Cyberbedreigingen in de toeleveringsketen bestrijden: Gegevens beveiligen en digitale toeleveringsketens beschermen in een snel veranderend cyberlandschap

Belangrijkste opmerkingen

• Toeleveringsketens in de maakindustrie zijn hoogwaardige doelwitten geworden voor cybercriminelen en worden geconfronteerd met meedogenloze aanvallen, aangezien de industrie voor het vierde achtereenvolgende jaar de sector blijft die het meest wordt aangevallen. Aanvallen op de toeleveringsketen zijn sinds 2021 met 431% gestegen en behoren tot de duurste en langzaamst op te lossen aanvallen.
• Onvoldoende toezicht op leveranciers leidt tot kritieke gaten in de cyberbeveiliging. Veel fabrikanten slagen er niet in toereikend toezicht te houden op toeleveranciers van derden en vierde partijen, waardoor bedreigingsactoren gebruik kunnen maken van vertrouwde netwerkverbindingen en kunnen infiltreren in primaire doelwitten via zwakkere schakels in de toeleveringsketen, waardoor de reikwijdte van een cyberaanval wordt vergroot en de blootstelling aan cyberrisico's in de toeleveringsketen toeneemt.
• Cyberveerkracht versterkt toeleveringsketens en marktvoordeel. Het integreren van principes voor beveiliging door ontwerp, robuuste due diligence bij leveranciers en Cyber Supply Chain Risk Management (C-SCRM) praktijken in activiteiten stelt fabrikanten in staat om veilige, flexibele en duurzame toeleveringsketens te bouwen, waardoor zowel de bedrijfscontinuïteit als het concurrentievermogen op de markt worden verbeterd in het huidige bedreigingsintensieve digitale landschap.

De productie-industrie blijft voor het vierde jaar op rij de sector met de meeste cyberaanvallen.[1] Meer dan 26% van de cyberaanvallen wereldwijd zijn gericht op de productie-industrie. Toeleveringsketens zijn vaak het doelwit naarmate ze verder digitaliseren en onderling verbonden raken. Het bedreigingslandschap verschuift snel, met steeds geraffineerdere aanvallen die gericht zijn op elke schakel in het ecosysteem van de toeleveringsketen, van softwareleveranciers en logistieke dienstverleners tot fabrikanten en distributeurs.

Als fabrikanten hun toeleveringsketens in de VS uitbreiden, breiden ze niet alleen hun activiteiten uit, maar leggen ze ook de basis voor veerkracht op de lange termijn. Door best practices op het gebied van cyberbeveiliging vanaf het begin te integreren, kunnen bedrijven risicobeheer omzetten in een concurrentievoordeel voor hun activiteiten en ervoor zorgen dat hun groei zowel veilig als duurzaam is.

Cyberaanvallen op toeleveringsketens blijven toenemen

Cyberaanvallen in de toeleveringsketen hebben een enorme vlucht genomen wat betreft prevalentie, kosten en tijdschema's voor het oplossen ervan. Tussen 2021 en 2023 steeg het aantal aanvallen in verband met de toeleveringsketen met 431%.[2] Vorig jaar werden ze de op één na meest voorkomende aanvalsvector (vorig jaar goed voor 15% van alle inbreuken).[3] Ze zijn ook het op één na duurste type aanval. De gemiddelde kosten van een inbreuk in de VS blijven stijgen en zijn in 2025 met 9% gestegen tot $10,22 miljoen USD (gebaseerd op gegevens over inbreuken in 2024) en zelfs nog hoger voor aanvallen in de toeleveringsketen.[4] Het duurt ook het langst voordat aanvallen in de toeleveringsketen zijn opgelost. Vorig jaar duurde het samen 267 dagen om cybergerelateerde compromitteringen in de toeleveringsketen te detecteren en in te dammen.[5]

Waarom? Onderzoek suggereert dat bedrijven niet voldoende toezicht houden op hun leveranciers, wat leidt tot latente detectie en hogere kosten en oplossingshorizon wanneer cyberaanvallen uiteindelijk worden ontdekt. Uit een onderzoek uit 2024 van Gartner - 's werelds grootste onderzoeks- en adviesbureau - blijkt bijvoorbeeld dat 95% van de organisaties in de afgelopen 12 maanden een rode vlag heeft gezien bij hun externe leveranciers, maar dat slechts ongeveer de helft van hen dit heeft geëscaleerd naar compliance-teams.[6]

