proprietary stack.
ISO 20022. De pacs.008 / pacs.009 / camt-schemafamilie is nu de standaard voor wholesale payments. FINOS host het Common Domain Model naast open source Java- en Kotlin-libraries die deze berichten parseren, valideren en routeren. Het werk in pacs.008-automatisering en ISO 20022 interbancaire betalingen toont hoe een clearing-grade pipeline uit die open componenten wordt samengesteld — schemavalidatie, gestructureerde remittance, end-to-end-traceerbaarheid — zonder bij elke bank de parser opnieuw te bouwen.
Agentic AI. Het Model Context Protocol (MCP) is de lingua franca om AI-agenten interne banktools te laten aanroepen — en MCP-servers draaien op YAML-registers, OAuth-begrensde service-accounts en audit-log-pipelines. De control plane is open source omdat het moet: elke agent die een productieledger aanraakt heeft een inspecteerbare, begrensde workflow nodig. Het pleidooi om dat als een engineeringprobleem te behandelen in plaats van een vendorselectie loopt door Waarom YAML een veiligere Rust-stack nodig heeft en het dotfiles-werkstationwerk in AI-bewuste dotfiles in 2026.
Post-quantum cryptografie. FIPS 203 (ML-KEM) en FIPS 204 (ML-DSA) zijn nu de migratiedoelen. De hybride X25519MLKEM768-sleuteluitwisseling is de praktische standaard in TLS 1.3. Niets van dit werkt zonder open implementaties die auditors en bank-cryptografieteams regel voor regel kunnen lezen — KyberLib is één voorbeeld, en de bredere migratiekadering is het onderwerp van KyberLib en de post-quantum bankmigratie in 2026.
Drie agenda's. Eén gedeelde afhankelijkheid: open code, ondertekend door sigstore, geattesteerd door SLSA, vermeld in een CycloneDX- of SPDX-SBOM, bestuurd door OSSF-scorecards. Dat is de cloud-native CIB-stack in 2026.
04. Platformisering onder PSD3 en FiDA
De Europese platformiseringsagenda — PSD3, de Payment Services Regulation en het Financial Data Access-raamwerk (FiDA) — is een regulatoire toezegging aan open finance. Zij gaat ervan uit dat banken dataflows op schaal kunnen blootleggen, besturen en auditen. Open standaarden zijn de voorwaarde, geen bijproduct.
De 2026-vooruitblik van Consultancy.uk op het orchestreren van open banking voor platformgroei maakt dezelfde observatie vanuit de bedrijfskant: de instellingen die onder PSD3 winnen, zijn de instellingen die het API-portfolio als product behandelen, niet als compliance-bijzaak (Consultancy.uk, 2026). Die houding is onmogelijk op een gesloten stack. API's productualiseren vereist geversioneerde OpenAPI-specificaties, geautomatiseerde contracttests, observability over elke consument en een governance-laag waar een auditor doorheen kan lopen. Elk van die primitieven is in 2026 open source, en de meeste zitten in CNCF- of FINOS-projecten.
Dezelfde logica strekt zich uit tot het bredere data-access-perimeter van FiDA — pensioenen, hypotheken, beleggingsproducten. Een bank die haar parsing, ingress, configuratie en crypto bestuurt met inspecteerbare code kan het perimeter uitbreiden zonder her-architectuur. Een bank die die lagen aan gesloten vendors heeft uitbesteed, betaalt de komende drie jaar integratieconsultants. De FINOS-these is in de kern een platformiseringsthese: bezit de standaarden, deel het substraat, concurreer op de buitenkant.
Conclusie
De CIB-stack in 2026 is standaard open. Niet uit ideologie, maar omdat de drie drukken — talent, compliance, levertempo — in dezelfde richting trekken, en de toezichthouders (DORA, Basel III, PSD3, FiDA) het hebben bekrachtigd. De Banking Dive-reportage over Morgan Stanley, JPMorgan en Citi is de publieke versie van een privégesprek dat senior platformteams al twee jaar voeren.
Voor besturen is de implicatie eenduidig. De vraag is niet langer "moeten we open source gebruiken". Hij is: hebben we de SBOM's, de SLSA-provenance, de sigstore-handtekeningen, de OSSF-scorecards en het FINOS-conform bijdragebeleid om het veilig te gebruiken. Als het antwoord nee is, zal het antwoord aan de toezichthouder ook nee zijn.
Voor engineering-leiders is de implicatie scherper. Kies de dragende lagen — ingress, parsing, crypto, build, supply chain — en standaardiseer op permissief gelicentieerde, geheugenveilige componenten met expliciete threat models. De Rust-met-zero-dependency-voorbeelden in dit artikel zijn één geldige set. Het gaat om de vorm, niet om het merk. Bouw het substraat zodat de buitenkant snel kan bewegen.
Open source is niet langer de moderniseringsvraag. Het is het moderniseringsantwoord.
Laatst herzien op .
Laatst herzien .
