Issuu

Dit is een commerciële uitgave van Contentway bij deze krant Campagne Manager: Wolf van Nispen Managing Director: Saïd Laktami Graphic Design: Kiloe van Benthem Redactie: Eltjo Nieuwenhuis & Mecdelawit Ogbamichael Tekst: Michel de Ruyter, Fred Pals en Eltjo Nieuwenhuis Gedistribueerd met: Het Financieele Dagblad 2026 Drukkerij: RODI Rotatiedruk. Partner content in deze campagne is tot stand gekomen in samenwerking met onze klanten. Dit zijn commerciële uitingen. Dit is een commerciële uitgave. De FD-redactie heeft geen betrokkenheid bij deze productie.

Uitgegeven door Contentway Benelux B.V. Keizersgracht 424 NL-1016 GC Amsterdam

CYBERSECURITY MAAND

EEN CYBERAANVAL WACHT NIET TOT JE KLAAR BENT EERST VASTSTELLEN OF DE CYBERWET VOOR JOU GELDT BESTUURDERS VERANTWOORDELIJK VOOR COMPLIANCE

Bij cybersecurity is de vraag niet of er een aanval komt, maar wanneer. Lees in het interview met Anouk van der Gracht hoe je je voorbereidt.

Tel: +31 (0)20 241 7763 Web: contentway.nl Email: info@contentway.nl redactie@contentway.nl

oktober 2026

Aangeboden door mnemonic

Hoe een gemiste oproep je locatie kon verraden

Door AI kunnen kwetsbaarheden versneld worden opgespoord en verandert het dreigingslandschap ingrijpend Een kritieke fout in een Europees telecomnetwerk maakte het mogelijk om de locatie van mensen via een gewone telefoonoproep te traceren. Harrison Sand, cybersecurity researcher bij de Europese cybersecurityspecialist mnemonic, ontdekte hoe een kleine configuratiefout kon uitgroeien tot een risico op nationale schaal. Daarnaast laat zijn onderzoek zien hoe kunstmatige intelligentie de zoektocht naar kwetsbaarheden ingrijpend versnelt, voor verdedigers én voor kwaadwillenden.

maakt. Wanneer iemand belt, wisselen telefoon en netwerk automatisch berichten uit om de verbinding op te zetten. Bij deze telecomprovider bevatte het antwoord ten onrechte ook informatie over de zendmast van de ontvanger. Op papier lijkt dat een klein technisch detail, maar de gevolgen waren dat niet. De fout was ongeveer tweeënhalf jaar aanwezig. Met toestemming van betrokkenen werd aangetoond dat onder meer politici en medewerkers in veiligheidsfuncties op deze manier gevolgd konden worden. Wie meerdere keren belt, kan niet alleen zien waar iemand ongeveer is, maar ook diens verplaatsingen volgen. Dat kan informatie prijsgeven over werkbezoeken, ontmoetingen of dagelijkse routines. Sand en de betrokken journalist brachten de provider op de hoogte. De fout werd vervolgens snel verholpen. Sand: “Er was geen storing, geen opvallend aanvalspatroon en geen waarschuwing voor de gebruiker. Juist daardoor kon de kwetsbaarheid lang onopgemerkt blijven.”

Harrison Sand, Cybersecurity Researcher, mnemonic

Het begon niet met een phishinglink, malware of toegang tot een afgeschermd systeem. Harrison Sand onderzocht samen met een journalist van de Noorse publieke omroep NRK hoe fraudeurs telecomnetwerken kunnen misbruiken. Tijdens een test belde hij de journalist. Die nam niet op, maar toch kwam er iets terug wat nooit bij de beller terecht had mogen komen: de identificatie van de zendmast waarmee de telefoon van de journalist verbonden was. Sand koppelde die code aan openbaar beschikbare locatiegegevens. Op de kaart verscheen een gebied rond het kantoor van de journalist. In een stedelijke omgeving bleek de locatie doorgaans tot op 100 à 200 meter nauwkeurig te bepalen. Daarvoor was niets meer nodig dan een actieve simkaart, een telefoontje en de mogelijkheid om het technische berichtenverkeer rond een oproep te bekijken. De persoon die op deze manier werd gevolgd, zag niets meer dan een gemiste oproep.

Hoe de telecomkwetsbaarheid iemands locatie onthulde

De oorzaak was een configuratiefout diep in de infrastructuur die moderne mobiele gesprekken mogelijk

Hoe AI onderzoek naar kwetsbaarheden versnelt De specificaties van complexe telecominfrastructuur beslaan duizenden pagina’s en vragen doorgaans om specialistische kennis. Sand heeft ruim tien jaar ervaring met applicatiebeveiliging, maar is geen telecomspecialist. Met AI kon hij grote hoeveelheden documentatie snel doorgronden en relevante verbanden leggen. De uitkomsten controleerde hij aan de hand van de oorspronkelijke technische bronnen.

Ook het praktische werk ging sneller. Met behulp van AI maakte hij in korte tijd een programma dat de identificatie van een zendmast omzette naar coördinaten op een kaart. Voor vervolgonderzoek bouwde hij vervolgens een specialistische tool van duizenden regels code. Sand: “Werk waarvoor eerder een ontwikkelteam en een aanzienlijk budget nodig waren, werd binnen enkele weken op poten gezet door één onderzoeker. AI vervangt de expertise van security researchers niet, maar vergroot wel hun snelheid en bereik.”

voorbehouden aan grote, gespecialiseerde teams komen zo binnen bereik van kleinere groepen. Voor bestuurders verandert daarmee het risicobeeld. “Organisaties kunnen niet volstaan met bescherming van de meest zichtbare IT-systemen”, aldus Sand. “Juist complexe infrastructuur, verouderde technologie en systemen die jarenlang betrouwbaar lijken te draaien, verdienen aandacht. Daar stapelen afhankelijkheden zich op en kan impliciet vertrouwen ongemerkt een kwetsbaarheid worden.”

AI vervangt de expertise van security researchers niet, maar vergroot wel hun snelheid en bereik. “De juiste reactie is niet om AI buiten de deur te houden, maar om de verdedigende toepassing ervan te versnellen”, vervolgt Sand. “Geef deskundigen ruimte om AI gecontroleerd in te zetten, breng minder zichtbare en bedrijfskritieke systemen in kaart, verklein het digitale aanvalsoppervlak en herzie dreigingsscenario’s regelmatig. De vraag is niet alleen of bestaande maatregelen vandaag voldoende zijn, maar ook of zij opgewassen zijn tegen tegenstanders die morgen aanzienlijk sneller kunnen handelen.” Nu AI het ontdekken én misbruiken van kwetsbaarheden versnelt, wordt het steeds belangrijker om ook minder zichtbare risico’s tijdig te herkennen en te onderzoeken.

Meer weten? Harrison Sand vertelt alles over het onderzoek in zijn presentatie ‘How we accidentally built a nationscale tracking system’ tijdens ONE Conference op 7 oktober in Den Haag. Ben je niet bij ONE Conference? Bekijk dan meer informatie op de website van mnemonic: mnemonic.io/ONE2026

Wat dit betekent voor bedrijven en hun securityteams

Die ontwikkeling werkt twee kanten op. AI geeft verdedigers meer slagkracht, maar stelt ook kwaadwillenden in staat sneller informatie te analyseren, kwetsbaarheden te ontdekken en aanvalsmethoden te ontwikkelen. Capaciteiten die voorheen waren

mnemonic.io

contentway.nl

Aangeboden door Datakeeper

Straks bewijst een document niets meer

Sinds de komst van AI zijn vervalste documenten, phishingmails en deepfakes met het blote oog niet meer van echt te onderscheiden. Voor bedrijven en overheden wordt het steeds lastiger vast te stellen of een document, een foto of een videogesprek nog te vertrouwen is.

Bart Vloet, Managing director, Datakeeper

Datakeeper, ontstaan binnen Rabobank, ziet die dreiging dagelijks. Het bedrijf biedt een identity+ wallet waarmee gebruikers zich kunnen identificeren en gegevens rechtstreeks uit de bron kunnen ophalen, zoals inkomensgegevens via Mijn UWV of de Belastingdienst. Vervolgens kunnen zij die gegevens delen met organisaties die erom vragen. In dezelfde flow kan een gebruiker elektronisch ondertekenen of inloggen. Hypotheekverstrekkers gebruiken in toenemende mate Datakeeper voor hypotheekaanvragen, en in commercieel vastgoed is de app zelfs de standaard. “Het is te verwachten dat AI zal leiden tot een hausse in identiteitsfraude”, zegt managing director Bart Vloet. “Het gebruik van ID-wallets om iemands identiteit te verifiëren en om gegevens of verklaringen uit te wisselen is een belangrijk wapen in die strijd.”

Cryptografie in plaats van het blote oog

Generatieve AI ondermijnt vooral methoden die vertrouwen op wat je ziet. “Een loonstrook of bankafschrift in pdf is binnen seconden na te maken, maar ook een foto van een paspoort of een videogesprek is kwetsbaar voor deepfakes”, aldus Vloet. Cryptografie houdt daarentegen wel stand: de chip in een paspoort is ondertekend door de uitgevende overheid, en die handtekening is zonder de bijbehorende sleutel niet na te maken. Gegevens die rechtstreeks uit de bron komen en een cryptografisch zegel dragen, zijn niet ongemerkt te bewerken. Een klant

identificeert zich met zijn ID-bewijs, waarna een liveselfiescan het ID-bewijs koppelt aan de persoon die de telefoon vasthoudt.

steeds een kopie van je paspoort achter. “Je voegt hem één keer toe aan je wallet, en kunt hem vervolgens vijf keer hergebruiken”, zegt Baas Becking.

Geen centrale database om te kraken

Volgens Van den Bent wordt de wallet over een paar jaar net zo gewoon als betalen met je telefoon, van inchecken in het OV tot het aanvragen van een hypotheek. In de toekomst kunnen datadelen en betalen in één handeling plaatsvinden, voegt Vloet toe.

Een tweede risico zit in de opslag zelf. Grote, centrale databases zijn een aantrekkelijk doelwit voor hackers. “Een ID-wallet als Datakeeper slaat daarom gegevens lokaal op, op de telefoon van de gebruiker”, zegt architect Marnix van den Bent. “Het is echt jouw telefoon: daar komen jouw gegevens in te staan, niet in een centrale database.” Een aanvaller zou telefoon voor telefoon te werk moeten gaan, en heeft daarbij ook nog de biometrie of pincode van de gebruiker nodig. De sleutels in de beveiligde chip van de telefoon zijn bovendien niet te exporteren. Organisaties kunnen klanten of medewerkers ook met de wallet laten inloggen, zonder gebruikersnaam en wachtwoord. Dan hoeven ze geen wachtwoorddatabase meer te beveiligen en valt het risico op diefstal van inloggegevens weg.

De bron wordt belangrijker dan het document Dataminimalisatie werkt in dezelfde richting. “Gegevens die je niet verzamelt, kunnen ook niet gelekt worden”, zegt sales director Armand Baas Becking. Uit een paspoort zijn veertien datapunten te halen. Heeft een organisatie er maar één nodig, dan vraagt die alleen dat gegeven, voorzien van een cryptografisch zegel dat de herkomst uit het paspoort bevestigt. Een retailer die wil weten of een klant meerderjarig is, kan volstaan met een 18+-check: ‘ja’ of ‘nee’. Een ID-bewijs of zelfs een geboortedatum hoeft hij niet te zien en ook niet te bewaren. De gebruiker ziet in zijn wallet bovendien precies welke gegevens worden gevraagd en zijn gedeeld.

