computable
127 nieuwsberichten gevonden
Van uitvoerder naar regisseur: hoe ai werk en talent samenbrengt
1 week
BLOG – De strijd om talent wordt niet langer in het voordeel beslist van de organisatie die de beste recruiters heeft, maar die technologie het slimst inzet. Ai schuift talentmanagement op van de uitvoer van handmatige taken naar een datagedreven discipline die snelheid, kwaliteit en transparantie combineert. Hoe ziet dat er in de praktijk uit?
De inzet van ai maakt dat recruiters makkelijker, sneller én beter kunnen werken. Waar het doorzoeken van honderden profielen van kandidaten vroeger dagen kostte, legt ai in seconden verbanden tussen functietitels, skills en ervaring. Moderne systemen herkennen dat een ‘developer’ en een ‘software engineer’ vaak hetzelfde betekenen en signaleren automatisch geschikte kandidaten.
Maar ai gaat verder. Het kan arbeidsmarktdata, zoals vacatureteksten en profielinformatie, realtime analyseren en voorspellen welke skills schaars worden. Vervolgens kan de technologie organisaties tijdig waarschuwen om hier hun instroom of ontwikkeling op aan te passen. Daarnaast kan ai communicatie tussen recruiters en kandidaten automatiseren, van het eerste persoonlijke contact tot het plannen van gesprekken en het geven van (tussentijdse) terugkoppelingen. Zo verschuift de rol van recruiters: minder repetitieve selectie en meer focus op strategische keuzes en relatieopbouw.
Minder bias
De belofte is groot: snellere processen, betere matches tussen vacatures en kandidaten en minder bias. Maar de risico’s die hieraan kleven, zijn reëel. Slecht getrainde modellen kunnen bestaande ongelijkheden versterken of verkeerde aannames maken. Daarom bouwen organisaties veiligheidslagen in hun ai-toepassingen om ai transparant te houden. Denk bijvoorbeeld aan:
Audit-trails die vastleggen welke beslissingen systemen nemen en op basis van welke data;
Uitlegbaarheidsprincipes die voorkomen dat beslissingen ‘black box’ zijn;
Protocollen zoals model context protocol die erop toezien dat ai-systemen gecontroleerd en veilig met elkaar communiceren.
Kandidaten
Niet alleen organisaties maken gebruik van ai, ook kandidaten zetten de technologie in. Een persoonlijke ai-assistent kan vacatures scannen, voorstellen genereren en automatisch sollicitaties indienen. Dit in combinatie met organisaties die ai gebruiken om die sollicitaties te beoordelen, gesprekken te plannen en de shortlist te maken, creëert een wereld waarin delen van het sollicitatieproces ai-to-ai verlopen.
Technologie doet de voorselectie
Maar hoe blijf je in deze door technologie gedreven wereld authenticiteit waarborgen? Hoe houd je de mens achter de kandidaat zichtbaar? Door deze technologische verschuiving verandert de rol van professionals in talentmanagement ingrijpend. De uitvoerder van gisteren wordt de regisseur van morgen: iemand die ai slim aanstuurt, de resultaten interpreteert en ruimte krijgt voor activiteiten met meer impact, zoals relatieopbouw, employer branding en het duiden van context. Het vak wordt minder transactioneel en meer toekomstgericht.
De toekomst van talentmanagement ligt daarom niet in het vervangen van menselijk contact, maar in regie en transparantie. Technologie doet de voorselectie, maar de beslissingen die ertoe doen, blijven de verantwoordelijkheid van de mens.
Agentic
Wat vandaag nog losse toepassingen zijn, groeit in de komende jaren uit tot een agentic-ai-ecosysteem: systemen die zelfstandig beslissingen voorbereiden, van elkaar leren en talentmanagement naadloos koppelen aan andere organisatieprocessen, zoals learning & development. In die wereld is talentmanagement geen geïsoleerd proces meer, maar een intelligente laag binnen de hele organisatie. Instroom, ontwikkeling en doorstroom van talent groeien uit tot een datagedreven systeem dat voorspelt, verbindt en versterkt.
Organisaties die ai zien als strategisch instrument, zetten talentmanagement opnieuw op de kaart als motor voor groei en wendbaarheid.
Marelle Beune, recruitment director HeadFirst Group
Kort: Oracle sky high dankzij Stargate, Amsterdamse Dyme naar Risk (en meer)
1 week
Orderboek van Oracle explodeert, Sopra Steria breidt zijn datasoevereiniteitsoplossing uit, fintechstartup Dyme onderdeel van insurtechbedrijf Risk en cybersecurity betreedt sportveld. Dat zijn de onderwerpen van dit nieuwsoverzicht.
Oracle spint garen bij Amerikaans ai-project Stargate
Oracle heeft zijn orderboek zien exploderen tot vijfhonderd miljard dollar, mede dankzij het door president Trump gelanceerde Project Stargate. Dit nationale ai-programma voorziet in de bouw van datacenters in de VS en daarbuiten, bedoeld om technologische voorsprong en nationale veiligheid te waarborgen.
De Amerikaanse leverancier van software en cloudtechnologie blijkt de eerste grote begunstigde: de cloudomzet steeg met meer dan driekwart naar achttien miljard dollar en moet de komende jaren doorgroeien tot 144 miljard. Beleggers reageerden enthousiast: het aandeel Oracle schoot 28 procent omhoog.
Ook chipmakers, koelings- en netwerkleveranciers zoals Nvidia, TSMC en Cisco hopen mee te liften. In Nederland wordt uitgekeken naar mogelijke kansen voor ASML en ASM International.
Sopra Steria voegt post-quantum-encryptie toe aan eigen Datasphere
Sopra Steria heeft zijn data-soevereiniteitsoplossing Datasphere uitgebreid met hybride post-quantum-encryptie. De technologie combineert klassieke cryptografie met quantumbestendige algoritmen en moet organisaties beschermen tegen toekomstige dreigingen die voortvloeien uit de opkomst van quantumcomputers.
Datasphere biedt al functies als data-labeling, encryptie en attribuutgebaseerde toegangscontrole binnen onder meer Microsoft Office. Met de toevoeging van post-quantumtechnologie voldoet de oplossing aan aanbevelingen van Nist en internationale standaarden, zoals die van de Navo.
Volgens Sopra Steria-directeur Thierry Lempereur verstevigt de ontwikkeling de digitale soevereiniteit van klanten en maakt het een veilige overgang naar post-quantumbeveiliging mogelijk.
Risk neemt fintech Dyme over
De Amsterdamse fintechstartup Dyme komt in handen van insurtechbedrijf Risk, dat deels eigendom is van het Zweedse Söderberg & Partners. Dyme, bekend van het televisieprogramma Dragons’ Den en een van de grootste financiële apps van Nederland, heeft ruim 600.000 gebruikers die samen meer dan veertig miljoen euro op hun huishoudpotje bespaarden.
Met de overname, waarvan de financiële details niet bekend zijn gemaakt, krijgt Risk toegang tot een jonge doelgroep en breidt Dyme zijn aanbod en internationale ambities uit, te beginnen in Duitsland. Het merk en managementteam blijven zitten waar ze zitten. Risk wil met Dyme’s technologie huishoudens helpen grip te krijgen op vaste lasten en betere keuzes te maken voor verzekeringen, abonnementen en energie.
Cybersecurity maakt transfer naar voetbal en padel
Niet alleen spelers, ook sponsors worden steeds slimmer gekozen. Zo haalt Girona FC een digitale keeper in huis. Of meer precies, het Amerikaanse securitybedrijf WatchGuard als officiële cybersecuritypartner. De Spaanse club beschermt voortaan stadion, trainingscomplex en academie met realtime-dreigingsdetectie.
Ondertussen kiest padelwereldkampioen Agustín Tapia voor Commvault. De Argentijn, de Mozart van Padel genoemd, prijkt dit seizoen met het logo van de data-protectiespecialist op zijn shirt.
Zowel WatchGuard als Commvault benadrukken de parallellen: veerkracht, voorbereiding en snelle reactie zijn onmisbaar, of je nu een cyberaanval moet keren of een punt wil maken.
Half miljoen euro voor infostealer-bestrijder Passguard
1 week
Passguard, gespecialiseerd in het monitoren van infostealermarktplaatsen, haalt half miljoen euro op bij een aantal angel-investeerders en cybersecurityexperts. Daaronder bevinden zich Dimitri van Zantvliet (cybersecuritydirecteur bij de Nederlandse Spoorwegen), Rogier Fischer (oprichter/directeur van Hadrian) en Pieter Jansen (oprichter en voormalig directeur van Cybersprint en momenteel partner bij cybersecurity-investeerder Ctrl+Alt+Invest).
Infostealers (een samentrekking van ‘information’ en ‘stealer’) zijn een vorm van malware en worden op dezelfde manier verspreid als een virus. Ze zitten vaak verstopt in apps of andere downloads. Cybercriminelen verzamelen er persoonlijke informatie mee. Het aantal besmettingen met infostealers is de laatste jaren fors toegenomen.
Passguard infiltreert op het darkweb en geeft organisaties via een platform en api direct inzicht in aangetaste apparaten en gecompromitteerde sessies door infostealers. Daarmee stelt de startup uit Leusden organisaties in staat een cruciale dreiging af te dekken die zij anders zouden missen. Tot de klanten van Passguard behoren Damen Shipyards, Royal FloraHolland, Afas Software en Hadrian.
Het bedrijf gebruikt het extra kapitaal voor het schaalbaar en toegankelijk maken van data via zijn api, zodat securityintegrators dit direct kunnen inzetten bij hun klanten.
Blinde vlek
Voor Dimitri van Zantvliet was de focus van Passguard doorslaggevend om te investeren: ‘Infostealers zijn op dit moment een van de grootste blinde vlekken in cybersecurity. Passguard pakt dit probleem aan op een ethische en toegankelijke manier. Het is ‘Made in Holland’, precies het soort onafhankelijke Europese oplossing waar veel organisaties naar op zoek zijn.’
Spoelstra Spreekt: Hier gaan we het niet over hebben
1 week
COLUMN – Het is de grote vraag: waar gaan we het de komende verkiezingen over hebben? Tijdens de vorige verkiezingen ging het vooral over asielzoekers, wat eigenlijk ‘vluchtelingen’ zijn (maar zo noemen we ze liever niet want dan wordt het wat ongemakkelijk).
De grenzen dichtgooien, lost al onze problemen op. We kunnen dan weer in een huis wonen, het minimumloon gaat omhoog, de zorg is geen zorg meer en uiteraard verdwijnt het eigen risico van de zorgverzekering als sneeuw voor de zon. Sterker, bij je eerstvolgende doktersbezoek ontvang je een premie – zoveel geld zouden we overhouden als we de grenzen dicht zouden gooien.
Meeuwen komen ook al schreeuwend aanvliegen
Dat dit in Groot-Brittannië niet heeft geholpen en de problemen daar alleen nog groter heeft gemaakt, waren we even vergeten. Maar helaas, de grenzen dichtgooien is niet gelukt. Het enige wat dicht is gegooid, zijn een aantal deuren naar partijen onderling.
Fatsoen
De komende verkiezingen gaan vooral over fatsoen. Tenminste, voor een deel van de kiezers. Een niet eens heel klein deel heeft hier lak aan en wil nog steeds op een partij stemmen die niet voor niets een meeuw in haar logo heeft. Meeuwen komen ook al schreeuwend aanvliegen, vreten alles op, schijten alles eronder en vliegen weer weg.
En verder gaan we het hebben over de onrechtvaardige hypotheekrenteaftrek, we gaan weer meer huizen bouwen, uiteraard een strenger asielbeleid en er zal ook wel vast iemand het woordje stikstof in de mond nemen. Daarnaast zal de SGP wel weer terug willen naar 1951 en gaat de Boeren Lobbie Partij weer haar best doen om cadeautjes aan haar leden uit te delen.
Hier gaan we het dus allemaal over hebben tijdens de aanstaande verkiezingen. En dus niet over ict. Daar zijn we het blijkbaar allemaal over eens.
Jacob SpoelstraJacob Spoelstra is columnist/stand-upcomedian. Kijk hier voor meer informatie.
Verschuivingen in ecd-landschap ouderenzorg
1 week
In de Nederlandse ouderenzorg wisselen nogal wat organisaties van leverancier als het gaat om elektronische cliëntendossiers (ecd’s). Anders is het gesteld in de gehandicaptenzorg. Waar voorgaande jaren grote verschuivingen lieten zien, blijft het beeld in 2025 juist vrij stabiel. Dit blijkt uit de jaarlijkse ecd-inventarisatie die adviesbureau M&I/Partners uitvoerde in beide zorgsectoren.
Marktleider Nedap won verder terrein, terwijl PinkRoccade behoorlijk terugzakt. Organisaties in de top 100, die nog met MijnCaress van PinkRoccade Healthcare werken, zijn inmiddels gestart met een heroriëntatie of selectie van een ander ecd. MijnCaress trekt zich als ecd uit de markt. Eigen berichtgeving van de leverancier bevestigt dat ook.
In de gehandicaptenzorg is PinkRoccade in de inventarisatie inmiddels al volledig uit beeld verdwenen. Nedap vergroot opnieuw zijn marktaandeel en heeft er drie nieuwe organisaties als klant bij. Daarmee blijft het de grootste speler binnen de gehandicaptenzorg.
In de ouderenzorg zijn er nog zes zorgorganisaties uit de top 100 die gebruikmaken van PinkRoccade’s MijnCaress. Nedap groeit met twee klanten. M&I/Partners ziet dit jaar een lichte stijging van het aantal behandeldossiers bij zowel Nedap als Gerimedica.
Rol van ai
Aanvullend op de ecd-marktinventarisatie is dit jaar ook gekeken naar de rol van artificiële intelligence (ai) binnen het ecd. Steeds meer leveranciers ontwikkelen ai-toepassingen die zorgverleners ondersteunen in hun werk, gericht op verlichting van administratielast, betere dossiervorming en snellere besluitvorming. Ai wordt steeds vaker geïntegreerd als digitale assistent. Dit werkt tijdbesparend en vormt een nuttige aanvulling. Maar altijd zonder het professionele oordeel van de zorgverlener over te nemen.
In ontwikkeling zijn chatbots die zorgprofessionals ondersteunen met adviezen of het beantwoorden van vragen over cliënten. Hetzelfde geldt voor ai-dienstenmatchers en virtuele planners die op basis van context, passende acties of diensten voorstellen.
Amsterdams-Russische Nebius ‘hofleverancier’ van Microsoft
1 week
Het van oorsprong Russische Nebius dat momenteel vanuit Amsterdam opereert en daar het internationale hoofdkwartier heeft, gaat op grote schaal ai-infrastructuur leveren aan Microsoft.
Zelf spreekt dit techbedrijf dat voortkomt uit de ‘Russische Google’ Yandex, van een vijfjarige deal die vele miljarden dollar waard is. Volgens persbureau Reuters bedraagt de contractwaarde 17,4 miljard dollar tot 2031.
Als Microsoft nog meer capaciteit voor de training en de uitrol van ai-modellen nodig heeft, kan dit bedrag oplopen tot 19,4 miljard dollar. Nebius dat aan de Amerikaanse techbeurs Nasdaq is genoteerd, zag de waarde van zijn aandelen dinsdag met liefst 41 procent opveren. Het bedrijf is nu meer dan negentig miljard dollar waard.
Gpu’s
Nebius heeft zich gespecialiseerd in ai-gerichte cloud-infrastructuur met gpu’s van Nvidia en eigen maatwerk-hardware en – software als basis. Het bedrijf staat bekend om de vele innovaties op gebied van cloudsecurity.
Als eerste komt er capaciteit voor Microsoft beschikbaar in een nieuw datacenter dat Nebius in New Jersey uit de grond heeft gestampt. Extra capaciteit houdt het bedrijf achter de hand in Kansas City en op IJsland, terwijl ook wordt uitgebreid in Finland.
Nebius bedient niet alleen Microsoft, maar speelt ook een sleutelrol bij de ondersteuning van Israëls geavanceerde tech-ecosysteem. Het bedrijf vormt de drijvende kracht achter het nationale supercomputer-project van Israël. De Israel Innovation Authority heeft Nebius daartoe in de arm genomen.
Het pas in 2023 opgerichte Nebius heeft opmerkelijke successen geboekt na de grondige herstructurering van Yandex. Die reorganisatie was nodig na de vele geopolitieke verschuivingen met als dieptepunt de Russische inval in Oekraïne. Het bedrijf draait in hoge mate op jonge Russische wetenschappers die naar het Westen zijn gevlucht.
