Fabrikanten van software en verbonden apparaten moeten vanaf 11 september actief misbruikte kwetsbaarheden binnen 24 uur melden. De Europese meldplicht komt op een moment dat één lek bij een softwareleverancier routinematig honderden organisaties raakt. Orange Cyberdefense noemt het incidentdenken van securityteams daarom achterhaald.
Bedrijven die software of verbonden apparaten op de Europese markt brengen, krijgen er volgende week een verplichting bij. Vanaf 11 september treedt het eerste deel van de Cyber Resilience Act (CRA) in werking, en vanaf dat moment moeten fabrikanten het bij het Nationaal Cyber Security Centrum (NCSC) laten weten zodra een kwetsbaarheid in hun product actief wordt misbruikt. Ze hebben daar 24 uur voor. Binnen drie dagen moet er een volledige melding liggen, binnen twee weken een eindrapport. Wie dat laat lopen, riskeert een boete die kan oplopen tot vijftien miljoen euro of 2,5 procent van de wereldwijde jaaromzet.
Dat Brussel fabrikanten zo kort aan de lijn houdt, heeft een reden. Een kwetsbaarheid bij één leverancier werkt tegenwoordig door naar iedereen die op diens code, API’s of geërfde toegangsrechten bouwt, en dat zijn er in een gemiddeld applicatielandschap nogal wat. Orange Cyberdefense, de securitytak van het Franse telecomconcern, noemt de softwareketen in zijn dreigingsrapport Security Navigator 2026 daarom geen keten meer, maar een web. Maar, de beveiliging van de meeste organisaties is niet op die wijdverbreide afhankelijkheid ingericht. Die die draait voornamelijk om het detecteren en afhandelen van incidenten binnen de eigen omgeving, terwijl de schade in een supplyweb juist ontstaat bij partijen die het incident zelf nooit hebben gezien.
Olievlek
Hoe ver één kwetsbaarheid inmiddels reikt, bleek eind 2024 bij het Amerikaanse softwarebedrijf Cleo. De afpersingsgroep Cl0p buitte een lek in de filetransfersoftware van dat bedrijf uit, software die veel organisaties gebruiken om bestanden met partners uit te wisselen. De groep richtte zich niet op één slachtoffer, maar op alle installaties tegelijk. Dat ene lek was volgens Orange Cyberdefense goed voor ongeveer 18 procent van alle cyberafpersingsslachtoffers wereldwijd in het eerste kwartaal van 2025. Dat is bijna een vijfde van de slachtoffers in dat kwartaal, door slechts één kwetsbaarheid.
Vorig najaar werd duidelijk dat het ook zonder ransomware kan. In september kaapten aanvallers de publicatierechten van één ontwikkelaar in npm, de pakketbibliotheek waaruit vrijwel alle webapplicaties hun bouwstenen halen, en gebruikten dat om de Shai-Hulud-worm te verspreiden. Die worm stal toegangssleutels voor GitHub en cloudomgevingen en publiceerde zichzelf vervolgens onder de naam van het volgende slachtoffer, waardoor ruim vijfhonderd pakketten besmet raakten, zo meldde de Amerikaanse cyberwaakhond CISA. Een maand eerder liep het via een SaaS-koppeling: aanvallers kwamen binnen bij Drift, de chatbot van Salesloft, en gebruikten de OAuth-tokens van die integratie om data te stelen uit de Salesforce-omgevingen van mogelijk ruim zevenhonderd organisaties, aldus Google Threat Intelligence Group. Geen van die bedrijven was zelf gehackt. Ze hadden alleen een koppeling vertrouwd.
“Wat we een supply chain noemen, is geen rij van afzonderlijke, beheersbare schakels”, schrijft Charl van der Walt, Head of Security Research bij Orange Cyberdefense, in de Security Navigator 2026. “Het is een dicht web van onderlinge afhankelijkheid, en aanvallers zoeken bewust de knooppunten op waar één inbraak naar buiten toe doorwerkt.” Dat is overigens niet alleen de waarneming van Orange. In het Data Breach Investigations Report 2025 van Verizon, dat jaarlijks duizenden bevestigde datalekken analyseert, speelde bij 30 procent van de lekken een derde partij een rol. Een jaar eerder was dat nog 15 procent.
Schade landt bij buitenstaanders
De rekening van zo’n ketenincident komt zelden terecht bij de partij waar het lek ontstond. Orange Cyberdefense verwijst naar onderzoek van het Cyentia Institute uit 2021, waaruit blijkt dat een datalek dat doorwerkt naar meerdere organisaties doorgaans zo’n tien keer zoveel schade veroorzaakt als een lek dat bij één bedrijf blijft. Het bedrijf haalt in zijn rapport ook de Britse NCSC aan, dat spreekt van een scheve verdeling tussen wie de kosten van onveiligheid draagt, de eindgebruiker en de samenleving, en wie het best in staat is beveiliging in te bouwen, de technologieleverancier.
