Er komt geen patch, zet hem uit: dat is een inkoopmoment, geen incident

Er is één zin waar geen enkel patchbeleid tegen bestand is: er komt geen update, zet hem uit.

Op 10 juli kregen klanten van Progress precies die zin in hun mailbox. Wie een zelf-gehoste ShareFile Storage Zone Controller draaide, moest zijn Windows-server onmiddellijk uitzetten vanwege een geloofwaardige dreiging waarvoor nog geen patch bestond. Geen versienummer, geen CVE, geen tijdlijn. Het liep met een sisser af: op 14 juli ging de toegang weer aan nadat het bedrijf gepatchte versies had uitgebracht.

Vier dagen. Dat was geen goede voorbereiding, dat was geluk.

Want dezelfde zin bestaat in een tweede variant, en die heeft geen einddatum. Mijn stelling: "er komt geen patch" is zelden een securityprobleem en bijna altijd een vervangingsbeslissing die je te lang hebt laten liggen.

Einde van ondersteuning is een inkoopmoment met een datum, geen incident. Een leverancier die stopt met repareren kondigt dat jaren vooruit aan, op de dag nauwkeurig. Wat op die dag verandert is niet je risico maar je bewijslast: doordraaien is vanaf dan een keuze die jij maakt, geen situatie die je overkomt. En een keuze heeft een eigenaar, een bedrag en een datum.

Patchbeheer is een abonnement, en je leverancier bepaalt de looptijd

Patchbeheer is een prima raamwerk. Inventariseren, prioriteren, testen, uitrollen. Het werkt, en het werkt beter naarmate je het strakker doet: het tempo tussen de dag dat een lek bekend wordt en de dag dat jij het dicht weegt inmiddels zwaarder dan je vaste onderhoudsvenster.

Maar het hele raamwerk rust op één aanname die niemand opschrijft: dat er iets te installeren valt. Dat is geen technisch gegeven. Het is een commercieel besluit van je leverancier, met een looptijd.

Kijk hoe expliciet Microsoft dat maakt. Windows 10 verloor op 14 oktober 2025 zijn ondersteuning. Uitstel is te koop, en de prijs vertelt je precies hoe zwaar Microsoft eraan tilt: Extended Security Updates kosten zakelijk 61 dollar per apparaat in jaar één en verdubbelen elk volgend jaar, met een maximum van drie jaar. Cumulatief, dus wie pas in jaar twee instapt betaalt jaar één alsnog. Technische ondersteuning zit er niet bij. Jaar drie kost vier keer jaar één.

Bij Exchange Server is het nog scherper. Exchange 2016 en 2019 vielen op diezelfde 14 oktober om, en sindsdien wordt de uitloop verkocht in plakjes van een half jaar. In april kondigde Microsoft een tweede ESU-periode aan die loopt van mei tot en met oktober 2026, met de mededeling dat er daarna geen verlengingen meer komen. Je moet dat contract opnieuw kopen, ook als je de eerste periode al had. En let op de kleine letters: Microsoft belooft niet dat er in die zes maanden überhaupt een update verschijnt. Je koopt het recht om een patch te ontvangen die er misschien nooit komt.

Dat is de kern die zelden hardop wordt gezegd. De toevoer van patches is een product met een contractduur, geen natuurwet.

De datum stond jaren in je agenda. De beslissing niet.

Hier zit het venijn, en Microsoft schrijft het gewoon op: je Exchange-installatie blijft na de einddatum draaien, alleen komen er geen beveiligingsfixes meer. Software die stopt met werken dwingt een beslissing af. Software die stopt met beschermen doet dat niet. Ze doet maandag precies wat ze vrijdag deed, en niemand in je bedrijf merkt iets.

Dat maakt het een organisatieprobleem, geen informatieprobleem. Einde-van-ondersteuningsdatums staan jaren vooruit gepubliceerd, in een tabel, op de dag nauwkeurig. Toch gedraagt bijna iedereen zich alsof ze onverwacht komen.

De cijfers zijn ongemakkelijk. In juni 2026, ruim acht maanden na de einddatum, draaide 28,1 procent van alle Windows-desktops wereldwijd nog Windows 10. Meer dan een kwart. Dichter bij huis: uit scans van de Shadowserver Foundation bleek in februari dat ruim duizend Nederlandse ip-adressen gekoppeld zijn aan end-of-life Exchange-servers en webdiensten die geen beveiligingsupdates meer krijgen, rechtstreeks bereikbaar vanaf het internet.

Dat zijn geen bedrijven die de aankondiging misten. Dat zijn bedrijven die hem lazen en er geen beslissing van maakten. Wat je niet ziet, plan je niet, en dat is ook waarom een leverancier die lekken in stilte dicht zonder release note het vertrouwen ondermijnt. Alleen is stil patchen een communicatiefout, en einde van ondersteuning een aangekondigd feit.

