Hoe krijg je meer grip op supplychain-security?

Vind je route naar een weerbare digitale keten op Cybersec Netherlands 2026

Een organisatie kan kwetsbaar zijn voor een aanval via een leverancier. De vraag is niet alleen of een leverancier veilig is, maar ook hoe je die veiligheid gedurende de hele samenwerking beheerst. Op Cybersec Netherlands vind je antwoorden als je onderstaande route volgt langs workshops en stands.

Dat maakt supply-chain security steeds belangrijker. Het gaat niet alleen om de selectie van leveranciers, maar ook om het beheersen van risico’s zodra systemen, data en processen met andere organisaties worden verbonden. Wie op 9 en/of 10 september naar Cybersec Netherlands 2026 in Jaarbeurs Utrecht gaat, kan die vraag vanuit verschillende invalshoeken bekijken. Van inzicht in apparaten en technische afhankelijkheden tot leveranciersrelaties, securityvalidatie en samenwerking. Samen vormen ze een route langs vijf manieren om de digitale keten weerbaarder te maken.

Supply-chain security begint met de ongemakkelijke constatering dat een organisatie niet overal zelf controle over heeft. Leveranciers beheren systemen, software wordt ontwikkeld door externe partijen en digitale diensten draaien soms op infrastructuur van anderen. De vraag is daarom niet alleen of een leverancier veilig is, maar ook hoe je die veiligheid gedurende de hele samenwerking beheerst.

Stap 1: breng ook apparaten en technologie van derden in kaart

Een organisatie kan alleen grip houden op haar digitale keten wanneer duidelijk is welke apparaten en technologieën daadwerkelijk met de eigen omgeving zijn verbonden. Dat geldt niet alleen voor systemen die de organisatie zelf beheert. Ook onbekende of onvoldoende beheerde apparaten kunnen een aanvalspad vormen.

De sessie ‘Via onbekend iot-device toegang tot 2000 servers: een real-life pentest case’ (9 september,14.00 – 14.30 uur, Masterclass theater 3) laat zien hoe groot de gevolgen daarvan kunnen zijn. Dirk Maij, chief technology officer bij Onyx Cybersecurity, bespreekt een praktijkcase waarin een onbekend iot-device uiteindelijk toegang gaf tot ongeveer tweeduizend servers.

Audittrail sluit hier goed op aan als exposant (stand 11C024). De organisatie richt zich op inzicht en controle binnen digitale omgevingen. Welke apparaten zijn aanwezig, hoe zijn ze verbonden en welke risico’s ontstaan wanneer technologie buiten het directe beheer van de organisatie valt?

Wat levert deze stop op?
Een beter beeld van apparaten en technologie van derden die onderdeel zijn van je digitale keten en daarmee van mogelijke onbekende aanvalspaden.

Stap 2: pak technische schuld en verouderde afhankelijkheden aan

Niet ieder risico ontstaat doordat een organisatie iets onbekends over het hoofd ziet. Ook bekende systemen kunnen een probleem worden wanneer verouderde technologie, achterstallig onderhoud of technische schuld zich opstapelt.

De sessie ‘The painful cost of ‘we’ll fix it later’: how cybercriminals exploit technical debt for profit’ (10 september, 14.45 – 15.05 uur, Mainstage) gaat precies daarover. Rebecca Lumley, strategic threat intelligence analyst, en Tom Moester, consultancy lead & commercial partnerships bij Hunt & Hackett, laten zien hoe technische schuld niet alleen een operationeel probleem is, maar ook door cybercriminelen kan worden uitgebuit. Uitgestelde verbeteringen kunnen zich uiteindelijk vertalen naar kwetsbaarheden, verouderde afhankelijkheden en grotere aanvalsmogelijkheden.

DNV sluit als exposant goed aan bij deze stap (stand 11C051). Het houdt zich onder meer bezig met certificering, assurance en risicobeheersing en helpt organisaties risico’s binnen processen en systemen aantoonbaar te beheersen. Daarmee past het bij de vraag hoe technische risico’s structureel worden aangepakt.

Wat levert deze stop op?
Meer inzicht in de risico’s van technische schuld en een duidelijker beeld van welke verouderde systemen en afhankelijkheden niet langer kunnen worden genegeerd.

Stap 3: maak security onderdeel van de leveranciersrelatie

Een leverancier beoordelen voordat een contract wordt gesloten is belangrijk. Maar security moet vervolgens onderdeel blijven van de relatie. Dat wordt extra relevant wanneer leveranciers software of technologie leveren die zelf weer onderdeel wordt van bedrijfskritische processen.

De sessie ‘Preparing for the Cyber Resilience Act: EU funding and ready-to-use solutions’ (10 september, 14.00 – 14.30 uur,Stronger Together Partner Dome 7) sluit hierop aan. De Cyber Resilience Act legt volgens Nina Huijberts, adviseur bij NCC Nederland, nieuwe eisen op aan de cybersecurity van producten met digitale elementen.