Aanvallers maken misbruik van deze vertrouwensrelaties en uitgebreide netwerken. Zoals hieronder wordt beschreven, maken aanvallers gebruik van het gevestigde vertrouwen tussen leveranciers, verkopers, fabrikanten en klanten en hun computer-naar-computer communicatie.[7] Ze richten zich ook op schakels verderop in de toeleveringsketen, zoals derde- en vierdepartij leveranciers. Aanvallers weten dat klanten en hun directe leveranciers vaak niet voldoende toezicht houden op de leveranciers verderop in de keten en zich inspannen om naleving te garanderen.[8]

Deze trend zal waarschijnlijk niet afnemen, omdat we zien dat aanvallers hun technieken blijven verfijnen. De eerste stap in het bestrijden van deze aanvallen is het beter begrijpen van hun gemeenschappelijke tactieken om institutionele best practices te implementeren.

Cyberaanvallen in de toeleveringsketen: Evoluerende technologie maar vertrouwde tactieken

Hoe ze werken

Een cyberaanval op de toeleveringsketen maakt gebruik van vertrouwde relaties tussen toeleveringspartners. Alle organisaties hebben een niveau van impliciet vertrouwen in andere bedrijven omdat ze software van het bedrijf installeren en gebruiken in hun netwerken of met hen samenwerken als leveranciers. Hackers kiezen vaak voor de weg van de minste weerstand en richten zich op de zwakste schakel in een keten van onderling verbonden ecosystemen en software, omdat ze meerdere organisaties kunnen infiltreren via één enkel compromitteringspunt.

Dus zelfs als je organisatie goed beschermd is en een sterk cyberbeveiligingsprogramma heeft, in het geval dat een van je vertrouwde leveranciers niet veilig is, zullen aanvallers zich op die leverancier richten om de beveiliging te omzeilen die in de organisatie van de leverancier aanwezig is. Ze lanceren phishingprogramma's of social engineering-aanvallen om de referenties van een werknemer van een leverancier te compromitteren.

Als de aanvallers eenmaal voet aan de grond hebben gekregen in het systeem van een leverancier, hebben we gezien dat ze kwetsbaarheden verkennen en uitbuiten door zich lateraal door het netwerk te bewegen. Ze kunnen bijvoorbeeld gebruik maken van niet-gepatchte softwarekwetsbaarheden, zwakke toegangscontroles of verkeerd geconfigureerde systemen om hun privileges te verhogen en hun penetratie verder te verdiepen om het te gebruiken als lanceerplatform om malware of kwaadaardige code te implementeren of op een andere manier toegang te krijgen tot de netwerken van de primaire doelorganisaties. Deze zwakke schakel route omzeilt anders extreem moeilijke beveiligingsmaatregelen om direct aan te vallen.

Deze bedreigingen hebben wereldwijde gevolgen. We hebben gezien dat hackers - opzettelijk of onopzettelijk - controle krijgen over de volledige infrastructuur van een organisatie, zelfs als deze niet direct het doelwit is. Zoals hierboven vermeld, zijn het niet alleen de directe leveranciers waar organisaties zich zorgen over moeten maken; de risico's kunnen veel dieper in de toeleveringsketen liggen met leveranciers van derden en derden, aangezien de impact van een verstoring van één leverancier meerdere partijen verderop in de keten kan treffen.

Enkele veelvoorkomende soorten cyberaanvallen die invloed hebben op toeleveringsketens

Tactieken als phishing, ransomware en malware blijven wijdverspreid, maar de snelle evolutie van kunstmatige intelligentie (AI) maakt het cyberbeveiligingslandschap nog uitdagender. Bij 16% van de datalekken die in 2025 zijn gemeld, was zelfs een vorm van AI betrokken.[9] Bedreigingsactoren maken nu gebruik van AI om zeer overtuigende deepfake imitaties te genereren, ongekend snel realistische phishingcampagnes op te zetten en kwetsbaarheden in complexe toeleveringsketens te identificeren en te misbruiken.[10] Bedreigingsactoren kunnen AI bijvoorbeeld gebruiken om snel openbaar toegankelijke profielen van de leidinggevenden van het doelbedrijf te scannen en deze informatie gebruiken om phishing-e-mails te maken die zijn afgestemd op de rol en communicatiestijl van elke ontvanger en die onwetende werknemers ertoe aanzetten op kwaadaardige koppelingen te klikken waardoor hun inloggegevens aan onbevoegde derden worden doorgegeven.

