Bij beveiligingssoftware koop je geen functie, maar een jurisdictie

Om te ontdekken dat de wachtwoordmanager van een Nederlandse regionale omroep uit Archangelsk komt en een licentie van de Russische geheime dienst draagt, hadden onderzoeksjournalisten geen inlichtingendienst nodig. Ze hadden Whois, het Internet Archive, een openbaar bedrijvenregister en de releasenotes van de leverancier zelf.

Dat is voor mij het ongemakkelijkste deel van de zaak rond Passwork, de kluis die zichzelf als Europees product verkoopt maar in 2014 in Rusland is opgericht en een FSB-licentie draagt. De herkomst was niet verborgen. Er was alleen niemand die ernaar vroeg, ergens tussen de demo en de handtekening.

Mijn stelling: bij beveiligingssoftware koop je geen functie, je koopt een jurisdictie. Die vraag hoort vóór de aanschaf gesteld te worden, en steeds vaker niet aan jezelf maar aan de IT-partij die de tool voor je uitkoos.

Waarom juist deze categorie anders ligt

Inmiddels vraagt half zakelijk Nederland wel degelijk waar de klantdata staat. Dat is winst. Maar dat is een vraag over opslag, en beveiligingssoftware doet iets anders dan opslaan.

Een wachtwoordmanager, een endpointagent of een beheerconsole is geen systeem naast je systemen, maar een systeem boven je systemen. Hij bewaart of gebruikt de inloggegevens van je servers, je boekhouding en je betaalomgeving. Wie de updatestroom van zo'n tool beheerst, bereikt in het slechtste geval alles wat de tool kan bereiken. De jurisdictie van de maker is daarmee geen randvoorwaarde bij het product, maar een eigenschap van het product zelf.

Bij Passwork zit dat risico niet in een gevonden lek, maar in de structuur. De Russische en de Europese tak brengen vrijwel gelijktijdig dezelfde versie uit, met woordelijk identieke functieomschrijvingen: versie 7.6 verscheen op 6 april 2026 op de Russische site en een dag later op de Europese. Dat wijst op gedeelde code, en gedeelde code betekent één updatekanaal naar twee klantgroepen.

De twee gesprekken die hier normaal gesproken over gaan, zijn allebei al gevoerd, alleen niet over deze categorie. Bij clouddiensten gaat het over de plek, terwijl de Amerikaanse CLOUD Act de jurisdictie ophangt aan het bedrijf dat de sleutels beheert en niet aan het datacenter. Bij AI gaat het over de gewichten, terwijl de sterkste open modellen inmiddels een Chinese jurisdictie meedragen. De tool die de sleutels tot beide bewaart is er nooit langs geweest, terwijl jurisdictierisico een van de vier vormen is waarin zeggenschapsrisico zich uit, naast leveranciersconcentratie, prijsmacht en continuïteit.

De staat rekent al acht jaar zo, je inkoopformulier niet

Wie denkt dat herkomstcontrole bij software een activistisch stokpaardje is, heeft acht jaar Nederlands beleid gemist. In 2018 besloot het kabinet Kaspersky-antivirus bij de rijksoverheid uit te faseren en adviseerde het bedrijven met vitale processen hetzelfde te doen. De motivering was expliciet: de Russische wetgeving verplicht bedrijven als Kaspersky samen te werken met de Russische overheid, en de software "zit diep in de systemen en kan bij misbruik een groot veiligheidsrisico vormen", vatte minister Yeşilgöz-Zegerius het in april 2022 in de Tweede Kamer samen.

De Verenigde Staten trokken die lijn door tot een verkoopverbod. Het Amerikaanse Bureau of Industry and Security verbood Kaspersky per 20 juli 2024 nieuwe overeenkomsten met Amerikaanse klanten en sneed op 29 september 2024 de virusdefinitie-updates af, omdat het bedrijf onder de jurisdictie, controle of aansturing van de Russische overheid valt.

Let op wat daar wél en niet staat. Geen aangetroffen achterdeur, geen bewezen incident. De grond is zeggenschap: wie kan deze partij dwingen, en hoe diep zit zijn software. Dat is een inkoopcriterium, geen forensische conclusie. En het is precies het criterium dat op een gemiddeld inkoopformulier ontbreekt, terwijl dezelfde soort software bij een bedrijf van veertig man net zo diep zit als bij een ministerie.

Wat er te zien was

Ik loop de signalen uit de Passwork-zaak langs, niet om er een controlelijst van te maken, maar omdat elk signaal openbaar en gratis was.

Het register waar de leverancier trots in staat. Passwork is ingeschreven in het Russische register voor binnenlandse software en adverteert op zijn Russische site met licenties van het ministerie van Defensie en de FSB. Dat is geen lek, dat is marketing, alleen in een andere taal en voor een andere markt.

De releasenotes van twee gescheiden takken. Identieke versienummers binnen een dag, met dezelfde functieomschrijvingen. Twee organisaties die niets delen, brengen niet toevallig op dinsdag en woensdag dezelfde release uit.

De entiteit achter het Europese uithangbord. De Europese tak loopt sinds de inval in Oekraïne via een brievenbusfirma in Barcelona op naam van één persoon, met technische ondersteuning vanuit de Emiraten. De eerdere Finse vestiging werd opgeheven.

Het verschil tussen de twee websites, dat er nauwelijks was. Vrijwel identieke sites, eerder dezelfde webhosting en marketingaccounts, handleidingen die alleen in taal verschillen.

