Certificeer de pentest, niet alleen de pentester

In veel slaapkamers hangt tegenwoordig een combimelder, die zowel rook als koolmonoxide meet. Keurig tegen het plafond, batterij vol, lampje groen. Iedereen slaapt rustig. Toch hangt hij verkeerd. Rook stijgt op, dus voor rook is het plafond prima. Maar in een slaapkamer zonder kachel hoort een CO-melder op ademhoogte, ter hoogte van het kussen. Gaat de cv-ketel op de gang lekken, dan kan het alarm te laat komen.

Aan het apparaat ligt het dan niet, maar aan de kennis van wie het ophing. Met pentesten werkt het precies zo. Een pentest is een ingehuurde inbraak: iemand met verstand van zaken probeert binnen te komen, zodat je weet waar het lek zit. Of die persoon wist waar de melder moest hangen, merk je pas als het misgaat.

Soevereiniteit is geen ideologie, het is beveiligingsbeleid

In AG Connect 5 (2026) verscheen mijn artikel Soevereiniteit is geen ideologie, het is beveiligingsbeleid. Aan de hand van de Amerikaanse sancties tegen het Internationaal Strafhof laat het zien dat digitale afhankelijkheid een concreet informatiebeveiligingsrisico is.

Een buitenlandse overheid hoeft geen server te hacken om de IT van een organisatie plat te leggen; een sanctiebesluit kan genoeg zijn. Hoofdaanklager Karim Khan van het Internationaal Strafhof verloor zijn Microsoft-werkplek, en de Nederlandse dienstverlener ProcoliX liet het Hof weten de dienstverlening te moeten staken. Dat raakt direct aan de drie doelen van informatiebeveiliging: beschikbaarheid, integriteit en vertrouwelijkheid.

SAFARI maakt digitale soevereiniteit meetbaar

Vanochtend (7 oktober 2026) is SAFARI gepresenteerd aan 325 auditors van de Belastingdienst. SAFARI is een open methodiek waarmee organisaties hun digitale soevereiniteit systematisch kunnen beoordelen en onderbouwen.

Digitale soevereiniteit gaat over de vraag hoeveel controle een organisatie daadwerkelijk heeft over haar digitale diensten, gegevens en leveranciers. Kan zij zelfstandig keuzes maken? Kan zij blijven functioneren wanneer een leverancier, technologie of onderdeel van de keten wegvalt? En kan zij aantonen onder welke wetgeving haar gegevens en systemen vallen?

AI die hackt? Dat woord bestaat niet.

Geen week gaat voorbij zonder een verhaal over een AI-systeem dat “hackt”. Spannend nieuws, bijna filmisch. Jammer alleen dat het niet klopt. Hacken is geen technische term maar een juridische: computervredebreuk, artikel 138ab. Iets waarvoor je gedagvaard kunt worden, veroordeeld, misschien zelfs beroemd in de verkeerde kringen. Een AI-systeem heeft geen opzet, geen strafblad, geen advocaat die “maar edelachtbare, mijn cliënt is een taalmodel” mag bepleiten. Dus “AI hackt” is grammaticaal net zo correct als “de wasmachine is jaloers”. Wat er wél gebeurt: het systeem lost een probleem op. En daar is het, tot onze stille frustratie, vaak beter in dan de stagiair die de firewall moest instellen.

Regie verloren, les geleerd

Op 25 mei 2026 verbood staatssecretaris Willemijn Aerdts van Economische Zaken de overname van Solvinity door het Amerikaanse Kyndryl. Zij volgde daarmee het advies van het Bureau Toetsing Investeringen (BTI), dat op grond van de Wet ongewenste zeggenschap telecommunicatie een risico voor het publieke belang vaststelde.

Het is een ingrijpend besluit, want de overheid grijpt hiermee rechtstreeks in de markt in. Nu het stof is neergedaald, is het goed om met een nuchtere blik terug te kijken. Niet om met de vinger te wijzen, maar om de juiste lessen te trekken.

Het fundament ligt er al dertig jaar

Nederland is door de Europese Commissie voor de rechter gesleept. De reden: het kabinet heeft de richtlijn voor de bescherming van vitale sectoren als energie, vervoer, zorg en digitale infrastructuur nog altijd niet omgezet in nationale wetgeving. Het ministerie van Justitie en Veiligheid antwoordt dat er ’eerst een goed fundament nodig is’. Dat antwoord verdient een nadere blik.

