6G-beveiligingsrichtlijnen gelanceerd, AI-insider-risico bereikt kritieke niveaus, enterprise-zero-days op recordhoogte — regelgevingsoverzicht

Compliance & Regulations Zeven westerse landen publiceren security-by-design-principes voor 6G-netwerken voordat de normen zelfs zijn afgerond. Mimecast meldt dat door AI gedreven insider-dreigingen een "kritieke bedrijfsdreiging" zijn geworden — 42% van de organisaties zag toenames in zowel kwaadaardige als nalatige insider-incidenten. De Threat Intelligence Group van Google trackte 90 zero-days in 2025, waarbij enterprise-software nu het primaire doelwit is. Microsoft reageert op zorgen over Copilot-datalekkage met nieuwe DLP-controles. En een hoogernstige Gemini AI-kwetsbaarheid in Chrome roept nieuwe vragen op over AI-beveiliging onder de EU AI-verordening. Dit is wat toezichthouders en compliance-teams deze week moeten aanpakken.

📡 GCOT lanceert 6G security-by-design-principes

Waarom dit belangrijk is vóórdat 6G bestaat

Met commerciële 6G-uitrol pas verwacht in 2029-2030, is dit een van de vroegste gevallen van security-by-design-regelgeving die voorafgaat aan de technologie die het reguleert. De coalitie beoordeelde dat 6G meer gevirtualiseerde netwerkfuncties, ontkoppelde architecturen met gestandaardiseerde interfaces en native AI-integratie zal brengen — elk creëert nieuwe aanvalsoppervlakken die op normniveau moeten worden aangepakt, niet achteraf ingebouwd na implementatie.

De acht principes

GCOT definieerde vier beveiligings- en vier veerkrachtdoelstellingen:

Afstemming op regelgeving

Deze principes komen rechtstreeks overeen met bestaande en opkomende EU-regelgeving:

• NIS2-artikel 21: de beveiligingsprincipes weerspiegelen de risicobeheersmaatregelen van NIS2 voor essentiële entiteiten in de telecomsector — inperking, integriteit en toegangscontrole zijn kernvereisten van NIS2
• EU Cyber Resilience Act (CRA): de principes voor toeleveringsketen en security-by-design sluiten aan bij de productbeveiligingsvereisten van de CRA, die zullen gelden voor 6G-netwerkapparatuur zodra deze wordt gecommercialiseerd
• European Electronic Communications Code (EECC): de veerkrachtprincipes van GCOT vullen artikel 40-41 van de EECC aan over netwerkbeveiliging en -integriteit
• EU AI-verordening: met AI native geïntegreerd in 6G-netwerken zullen de AI-governancevereisten onder artikel 6-49 gelden voor AI-componenten in 6G-infrastructuur die als hoogrisico worden geclassificeerd

🤖 Door AI gedreven insider-risico: een "kritieke bedrijfsdreiging"

Belangrijkste bevindingen

• 42% toename in kwaadaardige insider-incidenten: werknemers die opzettelijk data stelen, manipuleren of vernietigen — vaak met AI-tools om gevoelige informatie op schaal te lokaliseren en exfiltreren
• 42% toename in nalatige incidenten: werknemers die persoonlijke cloudaccounts, zwakke wachtwoorden gebruiken, of ten prooi vallen aan door AI versterkte phishing — nalatigheid versterkt door het valse gevoel van veiligheid dat AI-productiviteitstools bieden
• 10% jaar-op-jaar-groei in CISO-bezorgdheid over kwaadaardige insiders, waarbij beveiligingsleiders nu gemiddeld zes door insiders gedreven dreigingen per maand verwachten
• AI als zowel wapen als kwetsbaarheid: aanvallers gebruiken AI om overtuigendere phishinglokmiddelen te maken, terwijl insiders AI gebruiken om gevoelige data efficiënter te zoeken en extraheren

Implicaties voor de EU AI-verordening

Het risicogebaseerde kader van de EU AI-verordening is direct relevant voor door AI gedreven insider-dreigingen:

• Artikel 9 (risicobeheer): hoogrisico-AI-systemen ingezet in werkomgevingen moeten risicobeheersystemen omvatten die misbruikscenario's aanpakken — inclusief opzettelijk misbruik door geautoriseerde gebruikers
• Artikel 14 (menselijk toezicht): AI-tools gebruikt in bedrijfsomgevingen moeten mogelijkheden voor menselijk toezicht behouden, inclusief het vermogen om exfiltratiepatronen van data te detecteren en te voorkomen
• Artikel 13 (transparantie): organisaties die AI-productiviteitstools inzetten, moeten gebruikers informeren over de mogelijkheden en beperkingen van het systeem — werknemers moeten begrijpen tot welke data AI-tools toegang hebben
• Artikel 52 (specifieke transparantie): AI-systemen die content genereren of met mensen interacteren, moeten identificeerbaar zijn als AI — dit geldt voor door AI opgestelde phishing-e-mails gericht op werknemers