Drie opvallende cyberbeveiligingsincidenten in toeleveringsketens illustreren deze tactieken in actie.

• Aanval met ransomware in de energiesector(januari 2024): Een multinationaal energiebedrijf werd getroffen door een omvangrijke ransomware-aanval nadat aanvallers, vermoedelijk in verband gebracht met de Cactus-ransomwarebende, aanvankelijk toegang kregen tot de systemen door misbruik te maken van een kwetsbaarheid met betrekking tot een VPN-apparaat. De aanvallers beweerden 1,5 TB aan gevoelige gegevens te hebben geëxfiltreerd en lekten 25 MB van deze gegevens, waaronder kopieën van geheimhoudingsverklaringen en gescande paspoorten van Amerikaanse burgers. Tot op heden zijn de kosten van deze aanval en het aantal getroffen klanten niet bekend. Het is echter waarschijnlijk aanzienlijk aangezien het bedrijf wereldwijd meer dan 2.000 klanten bedient.[11]
• Hack van cloudgebaseerd dataplatform (april 2024): Een populair cloud-gebaseerd dataplatform kreeg te maken met een aanzienlijk datalek toen een software engineer met behulp van via infostealer malware gestolen referenties het netwerk infiltreerde. Deze inbreuk bracht de gegevens van 165 klanten in gevaar, die samen gegevens van meer dan 500 miljoen personen verwerken. Op de datum van dit schrijven zijn de totale kosten van de inbreuk nog onbekend.[12]
• Ransomware-aanval op een wereldwijde logistieke dienstverlener en expediteur (aug. 2024). Een groot wereldwijd logistiek en expeditiebedrijf kreeg te maken met een ransomware-aanval die technische storingen veroorzaakte en de dienstverlening beïnvloedde. Klantenservice, facturering, betalingssystemen en gegevensintegratie met systemen van klanten en leveranciers werden allemaal aangetast. Het centrale operationele systeem en het klantgerichte portaal waren enkele dagen offline (met als gevolg dat klanten hun zendingen niet in realtime konden volgen, wat wereldwijd logistieke uitdagingen opleverde). Op het moment van dit schrijven zijn de totale kosten van het incident nog onbekend.[13]

Beste praktijken voor het beperken van cyberrisico's in uw toeleveringsketen

Wees proactief. Leveringspartners moeten zich aanpassen aan deze toenemende bedreigingen door risico's voor de toeleveringsketen en cybergerelateerde verstoringen te beheren en zich erop voor te bereiden in plaats van alleen maar te reageren op problemen die zich voordoen. Uw toeleveringsketen is zo sterk als de zwakste schakel. Denk intern en in uw hele toeleveringsketen na over de implementatie van beveiligingsprotocollen. 