Het normenkader voor informatieveiligheid waarop dit leunt, ISO 27001, bestaat in de vorm van zijn voorgangers sinds de jaren negentig. De Europese richtlijn ligt al jaren op tafel. Wetgeving begint bovendien in Brussel en Nederland is lid en mag gewoon meedoen, niet pas zodra de tekst definitief is. Een fundament had er allang kunnen en ook moeten liggen. Hoeveel tijd wil het kabinet nog?

OpenKAT 1.22 (Deanna): Sneller werken, rustiger systemen

We zijn trots op de release van OpenKAT 1.22 “Deanna”. Deze versie is vernoemd naar Deana, de moeder van onze mascotte Keiko. Zij is onlangs overleden. Met deze naam eren we haar en tegelijk staat deze release symbool voor een stevige, betrouwbare basis. Deze release draait om één ding: performance. OpenKAT is op veel plekken flink geoptimaliseerd. Dat merk je direct:

• Alles voelt sneller
• Systemen worden minder belast
• Analyses verlopen efficiënter en soepeler Met andere woorden: OpenKAT doet hetzelfde werk, maar slimmer en lichter.

Werkt gewoon fijner Naast de technische verbeteringen is ook gekeken naar het dagelijks gebruik:

OpenKAT 1.21 (lapjeskat): Een nieuwe basis onder Stichting LibreKAT

Met trots kondigen wij release 1.21 van OpenKAT aan. Deze versie markeert een bijzonder moment: het is de eerste release na de overgang van OpenKAT naar Stichting LibreKAT. Release 1.21 staat in het teken van stabiliteit, continuïteit en toekomstbestendigheid. In deze versie zijn de onderliggende softwarecomponenten geactualiseerd naar de meest recente stabiele versies. Daarnaast is gewerkt aan een nieuwe technische basis die verdere ontwikkeling structureel ondersteunt. Daarmee is een stevig fundament gelegd om OpenKAT duurzaam door te ontwikkelen binnen de nieuwe governance-structuur.

Soevereiniteit vraagt geheugen

In het debat in de Tweede Kamer over de overname van Solvinity door Kyndryl en de gevolgen voor DigiD vielen zinnen van het kabinet op. Ze klinken op het eerste gezicht redelijk. ‘We willen de markt niet verstoren.’, ‘Er is nog geen volwaardig alternatief.’, ‘We kunnen geen Europese Google bouwen.’ of ‘De overheid mag bedrijven niet uitsluiten.’Het klinkt voorzichtig, juridisch zuiver en bestuurlijk beheerst. Maar historisch klopt het niet.

De dominante positie van Amerikaanse technologiebedrijven is namelijk niet het resultaat van spontane marktwerking alleen. Silicon Valley is gevormd in een periode waarin de Amerikaanse overheid technologie expliciet als strategisch instrument inzette. Na de Tweede Wereldoorlog werd technologische superioriteit gezien als voorwaarde voor nationale veiligheid. Het Department of Defense groeide uit tot de grootste technologie-inkoper ter wereld. Universiteiten kregen federale onderzoeksbudgetten. Startups ontvingen opdrachten. Risico’s werden door de staat gedragen. De overheid trad bewust op als eerste klant.Zij wachtte niet tot er een volwassen alternatief was. Zij creëerde het.

Podcast: Ik zal je leren: toxische werkomgevingen

Ik zal je leren! Is uw organisatie ziek?

In deze aflevering van Ik zal je leren schuift Brenno de Winter aan in het seizoensthema “wegkomen bij Big Tech”. Maar al snel gaat het gesprek verder dan tech alleen: Brenno legt uit waarom informatiebeveiliging nooit puur een technisch ding is, maar altijd het samenspel is van Regulering, Organisatie en Techniek (ROT). En precies daar wringt het vaak in organisaties: onduidelijke structuren, rollen en bevoegdheden maken securitywerk onuitvoerbaar, waarna de CISO alsnog de schuld krijgt, terwijl volgens wet- en regelgeving juist bestuurders eindverantwoordelijk zijn.