Vooral kleinere bedrijven betalen de prijs. Het aantal afpersingsslachtoffers groeide in 2025 met 44 procent. Die groei is niet gelijk verdeeld: kleine bedrijven met minder dan vijftig medewerkers kwamen 12 procent vaker op de slachtofferlijsten terecht dan die gemiddelde stijging, grote organisaties juist 17 procent minder vaak. Wie klein is, wordt dus eerder slachtoffer. In Europa vormen bedrijven met minder dan vijftig medewerkers 40 procent van alle slachtoffers, al groeide het aantal grote en middelgrote slachtoffers daar het afgelopen jaar juist sneller. “De schade van supplyweb-incidenten komt vaak terecht bij partijen die er geen zicht of invloed op hebben”, zegt Dennis de Geus, CEO van Orange Cyberdefense Nederland. “Dat is economisch onhoudbaar.”
Nederlandse ketenschade zichtbaar
Ook zonder de cijfers van Orange is de ketenschade in Nederland zichtbaar. In het Cybersecuritybeeld Nederland 2025, dat de NCTV en het NCSC eind november publiceerden, staat het nogal nuchter: “Een cyberincident bij een toeleverancier of dienstverlener kan verstrekkende gevolgen hebben voor organisaties binnen dezelfde keten, waaronder klanten van het bedrijf.” Als voorbeeld noemt het rapport datalekken bij de gemeenten Dinkelland, Tubbergen en Amersfoort, die ontstonden via een gezamenlijke toeleverancier.
Het grootste voorbeeld uit het Cybersecuritybeeld is de ransomware-aanval op het laboratorium Clinical Diagnostics, onderdeel van Eurofins. Het lab zelf werd getroffen, maar de gestolen data was van de zorgverleners die er onderzoek lieten doen. Bevolkingsonderzoek Nederland moest daarop 941.000 mensen informeren dat hun gegevens mogelijk waren buitgemaakt. Daarnaast wijst het Cybersecuritybeeld op de afhankelijkheid van aanbieders uit andere landen, waaronder de Verenigde Staten. De Geus schrijft in zijn voorwoord bij de Security Navigator min of meer hetzelfde: Nederland is een kleine, sterk geïntegreerde economie die leunt op grote cloudplatforms, en dat schept afhankelijkheid en dus risico.
Vragenlijsten meten geen weerbaarheid
Overheden en grote afnemers proberen zulke ketenincidenten tot nu toe vooral te voorkomen met meer controle op hun leveranciers door audits, certificeringen en vragenlijsten. Orange Cyberdefense erkent dat dit wel iets oplevert, maar vraagt zich hardop af of zulke controles wel reiken tot de diepere lagen van de techniek: de opensourcebibliotheken, de cloud-API’s en gedeelde infrastructuur als DNS en contentnetwerken. Een compliance-checklist meet naleving, geen weerbaarheid, stelt Orange.
Hoe ver de praktijk van de wet af staat, blijkt uit het CRA-readinessonderzoek dat de Linux Foundation en de Open Source Security Foundation in juni publiceerden, op basis van 843 respondenten. Twee derde van hen is niet of nauwelijks bekend met de verordening, en dat aandeel is zelfs gestegen ten opzichte van vorig jaar. Van de fabrikanten maakt 32 procent een softwarestuklijst voor al zijn producten, en 51 procent leunt voor beveiligingsfixes passief op de opensourceprojecten waar het op bouwt. Dat is precies de plek waar de Shai-Hulud-worm toesloeg.
Orange Cyberdefense pleit daarom voor financiering en ondersteuning van de vaak kleine teams die deze projecten onderhouden, en voor aansprakelijkheid die ligt waar de schade ontstaat. “Zolang we cybersecurity benaderen als een interne IT-zaak of een compliance-oefening”, zegt Van der Walt, “blijft dat risico bestaan.”
Portaal zonder API
Hoe dat melden in de praktijk gaat werken, wordt pas op 11 september zelf zichtbaar. Fabrikanten dienen hun melding in via één Europees loket, het Single Reporting Platform van ENISA, het cyberagentschap van de EU. Van daaruit gaat de melding naar het meldpunt van het land waar de fabrikant is gevestigd, voor Nederlandse bedrijven dus het NCSC, dat de melding op zijn beurt deelt met de meldpunten in de andere lidstaten waar het product wordt verkocht. ENISA laat weten dat het platform op 11 september operationeel moet zijn en dat er voorlopig geen koppeling voor geautomatiseerd melden komt. Fabrikanten vullen het formulier dus met de hand in.
In Nederland houdt de Rijksinspectie Digitale Infrastructuur toezicht op de naleving. De meldplicht geldt ook voor producten die al jaren op de markt zijn. De overige verplichtingen uit de CRA, waaronder security by design en een verplichte softwarestukslijst, volgen op 11 december 2027.
Daarmee begint de Europese aanpak van het supplyweb met een verplichting die Orange Cyberdefense verwelkomt, maar waar het rapport tegelijk een waarschuwing bij zet. Meldingen en certificaten maken zichtbaar wat een fabrikant zelf weet, niet wat er in de opensourcebibliotheken en koppelingen daaronder gebeurt. “Een compliance-checklist”, schrijft Van der Walt, “kan de volledige complexiteit van onderlinge afhankelijkheid niet vangen.”