1. Ontwerpbeveiliging. Implementeer security by design-principes tijdens de productontwikkelings- en implementatiefasen. Door beveiligingsmaatregelen in een vroeg stadium in te bouwen, kunnen organisaties het aantal exploiteerbare fouten verminderen en de veerkracht van hun supply chain-systemen versterken.
2. Risicobeheerraamwerk. Implementeer een alomvattend kader voor risicobeheer dat de principes van Cyber Supply Chain Risk Management (C-SCRM) integreert.[14] C-SCRM is een systematisch proces voor het beheren van de blootstelling aan cyberbeveiligingsrisico's in de hele toeleveringsketen en het ontwikkelen van passende responsstrategieën, beleidsregels, processen en procedures. Daarnaast biedt het National Institute of Standards and Technologies ("NIST") Cybersecurity Framework (CSF) 2.0 een gestructureerde aanpak voor het beheren van cyberrisico's en kan het dienen als basis voor organisaties van alle groottes en sectoren om hun risicobeheerstrategieën te ontwikkelen.[15] CSF 2.0 bevat ook aanvullende C-SCRM-uitkomsten om organisaties te helpen deze risico's aan te pakken. De subcategorieën binnen de CSF C-SCRM Categorie [GV.SC] dienen als een brug, die cyberbeveiliging-gerichte resultaten verbindt met bredere C-SCRM doelstellingen.
3. Beheer van AI en Software-as-a-Service ("SaaS"). Catalogiseer en controleer het gebruik van alle interne (bijv. werknemers) en externe (bijv. leveranciers) AI-oplossingen en SaaS-tools om het aantal kwetsbaarheden in de hele toeleveringsketen tot een minimum te beperken. Naarmate AI zich verder ontwikkelt, moeten organisaties beveiligingstrainingen bijwerken voor AI-gedreven bedreigingen, risico's van derden beoordelen en AI-governance instellen om de beveiliging te handhaven. Het is belangrijk om te onthouden dat een governanceprogramma alleen effectief is als medewerkers begrijpen hoe ze het beleid en de procedures correct moeten naleven.
4. Zorgvuldigheid bij leveranciers. Voer grondige due diligence uit bij het selecteren van leveranciers en beoordeel hun cyberbeveiligingshouding, incidentresponsmogelijkheden, veerkracht en naleving van toepasselijke wetten, regels en industrienormen met betrekking tot gegevensbescherming en -beveiliging. Dit helpt bij het identificeren en beperken van potentiële risico's van externe leveranciers.
5. Grondige beoordelingen van bestaande leveranciers. Voer regelmatig beveiligingsbeoordelingen en -audits uit bij bestaande leveranciers om de effectiviteit van cyberbeveiligingscontroles en -praktijken te evalueren en om ervoor te zorgen dat de relevante beveiligingsnormen en andere toepasselijke wettelijke en contractuele vereisten worden nageleefd gedurende de gehele levenscyclus van de toeleveringsketen. Het wordt ook aanbevolen om C-SCRM-praktijken te implementeren om risico's voor de toeleveringsketen in verband met externe leveranciers te identificeren en te beperken. Daarnaast vereist leveranciersbeheer een effectieve communicatie binnen de hele organisatie om ervoor te zorgen dat alle materiële problemen of beveiligingsgerelateerde problemen met externe leveranciers op de juiste manier naar boven worden geëscaleerd om te worden opgelost.
6. Contracten met leveranciers. Zorg ervoor dat er robuuste cyberbeveiligingsvereisten zijn in elke RFP en in elk contract met een belangrijke leverancier van toeleveringsketens, die minimaal betrekking hebben op duidelijk gedefinieerde verantwoordelijkheden en aansprakelijkheidstoewijzing aan leveranciers, veerkracht van de eigen systemen van de leverancier, regelmatige training van zijn personeel, onmiddellijke kennisgeving van beveiligingsincidenten en voortdurende samenwerking met uw organisatie in verband daarmee, periodieke audits, onderaanneming en andere gerelateerde maatregelen die nodig zijn voor naleving van toepasselijke wetten en industrienormen. Bedrijven dienen ook regelmatig bestaande contracten met leveranciers te herzien en bij te werken om ervoor te zorgen dat er voldoende eisen aan cyberbeveiliging worden gesteld en om addenda te vragen als dat niet het geval is.
7. Continue bewaking en detectie. Implementeer mechanismen voor continue bewaking en detectie om cyberbedreigingen in realtime te identificeren en erop te reageren. Organisaties moeten bijvoorbeeld overwegen om informatiebronnen over bedreigingen, SIEM-systemen (Security Information and Event Management) en systemen voor indringerdetectie en -preventie te gebruiken om te controleren op verdachte activiteiten en anomalieën met betrekking tot systemen en/of software die binnen uw toeleveringsketen worden gebruikt.
8. Veilige toegangscontroles, versleutelingsmaatregelen en patchbeheer. Implementeer robuuste toegangscontroles en maatregelen voor gegevensversleuteling om gevoelige informatie die wordt gedeeld binnen de toeleveringsketen te beschermen. Het versleutelen van gegevens, zowel in rust als tijdens het transport, helpt om deze te beschermen tegen onbevoegde toegang of onderschepping. Toegangscontroles (bijv. multi-factor authenticatie, rolgebaseerde toegangscontroles, principes van de laagste rechten, etc.) helpen de toegang tot kritieke bedrijfsmiddelen en systemen door externe leveranciers te beperken. Houd daarnaast alle software, inclusief besturingssystemen en applicaties, up-to-date met de nieuwste beveiligingspatches. Regelmatige updates zorgen ervoor dat kwetsbaarheden direct worden verholpen.
9. Plannen voor respons bij incidenten en bedrijfscontinuïteit. Ontwikkel of actualiseer bestaande plannen voor het reageren op incidenten om processen op te nemen voor het reageren op cyberincidenten waarbij belangrijke externe leveranciers van de toeleveringsketen betrokken zijn of die op een andere manier ontstaan (en met relevante C-SCRM-praktijken ingebouwd om specifieke bedreigingen en kwetsbaarheden van de toeleveringsketen aan te pakken). Daarnaast zou het verstandig zijn om bedrijfscontinuïteits- en noodherstelplannen te ontwikkelen en regelmatig te testen om de continuïteit van de activiteiten te waarborgen in het geval van een cyberaanval op de toeleveringsketen.
10. Opleiding en bewustwording. Zorg voor regelmatige cyberbewustzijnstrainingen voor werknemers, leveranciers en belanghebbenden om (i) hen te informeren over het belang van veelvoorkomende cyberbedreigingen en best practices, (ii) hen bewust te maken van C-SCRM-beginselen en het belang van beveiliging van de toeleveringsketen bij het beperken van cyberrisico's, en (iii) hen te helpen potentiële cyberbedreigingen te herkennen en hen aan te moedigen deze te melden.