Qensora past goed bij deze stap als exposant (stand 11B028). De organisatie richt zich op cybersecurity en helpt organisaties onder meer met het beoordelen en beheersen van securityrisico’s. Daarmee sluit Qensora aan bij de praktische vraag hoe organisaties security niet als een eenmalige leverancierscheck moeten behandelen, maar als onderdeel van de hele relatie.

Wat levert deze stop op?
Een beter beeld van de securityverantwoordelijkheid binnen leveranciersrelaties en van de manier waarop nieuwe Europese regelgeving die verantwoordelijkheid verder vormgeeft.

Stap 4: test of risico’s in de keten daadwerkelijk beheersbaar zijn

Securityafspraken en risicoanalyses zijn waardevol, maar uiteindelijk moet blijken of beveiligingsmaatregelen ook standhouden wanneer iemand ze daadwerkelijk probeert te omzeilen. Dat geldt voor de eigen organisatie, maar net zo goed voor onderdelen van de digitale keten.

De sessie ‘Always under attack: turning purple teaming into continuous security validation’ (9 en 10 september, 12.30 – 13.00 uur, Masterclass theater 2) van Joey Verleg, security engineer bij Crimson7, sluit hierop aan. Purple teaming brengt aanvallende en verdedigende securityteams samen om beveiligingsmaatregelen continu in de praktijk te valideren. Zo wordt sneller zichtbaar waar verdediging en werkelijkheid uit elkaar lopen.

Crimson7 zelf sluit hier natuurlijk goed op aan als exposant (stand 11C015). De organisatie richt zich op cybersecurity en securitytesting en past daarmee bij de gedachte achter deze stap. Het gaat niet alleen om de vraag of een leverancier aan beveiligingseisen voldoet, maar ook of de maatregelen daadwerkelijk bestand zijn tegen een aanval.

Wat levert deze stop op?
Meer zekerheid dat beveiligingsmaatregelen niet alleen op papier werken, maar ook in de praktijk worden getest en verbeterd.

Stap 5: versterk de keten door samenwerking

Een digitale keten bestaat uit meerdere organisaties die van elkaar afhankelijk zijn. Geen enkele organisatie kan alle risico’s zelfstandig oplossen. Informatie delen, ervaringen uitwisselen en gezamenlijk leren zijn daarom belangrijke onderdelen van cyberweerbaarheid.

De sessie ‘The new NCSC and increasing national cyber resilience through public private collaboration’ (9 september, 13.05 – 13.25 uur, Mainstage) sluit daar direct op aan. Eefje Zents, chief relations officer bij het Nationaal Cyber Security Centrum (NCSC), bespreekt hoe het NCSC samenwerkt met verschillende stakeholders om kennisdeling en cyberweerbaarheid te vergroten. Voorbeelden als het Anti Phishing Shield en het Cyber Resilience Network laten zien hoe publieke en private partijen gezamenlijk aan weerbaarheid kunnen werken.

Dat perspectief is ook relevant voor supply-chain security. Een kwetsbaarheid bij één partij kan gevolgen hebben voor meerdere organisaties in dezelfde keten. Door kennis en ervaringen te delen, kunnen organisaties niet alleen hun eigen risico’s beter begrijpen, maar ook bijdragen aan de weerbaarheid van de keten als geheel.

Security Delta (HSD) is betrokken bij deze stap (stand 11C024). Het samenwerkingsverband brengt bedrijven, overheden en kennisinstellingen bij elkaar rond cybersecurity. Daarmee vormt het een logische laatste stop van de route, want de weerbaarheid van een keten wordt niet alleen bepaald door individuele maatregelen, maar ook door de bereidheid om kennis en verantwoordelijkheid te delen.

Wat levert deze stop op?
Een bredere kijk op supply-chain security. Niet iedere organisatie hoeft ieder risico alleen op te lossen, zolang partijen kennis delen en de keten als geheel sterker maken.

Keten zo sterk als het inzicht erin

Wie deze route volgt, ziet dat supply-chain security veel verder gaat dan een vragenlijst voor leveranciers. Het begint met inzicht in apparaten en technologie van derden en vraagt vervolgens om het aanpakken van technische schuld, structurele leveranciersafspraken en voortdurende securityvalidatie. Samenwerking maakt die aanpak compleet.

Een digitale keten wordt niet weerbaar doordat alle risico’s verdwijnen, maar doordat afhankelijkheden zichtbaar en risico’s beheersbaar worden. Het doel is om afhankelijkheden zichtbaar te maken, risico’s beheersbaar te houden en snel te kunnen handelen wanneer er toch iets misgaat. Wie dat goed organiseert, maakt niet alleen zijn eigen organisatie sterker, maar ook de keten waarvan die organisatie afhankelijk is.