Minder formulieren, minder frictie

Ook voor de klantreis maakt het een verschil. Wie bijvoorbeeld een mobiel abonnement afsluit, moet nu talloze gegevens aanleveren. Met een wallet scan je een QR-code en deel je je gegevens met een druk op de knop. Dat scheelt volgens Vloet minuten doorlooptijd en veel irritatie. Bij een huisaankoop laat je nu bij makelaar, hypotheekadviseur, geldverstrekker, verzekeraar en notaris

Een Nederlands antwoord op big tech

De Europese eIDAS-verordening jaagt deze aanpak aan: alle lidstaten moeten hun burgers een Europese identiteitswallet aanbieden, en organisaties in onder meer de financiële sector worden verplicht die te accepteren, ook uit andere lidstaten. Het grootste risico ziet Vloet in het tempo. “Als Europa traag is en Europese bedrijven laat wachten, krijgt Amerikaanse big tech de ruimte. De partij die de wallet beheert, bepaalt mee hoe Europeanen zich online identificeren en hun gegevens delen.” Datakeeper biedt daarom een Nederlandse oplossing: een wallet die vandaag al werkt en de Europese standaarden op de voet volgt. “Als je nog twee jaar wacht, hebben Apple en Google de helft van die markt”, waarschuwt Vloet. Voor organisaties waarvoor Europese soevereiniteit belangrijk is, is wachten dan ook geen optie.

Armand Baas Becking, Sales director, Datakeeper

datakeeper.nl

Een cyberaanval wacht niet tot je er klaar voor bent VOORWOORD

Recente cyberincidenten bij onder meer Odido, het Openbaar Ministerie en de webshop van Lidl laten zien hoe ingrijpend een aanval kan zijn. Toch zijn veel organisaties onvoldoende voorbereid. Voor bestuurders blijft het belang van cybersecurity vaak abstract, waardoor investeringen in digitale weerbaarheid niet altijd de urgentie krijgen die ze verdienen. AI wordt ook steeds meer ingezet ter verdediging van digitale systemen. Maar voordat je dit effectief kunt doen, zijn er meestal nog fundamentelere stappen te zetten die je digitale weerbaarheid verhogen.

Matthijs van Amelsfort, Algemeen directeur, NCSC

Cyberaanvallen met AI

AI versnelt de ontwikkeling van cyberaanvallen en stelt daarmee hogere eisen aan de informatiebeveiliging. Het Nationaal Cyber Security Centrum (NCSC) verwacht dat organisaties hierdoor vaker te maken krijgen met aanvallen. Grote én kleine organisaties kunnen daarvan het doelwit worden.

De eerste stap is het op orde brengen van de basis Verhoog je cyberweerbaarheid

Het NCSC heeft een centrale rol in het Nederlandse cyberstelsel. We waarschuwen voor dreigingen en kwetsbaarheden, adviseren en treden op bij incidenten. Samen met andere organisaties werken we aan de cyberweerbaarheid van Nederland.

We signaleren dat Nederlandse bedrijven en organisaties nog veel kunnen doen om zich voor te bereiden op cyberincidenten. Cyberweerbaarheid verhogen draait om veel meer dan alleen het voorkomen van aanvallen. Ook de incidentrespons, het adequaat reageren op aanvallen, en een effectief herstelplan als het toch is misgegaan, zijn onmisbare elementen.

Vind je zwakke plekken

Veelvoorkomende zwakke plekken zijn onvoldoende zicht op apparatuur, risico’s en afhankelijkheden in de toeleveringsketen, maar ook gebrekkige monitoring en kwetsbaarheden die niet tijdig met patches of updates worden verholpen. Ook ontbreekt het regelmatig aan goede logging. Hierdoor worden onderzoek na een incident en het beperken van de schade een stuk lastiger. Tot slot vormen verouderde software en legacy-systemen een risico, net als onnodige of onbeveiligde internetverbindingen en kwetsbare randapparatuur. Een incidentrespons- en herstelplan helpt organisaties om bij een incident snel en gestructureerd te handelen.

Aan de slag met de basisprincipes

Op de website van het NCSC staan de vijf basisprincipes van digitale weerbaarheid. Ze helpen organisaties zich te beschermen tegen cyberincidenten die de bedrijfsvoering kunnen verstoren. Ook biedt het NCSC informatie over actuele wetgeving, samenwerking in cyberbeveiliging en het melden van kwetsbaarheden en incidenten.

Cyberweerbaarheid verhogen draait om meer dan alleen het voorkomen van aanvallen Voor de beslissers

De eerste stap naar cyberweerbaarheid is het op orde brengen van de fundamentele zaken. AI kan daarbij een steeds grotere rol spelen, mits de onderliggende beveiliging op orde is. Bescherm je digitale middelen met passende cyberweerbaarheidsmaatregelen en houd rekening met de investering die daarvoor nodig is. Het NCSC helpt door te waarschuwen voor dreigingen en kwetsbaarheden, maar ook door kennis en advies te delen en organisaties met elkaar te verbinden. Zo maken we van onze individuele inspanningen een collectieve kracht.

Aangeboden door Greenberg Traurig

Cybersecurity wordt chefsache Met de nieuwe Cyberbeveiligingswet verhuist cybersecurity definitief naar de bestuurskamer. Dat brengt nieuwe verantwoordelijkheden en risico’s met zich mee, ook voor bestuurders in privé. zorgplicht gaat verder dan technische beveiliging en omvat onder meer risicomanagement, incidentenbehandeling, bedrijfscontinuïteit en beveiliging van de toeleveringsketen. Voor bestuurders zit de belangrijkste verandering in hun eigen rol. De maatregelen waarmee de organisatie haar cyberrisico’s beheerst, moeten door het bestuur worden bepaald. Ieder bestuurslid moet voldoende kennis en vaardigheden hebben om cyberrisico’s te identificeren en de gekozen maatregelen en de gevolgen daarvan te kunnen beoordelen. Dit is niet vrijblijvend. Er kunnen audits worden uitgevoerd, bestuurders van bepaalde aangewezen bedrijven kunnen worden geschorst en overtredingen kunnen voor bedrijven leiden tot boetes van tientallen miljoenen euro. Bestuurders kunnen bij onvoldoende kennis en training persoonlijk worden beboet tot € 25.000. Herald Jongen, Advocaat, Greenberg Traurig Amsterdam

et de inwerkingtreding van de Cyberbeveiligingswet op 15 augustus heeft de Europese NIS2-richtlijn haar Nederlandse uitwerking gekregen. Voor duizenden bedrijven gelden voortaan strengere eisen aan de manier waarop zij cyberrisico’s beheersen. Bedrijven kunnen met de online tool NIS2 Zelfevaluatie NL van de overheid nagaan of de Cyberbeveiligingswet op hen van toepassing is. De

De wet creëert geen nieuwe grondslag voor bestuurdersaansprakelijkheid, maar maakt wel concreter wat van bestuurders op het gebied van cyberrisicobeheer wordt verwacht. Cybersecurity kan dus door veel bedrijven niet langer alleen bij IT of de CISO worden neergelegd. De wet laat weinig ruimte voor misverstand: cyber is een zaak voor de baas, dus ‘chefsache’.

soevereiniteit is veel te doen in de pers en politiek. Daarbij wordt vaak gezegd dat de VS (lees: Trump) bij al onze data kan en desgewenst de stekker uit de dienst kan laten trekken. Als recente voorbeelden gelden de discussies over de overname van Solvinity door een Amerikaans bedrijf en het in gebruik nemen van Microsoft Office 365 alsmede een nieuw btw-systeem door de Belastingdienst. De werkelijkheid is genuanceerder: in de discussie worden zaken door elkaar gehaald en raken feiten en regels soms op de achtergrond. Het antwoord op de vraag of wij te afhankelijk zijn van een paar grote Amerikaanse leveranciers, is zonder meer ja. Maar dat betekent niet dat wij helemaal geen Amerikaanse diensten meer mogen afnemen, zoals wel wordt betoogd. Bestuurders kunnen zich daarbij vasthouden aan de Visie Digitale autonomie en soevereiniteit van de overheid uit december 2025. Die pleit voor “een gefaseerde en pragmatische benadering waarin bestaande leveranciers worden gecombineerd met Europese alternatieven” en voor een afweging van onder meer kosten, innovatie en cybersecurity. Bestuurders moeten zich dus niet gek laten maken door degenen die roepen dat we niets meer uit de VS mogen kopen, maar cybersecurity nadrukkelijk meewegen. Als in een bepaald geval de dienst van een grote Amerikaanse leverancier uit cybersecurity oogpunt beter is dan eigen beheer of een Europees alternatief dan is de keuze voor de Amerikaanse leverancier vanuit de wet bezien de juiste. Maar als er een net zo goed Europees alternatief is, kan soevereiniteit prevaleren.

Afwegen soevereiniteit en cybersecurity

Een van de knopen die bestuurders vandaag de dag moeten doorhakken, is hoe zij het belang van digitale soevereiniteit afwegen tegen cybersecurity. Over

gtlaw.com

Aangeboden door Keysight Technologies

contentway.nl

Europa kan achterstand in AI ombuigen tot voorsprong Europa loopt achter in de ontwikkeling van kunstmatige intelligentie. Chips, clouddiensten en AI-modellen komen vooral uit de Verenigde Staten, en dat maakt de Europese economie kwetsbaar. Toch ligt er een andere route naar invloed die niet via de grootste modellen loopt, maar via veiligheid en betrouwbaarheid.

at betoogt Marc Witteman, senior directeur Device Security bij Keysight Technologies. Vanuit Silicon Valley volgt hij de Europese positie op afstand, maar met een scherpe blik op de gevolgen voor bedrijven en burgers. Witteman schat de achterstand van Europa ten opzichte van de Verenigde Staten op zo’n tien jaar, met name in chipontwikkeling en cloudinfrastructuur. Op het gebied van AI-modellen is het gat volgens hem kleiner. Toch waarschuwt hij voor de gevolgen van uitstel.

Juiste manier gebruiken

“Organisaties die AI niet op de juiste manier gaan gebruiken, kunnen de economische competitie niet aan”, stelt Witteman. Hij vergelijkt de impact met de industriële revolutie, toen machines de productiviteit vertienvoudigden. Wie AI negeert, verliest terrein tegenover bedrijven die er wel mee werken. Maar volledige onafhankelijkheid is geen realistisch doel. Zelfs de Verenigde Staten produceren niet alles zelf – een groot deel van de chipproductie loopt via Taiwan. Europese AI-soevereiniteit betekent daarom vooral het beperken van afhankelijkheid van één

keysight.com

land of leverancier, zoals ook ervaringen met olie- en gasleveringen hebben laten zien.

Defensie versnelt innovatie

De oorlog op het Europese continent verandert die afweging. Jarenlang bleven investeringen in defensietechnologie achter, deels ook om ethische redenen. Maar die terughoudendheid is eigenlijk helemaal verdwenen. “Er is niks onethisch aan jezelf goed willen beschermen”, aldus Witteman.

Als je AI niet op de juiste manier gebruikt, kun je de concurrentie niet aan’ Amerikaanse defensietechnologie is daarnaast duur en wordt minder beschikbaar, wat ruimte biedt voor Europese alternatieven. Witteman constateert daarbij een breder effect: technologie die voor militaire toepassingen wordt ontwikkeld, vindt vaak ook een civiele bestemming. Hij noemt drones die worden ingezet tegen bosbranden als voorbeeld van zo’n overloopeffect.

Cyber Resilience Act zet toon

Op het gebied van cybersecurity heeft Europa volgens Witteman al een sterke uitgangspositie, gezien de goede kennis, opleidingen en reputatie. De Europese

Cyber Resilience Act (CRA) moet ook leiden tot Europees leiderschap op het gebied van cybersecurity. Door strengere veiligheidseisen aan digitale producten te stellen, wil Europa de digitale weerbaarheid vergroten en een voorsprong opbouwen in een markt waarin cyberveiligheid steeds belangrijker wordt.

kunnen grote hoeveelheden hardware- en softwarecode doorzoeken op fouten, iets wat voor mensen te tijdrovend is. Dat is overigens niet alleen mogelijk, maar ook noodzakelijk. Kwaadwillenden zullen dezelfde AI-technologie inzetten om kwetsbaarheden juist te exploiteren.

