Hoe ransomware een probleem werd voor de bedrijfscontinuïteit

Hoe ransomware een probleem voor de bedrijfscontinuïteit is geworden

By Danny Bradbury • 18 juni 2026 • Leestijd: 5 minuten

Mei was geen goede maand voor de Letse staatsburger Deniss Zolotarjovs. Het Amerikaanse ministerie van Justitie beveiligd Hij is veroordeeld tot een gevangenisstraf van 102 maanden voor zijn rol in de Russische ransomwarebende Karakurt.

De zaak bracht aan het licht dat leden van Karakurt gebruik maakten van databases van de Russische overheid om bedrijven te intimideren en hun eigen rekruten te selecteren. Dit criminele netwerk had ook de Amerikaanse noodnummers (911) ontregeld en minstens 15 miljoen dollar aan losgeld afgedwongen van meer dan 54 genoemde bedrijven.

Deze criminele organisatie is een voorbeeld van een groeiend probleem dat bedrijfsbeveiligingsteams niet in hun eentje kunnen oplossen. Een planning die de dreiging nog steeds als een probleem van de IT-afdeling beschouwt, richt zich op de verkeerde tegenstander en onderschat de omvang van het probleem.

Wie is erbij betrokken?

Bedrijven moeten het profiel van de actoren waarvoor ze continuïteitsplannen hebben opgesteld, aanpassen. Deze groepen opereren niet alleen internationaal; ze samenwerken met de staat.

In 2024 legde het Amerikaanse ministerie van Financiën al sancties op aan de ransomwaregroep Trickbot vanwege vermeende banden met de Russische inlichtingendienst. Trickbot bracht verschillende andere groepen voort, waaronder Conti, wat op zijn beurt leidde tot de oprichting van Karakurt. De sancties tegen de leiders van Trickbot hebben dus indirect ook gevolgen voor Karakurt.

De vervolging in mei transformeerde wat aanvankelijk werd omschreven als passieve staatstolerantie in bewijs van directe operationele steun. Karakurt betaalde steekpenningen om leden vrij te stellen van de verplichte Russische militaire dienst en sluisde corruptie binnen het staatsapparaat om de operatie draaiende te houden.

Voor organisaties met hoofdkantoren in rechtsgebieden die Moskou als vijandig beschouwt, is het praktische gevolg dat de bedreiging aan de andere kant van de tafel zich minder gedraagt als georganiseerde misdaad en meer als een quasi-gecontracteerd instrument van het staatsbeleid.

Waar het begint

Het verbeteren van de weerbaarheid tegen ransomware betekent ook dat we moeten heroverwegen waar de inbreuk daadwerkelijk begint. Dit blijkt uit een onderzoek van Security Scorecard uit 2025 naar 1,000 datalekken. gevonden Dat 41.4% van de ransomware-aanvallen nu begint via toegang door derden als gevolg van kwetsbaarheden bij leveranciers, en dat 35.5% van alle datalekken in 2024 een component van derden bevatte.

De Europese reactie beschouwt de bedrijfsperimeter als iets dat eindigt bij de zwakste gecontracteerde leverancier: NIS2 breidt de cybersecurityverplichtingen expliciet uit naar "een veel breder ecosysteem van externe leveranciers, toeleveranciers en digitale dienstverleners" die kritieke activiteiten in de hele EU ondersteunen.

Een inkoopcontract is nu een gereguleerd veiligheidsinstrument op een manier die drie jaar geleden nog niet het geval was, en de processen voor het accepteren van leveranciers bij de meeste multinationals zijn afgestemd op een veel minder onderling verbonden versie van het risico.

Waar het eindigt

Inbreuken beperken zich niet langer tot IT-infrastructuur; ze treffen ook de bedrijfsvoering. De Colonial Pipeline-aanval van 2021 is daar een voorbeeld van. gedwongen Een operationele stilstand die de levering van ongeveer 45% van de brandstof die langs de Amerikaanse oostkust werd verbruikt, verstoorde en leidde tot een federale noodtoestand.