NIS2- en DORA-vereisten

Insider-dreigingen vallen expliciet binnen de reikwijdte van beide kaders:

• NIS2-artikel 21(2)(i): vereist maatregelen voor "beveiliging van personeel", inclusief achtergrondcontroles, beveiligingsbewustzijn en toegangsbeheer — AI-toolgovernance moet hier nu deel van uitmaken
• NIS2-artikel 21(2)(a): risicoanalyse en beveiligingsbeleid voor informatiesystemen moeten rekening houden met door AI versterkte insider-risicoscenario's
• DORA-artikel 5: financiële entiteiten moeten insider-dreigingsscenario's opnemen in hun ICT-risicobeheerkaders, waarbij door AI gedreven dreigingen specifieke detectie- en responscapaciteiten vereisen
• DORA-artikel 13: leer- en evolutievereisten betekenen dat financiële entiteiten hun dreigingsinformatie moeten bijwerken om door AI mogelijk gemaakte insider-aanvalspatronen op te nemen

🎯 Enterprise-zero-days bereiken recordhoogte: 90 in 2025

De enterprise-verschuiving

De analyse van Google onthult een structurele verandering in het dreigingslandschap:

• 43 zero-days richtten zich op enterprise-producten — beveiligingsapparaten, netwerkapparatuur, virtualisatieplatforms en enterprise-applicaties
• 21 daarvan (bijna de helft) richtten zich op beveiligings- en netwerkoplossingen — firewalls, VPN's, routers en beveiligingsgateways aan de netwerkrand
• Randapparaten zijn blinde vlekken: beveiligingsapparaten missen vaak endpoint detection and response (EDR)-dekking, waardoor uitbuiting van zero-days moeilijker te detecteren is
• Aanvallers nestelen zich diep in kritieke bedrijfsinfrastructuur, waarbij gecompromitteerde enterprise-tools worden gebruikt voor rechtenescalatie en laterale beweging

Aanvullende GTIG-bevindingen

• Windows blijft het meest getroffen besturingssysteem: van de 47 eindgebruikerszero-days richtten 24 (27% van het totaal) zich op besturingssystemen, met Microsoft Windows voorop
• Mobiele zero-days stegen sterk: 15 zero-days voor mobiele besturingssystemen in 2025, een stijging van 9 in 2024 — een toename van 67%
• Browserzero-days op historisch dieptepunt: naarmate browsersandboxing verbetert, verschuiven aanvallers naar minder geharde doelwitten
• CVE-2026-0628 (Gemini AI in Chrome): een kwetsbaarheid met hoge ernst (CVSS 8.8) voor rechtenverhoging waarmee kwaadaardige extensies Gemini Live in het Chrome-browserpaneel kunnen kapen

Implicaties voor regelgeving

🛡️ Gegevensbescherming Microsoft Copilot: AI-governance in de praktijk

Wat er veranderde

De kernkwestie: de AI-assistent van Microsoft 365 Copilot kon toegang krijgen tot en bestanden lokaal opgeslagen op de machines van gebruikers verwerken, zelfs wanneer DLP-beleid diezelfde bestanden op OneDrive en SharePoint beperkte. Dit hiaat betekende dat vertrouwelijke documenten — gemarkeerd als gevoelig door DLP-regels — konden worden samengevat, geciteerd of vermeld in door Copilot gegenereerde rapporten zonder dat enige bescherming werd toegepast.

• Nieuw standaardgedrag (april 2026): DLP-beleid geldt voor alle bestanden waartoe Copilot toegang heeft, ongeacht de opslaglocatie
• Standaard toegepast: organisaties hoeven zich niet aan te melden — de bescherming wordt automatisch
• Retroactieve handhaving: bestaand DLP-beleid wordt uitgebreid om de lokale bestandstoegang van Copilot te dekken

Belang voor regelgeving

Deze episode illustreert een regelgevingspatroon dat compliance-teams moeten internaliseren:

• GDPR-artikel 25 (gegevensbescherming door ontwerp): het oorspronkelijke gedrag van Copilot — het verwerken van vertrouwelijke data zonder bestaande DLP-regels toe te passen — schond mogelijk het principe van gegevensbescherming door ontwerp en standaard. Organisaties die Copilot implementeerden zonder DLP-dekking te verifiëren, kunnen aansprakelijkheid als verwerkingsverantwoordelijke lopen
• EU AI-verordening artikel 9 (risicobeheer): AI-systemen die persoonlijke of vertrouwelijke data verwerken, moeten controles bevatten om ongeautoriseerde blootstelling van data te voorkomen. Het DLP-hiaat van Copilot is precies het soort risico dat risicobeheersystemen onder artikel 9 moeten identificeren en beperken
• DORA-artikel 28 (ICT-risico bij derden): financiële entiteiten die Microsoft 365 Copilot gebruiken, moeten dit DLP-hiaat behandelen als een materiële ICT-risicogebeurtenis. Documenteer het hiaat, de tijdlijn voor remediatie (april 2026), en eventuele tijdelijke compenserende controles in uw risicoregister voor derden
• NIS2-artikel 21(2)(d) — toeleveringsketenbeveiliging: Copilot is een AI-component van een derde partij in uw ICT-omgeving. Het gegevensverwerkingsgedrag ervan is een toeleveringsketenrisico dat continu moet worden beoordeeld

⚠️ Nep-AI-browserextensies: hiaat in consumentenbescherming

Het regelgevingshiaat

Deze trend legt kritieke hiaten in bestaande regelgevingskaders bloot:

• EU AI-verordening artikel 52 (transparantie): AI-systemen die met gebruikers interacteren, moeten identificeerbaar zijn als AI en hun doel bekendmaken. Nep-AI-extensies schenden zowel transparantie- als doelbindingsvereisten, maar handhavingsmechanismen voor appstore-distributie zijn niet gedefinieerd
• Digital Services Act (DSA): appstores kwalificeren als "onlineplatforms" onder de DSA en moeten maatregelen implementeren om de distributie van kwaadaardige extensies te voorkomen. Dit omvat proactieve beveiligingsreviewverplichtingen voor zeer grote onlineplatforms (VLOP's)
• GDPR-artikel 5(1)(b) — doelbinding: extensies die data verzamelen buiten hun aangegeven AI-functionaliteit schenden het doelbindingsprincipe. Gegevensbeschermingsautoriteiten moeten handhaving tegen deze actoren prioriteren
• CRA-productbeveiliging: wanneer CRA-meldingsverplichtingen in september 2026 van kracht worden, kunnen appstores te maken krijgen met vereisten om actief uitgebuite kwetsbaarheden in gedistribueerde software te melden, inclusief kwaadaardige extensies

📅 Regelgevingskalender: belangrijke data vooruit

🔑 Belangrijkste inzichten voor compliance-teams

1. 6G-beveiligingsnormen worden nu vormgegeven. De acht principes van GCOT stellen verwachtingen die verplichte vereisten zullen worden. Telecomexploitanten en apparatuurfabrikanten moeten hun security-by-design-processen vandaag afstemmen op deze principes — wachten op definitieve normen betekent achterlopen.
2. AI-insider-risico is een nalevingsverplichting, geen HR-kwestie. Met 42% van de organisaties die toenames melden in door AI gedreven insider-dreigingen, moeten NIS2- en DORA-nalevingsprogramma's specifieke AI-toolgovernancecontroles omvatten — shadow-AI-audits, DLP voor AI-ondersteunde toegang, en insider-dreigingsbaselines die rekening houden met AI-mogelijkheden.
3. Uw beveiligingsinfrastructuur is het doelwit. De bevinding van Google van 90 zero-days, waarbij bijna de helft zich richt op enterprise-beveiligings- en netwerkapparaten, betekent dat kwetsbaarheidsbeheerprogramma's prioriteit moeten geven aan de tools die bedoeld zijn om u te beschermen. Ga uit van compromittering van randapparaten en implementeer out-of-band-monitoring.
4. Het DLP-hiaat van Microsoft Copilot is een voorproefje van AI-governancefouten. Organisaties die AI-productiviteitstools implementeren zonder gegevensverwerkingscontroles te verifiëren, lopen aansprakelijkheid onder GDPR, de EU AI-verordening en NIS2. Audit AI-tooldatatoegang voordat toezichthouders vragen stellen.
5. Nep-AI-extensies zijn een consumentenbeschermingscrisis. Totdat DSA- en CRA-handhaving is bijgetrokken, is allowlisting van enterprise-browserextensies uw enige betrouwbare verdediging. Implementeer dit nu.
6. Voorbereiding op Patch Tuesday is niet optioneel. Na een recordjaar van enterprise-zero-days lopen DORA- en NIS2-entiteiten zonder gedocumenteerde, geteste noodpatchingprocedures een nalevingstekort dat toezichthouders zullen identificeren.