In de praktijk betekent dit dat fabrikanten van digitale producten strengere verplichtingen krijgen. Bekende kwetsbaarheden moeten bijvoorbeeld snel worden opgepakt en binnen een maand verholpen. Een tempo dat veel bedrijven tot voor kort niet aankonden.

Witteman verwacht dat de CRA zich als standaard verder verspreidt. Bedrijven die willen leveren aan Europese klanten, moeten voldoen aan de eisen, en dat werkt door in de rest van de wereld. Voor de langere termijn adviseert hij blijvende strategische investeringen, zodat Europa niet structureel afhankelijk wordt van Amerikaanse of Chinese leveranciers. Daarbij hoort ook stevig toezicht op naleving van de CRA, zodat de wet geen papieren tijger wordt. De AI-achterstand is reëel, maar volgens Witteman niet onomkeerbaar. Goede regelgeving moet zorgen voor meer veiligheid, wat weer kan leiden tot een betere Europese exportpositie.

Veiligheid van hardware

Keysight ontwikkelt meet- en testapparatuur en software waarmee bedrijven elektronische systemen en technologieën kunnen ontwerpen, testen en valideren. Het bedrijf richt zich onder meer op telecom, halfgeleiders, automotive, ruimtevaart en defensie. Het test al 25 jaar de veiligheid van hardware voor klanten wereldwijd, met ook een team van 150 mensen in Delft. Apparaten worden uit elkaar gehaald om te controleren of informatie kan lekken of gedrag van buitenaf beïnvloed kan worden. Het doel hierbij is vooral kwetsbaarheden opsporen en verhelpen voordat een product de markt bereikt. Volgens Witteman maken recente AI-modellen de strenge CRA-termijnen haalbaar. “Tot een jaar geleden was dat niet realistisch, maar nu kan het, mits men beschikt over de experts om AI goed toe te passen.” AI-systemen

Toekomstige ontwikkelingen

Marc Witteman, Senior directeur Device Security, Keysight Technologies

Aangeboden door Croonwolter&dros

Wie bewaakt de systemen achter bruggen, sluizen en ziekenhuizen?

Bedrijfsvoering is in hoge mate afhankelijk van operationele technologie, de systemen die bruggen, sluizen, energiecentrales en ziekenhuizen laten functioneren. Het aantal aanvallen op die systemen stijgt, terwijl wetgeving als de Cyberbeveiligingswet, die de NIS2-richtlijn implementeert, steeds strengere eisen stelt aan mensen, organisatie en techniek. Voor veel organisaties is onduidelijk waar ze moeten beginnen. om hun boterlijn. Ze verdienen immers hun geld met de producten die ze vervaardigen.”

Wetgeving jaagt de agenda op, maar mag geen doel worden

Jos van Veluw, Consultant cybersecurity en privacy officer bij CS2

Jos van Veluw ziet die worsteling dagelijks terug. Hij is consultant cybersecurity en privacy officer bij CS2, het specialistische label van Croonwolter&dros dat zich toelegt op de beveiliging van operationele technologie (OT). Van Veluw werkt aan objecten die tot de verbeelding spreken: bruggen, tunnels, sluizen, stormvloedkeringen, rijksgebouwen en productielocaties. “In essentie heb je het over de strijd tussen goed en kwaad”, aldus Van Veluw.

Techniek is maar een derde van het verhaal

IT en OT worden vaak in een adem genoemd, maar ze verschillen wezenlijk. IT betreft kantoorautomatisering: laptops, printers, de systemen op een bureau. OT gaat over operationele of industriële techniek, ook wel procesautomatisering genoemd. Denk aan toegangscontrolesystemen, brandmeldinstallaties, productiemachines en de besturing van bruggen en sluizen. Van Veluw benadrukt dat cybersecurity, ongeacht of het om IT of OT gaat, voor ongeveer 30 procent uit techniek bestaat. De overige 70 procent zit in organisatie en mens. “Als het door de mensen in organisaties niet gedragen wordt en als die zich er niet bewust van zijn, ben je kansloos”, aldus Van Veluw. Voor organisaties die met hun OT-systemen hun producten vervaardigen, is die weerbaarheid geen bijzaak. “Het gaat populair gezegd

Sinds de AVG in 2018 is de regelgeving rond digitale weerbaarheid gestaag uitgebreid. De Wbni vertaalde de eerste Europese netwerkrichtlijn naar Nederlands recht, de Cyberbeveiligingswet werd de opvolger en stelt sinds 15 augustus 2026 eisen aan meer dan 8.000 organisaties. Voor fabrikanten, importeurs en system integrators komt daar vanaf 11 december 2027 de Cyber Resilience Act (CRA) bij, die eist dat producten met digitale elementen aan strenge veiligheidseisen voldoen.

In essentie heb je het over de strijd tussen goed en kwaad Die opeenstapeling van wetgeving brengt een risico met zich mee, waarschuwt Van Veluw: vinkjespolitiek. “Het moet blijven gaan over de essentie van cybersecurity, namelijk risicomanagement”, aldus Van Veluw. Normenkaders hebben wel degelijk waarde: ze inspireren tot maatregelen. Maar het uitsluitend afvinken van verplichtingen levert geen echte weerbaarheid op. Ook bestuurders ontkomen niet aan de gevolgen: bestuurders van organisaties die onder de Cyberbeveiligingswet vallen, kunnen bestuurlijke aansprakelijkheid dragen. En zelfs de privacy officer krijgt een rol, nu OT-systemen steeds vaker met persoonsgebonden accounts werken en logbestanden herleidbare gegevens bevatten.

op de specifieke kenmerken van die systemen, zoals hun leeftijd en de eis dat ze continu beschikbaar moeten zijn. Het assessment kijkt vervolgens naar organisatie en mens, en de laatste stap richt zich op het management van de risico’s, inclusief het gesprek met de directie over prioriteiten en benodigde middelen. Die aanpak gaat verder dan preventie alleen. “Die beheersmaatregelen zien niet alleen op de preventieve kant, maar ook op de correctieve kant”, aldus Van Veluw. Het doel is om na een incident zo snel mogelijk weer back on track te komen en de continuïteit te herstellen. Een gerichte aanpak is bovendien doelmatiger en betaalbaarder dan het blind volgen van een normenkader, stelt Van Veluw, en voorkomt dat een organisatie zonder duidelijke prioriteiten stuurloos raakt.

Eerste stappen beginnen bij het gesprek

Voor organisaties die nog moeten beginnen, houdt Van Veluw het advies simpel. “Ga het gesprek aan binnen je organisatie. Dat kan gewoon bij de koffieautomaat”, aldus Van Veluw. Navragen bij collega’s wat zij als risico’s ervaren, levert vaak al een eerste beeld op van waar de organisatie staat. Daarnaast wijst hij op de gratis tools van het Nationaal Cyber Security Centrum, die ook voor kleinere organisaties inzicht geven in hun digitale weerbaarheid, inclusief een variant voor procesautomatisering. De eerste risicomanagementstappen leveren binnen enkele dagen tot weken al een concreet verhaal op voor de directie of de CISO. Cybersecurity is daarmee nooit af. Het vraagt om herhaalde evaluatie van de vraag waar een organisatie staat en welke verbeterslagen nog nodig zijn, want dreigingen en systemen veranderen voortdurend mee. Wie de expertise of capaciteit daarvoor niet in huis heeft, doet er volgens Van Veluw goed aan die stap niet uit te stellen en op tijd aan te kloppen bij een gespecialiseerde partij.

Van scan tot herstel: de aanpak in drie stappen

CS2 benadert het vraagstuk langs drie stappen: scan, assessment en management. De scan brengt kwetsbaarheden in de OT-omgeving in kaart, toegespitst

croonwolterendros.nl/cs2

Aangeboden door Dawn Technology

Cyberweerbaarheid begint waar je controle houdt Cyberweerbaarheid draait volgens Dawn Technology niet om alles dichttimmeren, maar om grip houden op wat er echt toe doet. Digitale risico’s inzichtelijk maken, kritieke systemen beschermen en gericht voorbereiden op dreigingen: dat is de kern van een pragmatische aanpak. Niet alles vervangen, maar investeren in wat telt, met diepgaande technische expertise en maatwerk als uitgangspunt. infrastructuur goed te kennen en direct met betrokken partijen te kunnen schakelen. Een goede voorbereiding kan de impact aanzienlijk beperken, en de verhoogde alertheid rond de NAVO-top illustreerde volgens Van der Gracht het belang daarvan. “Als je vooraf weet dat een verhoogde dreiging eraan komt, kun je je technisch team daarop voorbereiden en sneller maatregelen nemen.”

Van inzichten naar actie

Anouk van der Gracht, Director Regulatory Services, Dawn Technology

Begin bij de risico’s

De komst van NIS2 maakt cybersecurity nadrukkelijker tot een bestuurlijke verantwoordelijkheid. Voor veel middelgrote organisaties betekent dat een nieuwe blik op hun digitale weerbaarheid. Niet alleen de eigen systemen zijn relevant, want ook leveranciers, onderleveranciers en verouderde software kunnen de continuïteit bedreigen. “De eerste stap is weten waar de risico’s zitten”, zegt Anouk van der Gracht, Director Regulatory Services bij Dawn Technology. “Je moet eerst inzicht hebben in je risico’s: wat staat er werkelijk op het spel en hoe beoordeel je dat?” Onder andere een technische analyse van kritieke software en datastromen maakt zichtbaar waar kwetsbaarheden zitten en welke onderdelen essentieel zijn. Vooral legacy-systemen verdienen aandacht. Organisaties blijven ze soms gebruiken omdat ze nog functioneren. “Het kan een soort zwart gat worden”, stelt Van der Gracht. “Zolang het systeem blijft draaien, is er weinig aanleiding om te onderzoeken waar de kwetsbaarheden precies zitten.” Dat betekent niet per definitie dat het volledige IT-landschap moet worden vervangen, omdat het gericht beveiligen en waar nodig isoleren van kritieke onderdelen veel effectiever kan zijn.

Wat als het toch gebeurt?

Digitale dreigingen zijn daarnaast nooit volledig uit te sluiten. Daarom gaat cybersecurity niet alleen over het voorkomen van een aanval, maar ook over wat er gebeurt als die toch plaatsvindt. Daarbij is het belangrijk om de

Dawn Technology werkt daarbij met een aanpak in drie stappen. Eerst brengt een risicoassessment de belangrijkste kwetsbaarheden en kritieke systemen in kaart, en vervolgens wordt gekeken naar het herstelvermogen: hoe snel kan de organisatie na een incident weer operationeel zijn? Een back-up is pas waardevol als duidelijk is hoe snel die kan worden teruggezet. Kan dat binnen vier uur of duurt het een hele dag? Dat verschil kan grote gevolgen hebben voor de bedrijfsvoering. De derde stap is het aanpassen of vervangen van software en systemen die onvoldoende kunnen worden beveiligd. “Met die drie stappen kun je op een praktische manier de mogelijke impact van een incident terugbrengen”, aldus Van der Gracht.

Met drie stappen kun je de mogelijke impact terugbrengen Dawn Technology ondersteunt organisaties met interim-expertise, bewustwordingsprogramma’s en softwareaanpassingen. Ook patchmanagement en modernisering van legacy-systemen kunnen onderdeel zijn van de samenwerking. Deze praktische aanpak sluit ook aan bij de technische achtergrond van Dawn Technology. Het bedrijf ontwikkelt maatwerksoftware en helpt organisaties bij hosting en complexe IT-vraagstukken. Daardoor weet het bedrijf ook hoe de systemen die moeten worden beveiligd in de praktijk functioneren. Een standaardoplossing is daarom niet vanzelfsprekend de beste oplossing, verklaart Van der Gracht: “Je moet eerst goed weten waar een organisatie nu staat. Wat gebeurt er al en wat gaat goed? Van daaruit kun je

contentway.nl

gericht de volgende stap zetten. Dan krijg je mensen ook mee.” Bestaande tooling hoeft dus niet zonder meer te verdwijnen. Als een oplossing veilig en goed werkt, kan daarop worden voortgebouwd. Het voornaamste doel is risico’s verkleinen zonder de organisatie onnodig op haar kop te zetten.

