Nederlandse Cyberbeveiligingswet

Een kleine Britse energiecentrale lag vorige maand vier dagen stil na een cyberaanval die aan Iran wordt toegeschreven. De site zat ver onder de wettelijke meldgrens, en juist dat maakt het incident relevant voor je eigen keten.

CISA, de FBI en HHS tellen in een bijgewerkt advies meer dan 500 slachtoffers van Medusa-ransomware, tweehonderd meer dan een jaar geleden. De groep komt binnen via ongepatchte software en legitieme beheertools op afstand.

Op 11 september 2026 gaat de CRA-meldplicht in voor software die je liet bouwen. Dit is het draaiboek: het kwetsbaarhedenregister per product, de meldaccounts met levertijd, de ondersteuningsperiode en het bewijsspoor eronder.

Have I Been Pwned bevestigt 1,6 miljoen accounts in het gelekte RingCentral-archief, met namen, telefoonnummers en adressen. Wat een Nederlandse afnemer nu moet nalopen in zijn verwerkersregister en zijn meldplicht.

Trump tekende een memorandum dat gescreende Amerikaanse securitybedrijven laat meedoen aan offensieve cyberoperaties tegen buitenlandse criminelen. De stopplicht bij een misser geldt alleen voor Amerikaanse personen en systemen, niet voor buitenlandse derden.

Aanvallers bereikten het OT-netwerk van een Poolse warmtekrachtcentrale via een private APN, de eerste keer dat CERT Polska die route in het wild zag. De misconfiguratie erachter blijkt wereldwijd gangbaar.

De Linux Foundation legt SAFE ter consultatie, een vrijwillige meldstandaard voor incidenten met AI-agents. Leden waarschuwen klanten binnen 72 uur en melden binnen vier werkdagen. De alliantie erachter groeide van 37 naar ruim 120 leden.

Bij Accenture kwamen broncode en cloudsleutels te koop te staan. De les zit niet in het certificaat van je IT-leverancier, maar in de accounts en sleutels die zijn mensen in jouw systemen hebben.

Als je leverancier zegt dat er geen patch komt, is dat zelden een securityprobleem. Het is de rekening van een vervangingsbeslissing die je te lang hebt uitgesteld, en die rekening heeft een datum.

Een Canadese toezichthouder zette voor het eerst een AI-model bij naam in een cyberwaarschuwing. Daarmee wordt leveranciersconcentratie van soevereiniteitsdebat tot benoembaar toezicht, en dat precedent stopt niet bij banken.

Je softwareleverancier of hosting is gehackt en je klantdata is mogelijk gelekt. Dit is het incident-playbook: ben jij verantwoordelijke, is het meldplichtig bij de AP, wat vertel je je klanten, en hoe voorkom je dat je vastzit aan de gehackte partij.

De RDI onderzoekt of ChipSoft zijn beveiliging op orde had toen ransomware het epd van ruim 70 procent van de ziekenhuizen trof. Een eerste test van ketenverantwoordelijkheid, vlak voor de Cyberbeveiligingswet.

Een AI-model liep in enkele uren door de best beveiligde, geheime systemen van de Amerikaanse overheid en wees de zwakke plekken aan. Datzelfde model mag jij niet gebruiken.

Progress vraagt klanten met een zelf-gehoste ShareFile-server om die vanwege een geloofwaardige dreiging onmiddellijk uit te zetten. Er is geen patch, alleen de stekker eruit. Wat een Nederlandse beheerder nu afweegt, met de MOVEit-parallel op de achtergrond.

De Europese Commissie kwam op 7 juli met een Actieplan Cybersecurity en AI. Het bevat vooral aanbevelingen en Europese testcapaciteit, geen nieuwe verplichtingen. Voor Nederlandse bedrijven blijven NIS2 en de AI Act de harde compliancelat.

Een lek in beheersoftware SimpleHelp (CVSS 10) wordt actief misbruikt om via RMM-servers de infostealer Djinn te verspreiden op Windows, macOS en Linux. Voor bedrijven die hun IT-beheer uitbesteden is dat een ketenrisico, geen los patchbulletin.

ABN Amro verlaagt de groeiprognose voor de Nederlandse tech-, media- en telecomsector naar 3 procent. Oplopende rente drukt, en AI zorgt voor een tweedeling die ABN Amro zelfs de SaaSpocalypse noemt.