De klassieke voorstelling van een cyberaanval, waarbij een aanvaller net zo lang tegen de firewall van een grote organisatie duwt tot er een gaatje ontstaat, klopt steeds minder met de praktijk. Aanvallers kiezen vaker de omweg. Ze zoeken de logistieke dienstverlener die bestellingen afhandelt, de installateur die op afstand meekijkt in een gebouwbeheersysteem, de softwareleverancier met een vaste koppeling naar de productieomgeving, of het onbeheerde apparaat dat ooit door een aannemer op het netwerk is gezet en sindsdien nooit meer is aangeraakt. Het resultaat is hetzelfde, maar de weg ernaartoe loopt buiten het zicht van de organisatie die uiteindelijk de schade draagt.
Die verschuiving is geen aanname meer, maar meetbaar. En sinds 15 augustus 2026 is ze bovendien een wettelijk aandachtspunt: vanaf die datum gelden de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten, waarin de beveiliging van de toeleveringsketen expliciet onderdeel is van de zorgplicht.
Bijna de helft van alle datalekken heeft inmiddels een derde partij in de keten als factor. De aanval op CEVA Logistics raakte in augustus 2026 klanten van Bol, De Bijenkorf, ING, Ajax, Ace & Tate en Valve, zonder dat een van die organisaties zelf was gehackt. Tegelijk verschuift het risico binnen het eigen netwerk naar routers, IoT-apparatuur en edge devices die buiten reguliere patchcycli en detectie vallen. Dit artikel zet de cijfers, de wettelijke eisen en de technische maatregelen op een rij.
Waarom aanvallers steeds vaker via leveranciers binnenkomen in plaats van via de hoofdingang
Het duidelijkste signaal komt uit het Data Breach Investigations Report van Verizon. In de editie van 2026 is bij 48 procent van alle onderzochte datalekken een derde partij betrokken, een stijging van 60 procent ten opzichte van het jaar ervoor. Die voorgaande editie noteerde 30 procent, en het jaar daarvoor lag het aandeel nog rond 15 procent. In drie rapportagejaren is ketenbetrokkenheid daarmee van een randverschijnsel naar de helft van alle incidenten gegroeid.
Even relevant is de manier waarop aanvallers binnenkomen. Voor het eerst in negentien edities van het rapport is misbruik van kwetsbaarheden de belangrijkste initiële toegangsweg geworden, met 31 procent, waarmee het gestolen inloggegevens voorbijstreeft. Verizon wijst daarbij op de rol van AI in het versnellen van dat proces: de tijd tussen het bekend worden van een kwetsbaarheid en het daadwerkelijk misbruiken ervan is volgens het rapport teruggelopen van maanden naar uren. Voor organisaties met een omvangrijk leverancierslandschap betekent dit dat het venster om te reageren op een kwetsbaarheid bij een partner smaller is dan de doorlooptijd van de gemiddelde vragenlijstronde.
De aantrekkelijkheid van de keten is rekenkundig te verklaren. Eén succesvolle inbraak bij een gedeelde dienstverlener levert toegang op tot, of gegevens van, tientallen afnemers tegelijk. Bovendien profiteren aanvallers van vertrouwensrelaties die technisch zijn vastgelegd: vaste VPN-tunnels, API-koppelingen, servicedesk-accounts en beheertoegang die zelden opnieuw worden beoordeeld nadat ze eenmaal zijn ingericht.
Wat de cyberaanval op CEVA Logistics laat zien over gedeelde afhankelijkheden
Het meest sprekende Nederlandse voorbeeld van dit jaar is de aanval op logistiek dienstverlener CEVA Logistics. De verstoring begon eind juli 2026 en raakte de operatie in acht Europese magazijnen. Klanten van Bol, De Bijenkorf, ING, Ajax, Ace & Tate en Valve ontvingen vervolgens een waarschuwing over mogelijk gelekte persoonsgegevens, terwijl geen van die organisaties zelf was aangevallen. Volgens de betrokken partijen ging het om namen, adressen, telefoonnummers, e-mailadressen en orderinformatie, in sommige gevallen aangevuld met btw-nummers van zakelijke klanten. Betaalgegevens en wachtwoorden zouden niet zijn buitgemaakt.
Bol meldde op 1 augustus van CEVA te hebben vernomen dat er mogelijk sprake was van een datalek, informeerde op 3 augustus de Autoriteit Persoonsgegevens en waarschuwde klanten op 5 augustus. De toezichthouder ontving naar verluidt meldingen van tien verschillende organisaties over ditzelfde incident. Wie de gedetailleerde tijdlijn en de bevindingen rond de aanvalsvector wil nalezen, vindt die in onze eerdere analyse van de cyberaanval op CEVA Logistics en de kwetsbaarheid van de toeleveringsketen.