Geen van deze vier vraagt om een pentest of om een dure adviseur. Ze vragen om een half uur en om iemand die de vraag stelt. Wie dat structureel wil doen, kan elk kritiek systeem op vijf lock-in-assen scoren en exit-by-design vastleggen in de eigen inkoopregels. Het punt hier is dat zelfs de lichtste versie daarvan deze casus had gevangen.

De vraag is vaak niet aan jou

Hier wordt het voor kleinere organisaties oncomfortabel. Passwork bereikte Nederlandse bedrijven niet alleen via eigen keuzes. IT-dienstverlener Lucrasoft gebruikt de software zelf én installeert en verkoopt hem door aan mkb-klanten. Je kunt deze tool dus geërfd hebben, van een partij die je vertrouwt, zonder dat de naam ooit in een eigen afweging viel.

Dat is geen uitzondering, dat is het model. Bij Nederlandse bedrijven met 10 tot 50 werkzame personen werden de ICT-veiligheidswerkzaamheden in 2023 bij 45 procent volledig door een externe partij uitgevoerd, tegenover 15 procent volledig in eigen beheer. In die verhouding is "welke beveiligingssoftware draait er bij mij, van wie, en onder welk recht valt die partij" geen vraag die je aan jezelf kunt stellen. Het is een vraag die je stelt, en waarvan je het antwoord op papier wilt.

Daar zit trouwens een tweede reden om het te vragen. De ketenzorgplicht in de Cyberbeveiligingswet verlangt uitdrukkelijk maatregelen voor de beveiliging van je rechtstreekse toeleveranciers en dienstverleners. Die wet gaat op 15 augustus 2026 in werking voor ruim 8.000 Nederlandse organisaties. Val je er zelf niet onder, dan is de kans reëel dat een klant van je er wél onder valt en de eis via een contract bij jou terechtkomt. Dat maakt van herkomst geen morele vraag maar een commerciële. En het is een andere vraag dan de toegangsvraag: dat een jaarlijkse leveranciersaudit tekortschiet en je beter continu kunt bijhouden wie er in je accounts kan gaat over wat je leverancier mag; dit gaat over wie je leverancier kan dwingen.

Om eerlijk te zijn: herkomst is een grove maatstaf

De sterkste tegenwerping komt niet van marketeers maar van beveiligingsmensen, en ze is goed. Nationaliteit op een oprichtingsakte zegt niets over codekwaliteit. Een doorgelichte, open source, zero-knowledge versleutelde kluis van een Russische maker kan technisch veiliger zijn dan een gesloten Nederlandse kluis die nooit iemand heeft bekeken. En de redenering glijdt makkelijk af: wantrouw je Russische software vanwege de FSB, dan moet je Amerikaanse software wantrouwen vanwege de CLOUD Act, Chinese modellen vanwege de inlichtingenwet, en zelf gehoste software omdat ook een Europese open-source leverancier zijn eigen database onbeveiligd aan het internet kan hangen. Wie elke jurisdictie wantrouwt houdt geen leverancier over, en heeft alleen een duurder probleem.

Die kritiek klopt. Ze verandert mijn conclusie niet, ze verandert wat herkomst ís. Jurisdictie is geen oordeel over een product en geen keurmerk, maar een variabele die je niet kunt patchen. Een lek kun je dichten. Wie een leverancier juridisch kan dwingen, kun je niet dichten. Daarom weeg je die variabele tegen bereik: een projectplanner uit een land waar je geen invloed hebt is een ander gesprek dan de kluis met je serverwachtwoorden, en het antwoord is meestal niet "weg ermee" maar "zorg dat je er binnen een week uit kunt".

En daarom is de echte diskwalificatie in deze casus niet Rusland. Het is de verhulling. Een leverancier die "Made in EU" op zijn site zet, een brievenbus in Barcelona als adres voert en ondertussen synchroon uitrolt met een FSB-gecertificeerde tak, heeft iets over zijn bestuur verteld dat geen audit ongedaan maakt. Dat signaal is jurisdictie-neutraal. Het geldt net zo hard voor een Amerikaanse of Nederlandse leverancier die zijn eigenaarschap wegmoffelt. Herkomst is de grove maatstaf. Eerlijkheid over herkomst is de scherpe.

De regel die op geen enkel formulier staat

Terug naar het begin: Whois, een webarchief en een bedrijvenregister. De reden dat niemand die middag maakte, is niet dat het moeilijk was. Het is dat herkomst op geen enkel inkoopformulier staat. Daar staat wat het kost, wat het kan, of het AVG-proof is en of er een certificaat op de muur hangt. Vijf Nederlandse toezichthouders adviseerden deze zomer om bij elke aanschaf harde eisen te stellen aan open standaarden en aan de mogelijkheid om eenvoudig van leverancier te wisselen, en dat is dezelfde beweging: het inkoopmoment is het enige moment waarop je nog iets te ruilen hebt.

Zet er dus één regel bij, en alleen voor de software die de sleutels bewaart: wie kan deze partij dwingen, en hoe snel ben ik eruit als het antwoord verandert. Twee zinnen op een formulier, een half uur werk per leverancier.

Een certificaat vertelt je hoe zorgvuldig een leverancier vandaag werkt. Het vertelt je niets over wie er morgen aan zijn arm kan trekken. Bij de tool die je hele sleutelbos bewaart, is dat tweede antwoord het belangrijkste dat je koopt.