EU sanctioneert Chinese en Iraanse partijen voor cyberaanvallen op kritieke infrastructuur, techreuzen investeren $12,5 miljoen in opensource-beveiliging, CISO's worstelen met AI Act-gereedheid

Beveiligingsvoorschriften De Europese Raad legt sancties op aan drie entiteiten en twee individuen voor cyberaanvallen op EU-kritieke infrastructuur in zes lidstaten. Anthropic, AWS, Google, Microsoft en OpenAI investeren gezamenlijk $12,5 miljoen in opensource-beveiligingsinitiatieven van de Linux Foundation. Een nieuw benchmarkrapport onthult dat 67% van de CISO's beperkt zicht heeft op AI-gebruik — een kritieke leemte nu de handhavingstermijnen van de EU AI Act naderen.

1. EU-Raad sanctioneert Chinese en Iraanse entiteiten voor cyberaanvallen

De Raad van de Europese Unie kondigde op 16 maart sancties aan tegen drie bedrijven en twee individuen voor hun rol in cyberaanvallen gericht op EU-kritieke infrastructuur en apparaten van lidstaten. Dit is de belangrijkste uitbreiding van het cybersanctieregime van de EU sinds de start in 2019, en geeft een duidelijk signaal af dat cyberoperaties tegen EU-infrastructuur reële economische gevolgen hebben.

Wie werd gesanctioneerd

• Integrity Technology Group (China) — bood technische en materiële ondersteuning voor hackoperaties tussen 2022–2023 die meer dan 65.000 apparaten in zes EU-lidstaten compromitteerden. De FBI koppelde dit bedrijf in 2024 aan het 'Raptor Train'-botnet, geëxploiteerd door de door de Chinese staat gesponsorde groep Flax Typhoon, die wereldwijd 260.000 apparaten infecteerde
• Anxun Information Technology / i-Soon (China) — bood hacker-voor-huur-diensten aan en voerde sinds ten minste 2011 cyberaanvallen uit gericht op "kritieke infrastructuur en kritieke functies van lidstaten en derde landen". Twee medeoprichters werden individueel gesanctioneerd. Een datalek in februari 2024 onthulde de operaties van i-Soon als Chinese overheidshackingcontractant
• Emennet Pasargad (Iran) — toegeschreven aan meerdere beïnvloedingscampagnes, waaronder het kapen van reclameborden tijdens de Olympische Spelen van Parijs 2024 en het compromitteren van een sms-dienst in Zweden. Het Amerikaanse ministerie van Justitie bood eerder een beloning van $10 miljoen voor informatie over twee van zijn contractanten

NIS2- en regelgevingsimplicaties

De sancties omvatten bevriezing van tegoeden en reisverboden. EU-burgers en -bedrijven mogen geen middelen of economische middelen beschikbaar stellen aan gesanctioneerde entiteiten. Met de cybersanctielijst van de EU die nu 19 individuen en 7 entiteiten omvat, toont deze actie aan dat de nadruk van NIS2 op toeleveringsketenbeveiliging en dreigingsactoren uit derde landen wordt ondersteund door diplomatieke handhaving.

2. Techreuzen investeren $12,5 miljoen in opensource-beveiliging

Anthropic, AWS, Google, Microsoft en OpenAI hebben gezamenlijk $12,5 miljoen geïnvesteerd in de langetermijn-beveiligingsinitiatieven van de Linux Foundation, gericht op opensourcesoftware. De financiering is bestemd voor cruciale projecten, waaronder geautomatiseerde kwetsbaarheidsdetectie, tooling voor een veilige software-ontwikkelingscyclus (SDLC) en standaardisatie van Software Bill of Materials (SBOM).

Waarom dit belangrijk is voor EU-regelgeving

De investering komt op een cruciaal moment voor de EU Cyber Resilience Act (CRA), die fabrikanten van producten met digitale elementen verplicht om beveiliging gedurende de hele productlevenscyclus te waarborgen — inclusief opensource-afhankelijkheden. De overgangsperiode van de CRA loopt tot 2027, maar voorbereidende verplichtingen zijn al van kracht.