De september 2025-uitgave van Asahi Group ransomware-incident Het illustreerde dezelfde dynamiek op een andere schaal. Fabrieksvloeren waren technisch gezien niet besmet, maar tot wel 30 binnenlandse fabrieken wel. gestopt De productie lag stil omdat de IT-systemen die bestellingen, logistiek en onderling afhankelijke toeleveringsketens coördineerden, uitvielen.

De les die we kunnen trekken uit het geval van Asaha Group is eerder structureel dan technisch: in sterk gedigitaliseerde organisaties heeft een IT-compromis direct gevolgen voor het fysieke bedrijfsmodel. Hoe meer een organisatie haar processen heeft geoptimaliseerd voor efficiëntie, hoe groter de impact doorgaans is.

Wat veerkracht tegenwoordig werkelijk betekent

De vervolging van Karakurt benadrukt een niveau en omvang van geopolitieke risico's die moeilijk te beprijzen zijn met standaard cyberverzekeringsmodellen. De zaken rond Colonial en Asahi maken duidelijk dat het bedrijfsmodel zelf het aanvalsoppervlak vormt. Het behandelen van ransomware als een probleem van bedrijfscontinuïteit in plaats van een probleem van beveiligingsmaatregelen is nu de minimale vereiste vanuit de regelgeving en de dreigingsomgeving.

De instanties die de nieuwe regels opstellen, zijn begonnen met het beschrijven van veerkracht in een taal die door bestuursraden, en niet door CISO's, zal worden toegepast. Dit omvat governance, toezicht op leveranciers, bedrijfscontinuïteit en de aanname dat een inbreuk uiteindelijk zal plaatsvinden via een leverancier waar het bedrijf geen controle over heeft.

De bestaande standaarden doen het grootste deel van de vertaling. De herziening van ISO 27001 uit 2022 is hiervan het duidelijkste voorbeeld, omdat de leverancierscontroles daarin precies zijn afgestemd op de blootstelling aan derden die de cijfers van de Security Scorecard beschrijven. De controles A.5.19 tot en met A.5.23 leggen in een bedrijfsdocument vast wie toegang heeft tot wat en leggen deze beveiligingsverplichtingen vast in leveranciersovereenkomsten.

Deze controles zorgen ervoor dat dezelfde strenge controle door de hele ICT-toeleveringsketen wordt uitgebreid naar de clouddiensten en subverwerkers, iets wat bij onboardingcontroles niet altijd het geval is. Hierdoor wordt de zwakste schakel bij de leverancier iets wat een bedrijf wél kan controleren.

ISO 22301 vervult een vergelijkbare functie voor bedrijfscontinuïteit. Het vereist een analyse van de impact op de bedrijfsvoering en getoetste hersteldoelstellingen, in plaats van erop te vertrouwen dat de systemen vanzelf weer online komen. Dat is precies de tekortkoming die de Asahi-storing aan het licht bracht.

Dit zijn allemaal goede praktijken, maar NIS2 zet veel ervan om in een wettelijke verplichting. Artikel 21 noemt de beveiliging van de toeleveringsketen als een specifieke verplichting, niet als een aanbeveling.

Het kiezen van een raamwerk is het makkelijke deel. De uitdaging is om tientallen overlappende controles, leveranciersbeoordelingen en continuïteitstests actueel te houden binnen een organisatie waarvan de perimeter zich uitstrekt over leveranciers waarover zij niet volledig de controle heeft.

Door een uniform platform te gebruiken om één set bewijsmateriaal tegelijkertijd te koppelen aan ISO 27001, ISO 22301 en NIS2, worden leveranciersrisico's ontrafeld en in kaart gebracht. Dit levert een auditspoor op dat een raad van bestuur kan raadplegen en waarop actie kan worden ondernomen vóór een incident, in plaats van erna. Ransomware-bestendigheid is niet langer een document dat na een inbreuk wordt bijgewerkt, maar iets dat de directie kan aantonen.