Dit artikel herpubliceren
Kopieer opmaak voor Medium
# Open Source, FINOS en de cloud-native CIB-stack — Sebastien Rousseau > Originally published at [https://sebastienrousseau.com/nl/2026-06-28-open-source-finos-cloud-native-cib-stack-2026/](https://sebastienrousseau.com/nl/2026-06-28-open-source-finos-cloud-native-cib-stack-2026/) Hoe FINOS, de Linux Foundation en een Rust-met-zero-dependency-stack de cloud-native CIB-stack hervormen — talent, compliance, PSD3 en supply-chain-provenance. Read the full article on sebastienrousseau.com: https://sebastienrousseau.com/nl/2026-06-28-open-source-finos-cloud-native-cib-stack-2026/
Kopieer opmaak voor Mastodon
Open Source, FINOS en de cloud-native CIB-stack — Sebastien Rousseau Hoe FINOS, de Linux Foundation en een Rust-met-zero-dependency-stack de cloud-native CIB-stack hervormen — talent, compliance, PSD3 en supply-chain-provenance. https://sebastienrousseau.com/nl/2026-06-28-open-source-finos-cloud-native-cib-stack-2026/
Kopieer geformatteerd voor LinkedIn
Open Source, FINOS en de cloud-native CIB-stack — Sebastien Rousseau Hoe FINOS, de Linux Foundation en een Rust-met-zero-dependency-stack de cloud-native CIB-stack hervormen - talent, compliance, PSD3 en supply-chain-provenance. Dit zijn de belangrijkste strategische inzichten: - 01. Waarom CIB's overstappen op open source. Drie drukken duwen CIB's richting open source, en geen ervan is ideologisch. - 02. De Rust-met-zero-dependency-stack. De cloud-native CIB-stack in 2026 is niet langer het LAMP-tijdperkbeeld van "open source = Linux + nginx + Postgres". - 03. Open source draagt de ISO-, AI- en quantumagenda's. De drie structurele CIB-agenda's van 2026 — de ISO 20022-cutover, agentic AI in operations en de post-quantum cryptografie-migratie — draaien allemaal op inspecteerbare code. - 04. Platformisering onder PSD3 en FiDA. De Europese platformiseringsagenda — PSD3, de Payment Services Regulation en het Financial Data Access-raamwerk (FiDA) — is een regulatoire toezegging aan open finance. Hoe gaat uw organisatie om met de uitdagingen die in dit artikel worden beschreven? → https://sebastienrousseau.com/nl/2026-06-28-open-source-finos-cloud-native-cib-stack-2026/ #OpenSourceBanking #Finos #LinuxFoundation #CloudNativeCib #RustBanking Sebastien Rousseau | CC-BY-4.0
Dit artikel citeren
Open Source, FINOS en de cloud-native CIB-stack — Sebastien Rousseau
Hoe FINOS, de Linux Foundation en een Rust-met-zero-dependency-stack de cloud-native CIB-stack hervormen — talent, compliance, PSD3 en supply-chain-provenance.
BibTeX
@online{rousseau2026open,
author = {Rousseau, Sebastien},
title = {{Open Source, FINOS en de cloud-native CIB-stack — Sebastien Rousseau}},
year = {2026},
url = {https://sebastienrousseau.com/nl/2026-06-28-open-source-finos-cloud-native-cib-stack-2026/},
urldate = {2026}
}RIS
TY - GEN AU - Rousseau, Sebastien TI - Open Source, FINOS en de cloud-native CIB-stack — Sebastien Rousseau PY - 2026 UR - https://sebastienrousseau.com/nl/2026-06-28-open-source-finos-cloud-native-cib-stack-2026/ ER -
Vancouver
Rousseau S. Open Source, FINOS en de cloud-native CIB-stack — Sebastien Rousseau. sebastienrousseau.com. 2026 Jun 28. Available from: https://sebastienrousseau.com/nl/2026-06-28-open-source-finos-cloud-native-cib-stack-2026/
Chicago
Rousseau, Sebastien. "Open Source, FINOS en de cloud-native CIB-stack — Sebastien Rousseau." sebastienrousseau.com. June 28, 2026. https://sebastienrousseau.com/nl/2026-06-28-open-source-finos-cloud-native-cib-stack-2026/.
APA
Rousseau, S. (2026, June 28). Open Source, FINOS en de cloud-native CIB-stack — Sebastien Rousseau. sebastienrousseau.com. https://sebastienrousseau.com/nl/2026-06-28-open-source-finos-cloud-native-cib-stack-2026/
Dit artikel herpubliceren
Open Source, FINOS en de cloud-native CIB-stack — Sebastien Rousseau
Hoe FINOS, de Linux Foundation en een Rust-met-zero-dependency-stack de cloud-native CIB-stack hervormen — talent, compliance, PSD3 en supply-chain-provenance.
Dit artikel valt onder de licentie Creative Commons Attribution 4.0 International. Herpublicatie vereist attributie aan de canonieke URL.
Open Source, FINOS en de cloud-native CIB-stack — Sebastien Rousseau Hoe FINOS, de Linux Foundation en een Rust-met-zero-dependency-stack de cloud-native CIB-stack hervormen — talent, compliance, PSD3 en supply-chain-provenance. Originally published at https://sebastienrousseau.com/nl/2026-06-28-open-source-finos-cloud-native-cib-stack-2026/ by Sebastien Rousseau. Licensed under CC-BY-4.0.