6 stappen die je beschermen tegen statelijke actoren

Tot enkele jaren geleden draaide cybersecurity vooral om cybercriminelen. In 2026 gaat het steeds vaker over statelijke actoren.

Deze ontwikkeling verandert het aanvalslandschap fundamenteel. Het vraagt binnen je organisatie om een heel andere kijk op digitale weerbaarheid.

De dreiging verschuift van cybercriminaliteit naar geopolitieke risico's. Als organisatie moet je je niet meer alleen afvragen hoe je cyberincidenten voorkomt en behandelt, maar ook van welke landen, leveranciers, cloudplatforms, hardware en digitale ecosystemen je afhankelijk bent.

Want door geopolitieke spanningen of conflicten kunnen cruciale technologie, data of digitale diensten ineens niet meer beschikbaar, betrouwbaar of veilig zijn. Iets wat de continuïteit en autonomie van je organisatie flink onder druk zet.

In een wereld waar cyberdreigingen en geopolitiek steeds meer samenkomen bepaalt daarom de juiste mix van security-maatregelen en digitale autonomie hoe cyberweerbaar je bent. 

Meteen naar de 6 stappen die je beschermen tegen statelijke actoren

Wat zijn statelijke actoren

Statelijke actoren zijn hackers die worden ondersteund of zelfs aangestuurd door bepaalde staten. Daardoor beschikken ze over een buitengewoon scala aan middelen en aanvalstechnieken. Hun doel: spionage, maar steeds vaker ook sabotage, verstoring en/of beïnvloeding. Het gaat ze bijvoorbeeld om het verzamelen van informatie, het uitoefenen van (politieke) invloed of het strategisch verzwakken van de infrastructuur in andere landen.

Het belangrijkste verschil met ander soort hackers: statelijke actoren stoppen niet omdat het even niet lukt. Ze hebben tijd, bijna onbeperkte middelen en een heel duidelijk doel. Dat maakt je weerbaarheid belangrijker dan ooit.

De opkomst van statelijke actoren

De dreiging van door staten gesteunde hackers is de afgelopen jaren enorm toegenomen. Ten eerste vanwege de huidige geopolitieke spanningen. Maar het is ook mogelijk gemaakt door ontwikkelingen rond techniek: denk aan AI-gedreven aanvallen, die het hacken versnellen, makkelijker maken en bijvoorbeeld phishing geloofwaardiger maken.

Daarnaast kunnen hackers meer impact maken dan vroeger. Ten eerste doordat bedrijven, organisaties en overheden hun vitale processen steeds meer digitaliseren. Maar ook doordat zij hierbij steeds afhankelijker zijn van een beperkt aantal technologieplatformen. Dit maakt organisaties kwetsbaar.

Het risicobeeld rond cyberveiligheid verandert door dit soort hackers. Waar je je eerst moest richten op het voorkomen van aanvallen, gaat het nu vooral om het leren omgaan met aanvallen die waarschijnlijk ooit zullen slagen, en het inzetten op digitale soevereiniteit. Zo wordt weerbaarheid belangrijker dan alleen preventie.

Op wie richten deze hackers zich?

Qua doelwitten denk je misschien gelijk aan de voor de hand liggende organisaties:

• overheid;
• defensie;
• vitale infrastructuur.

Het klopt dat dit soort organisaties belangrijke doelwitten kunnen zijn van statelijk ondersteunde hackers. Maar daar blijft het helaas niet bij. Ook ander soort instellingen en bedrijven kunnen interessant zijn voor geopolitieke verstoring of economisch gewin:

• financiële instellingen;
• zorginstellingen;
• logistieke organisaties;
• hightech-industrie;
• kennisinstellingen;
• multinationals.

Nederland

Ook Nederland is regelmatig doelwit. Lokale overheden en vitale sectoren hebben te maken met steeds meer digitale aanvallen vanuit staten die westerse democratieën en economieën mogelijk willen bespioneren of ontwrichten.

Denk aan de grootschalige Politiehack in 2024 waarbij de zakelijke contactgegevens (namen, e-mailadressen en telefoonnummers) van vrijwel alle medewerkers van de Nationale Politie werden buitgemaakt. Of de spionage bij Defensie via een kwetsbaarheid in FortiGate-systemen. De hackers kregen hierbij toegang tot een specifiek, niet-geclassificeerd netwerk van de Nederlandse krijgsmacht.

Waarom dit ook een digitaal en technologisch soevereiniteitsvraagstuk is

Als jij je data stalt bij buitenlandse cloudproviders – wat meestal zo is – is de dreiging van nationale actoren groter dan hacks alleen. Een andere manier waarop buitenlandse overheden en hun hackers bij jouw informatie, systemen en infrastructuur zouden kunnen is via jouw niet-Europese technologieaanbieders. Je kunt daarbij denken aan cloud- en softwarediensten, maar ook aan hardware.

Want waar staat je data nu, en wie heeft daar eigenlijk officieel toegang toe? Onder welke jurisdictie valt die data? In welk land is jouw hardware gemaakt? En hoe afhankelijk ben je van die ene leverancier, als de verhoudingen door geopolitieke omstandigheden niet meer goed zijn?

3 dimensies van digitale autonomie

Digitale soevereiniteit gaat over méér dan alleen de vraag waar je data staat. Het gaat ook over operationele controle, fallback-mogelijkheden en buitenlandse jurisdictie.

Bij OGD onderscheiden we daarom drie dimensies van digitale autonomie:

1. ‘Data-autonomie’: wie heeft toegang tot de data en mag deze gebruiken?

• Waar staat de data?
• Wie heeft toegang?
• Onder welke jurisdictie valt de data?

2. ‘Operationele autonomie’: kun je onafhankelijk opereren en beslissen?