De verantwoordelijkheid verplaatst zich niet mee met de data
De kern van het probleem zit in de asymmetrie tussen waar het incident plaatsvindt en waar de verantwoordelijkheid ligt. Onder de AVG blijft de verwerkingsverantwoordelijke aansprakelijk voor gegevens die bij een verwerker zijn ondergebracht. De organisatie die niet is gehackt, moet dus wel melden, klanten informeren en verantwoording afleggen, op basis van informatie die zij van een derde moet afwachten. Wanneer die derde traag of onvolledig communiceert, wordt het praktisch onmogelijk om binnen de wettelijke termijnen een onderbouwde melding te doen.
Operationele uitval is vaak schadelijker dan het datalek
In de CEVA-casus was het datalek niet de enige impact. De Bijenkorf schakelde online bestellen voor het merendeel van het assortiment tijdelijk uit en Bol legde de gegevensuitwisseling met de getroffen locatie stil. Dat is verstandig incidentgedrag, maar het onderstreept ook hoe weinig speelruimte er is wanneer één fulfilmentpartner wegvalt. Continuïteitsscenario’s voor het uitvallen van een ketenpartner blijken in de praktijk vaker te ontbreken dan scenario’s voor het uitvallen van eigen systemen.
Niet-beheerde apparaten en IoT als onzichtbare toegangspoort in het bedrijfsnetwerk
De tweede beweging speelt zich af binnen het eigen netwerk, maar buiten het eigen zicht. Onderzoek van Forescout, dat zelf oplossingen op dit terrein levert en waarvan de cijfers dus met die context gelezen moeten worden, laat zien dat netwerkinfrastructuur inmiddels een hoger risicoprofiel heeft dan klassieke endpoints. Routers zijn daarbij computers voorbijgestreefd en zijn volgens dat onderzoek goed voor ongeveer een derde van de meest kritieke kwetsbaarheden in organisatienetwerken. Routers en switches tellen gemiddeld bijna 32 kwetsbaarheden per apparaat.
Minstens zo veelzeggend is de snelheid waarmee de lijst met risicovolle apparaattypen verandert. Volgens dezelfde analyse stond 40 procent van de meest risicovolle categorieën er vorig jaar nog niet op, en 75 procent twee jaar geleden nog niet. Nieuwe binnenkomers zijn onder meer serial-to-IP-converters, tijdklokken, RFID-lezers, power distribution units en BACnet-routers. Dat zijn precies de apparaten die zelden in een CMDB staan, geen agent ondersteunen en vaak door een externe installateur zijn geplaatst en beheerd.
Ook op protocolniveau gaat het de verkeerde kant op. Het gebruik van Telnet, onversleuteld en doorgaans aangetroffen op verouderde OT- en IoT-apparatuur, nam in vrijwel alle onderzochte sectoren toe. In de financiële dienstverlening steeg de blootstelling van 3 naar 12 procent, in de maakindustrie van 5 naar 12 procent en in de zorg van 6 naar 8 procent. Een gecompromitteerd apparaat in de keten heeft aan dat soort openstaande beheerinterfaces genoeg om lateraal te bewegen.
Edge devices en thuiswerkverbindingen vallen buiten het bereik van endpointdetectie
Firewalls, VPN-concentrators, routers en mailgateways vormen het koppelpunt tussen het interne netwerk en alles daarbuiten. Het Nationaal Cyber Security Centrum wijst er in zijn kennisproduct over edge devices op dat juist de beveiliging van deze systemen regelmatig onderbelicht blijft, mede doordat ze buiten het zicht vallen van moderne oplossingen voor endpointdetectie en respons. Een aanvaller die zich op zo’n apparaat nestelt, opereert daardoor structureel buiten de sensoren waarop veel detectieprocessen zijn gebouwd.
Het NCSC adviseert in dat verband om uit te gaan van het assume breach-principe: ga ervan uit dat initiële compromittering plaatsvindt of al heeft plaatsgevonden, en richt maatregelen in die de impact beperken. Dat vertaalt zich naar segmentatie, aanvullende detectie op netwerkniveau, incidentresponsplannen en forensic readiness. Thuiswerkverbindingen en apparatuur op kleine locaties horen daar nadrukkelijk bij, omdat die vaak dezelfde toegangsrechten krijgen als een werkplek in het hoofdkantoor zonder dezelfde mate van beheer en toezicht.
Wat de Cyberbeveiligingswet sinds 15 augustus 2026 eist op het gebied van ketenbeveiliging
Sinds 15 augustus 2026 zijn de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten van kracht. De Cyberbeveiligingswet is de Nederlandse implementatie van de NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen. Volgens de Rijksoverheid krijgen ruim achtduizend organisaties in Nederland hiermee nieuwe verplichtingen, zonder overgangstermijn.
Vier verplichtingen bepalen het speelveld. De registratieplicht vraagt om aanmelding in het entiteitenregister bij het NCSC. De zorgplicht verplicht tot risicogebaseerde, passende technische, operationele en organisatorische maatregelen. De meldplicht schrijft voor dat significante incidenten in stappen worden gemeld, beginnend met een vroegtijdige waarschuwing. En het bestuur is eindverantwoordelijk: het keurt de maatregelen goed, houdt toezicht op de uitvoering en moet over voldoende kennis beschikken om cyberrisico’s te beoordelen.