Medeoprichter Arkady Volozh verhuisde overigens al in 2014 naar Israël. De topman van Nebius verwacht na de deal met Microsoft nog veel meer belangrijke langetermijncontracten met vooraanstaande ai-labs en big-tech-bedrijven te kunnen afsluiten. Volgens hem is dit nog maar het begin. ‘Deze deal helpt ons ook de groei van onze ai-cloud te versnellen in 2026 en daarna.’
Nebius heeft r&d-centra in Europa, Noord-Amerika en Israël. Grote concurrent is CoreWeave.
Liveblog Cybersec 2025 – voorbeschouwing
1 week
Dit liveblog is afgelopen.Er zijn nog geen liveblog-updates. Toon meer
ASMI, de stille kracht achter chip van morgen
1 week
BLOG – ASM International is niet het type bedrijf dat voorbijkomt in de kwartaalcijfers van Nvidia of TSMC. Toch speelt deze Nederlandse multinational een sleutelrol in de race naar steeds kleinere, snellere en efficiëntere chips: halfgeleiderproductie waar laagjes atoom voor atoom worden neergelegd.
Genoemde procedé heet atomic layer deposition – in de industrie kortweg ALD genoemd – en is wat ASMI groot maakte. En in het tijdperk dat eraan komt, het Angstrom-tijdperk, wordt die precisie geen luxe, maar noodzaak.
Chips hebben altijd hun grenzen verlegd door kleiner en complexer te worden. De FinFET-architectuur, die ruim een decennium dienstdeed, is nu technisch aan het eind van zijn Latijn. De nieuwe ster aan het firmament heet Gate-All-Around (GAA), een transistor waarin het stroomkanaal niet aan één kant maar letterlijk aan alle kanten – boven, onder en opzij – wordt omarmd door de gate die het gedrag regelt. Dat levert schonere schakelingen op, minder lekstroom, en dus hogere prestaties met minder energieverbruik.
Dat is nog maar het begin. Na GAA volgt de forksheet-transistor, een variant waarin p- en n-transistoren, normaal gesproken naast elkaar, gescheiden worden door een extreem smalle wand, zodat ze dichter op elkaar kunnen worden geplaatst. Het resultaat? Hogere dichtheid, zonder prestatieverlies. Een soort stedelijke verdichting op nanoschaal.
En daarna? Dan komen we bij de complementary FET, oftewel CFET. Daarbij worden p- en n-transistoren niet meer naast, maar boven op elkaar gestapeld. Een complete omdraaiing van hoe chips tot nu toe zijn ontworpen. Dat is geen evolutie meer, dat is herscheppen. En dat vereist iets heel anders van de apparatuur die die structuren moet bouwen: perfect gelaagde materialen, zero foutmarge.
Nanosheet
Of het nu gaat om de precisie waarmee nanosheet-kanaaltjes worden bekleed in een gaa-structuur, of om het zorgvuldig groeien van afwisselende lagen silicium en germanium voor forksheet-opbouw, de ASMI’s tools zijn bij elke stap essentieel. Zonder hen geen werkende GAA, geen stapelbare CFET en geen Angstrom.
Toch zakte de koers van ASMI eerder dit jaar stevig in. Orders vertragen, cycli keren. Maar wie alleen naar het kwartaal kijkt, mist het decennium. De echte waarde van ASMI zit niet in dit jaar, maar in de zekerheid dat iedereen straks ALD nodig heeft. En dat bijna niemand het zo goed kan als zij.
Rob Koelmans, directeur MetaMicro Automatisering
ING: it-dienstensector groeit licht harder dan economie
1 week
De Nederlandse it-dienstensector blijft dit jaar en ook volgend jaar harder groeien dan de economie. Wel wordt het gat met het bbp kleiner. Waar de economie naar verwachting groeit met 1,6 procent in 2025 (en 1,1 procent in 2026), wordt de groei van de it-diensten geraamd op 2 procent per jaar. Tot die voorspelling komt de ING op basis van onderzoek.
Die groei wordt vooral gedragen door de stijgende clouduitgaven, die in Nederland dit jaar met veertien procent toenemen, zo verwacht de bank. Dat ligt onder het wereldwijde gemiddelde van twintig procent, zoals onderzoeksbureau Gartner meldt.
Daarnaast helpen steeds meer it-dienstverleners hun klanten bij de eerste implementaties van artificiële intelligentie (ai). Toch zet extra volumegroei vanuit ai pas mondjesmaat door, omdat bedrijven eerst duidelijke use-cases en digitale processen moeten inrichten.
ING ziet ai als systeemtechnologie de komende decennia voor extra economische groei zorgen. Wel loopt Europa hierin achter op de VS, waar ontwikkelaars en kapitaalmarkten beter gepositioneerd zijn. Nederlandse it-dienstverleners profiteren indirect, doordat zij vooral Amerikaanse ai-toepassingen implementeren bij klanten. Ook speelt de vraag naar soevereine cloudoplossingen, mede door geopolitieke spanningen, een rol in de marktgroei.
Personeelstekort
Het grootste knelpunt blijft het personeelstekort. Hoewel de urgentie afneemt – een krappe derde van de ondernemers noemt het de belangrijkste groeibelemmering, tegen 58 procent in 2022 – zijn er in de bredere telecom, media & technologie (tmt)-sector nog altijd zo’n 18.000 vacatures. Tegelijkertijd neemt het ondernemersvertrouwen toe en verwacht 87 procent van de bedrijven de investeringen op peil te houden of te verhogen.
De omzetontwikkeling van it-dienstverleners blijft stabiel. In het eerste kwartaal van 2025 groeide de omzet met zes procent, grotendeels gedreven door prijsstijgingen in software en hogere salarissen. Ondanks de margedruk van Amerikaanse hyperscalers, die hun prijzen fors verhogen om ai-investeringen te financieren, weten Nederlandse it-dienstverleners hun marges overwegend te handhaven.
Ransomware in de zorg, hoe gaat Eurofins om met Nederlandse data?
1 week
Wat was de rol van het Franse bedrijf Eurofins in de hack van een van hun laboratoria: Clinical Diagnostics Nederland? Deel 6 over informatiebeveiliging in de zorg.
‘Begin juli is het netwerk van Clinical Diagnostics Nederland getroffen door een gerichte cyberaanval. Hierbij hebben hackers ongeautoriseerde toegang verkregen tot een deel van de IT-omgeving van Clinical Diagnostics NMDL en Clinical Diagnostics LCPL. Er zijn geen andere laboratoria binnen het netwerk van Clinical Diagnostics Nederland door dit incident getroffen,’ zo verwoordt het lab de enorme dataroof van privégegevens van honderdduizenden Nederlanders. Het Nederlandse lab is er één van de 950 die Eurofins exploiteert. De in Parijs genoteerde en snelgroeiende multinational verwerkt wereldwijd voor veel overheden heel veel data (zie kader).
Hoe de ransomware-aanval heeft kunnen plaatsvinden is onduidelijk, daarover willen het lab en het moederbedrijf nog niks kwijt. Eurofins zegt wel hard te werken aan de eigen cybersecurity: ‘In 2024 is er een aanzienlijke inspanning geleverd om niet alleen gebruikers te scheiden, maar ook applicaties.’ Een proces dat dit jaar zou hebben doorgelopen. Ook over het al dan niet goed versleuteld zijn van al die data houdt men de lippen nog op elkaar. Twee andere vragen die al snel rondgingen wil men wel toelichten.
Tijd tussen ransomware-aanval en bericht
Het lab heeft zelf op haar website uitgelegd waarom er zoveel tijd zat tussen de hack en de bekendmaking: ‘Dat kwam doordat we eerst onze systemen veilig moesten maken, technisch en forensisch onderzoek hebben gedaan, de schade voor betrokkenen wilden beperken en de getroffen gegevens hebben onderzocht. Deze stappen waren nodig om goed te kunnen communiceren met de getroffen organisaties en personen.’
Verder zegt het lab een goede reden te hebben om zo veel gegevens op te slaan: ‘In de zorgsector is het wettelijk verplicht om medische gegevens en bijbehorende persoonsgegevens gedurende een bepaalde termijn te bewaren. Dit is nodig om goede zorg te kunnen leveren, bijvoorbeeld om eerdere onderzoeken of uitslagen te kunnen raadplegen en om te voldoen aan wettelijke administratie- en bewaarplichten.’
Bsn is een sleutel, waarom dan bewaard met de data erachter?
Per persoon is er ontzettend veel data gestolen: van patiënten gaat het om naw, geslacht, geboortedatum, bsn, onderzoeksgegevens, testuitslagen, en van de zorgorganisatie die het onderzoek heeft aangevraagd om gegevens als naam instelling, naam zorgverleners, AGB-code, adres en contactgegevens. Een kwestie die veel wenkbrauwen deed fronsen is waarom zaken als naw, geslacht en geboortedatum samen met het bsn werden opgeslagen, terwijl die al achter het bsn schuilgaan.
‘Erkende zorgverleners in Nederland zijn wettelijk verplicht om het bsn van hun patiënten vast te leggen en te bewaren’, legt Maureen Veurman, woordvoerder van Clinical Diagnostics Nederland, uit aan Computable. ‘Ze gebruiken het bsn als ze gegevens over patiënten uitwisselen. Daarom zat het bsn ook in het lek bij Clinical Diagnostics. Met het nummer kunnen de onderzoeken aan de juiste personen worden gekoppeld.’
Niks gewijzigd
Verder willen het lab en Eurofins niet veel kwijt, lopende het onderzoek. ‘Wij vinden het afschuwelijk dat dit incident heeft plaatsgevonden en beseffen dat dit bij betrokkenen veel zorgen en vragen oproept,’ zegt Veurman. ‘Wij bieden onze oprechte excuses aan voor het feit dat deze hack heeft kunnen plaatsvinden. Wij werken intensief samen met gespecialiseerde externe experts om de oorzaak van het incident en onze systemen nader te onderzoeken. Dat onderzoek vormt de basis voor eventuele nadere maatregelen.’
Het enige lichtpuntje bij de kwestie is wellicht dat er bij het lab waarschijnlijk geen gegevens zijn gewijzigd. Veurman: ‘voor zover bij ons bekend zijn de gegevens alleen ingezien en gekopieerd.’
De andere delen van deze miniserie zijn hier te vinden.
Feiten en cijfers over EurofinsEurofins is een in Luxemburg gevestigde, in Brussel te contacteren en in Parijs genoteerde multinational met een beurswaarde van rond de 11 miljard euro. Het bedrijf heeft zo’n 63.000 werknemers en meer dan 950 laboratoria in meer dan 60 landen. Vlak voor de lab-hack rapporteerde het een halfjaaromzet van 3,6 miljard euro, een groei van 5,7 procent vergeleken met een jaar eerder. De winst voor belastingen (ebitda) bedroeg 810 miljoen euro, wat 7,0 procent hoger was. Sinds de beursgang in 1997 heeft het bedrijf een bijzonder hoog gemiddeld samengesteld jaarlijks groeipercentage (cagr) van meer dan 23 procent weten te halen. Het zit zo goed in de slappe was, dat het net besloten heeft om gebruikte locaties te kopen die het niet al bezit.In Nederland heeft het 35 vestigingen, veelal bv’s, ongeveer de helft laboratoria, waaronder acht in de zorgsector, zoals de gehackte in Rijswijk. Eurofins is een gewild doelwit van ransomware-aanvallen en datadieven, omdat het ontzettend veel medische, agrarische, milieu- en forensische (test)gegevens verzamelt. Zo werd in juni een Britse dochter getroffen door een ransomware-aanval, waarna de Britse politie de samenwerking met het bedrijf staakte. Het bedrijf zou er verantwoordelijk zijn voor meer dan de helft van het forensische werk, met jaarlijks meer dan 70.000 strafzaken. En zo waren er vaker dataproblemen bij het bedrijf.Desondanks is het bedrijf trots op de ontwikkeling van de eigen cybersecurity: ‘Eurofins heeft zijn Bitsight-score consistent verbeterd en blijft op een volwassen niveau. Een externe beoordeling van meer dan 200 cyberbeveiligingscontroles, uitgevoerd door CyberVadis, een beveiligingsbedrijf, gaf Eurofins een score van 952/1000 punten (tegen 817 in 2023), wat onze voortdurende inzet voor robuuste cyberbeveiligingspraktijken weerspiegelt.’ Het mitigeert het risico op ransomware-aanvallen en hacks door ’Strategische segmentatie van it-infrastructuur en -applicaties, het creëren van afzonderlijke netwerken om de veerkracht van het bedrijf te versterken en de verspreiding van IT-incidenten te beperken, implementatie van een robuust upgradeprogramma voor informatiebeveiliging dat de beveiliging binnen het gehele Eurofins-netwerk systematisch versterkt, exploitatie van een 24-uurs security operations centre (soc) dat verantwoordelijk is voor het monitoren en beantwoorden van meldingen van het siem-systeem, aangevuld met ids-implementatie, moderne edr- en webbeveiligingsmogelijkheden,’ en ook uitgebreide awareness-trainingen.
Kort: Databricks lievelingetje van investeerders, 18 miljoen smartphones in lades (en meer)
1 week
Heel veel kapitaal voor Databricks en een fractie daarvan voor Oaasis, gemeenten maken werk van schadeclaim Groupcard, PQR haat Itam binnen, Vertiv laat oog vallen op Waylay en achttien miljoen ongebruikte smartphones in Nederland. Dat zijn de onderwerpen in dit nieuwsoverzicht.
Databricks sluit nieuwe ronde van miljard dollar af
Er blijft maar geld stromen naar Databricks. De Amerikaanse specialist in data en artificial intelligence (ai) sluit een nieuwe financieringsronde (Series-K) af waarbij een miljard dollar aan kapitaal wordt opgehaald. De ronde wordt mede geleid door de kapitaalverschaffers Andreessen Horowitz, Insight Partners, MGX, Thrive Capital en WCM Investment Management. Eind 2024 haalde het bedrijf nog tien miljard aan groeigeld op.
De verwachtingen rond de dataexpert zijn hooggespannen: de bedrijfswaardering is gestegen tot boven de honderd miljard terwijl de omzet ongeveer drie miljard dollar bedraagt. Maar Databricks lijdt ook nog zware verliezen: ruim vierhonderd miljoen.
Gedupeerde gemeenten bereiden schadeclaim Groupcard voor
Zo’n 120 door Groupcard gedupeerde gemeenten willen via de Vereniging van Nederlandse Gemeenten (VNG) serieus werk maken van een schadeclaim bij de eigenaar, meldt NOS. Het lijkt erop dat de directeur gemeentetegoeden gebruikt heeft om gaten te dichten. Inmiddels is ook duidelijk dat de failliete bv-kluwen, die tegoedkaarten uitgaf voor gemeenten die zo hun minima laagdrempelige hulp gaven, voor sommige kaarten een vergunning had moeten hebben, maar die niet had. Zeker een op de drie gemeenten had (veel) gemeenschapsgeld gegeven aan het piepklein bedrijfje dat tientallen bv’s en merknamen beheerde en geen vergunning had. Een gehoopte redding door Centric ging niet door.
HGT Invest stapt in bij supply-chain-tool-leverancier Oaasis
Oaasis haalt bij HGT Invest 2,9 miljoen euro op voor een ai-gedreven modulaire oplossing voor supply-chainoptimalisatie, bedoeld voor het mkb. ‘In vergelijking met grote internationale bedrijven ontbreekt het kleinere bedrijven vaak aan de juiste software, processen en mensen voor optimaal supplychainmanagement’, stelt medeoprichter Wouter Samama. Met de tool van Oaasis nemen gebruikers met behulp van data, scenarioanalyses en prognoses onderbouwde beslissingen over inkoop, productie, voorraad en logistiek. De Amsterdamse startup gebruikt het extra kapitaal van HGT om personeel aan te trekken en verder op te schalen in de Benelux.
PQR neemt Itam over
De Utrechtse it-dienstverlener PQR breidt zich uit met de overname van Itam Solutions. Dit in 2007 opgerichte bedrijf uit Eindhoven is gespecialiseerd in it-assetmanagement en biedt advies in finops en kostenbeheer. Itam telt 41 medewerkers; oprichtster Simone van Sambeek blijft aan boord. Afgelopen juni nam PQR al E-Storage over, een expert in databeschikbaarheid, backup en herstel. De acquisities worden financieel ondersteund door Bechtle, de Duitse moedermaatschappij van PQR. Koopsom en voorwaarden zijn niet bekendgemaakt.
Vertic neemt Belgisch Waylay over
Het in 2014 opgerichte Waylay komt in handen van Vertiv, een Amerikaanse leverancier van onderdelen voor de inrichting van datacenters. Het Gentse bedrijf biedt software waarmee machines, apps en diensten vlot met elkaar samenwerken (zogeheten ‘ai-driven hyperautomation software voor workflows’). Vertiv wil de technologie van Waylay inzetten in zijn eigen producten.
18 miljoen ongebruikte smartphones in Nederlandse lades
Terwijl Apple zijn iPhone 17 lanceert en consumenten hier weer massaal op overstappen, liggen er in Nederland ruim achttien miljoen te recyclen smartphones ongebruikt in laatjes. En Nederland staat niet alleen: in heel Europa gaat het om 431 miljoen te recyclen smartphones met een totale grondstoffenwaarde van 1,1 miljard euro, waarvan 827 miljoen euro aan goud.
Toch wordt slechts een tiende van de toestellen daadwerkelijk gerecycled; een gemiste kans om waarde te behouden en de afhankelijkheid van schaarse en geopolitiek gevoelige grondstoffen als kobalt en goud te verkleinen, meldt Refurbed, een marktplaats voor refurbished producten, na onderzoek. Het bedrijf heeft dit laten uitvoeren door Fraunhofer Austria.
Digitalisering en innovatie speerpunt bij Productiviteitsagenda
1 week
Digitalisering en innovatie staan bovenaan de vijf gebieden die Nederland meer productiviteit moeten brengen. Door mkb’ers te helpen digitaal te werken en een Nederlandse ai-fabriek te bouwen, kunnen bedrijven processen sneller, goedkoper en slimmer uitvoeren.
Zo blijkt uit de 1e Productiviteitsagenda die het kabinet maandag presenteerde. Ook verlaging van de administratieve lastendruk is een belangrijk speerpunt, evenals betere financiering van bedrijven. Verder zoekt het kabinet het in meer onderwijs en in het leven lang ontwikkelen. En minder onzekerheid rond loondoorbetaling bij ziekte verlaagt risico’s voor ondernemers. Verder komt er een Productiviteitsraad. Deze geeft elk jaar concrete adviezen om Nederland productiever en dus welvarender te maken.
Productiviteitsgroei
Er moet snel wat gebeuren, want de vertraging in productiviteitsgroei is zorgwekkend volgens het kabinet. Tussen 1974 en 2013 nam de productie per gewerkt uur in Nederland gemiddeld met 1,5% toe. In de afgelopen 10 jaar bedroeg die groei nog maar 0,4%. Door deze stagnatie is onze economie bijna 100 miljard euro kleiner dan als de groei de laatste tien jaar 1,5% was gebleven. Dat staat gelijk aan vijf maal de jaarlijkse uitgaven aan defensie, en bijna twee keer de uitgaven aan onderwijs. Het beetje groei dat is overgebleven kwam doordat we meer uren hebben gewerkt. Maar door de vergrijzing van de bevolking kunnen we niet rekenen op veel meer extra gewerkte uren.
R&D
Een land als België geeft relatief aanzienlijk meer uit aan R&D. Nederland zit op 2,2% van het bruto binnenlands product (bbp), België op 3,3%. Qua productiviteitsgroei torent België ook boven Nederland uit. Op de ranglijst van OESO-landen is Nederland van de vierde plaats naar plek 10 gezakt. Volgens minister Vincent Karremans (Economische Zaken) staat Nederland nu in het ‘rechterrijtje’. ‘Dat is niet goed,’ zei hij. ‘En het vooruitzicht is slechter.’
Voor grote ondernemingen draait productiviteitsverhoging om het blijven innoveren en concurreren op internationaal niveau. Dat kan via digitalisering, procesoptimalisatie of investeringen in R&D. Het kabinet wil dat Nederland bij de mondiale top blijft behoren.
De voorliggende Productiviteitsagenda is de eerste in een jaarlijkse cyclus. Een woordvoerder van Economische Zaken verwacht dat samenstelling van de nieuwe Productiviteitsraad begon volgend jaar bekend zal zijn.
20% besparen op je Azure-kosten en een secure score van 80%: Zo doet Bizure dat.
1 week
Azure biedt organisaties schaalbaarheid, flexibiliteit en toegang tot een breed scala aan diensten. Toch zien veel organisaties hun kosten ongemerkt oplopen. Niet door grote fouten, maar door kleine inefficiënties zoals overgedimensioneerde VM’s, onnodig actieve resources en een gebrek aan inzicht in verbruik. Bizure helpt klanten om hier structureel grip op te krijgen, met een aanpak die kostenbesparing combineert met performance, veiligheid en rust in de operatie.
Over Bizure
Bizure is specialist in proactief beheer van Azure, data-omgevingen en Microsoft 365. De focus ligt daarbij op security, kostenbeheersing, kwaliteit en continuïteit. Dit doen wij op basis van een eXperience Level Agreement (XLA). Als Cloud Competence Center en gecertificeerd CSP-partner biedt Bizure naast beheer ook advies, optimalisatie en begeleiding bij compliance-trajecten zoals ISO en DORA.
Gebrek aan inzicht leidt tot onnodige kosten
Marco van der Steijle, Operationeel Directeur bij Bizure:“Veel IT-afdelingen missen inzicht in hun Azure-verbruik,” vertelt Marco van der Steijle, Operationeel Directeur bij Bizure.
“Daarom starten we altijd met een analyse: wat draait er, wat kost het, en is het nodig? Vervolgens optimaliseren we: van het afschalen van overcapaciteit tot het benutten van reserveringen en het stroomlijnen van licenties. Zo besparen we gemiddeld 20%, zonder concessies aan performance of veiligheid.”
Zonder deze aanpak lopen kosten ongemerkt op en blijft overcapaciteit bestaan. Dat zet druk op IT-budgetten en belemmert organisaties om cloudtechnologie strategisch en toekomstgericht in te zetten.
XLA-beheer: van reactief naar proactief
Marco:“Veel cloudbeheer is ad hoc: er gebeurt iets en dan los je het op. Wij draaien dat om. Met proactief beheer kijken we vooruit, signaleren risico’s vroegtijdig en werken structureel aan verbetering. Denk aan structurele analyses op security, kosten en kwaliteit. Tickets horen erbij, maar het echte verschil zit in wat we doen vóórdat er iets fout gaat.”
Traditionele beheeraanpakken blijven vaak hangen in reactief handelen en focussen op uptime. Bizure doorbreekt die status quo met XLA-gedreven beheer gericht op toegevoegde waarde. We sturen op vijf assen: security, kwaliteit, kostenbeheersing, veerkracht en ‘no hassle’. Die laatste staat voor rust in de operatie: geen verrassingen of eindeloze opvolging. Gewoon goed geregeld. Onze dienstverlening wordt door klanten gewaardeerd met een gemiddeld cijfer van 8,6.
Een secure score van 80% of hoger
Naast kosten en performance is security een essentiële pijler in het cloudbeheer van Bizure. Via analyses en gerichte acties helpt Bizure klanten om hun Microsoft Secure Score structureel te verhogen. Microsoft hanteert een gemiddelde secure score van 60-65%. Bij Bizure gaan wij een stap verder. Wij hanteren namelijk een structurele secure score van 80% of hoger.
Marco:“Security is geen momentopname. We monitoren continu, adviseren over verbeterpunten en helpen met implementatie. Ons doel is een secure score van minimaal 80% en dat lukt bij de meeste klanten. Daarmee verklein je risico’s en vergroot je vertrouwen in je cloudomgeving.”
Inzicht & controle:
Wil je een eerste stap zetten in kostenbesparing en het verhogen van je secure score? Dan is het Azure Cost Compass van Bizure een krachtig startpunt. Dit pakket biedt direct inzicht in verbeterkansen en helpt organisaties actief te sturen op kosten, performance en security.
Het bestaat uit:
Een uitgebreide Azure Health Scan
Een grondige securityanalyse
Overzicht van quick wins voor directe besparing
Concreet advies voor strategische verbeterpunten in kostenbeheer, performance en beveiliging
Meer weten? Plan een afspraak via www.bizure.nl/contact of neem direct contact op met Marco van der Steijle via marco.vandersteijle@bizure.nl.
Tweede Kamer kritisch op NIS2-wetgeving
1 week
Zorgen over verzwaringen en artikel 18
De Tweede Kamer zit vol vragen over het wetsvoorstel Cyberbeveiligingswet (Cbw) die de Europese NIS2-richtlijn omzet in nationale regelgeving.
Zo’n 8.100 Nederlandse bedrijven en instellingen die gelden als essentiële of belangrijke entiteit, gaan daar straks onder vallen. Maar tal van aspecten vereisen een nadere verduidelijking van de regering. Ook zijn er de nodige twijfels, onder meer over de gekozen verzwaringen, zo blijkt uit het verslag van de vaste commissie voor Digitale Zaken dat op 8 september is vastgesteld.
Zwaardere eisen
D66 vraagt welke onderdelen van de huidige nationale wetgeving tekortschieten en waarom zwaardere eisen dan de minimumeisen van de richtlijn nodig zijn. Gewezen wordt op de aanbevelingen van het Adviescollege Toetsing Regeldruk (ATR) die daar geen aanleiding toe ziet.
Ook wordt gevraagd te reageren op de kritiek die NLdigital heeft geuit op de onverwachte toevoeging van artikel 18.Volgens de it-branchevereniging geeft dat ministers vergaande bevoegdheden om het gebruik van it-leveranciers te verbieden. Ook VNO-NCW en MKB-Nederland hebben ernstige bezwaren.
NLdigital waarschuwt dat deze toevoeging de aantrekkelijkheid van Nederland voor internationale techbedrijven schaadt. Deze toevoeging zou zich niet verhouden tot het streven naar een Europees gelijk speelveld. Het plotseling moeten vervangen van it-leveranciers kan ook leiden tot ernstige verstoringen in essentiële en belangrijke dienstverlening. Voor veel digitale infrastructuur zijn alternatieven niet zomaar beschikbaar. Migratietrajecten vergen jaren voorbereiding, aldus NLdigital.
De uitbreiding van de zorgplicht zou ook niet passen binnen de NIS2-systematiek, die juist uitgaat van een risico-gebaseerde aanpak. Artikel 18 was niet opgenomen in eerdere consultatieversies van het besluit. De toevoeging is enkel onderbouwd in de memorie van toelichting, zonder wettelijke grondslag in de oorspronkelijke tekst. NLdigital stelt dat dit het zorgvuldige consultatieproces ondermijnt en zelfs de Raad van State wordt gepasseerd. De branchevereniging heeft een alternatief ontwikkeld, een herontwerp op basis van het Duitse model van ‘kritische componenten’.
Ook over de kern van de richtlijn is discussie. Het CDA is benieuwd naar de reden voor de keuze om uit te gaan van minimumharmonisatie. Een van de problemen van de NIS1-richtlijn was juist dat er teveel verschillen tussen lidstaten ontstonden. De regering wordt gevraagd een compleet overzicht te delen van alle onderdelen van het wetsvoorstel die verder gaan dan de minimumeisen van de richtlijn. GroenLinks-PvdA wil weten welke problematische tegenstrijdigheden tussen de implementatie in lidstaten de komst van de NIS2-richtlijn rechtvaardigen.
Cyberbeveiliging
Alle fracties die vragen hebben gesteld, onderschrijven de noodzaak van strengere en effectievere wetgeving op het gebied van cyberbeveiliging. Opvallend is dat de grote fracties van PVV en BBB niet de moeite hebben genomen om vragen in te dienen of opmerkingen te geven. En dat terwijl de Cyberbeveiligingswet een grote stelselherziening inhoudt. Omvangrijk is de uitbreiding van reikwijdte en verplichtingen.
De Tweede Kamer maakt zich zorgen over de enorme vertraging bij de inwerkingtreding van de Cyberbeveiligingswet. Aanvankelijk ging het ministerie van Justitie en Veiligheid uit van het derde kwartaal van dit jaar. Maar nu hoopt minister David van Weel op het tweede kwartaal van 2026. GroenLinks-PvdA vindt dat Nederland veel te laat is met deze implementatie. Deze fractie vraagt of de vertraagde invoering gevolgen heeft voor de cyberveiligheid van Nederlandse entiteiten. De nodige onduidelijkheid bestaat er verder nog over de samenhang van de cyberbeveiligingswet met de CER-richtlijn (kritieke entiteiten) en DORA (Digital Operational Resilience Act, financiële sector).
De leden van de GroenLinks-PvdA-fractie vinden het essentieel dat bestuursleden van entiteiten doordrongen zijn van het belang van cyberveiligheid. Deze leden constateren echter dat er in veel instanties te weinig interne kennis en kunde is op het gebied van it, wat bestuurlijk overleg over cyberveiligheid bemoeilijkt. De kennis over it en cyberveiligheid dient breed gedragen te worden. GroenLinks-PvdA ziet echter wel het risico dat de brede opleidingsverplichting de kennis kan verwateren.
Daarom zou het verstandig zijn als de NIS2-richtlijn de kans biedt voor besturen om één bestuurslid als eindverantwoordelijke op het gebied van it en cyberveiligheid aan te wijzen. Wellicht is het beter wanneer deze beschikt over diepere specialistische kennis, in plaats van dat alle bestuursleden enkel over algemene kennis beschikken.
Eindverantwoordelijkheid
Volgens het wetsvoorstel worden de vakministers verantwoordelijk binnen hun sectoren. Maar de minister van Justitie en Veiligheid krijgt een centrale en coördinerende rol. GroenLinks-PvdA vraagt zich af of deze bewindsman dan niet beter ook eindverantwoordelijk kan worden voor alle sectoren. VVD en GroenLinks-PvdA vragen hoe de samenwerking tussen vakministers en de minister van Justitie en Veiligheid praktisch vorm krijgt.
Overigens valt op dat de coördinerende staatssecretaris voor Digitalisering en Koninkrijksrelaties geen rol heeft in deze wet. GroenLinks-PvdA vraagt daar een verklaring voor. SP en ChristenUnie willen duidelijkheid over taakverdeling tussen ministers en zelfstandige bestuursorganen. Ook is het D66 en CDA niet duidelijk waarom onderwijsinstellingen onder de wet vallen, terwijl dit optioneel is in de EU-richtlijn. GroenLinks-PvdA vraagt waarom ziekenhuizen niet standaard worden aangewezen als essentiële entiteiten, ondanks hun cruciale rol.
GroenLinks-PvdA wijst op het nut van een ‘cyberjaarverslag’ een gestandaardiseerd jaarlijks inzicht in de stand van de it en het voldoen aan digitale wetgeving. Onder meer zorgverzekeraar CZ en ingenieursbureau Arcadis hebben dat al.
Cybersec Netherlands 2025: resilience, soevereiniteit en ai als drijvende krachten
1 week
Drie thema’s krijgen volop aandacht op Cybersec Netherlands 2025: digitale soevereiniteit, resilience en ai. Een beknopte gids voor de sessies rond deze thema’s.
Op 10 en 11 september delen experts in de Jaarbeurs Utrecht hun inzichten over hoe grip te houden op uw infrastructuur en veerkracht op te bouwen in een vijandig dreigingslandschap. Ook de belofte én risico’s van ai komen er uitvoerig aan bod.
👉 Ontdek het programma.
1. Resilience: weerbaar ondanks aanvallen
Cybersecurity draait allang niet meer alleen om preventie. De hamvraag is: hoe veerkrachtig blijf je als je tóch getroffen wordt? Resilience betekent daarmee ook: accepteren dat aanvallen onvermijdelijk zijn, en juist daarom bouwen aan systemen die blijven draaien.
In deze presentaties komt een resilience-aanpak aan de orde:
👉🏼 Luuk Danes (SECO-Institute – mainstage op 10 september) waarschuwt dat organisaties nú stappen moeten zetten richting quantum-safe cryptografie om niet morgen in de problemen te komen.
👉🏼 Max Heinemeyer (Darktrace – mainstage op 11 september) deelt strategieën voor het opbouwen van cloud-weerbaarheid in een steeds complexere dreigingsomgeving.
👉🏼 Het Nationaal Cyber Security Centrum en het Digital Trust Center presenteren in de Stronger Together Partner Dome op 10 september ‘Assume breach: from security to resilience’ een duidelijke wake-up call. Hun boodschap: ga ervan uit dat je al gebreached bent, en richt je processen in op continuïteit en impactbeperking.
👉🏼 CYRA-IT biedt in ‘Building cyber resilience in your chain, one step at a time’ een praktische route voor mkb en ketenpartners. Met hun laagdrempelige aanpak leren bedrijven hun weerbaarheid stap voor stap op te bouwen, zonder meteen in zware certificeringstrajecten te duiken. Op 10 september in de Stronger Together Partner Dome.
2. Digitale soevereiniteit: grip op je infrastructuur
Wie is er eigenlijk in controle over onze digitale infrastructuur? Die vraag keert op veel podia terug.
👉🏼 Ciso Fleur van Leusden (mainstage op 11 september) maakt in ‘Clouded judgment: why u.s. tech giants can’t guarantee sovereignty’ duidelijk dat Europese organisaties zich niet in slaap moeten laten sussen door compliance-labels of EU-datacenters van Amerikaanse hyperscalers. Politieke druk uit Washington kan immers altijd doorwerken in dienstverlening.
👉🏼 Frank Breedijk (Schuberg Philis) benadert dit topic in ‘The IT sovereignty debate? Is it bi-polar or on a spectrum?’ (mainstage op 11 september). Hij laat zien dat soevereiniteit niet zwart-wit is, maar dat organisaties bewuster moeten bepalen welke mate van afhankelijkheid acceptabel is.
👉🏼 Willemijn Rodenburg-Luitse neemt bezoekers in de Stronger Together Partner Dome op 10 september mee in ‘Digital sovereignty in the digital age: how to reclaim control’. Met praktische stappen toont zij hoe individuen en organisaties digitale afhankelijkheden kunnen doorbreken en meer autonomie kunnen terugwinnen.
3. Ai als risico én innovatie
Artificiële intelligentie (ai) is alomtegenwoordig in cybersecurity – als wapen, maar ook als zwakke plek. Ook op Cybersec Netherlands.
👉🏼 Chris van ’t Hof (Tek Tok & DIVD – mainstage op 10 september) laat in ‘Hack out. How our start-up crashed the electricity grid’ zien hoe ai-tools voor de energiemarkt onverwacht catastrofale bijeffecten kunnen hebben.
👉🏼 Jake Moore (ESET op mainstage op 10 september) demonstreert in ‘Facing reality: hacking facial recognition’ live hoe ai gezichtsherkenning kan misleiden – ook bij banken en opsporingsdiensten. Technologie die veiligheid moet brengen, blijkt zelf een bron van dreiging.
👉🏼 Onur Korucu (GovernID/IAPP op mainstage op 11 september) reflecteert in ‘The innovation-ethics paradox: Can ai be both bold and responsible?’ op de balans tussen innovatie en verantwoordelijkheid. Hoe zorgen we dat ai-gedreven oplossingen niet ontsporen?
👉🏼 Pieter Jansen (CTRL+ALT+INVEST op mainstage op 11 september) pakt in ‘Innovation theatre won’t save us from ai-driven attacks’ de economische context beet: hij waarschuwt dat Nederland te voorzichtig is in het omarmen van nieuwe security-innovaties, en zo kwetsbaar blijft voor ai-gedreven aanvallen.
Geen losse thema’s
Bovenal maakt Cybersec Netherlands 2025 duidelijk dat soevereiniteit, resilience en ai geen losse thema’s zijn, maar elkaar versterken. Wie zijn digitale afhankelijkheden doorgrondt, bouwt ook veerkracht op. Wie veerkrachtig is, kan ai inzetten en innovatie benutten zonder blind risico te lopen.
Utrecht wordt zo op 10 en 11 september niet alleen het toneel van waarschuwingen, maar vooral van mogelijkheden en daadkracht: hoe organisaties en professionals vandaag al keuzes kunnen maken die morgen het verschil zullen maken.
Praktisch:
👉 Ontdek het programma
👉 Praktische informatie
👉 Registreer je gratis
Zo voorkom je te grote afhankelijkheid van cloudleveranciers
1 week
BLOG – Veel organisaties zitten gevangen in vendor lock-in: ze zijn zo afhankelijk geworden van bepaalde cloudleveranciers, dat switchen praktisch onmogelijk is geworden. Dit soort scenario’s wil je als organisatie natuurlijk voorkomen. In deze blog onderzoeken we hoe je de risico’s van een te grote cloud-afhankelijkheid op een laagdrempelige manier kunt inschatten én welke stappen je kunt zetten om deze afhankelijkheden beter te beheersen.
Anno 2025 is een groot deel van de bedrijven verweven met clouddiensten. Van e-mail en CRM tot boekhouding en back-up: steeds meer onderdelen van bedrijfskritische processen zijn uitbesteed aan externe partijen. Op zich is daar niets mis mee. Sterker nog, hyperscale cloudproviders (zoals AWS en Azure) leveren organisaties enorme voordelen op in termen van schaalbaarheid, innovatie en kostenbesparing.
Het probleem: veel organisaties verliezen de controle over hun leveranciers en de afhankelijkheden. Ze weten niet meer precies waar ze van afhankelijk zijn en wat de gevolgen kunnen zijn bij een te grote afhankelijkheid. Recente ontwikkelingen – van geopolitieke spanningen tot strengere privacywetgeving – maken dit risico steeds zichtbaarder. Want wat doe je als leveranciers plotseling hun voorwaarden wijzigen, prijzen verhogen of bepaalde diensten stopzetten?
Soevereiniteit: meer dan alleen nationaliteit
Organisaties zoeken daarom steeds vaker naar alternatieven in de vorm van de ‘soevereine cloud’: een cloud-omgeving waarbij je meer controle houdt over je data en minder afhankelijk bent van buitenlandse leveranciers. Maar wat betekent dat eigenlijk precies? Is een Nederlands datacenter met Amerikaanse hardware bijvoorbeeld soeverein? En wat als de data in Europa staat, maar de metadata elders wordt verwerkt?
Soevereiniteit is geen ja/nee-vraag, maar een spectrum. De ene organisatie wil alles binnen Europa houden, de andere accepteert Amerikaanse cloudproviders zolang de data maar lokaal blijft. Het gaat er dus vooral om welk niveau van afhankelijkheid acceptabel is voor jouw organisatie, en hoe kwetsbaar dat je maakt.
De uitdaging: van bewustzijn naar actie
In gesprekken met CIO’s van grote organisaties zie je wat dat betreft een herkenbaar patroon. Ze zijn zich bewust van de risico’s van een te grote afhankelijkheid, maar worstelen met het zetten van concrete stappen. Begrijpelijk ook: het gaat om complexe materie. Bovendien is het vaak lastig om budget vrij te maken voor het verkleinen van risico’s die zich mogelijk zullen voordoen.
Tegelijkertijd investeren diezelfde organisaties wel systematisch in andere vormen van risicomanagement: noodaggregaten voor stroomuitval, back-upsystemen voor datauitval, en cybersecurity-maatregelen tegen digitale bedreigingen. Voor leveranciersafhankelijkheid ontbreekt die systematische aanpak vaak.
Een praktische aanpak: begin met inventariseren
Omdat dit gebrek aan een systematische aanpak tot echte risico’s leidt, is het goed om je te realiseren dat een complete cloud-exit meestal helemaal niet nodig is. Pak om te beginnen de leverancierslijst [Jv1] uit je administratie er eens bij en stel jezelf voor elke leverancier drie vragen:
Kritisch proces?
Heeft deze leverancier invloed op een bedrijfskritisch proces? En welke schade ontstaat concreet bij uitval? Denk hierbij aan operationele stilstand, forse migratiekosten, compliance-problemen zoals AVG-boetes, of reputatieschade.
Directe impact?
Kan deze leverancier op korte termijn de dienstverlening beëindigen of drastisch wijzigen?
Acceptabel bedrijf?
Is het voor jouw organisatie acceptabel om afhankelijk te zijn van dit bedrijf? Dit is een strategische afweging: welke wet- en regelgeving volgen ze? Hoe stabiel zijn ze in financieel en operationeel opzicht? En heeft je organisatie er vertrouwen in dat ze zorgvuldig omgaan met jullie data? Ook geopolitieke overwegingen spelen een rol. In welk land is de leverancier gevestigd, en welke politieke risico’s brengt dat wellicht met zich mee?
Van analyse naar actieplan
Op basis van de antwoorden is een gericht actieplan op te stellen.
Gaat het om een kritisch proces bij een bedrijf dat niet acceptabel is voor jouw organisatie? Dit vraagt om directe actie. Hier zitten jouw grootste risico’s, dus het is verstandig om zo snel mogelijk naar een alternatief te zoeken.
Gaat het om een kritisch proces bij een acceptabel bedrijf, maar met mogelijk directe impact? Je hebt minimaal een uitgewerkte exit-strategie nodig. Het bedrijf is weliswaar betrouwbaar, maar snelle veranderingen kunnen direct grote gevolgen hebben. Zorg dat je voorbereid bent op verschillende scenario’s.
Betreft het een niet-kritisch proces en/of is er slechts indirecte impact? Je kunt dit risico waarschijnlijk accepteren. Houd de situatie wel in de gaten en evalueer periodiek of de omstandigheden zijn veranderd.
Bewuste keuzes maken
Het belangrijkste is dat je elke keuze bewust maakt. Misschien concludeer je dat een bepaalde internationale cloudprovider perfect past bij jouw situatie. Je werkt voor een groot bedrijf met goede relaties, de kans op problemen is klein, en je hebt vertrouwen in de stabiliteit.
Of je besluit dat bepaalde workloads toch beter in een Nederlandse of Europese private cloud kunnen draaien, met een hybride strategie die het beste van beide werelden combineert. Ook dat is een valide keuze, zolang je maar weet waarom je ervoor kiest. Zeker voor vitale infrastructuur is een hybride strategie vaak de meest verstandige optie om risico’s te spreiden.
De eerste stap: weten waar je staat
Schaalbaarheid, innovatie en kostenefficiëntie: hyperscalers hebben ons zoals gezegd enorme voordelen gebracht. Die voordelen hoef je niet op te geven. Maar begin wel met inzicht: maak een overzicht van je belangrijkste leveranciers en analyseer systematisch je afhankelijkheden. Want pas als je weet waar je staat, kun je bewuste keuzes maken over waar je naartoe wil.
Jochem van Lierop, chief technology officer Conclusion Mission Critical
Digitale innovatie: van apps naar agents
1 week
Waar digitale innovatie ooit begon met apps, zien we nu een sterke verschuiving naar ai en ai-agents. Welke digitale innovatie gaat met een Computable Award beloond worden?
De nieuwe ai- technologieën nemen repetitieve taken over, verlagen werkdruk en verhogen efficiëntie, zo analyseert hoofdjury-lid Reza Sarshar in deze video.
In de categorie Digitale Innovatie van de Computable Awards 2025 draait het om initiatieven die traditionele bedrijfsprocessen radicaal hebben getransformeerd met behulp van ICT. Het resultaat? Slimmere, efficiëntere en snellere processen.
Uit de 28 voordrachten in de categorie Digitale Innovatie zijn deze 10 nominaties naar voren gekomen:
AI-gestuurde Living Heart-modellen (Dassault Systèmes)
Control Room (Team Visma | Lease a Bike en SureSync by Visma)
CrowdStrike Charlotte AI Detection Triage
Dragon Copilot (Microsoft en ChipSoft)
Gekwalificeerd elektronisch ondertekenen (Potential-programma, Trusted Information Partners, TIP-partner Cleverbase/Vidua en SBR Nexus)
GenAI videolabeling (AvroTros, Xebia en Google)
HectoQubit/2 (Delft Circuits, Orange Quantum Systems, Qblox en QuantWare)
NurseAssist (Kepler Vision en Mobotix)
OutSystems Mentor
Philips ePatch
Meer over de cases is te vinden op deze pagina.
Stemmen
Het stemproces voor de Computable Awards 2025 is geopend en loopt tot 5 oktober. Publieksstemming bepaalt voor vijftig procent de winnaar.
Breng hier uw stem uit.
Ook buigen de betrokken juryleden zich over de genomineerden per categorie, een gemiddeld oordeel dat ook voor de helft meeweegt.
Op 18 november worden per categorie de winnaars aangewezen. Dit gaan we doen in De Polar bij Jaarbeurs in Utrecht. Het thema van de avond wordt ‘Rebooting Reality’ waarmee we bij de Computable Awards 2025 speciale aandacht hebben voor de noodzaak om onze digitale wereld opnieuw te doordenken in een tijd waarin geopolitieke spanningen, ai, energiecrises en informatieoorlogen alles op scherp zetten. In een wereld waarin de werkelijkheid steeds minder vanzelfsprekend is, moeten we opnieuw kiezen wat we écht belangrijk vinden. ‘Rebooting Reality’ is een uitnodiging om de digitale samenleving van de toekomst opnieuw op te starten – bewuster, veiliger, menselijker.
Partner Computable Awards 2025?Wilt u partner worden van de Computable Awards 2025, hét jaarlijkse festijn in de Nederlandse ict-markt? Verbind dan uw naam aan dit evenement en woon op 18 november de spectaculaire uitreiking bij!
Kort: GPUGate is complexe cyberaanval op it-sector, Copilot valt tegen (en meer)
1 week
In dit nieuwsoverzicht: GPUGate nieuwste cybercrimecampagne tegen West-Europa , TTNL en FIELDS groeien door, Noord-Holland investeert in vastgoed-ai, Copilot verbetert productiviteit niet echt, Protons Europese alternatief voor Zoom, Teams, Google Meet in bèta.
GPUGate nieuwste cybercrimecampagne tegen West-Europa
Het soc van Arctic Wolf heeft een nieuwe, complexe cybercrimecampagne ontdekt, die zich specifiek richt op de it-sector in West-Europa. Deze maakt gebruik van de repositorystructuur van GitHub in combinatie met betaalde plaatsingen op Google Ads om gebruikers naar een kwaadaardige download te lokken die gehost werd op een lookalike-domein. ‘Door een commit-specifieke link in de advertentie te plaatsen, lieten de aanvallers de download lijken alsof deze afkomstig was van een officiële bron, waardoor de gebruikelijke controle van gebruikers effectief werd omzeild,’ zo meldt het bedrijf. ‘De geleverde malware is uniek: de 128 MB Microsoft Software Installer omzeilt de meeste bestaande security sandboxes, terwijl een gpu-gated decryptieroutine de payload versleuteld houdt op systemen zonder een echte gpu. We hebben deze nieuwe aanvalstechniek ‘GPUGate’ genoemd.’
TTNL Group en FIELDS groeien door
Het Utrechtse TTNL Group heeft Cisol uit Nieuwegein overgenomen, de service-provider van mission-critical it en managed services voor AIX, Linux, Kubernetes en Openshift. Het is de tweede overname van TTNL in een week. ‘Met een sterke focus op applicatiemodernisatie, migraties en het beheer van bedrijfskritische omgevingen, sluit de expertise naadloos aan,’ aldus de twee. Beide zitten nu in de portefeuille van het Nederlands-Duitse FIELDS, samen met onder andere AIOps en Erik Sterck. De investeerder wil zo voor de Utrechters ‘de positie als leider in de Europese it-industrie verder versterken, zowel via gerichte buy & build-initiatieven als door middel van organische groei-initiatieven.’
Noord-Holland investeert in vastgoed-ai
Het Innovatiefonds Noord-Holland heeft 350.000 euro geïnvesteerd in de Haarlemse ai-startup Reavant, zo melden de twee. De nieuweling bouwt ‘ai-agents die de productiviteit van vastgoedteams verhogen bij het managen van assets en portefeuilles. Deze ai-agents werken samen met vastgoedprofessionals en automatiseren complexe workflows die traditioneel veel tijd en middelen kosten.’ De vastgoedsector zou nog altijd veel inefficiencies hebben, met veel handmatige processen, gefragmenteerde data en systemen. De nieuwe oplossing wil ai-agents gebruiken om documenten te analyseren, contractuele verplichtingen te bewaken en inzichten te genereren die helpen om de portefeuilleprestaties te maximaliseren. De investering is een converteerbare lening.
Copilot verbetert productiviteit niet echt
In het Verenigd Koninkrijk heeft de overheid drie maanden een proef gedaan met Microsofts M365 Copilot, maar die heeft ‘geen merkbare productiviteitswinst opgeleverd’, zo meldt The Register. ‘Sommige taken zijn versneld, maar andere zijn langzamer geworden vanwege een lagere kwaliteit van de output.’ De drie populairste taken waren het transcriberen of samenvatten van een vergadering, het schrijven van een e-mail en het samenvatten van schriftelijke communicatie. Wat opviel is dat ‘de M365 Copilot-gebruikers Excel-data-analyses langzamer voltooiden en met een slechtere kwaliteit en nauwkeurigheid dan niet-gebruikers.’ Verder zei 22 procent hallucinaties te hebben opgemerkt, 43 procent niet en 11 procent wist het niet zeker.
Protons Europese alternatief voor Zoom, Teams, Google Meet in bèta
Proton is in de testfase met een eigen Meet-versie, zo heeft het bedrijf aan Tweakers gemeld. ‘Proton Meet wordt momenteel in gesloten kring getest. Het is niet bekend hoelang de periode voor deze gesloten bèta gaat duren.’ De aanbieder wil echter nog geen publieke releasedatum delen. Het bedrijf speelt in op de groeiende behoefte aan Europese digitale soevereiniteit.
ASML stuwt Europese ai met miljardeninvestering in Mistral
1 week
ASML investeert 1,3 miljard euro in het Franse ai-bedrijf Mistral, aldus persbureau Reuters. Daarmee wordt de chipmachinefabrikant de grootste aandeelhouder in Mistral AI. De financiële steun van ASML heeft als achtergrond versterking van de digitale soevereiniteit van de EU. De investering maakt Europa minder afhankelijk van Amerikaanse en Chinese ai-modellen.
Bij dit soort omvangrijke investeringen wordt meestal een zetel in de board bedongen. ASML’s president en ceo Christophe Fouquet heeft overigens net als Mistral mede-oprichter en CEO Arthur Mensch de Franse nationaliteit.
Open-source
Mistral beweegt zich net als OpenAI op het gebied van generatieve ai. De open-source taalmodellen (llm’s) van Mistral zijn minder zwaar en daardoor efficiënter dan die van de concurrentie. De ai-assistent van Mistral, Le Chat, slaat standaard de gegevens over de gevoerde conversatie na afloop van een sessie niet op voor toekomstig gebruik of training. Dit gebeurt alleen wanneer de gebruiker expliciet aangeeft die te willen bewaren of te exporteren. Tijdens het chatten worden berichten real-time verwerkt om reacties te genereren. De mogelijkheid van lokale zelfhosting van de llm’s kan vanuit oogpunt van privacy interessant kan zijn.
ASML ontwikkelt lithografie-apparatuur die essentieel is voor de productie van geavanceerde chips. ASML is in hoge mate afhankelijk van kunstmatige intelligentie om de prestaties van zijn machines verder te verbeteren. De fabrikant gebruikt machine learning onder meer om afwijkingen in het lithografie-proces te voorspellen. Zo blijkt uit het rapport ‘The Semiconductor Industry in the AI Era’ dat Capgemini onlangs publiceerde over de rol van ai in de chipindustrie. Door de integratie van Mistrals geavanceerde data-analyse en ai-capaciteiten zou ASML zijn technologie verder kunnen optimaliseren, de prestaties van zijn apparatuur verbeteren en nieuwe productoplossingen ontwikkelen.
Waardering
ASML is niet de enige nieuwe investeerder in Mistral. In totaal moet de Series C-financieringsronde van het Franse bedrijf twee miljard dollar opbrengen. Deze ronde maakt Mistral tot het meest waardevolle ai-bedrijf van Europa. De ‘pre-money’ waardering komt uit op tien miljard euro, aldus de bronnen van Reuters.
Bloomberg News noemde onlangs een waardering van veertien miljard dollar. Mistral kreeg vorig jaar kapitaal van het chipbedrijf Nvidia. Bij die financieringsronde kwam de waarde uit op zes miljard dollar. ASML en Mistral onthouden zich voorlopig van een reactie.
Hoe de overheids-it minder afhankelijk wordt van externen
1 week
De overheid heeft grote behoefte aan ict’ers, maar wil externe inhuur terugdringen. Hoe staat dat ervoor bij diensten als Logius, SSC-IT en de Belastingdienst?
Onder aanvoering van GroenLinksPvdA maakt de Tweede Kamer zich ernstig zorgen over het ict-werkgeverschap van de overheid. ‘Hoe gaan we ict-kennis opbouwen binnen de overheid als mensen niet eens binnen de overheid in vaste dienst komen?’, vroeg Barbara Kathmann (GroenLinksPvdA) zich onlangs tijdens een Kamerdebat af.
Cyberveiligheid
‘We betalen heel veel geld aan ict-talent, maar slagen er niet in om ze in vaste dienst te nemen. Als onze computers een keer kapot gaan, kan straks niemand ze meer repareren’, aldus Kathmann. Volgens haar maakt een blijvende afhankelijkheid van Big Tech en derde partijen de Nederlandse overheid nog kwetsbaarder. Vooral met het oog op de cyberveiligheid is dat geen prettig vooruitzicht. Kathmann pleit voor een meer centrale aanpak, ook als het gaat om de sturing van inhuur. ‘Dat kunnen we niet zomaar aan al die ministeries overlaten.’
Andere partijen maken zich ook druk over de inhuur. Zo vroeg de PVV zich af hoe het komt dat de externe inhuur van Logius en SSC-ICT niet is afgenomen en wat zij gaan doen om die dit jaar omlaag te krijgen.
Piekbelasting
Volgens staatssecretaris Eddie van Marum die bij Binnenlandse Zaken en Koninkrijksrelaties (BZK) digitalisering in zijn portefeuille heeft, is externe inhuur soms noodzakelijk bij moeilijk vervulbare functies of bij piekbelasting. ‘De tekorten doen zich met name voor in domeinen als softwareontwikkeling, informatiebeveiliging, data-analyse, cloudbeheer en digitale architectuur. Ook de behoefte aan projectleiders en functioneel beheerders is groot, met name voor het realiseren van digitaliseringsprojecten bij de uitvoeringsorganisaties. De complexiteit van technologische ontwikkelingen, zoals die van generatieve ai, maakt dat nieuwe specialismen snel opkomen, waarvoor nu nog weinig aanbod is op de arbeidsmarkt.’
Algemene Rekenkamer
Cijfers van de Algemene Rekenkamer laten zien hoe groot de afhankelijkheid is van externe inhuur voor ict. De percentages liegen er niet om. Binnen het ministerie van BZK is dat 22%, bij Logius 48%, bij DICTU 52% en bij SSC-ICT 34%.
Reden voor Computable om in de cijfers te duiken. Bij een aantal grote agentschappen en ook bij de Belastingdienst en UWV blijkt wel een voorzichtig begin te zijn gemaakt om het percentage externe (it-)medewerkers terug te dringen. Maar gelet op de snelle groei van de personeelsomvang bij veel ministeries kan een licht dalend percentage nog altijd een absolute stijging van het aantal inhuurkrachten betekenen.
Logius
Logius, ontwikkelaar en beheerder van digitale voorzieningen als DigiD, MijnOverheid, Digipoort en eHerkenning, realiseerde een afname van het deel externe medewerkers van 52% in 2023 naar 48% begin 2025. Deze daling deed zich voor ondanks een toename van de hoeveelheid werkzaamheden.
Het streven is deze trend dit jaar voort te zetten naar 40%. ‘We koersen aan op verdere afname,’ zegt een woordvoerder. Onder meer het tegengaan van schijnzelfstandigheid, conform de strengere handhaving van de wet DBA (Wet Deregulering Beoordeling Arbeidsrelaties), levert resultaat op.
Gevraagd naar de bereidheid onder externen om in vaste dienst te gaan zegt de woordvoerder dat het afgelopen jaar sprake was van een positieve trend. Dit was mede ingegeven door het opdrogen van opdrachten door het handhaven van de wet DBA. ‘Geluiden in de organisatie laten wel horen dat één van de motieven om over stappen naar een vast dienstverband de werksfeer én benutten van vakmanschap is,’ voegt de woordvoerder toe.
Behalve de wet DBA spelen ook de noodzaak van bezuinigingen en de roep om eigen beleid mee. Ook zal Logius de inhuur beperken met het oog op de Roemer-norm die het aantal externen binnen de overheid aan banden legt. ‘Bovendien is vaste dienstbetrekking goedkoper dan inhuur. De wet DBA is een vliegwiel en helpt ons daarbij.’
Daarnaast is het effect te zien van het programma Make IT Work, waar Logius actief aan meedoet. In korte tijd worden kandidaten omgeschoold en ‘on the job’ opgeleid tot it’er. Ook zet Logius stagiairs en trainees in, in het geval van korte, afgebakende opdrachten.
Verder werken de ministeries van BZK en VRO (Volkshuisvesting en Ruimtelijke Ordening) met de aanpak Grip op Inhuur aan het verder terugdringen van de externe inhuur bij de departementen. Onderdeel hiervan is dat Logius een eigen plan opstelt hoe de inzet van externe medewerkers stapsgewijs wordt afgebouwd.
SSC-IT
Ook SSC-ICT (Shared Service Center ICT), een van de grootste ict-dienstverleners van en voor de Rijksoverheid, zegt het percentage externe inhuur in de afgelopen periode te hebben verminderd. Een verdere afbouw ligt in het verschiet. Ingehuurde zzp’ers die volgens de wet DBA als schijnzelfstandigen worden gezien, hebben de mogelijkheid gekregen om in dienst te treden bij SSC-ICT dan wel bij de leverancier. Dit droeg bij aan het afbouwen van het percentage externe inhuur, in combinatie met het werven van eigen medewerkers.
SSC-ICT heeft nu een percentage extern ingehuurden van 27%. Het streven is dit percentage in de komende jaren verder af te bouwen waar mogelijk. SSC-ICT en ook Logius zijn zich ervan bewust dat het aannemen van schaars personeel in vaste dienst vaak om een snelle procedure en maatwerk vraagt. Binnen de overheid duren die sollicitatieprocedures soms langer. Beide organisaties werken aan een versnelling.
Belastingdienst
De Belastingdienst heeft eveneens afscheid moeten nemen van zzp’ers die waren te kwalificeren als schijnzelfstandigen. In die categorie waren per 1 januari 2024 238 zzp’ers actief waarvan 234 bij de Informatievoorziening-organisatie. Deze schijnzelfstandigen waren alle uiterlijk per 1 januari 2025 uitgestroomd.
Externe flexibele arbeidscapaciteit wordt nu alleen ingevuld via uitzendkrachten en detachering. Voor specifieke werkzaamheden buiten dienstbetrekking blijft de inzet van zzp’ers mogelijk. Slechts een beperkt aantal zzp’ers (22 van de 238) die kwalificeerden als schijnzelfstandige, is in vaste dienst gekomen bij de fiscus.
UWV
UWV meldde eerder een aanwas van voormalige zzp’ers en andere externe krachten met specifieke it-kennis die bij deze uitvoeringsorganisatie in vaste dienst wilden treden.
Cybersecurity is business
1 week
Event | Cybersec Netherlands
Cyberdreigingen stoppen niet bij grenzen, en dat geldt net zo goed voor de krachten die onze digitale economie vormgeven. Dat is de kernboodschap van Mike Privette, oprichter van Return on Security en naar eigen zeggen de eerste cybersecurity-econoom in zijn soort. Hij verzorgt een keynote op Cybersec Netherlands, dat plaatsvindt op 10 en 11 september.
In deze security-(na)zomerreeks horen we in de aanloop naar Cybersec Netherlands de visie van enkele securityexperts en keynote-sprekers. Het event vindt dit jaar plaats op 10 en 11 september in het congresgebouw Koninklijke Jaarbeurs in Utrecht. Inschrijven kan hier en is gratis.
Mike Privette heeft bijna twintig jaar ervaring, van security engineer tot ciso en marktanalist. Vanuit die achtergrond volgt hij de geldstromen, fusies en overnames en beleidsontwikkelingen die het speelveld van cybersecurity vormgeven. Waar veel experts de technologie centraal stellen, kijkt hij dus naar de economische en geopolitieke krachten die achter de schermen bepalend zijn.
Stronger together
In zijn keynote The State of Cybersecurity Economics in Europe laat Privette zien hoe Europa zich verhoudt tot de VS en het VK, en welke keuzes nu bepalend zijn voor de komende jaren.
Hoe cybersecurity niet alleen een technische, maar ook een economische hefboom is geworden. ‘Cybersecurity is uitgegroeid tot een van de bepalende economische en geopolitieke kwesties van onze tijd’, stelt hij vast. ‘Terwijl Europa geconfronteerd wordt met toenemende dreigingen en verschuivende allianties, moet het zijn eigen pad uitstippelen, geworteld in samenwerking, innovatie en veerkracht.’Het gaat daarbij dus niet alleen om investeringen, maar ook om geopolitieke samenwerking. Het is een boodschap die nauw aansluit bij het centrale thema van Cybersec Netherlands: stronger together. Oftewel, niemand redt het alleen.
Impact van ai
Volgens Privette staat één ontwikkeling nu met stip bovenaan: ‘De urgentste uitdaging vandaag is de convergentie van ai en cybersecurity, zowel als kans als opkomend aanvalsvector. We zien recordinvesteringen in ai-securitystartups en een explosie aan fusies en overnames, maar ook meer geavanceerde en sneller verlopende dreigingen.’
Zijn oproep aan het publiek van Cybersec Netherlands is meerledig: ‘Ik wil dat het publiek met drie inzichten vertrekt. Europa heeft een cruciale rol in de toekomst van cybersecurity. Investeren in gedeelde intelligentie en regionale innovatie is de beste weg naar duurzame veiligheid. En ten derde: cybersecurity is een economische noodzaak, geen compliance-vinkje.’Mike Privette spreekt op 10 september om 14:45 uur op de main stage van Cybersec Netherlands in Utrecht.
AI in softwaretesten: tussen belofte en werkelijkheid
1 week
De opkomst van kunstmatige intelligentie (AI) wekte hoge verwachtingen in de wereld van softwaretesten. Zelflerende testsuites, automatisch gegenereerde testgevallen en voorspellende kwaliteitsmodellen klonken veelbelovend. Maar inmiddels is het tijd voor een realistische balans. Want hoewel AI op veel gebieden vooruitgang boekt, blijkt de daadwerkelijke impact op het testvak minder dan verwacht.
De initiële belofte van AI binnen softwaretesten klonk verleidelijk. Machines die zelf tests genereren op basis van requirements of gebruikersgedrag. Algoritmen die regressietests optimaliseren op basis van risico. AI die onderhoud van testautomatisering grotendeels overbodig maakt. De verwachtingen: minder repetitief werk, snellere feedback en beter risicomanagement. Helaas bleef een fundamentele omslag in het softwaretesten uit. Waar testautomatisering vaak worstelt met onderhoud en stabiliteit, biedt AI zelden een structurele oplossing. De meeste AI-toepassingen in softwaretesten zijn sterk gericht op smalle domeinen:
Visuele regressie via beeldvergelijking (zoals bij Applitools of Percy): nuttig, maar eerder een evolutie dan een revolutie.
Testprioritering en flaky testdetectie binnen CI/CD: waardevol in de keten, maar weinig invloed op de teststrategie.
Automatische updates van locators in UI testautomatisering: lijkt handig, maar kan regressie maskeren.
Waarom blijft de impact op het softwaretesten uit? Een belangrijke oorzaak is dat testen meer is dan verificatie. Het is contextgedreven kwaliteitsdenken. Testen bevindt zich op het snijvlak van techniek, businesslogica en risico-inschatting. AI mist voor goede uitvoering het noodzakelijke domeinbegrip. Hierdoor blijft de kloof tussen belofte en praktijk bestaan.
Op dit moment biedt AI vooral operationele ondersteuning in specifieke deelgebieden, zoals analyse van grote hoeveelheden logging en monitoringdata en door middel van slimme dashboards die trends in defecten of performance visualiseren. Natural language processing door LLM’s helpt bij requirementsanalyse, opstellen van testgevallen, structureren en opstellen van testrapportages en genereren van testautomatisering. Maar in deze context fungeert AI als assistent, niet als vervanger van de tester. Het verhoogt de efficiëntie, maar neemt zou geen verantwoordelijkheid over moeten nemen. Het is belangrijk dat de mens altijd betrokken blijft om de resultaten te interpreteren en bij te sturen.
De werkelijke impact van AI zit niet in het automatiseren van het testvak, maar in het testen van AI zelf. Naarmate systemen vaker AI bevatten, van LLM’s tot voorspellende modellen, groeit de behoefte aan nieuwe testvormen. Traditioneel gaat softwaretesten uit van voorspelbare logica, terwijl AI-modellen patronen leren die vaak niet inzichtelijk of herhaalbaar zijn. Dit vraagt om nieuwe testvormen waarbij samenwerking nodig is met disciplines zoals data science, compliance en ethiek. Enkele voorbeelden van nieuwe testvormen die gebruikt kunnen worden bij het testen van AI zijn:
Fairness testing: valideren of een model verschillende groepen juridisch en maatschappelijk eerlijk behandelt.
Bias detectie: expliciete technische analyse van onbedoelde vooroordelen in het modelgedrag.
Uitlegbaarheidsassessments: controleren of aan een eindgebruiker of toezichthouder uitgelegd kan worden hoe een AI-model werkt. Denk hierbij aan waarom het model een bepaalde beslissing heeft gemaakt, welke inputfactoren hiervoor bepalend waren en in hoeverre de uitleg betrouwbaar en herhaalbaar is.
Robustness testing: kijken hoe een model reageert op onjuiste, incomplete of misleidende input.