Het NCSC is er kort over: vervang een product voordat het end-of-life gaat, en lukt dat niet, beperk of blokkeer dan de internettoegang ervan. Lees dat tweede deel nog eens. Dat is precies wat Progress zijn ShareFile-klanten in juli vroeg, alleen dan permanent. Afschermen koopt je tijd; je data en processen losweken van één leverancier is het werk dat die tijd moet vullen.

Zonder patch verhuist de rekening naar de operatie

Wat mij aan de ShareFile-week het meest opviel, was niet de dreiging maar de rekening. Vier dagen geen bestandsuitwisseling voor een organisatie die daar haar dossiers en offertes doorheen stuurt, dat is geen securitykostenpost. Dat is omzet en vertrouwen.

Bij een tijdelijk gat kun je die rekening uitzitten. Bij einde van ondersteuning wordt hij structureel, en soms int je leverancier hem zelf. Microsoft laat Exchange Online e-mail van verouderde on-prem Exchange-servers eerst vertragen en daarna weigeren: negentig dagen na detectie accepteert Exchange Online geen enkel bericht meer van zo'n server, en kan de server niet gepatcht worden, dan moet hij definitief uit dienst. Sinds februari 2025 valt ook Exchange 2019 daaronder als het ver genoeg achterloopt.

Lees dat als bedrijfsrisico, niet als technisch detail. Je maakt op dat punt geen securitykeuze meer. Je e-mail stopt met werken op een klok die iemand anders instelt.

Per 15 augustus komt er in Nederland een laag overheen. De Cyberbeveiligingswet gaat dan gelden voor ruim 8.000 Nederlandse organisaties, met een zorgplicht om je risico's aantoonbaar te beheersen. Een systeem draaien waarvan de maker officieel heeft gezegd dat hij het niet meer repareert, is vanaf dat moment geen technische schuld meer maar een keuze die je moet kunnen uitleggen. Aan een toezichthouder, aan een klant wiens keten je binnenkomt, en na een incident aan je eigen bestuur.

Om eerlijk te zijn: te vroeg vervangen is ook duur

Het sterkste tegenargument komt niet van luie beheerders maar van goede financiële mensen. Het luidt: vervangen op het ritme van de kalender van je leverancier is een dure gewoonte. Migraties lopen uit en brengen hun eigen storingen mee. Werkende, afgeschreven software die precies doet wat ze moet doen is bedrijfsmatig prachtig bezit, en elke euro die daar niet heen gaat, kan naar iets dat wél groeit.

En de deadline blijkt telkens zachter dan aangekondigd. Exchange-klanten kregen na oktober 2025 eerst een half jaar uitloop en daarna nog een half jaar. Wie in het najaar van 2025 in paniek zijn hele omgeving had omgebouwd, had achteraf te vroeg betaald.

Dat argument klopt. Het gaat alleen over iets anders dan waar ik het over heb: over wanneer je vervangt, niet over of je hebt besloten.

En het draait zich tegen zichzelf. Precies het document dat die tweede uitloop gaf, zet de deur op slot: eind oktober 2026, en daarna niets meer. Elke verlenging is korter dan de vorige, moet opnieuw worden ingekocht en komt zonder de belofte dat er ook echt iets uitrolt. Afwachten voelt rationeel zolang de datum blijft schuiven, en is precies daarom de duurste houding: je plant op een toezegging die je leverancier eenzijdig intrekt.

Het verschil zit uiteindelijk in wat er op papier staat. "Exchange 2019 draait hier tot maart 2027, afgeschermd van internet, met deze compenserende maatregelen, en het vervangingsbudget staat in de begroting" is een beslissing. Die mag ruim na de datum van je leverancier liggen. Geen beslissing is: het systeem staat er nog, niemand is eigenaar, er is geen bedrag en er is geen alternatief in beeld. Voor de eerste organisatie is "zet hem uit" een vervelende week. Voor de tweede is het een crisis. Het is dezelfde discipline waarmee je exitrechten vastlegt voordat een investeerder je leverancier opkoopt: je regelt de uitgang op het moment dat je hem nog niet nodig hebt.

De echte vraag komt vóór de patch

Terug naar 10 juli. De ShareFile-klanten die vier dagen later weer online waren, hadden dat niet aan hun eigen voorbereiding te danken. Hun leverancier leverde toevallig alsnog. Dat is een dunne marge om een bedrijf op te laten rusten.

Of "er komt geen patch" een vervelende week is of een existentieel probleem, hangt niet af van je patchbeleid, je firewall of je back-up. Het hangt af van één vraag die je vandaag kunt beantwoorden of vandaag kunt blijven uitstellen: weet je wat dit systeem vervangt, wat dat kost en wie erover gaat? Zolang dat antwoord er niet is, beheers je geen risico. Dan heb je een aanname dat het goed blijft gaan.

Software die je niet op een moment van eigen keuze kunt uitzetten, is geen bezit. Het is een schuld met een aftelklok, en de leverancier houdt de klok bij.