• Wie beheert de omgeving?
• Wie beheert encryptiesleutels?
• Wie kan systemen uitschakelen of beperken?

• Hoe afhankelijk ben je van één leverancier?
• Hoe eenvoudig is overstappen?

Ook hardware zit in de digitale keten

Organisaties richten zich rond soevereiniteit vaak op hun cloudlocatie en dataverwerking. Daarbij vergeten ze soms dat ook hardware deel uitmaakt van de digitale keten. Hardware gemaakt in landen die statelijke hacks uitvoeren kunnen bijvoorbeeld potentieel spioneren via gemanipuleerde hardware.

Hacken kan via gemanipuleerde:

• servers
• netwerkapparatuur
• storageplatformen
• telecominfrastructuur
• chips en firmware

De risico’s die aan dit soort hardware kunnen kleven:

• verborgen kwetsbaarheden die misbruikt kunnen worden;
• afhankelijkheid van buitenlandse leveranciers;
• beperkte controle over de supply chain;
• mogelijke invloed van buitenlandse wetgeving.

6 stappen om je beter te beschermen tegen statelijke hackers

Gelukkig kun je een hoop doen om je organisatie beter te beschermen tegen statelijke hacks. En om er goed mee om te gaan als er toch iets misgaat. We delen de 6 belangrijkste stappen om te nemen.

Stap 1: Breng je kroonjuwelen in kaart

Wat zijn de meest waardevolle en bedrijfskritische digitale assets van jouw organisatie? Bij welke systemen, data en processen leidt verlies, diefstal of uitval tot de grootste schade?

Denk aan:

• intellectueel eigendom;
• klantdata;
• productieomgevingen;
• financiële systemen;
• AI-modellen.

Stap 2: Implementeer zero trust

Een sterke zero trust-beveiligingsarchitectuur is een absolute must om (statelijke) hackers zoveel mogelijk buiten houden. Met zero trust geef je alleen honderd procent geauthentiseerde gebruikers, applicaties en devices toegang tot stukjes van je ict-omgeving. Het gaat uit van het principe ‘Vertrouw niks en niemand standaard, zelfs niet binnen je eigen netwerk’.

Een zero trust-architectuur richt je in met maatregelen als:

• MFA;
• conditional access;
• privileged access management;
• dataclassificatie;
• netwerksegmentatie.

Lees ook: Implementeer zero trust in deze 6 stappen

Stap 3: Versterk detectie en respons

Houd er rekening mee dat aanvallers mogelijk toch binnenkomen. Dus zorg dat je aanvallen direct opmerkt en dat je vervolgens snel en effectief handelt.

Denk aan:

• 24x7 monitoring (met behulp van AI);
• SIEM;
• een sterk opererend Security Operations Centre (SOC) met effectieve taakverdeling;
• threat intelligence;
• geautomatiseerde respons.

Stap 4: Vergroot cyberweerbaarheid

Ook deze hoort in het rijtje ‘voor als het toch misgaat’. Zorg dat je zo goed mogelijk kunt herstellen van een hack, als die onverhoopt plaatsvindt.

Dit vraagt om:

• helder crisismanagement;
• regelmatige cyberoefeningen om goed voorbereid te zijn;
• back-ups;
• effectieve herstelprocedures.

Stap 5: Maak een afhankelijkheidsanalyse

De vraag is niet alleen of een aanvaller onrechtmatig binnen kan komen in je systemen. Het is ook bepalend wie toegang zou kunnen krijgen tot je data, systemen en infrastructuur als geopolitieke verhoudingen veranderen. Zorg dus dat je weet hoe je ervoor staat en welke stappen nodig zijn als de situatie verandert.

Vragen die daarbij horen:

• Welke cloud gebruik je?
• Wie zijn je leveranciers?
• Welke hardware heb je en uit welke landen is die afkomstig?
• Met welke beheerpartijen werk je samen?
• Onder welke jurisdicties valt jouw infrastructuur?
• Welke (soevereine) alternatieven zijn er voor mijn meest kritieke systemen?
• Kunnen we overstappen als omstandigheden veranderen?

Stap 6: Neem soevereiniteit mee in architectuurbeslissingen

Met een architectuurbeslissing leg je vaak voor jaren vast wie controle heeft over jouw data, technologie en continuïteit. En soevereiniteit achteraf toevoegen is nu eenmaal veel lastiger dan er vanaf het ontwerp rekening mee houden.

Kies dus zo mogelijk direct voor opties die je controle, keuzevrijheid en realistische exit-mogelijkheden geven. Oplossingen waarbij je zelf regie houdt over toegang en encryptie, en die je niet onnodig afhankelijk maken van één leverancier.

Vraag daarom bij nieuwe investeringen altijd:

• Wie beheert de data en wie kan erbij?
• Onder welke wetgeving en jurisdictie valt de leverancier?
• Hoe afhankelijk worden we van deze technologie of leverancier?
• Wat zijn de exitmogelijkheden?
• Welke SEAL-ambities passen bij ons risicoprofiel?

Wat de dreiging van nationale actoren vraagt van je cybersecurity en digitale soevereiniteit

Nationale actoren maken aanvallen geavanceerder en hebben onder invloed van geopolitieke ontwikkelingen invloed op onze (digitale) infrastructuur. Dat vraagt binnen je organisatie om een andere kijk op digitale weerbaarheid.

Kijk verder dan kwetsbaarheden en malware alleen. Beoordeel ook je digitale afhankelijkheden, je supply chain, je cloudstrategie en je digitale soevereiniteit. Want nu cyberdreigingen en geopolitiek steeds meer samenkomen, bepaalt de juiste mix van security-maatregelen en digitale autonomie hoe cyberweerbaar je bent.