Voor ketenrisico is één onderdeel van de zorgplicht doorslaggevend. De wet noemt uitdrukkelijk de beveiliging van de toeleveringsketen, inclusief de beveiligingsaspecten in de relatie met rechtstreekse leveranciers en dienstverleners. Het NCSC licht toe dat organisaties die onder de wet vallen daarmee eisen kunnen en moeten stellen aan de digitale veiligheid van hun toeleveranciers, en dat zij maatregelen moeten nemen wanneer via zo’n leverancier een risico ontstaat voor de eigen netwerk- en informatiesystemen. Leveranciers die zelf buiten de reikwijdte van de wet vallen, merken de gevolgen daardoor alsnog via contracten en aanbestedingen. Hoe deze verschuiving doorwerkt in de rol en de verantwoordingslijnen van de securityfunctie beschreven wij eerder in ons artikel over exposure management, AI-governance en ketenrisico als nieuwe agenda van de CISO.
Hoe organisaties ketenrisico technisch begrenzen met zichtbaarheid, segmentatie en toegangscontrole
Contractuele afspraken en leveranciersvragenlijsten zijn noodzakelijk, maar ze voorkomen geen inbraak. Ze verdelen alleen de verantwoordelijkheid achteraf. De technische maatregelen die het verschil maken, richten zich op het beperken van de blast radius wanneer een schakel in de keten toch wordt gecompromitteerd.
Begin bij een actueel beeld van alles wat aangesloten is
Zonder betrouwbare inventarisatie is elke vervolgstap giswerk. Dat betekent continue detectie en classificatie van alles wat verbinding maakt, inclusief apparatuur die geen agent ondersteunt en apparatuur die door derden is geplaatst. Bij die inventarisatie hoort ook de vraag welke externe partijen daadwerkelijk toegang hebben, waartoe die toegang zich uitstrekt en wanneer die voor het laatst is beoordeeld.
Scheid leveranciersapparatuur en IoT van bedrijfskritische systemen
Segmentatie is de maatregel die het verschil bepaalt tussen een incident en een crisis. Onbeheerde apparaten, OT-componenten en systemen van derden horen in afgeschermde zones met expliciet toegestaan verkeer, niet in het algemene bedrijfsnetwerk. Netwerktoegangscontrole zorgt ervoor dat elk apparaat bij aansluiting wordt herkend, geclassificeerd en aan het juiste beleidsdomein wordt gekoppeld, zodat een onbekend of niet-compliant apparaat niet ongemerkt in een gevoelig segment terechtkomt. Voor externe gebruikers en onderhoudspartijen betekent dit tijdgebonden toegang tot precies die systemen waarvoor de opdracht geldt, in plaats van een permanente VPN-verbinding naar het hele netwerk.
Houd netwerkcomponenten actueel en configuratie onder controle
Nu misbruik van kwetsbaarheden de belangrijkste toegangsweg is geworden en het tijdsvenster krimpt, is achterstallig onderhoud aan netwerkapparatuur en edge devices een direct exploiteerbaar risico. Met onze managed infrastructuurdienstverlening en SolidControl richten wij doorlopende bewaking, patchbeheer en configuratiebeheer in, zodat firmware- en softwareversies traceerbaar actueel blijven en afwijkingen in configuratie zichtbaar worden voordat een aanvaller ze vindt. Aantoonbaarheid speelt daarbij een dubbele rol: het verkleint het risico en het levert het bewijs dat de zorgplicht vraagt.
Zorg dat detectie verder reikt dan het endpoint
Omdat edge devices en niet-beheerde apparatuur buiten het bereik van endpointdetectie vallen, moet monitoring op netwerkniveau dat gat vullen. Afwijkend oost-westverkeer, onverwachte beheersessies en verbindingen vanaf apparaten die daar niets te zoeken hebben, zijn vaak het eerste bruikbare signaal dat een ketenpartij is gecompromitteerd. Gecombineerd met vooraf vastgelegde escalatieafspraken met leveranciers verkort dat de tijd tussen het incident bij een derde en de eerste eigen maatregel.
Ketenweerbaarheid vraagt om zichtbaarheid, niet om vertrouwen
De optelsom is duidelijk. Bijna de helft van de datalekken loopt inmiddels via een derde partij, het risico binnen het eigen netwerk verschuift naar apparatuur die zelden wordt gepatcht en niet wordt gemonitord, en sinds 15 augustus 2026 verwacht de wetgever aantoonbare beheersing van precies die risico’s. Organisaties die hun ketenpositie serieus nemen, verschuiven daarom van vertrouwen op basis van afspraken naar controle op basis van zichtbaarheid: weten wat er aangesloten is, weten wie waarbij kan, en de schade begrenzen wanneer een schakel het toch begeeft.
Wilt u weten hoe uw netwerk zich verhoudt tot deze risico’s, welke leveranciersverbindingen daadwerkelijk actief zijn en waar segmentatie het meeste effect oplevert? De specialisten van SolidBE denken graag met u mee over inventarisatie, segmentatie, toegangscontrole en doorlopend beheer van uw infrastructuur. Neem contact op voor een vrijblijvend gesprek over de weerbaarheid van uw keten.