AI heeft het testvak niet overbodig gemaakt, maar dwingt wel tot reflectie en vernieuwing. De hype is er zeker, maar effectieve autonome test agents zijn er niet. In plaats van te wachten op een doorbraak, is het tijd om AI pragmatisch te benaderen: als hulpmiddel, niet als wondermiddel. Testers blijven onmisbaar voor de interpretatie, validatie en ethische beoordeling van softwarekwaliteit, juist als die software steeds slimmer wordt en ontwikkelaars steeds vaker gebruik maken van AI. Maak gebruik van ondersteunende tools, maar controleer de uitkomsten en blijf zelf aan het roer. Testers die nu leren AI-systemen te toetsen, zijn straks onmisbaar bij zowel innovatie als compliance.
Auteur: Jeroen Mengerink werkt bij Polteq als testarchitect en trainer. Hij helpt organisaties softwarekwaliteit te verbeteren en is medeontwikkelaar van Quala, een tool die softwarearchitectuur koppelt aan kwaliteitsinformatie.
Deze blog verscheen eerder op: https://www.polteq.com/nieuwsberichten/ai-in-softwaretesten-tussen-belofte-en-werkelijkheid/
Veelzijdige cyberaanvallen vereisen uniforme verdediging
1 week
BLOG – De tijd waarin aanvallen zich richtten op een enkel product of kwetsbaarheid is voorbij. Tegenwoordig zien we een toename in het gebruik van multi-vectoraanvallen en multi-stagebenaderingen. Zo kwamen in Indonesië maar liefst twintig verschillende aanvalsvectoren in één enkele aanval aan het licht.Webgebaseerde aanvallen, bestandsgebaseerde aanvallen, dns-aanvallen en ransomware zullen steeds geavanceerder en moeilijker te detecteren worden. Dit maakt het voor traditionele en geïsoleerde beveiligingstools lastig om moderne dreigingen effectief af te weren. Om deze aanvallen te voorkomen, is het essentieel dat verschillende beveiligingsoplossingen nauw met elkaar samenwerken als onderdeel van een geïntegreerd platform. Alleen zo kunnen aanvallen in elke fase van het proces worden tegengehouden.CombinatieCybercriminelen maken in toenemende mate gebruik van een combinatie van tactieken, technieken en procedures om tegelijkertijd meerdere aanvallen uit te voeren. Onderzoekers van Palo Alto Networks hebben vastgesteld dat het aantal nieuwe en unieke aanvallen per dag is verviervoudigd van ongeveer 2,3 miljoen in januari 2024 tot circa 8,9 miljoen in januari 2025.Cybercriminelen gebruiken http-headers als een soort ondergrondse tunnelEen voorbeeld is ‘relayed data exfiltration via http-headers‘. Dit type aanval vertrouwt op technieken om gevoelige bedrijfs- of klantgegevens ongemerkt af te tappen. Dergelijke aanvallen zijn langzaam en onopvallend, in tegenstelling tot smash-and-grab-aanvallen waarbij zo veel mogelijk data in korte tijd worden buitgemaakt voordat beveiligingsteams kunnen ingrijpen.Dit werkt als volgt: cybercriminelen gebruiken http-headers als een soort ondergrondse tunnel om data uit je netwerk te halen, waarbij hun acties eruitzien als normaal webverkeer. In plaats van de gestolen data rechtstreeks naar hun eigen servers te sturen, verstoppen ze kleine stukjes data in slim gekozen domeinnamen. Deze worden vervolgens verwerkt door betrouwbare internetdiensten die de gestolen gegevens via dns onbewust doorsturen naar de aanvaller. Omdat veel beveiligingsoplossingen http-headers niet controleren op verborgen datadiefstal, kunnen cybercriminelen deze techniek relatief eenvoudig toe passen.Tegelijkertijd stelt ai deze actoren in staat sneller, vaker en geraffineerder aan te vallen. Hackers blijven ai-tools inzetten om de schaal, snelheid en complexiteit van hun aanvallen te vergroten, met als doel om op elk mogelijk manier toegang te krijgen tot systemen.AanvalsketenBedrijven hebben vaak een gefragmenteerde cybersecurityaanpak waarbij verschillende oplossingen verantwoordelijk zijn voor een aspect van de aanvalsketen. Deze methode en overvloed aan beveiligingstools maken een effectieve cybersecurityhuishouding lastig. Het enorme aantal nieuwe aanvallen en aanvalsvectoren maakt het vooral moeilijk voor traditionele en geïsoleerde beveiligingstools om de moderne dreigingen effectief tegen te houden. Gemiddeld beschikt een organisatie over 83 beveiligingsoplossingen van 29 verschillende leveranciers. Net iets meer dan de helft van de leidinggevenden geeft aan dat deze complexiteit de grootste belemmering vormt voor effectievere beveiliging omdat de verdediging ingewikkelder, duurder en foutgevoeliger is geworden.PlatformiseringBeveiliging kan niet langer in silo’s bestaan; naarmate er meer aanvalsvectoren opkomen, hebben organisaties een aanpak nodig die hun dynamische aanvalsoppervlak efficiënt beschermt tegen steeds veranderende dreigingen. Dat is waar platformisering om de hoek komt kijken. Platformisering brengt meerdere producten en diensten samen in één verenigde architectuur. Er is één centrale gegevensopslag en één beheervlak voor eenvoudiger beheer, waarbij elke module natuurlijk en naadloos is geïntegreerd met de rest.Een interessant voordeel van platformisering is dat het eenvoudig wordt om nieuwe componenten toe te voegen die inspelen op de nieuwste uitdagingen. Met één enkel platform is het bijvoorbeeld mogelijk om technologieën zoals quantumbeveiliging, beveiliging voor ai, ai-assistenten, veilige browsers en ai-gestuurde dreigingsdetectie en -respons toe te voegen. Deze tools beschermen bedrijfsnetwerken tegen actuele dreigingen maar bereiden ze tegelijkertijd ook voor op toekomstige aanvallen.VoorwaardenOm platformisering te laten functioneren, moet er aan een aantal belangrijke voorwaarden worden voldaan. Ten eerste moet elk product of elke dienst die aan het platform wordt toegevoegd minstens zo goed zijn als vergelijkbare, losstaande oplossingen. Ten tweede moet het platform modulair zijn, en tenslotte moeten de onderdelen goed op elkaar aansluiten via native integraties.Als dat lukt, kan platformisering organisaties grote voordelen opleveren. Volgens het IBM Institute for Business Value kost het bedrijven met een platformaanpak gemiddeld 72 dagen minder om een beveiligingsincident te detecteren en hebben ze 84 dagen minder nodig om zo’n incident vervolgens in te perken. Bovendien behalen bedrijven die gebruik maken van platformisering gemiddeld een rendement van 101 procent in tegenstelling tot bedrijven zonder platformisering met een rendement van 28 procent.Dmitri Anikejev, technical solutions manager Nederland bij Palo Alto Networks
Geen one-size-fits-all bij soevereine cloud SAP
1 week
Extra klanteisen hebben hun prijs
De miljarden die SAP gaat investeren in de soevereine cloud zullen voor een deel neerslaan in Nederland. Computable sprak Martin Merz, president van SAP Sovereign Cloud, over de diverse smaken aan soevereiniteit.
SAP neemt het voortouw bij het aanbod van diensten voor de soevereine cloud. Een investering van 20 miljard euro moet ervoor zorgen dat Europa digitaal onafhankelijker wordt van de VS. De nieuwe SAP Cloud Infrastructure wordt ook gehost vanuit datacenters in Nederland. Een deel van de investeringen die Europa’s grootste softwareleverancier doet in infrastructuur en personeel komt dus rechtstreeks ten goede aan Nederland. De Sovereign Cloud On-Site, de tweede nieuwe loot aan de boom van SAP, komt volgend jaar naar Nederland.
Keuzemogelijkheden
Diverse ‘smaken’ met ieder een eigen prijskaartje vergroten het aanbod en daarmee de keuzemogelijkheden. Er bestaat op dit gebied geen one-size-fits-all. Reden genoeg om Martin Merz, president van SAP Sovereign Cloud, aan de tand te voelen.
Kan SAP volledig tegemoetkomen aan de hoge niveaus van soevereiniteit die de EU-lidstaten verlangen zowel operationeel, technisch en juridisch? Zijn onze data echt 100 procent beschermd tegen de grijpgrage handen van Amerikaanse geheime- en inlichtingendiensten? Wat zijn de kostenplaatjes van SAP’s eigen cloudplatform (IaaS), gebouwd met open-source technologie en gehost in de datacenters van SAP? En hoe duur is de oplossing waarbij SAP zelf de technische infrastructuur beheert, maar deze wordt ondergebracht in een datacenter dat door de klant zelf wordt gekozen of beheerd?
Misverstand
Voordat Merz dieper op deze vragen ingaat, wijst hij op een veel voorkomend misverstand. Sommige klanten denken ten onrechte dat alle data straks naar de soevereine cloud moeten. Een aantal bedrijven en instellingen is op dit punt zelfs in paniek. Maar daar is allerminst een reden voor. Merz wist onlangs de directeur van een Berlijnse ijsfabriek gerust te stellen; zijn data hoeven niet naar een extra beveiligde cloud. Anders is het gesteld met overheden, inlichtingendiensten, bedrijven in de kritische infrastructuur en sterk gereguleerde industrieën. Defensie en luchtvaart moeten aan de hoogste eisen voldoen. Onlangs sloot SAP een contract af met de Duitse defensieleverancier Hensoldt.
Overheden
Voordeel voor SAP is dat het bedrijf al vele jaren ervaring heeft met klanten die heel specifieke eisen stellen, stelt Merz. Bovendien zijn de eisen die de overheden in de verschillende EU-lidstaten stellen, voor pakweg 95 procent identiek. Het Duitse ministerie van Binnenlandse Zaken zal als het om de basis gaat niet veel andere eisen stellen dan BZK in Den Haag. Ook qua certificaten valt het onderscheid mee.
Overheden kunnen zeer ver gaan met de autonomie. Delos Cloud, de extra veilige cloud-oplossing voor de Duitse publieke sector, is helemaal onafhankelijk. Het is een proxy bedrijf dat diensten aanbiedt die volledig voldoen aan lokale wetgeving en helemaal onafhankelijk van SAP opereren. Delos staat onder volledige controle van de Duitse overheid. Delos Cloud is de ultieme vorm van soevereiniteit.
Microsoft 365
Klanten kunnen volgens Merz ook gerust cloud-oplossingen zoals Microsoft 365 draaien op de nieuwe infrastructuur, de uitbreiding van SAP Sovereign Cloud. Hij ziet geen problemen met ‘software dependencies’. Online kantoorsoftware of andere veelgebruikte applicaties blijven gewoon doordraaien. Ook updates en onderhoud vormen geen probleem.
Merz is ook niet bang dat de behoefte aan strikte data-soevereiniteit afbreuk doet aan de vraag naar wereldwijde schaalbaarheid en interoperabiliteit. De jarenlange ervaring met grote multinationale klanten helpt hierbij. Global teams zijn alom vertegenwoordigd.
Kosten
SAP Cloud Infrastructure en SAP Sovereign Cloud On-Site zijn beslist geen niche-producten, aldus Merz. Er is een duidelijke behoefte aan een soevereine cloud. Bovendien is het een groeimarkt, wat de zware investeringen van SAP rechtvaardigt. Die investeringen moeten uiteraard wel worden terugverdiend. Bijvoorbeeld de hardening, het proces om software zo veilig mogelijk te gebruiken ofwel het verstevigen van systemen, kost geld.
Voor de ondersteuning van het nieuwe aanbod zijn bovendien lokale experts nodig en een breed pakket aan certificeringen. Wereldwijd heeft SAP hier al ruim 2.000 werknemers voor vrijgemaakt. Omdat SAP een omvangrijke internationale organisatie heeft, kan de softwareleverancier in verschillende landen de uitrol door lokale medewerkers laten doen. Hierbij kan worden voortgeborduurd op de huidige werkwijze waarbij technische en operationele medewerkers de handen ineenslaan en geïntegreerde teams vormen. Vaak werkt men al jaren samen.
Uiteraard resteren er meerdere factoren die de kosten opdrijven, sterk afhankelijk van de specifieke eisen vanuit de klant. Merz vergelijkt het met de aanschaf van een gepantserde auto die speciaal is ontworpen om bescherming te bieden tegen aanvallen zoals kogels, explosies en fysieke impact. Kogelwerend glas, versterkte deuren en run-flat banden hebben hun prijs.
Soevereiniteitsrace
Europa staat zeker niet op achterstand in de mondiale soevereiniteitsrace, stelt Merz. SAP heeft met de roadmap voor Europa aardig wat stappen gemaakt. De toekomst biedt meer regio’s, meer diensten en meer soevereiniteit. De business data cloud zal nog uitgebreider gebruik maken van ai.
Merz concludeert dat in betrekkelijk korte tijd al veel is bereikt. ‘Het meeste werk is al gedaan,’ zo besluit hij. ‘En het grote verschil met de concurrentie op gebied van enterprise software is dat we een ‘full stack’ bieden als het gaat om infrastructuur, platforms en software, terwijl er bovendien nog veel in de pijplijn zit.’
Soevereiniteit en security gaan hand in hand, stelt SAP. Het thema van strategische onafhankelijkheid staat eveneens centraal tijdens Cybersec Netherlands 2025, het evenement dat op 10 en 11 september plaatsvindt in Jaarbeurs Utrecht. Op 11 september zal Frank Breedijk, Chief Information Security Officer bij Schuberg Philis en mede-oprichter van het DIVD CSIRT, tijdens zijn keynote The IT Sovereignty Debate: Is it Bi-polar or on a Spectrum? uitgebreid ingaan op dit onderwerp. Het debat kent verschillende nuances. Zeggenschap over digitale middelen is geen alles-of-niets kwestie — het beweegt zich langs een continuüm, net zoals de mate waarin je bereid bent risico’s te accepteren. Inschrijven voor Cybersec Netherlands Inschrijven kan hier en is gratis.
Cybersec Netherlands 2025: samenwerking als wapen tegen digitale dreigingen
1 week
Cyberdreigingen stoppen niet bij de grenzen van een organisatie, sector of land. Juist daarom staat samenwerking centraal tijdens Cybersec Netherlands 2025, dat op 10 en 11 september plaatsvindt in de Jaarbeurs Utrecht. Een selectie uit het aanbod rond het thema ‘samenwerking’.
Twee dagen lang draait het programma om de vraag: hoe kunnen we samen digitale dreigingen beter het hoofd bieden? Bezoekers kunnen terecht op de talloze stands op de beursvloer, en het inhoudelijke programma biedt ook deze aandachtstrekkers.
Keynotes: samenwerking als noodzaak
De openingslijnen worden uitgezet op de main stage van Cybersec Netherlands. Cybersecurity-expert Bert Hubert benadrukt er onder meer dat digitale verdediging alleen kans van slagen heeft wanneer organisaties verantwoordelijkheid delen. Kelvin Rorive en Anthonie Drenth laten telkens in hun keynote zien hoe veerkracht juist ontstaat door netwerken van vertrouwen en gedeelde verantwoordelijkheid.Vanuit Europees perspectief presenteert Hans de Vries (ENISA) het nieuwe EU Cyber Crisis Management Ecosystem: een gecoördineerd raamwerk dat lidstaten en instellingen samenbrengt bij grootschalige cybercrises. En Max Heinemeyer en Onur Kurucu leggen uit waarom samenwerking tussen technologie, ethiek en innovatie cruciaal is om risico’s te beheersen.
Praktijk: samenwerking in actie
Extra aandacht is er voor de invulling op het terrein. In een ciso-panel vertellen vertegenwoordigers van NS, Air France-KLM, Schiphol en de gemeente Haarlemmermeer hoe zij gezamenlijk de cyberveiligheid rond de recente NAVO-top in Den Haag waarborgden. Het panel illustreert hoe organisaties met totaal verschillende belangen een gedeelde strategie ontwikkelen, informatie realtime uitwisselen en gezamenlijk besluiten nemen onder druk.
Speciaal wordt het ook op de main stage bij Ruben van Vreeland, die bezoekers midden in een gesimuleerde cyberoorlog plaatst. Het publiek bepaalt zelf de intensiteit van een aanval op Nederlandse infrastructuur.
Stronger Together Partner Dome: branche-overstijgende verbinding
Naast de plenaire sessies vormt de Stronger Together Partner Dome een aparte ontmoetingsplek waar brancheorganisaties, kennisinstellingen en ook de politie hun visie koppelen aan het hoofdthema. De Partner Dome onderstreept dat samenwerking niet stopt bij bedrijven of sectoren, maar dat ook beleid en onderwijs integraal deel uitmaken van een veilige digitale samenleving.