Je moet eerst goed weten waar een organisatie nu staat Weerbaarheid als continu proces

Digitale weerbaarheid stopt nooit. Dreigingen veranderen, systemen worden aangepast en nieuwe afhankelijkheden ontstaan. Daarom moeten organisaties hun risico’s regelmatig opnieuw beoordelen. “Je moet voortdurend blijven verbeteren”, benadrukt Van der Gracht. Cybersecurity wordt zo onderdeel van de dagelijkse bedrijfsvoering en is niet alleen een kwestie van compliance. Ook AI en digitale soevereiniteit maken bewuste keuzes over data belangrijk. Waar staat gevoelige informatie, wie heeft toegang en hoeveel grip en eigenaarschap houdt een organisatie over AI-toepassingen en de besluitvorming? Dawn Technology helpt klanten de controle te behouden, via de juiste inrichting. Dat kan een Europese cloudoplossing zijn, een combinatie van cloud en onpremise of een gespreide infrastructuur. De keuze hangt af van de data, organisatie en risico’s. Volledige veiligheid is volgens Van der Gracht niet te garanderen. “Schade door een aanval is nooit helemaal uit te sluiten. Maar door je goed voor te bereiden, kun je de impact wel aanzienlijk beperken.”

Benieuwd hoe jouw digitale keten ervoor staat onder NIS2? Scan de QR-code voor meer informatie en plan een sparringsessie van 15 minuten met Anouk van der Gracht.

www.dawn.tech

Eerst vaststellen of de cyberwet voor jou geldt CYBERSECURIT Y MA AND

Op 1 oktober begint de Cybersecuritymaand, nog geen twee maanden nadat de Cyberbeveiligingswet (Cbw) in werking is getreden. Sinds 15 augustus 2026 geldt de Cbw voor duizenden organisaties in Nederland. Maar voor veel bedrijven komt nog vóór technische maatregelen, incidentprocedures of bestuurstrainingen een andere vraag: vallen zij überhaupt onder de wet? De Rijksinspectie Digitale Infrastructuur (RDI), een van de toezichthouders op de wet, wijst organisaties daarom nadrukkelijk op een hulpmiddel waarmee ze dat kunnen nagaan.

e Cbw is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet geldt voor essentiële en belangrijke organisaties in uiteenlopende sectoren, van energie en digitale infrastructuur tot maakindustrie, post- en koeriersdiensten en onderzoek. Welke organisaties precies onder de wet vallen, hangt onder meer af van sector, activiteiten en omvang.

Eigen verantwoordelijkheid

Organisaties zijn zelf verantwoordelijk voor die beoordeling. Om daarbij te helpen biedt de RDI de NIS2 Zelfevaluatie NL aan. Na het beantwoorden van vragen over onder meer producten, diensten en omvang krijgt een organisatie een indicatie of de Cbw van toepassing is, of zij als

essentieel of belangrijk geldt en of zij onder Nederlands toezicht valt. De tool voorziet duidelijk in een behoefte. Tussen januari 2023 en eind september 2025 werd deze 22.800 keer volledig ingevuld. Bij 58 procent van de bruikbare datasets was de uitkomst dat de organisatie onder de NIS2-regels viel. De RDI plaatst daar wel een belangrijke kanttekening bij: de uitkomst is een eerste indicatie en geen formeel besluit over de toepasselijkheid van de wet.

Verplichte registratie

Wie onder de Cbw valt, moet sinds 15 augustus ook geregistreerd zijn in het nationale entiteitenregister via Mijn.NCSC. nl. Dat is meer dan een administratieve

formaliteit. De registratie maakt het mogelijk dat overheid, toezichthouders en het sectorale Computer Security Incident Response Team (CSIRT) een organisatie kunnen bereiken met waarschuwingen, dreigingsinformatie en ondersteuning bij incidenten. Organisaties zijn zelf verantwoordelijk voor tijdige registratie én voor het actueel houden van hun gegevens. Daar blijft het niet bij. De Cbw kent ook een zorgplicht: organisaties moeten hun cyberrisico’s analyseren en passende technische, organisatorische en operationele maatregelen nemen. Significante incidenten moeten binnen 24 uur na ontdekking voor het eerst worden gemeld. Ook de beveiliging van leveranciers en andere partijen in de keten hoort nadrukkelijk bij de risicoanalyse.

Bestuur aan zet

Cyberbeveiliging kan daarmee niet uitsluitend bij de IT-afdeling worden neergelegd. Het bestuur blijft eindverantwoordelijk, ook wanneer taken zijn gedelegeerd aan bijvoorbeeld een CISO. Het bestuur moet de maatregelen in het kader van de zorgplicht goedkeuren en

voldoende kennis hebben om cyberrisico’s te beoordelen. Uitvoerende bestuurders moeten bovendien een passende training volgen.

Bestuurders kunnen cybersecurity niet delegeren Voor organisaties die nog niet zeker weten waar ze staan, is de eerste stap daarmee opvallend praktisch: vaststellen of de wet geldt, registreren als dat zo is en vervolgens in kaart brengen waar de grootste risico’s en tekortkomingen zitten. Wie daarna wil weten hoe de bestaande beveiliging zich tot de wettelijke eisen verhoudt, kan de NIS2-Quickscan gebruiken. Die geeft op basis van veertig vragen een beeld van de huidige maatregelen en mogelijke vervolgstappen. Tekst: Eltjo Nieuwenhuis NIS2 Zelfevaluatie NL: regelhulpenvoorbedrijven.nl/NIS-2-NL

Aangeboden door Mijndomein

Online veiligheid is nooit af

Krijg inzicht in je digitale veiligheid en ontdek hoe je grip houdt op je online risico’s. Mijndomein begon in 2003 vanuit de overtuiging dat iedereen een eigen plek op het internet moet kunnen creëren. Inmiddels beheert het hostingbedrijf meer dan 1 miljoen domeinnamen voor ruim 270.000 klanten en levert het hosting, e-mail, websites en digitale marketing. Voor CEO Dion Goudkuil draait die missie om meer dan techniek. “We ondernemen online, communiceren online en bouwen online aan onze reputatie. Dan moet de basis waarop je dat doet veilig en betrouwbaar zijn.” en andere gegevens kunnen worden gebruikt voor phishing, fraude en verdere cyberaanvallen. Onze klanten vertrouwen een deel van hun digitale aanwezigheid aan ons toe. Veiligheid is daarom geen project dat ooit af is, maar iets waaraan je iedere dag opnieuw werkt.”

Continu monitoren van gelekte data

Dion Goudkuil, CEO bij Mijndomein

Digitale veiligheid vraagt om voortdurende aandacht

Tijdens de cybersecuritymaand in oktober krijgt digitale veiligheid extra aandacht. Volgens Goudkuil mag die aandacht niet tijdelijk zijn. “Met de snelle ontwikkeling van AI en de toenemende digitale dreigingen wordt online beveiliging steeds belangrijker. Gelekte e-mailadressen, wachtwoorden

Voor Goudkuil betekent dat ook dat veiligheid begrijpelijk en toegankelijk moet blijven. Niet iedereen beschikt over een eigen IT-afdeling of securityspecialist, terwijl vrijwel iedere ondernemer afhankelijk is van e-mail, een website en andere digitale diensten. “Je moet mensen niet alleen wijzen op risico’s, maar ze ook helpen om daar iets aan te doen.” De recent gelanceerde Datalek Checker past in die visie. De dienst voert geen eenmalige controle uit, maar monitort continu of aan een domein gekoppelde gegevens voorkomen in bekende datalekken en beschikbare darkwebbronnen. Zodra gegevens worden aangetroffen, ontvangt de gebruiker een waarschuwing en kan die gericht actie ondernemen. “We willen niet alleen melden dát er een risico is, maar vooral helpen begrijpen wat er aan de hand is en welke actie iemand kan ondernemen. Cybersecurity moet mensen geen angst geven, maar meer grip.”

De volgende stap: AI, beveiliging en moderne hosting

Beveiliging is al een belangrijk onderdeel van de dienstverlening van Mijndomein. De organisatie is ISOgecertificeerd en werkt nauw samen met partners binnen haar ecosysteem om beveiliging verder te versterken. Zo werkt Mijndomein aan de verdere ontwikkeling van producten rond security, AI en moderne hosting. Daarbij gaat het niet alleen om nieuwe technologie, maar vooral om de vraag hoe die technologie klanten praktisch verder helpt. “AI maakt het steeds eenvoudiger om ideeën online tot leven te brengen. Dat biedt enorme kansen. Onze rol is ervoor te zorgen dat zoveel mogelijk mensen daarvan kunnen profiteren, zonder dat technologie of veiligheid onnodige drempels opwerpen.” De ontwikkeling van AI verandert volgens Goudkuil niets aan de kern van Mijndomein. “Iedere online missie verdient een eigen plek: een plek waar je kunt bouwen en groeien en waar veiligheid serieus wordt genomen. Dat is de plek die wij met Mijndomein willen bieden.”

Controleer je data met de Datalek Checker

Aangeboden door Infor

Van slaapwandelen in de cloud naar agentic AI Wie zijn cloudstrategie op de automatische piloot laat draaien, komt zelden verder dan waar hij vandaag al staat. Dat blijkt uit recent onderzoek van Infor onder 150 Benelux-organisaties. Veel bedrijven denken strategisch met de cloud bezig te zijn, maar bewegen in werkelijkheid zonder duidelijk doel. Infor noemt dat slaapwandelen. Senior director sales Trudy Cazemier ziet de Benelux achterblijven. “Qua cloudadoptie en het hebben van een cloudstrategie blijft de Benelux achter bij de Nordics en veel andere regio’s in de wereld. De Benelux investeert meer in technologie, maar de vooruitgang en verbetering van de productiviteit blijven achter.” Overstappen op zich is dan ook geen doel, benadrukt ze. “Het echte onderscheid maak je door daarna in beweging te blijven. Je moet gaan innoveren en het inbedden in je strategie.” Hein Kivits & Trudy Cazemier, Countrymanager & Senior director sales, Infor

nfor is wereldwijd leverancier van sectorspecifieke cloudsoftware en telt 60.000 klanten. Het onderzoek naar de cloudstrategie van organisaties in de Benelux voerde het bedrijf uit in samenwerking met Radar Group en platformpartner AWS. Het idee kwam vanuit een andere regio, vertelt countrymanager Hein Kivits. “Onze collega’s in de Nordics hebben kortgeleden onderzocht hoe bedrijven die een cloudstrategie hebben, daarmee omgaan. Wij vonden de resultaten interessant en waren benieuwd wat dat onderzoek in de Benelux zou opleveren.”

Bewegen zonder doel

“Bedrijven zeggen vaak een cloudstrategie te hebben, maar in werkelijkheid blijkt dat veelal niet het geval te zijn”, aldus Kivits. “Het feit dat je in de cloud zit, wil nog niet zeggen dat je er op een strategische manier mee omgaat en optimaal gebruikmaakt van de mogelijkheden die het biedt.” Vandaar de term slaapwandelparadox. “Als je slaapwandelt, ben je in beweging, maar je gaat nergens bewust naartoe”, zegt Kivits. “Dat is ook zo wanneer je naar de cloud migreert zonder een duidelijk doel. Je denkt strategisch bezig te zijn, maar benut de mogelijkheden van de cloud onvoldoende. Dat kost geld: je hebt geïnvesteerd in technologie, maar staat uiteindelijk gewoon stil.”