• SBOM-vereisten: de CRA schrijft voor dat fabrikanten SBOM's voor hun producten bijhouden en delen. Het standaardisatiewerk van de Linux Foundation voor SBOM's ondersteunt rechtstreeks de naleving door de sector
• Kwetsbaarheidsbeheer: onder CRA-artikel 11 moeten fabrikanten gecoördineerde processen voor kwetsbaarheidsmelding opzetten. De gefinancierde initiatieven omvatten geautomatiseerde kwetsbaarheidsdetectie voor opensource-componenten
• Transparantie van de toeleveringsketen: NIS2-artikel 21(2)(d) vereist maatregelen voor toeleveringsketenbeveiliging. Organisaties die opensource-bibliotheken gebruiken, hebben zicht nodig op hun afhankelijkheidsstructuren — precies wat deze investeringen beogen te verbeteren
• AI-modelafhankelijkheden: met AI-bedrijven onder de investeerders richt de financiering zich ook op de beveiliging van AI-trainingsframeworks en inferentiebibliotheken — relevant voor zowel CRA- als EU AI Act-naleving

3. 67% van de CISO's heeft onvoldoende AI-zicht — EU AI Act-naleving loopt risico

Het AI and Adversarial Testing Benchmark Report 2026, gebaseerd op een enquête onder 300 Amerikaanse CISO's en senior beveiligingsleiders, onthult een harde realiteit: 67% van de CISO's meldde beperkt zicht te hebben op hoe AI binnen hun organisatie wordt gebruikt. Geen enkele respondent claimde volledig zicht te hebben. Ondertussen blijft de adoptie van AI versnellen, met AI-systemen die nu gelaagd zijn over cloudplatforms, identiteitssystemen, applicaties en datapijplijnen.

Implicaties voor de EU AI Act

Hoewel de enquête zich richtte op Amerikaanse organisaties, zijn de bevindingen een waarschuwingsschot voor EU-bedrijven die de handhavingsmijlpalen van de EU AI Act naderen:

• Verboden AI-praktijken — handhaving begon op 2 februari 2025 — organisaties moeten inmiddels verboden AI-toepassingen hebben geïdentificeerd en geëlimineerd
• Verplichtingen voor AI-modellen voor algemene doeleinden (GPAI) — traden in werking op 2 augustus 2025 — aanbieders moeten transparantie, naleving van auteursrecht en risicobeheer implementeren
• Vereisten voor hoogrisico-AI-systemen — gelden vanaf 2 augustus 2026 — verplichte risicobeheersystemen, gegevensbeheer, menselijk toezicht, nauwkeurigheid, robuustheid en cyberbeveiligingsvereisten
• Shadow-AI-probleem: het rapport toont dat organisaties gemiddeld 11 verschillende GenAI-tools gebruiken, grotendeels onbeheerd door IT. Onder de EU AI Act moeten uitvoerders van hoogrisico-AI-systemen menselijk toezicht waarborgen (artikel 14) — onmogelijk zonder eerst te weten welke AI is ingezet

4. Apple lanceert stille achtergrond-beveiligingspatching

Apple bracht op 17 maart zijn allereerste Background Security Improvements-update uit, waarmee CVE-2026-20643 werd gepatcht — een WebKit Same Origin Policy-bypassfout — in iOS 26.3.1, iPadOS 26.3.1 en macOS 26.3.1/26.3.2. De update werd automatisch toegepast, zonder dat een volledige OS-upgrade of herstart van het apparaat nodig was.

