Een enkele kwetsbaarheid bij een softwareleverancier kan honderden organisaties raken. Daarvoor waarschuwt Orange Cyberdefense in zijn nieuwste onderzoeksrapport Security Navigator 2026. Uit analyse van meer dan 139.000 incidenten blijkt dat de klassieke aanpak van cybersecurity tekortschiet voor de beveiliging van moderne softwareketens.
Volgens Orange Cyberdefense hebben die ketens door hun complexiteit en verwevenheid inmiddels meer weg van ‘supplywebs’. Moderne software draait zelden nog op een enkele leverancier of een afgebakend systeem. Applicaties bestaan uit opensourcecomponenten, cloudplatforms, SaaS-koppelingen, automatische updates, gedeelde infrastructuur en externe beheerdersrechten. Al die onderdelen grijpen op elkaar in. Daardoor kan een kwetsbaarheid of aanval bij een partij snel overslaan naar veel andere organisaties.
Veel organisaties hebben hierdoor minder grip op hun digitale omgeving dan ze denken. Wie een applicatie gebruikt, vertrouwt vaak ook op de onderliggende code, koppelingen, rechtenstructuren en diensten van derden. Juist daar ontstaan risico’s die buiten het directe zicht van securityteams vallen.
Impact vele malen groter
Dit gebrek aan controle heeft volgens Orange Cyberdefense verstrekkende gevolgen. Ketenaanvallen (zogeheten ‘ripple events’) kosten gemiddeld tien keer meer dan een incident bij één enkele organisatie. Vooral het mkb is hiervan het slachtoffer. Bij kleine bedrijven groeide het aantal slachtoffers het afgelopen jaar volgens het rapport 12% sneller dan het marktgemiddelde.
Overheden en organisaties stellen daarom strengere eisen aan leveranciers, audits en certificeringen. Vragenlijsten en controles geven echter weinig zicht op wat zich afspeelt in de onderliggende software en gedeelde infrastructuur. Ze meten naleving, geen weerbaarheid. Daarmee blijven de grootste risico’s buiten beeld.
5 maatregelen
Wie zijn supplyweb wil beveiligen, moet ingrijpen waar de risico’s zich concentreren:
1. Beveilig open source aan de basis
De Shai-Hulud-kwetsbaarheid liet in het najaar van 2025 zien hoe kwetsbaar supplywebs zijn. Eén ontwikkelaar met toegang tot populaire software wist ongemerkt meer dan 180 opensourcepakketten te besmetten, die zich binnen enkele uren verspreidden naar duizenden organisaties. Bedrijven die zelf niets fout deden, werden toch geraakt. Dit illustreert hoe snel een lokaal probleem een systeemcrisis kan worden.
Een groot deel van moderne software leunt op open source die wordt onderhouden door kleine teams of individuele ontwikkelaars. Extra controles bij afnemers lossen eventuele kwetsbaarheden niet op. Wie het supplyweb wil beschermen, moet investeren in de basis. Bijvoorbeeld in betere ondersteuning van ontwikkelaars, duidelijke afspraken over verantwoordelijkheid en sneller ingrijpen wanneer iets misgaat. Zonder die investering blijven kwetsbaarheden zich ongehinderd verspreiden.
2. Leg verantwoordelijkheden duidelijk vast
De SolarWinds-aanval legde in 2020 een pijnlijk falen bloot. Eén leverancier in een centrale rol kon duizenden organisaties besmetten via een vertrouwde update, terwijl de verantwoordelijkheid voor de schade volledig versnipperd bleef.
In een supplyweb is die vrijblijvendheid onhoudbaar. Wanneer fouten bij één leverancier hele sectoren verlammen, moet de aansprakelijkheid daar liggen waar de impact ontstaat. Beveiliging mag geen optionele kostenpost zijn; het moet via afdwingbare afspraken een integraal onderdeel zijn van de softwarelevering. Alleen door verantwoordelijkheid hard te maken, dwingen we de noodzakelijke weerbaarheid af.
3. Zorg voor zicht op afhankelijkheden, niet alleen op leveranciers
Bij de kwetsbaarheid in Cleo-filetransfersoftware bleek hoe weinig organisaties wisten waar deze software werd gebruikt en wie er precies van afhankelijk was. Veel bedrijven ontdekten pas laat dat zij onderdeel waren van het getroffen supplyweb.
Dat gebrek aan overzicht vergroot de schade. Organisaties moeten weten welke software ze gebruiken, welke onderdelen daarin zitten en waar ze kwetsbaar zijn. Dat vraagt om actief beheer van afhankelijkheden en continu inzicht in risico’s. Supplywebbeveiliging is geen eenmalige inventarisatie, maar een doorlopend proces dat meegroeit met de organisatie.
4. Behandel digitale koppelingen als bedrijfskritisch
De Salesloft-Drift-inbraak illustreert het groeiende gevaar van SaaS-to-SaaS-aanvallen, waarbij aanvallers via de ene cloudapplicatie binnendringen in de andere. Via één vertrouwde integratie kregen aanvallers toegang tot honderden klantomgevingen, zonder dat die organisaties zelf direct waren aangevallen.
In het supplyweb vormen digitale koppelingen de zwakste schakels. Ze verbinden kritieke systemen en data, waarbij ze vaak verregaande, geërfde toegangsrechten krijgen. Toch worden ze nog te vaak behandeld als een technisch detail in plaats van een strategisch risico. Effectieve beveiliging vereist strikte keuzes: wie krijgt toegang, welke data stromen er door de koppeling en hoe wordt misbruik gedetecteerd. Wie integraties niet beveiligt, zet de achterdeur van zijn organisatie wagenwijd open.
5. Werk samen en bereid je voor op nieuwe regels
Veel aanvallen op het supplyweb worden pas zichtbaar wanneer organisaties informatie met elkaar delen. Wat voor één bedrijf een los incident lijkt, blijkt in samenhang vaak onderdeel van een groter patroon. Zonder samenwerking blijven zulke signalen te lang onopgemerkt.
De Security Navigator 2026 onderstreept daarom het belang van sectorbrede samenwerking. Dat helpt organisaties sneller reageren op dreigingen die zich via softwareketens verspreiden. Tegelijk bereiden zij zich daarmee voor op de Cyber Resilience Act. Deze Europese verordening verplicht fabrikanten vanaf 11 september 2026 om actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten te melden. Vanaf 11 december 2027 gelden de belangrijkste verplichtingen volledig, waaronder strengere eisen aan de cyberveiligheid van producten met digitale elementen.
Van incidenten naar systeemrisico
“Wat organisaties nu ervaren, is geen reeks losse incidenten maar een systeemrisico”, zegt Charl van der Walt, Head of Security Research bij Orange Cyberdefense. “Digitale afhankelijkheden zorgen ervoor dat fouten overslaan naar de hele keten. Zolang we cybersecurity benaderen als een interne IT-zaak of een compliance-oefening, blijft dat risico bestaan. We moeten accepteren dat veiligheid in het supplyweb een gezamenlijke verantwoordelijkheid is.”
“De schade van supplyweb-incidenten komt vaak terecht bij partijen die er geen zicht of invloed op hebben. Dat is economisch onhoudbaar”, aldus Dennis de Geus, CEO van Orange Cyberdefense Nederland. “Nu software kritieke infrastructuur is, moeten transparantie, aansprakelijkheid en samenwerking vanzelfsprekend worden. Alleen dan voorkomen we dat structurele kwetsbaarheden zich blijven vertalen in sectorbrede schade.”
Dit bericht is geplaatst op ons open Business channel en valt buiten de verantwoordelijkheid van de redactie.