Eerst het doel, daarna het platform en de tooling Van systeem van registratie naar systeem van actie

Die beweging sluit aan op een bredere verschuiving die Infor ziet in de markt. Onderzoeksbureau Gartner introduceerde onlangs het begrip Enterprise Resource Execution, ERX: de volgende generatie ERP, die niet alleen vastlegt wat er gebeurd is, maar ook handelt op wat er nu gebeurt. Waar traditionele ERP-systemen functioneren als een systeem van registratie, bouwt ERX agentic AI, governance en realtime data direct in de kern. Gartner onderscheidt daarbij vijf volwassenheidsfasen, van ad hoc ERP tot autonome ERX. Infor stelt dat het al langer op deze koers zit. De basis hiervan wordt gevormd door data, legt Kivits uit. “Data inzetten, processen optimaliseren en vervolgens repetitieve taken laten automatiseren door AI-agents: dat is waar Infor bedrijven naartoe wil begeleiden. De mens blijft daarbij aan het roer en neemt de uiteindelijke beslissingen. Dan krijg je echt een versnelling van je bedrijfsprocessen.” Volgens Infor levert agentic AI pas echt waarde op wanneer het is ingebed in sectorspecifieke kennis. “We noemen onszelf de cloud complete company maar eigenlijk

contentway.nl

zijn we een Industry AI bedrijf ”, zegt Kivits. “We hebben veel specifieke kennis van de sectoren waarin we actief zijn en combineren dat met het solide platform van AWS, dat onze ontwikkeling versnelt.” In de Benelux richt Infor zich vooral op de maakindustrie, distributie en groothandel, de voedingsmiddelenindustrie en mode. “Wij kiezen als technologiebedrijf heel duidelijk voor bepaalde sectoren”, aldus Cazemier. “We willen businesswaarde makkelijk consumeerbaar maken voor klanten.”

Het feit dat je in de cloud zit, is niet genoeg Het bedrijf implementeert deels zelf en werkt samen met een nationaal en internationaal partnernetwerk. “We doen niet alles, maar dankzij een integratielaag koppelen we makkelijk met best-of-breed applicaties”, vult Kivits aan. Praktisch advies is er ook. Kivits raadt organisaties aan eerst een strategie te bepalen. “Waar wil je naartoe? Op basis daarvan maak je de keuze voor het platform en de tooling. Kies niet alleen tools met veel functionaliteiten, maar kijk vooral naar concrete use cases.” Hij adviseert de strategie minstens twee keer per jaar te herijken, bij voorkeur met een extern adviesbureau of leverancier. “Anders loop je alsnog het risico om een slaapwandelaar te worden.”

Het echte onderscheid maak je door in beweging te blijven Data inzetten, processen optimaliseren en vervolgens AI het werk laten overnemen: dat is waar Infor bedrijven naartoe wil begeleiden. Niet als eindpunt van een migratie, maar als continu traject richting een organisatie die wakker, doelgericht en autonoom haar processen aanstuurt.

infor.com

Aangeboden door SPIE

Kritieke infrastructuur vraagt om meer dan cybersecurity

Nederland digitaliseert zijn kritieke infrastructuur in hoog tempo. Bruggen, tunnels, sluizen en energienetten sturen steeds meer processen aan via sensoren en slimme besturing. Dat maakt objecten efficiënter, maar vergroot ook de afhankelijkheid van techniek die kan uitvallen, gehackt kan worden of zonder stroom kan komen te zitten. afhankelijkheden zitten, welke functies altijd beschikbaar moeten blijven en wat de gevolgen zijn als één onderdeel niet beschikbaar is.”

Jacco Saaman, Directeur business development, sales & innovatie, SPIE Nederland

De vraag is daarom niet alleen hoe een systeem wordt beveiligd. Minstens zo belangrijk is wat er gebeurt als die beveiliging tekortschiet. Kan de maatschappelijke functie dan beschikbaar blijven en hoe snel kan het systeem worden hersteld? Voor Jacco Saaman, directeur business development, sales & innovatie bij SPIE Nederland, gaat dit vraagstuk verder dan cybersecurity alleen. “Nederland wordt steeds afhankelijker van digitaal aangestuurde infrastructuur. De continuïteit daarvan raakt direct aan de werking van onze samenleving. We moeten dus niet alleen kijken hoe we systemen beveiligen, maar ook wat er gebeurt als een systeem toch uitvalt.” Volgens Saaman vraagt dat om een bredere strategische blik. “Weerbaarheid begint bij de manier waarop we naar infrastructuur kijken. Niet als een verzameling afzonderlijke objecten, maar als samenhangende systemen die gedurende hun hele levensduur beschikbaar, veilig en beheersbaar moeten blijven.”

Van strategie naar systeemintegratie

Hoe die visie er in de praktijk uitziet, blijkt bij tunnelprojecten. Een tunnel is geen verzameling afzonderlijke installaties, maar een integraal technisch systeem. Systemen van verschillende leveranciers moeten samen één veilige, beschikbare en beheersbare verkeersfunctie realiseren. Jurgen van den Bos, operationeel manager bij SPIE, benadrukt dat cybersecurity al in het voorontwerp onderdeel moet zijn van dat systeemdenken. “Voor ons begint dit met scherp inzicht in de samenhang tussen systemen”, zegt hij. “Je moet vooraf weten waar

Volgens Van den Bos vraagt dat om het vroeg bij elkaar brengen van ontwerp, uitvoering, testen en beheer. “In tunnelprojecten moet je aan de voorkant met de opdrachtgever, leveranciers en beheerders scherp krijgen wat echt kritisch is en welke scenario’s je moet kunnen opvangen. Alleen dan kun je aantonen dat het systeem als geheel betrouwbaar blijft functioneren.” Daarom worden afhankelijkheden niet alleen ontworpen, maar ook geanalyseerd, getest en beheerst. Cybersecurity krijgt binnen tunnelprojecten inmiddels een vaste plek in ontwerp, uitvoering en beheer.

Fysieke en digitale dreigingen komen samen

Een crimineel hoeft geen wachtwoord te kraken om schade aan te richten. Een doorgezaagde hoogspanningslijn kan een systeem net zo goed platleggen. Ook drones, sabotage, beschadigde kabels of verlies van stroom kunnen gevolgen hebben voor de continuïteit van een installatie. “Cybersecurity gaat niet alleen over computers en netwerken”, zegt Saaman. “De digitale en fysieke werkelijkheid zijn met elkaar verbonden. Een aanval op het ene domein kan direct gevolgen hebben in het andere.” Organisaties moeten risico’s daarom niet alleen digitaal, maar ook fysiek en operationeel beoordelen.

zijn en wat de gevolgen zijn als deze op straat komen te liggen. Die analyse gebeurt aan het begin, samen met de opdrachtgever.

Ontwerp bepaalt de weerbaarheid

Volgens Saaman wordt de weerbaarheid van infrastructuur in belangrijke mate bepaald door ontwerpkeuzes. “Als je weerbaarheid pas laat in een project expliciet maakt, beperk je de ruimte om nog fundamentele keuzes te maken. Juist in de ontwerpfase worden de belangrijkste beslissingen genomen over beschikbaarheid, beheersbaarheid en verantwoordelijkheden.” Dat is ook belangrijk bij bestaande infrastructuur. Installaties gaan vaak korter mee dan de constructie. Terwijl een tunnel tientallen jaren kan meegaan, moeten installaties in die periode meerdere keren worden vernieuwd of gemoderniseerd om te blijven voldoen aan de eisen voor veiligheid, beschikbaarheid, onderhoudbaarheid en cybersecurity.

Datagedreven onderhoud helpt de staat van installaties te volgen, onderhoud slimmer te plannen en hinder te beperken.

Voor Saaman is dat de bredere strategische opgave voor SPIE Nederland. “Het gaat om de verbinding tussen techniek, mensen, processen en verantwoordelijkheid. We moeten niet alleen technische systemen realiseren, maar samen met opdrachtgevers zorgen dat essentiële functies ook onder moeilijke omstandigheden beschikbaar blijven.” Wie dat vanaf de ontwerptafel meeneemt, bouwt niet alleen veiliger, maar ook infrastructuur die overeind blijft wanneer het erop aankomt.

Verantwoordelijkheid in de keten blijft bestaan

Leon van der Valk, CISO bij SPIE Nederland, benadrukt dat taken en bevoegdheden kunnen worden verdeeld, maar dat verantwoordelijkheid niet zomaar uit de keten verdwijnt. “Taken en bevoegdheden kun je delegeren, maar accountability en responsibility niet”, zegt Van der Valk. “De opdrachtgever blijft verantwoordelijk voor de continuïteit van zijn organisatie, ook wanneer de uitvoering bij een leverancier of opdrachtnemer ligt.” Nieuwe weten regelgeving, waaronder de Cyberbeveiligingswet en de Cyber Resilience Act, maakt de eisen aan digitale veiligheid en weerbaarheid concreter. SPIE werkt daarom met rubricering van informatie. Per project wordt bepaald welke gegevens vertrouwelijk

Jurgen van den Bos, Operationeel manager, SPIE Nederland

spie-nl.com

Aangeboden door Simmons & Simmons

contentway.nl

Bestuurders zijn uitdrukkelijk verantwoordelijk voor cybersecurity-compliance Europese cybersecuritywetgeving stapelt zich op. NIS2, DORA, de Cyber Resilience Act (CRA), de Cyber Security Act: organisaties worden geconfronteerd met deels overlappende verplichtingen, verschillende toezichthouders en uiteenlopende implementatietermijnen. Bestuurders moeten grip houden op een juridisch landschap dat steeds complexer wordt. Ook NIS2 heeft inmiddels grote impact, aldus Tempelman. Het aantal sectoren met cybersecurityverplichtingen is flink uitgebreid en bedrijven die onder de Cyberbeveiligingswet vallen, worden niet langer individueel aangewezen, maar moeten zelf bepalen of zij aan de wettelijke criteria voldoen.

Bestuursverantwoordelijkheid staat centraal Jaap Tempelman & Christopher Götz, Partners, Simmons & Simmons

Simmons & Simmons adviseert organisaties wereldwijd over cybersecurity-compliance en begeleidt hen bij cyberincidenten. Partners Jaap Tempelman (Amsterdam) en Christopher Götz (München) zien in de praktijk hoeveel moeite organisaties hebben om het overzicht te bewaren.

DORA en NIS2 leggen de verantwoordelijkheid expliciet bij het bestuur. Onder NIS2 kunnen toezichthouders individuele bestuurders persoonlijk aanspreken, tot op CEO-niveau. De Nederlandse Cyberbeveiligingswet, die NIS2 implementeert en inmiddels van kracht is, voegt persoonlijke boetes toe voor bestuurders die hun trainingsverplichtingen niet nakomen.

Götz maakt onderscheid tussen twee typen regulering. “Aan de ene kant heb je regelgeving op entiteitsniveau, zoals NIS2 en DORA, die organisaties als geheel verplichten tot bepaalde beveiligingsniveaus. Aan de andere kant heb je productwetgeving, zoals de CRA en bijvoorbeeld ook de AI Act, die eisen stellen aan specifieke producten.” Samen met allerlei sectorspecifieke regels ontstaat zo een lappendeken aan verplichtingen waar bedrijven zonder juridische ondersteuning nauwelijks doorheen komen.

Wie nu investeert in compliance, voorkomt straks hogere kosten, operationele schade en reputatieverlies

Voor organisaties die in meerdere landen actief zijn, komt daar een laag bij. Veel regelgeving is grensoverschrijdend, maar wordt per lidstaat anders geïmplementeerd en gehandhaafd. Simmons & Simmons bundelt daarom expertise uit verschillende jurisdicties in één geïntegreerd advies.

De boodschap van beide partners is helder: “Neem het serieus. Non-compliance is geen optie.” Een auditor zei het tijdens een recent DORA-traject treffend: de kosten die een organisatie de afgelopen jaren heeft bespaard door onvoldoende te investeren in compliance, moet zij nu inhalen. Wie te lang wacht, riskeert bovendien sancties.

Van de entiteitsgerichte regimes heeft DORA volgens Tempelman momenteel de meest directe impact. DORA geldt voor een groot deel van de financiële sector en is sinds januari 2025 van kracht. “We begeleiden crypto-aanbieders die de Europese markt betreden en oprecht verrast zijn door het detailniveau van de DORA-vereisten”, aldus Tempelman. “Daarbij toetst toezichthouder AFM niet alleen op papier, maar controleert ook de operationele implementatie, contractuele afspraken met derde partijen en uitgevoerde audits.”