CRA-productaansprakelijkheidsaspect

Dit is significant vanuit het perspectief van de Cyber Resilience Act. De CRA vereist dat fabrikanten beveiligingsupdates leveren gedurende de verwachte levensduur van het product, en updates "zonder onnodige vertraging" leveren nadat kwetsbaarheden zijn ontdekt. Het nieuwe mechanisme van Apple laat zien hoe CRA-conforme patchinginfrastructuur eruitziet:

• Snelle implementatie: patches geleverd binnen uren na openbaarmaking, niet weken
• Minimale gebruikersfrictie: toepassing op de achtergrond neemt de "update-moeheid" weg die apparaten ongepatcht laat
• Gerichte scope: alleen getroffen componenten worden bijgewerkt, wat het aanvalsoppervlak van de update zelf beperkt
• Transparantie: gebruikers kunnen Background Security Improvements bekijken en beheren via apparaatinstellingen

Onder CRA-artikel 10 moeten fabrikanten ervoor zorgen dat "kwetsbaarheden kunnen worden aangepakt via beveiligingsupdates, waar van toepassing via automatische updates". De aanpak van Apple kan de maatstaf worden waarmee EU-toezichthouders de patchingcapaciteiten van andere leveranciers beoordelen.

5. RondoDox-botnet buit op grote schaal 174 kwetsbaarheden uit

Het RondoDox-botnet heeft zijn exploitatieactiviteit verhoogd naar 15.000 pogingen per dag, gericht op 174 afzonderlijke kwetsbaarheden in netwerkapparatuur, IoT-apparaten en bedrijfsinfrastructuur. SecurityWeek meldt dat het botnet "een meer gerichte aanpak" hanteert, met focus op organisaties met blootgestelde beheerinterfaces.

NIS2-vereisten voor kwetsbaarheidsbeheer

• NIS2-artikel 21(2)(e) vereist dat essentiële en belangrijke entiteiten maatregelen implementeren voor "kwetsbaarheidsbeheer en -melding". Een botnet dat zich richt op 174 CVE's betekent dat uw kwetsbaarheidsbeheerprogramma ze allemaal moet dekken
• DORA-artikel 7 schrijft ICT-risicobeheerkaders voor voor financiële entiteiten — inclusief patchbeheerprocessen die actief uitgebuite kwetsbaarheden aanpakken
• Incidentmelding: onder NIS2-artikel 23 moet elke succesvolle exploitatie die een significant incident veroorzaakt, worden gemeld binnen 24 uur (vroegtijdige waarschuwing) en 72 uur (incidentmelding)
• Geautomatiseerd scannen: handmatig kwetsbaarheidsbeheer kan het tempo van botnets die 174 CVE's doorlopen niet bijhouden. Continu geautomatiseerd scannen is nu een regelgevingsnoodzaak, geen leuke extra

Statusdashboard regelgeving — 18 maart 2026

Wat organisaties deze week moeten doen

1. Screen toeleveringsketens op gesanctioneerde entiteiten — controleer of technologieleveranciers, opensource-bijdragers of dienstverleners banden hebben met Integrity Technology Group, Anxun/i-Soon of Emennet Pasargad. NIS2-verplichtingen voor de toeleveringsketen maken dit verplicht
2. Begin met SBOM-generatie voor alle producten — de deadline voor kwetsbaarheidsbeheer van de CRA nadert. Gebruik de gestandaardiseerde tooling van de Linux Foundation om SBOM's te genereren en bij te houden voor producten met opensource-componenten
3. Start een AI-detectieprogramma — nu de vereisten voor hoogrisico-AI over 5 maanden van kracht worden, inventariseer alle AI-systemen, classificeer ze naar risiconiveau en stel governancekaders op. Als u het niet kunt zien, kunt u niet voldoen
4. Evalueer patchinginfrastructuur — de Background Security Improvements van Apple zetten de CRA-lat. Beoordeel of uw producten beveiligingsupdates snel en met minimale gebruikersfrictie kunnen leveren
5. Controleer kwetsbaarheidsdekking tegen de RondoDox-doelenlijst — vergelijk uw kwetsbaarheidsbeheerprogramma met de 174 CVE's in het arsenaal van het RondoDox-botnet. Geautomatiseerd continu scannen is de enige schaalbare aanpak