Zo presenteert Mark Drost hoe Brightlands een Cybersecurity Experience Center en Academy opbouwt om de volgende generatie cyberprofessionals klaar te stomen.Daarnaast vormt Cybersec Netherlands het decor voor de officiële afsluiting van de actiedag ‘Echt niet vandaag’, een initiatief van politie, gemeenten, het bedrijfsleven en maatschappelijke partners om digitale criminaliteit tegen te gaan. Tijdens deze sessie wordt teruggeblikt op de activiteiten, de impact en de lessen van de dag.
Utrecht als knooppunt
Met keynotes, panels, de Partner Dome en de beursvloer zet Cybersec Netherlands 2025 samenwerking breed en tastbaar op de kaart. Op 10 en 11 september wordt de Jaarbeurs Utrecht de plaats van afspraak waar strategie, technologie en praktijk samenkomen – met als doel: samen sterker tegen digitale dreigingen.
Praktisch:
👉 Ontdek het programma
👉 Bekijk de exposantenlijst
👉 Registreer je gratis
Cybersec Netherlands vindt gelijktijdig plaats met Data Expo in de hal ernaast.
‘Regel je beveiliging onafhankelijk van je technologie’
1 week
De ene mega-hack volgt op de andere. De OM-hack was er zo een, vooral om de verstrekkende gevolgen voor de dagelijkse continuïteit van justitie. Wat ging er fout en wat kunnen we ervan leren? Computable sprak erover met cybersecurityspecialist Erik de Jong.
Via een kwetsbaarheid in Citrix Netscaler kregen cybercriminelen toegang tot de systemen van het Openbaar Ministerie (OM). Wat er ingezien of gestolen was, was niet direct duidelijk. Maar omdat er sprake was van ongeoorloofde toegang, werd deze OM-hack zo ernstig gevonden, dat alles volledig offline ging. Waarom kon het fout gaan en hoe had het voorkomen kunnen worden? Computable vroeg het aan Erik de Jong, Chief Research Officer bij cybersecuritybedrijf Tesorion.
Hoe kwamen ze binnen bij het OM?
‘De backdoor – de vermoedelijk misbruikte kwetsbaarheid – was een herhaalbaar maar onvoorspelbaar geheugenlek. Wat dan af en toe gelekt wordt van de server, dat kan ook een session-cookie zijn. Dus als je dat lek maar vaak genoeg activeert, dan komt er op een gegeven moment een session-cookie terug. Dat betekent dat de hacker dan niet alleen die gelekte data heeft, maar dat vanaf dat moment die session-cookie gebruikt kan worden om zo feitelijk toegang te krijgen, via Citrix NetScaler, tot het hele account dat bij die session-cookie hoort. Zo eenvoudig was het eigenlijk: als je eenmaal weet wat je moet doen om dat geheugenlek te triggeren, is het daarna niet zo moeilijk meer en gewoon een kwestie van vaak proberen en hopen dat je wat nuttigs terugkrijgt.’
Dus de schuld ligt bij Citrix?
‘Op het moment dat je software installeert, dan ga je akkoord met de terms and conditions. En daar staat gewoon in, het is ‘as-is’. Als het dan niet doet wat je wil, tja, dan heb je eigenlijk pech gehad. Daar is uiteraard wel discussie over. Want wanneer is er in welke mate een bepaalde verantwoordelijkheid voor de leverancier? Bijvoorbeeld om te zorgen dat patches er op tijd zijn, of dat die misschien wel automatisch geïnstalleerd kunnen worden. Dat zijn allemaal dingen die beter kunnen. Maar op papier gezien ligt het heel simpel: de verantwoordelijkheid ligt bij de eindgebruiker. Het is ook heel moeilijk als overheid dat te reguleren, want het is onmogelijk om foutloze software te maken. Langzamerhand komen er meer eisen voor leveranciers van hardware en software. Denk aan de Cyber Resilience Act, de Europese verordening die specifiek gericht is op het verbeteren van beveiliging van digitale producten en diensten.’
Had het OM dan beter andere software kunnen gebruiken?
‘Eigenlijk is dat niet de goede vraag. Tuurlijk kan je overstappen naar een concurrent, maar daar kunnen óók kwetsbaarheden in zitten. Dus de vraag die je jezelf moet stellen is: hoe maak ik mijn organisatie weerbaar? Als bestuurder en als beslisser moet je in een omgeving opereren waarin je aandacht besteedt aan wéten wat je hebt, daar begint het mee. Van al die zaken moet je op de hoogte blijven. En jezelf er vragen over stellen, zoals ‘moet ik op risico gebaseerde keuzes maken om patches te installeren’. Als dat als een goed proces draait, dan is de kans dat er wat fout gaat gewoon lager. Het kan nog steeds een keer fout gaan natuurlijk. Dus je moet ook zorgen dat je dat snel merkt en dan in actie komt: probeer zoveel mogelijk te voorkomen, maar monitor ook je infrastructuur. Kortom: preventie, detectie, response. De productkeuze is niet per se het probleem.’
Mensenwerk dus?
‘Precies, wij spreken altijd over ppt: people, process, technology. Eigenlijk geldt: regel je beveiliging onafhankelijk van je technologie. Dat gaat dus veel meer over mens en processen, dan over technologie. Dat is ook waar wij onze klanten over informeren: we proberen uiteraard te voorkomen dat er iets fout gaat, maar er kan altijd íets fout gaan en als dat gebeurt, dan moet je goed optreden. Daar komt weer het weten wat je hebt om de hoek kijken. Want als je niet eens weet wat je hebt, dan kan je daar ook geen beheersing op hebben. Je moet dus in kaart hebben gebracht welke assets je hebt, en uiteraard geldt dat ook voor je ict-leverancier./
Wanneer moet je cybersecurity in-house doen?
‘Voor de meeste organisaties die niet heel groot zijn is uitbesteden van de meeste zaken heel gangbaar, en ook de beste keuze. Die zullen niet in staat zijn om het beheer en de beveiliging van al die systemen zelf te doen, tenzij ze een serieuze ict-organisatie hebben. Het nadeel van uitbesteden is dat men er zelf niet zo veel verstand van heeft en dat men daarom niet zo goed weet of er goed bediend wordt. Dat is best lastig, je kan second opinions vragen natuurlijk. Maar het beste is ervoor te zorgen dat je iets van kennis in huis hebt, zodat je ook kan beoordelen of je een goede dienstverlening krijgt. Verder kan je het goed vergelijken met gewone beveiliging. Een organisatie gaat ook niet even zelf camera’s overal ophangen en zelf surveillanten en een 24/7 meldkamer optuigen. Dat besteed je uit. Ik denk dat je dat pas zelf kan gaan doen vanaf vijf- tot achtduizend man.’
Wat kan een organisatie voor beveiliging het beste intern doen?
‘Bottom line: je moet weten wat je hebt en dat moet je up-to-date houden. Dat is echt één van de belangrijkste maatregelen om te zorgen dat je het risico op een hack verkleint. En daarnaast, dat wat je niet kan tegenhouden, dat moet je gaan zien in je infrastructuur. Dus als beslisser moet je daarover nadenken: investeer ik voldoende in preventie, maar investeer ik ook in detectie en reageren. Als die een beetje in balans zijn, dan is je organisatie al een stuk weerbaarder. Want zolang je bedrijf aan internet hangt, blijft een hack een risico dat je elke dag kan overkomen. Alleen is dat iets wat toch vaak een beetje wegzakt in de operatie, omdat er gelukkig bij de meeste bedrijven niet vaak wat fout gaat. Het gevaar is dat je daar een beetje laks van wordt. Wat dat betreft is goed om dit op het bureau van de cfo of de risk officer te leggen, die snappen risico. Als je het bij de ict-afdeling legt, dan zie je te vaak dat men bij het kiezen tussen nu die patch doen, of al die andere dingen waar direct merkbaar effect van te zien is, men voor dat tweede kiest.’
De nieuwste ontwikkelingen op cybersecurity gebied komen aan de orde op de Cybersec Netherlands beurs. Het event vindt dit jaar plaats op 10 en 11 september in het congresgebouw Koninklijke Jaarbeurs in Utrecht. Inschrijven kan hier en is gratis.
Cloud-soc stelt nieuwe eisen aan teams, tools en processen
1 week
BLOG – De razendsnelle adoptie van clouddiensten dwingt cybersecurityprofessionals tot belangrijke keuzes. Cloudmigraties vergroten het aanvalsoppervlak en voegen technische complexiteit toe, terwijl traditionele detectietools tekortschieten in de dynamische, schaalbare aard van cloud-omgevingen. Ook werken veel security operations center-teams nog met verouderde tools en draaiboeken. Dat vraagt om een nieuwe aanpak voor beveiliging, incidentrespons en dreigingsdetectie in de cloud.
Traditionele soc-modellen zijn niet ontworpen voor cloud-omgevingen. Zo blijven meldingen vaak geïsoleerd, wordt onderzoek handmatig uitgevoerd en is prioriteren lastig, terwijl een cloud-infrastructuur juist voortdurend context en technische expertise vraagt voor effectieve detectie en respons. Het gevolg? Traagheid, incidenten die onder de radar blijven en een overbelast secops-team.
Dat is waar cloud detection and response (cdr) in beeld komt. Cdr is niet zomaar een nieuwe set tools, maar een fundamenteel andere benadering. Het maakt gebruik van cloudspecifieke informatie, zoals identity activity monitoring en runtime-signalen, die worden verrijkt met extra context, bijvoorbeeld uit ci/cd-pijplijnen. Zo is er beter in te spelen op gebeurtenissen in de verschillende lagen van een moderne cloud-omgeving: van identiteiten en data tot netwerken, infrastructuur en saas-diensten.
De transitie naar cloudsecurity is geen tooling-vraagstuk maar een strategische shift
Daarnaast draait cdr om samenwerking. Het leidt ertoe dat security niet alleen meer een taak is van het secops-team, maar dat de verantwoordelijkheid gedeeld wordt met cloud- en ontwikkelteams. Om cdr goed in te zetten is het daarom belangrijk dat organisaties hun mensen, processen en technologie opnieuw tegen het licht houden.
Blokkade
De grootste blokkade bij de transformatie naar een cloud-soc is niet de technologie, maar de mensen. Er is een tekort aan professionals die cloud-architectuur én beveiliging begrijpen. Soc-analisten die als eerste dreigingen te zien krijgen, moeten meer kunnen dan meldingen escaleren. Ze hebben technische kennis nodig om onderzoek te doen in dynamische cloud-omgevingen, zoals het doorzoeken van logboeken of het analyseren van identiteits- en toegangspatronen.
In tegenstelling tot traditionele on-premise omgevingen met één in- en uitgang, hebben cloud-omgevingen daarnaast veel ‘zachte perimeters’. Denk aan api’s, publieke buckets, verkeerd geconfigureerde services en datalekken. Zonder training en tooling blijft bij soc-teams een groot deel van de dreigingen simpelweg onzichtbaar, of het wordt te laat opgemerkt.
Drie fronten
Een moderne cdr-aanpak raakt niet alleen technologie, maar ook governance en cultuur. Dat vraagt om een integrale aanpak op drie fronten.
MensenEffectieve cloudbeveiliging vraagt om multidisciplinaire teams die expertise op het gebied van infrastructuur, ontwikkeling en security samenbrengen. Daarvoor is een nauwe samenwerking tussen cloud-, detectie- en incident responsteams noodzakelijk. Organisaties kunnen kiezen voor het bijscholen van soc-medewerkers of het opzetten van gespecialiseerde cloudbeveiligingsteams. In beide gevallen is afstemming essentieel en zijn ontwikkelaars en security professionals samen verantwoordelijkheid voor de beveiliging.
ProcessenKlassieke draaiboeken en siem-regels werken niet voor containers die in een kwestie van seconden starten en stoppen. Teams hebben geïntegreerde inzichten nodig uit cloud-, SaaS- en runtime-signalen, verrijkt met gedragsanalyse en anomaliedetectie. Belangrijk daarbij is context zoals signalen uit identiteitsbeheer, infrastructuurbeheer (zoals Kubernetes of Terraform), ontwikkelactiviteiten en datalekken. Deze informatie moet structureel worden meegenomen in prioritering, escalatie en onderzoek. Cloud-native soc’s moeten daarbij ingericht worden voor proactieve detectie, om hardnekkige en lastig te detecteren dreigingen te kunnen identificeren.
PrioriteitenOm meldingmoeheid te voorkomen moeten soc’s hun detectie afstemmen op specifieke cloudrisico’s, zoals misbruik van identiteiten, verkeerd ingestelde machtigingen en laterale beweging tussen cloud-accounts. Door veelvoorkomende configuratiefouten automatisch op te lossen kunnen teams zich richten op strategische verdediging in plaats van het blussen van brandjes.
Lift-and-shift
Zowel bij een lift-and-shiftstrategie, waarbij een on-premise omgeving in een keer naar de cloud wordt overgezet, als bij cloud-native strategieën ontstaan unieke uitdagingen op het gebied van detectie en respons. Zo brengen lift-and-shift-omgevingen vaak verouderde securitytools mee naar de cloud, terwijl cloud-native teams vaak voorrang geven aan snelheid en innovatie boven consistente security. In beide gevallen ontbreekt het aan consistent en actueel inzicht.
In beide gevallen is uniforme zichtbaarheid daarom de oplossing. Platformen die cloudsignalen in realtime kunnen correleren bieden houvast, ongeacht de gekozen cloudstrategie.
Vier pijlers
Er zijn vier basale stappen die organisaties kunnen zetten om een soc te moderniseren voor de cloud:
Investeer in een detectiestrategie die is afgestemd op de cloud, met ruimte om detectielogica aan te passen en gebruik te maken van cloud-native draaiboeken;
Ontwikkel trainingsprogramma’s voor soc-analisten om cloudkennis op te bouwen, met name op het gebied van toegangsbeheer, logging en runtime-signalen;
Kies voor een geïntegreerd detectie- en responsplatform dat real-time inzicht biedt, meldingen automatisch correleert en context toevoegt voor effectief onderzoek;
Stuur niet alleen op het aantal waarschuwingen maar stuur ook op concrete resultaten als kortere gemiddelde detectietijd (mttd), gemiddelde responstijd (mttr) en totale oplostijden.
De transitie naar cloudsecurity is geen tooling-vraagstuk maar een strategische shift. Door mensen op één lijn te brengen, processen te moderniseren en te investeren in de juiste technologie, kunnen organisaties een sterk programma voor clouddetectie en -respons opzetten. Zo worden silo’s doorbroken, vaardigheidskloven gedicht en profiteren organisaties van een toekomstbestendig soc.
Bart van de Burgt, area vice president EMEA Central & North Wiz
Kort: Windows 10, Mistral, Salt Typhoon, TTNL Group, DeepL, algoritme-vertrouwen
1 week
In het nieuws vandaag: Zes op tien nog Windows 10, China heeft gegevens van iedereen en alles gestolen, TTNL Group groeit in Duitsland, Mistral naar 12 miljard, geen vertrouwen in beslissingsalgoritmen en DeepL introduceert ai-agent.
Zes op tien gebruikt nog Windows 10
Zes op de tien zakelijke apparaten draait momenteel nog op Windows 10, in het mkb is dat vijf op tien. Zes procent gebruikt zelfs nog Windows 7. Dat concludeert Kaspersky uit eigen onderzoek naar aanleiding van het einde van support voor Windows 10 volgende maand. ‘Migratie naar een nieuwer besturingssysteem kan ten onrechte worden gezien als een onnodige en zelfs verstorende actie die slechts kleine nieuwe functies biedt, terwijl bestaande workflows worden gecompliceerd door interfacewijzigingen. Vanuit cybersecurityperspectief is een systeem dat geen beveiligingsupdates ontvangt echter als een huis met een rottend hek dat met één schop omver kan worden geblazen’, waarschuwt het bedrijf.
China heeft gegevens van honderden miljoenen personen en bedrijven gestolen
De grootschalige cyberaanval door Chinese staatshackers die bekendstaat als Salt Typhoon was gericht op meer dan tachtig landen. Bij de aanval is mogelijk informatie gestolen van bijna elke Amerikaan, zo bericht The New York Times op basis van onderzoek. De Salt Typhoon-aanval was een jarenlange, gecoördineerde aanval die grote telecommunicatiebedrijven en andere bedrijven infiltreerde en was veel groter was dan aanvankelijk aangenomen, aldus de krant. Veiligheidsprofessionals hebben de aanval omschreven als ‘onbeperkt’ en ‘willekeurig’. De aanvallen passen in de trend om zoveel mogelijk data te stelen, vooral ook veilig gewaande en goed versleutelde, om die dan met de eerste generatie quantumcomputers in een ruk te decoderen.
TTNL Group groeit in Duitsland
De Utrechtse TTNL Group heeft het Duitse Erik Sterck overgnomen, zo melden beide. De nieuwe aanwinst adviseert bedrijven op het gebied van datacenters, cloud-native services en cybersecurity en heeft vestigingen in Leonberg, Keulen, München en Hamburg. De twee werken al een jaar nauw samen. Het Duitse bedrijf zal de eigen structuren behouden en als onafhankelijke speler onder het eigen merk blijven opereren. De aankoop moet ook de groei van de groep in de DACH-regio stimuleren.
Mistral naar 12 miljard
Europese ai-lieveling Mistral AI lijkt een waardering van twaalf miljard euro te krijgen in een nieuwe investeringsronde van twee miljard euro, zo meldt Bloomberg. De investering zou de eerste grote kapitaalsverhoging voor Mistral zijn sinds juni 2024, toen het bedrijf werd gewaardeerd op 5,8 miljard euro. De investering komt op het moment dat Europese ai-startups een ongekende groei doormaken. Europese ai-bedrijven haalden in het eerste kwartaal van 2025 55 procent meer investeringen binnen op jaarbasis en twaalf Europese startups bereikten in de eerste helft van het jaar de unicornstatus, aldus Techcrunch. Daaronder ook het Zweedse Lovable, een ai-codeerplatform dat in juli slechts acht maanden na de lancering een waardering van 1,8 miljard dollar bereikte, en in het nieuws kwam omdat het uitgebreid misbruikt wordt voor phishing.
Geen weet van en geen vertrouwen in overheidsgebruik beslissingsalgoritmen
Driekwart van de Nederlanders weet niet of men te maken heeft gehad met geautomatiseerde besluitvorming door de overheid. ‘Die onduidelijkheid over het gebruik van algoritmen vertaalt zich in een sterke behoefte aan transparantie. Maar liefst 94 procent van de respondenten geeft aan het belangrijk te vinden om te begrijpen hoe een geautomatiseerd besluit tot stand komt,’ concludeert consultancy-groep Highberg uit eigen onderzoek. Ook denkt bijna de helft dat het moeilijk of zelfs onmogelijk is om bezwaar te maken tegen een beslissing waarbij een algoritme is gebruikt. En slechts vier procent van de respondenten vindt dat men momenteel voldoende controle heeft over de eigen data.
DeepL Agent
Het Duits-Amerikaanse DeepL, van oorsprong leverancier van vertaalsoftware, introduceert een ai-agent voor bedrijven. Deze autonome agent ondersteunt medewerkers bij onder meer boekhouding, verkoop, marketing, klantenondersteuning en lokalisatie.
De tool richt zich op de automatisering van repeterende, tijdrovende taken zoals factuurverwerking, document-vertalingen en het samenvatten van (verkoop)rapporten. De ai-agent reageert op instructies die zijn geschreven in natuurlijke taal. DeepL borduurt voort op de geavanceerde linguïstische kennis die het bedrijf heeft opgebouwd. Die expertise komt van pas bij het slimmer en efficiënter maken van zakelijke processen. DeepL Agent bevindt zich momenteel in bèta en wordt gelanceerd op DeepL AI Lab.
Topmanager onderschat digitale dreiging schromelijk
1 week
Slechts 1 op 10 bedrijven voorbereid op ai-aanvallen
Ondanks alle waarschuwingen is cybersecurity nog steeds niet top-of-mind bij de hoogste leiding van grote ondernemingen. De interesse is er wel, maar dit thema leeft onvoldoende op het C-niveau. Michael Teichmann, global managing director cyber security risk & architecture bij Accenture, vreest dat de komst van ai de problemen vergroot. ‘Cybersecurity moet ‘by design’ worden ingebouwd in elk initiatief dat wordt gedreven door ai.’
Wanneer die inbedding ontbreekt, gaat het onherroepelijk een keer mis met als gevolg verlies van klantvertrouwen. Teichmann hamert erop dat cybersecurity geen bijzaak is; geen verplichting die voortvloeit uit compliance. ‘Je kunt cybersecurity niet langer zien als iets wat je alleen doet om aan regels te voldoen.’
Het recente Accenture-rapport ‘State of Cybersecurity Resilience 2025‘ is als een wake-upcall te zien. Slechts één op de tien zeer grote ondernemingen (met een omzet van meer dan een miljard dollar) is voorbereid op ai-gedreven cyberaanvallen. Bijna twee derde heeft voor cybersecurity geen samenhangende strategie. Deze groep mist ook de technische basis om deze (nieuwe) bedreigingen het hoofd te bieden. Zo blijkt uit het onderzoek onder 2.286 executives (waarvan tachtig procent ciso en twintig cio is).
Gebrek aan ervaring
Dat het topmanagement, vaak bestaande uit economen, bedrijfskundigen, juristen of ingenieurs, op dit gebied niet tot een proactieve benadering komt, is mede te verklaren uit het grote aantal issues. Teichmann: ‘Je kan zo twintig onderwerpen noemen die directe aandacht opeisen, zoals toenemende geopolitieke spanningen en ai. Cybersecurity wordt dan beschouwd als een indirect gevaar. De hoogste leiding van een onderneming ziet de kosten die daarvoor worden gemaakt, als een soort verzekeringspremie.’
Een belangrijke reden dat het topmanagement weinig oog heeft voor cybersecurity is volgens Teichmann een gebrek aan ervaring. Tijdens hun carrière hebben de meeste ceo’s op dit gebied zelden een directe betrokkenheid gehad. De generatie die nu aan de top staat, is in tegenstelling tot millennials niet honderd procent digital native.
Teichmann: ‘Ze hebben erover gelezen en gehoord, maar nooit risicovolle dingen van nabij meegemaakt. Het is voor deze generatie een ver-van-mijn-bedshow, tenzij er een significant incident in hun eigen bedrijf is geweest. Dat zal op de lange termijn veranderen met het aantreden van de volgende generatie.’
Generatieve ai
Uit genoemd onderzoek van Accenture blijkt dat cyberdreigingen sneller evolueren dan de verdediging van ondernemingen zich kan aanpassen. Generatieve ai vergroot daarbij de kloof. Met ongekende snelheid en schaal stelt ai aanvallers in staat om legacy systemen te omzeilen en beveiligingsteams te overweldigen. Traditionele verdedigingen zijn niet langer toereikend.
Teichmann noemt in dit opzicht malware die als een kameleon van gedaante kan veranderen. In het ene geval ziet deze kwaadaardige software eruit als een appel, in het andere geval als een peer. Wanneer de malware zich aanpast aan zijn omgeving en doelwit, worden detectie en bestrijding lastig. Alleen door zelf ook ai toe te passen, valt dit probleem goed op te lossen.
De securityexpert herinnert zich de discussies van tien jaar geleden waarbij de vraag werd gesteld wat op gebied van cybersecurity het ergste zou zijn. ‘We kwamen toen uit op het verschijnsel ‘data poisoning’. Door heel langzaam over langere tijd informatie te veranderen en telkens nieuwe fouten toe te voegen kan een enorme verwarring ontstaan. Je weet niet meer welke backup je gegevens weer herstelt. Zo kunnen kwaadwillenden nu opzettelijk de trainingsdata van ai-modellen manipuleren om hun gedrag te beïnvloeden of te ondermijnen.’
Zoals gezegd, bezit negentig procent van de bedrijven niet de volwassenheid om moderne ai-gedreven bedreigingen te weerstaan. Teichmann constateert dat ondernemers in ai vooral investeren om hun omzet te vergroten of kosten te verlagen. De top-line growth-agenda krijgt alle aandacht. De nadruk ligt op verkoop, marketing en expansie.
‘In de adoptie van ai wordt 2,6 keer meer geïnvesteerd dan in beveiliging tegen de – nieuwe – gevaren. Maar veelal ontbreekt het aan voldoende veiligheid in de basis. Om generatieve ai op de juiste manier toe te passen moeten juist die basiselementen goed worden ingevuld. Het belang daarvan kan niet genoeg worden benadrukt. Bij nieuwe ai-projecten moet je starten met het fundament. Zie het als een piramide met onderaan de basisbehoeften en ai aan de top. Als het fundament onvoldoende is beveiligd, kan je nooit tot verantwoorde en betrouwbare ai komen.’
Machine-ID
Een van de zaken die veel aandacht verdient is het Identity and Access Management (IAM), een cybersecurity raamwerk dat garandeert dat de juiste personen de juiste toegang tot de juiste hulpbronnen krijgen op het juiste moment. Niet alleen van medewerkers en klanten, maar ook van machines en ai-agenten moeten de digitale identiteiten beheerd worden.
De toegang die een ai-agent heeft tot bepaalde informatie, dient nauwkeurig te worden vastgelegd in een machine-ID. Geef ai-agenten alleen toegang tot de informatie die ze vanuit hun rol nodig hebben. Na het volbrengen van hun taak moet de rechten tot de informatie weer worden ingetrokken zodat alleen toegang tot informatie beschikbaar is wanneer het nodig is.
Altijd moet zichtbaar zijn welke ai-agent wat waar heeft gedaan. En let erop dat de geprivilegieerde toegang die (ai)developers voor een testomgeving krijgen, na afloop van de test weer wordt ingetrokken, aldus Teichmann. Want als hackers zo’n ID vinden, kan het heel erg mis gaan. IAM moet daarom klaar zijn voor de komende ai-transformatie.
Opmerkelijke uitkomst van het onderzoek is ook dat slechts 13 procent van de organisaties over geavanceerde cyber-vaardigheden zegt te beschikken. Dit is niet alleen een kwestie van budget en talent, maar ook van cultuur. En veranderingen in bedrijfscultuur beginnen aan de top, zegt Teichmann.
Crisis-simulaties kunnen de ondernemingsleiding beter bewust maken van de noodzaak tot meer cybersecurity. Executives die zo’n training hebben gedaan, voelen dan beter aan hoe zo’n crisis zich kan ontwikkelen en wat je moet doen. Belangrijk is dat de board bij security-problemen niet meteen alles doorschuift naar de ciso maar zelf ook verantwoordelijkheid neemt.
Cybersecurity is niet alleen een technisch probleem, maar bovenal ook een kwestie van cultuur en bewustwording. Dit vraagt om meer verankering van veiligheid in de totale organisatie. Medewerkers moeten ook beter aanvoelen wat de impact kan zijn van bepaalde handelingen.
Het gaat niet louter om intellectueel vermogen. Als iedereen bijspringt en bijdraagt tot meer cyberveiligheid, wordt de krapte in de arbeidsmarkt in dit vakgebied ook kleiner. Ai moet niet alleen op de juiste manier worden beveiligd, maar ook verstandig worden gebruikt. Governance moet ervoor zorgen dat medewerkers zich bewust zijn van wat ze met ChatGPT delen en geen vertrouwelijke informatie invoeren, zoals het toetsen van een voorstel tot fusie of overname in ChatGPT. Het volledig inbedden van cybersecurity in ai, zowel qua strategie als in de uitvoering. Daar gaat het om, besluit Teichmann.
De nieuwste ontwikkelingen op cybersecurity gebied komen aan de orde op de Cybersec Netherlands beurs. Het event vindt dit jaar plaats op 10 en 11 september in het congresgebouw Koninklijke Jaarbeurs in Utrecht. Inschrijven kan hier en is gratis.
Hoe houdt overheid toezicht op informatiebeveiliging in de zorg?
1 week
Privacygevoelige gegevens van miljoenen Nederlanders worden dagelijks gedeeld tussen de vele zorgorganisaties die ons land telt. Om dat op een veilige manier te doen, zijn er wettelijke normen opgesteld. Toezicht daarop heeft de Inspectie Gezondheidszorg en Jeugd (IGJ). ‘Onze inspecteurs zien vaak dat zorgaanbieders hun informatiebeveiliging nog niet hebben opgezet volgens de wettelijke norm.’ Deel 5 over informatiebeveiliging in de zorg.
De hack bij een Clinical Diagnostics-lab van Eurofins laat zien hoe kwetsbaar de informatiebeveiliging in de Nederlandse zorg is. Zowel dat lab als zijn cliënten – de zorgorganisaties die de gegevens van honderdduizenden Nederlanders aan het lab gaven – moeten zich aan NEN 7510 en NEN 7512 houden, de wettelijke normen voor informatiebeveiliging in de zorg. Het toezicht daarop valt onder de verantwoordelijkheid van de Inspectie Gezondheidszorg en Jeugd, de IGJ.
Computable praat daarover met Karly Tánczos, woordvoerder van de IGJ. De inspectie verwacht bijvoorbeeld dat instellingen aantoonbaar een information security management system (isms) hebben dat aan de norm voldoet, en dat ze een getoetst continuïteitsplan hebben.
Hoe houdt de IGJ toezicht op informatiebeveiliging bij zorgorganisaties?
‘Tijdens ons toezicht vragen wij zorgaanbieders te laten zien dat het managementsysteem voor informatiebeveiliging werkt en dat zij passende beheersmaatregelen nemen, zowel technisch als organisatorisch. Zorgaanbieders kunnen dit laten zien met een onafhankelijke beoordeling; het is een eis in de norm dat zij over een dergelijke beoordeling beschikken, certificering is echter niet verplicht.’
Hóé laten zorgorganisaties dat zien?
‘De IGJ ziet hiervoor het rapport van een onafhankelijke beoordeling in, die de zorgaanbieder – zoals gesteld in de NEN 7510 – met regelmaat moet laten verrichten door een onafhankelijke deskundige. De IGJ heeft hier geen template voor, maar stelt hieraan wél voorwaarden.’ (Zie ook onderstaand kader.)
De IGJ verwacht van een onafhankelijke beoordeling altijd het volgende:
De zorgaanbieder kan onderbouwen waarom de beoordelaar deskundig en onafhankelijk was. Dit blijkt bijvoorbeeld uit het rapport van de beoordeling.
In het rapport is de indeling van de NEN 7510 duidelijk te herkennen. Dat betekent dat duidelijk is hoe het staat met:
elk onderdeel van het information security management system (hoofdstuk 4 tot en met 10 van de NEN7510) en
de beheersmaatregelen (bijlage A van de NEN 7510).
De auditor kijkt niet alleen naar de plannen op papier. De auditor kijkt ook naar (bewijs voor) hoe de informatiebeveiliging werkt in de praktijk.
In het rapport staat:
hoe de controle is uitgevoerd;
met wie is gesproken (en in welke rol);
welk bewijs is gebruikt;
hoe het bewijs is verzameld;
hoe de zorgaanbieder meet en bijstuurt, ook op de beheersmaatregelen uit bijlage A van de NEN7510.
Het is duidelijk hoe de organisatie (ook in de toekomst) onafhankelijke beoordelingen regelt.
Werkt de IGJ samen met certificerend instellingen?
‘In het toezicht op informatiebeveiliging werkt de IGJ niet samen met certificerende instellingen. Wel verwacht de IGJ, conform de norm, bij het uitvoeren van toezicht dat zorgaanbieders beschikken over een onafhankelijke beoordeling van het managementsysteem voor informatiebeveiliging. Een rapport of certificaat van een certificerende instelling geldt als een voorbeeld van een dergelijke onafhankelijke beoordeling.’
Welke certificerende instellingen moeten hiervoor ingeschakeld worden?
‘Er zijn verschillende instellingen die mogen certificeren, mits zij geaccrediteerd zijn door NEN. Echter, certificering is niet wettelijk verplicht. Het moeten beschikken over een onafhankelijke beoordeling volgt wél uit de norm.’
Gaat de IGJ haar richtlijnen of interne procedures aanpassen vanwege de hack?
‘Dat is nu niet aan de orde, we focussen ons nu op het onderzoek. Dat NEN 7510 wel wat voeten in de aarde heeft voor zorgorganisaties, begrijpt de IGJ al langer. Onze inspecteurs zien vaak dat zorgaanbieders hun informatiebeveiliging nog niet hebben opgezet volgens de wettelijke norm. Er zijn veel vragen over dit onderwerp. Daarom hebben we de belangrijkste op een rijtje gezet. Deze informatie is vooral bedoeld voor bestuurders en verantwoordelijken voor informatiebeveiliging bij zorgaanbieders. Denk aan: hoofden ict en security officers.’
De belangrijkste vragen beantwoordt de inspectie op de speciale online informatiepagina. Voor meer informatie over digitale zorg in bredere zin, stelt de IGJ het toetsingskader ‘toezicht op digitale zorg bij zorgaanbieders’ beschikbaar. Over het verbeteren van de informatiebeveiliging, zoals informatieveilig gedrag, wordt in samenwerking met de overheid ook nagedacht.
(De andere delen van deze miniserie zijn hier te vinden.)
Pagina's