Incidentmelding: een onderschatte verplichting

Götz benadrukt dat dit geen theoretische dreiging is. “We zien dat bestuurdersaansprakelijkheidsverzekeringen steeds minder dekking bieden bij non-compliance. Je kunt niet zeggen: ik heb een verzekering, dus ik ben gedekt.”

een incidentmelding onder de CRA. We dienden de melding in via het daarvoor bestemde portaal en kregen vrijwel onmiddellijk een inhoudelijk antwoord terug. De autoriteiten zijn er klaar voor. Dit is geen papieren exercitie meer.” De Europese Commissie werkt volgens Tempelman aan één centraal meldpunt voor cyberincidenten. Dat vereenvoudigt de uitvoering, maar lost de verschillen in drempels niet op.

Derde partijen en concentratierisico

Organisaties onderschatten structureel hun afhankelijkheid van externe IT-leveranciers. NIS2 en DORA verplichten hen hun toeleveringsketen in kaart te brengen en contractueel te borgen dat leveranciers aan de standaarden voldoen. Dat stuit in de praktijk op weerstand. “Grote hyperscalers werken doorgaans met standaardcontracten”, aldus Götz. “Een bestaande financiële instelling met specifieke DORA-vereisten kan die niet zomaar accepteren, zeker niet als ze weet hoe streng toezichthouders als BaFin in Duitsland de naleving beoordelen.” Tempelman wijst daarnaast op concentratierisico. De AFM vroeg een financiële partij in een lopend licentietraject om directe contracten af te sluiten met ICTdienstverleners, waaronder hyperscalers, in plaats van mee te liften op het Amerikaanse moedercontract. Europese cloudproviders bestaan, maar halen nog niet de schaal van de grote Amerikaanse partijen. De voorgestelde Cloud & AI Development Act moet daar verandering in brengen en stelt bovendien eisen aan digitale soevereiniteit. Voor kleinere en middelgrote organisaties ziet Tempelman een pragmatische route: investeer in gecertificeerde, gestandaardiseerde producten van betrouwbare ICT-aanbieders. “Dat maakt de complianceinvestering beheersbaarder.” De kernboodschap van beide partners: “Wacht niet. Wie nu investeert in compliance, voorkomt straks hogere kosten, operationele schade en reputatieverlies. En het bestuur is hiervoor aan de haak.”

Een complex uitvoeringsaspect is incidentmelding. NIS2, DORA, de CRA, de CER en de AVG kennen elk eigen melddrempels, tijdlijnen en bevoegde autoriteiten. De termijnen zijn globaal vergelijkbaar, maar per regime verschilt wanneer een incident meldingswaardig is en aan wie gemeld moet worden. Götz illustreert de urgentie met een recente praktijkervaring. “We hebben een klant begeleid bij

simmons-simmons.com

Aangeboden door BullWall

AI versnelt de cyberdreiging – en brengt die bij bedrijven binnen AI maakt cyberaanvallen goedkoper en makkelijker op te schalen. Tegelijkertijd verwacht de Deense militaire inlichtingendienst dat Rusland zijn hybride oorlog tegen het Westen de komende maanden zal opvoeren, onder meer met destructieve cyberaanvallen. Maar de technologie brengt ook een nieuw risico met zich mee wanneer bedrijven AI toegang geven tot hun eigen systemen en data. Daarom moet IT-beveiliging volgens BullWall zo worden ingericht dat rekening wordt gehouden met schadelijke incidenten en de schade sneller wordt beperkt dan een mens kan reageren. Ongeveer 1.200 AI-agents kregen tijdens een beveiligingstest bij OpenAI de opdracht kwetsbaarheden in software te vinden. Gaandeweg begonnen de AIagents samen te werken, taken te verdelen en berichten uit te wisselen, hoewel het systeem niet was ingericht op onderlinge coördinatie. Uiteindelijk drongen ze binnen op het AI-platform Hugging Face. Het was geen criminele aanval. Toch illustreert dit volgens Christian Have, CTO van het Deense cybersecuritybedrijf BullWall, een nieuwe werkelijkheid: AI kan taken uitvoeren met een snelheid en mate van zelfstandigheid waarop de bestaande beveiligingssystemen van bedrijven niet zijn berekend. “We leggen een onvoorspelbare laag over een ITlandschap dat voor mensen is ontworpen. Een medewerker met de juiste rechten kan vrijelijk bestanden verwijderen, maar doet dat zelden. Maar wat gebeurt er als we een AI-agent dezelfde systeemrechten geven als menselijke medewerkers? Die handelt veel sneller en op manieren die we helemaal niet hebben voorzien. De beveiligingstest bij OpenAI laat zien hoe mis het kan gaan”, vertelt Christian Have.

Een nieuw front in de strijd om data

De dreiging komt nu van twee kanten. Van buitenaf gebruiken professionele ransomwaregroepen AI om kwetsbaarheden te vinden, gerichte aanvallen te ontwikkelen en in kortere tijd meer organisaties te treffen. Taken waarvoor vroeger veel specialisten en middelen nodig waren, kunnen nu worden geautomatiseerd. Met andere woorden: de kosten dalen, terwijl het volume stijgt. Nu aanvallen op industriële schaal kunnen worden uitgevoerd, kunnen bedrijven, overheden en vitale infrastructuur doelwit worden. Voor nutsbedrijven kan een succesvolle aanval in het uiterste geval de levering van bijvoorbeeld water, warmte of elektriciteit verstoren. De dreiging van buitenaf is bovendien niet langer alleen crimineel. De Deense militaire inlichtingendienst stelde op 24 september dat Rusland zijn hybride oorlog de komende maanden zal intensiveren met frequentere aanvallen op het Westen en de NAVO, met grotere gevolgen voor de getroffen landen dan voorheen. Volgens de dienst kan dat destructieve cyberaanvallen omvatten met ernstige gevolgen voor vitale maatschappelijke functies. Rusland probeert nu rechtstreeks te verhinderen dat steun aan Oekraïne zijn bestemming bereikt, bijvoorbeeld door bedrijven in de defensie-industrie of spoorwegen die militair materieel vervoeren te saboteren. Tegelijkertijd is het onderscheid tussen statelijke actoren en criminele groepen vervaagd. Volgens de Britse politiedienst National Crime Agency zetten de Russische inlichtingendiensten vóór 2019 de ransomwaregroep Evil Corp in om cyberaanvallen op NAVO-landen uit te voeren, en in juli stelde de EU sancties in tegen een netwerk van cybercriminelen, hacktivisten en private ondernemingen die volgens de EU in opdracht van Rusland of onder Russische controle werken. “De Russische staat gebruikt vooral wipers tegen kritieke infrastructuur. Ransomwaregroepen vallen bedrijven in alle sectoren, groot en klein, aan”, zegt Christian Have. Wipers zijn programma’s die data verwijderen of overschrijven, zodat die niet kunnen worden hersteld. Tegelijkertijd ontstaat een nieuwe dreiging van binnenuit. In hun streven naar efficiëntie en concurrentiekracht geven bedrijven en publieke

instellingen AI-tools toegang tot documenten, databases en bedrijfssystemen. Die toegang kan legitiem zijn en alle normale beveiligingscontroles doorlopen. Maar als een agent zijn opdracht verkeerd begrijpt, wordt gemanipuleerd of onverwacht handelt, kan deze grote hoeveelheden data beschadigen of verwijderen. Organisaties kunnen niet simpelweg nee zeggen tegen AI, meent Christian Have. De voordelen zijn te groot en concurrenten ontwikkelen zich te snel. Wie niet meegaat, dreigt als bedrijf achterop te raken. Bestuurders moeten volgens Have accepteren dat meer beveiligingslagen het risico niet langer wegnemen. “Je moet je beveiliging inrichten voor wanneer er iets gebeurt, niet voor als het gebeurt. Het gaat er zowel om de kans op een aanval te verkleinen als de gevolgen te beperken wanneer er toch iets doorheen glipt”, zegt hij.

Als de aanval versnelt, wordt de mens een knelpunt

Veel beveiligingsprocedures zijn erop gebaseerd dat een systeem verdachte activiteit registreert, waarna een mens het alarm onderzoekt en beslist wat er moet gebeuren. Dat wordt human in the loop genoemd. Het model biedt menselijke controle, maar kost tijd. Dat is een groeiend probleem wanneer ransomware bestanden in enkele seconden kan versleutelen en AI-agents data sneller kunnen wijzigen of verwijderen dan een beveiligingsmedewerker de situatie kan beoordelen. Wanneer de potentiële schade groot is en snel ontstaat, moet de reactie daarom automatisch in gang kunnen worden gezet, vindt BullWall. “Aanvallers gedragen zich als gewone gebruikers. Dat geldt zowel voor de geavanceerde aanvallen waarover de Deense militaire inlichtingendienst spreekt als voor ransomware in het algemeen. Daardoor detecteert veel van de monitoring bij bedrijven de schade niet. Je moet beveiligingsexpert zijn om te bepalen of de wijzigingen die een gebruiker in bestanden aanbrengt kwaadaardig zijn, en er is geen tijd om op een beoordeling te wachten wanneer een moderne aanval honderdduizenden bestanden per minuut kan vernietigen”, zegt Christian Have. De oplossing van het bedrijf monitort de activiteit rond de data van de organisatie en is permanent geautoriseerd om in te grijpen bij een destructief incident. Het systeem kan schadelijke schrijfacties onderbreken en gecompromitteerde gebruikers of apparaten isoleren. De mens blijft on the loop en kan het verloop volgen, maar het ingrijpen wacht niet op handmatige goedkeuring. Volgens Christian Have maakt het geen verschil of een aanvaller of een AI-agent achter de schade zit. “Wanneer een account in korte tijd veel bestanden verwijdert, overschrijft of versleutelt, detecteert het systeem dat direct en moet het account onmiddellijk worden gestopt. Als een ingelogde gebruiker midden in de nacht bestanden begint te vernietigen, merken de meeste bedrijven niets.” “Wat mij aantrok in BullWall, is het probleem dat het bedrijf ervoor heeft gekozen op te lossen. Wanneer ransomware toeslaat, worden klanten geconfronteerd met stilgelegde bedrijfsprocessen, moeilijke beslissingen en reële druk op de bedrijfsvoering. BullWall bestaat om juist die verstoring te voorkomen”, zegt Christian Have. BullWall beschermt tegenwoordig meer dan één miljoen zakelijke gebruikers. Naast het stoppen van de schade biedt de oplossing informatie voor de vervolgstappen: welke data zijn getroffen, welke stappen zijn nodig en wanneer kan

Christian Have, CTO, BullWall

de organisatie verantwoord opnieuw opstarten? Want als je te vroeg herstelt, loop je het risico de aanvaller opnieuw binnen te laten en nog meer schade aan te richten.

Europese veiligheid vereist Europese controle

Voor Europese bedrijven en overheden draait weerbaarheid ook om de vraag wie de technologie controleert waarvan zij afhankelijk zijn. Een groot deel van de Europese cloud- en AI-infrastructuur wordt geleverd door Amerikaanse bedrijven en valt daarmee onder Amerikaanse wetgeving. BullWall is in Europa ontwikkeld, is Europees eigendom en kan functioneren zonder een Amerikaanse cloudleverancier. Tegelijkertijd bouwt het bedrijf zijn systemen zo dat het onderliggende AI-model vervangbaar is. Klanten moeten kunnen kiezen voor een Europees of open AI-model en dit soms op hun eigen infrastructuur kunnen draaien. Dat betekent niet dat bedrijven de sterkste Amerikaanse modellen links moeten laten liggen. Maar de afhankelijkheid moet een bewuste keuze zijn en geen technische lock-in, luidt het advies van Christian Have. Want wanneer zowel externe aanvallen als interne AIsystemen sneller kunnen handelen dan mensen, gaat maatschappelijke veiligheid niet langer alleen om het buitenhouden van de dreiging. Het gaat er ook om de controle te behouden wanneer die eenmaal binnen is.