Conclusie

Voor fabrikanten die hun aanwezigheid in de VS uitbreiden, is het nu tijd om cyberbeveiliging niet te beschouwen als een checkbox voor naleving, maar als een strategische factor. Een veerkrachtige toeleveringsketen is niet alleen veiliger, maar ook slimmer, flexibeler en beter gepositioneerd voor succes op de lange termijn.

Het verwaarlozen van risicobeheer bij leveranciers kan leiden tot aanzienlijke financiële verliezen, diefstal van intellectueel eigendom, reputatieschade en maatschappelijke gevolgen. Hoewel cyberdreigingen onvermijdelijk zijn, kunnen bedrijven de gevolgen ervan aanzienlijk beperken door een sterk raamwerk voor risicobeheer van leveranciers op te zetten en de beveiligingsmaatregelen te verbeteren. Op die manier kunnen bedrijven hun waardevolle bezittingen, reputatie en relaties met belanghebbenden beter beschermen.

[1] Zie IBM X-Force 2025 Threat Intelligence Index, beschikbaar op https://www.ibm.com/thought-leadership/institute-business-value/en-us/report/2025-threat-intelligence-index (laatst bekeken op 17 aug. 2025).

[2] Zie Cowbell Cyber, Cyber Roundup Report 2024, p. 4, https://cowbell.insure/wp-content/uploads/pdfs/CB-US-Q4-CyberRoundupReport24.pdf (laatst bekeken op 17 aug. 2025).

[3] Id. op blz. 17.

[4] PonemonInstitute (gesponsord, geanalyseerd en gepubliceerd door IBM), Cost of a Data Breach Report 2025 (aug. 2024) (hierna: "Cost of a Data Breach Report"), op p. 4, beschikbaar op https://www.ibm.com/reports/data-breach (registratie vereist voor toegang tot inhoud) (laatst bekeken op 17 aug. 2025).

[5] Id. op blz. 18.

[6] Gartner, Gartner Says Compliance Leaders Need Consistent Communication with Relationship Owners to Effectively Manage Third-Party Risk (23 april 2025), https://www.gartner.com/en/newsroom/press-releases/2025-04-23-gartner-says-compliance-leaders-need-consistent-communication-with-relationship-owners-to-effectively-manage-tihird-party-work.  

[7] Zie Cost of a Data Breach Report, op p. 18.

[8] Zie id.

[9] Zie id. op blz. 38.

[10] Zie id.

[11] Secureframe, 20 recente cyberaanvallen & wat ze ons vertellen over de toekomst van cyberbeveiliging (15 jul. 2025), beschikbaar op https://secureframe.com/blog/recent-cyber-attacks (laatst bekeken op 17 aug. 2025).

[12] Ravie Lakshmanan, Snowflake Breach Exposes 165 Customers' Data in Ongoing Extortion Campaign (11 jun. 2024), beschikbaar op https://thehackernews.com/2024/06/snowflake-breach-exposes-165-customers.html (laatst bekeken op 17 aug. 2025).

[13] World Economic Forum, Why Cyber Resilience Should be a Top Priority for Freight Forwarders (4 juni 2025), beschikbaar op https://www.weforum.org/stories/2025/06/cyber-resilience-top-priority-for-freight-forwarders/.

[14] NIST SP 800-161 Rev. 1 (2024), https://csrc.nist.gov/pubs/sp/800/161/r1/upd1/final.

[15] NIST Cybersecurity Framework (CSF) 2.0 (2024), https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf.