Supply Chain-risico

Wat zijn supply chain-risico’s?

Supply chain-risico’s in cybersecurity zijn de risico’s die ontstaan doordat een organisatie afhankelijk is van externe partijen, zoals leveranciers van hardware en software, IT-dienstverleners, systeemintegratoren en fabrikanten van OT-apparatuur, waardoor een kwetsbaarheid of aanval bij één van die schakels doorwerkt in de eigen systemen. De aanvaller hoeft dan niet uw eigen verdediging te doorbreken: hij misbruikt het vertrouwen dat u al in een leverancier stelt, bijvoorbeeld via een update, een onderhoudsverbinding of een component diep in de firmware. In OT-omgevingen weegt dat extra zwaar, omdat installaties twintig jaar of langer meegaan en blijvend afhankelijk zijn van dezelfde fabrikant.

🧠 Hoe ontstaat een supply chain-risico?

Een moderne installatie bestaat uit producten en diensten van tientallen partijen, die op hun beurt weer onderleveranciers en open-sourcecomponenten gebruiken. Elke schakel kan op drie manieren een risico worden:

• Kwetsbaarheid - een fout in een gedeeld component, zoals een TCP/IP-stack of bibliotheek, die in veel producten tegelijk zit
• Compromittering - een aanvaller dringt binnen bij de leverancier en verspreidt via diens kanalen kwaadaardige code naar klanten
• Afhankelijkheid - de leverancier valt weg, stopt met ondersteuning of staat onder invloed van een buitenlandse overheid, zie hoog-risicoleveranciers

In een rapport uit juli 2021 analyseerde het Europese cybersecurityagentschap ENISA 24 ketenaanvallen uit de voorgaande anderhalf jaar. In 66 procent van de gevallen richtte de aanvaller zich op de code van de leverancier, en in 62 procent misbruikte hij het vertrouwen van de klant in die leverancier. Het Verizon Data Breach Investigations Report 2025 zag het aandeel datalekken waarbij een derde partij betrokken was verdubbelen van ongeveer 15 naar 30 procent.

📜 Welke bekende aanvallen liepen via de keten?

Ongeveer 18.000 SolarWinds-klanten downloadden de besmette update, al schatte het bedrijf later dat er minder dan 100 daadwerkelijk zijn gehackt. De kwetsbaarheden in Kaseya VSA waren in april 2021 al gemeld door het Nederlandse DIVD; de aanval vond plaats voordat alle lekken waren gedicht.

🏭 Waar zitten supply chain-risico’s in een OT-omgeving?

In OT zijn leveranciers vaak fysiek en digitaal met het proces verweven. Typische schakels zijn:

• Producten - PLC’s, SCADA-software, historian-databases, HMI’s en engineeringtools van externe fabrikanten
• Componenten - protocolstacks, besturingssystemen en open-sourcebibliotheken in embedded systemen, vaak zonder dat de eindgebruiker ze kent
• Diensten - systeemintegratoren en onderhoudspartijen die via toegang op afstand of een laptop op locatie in het productienetwerk werken
• Updates - firmware en patches die via de downloadportal of het cloudplatform van de leverancier binnenkomen
• Cloud - monitoring- of besturingsplatformen die de leverancier buiten uw netwerk beheert

Het verschil met IT is de levensduur. Een DCS of PLC draait vaak twee decennia, terwijl een leverancier na overname of faillissement kan stoppen met updates. Een ketenrisico wordt dan een blijvend bedrijfsrisico.

⚖️ Welke wetten en normen vragen om ketenbeveiliging?

NIS2 en de CRA vullen elkaar aan: een drinkwaterbedrijf moet onder de Cyberbeveiligingswet zijn leveranciers beoordelen, terwijl de fabrikant van zijn PLC’s onder de CRA veilige producten moet leveren. Daarnaast kan de EU volgens artikel 22 van NIS2 gecoördineerde risicobeoordelingen van kritieke toeleveringsketens uitvoeren, waarvan de uitkomsten entiteiten moeten meewegen. In de VS beschrijft NIST SP 800-161 Rev. 1 uit mei 2022 een volledig raamwerk voor cybersecurity supply chain risk management (C-SCRM).

🧭 Hoe beperkt u supply chain-risico’s stap voor stap?

1. Breng leveranciers en componenten in kaart - koppel uw assetinventaris aan leveranciers, onderleveranciers, firmwareversies en toegangsroutes.
2. Classificeer op kritikaliteit - welke leverancier kan bij uitval of compromittering het proces stilleggen of de veiligheid raken? Begin daar.
3. Beoordeel vooraf - vraag naar certificeringen zoals ISO 27001 of IEC 62443-4-1, kwetsbaarhedenbeleid, ondersteuningstermijn en een SBOM.
4. Leg het vast in contracten - beveiligingseisen, meldplicht bij incidenten en kwetsbaarheden, auditrecht, eisen uit IEC 62443-2-4 en een exitregeling.
5. Beperk toegang technisch - Netwerksegmentatie volgens het Zone and Conduits-model, toegang op afstand alleen via een Jump Server of beheerde VPN met MFA, tijdgebonden en gelogd.
6. Controleer wat binnenkomt - verifieer hashes en handtekeningen met Firmware Signing, test updates eerst in een testomgeving en volg uw patchmanagement.
7. Monitor en evalueer - houd leveranciersactiviteit bij met monitoring en herbeoordeel kritieke leveranciers minstens jaarlijks of na een incident.

Deze stappen vormen samen de kern van supplier security en third party risk management. Een praktisch beginpunt voor een middelgroot productiebedrijf is vaak de lijst van partijen met toegang op afstand: die is meestal korter dan verwacht, maar bevat bijna altijd een vergeten permanente verbinding.

❓ Veelgestelde vragen

Wat is het verschil tussen een supply chain-risico en een supply chain-aanval?

Een supply chain-risico is de kans dat een zwakte bij een leverancier uw organisatie schaadt, ook zonder kwade opzet, bijvoorbeeld door een kwetsbaar component of een failliete leverancier. Een supply chain-aanval is een bewuste aanval die via een leverancier verloopt, zoals de gemanipuleerde updates van SolarWinds. Elke supply chain-aanval is dus een gerealiseerd supply chain-risico, maar niet andersom.

Moet mijn organisatie onder de Cyberbeveiligingswet haar leveranciers beoordelen?

Ja, essentiële en belangrijke entiteiten onder de Cyberbeveiligingswet moeten de beveiliging van hun toeleveringsketen regelen, inclusief de relaties met directe leveranciers. Artikel 10 van het Cyberbeveiligingsbesluit werkt dat uit als beleid voor leveranciersafhankelijkheden en periodieke toetsing. Leveranciers die zelf niet onder de wet vallen, krijgen deze eisen in de praktijk via contracten opgelegd.

Helpt een SBOM tegen supply chain-risico’s?

Een SBOM vermindert supply chain-risico’s door te laten zien welke softwarecomponenten in een product zitten, zodat u bij een nieuw lek als Ripple20 of XZ Utils snel weet welke systemen geraakt zijn. Een SBOM voorkomt geen aanval, maar verkort de tijd tussen bekendmaking en maatregel. Onder de Cyber Resilience Act moeten fabrikanten een SBOM opstellen, al hoeven zij die niet openbaar te maken.

Zijn ondertekende updates veilig?

Een digitale handtekening bewijst dat een update van de leverancier komt en onderweg niet is gewijzigd, maar niet dat de inhoud betrouwbaar is. Bij SolarWinds en 3CX was de kwaadaardige code ondertekend, omdat de aanvaller al binnen zat bij de leverancier. Test updates daarom eerst in een afgescheiden omgeving en let op afwijkend netwerkverkeer na installatie.

Waarom zijn supply chain-risico’s in OT groter dan in IT?

Supply chain-risico’s wegen in OT zwaarder doordat installaties decennialang afhankelijk blijven van één fabrikant en vervangen duur en ingrijpend is. Bovendien hebben leveranciers vaak toegang op afstand tot het productienetwerk voor onderhoud. Een gecompromitteerde schakel kan daardoor niet alleen data, maar ook fysieke processen en veiligheid raken.

Waar begin ik met het beheersen van supply chain-risico’s?

Begin met een overzicht van alle leveranciers die toegang hebben tot uw OT-netwerk of software leveren voor kritieke systemen, en rangschik die op impact. Pak daarna de toegang op afstand aan via een gecontroleerde route en neem beveiligingseisen op in nieuwe contracten. Dat levert snel resultaat op en sluit aan bij wat de Cyberbeveiligingswet vraagt.

📌 Samengevat

Supply chain-risico’s ontstaan overal waar u vertrouwt op een externe partij: in producten, componenten, updates, cloudplatforms en onderhoudsverbindingen. Aanvallen als Havex, NotPetya, SolarWinds en 3CX laten zien dat juist dat vertrouwen wordt misbruikt. NIS2, de Cyberbeveiligingswet, de Cyber Resilience Act en IEC 62443 maken ketenbeveiliging tot een verplichting voor zowel afnemers als fabrikanten.

Supply chain-risico’s zijn cyberdreigingen die ontstaan door afhankelijkheid van derden; u beperkt ze met een leveranciersoverzicht, harde contracteisen, een SBOM, gecontroleerde updates, segmentatie en monitoring.