Bron: Deense Militaire Inlichtingendienst, “Vurdering af truslen fra Rusland”, 24 september 2026: https://www.fe-ddis.dk/globalassets/fe/ dokumenter/2026/trusselsvurderinger/-vurderingaf-truslen-fra-rusland-.pdf Bron: UK National Crime Agency, “Evil Corp: Behind the Screens”, oktober 2024: https://www.nationalcrimeagency.gov.uk/whowe-are/publications/732-evil-corp-behind-thescreens/file Bron: EU (EEAS), “Exposing Russia’s malicious cyber ecosystem: the EU adopts its biggest cyber sanctions package”, 14 juli 2026: https://www.eeas.europa.eu/eeas/exposingrussias-malicious-cyber-ecosystem-eu-adopts-itsbiggest-cyber-sanctions-package_en

bullwall.com

contentway.nl

Aangeboden door Beyonder Group

Veiligheid begint vóór de eerste regel code

Cybersecurity werkt pas als het samenhangt: van architectuur tot dagelijks beheer. In de praktijk stapelen losse securitytools zich juist op en blijft digitale veiligheid te vaak een IT-aangelegenheid, terwijl het dreigingslandschap razendsnel verschuift en aanvallers zelf AI inzetten om aanvallen te automatiseren en op te schalen.

Wouter van Outersterp, Tech lead en software architect, Beyonder Group

Vergeten dingetjes als grootste risico

Wilbert van Beek, managing director bij Defenced, ziet in de praktijk dat kwetsbaarheden zelden zitten waar organisaties ze verwachten. “Wij vinden zelden een briljant aanvalspad op basis van standaardkwetsbaarheden. Wat we heel vaak vinden, zijn vergeten dingetjes. Een vergeten DNS-record, achterstallig onderhoud, een netwerksegment dat ooit gescheiden was maar ondertussen stilletjes samengevoegd is omdat het even onhandig uitkwam.” Achter die technische details schuilt een organisatorisch probleem. Wie merkt het als een configuratie afwijkt van de oorspronkelijke opzet? Wie besluit wanneer iets urgent genoeg is om direct aan te pakken? Van Beek: “Security moet onderdeel zijn van je totale changeproces. Te vaak zien we dat er snel iets tussendoor gebeurt omdat er doorgewerkt moet worden, en dat achteraf niet goed wordt gedocumenteerd en gecontroleerd of het voldoet aan het securitybeleid.” Dat vraagt om andere profielen dan de traditionele beheerders, en om voldoende capaciteit om mee te denken vanuit verdediging én aanval.

Beyonder en Defenced, beide onderdeel van de Beyonder Group, brengen twee disciplines samen die in de praktijk te vaak gescheiden opereren. Wouter van Outersterp, tech lead en software architect bij Beyonder, legt uit hoe zijn team security meeneemt vanaf de eerste dag van een project. “Het begint al voor de eerste regel code. In de discovery-fase verzamelen we non-functionals: de security-eisen die de klant stelt, aangevuld met best practices die we samen met Defenced afstemmen. Dat wordt het fundament voor het architectuurontwerp.”

De drempel om een aanval uit te voeren is nooit zo laag geweest

Digitale versnelling en veiligheid zijn geen tegenpolen

Sinds 15 augustus 2026 is de Cyberbeveiligingswet in Nederland van kracht, waarmee de Europese NIS2richtlijn is geïmplementeerd. Van Beek is positief over de wet, maar nuanceert de betekenis ervan. “Het zet bestuurders aan hun verantwoordelijkheid. Die hadden te vaak de neiging om cybersecurity als een IT-feestje te zien. Dat is absoluut winst.” Tegelijk waarschuwt hij voor schijnzekerheid. “Een organisatie kan compliant zijn, misschien zelfs ISO 27001-gecertificeerd, en toch onvoorbereid zijn op een aanval. Een aanvaller houdt zich niet aan de normen die wij hebben gesteld.”

Dat fundament vertaalt zich in concrete keuzes. Hoe wordt toegang geregeld? Wat staat er open naar het internet en wat niet? Welke scheiding is er tussen systemen en datalagen? Van Outersterp: “Je maakt aan de voorkant scherpe keuzes in het ontwerp van je infrastructuur, zodat het aanvalsoppervlak zo klein mogelijk is.” Die keuzes worden vervolgens gevalideerd via geautomatiseerde tests, peerreviews en pentests door Defenced.

NIS2 als vloer, niet als plafond

Van Beek vergelijkt de situatie met andere veiligheidsprotocollen. Veel organisaties oefenen twee keer per jaar een brandevacuatie, weten waar de hesjes hangen en controleren of er iemand nog op het toilet zit. “Een vergelijkbare oefening voor een cyberincident is zelden

gemeengoed, terwijl de kans op digitale verstoring vele malen groter is dan op brand. Die mindshift moet nog plaatsvinden. Daarvoor heb je management nodig dat dit niet alleen belangrijk vindt, maar ook afdwingt.”

Het menselijk oordeel blijft onmisbaar op belangrijke beslismomenten

AI als wapen en als schild

Kunstmatige intelligentie verandert zowel de aanvalsals verdedigingskant van cybersecurity. Van Beek is helder over de dreiging: “De drempel om een aanval uit te voeren is nooit zo laag geweest. Vroeger vereiste dat vakmanschap. Nu is het toegankelijk voor vrijwel iedereen die een toetsenbord kan bedienen.” Defenced verwerkt dagelijks bijna duizend meldingen. Zonder AI is dat niet te behappen. “Wij zetten AI in onze monitoringtooling in om ons beter te verdedigen, maar het menselijk oordeel blijft onmisbaar op de belangrijke beslismomenten.” Van Outersterp beschrijft hoe AI ook het ontwikkelproces fundamenteel heeft veranderd. “We hebben ons proces echt moeten herontwerpen. Omdat het sneller gaat, implementeren we meer geautomatiseerde validaties in de opleverpipeline. Maar alle code die door AI wordt geschreven, wordt alsnog door vier ogen gecontroleerd. Dat is geen optie, dat is een vereiste.” Zeker omdat beheerders en developers moeten begrijpen wat er gebeurt wanneer er iets misgaat. Digitale versnelling en veiligheid zijn geen tegenpolen. Daar staan Beyonder en Defenced samen voor. Organisaties die security integreren vanaf architectuur tot dagelijks beheer, bouwen niet alleen veiliger, ze bouwen ook slimmer. Wachten tot het misgaat, is geen strategie.

beyonder.eu

Aangeboden door Previder

Van technische maatregel naar bestuurlijke verantwoordelijkheid

Cybersecurity staat al jaren op de agenda van bestuurskamers, maar in de praktijk blijft het vaak een ITaangelegenheid. Nieuwe wetgeving maakt daar een einde aan. Organisaties moeten passende maatregelen nemen om cyberrisico’s te beheersen, waarbij het bestuur verantwoordelijk is voor het goedkeuren van de maatregelen en het toezicht op de uitvoering daarvan. Ook moeten organisaties kunnen aantonen dat zij aan hun verplichtingen voldoen. Op 15 augustus 2026 is de Nederlandse Cyberbeveiligingswet (Cbw) in werking getreden. Deze wet zet de Europese NIS2-richtlijn om in nationale wetgeving en legt verplichtingen op rond risicobeheersing, incidentmelding en registratie. Opvallend is de nadruk op bestuurlijke verantwoordelijkheid. Het is niet langer voldoende om alleen maatregelen te treffen. Organisaties moeten ook inzichtelijk kunnen maken hoe zij aan hun verplichtingen voldoen. Daarnaast moet het bestuur actief toezien op de uitvoering. Niet elke organisatie valt rechtstreeks onder de wet. Ook leveranciers die zelf niet onder de wet vallen, kunnen ermee te maken krijgen. Klanten kunnen aanvullende beveiligingsafspraken maken en informatie vragen over hun cyberweerbaarheid. De praktische reikwijdte is daarmee groter dan de wet op papier doet vermoeden. Sebastian Beijersbergen, presales consultant bij Previder, ziet dat veel organisaties de wet nog als een complianceexercitie beschouwen. “Dat is begrijpelijk, maar het mist de kern. De Cbw dwingt je om na te denken over wat je écht wilt beschermen en welk risico je bereid bent te accepteren.” Previder is een IT-dienstverlener gespecialiseerd in cloud, security en managed services. Vanuit die rol helpt het bedrijf organisaties om cybersecurity niet alleen technisch in te richten, maar ook bestuurlijk hanteerbaar te maken.

Risico’s herkennen voordat ze toeslaan

De eerste stap is het in kaart brengen van risico’s. Dat klinkt vanzelfsprekend, maar in de praktijk ontbreekt bij veel organisaties een gestructureerd overzicht van kwetsbaarheden, kritieke systemen en de samenhang daartussen. Beijersbergen: “We zien regelmatig dat organisaties al veel maatregelen hebben genomen, maar niet weten of die maatregelen ook het juiste beschermen. Er is beleid, maar geen samenhangend beeld.” Previder hanteert daarvoor een risicogestuurde aanpak, waarbij eerst wordt vastgesteld welke processen en systemen bedrijfskritisch zijn. Pas daarna wordt bepaald welke beveiligingsmaatregelen prioriteit verdienen. Dat

voorkomt dat budgetten worden besteed aan oplossingen die weinig bijdragen aan de daadwerkelijke bescherming van de organisatie. Een concreet voorbeeld: een klant in de logistieke sector had uitgebreide technische beveiliging aan de buitenrand van het netwerk, maar nauwelijks zicht op wat er intern gebeurde. Na een risicoanalyse bleek dat de grootste kwetsbaarheid zat in de toegang tot planningssystemen door externe partners. De prioriteit verschoof van perimeterbeveiliging naar identiteitsbeheer en toegangscontrole. “Dat is precies wat een risicoanalyse oplevert: je stopt je energie op de plek waar het verschil maakt.”

De Cbw dwingt je tot nadenken: wat wil je écht beschermen en welk risico accepteer je? Aantonen dat maatregelen werken

De Cbw vraagt niet alleen om maatregelen, maar ook om aantoonbaarheid. Dat stelt nieuwe eisen aan de manier waarop organisaties hun security inrichten en documenteren. Het is daarom belangrijk dat ook het bestuur inzicht heeft in de genomen maatregelen en de werking daarvan, bijvoorbeeld wanneer het daarover verantwoording moet afleggen aan een toezichthouder of vragen krijgt van een klant die eisen stelt aan zijn leveranciers. Beijersbergen wijst op het belang van monitoring en periodieke rapportage. “Je moet als bestuurder kunnen zeggen: hier zijn onze risico’s, dit zijn de maatregelen die we hebben genomen, en zo controleren we of ze werken. Dat vraagt om inzicht, niet alleen om techniek.” Previder levert onder meer managed security services waarbij continue monitoring gecombineerd wordt met periodieke rapportages die ook voor niet-technische bestuurders begrijpelijk zijn. Zo wordt de kloof gedicht tussen de IT-afdeling die maatregelen uitvoert en het

bestuur dat toezicht moet houden.

Bestuurlijke regie als vertrekpunt

De verschuiving die de Cbw teweegbrengt, is fundamenteler dan een nieuwe set verplichtingen. Cybersecurity wordt onderdeel van de reguliere bedrijfsvoering, vergelijkbaar met financieel risicobeheer of arbo-beleid. Het bestuur bepaalt het risicobeleid, IT vertaalt dat naar uitvoering, en beide lagen houden elkaar scherp. Beijersbergen ziet die verandering al in de praktijk. “We merken dat gesprekken over security steeds vaker starten bij de directietafel in plaats van bij de IT-afdeling. Dat is een gezonde ontwikkeling.” Voor organisaties die nog aan het begin staan, adviseert hij om klein te beginnen. “Breng eerst in kaart wat écht kritisch is, werk van daaruit en zorg dat je de voortgang kunt laten zien. Dat is beter dan een groot plan dat nooit volledig wordt uitgevoerd.” De Cbw biedt daarvoor een bruikbaar kader. De wet dwingt tot structuur, maar die structuur is uiteindelijk ook in het belang van de organisatie zelf. “Het gaat om een analyse van waar je als bedrijf staat ten opzichte van waar je eigenlijk zou moeten staan. Begin met het in kaart brengen van de processen die essentieel zijn voor je organisatie. Bepaal welke risico’s prioriteit krijgen, wijs verantwoordelijken aan en bespreek de voortgang regelmatig met het bestuur.”

Sebastian Beijersbergen, Presales consultant, Previder

previder.nl

contentway.nl

Aangeboden door Enable U

Wie AI wil inzetten, moet eerst de achterdeuren sluiten

Organisaties investeren volop in AI, maar de ambitie rust op een onderschat fundament: de koppelingen tussen honderden applicaties. Elke koppeling geeft toegang tot kritische systemen en data. “Nu de Cyberbeveiligingswet van kracht is, moeten bestuurders kunnen aantonen dat zij die toegangspunten onder controle hebben”, zegt Niels Beckers, CEO van Enable U. meer een bestuurbaarheidsvraagstuk. Je wilt als bestuurder weten of je kritische infrastructuur veilig, beheersbaar, schaalbaar en toekomstbestendig is.”

Kennis in de hoofden van enkelen

Niels Beckers, CEO, Enable U

Een AI-toepassing is zo slim als de data die ze krijgt. En die data zitten bij de meeste organisaties verspreid over systemen die elk hun eigen taal spreken. “Integratie is een van de stille voorwaarden onder de AI-ambitie van organisaties”, zegt Beckers. Het bedrijf bouwt en beheert integraties voor overheden, onderwijs en commerciële organisaties.

Van sluitstuk naar bestuursvraagstuk

De meeste applicaties zijn inmiddels wel met elkaar verbonden, vaak via losse point-to-point verbindingen zonder centraal platform. “Bij kleinere organisaties is dat nog te overzien, met een workaround en wat menselijke interactie”, aldus Beckers. “Maar zodra organisaties groter worden, wordt het heel moeilijk om alles beheersbaar te houden.” Medewerkers dichten de gaten dan zelf, met Excel, exports en handmatige controles. Bij honderden applicaties stapelen die tussenoplossingen zich op, met extra werk, fouten en verschillende versies van dezelfde waarheid als gevolg. Ook klanten, burgers of patiënten merken dat, bijvoorbeeld wanneer ze opnieuw gegevens moeten invullen die de organisatie allang heeft. “In projecten kwam integratie vroeger vaak op de tweede of derde plek. Het was het sluitstuk en daarmee een technisch vraagstuk”, zegt Beckers. “Nu wordt het steeds

Veel organisaties bouwen hun koppelingen zelf. Dat kan, zeker nu AI het bouwen eenvoudiger maakt. Het probleem ontstaat bij het beheer. De kennis zit vaak in de hoofden van één of twee mensen. Gaat zo iemand met pensioen of vertrekt diegene, dan weet niemand meer precies hoe het werkt. “Daar zit vaak de crux”, aldus Beckers. “Je moet zorgen dat alles goed gedocumenteerd is, dat er processen bestaan en dat je het werk op een goede manier kunt overdragen als dat nodig is.”

Feitelijk is elke koppeling een poort, en die moet je heel goed beveiligen Elke koppeling is een poort

Bij cybersecurity denken de meeste bestuurders aan firewalls en phishing. De koppelingen tussen systemen krijgen veel minder aandacht. “Met elke dienst die over de digitale snelweg wordt geleverd, creëer je een interactie met de buitenwereld”, zegt Beckers. “Feitelijk is dat een poort, en die moet je op een heel goede manier beveiligen.” Is één applicatie in een keten van gekoppelde systemen slecht beveiligd, dan lopen ook de aanpalende applicaties gevaar. Beckers geeft een herkenbaar voorbeeld: “Bij het testen van een koppeling worden vaak de inloggegevens van een gebruiker met beheerrechten gebruikt, die niet altijd worden weggehaald wanneer de koppeling live gaat. Dat soort momenten is voor het management extreem moeilijk te controleren en komt vaak pas naar buiten als het te laat is. Bijvoorbeeld als een medewerker vertrekt, of na een hack.”

Software alleen lost dat niet op. Volgens Beckers vraagt het ook om een cultuur waarin mensen zich bewust zijn van de impact van hun werk, bij het testen en bij het live zetten van applicaties.

Eén platform, één toegangssysteem

Sinds 15 augustus geldt de Cyberbeveiligingswet, zonder overgangstermijn. Bestuurders zijn daarmee nadrukkelijk medeverantwoordelijk voor de beheersing van hun digitale risico’s. “Een bestuurder hoeft technisch niet alles te begrijpen, maar moet wel kunnen aantonen waar de kritische afhankelijkheden zitten”, zegt Beckers. Met honderden losse koppelingen is dat inzicht nauwelijks te krijgen. “Losse koppelingen werken, maar ze zitten vaak vast in projecten, en een project heeft een kop en een staart”, aldus Beckers. “Met een standaardplatform leg je alle koppelingen op dezelfde manier aan en regel je de beveiliging overal gelijk.” Enable U levert dat op twee manieren. Kleinere organisaties besteden bouw en beheer vaak volledig uit via een soeverein SaaS-platform. Grotere organisaties houden meer zelf in de hand en combineren technologie en expertise van Enable U met eigen capaciteit. Vanuit een network operations center bewaakt het bedrijf het verkeer tussen applicaties. Klanten zien via een eigen dashboard hoe hun koppelingen presteren. Bij afwijkingen, zoals een plotselinge golf van DDoS-aanvallen bij een klant, kan Enable U zeer snel ingrijpen. Het advies van Beckers aan bestuurders die morgen een AI-project starten, is om verder te kijken dan de gesprekken met AI-specialisten. “Kijk naar het veilig ontsluiten en structureren van je informatie. Die basis moet echt op orde zijn om AI efficiënt en veilig te kunnen gebruiken.” Volgens Beckers wordt veiligheid nog weleens onderschat. “Als we dat niet op een goede manier gaan regelen, betalen we over een paar jaar de prijs.”

enable-u.nl

Aangeboden door Phoenix Contact

Nieuwe cyberwetgeving dwingt bedrijven hun investeringen opnieuw te beoordelen

Met de komst van de vierde industriële revolutie, ook wel bekend als Industrie 4.0, kunnen machines, apparaten en systemen met elkaar communiceren en data delen via het internet. Processen kunnen hierdoor sterk worden geoptimaliseerd, maar tegelijk neemt de kwetsbaarheid voor indringers toe. Met nieuwe wetgeving stelt de EU strengere eisen aan de cyberveiligheid van organisaties, systemen en producten.

abonnementsvorm te huur zijn op het darkweb”, vertelt Geurink. “De combinatie van de grote hoeveelheid apparaten die kunnen worden aangevallen en de snel groeiende groep hackers zorgt voor een explosieve toename van cyberincidenten.” Hij wijst erop dat je er als organisatie alles aan moet doen om te voorkomen dat belangrijke systemen, bijvoorbeeld voor waterbeheer of voedselproductie, tijdelijk niet toegankelijk zijn, waardoor de maatschappij kan worden ontwricht.

n 2030 zijn naar schatting 32 miljard industriële Internet of Things-apparaten (IoT) direct verbonden met het internet. De apparaten kunnen gegevens verzamelen, uitwisselen en analyseren, maar zijn misschien niet allemaal even goed beveiligd. Dat maakt het aanvalspotentieel voor hackers schier oneindig, constateert Harm Geurink, product manager industrial automation bij Phoenix Contact.

Europa is zich terdege bewust van de toenemende dreigingen, stelt Geurink. Al in 2016 is de NIS-wetgeving geïntroduceerd, gericht op vitale infrastructuren, zoals banken, energiebedrijven en waterschappen. Met de nieuwe NIS2-richtlijn verplicht Europa een grotere groep bedrijven haar systemen tegen cyberaanvallen te beschermen. In Nederland is deze richtlijn per 15 augustus 2026 omgezet in de Cyberbeveiligingswet. Bestuurders van organisaties die onder NIS2 vallen, krijgen daarbij expliciete verantwoordelijkheden op het gebied van cybersecurity. Daarnaast gelden zware boetes voor nietnaleving van de wettelijke verplichtingen.

“Veel van deze apparaten zijn laagdrempelig, maar brengen ook veiligheidsrisico’s met zich mee.” Als voorbeeld noemt hij de videodeurbel bij de voordeur, die razend populair is. “Die is via de app verbonden met het internet. Een videodeurbel is een cybersecurityrisico als deze niet is voorzien van de laatste security-updates en de leverancier wellicht toegang heeft tot het lokale netwerk waarmee de deurbel is verbonden.”

Cybercriminaliteit professionaliseert

“Behalve dit enorme aanvalspotentieel zien we ook dat cybercriminelen met behulp van AI steeds geavanceerdere hackingmethodes en -tools ontwikkelen, die zelfs in

Expliciete verantwoordelijkheid voor bestuurders

“Aan de strenge eisen van de NIS2-richtlijn kan eigenlijk alleen worden voldaan wanneer de gebruikte producten volgens het security-by-designprincipe zijn ontwikkeld”, stelt hij. Daarnaast heeft de EU met de Cyber Resilience Act (CRA) specifieke eisen opgesteld voor de cyberveiligheid van producten met digitale elementen. “Uiteindelijk zorgt de CRA voor een veiliger IoT. Het verplicht leveranciers om aan te tonen dat hun producten goed zijn beveiligd. Dat geldt voor zowel

consumentenproducten als industriële producten.” Geurink maakt hierbij de vergelijking met de Machinerichtlijn, die sinds 1995 in werking is. “Als fabrikant ben je al ruim 30 jaar verantwoordelijk voor een veilige machine. Die verantwoordelijkheid wordt nu uitgebreid naar cybersecurity.”

Gevolgen voor investeringsbeslissingen

“Fabrikanten, importeurs en distributeurs mogen straks alleen nog goed beveiligde apparaten verkopen. Ze zijn ervoor verantwoordelijk dat de apparaten die ze verkopen voldoen aan Europese wetgeving, waaronder de CRA. De CRA verplicht fabrikanten om producten met digitale elementen, die direct of indirect verbonden zijn met een ander apparaat of een netwerk (IoT), te ontwikkelen volgens het security-by-designprincipe. Dit betekent dat vanaf het ontwerp, de ontwikkeling en de productie al rekening moet worden gehouden met cybersecurity. Achteraf beveiliging toevoegen is niet meer voldoende.” Het houdt ook in dat fabrikanten ‘verouderde’ producten met digitale elementen compleet opnieuw moeten ontwikkelen of versneld uit hun leveringsprogramma moeten nemen. “Vanaf 11 december 2027 mogen apparaten die vallen onder de CRA en die niet volgens het security-by-designprincipe zijn ontworpen niet meer worden geleverd. Ook machinebouwers moeten wellicht hun ontwerp herzien om te voldoen aan de nieuwe eisen. Veel van de bestaande apparaten, machines of installaties kunnen niet zomaar worden aangepast. Dat betekent dat een nieuw ontwerp nodig is en bedrĳven alternatieven moeten zoeken.” Het leidt tot een dringend advies aan bedrĳven die investeringsplannen hebben. “Automatiseer niet op basis van ‘verouderde’ producten, maar kies meteen voor producten die ontwikkeld zĳn volgens een securityby-designproces én een cybersecurity-certificering hebben. Zo voorkom je dat je er pas in december 2027 achter komt dat je verkeerd hebt ingekocht. Uiteindelijk zal de CRA de cyberveiligheid in Europa verhogen, maar ook innovatie vertragen en kosten verhogen”, verwacht Geurink.

phoenixcontact.com