Hoe kwetsbaar is de beveiliging in jouw keten?

Ketenrisico neemt toe

Volgens het Data Breach Investigations Report 2026 van Verizon was bij 48% van de onderzochte beveiligingsinbreuken een derde partij betrokken. Een jaar eerder was dat nog 30%. Daarmee is het aandeel in één jaar met 60% gestegen.

Ook het Europese cybersecurityagentschap ENISA waarschuwt in zijn nieuwste Threat Landscape, gepubliceerd op 22 september 2026, voor de risico's van digitale afhankelijkheden. Cybercriminelen richten zich niet alleen op individuele bedrijven, maar ook op software, systemen en dienstverleners waarmee ze meerdere organisaties tegelijk kunnen bereiken.

Voor bedrijven betekent dit dat cybersecurity niet ophoudt bij de eigen IT-omgeving. Ook de beveiliging van leveranciers en samenwerkingspartners speelt een rol.

Wat is ketenrisico precies?

Vrijwel iedere organisatie is digitaal verbonden met andere bedrijven. Denk aan een accountant die toegang heeft tot financiële gegevens, een externe IT-partner die systemen beheert of een cloudleverancier waarop belangrijke bedrijfsprocessen draaien.

Wanneer zo'n partij wordt gehackt, kunnen ook jouw gegevens of systemen gevaar lopen. Dat noemen we ketenrisico. 

Het gaat daarbij niet alleen om directe leveranciers. Ook de bedrijven waarvan zij afhankelijk zijn, kunnen een risico vormen. Zo kan een kwetsbaarheid in één veelgebruikte softwarecomponent uiteindelijk honderden organisaties raken.

Een recente cyberaanval op de Europese Commissie laat zien hoe dit werkt.

In maart 2026 werd de Europese Commissie getroffen door een cyberincident dat begon bij Trivy, een softwaretool die wordt gebruikt om kwetsbaarheden op te sporen.

Aanvallers hadden deze tool gemanipuleerd. Via een besmette versie, die langs het gebruikelijke software-updateproces werd verspreid, konden zij toegang krijgen tot een cloudomgeving van de Europese Commissie.
Volgens CERT-EU werd ongeveer 91,7 GB aan gecomprimeerde gegevens buitgemaakt, waaronder persoonsgegevens. Mogelijk werden ook gegevens van minstens 29 andere Europese instellingen geraakt.

Het opvallende aan deze aanval: de aanvallers hoefden niet rechtstreeks de systemen van de Europese Commissie binnen te dringen. Ze maakten gebruik van software die de organisatie vertrouwde.

Het is een voorbeeld van hoe een kwetsbaarheid in de digitale keten gevolgen kan hebben voor organisaties die zelf geen directe aanleiding voor een aanval vormen.

Ook voor het mkb zijn de gevolgen concreet

Je hoeft geen grote internationale organisatie te zijn om met ketenrisico te maken te krijgen.
Stel dat je een groothandel hebt en je voorraadbeheer volledig via een externe softwareleverancier loopt. Als die leverancier wordt getroffen door ransomware, kun je mogelijk geen orders meer verwerken.
Of je hebt een administratiekantoor dat klantgegevens deelt met een externe salarisverwerker. Een beveiligingsincident bij die partij kan ertoe leiden dat vertrouwelijke gegevens op straat komen te liggen.
Ook externe IT-beheerders verdienen aandacht. Zij hebben vaak uitgebreide toegangsrechten om onderhoud uit te voeren. Wanneer zo'n account wordt overgenomen, kan een aanvaller mogelijk toegang krijgen tot meerdere systemen.

Niet elk incident bij een leverancier leidt direct tot schade. Hoe groot de gevolgen zijn, hangt onder meer af van de toegang die een leverancier heeft en hoe afhankelijk je van zijn diensten bent.

Wat kun je doen om ketenrisico te beperken?

Je kunt niet van iedere leverancier alle beveiligingsmaatregelen controleren. Maar je kunt wel bepalen waar jouw grootste risico's zitten en welke maatregelen daarbij passen.

1. Breng je belangrijkste leveranciers in kaart

Begin met de partijen die toegang hebben tot bedrijfsgegevens of systemen. Kijk daarnaast welke diensten essentieel zijn voor je dagelijkse bedrijfsvoering. Wat gebeurt er als een van deze partijen een dag of langer uitvalt?

2. Beperk de toegang tot je systemen

Een leverancier hoeft niet automatisch toegang te hebben tot je volledige netwerk. Zorg voor afzonderlijke accounts, gebruik multifactorauthenticatie (MFA) en geef alleen de rechten die nodig zijn. Trek toegang in wanneer die niet meer nodig is.

3. Maak beveiliging bespreekbaar

Vraag belangrijke leveranciers hoe zij omgaan met cybersecurity. Gebruiken ze MFA? Hoe beschermen ze jouw gegevens? En hoe snel informeren ze je bij een incident? Leg belangrijke afspraken vast en bespreek ook hun afhankelijkheid van andere partijen.

4. Zorg dat een incident zich niet zomaar kan verspreiden

Met netwerksegmentatie, firewalls en gecontroleerde verbindingen kun je verschillende onderdelen van je digitale omgeving van elkaar scheiden. Zo hoeft een probleem bij één leverancier niet automatisch gevolgen te hebben voor je hele netwerk.

5. Bereid je voor op uitval

Wat doe je wanneer een cruciale leverancier tijdelijk niet beschikbaar is? Kun je orders handmatig verwerken, beschik je over bruikbare back-ups of is er een alternatief voor een belangrijk systeem? Door dit vooraf te regelen, kun je de impact van een incident beperken.

Hoe kwetsbaar is jouw organisatie via leveranciers?

Kun je deze vragen niet direct beantwoorden? Dan is het verstandig om je digitale afhankelijkheden verder in kaart te brengen.

Want digitale weerbaarheid gaat niet alleen over hoe goed je jouw eigen systemen beschermt. Het gaat ook over de vraag of je organisatie kan blijven functioneren wanneer er ergens anders in de keten iets misgaat.