Frankrijk rapporteert daling ransomware door NIS2, Google rondt $32 miljard Wiz-deal af, LLM-waarborgen wagenwijd doorbroken

Regulation Roundup Het Franse cyberbeveiligingsagentschap ANSSI bevestigt dat ransomware-aanvallen op Franse organisaties in 2025 significant zijn gedaald — een signaal dat door regelgeving gedreven beveiligingsinvesteringen vruchten afwerpen. Ondertussen voltooit Google zijn baanbrekende overname van Wiz voor $32 miljard, wat de compliance-omgeving voor cloudbeveiliging voorgoed verandert. Het Unit 42-team van Palo Alto ontdekt dat veiligheidswaarborgen van LLM's triviaal kunnen worden omzeild, wat urgente vragen oproept voor naleving van de EU AI-verordening. En cyberaanvallen in het VK stijgen met vier keer het wereldwijde tempo.

📉 Frans ANSSI rapporteert daling ransomware-aanvallen in 2025

Het Franse nationale cyberbeveiligingsagentschap ANSSI heeft zijn jaarlijkse dreigingsrapport gepubliceerd, waarin wordt bevestigd dat ransomware-aanvallen op Franse organisaties daalden in 2025. Kleine en middelgrote bedrijven bleven het meest getroffen segment, maar het totale aanvalsvolume daalde — een afwijking van de meedogenloze opwaartse trend van voorgaande jaren.

De timing is significant. Frankrijk was een van de eerste EU-lidstaten die begon met de handhaving van NIS2-vereisten eind 2024, met verplichte incidentmelding en risicobeheerverplichtingen die van kracht werden voor essentiële en belangrijke entiteiten. Het rapport van ANSSI suggereert dat de combinatie van regelgevingsdruk, verhoogde beveiligingsuitgaven en verbeterde veerkrachtposities begint te leiden tot meetbare resultaten.

Wat dit betekent voor NIS2-naleving

• Regelgevingsdruk werkt. De gegevens van Frankrijk leveren vroeg bewijs dat verplichte cyberbeveiligingsvereisten onder NIS2 tastbare beveiligingsverbeteringen stimuleren — een krachtig argument voor organisaties die naleving nog steeds als een afvinkoefening behandelen.
• KMO's blijven de zwakke schakel. Ondanks algemene verbeteringen blijven kleine bedrijven het grootste deel van ransomware-aanvallen dragen. De vereisten voor toeleveringsketenbeveiliging van NIS2 betekenen dat grotere entiteiten nu moeten waarborgen dat hun MKB-partners voldoen aan minimale beveiligingsnormen.
• Incidentmelding stimuleert transparantie. De verbeterde datakwaliteit van ANSSI is zelf een product van verplichte melding — organisaties die eerder inbreuken stilletjes afhandelden, dragen nu bij aan het nationale dreigingsbeeld.

☁️ Google rondt overname van Wiz voor $32 miljard af — cloudbeveiligingslandschap verschuift

Google heeft officieel zijn overname van Wiz voor $32 miljard afgerond, de grootste cyberbeveiligingsdeal in de geschiedenis. Wiz zal opereren binnen Google Cloud terwijl het zijn merkidentiteit en multi-cloud-ondersteuning behoudt — een cruciaal detail voor Europese klanten die navigeren door DORA- en NIS2-vereisten voor cloudproviders.

De deal herstructureert fundamenteel het compliance-landschap voor cloudbeveiliging. De Cloud Native Application Protection Platform (CNAPP)-functionaliteit van Wiz — variërend van kwetsbaarheidsbeheer, misconfiguraties, identiteitsrisico's tot runtime-dreigingen — wordt nu ondersteund door de infrastructuur- en datasoevereiniteitsinvesteringen van Google in Europa.

Implicaties voor regelgeving

🤖 Palo Alto Unit 42 ontdekt grote beveiligingshiaten in LLM-waarborgen

Onderzoekers van Unit 42 van Palo Alto hebben bevindingen gepubliceerd die aantonen dat veiligheidswaarborgen in grote LLM-platforms systematisch kunnen worden omzeild. De aanvallen zijn niet theoretisch — ze werken tegen productiesystemen en kunnen AI-tools dwingen schadelijke, bevooroordeelde of niet-conforme output te genereren.

Dit onderzoek komt op een kritiek moment. Het op risico gebaseerde kader van de EU AI-verordening vereist dat hoogrisico-AI-systemen robuuste veiligheidsmaatregelen implementeren, waaronder outputfiltering, biasdetectie en mechanismen voor menselijk toezicht. Als de waarborgen die zijn ontworpen om naleving te waarborgen triviaal kunnen worden omzeild, komt de effectiviteit van het gehele regelgevingskader in het geding.

Wat organisaties nu moeten doen

• Audit uw AI-waarborgen. Als u LLM's implementeert in enige klantgerichte of besluitvormende capaciteit, zijn uw waarborgen mogelijk niet zo robuust als uw leverancier beweert. Onafhankelijke red-teaming is essentieel.
• Documenteer uw AI-risicobeoordelingen. De EU AI-verordening vereist aantoonbaar risicobeheer voor hoogrisico-systemen. Kwetsbaarheden voor het omzeilen van waarborgen moeten worden gedocumenteerd, beperkt en gemeld.
• Implementeer verdediging in de diepte. Vertrouw niet op één enkele waarborglaag. Combineer inputfiltering, outputmonitoring, menselijke beoordeling en logging om meerdere veiligheidsbarrières te creëren.
• Monitor op adversariële input. Geautomatiseerde detectie van jailbreak-pogingen en prompt-injectieaanvallen moet deel uitmaken van uw AI-beveiligingsmonitoringstack.

🇬🇧 Cyberaanvallen in het VK stijgen met vier keer het wereldwijde tempo

De nieuwste gegevens van Check Point onthullen dat het volume van cyberaanvallen tegen organisaties in het VK vier keer sneller groeit dan het wereldwijde gemiddelde. De stijging treft alle sectoren, waarbij financiële diensten, gezondheidszorg en kritieke infrastructuur het zwaarst worden getroffen.

De post-Brexit regelgevende divergentie van het VK van de EU creëert een bijzonder interessant vergelijkingspunt. Terwijl EU-lidstaten profiteren van het gecoördineerde NIS2-kader, streeft het VK zijn eigen Cyber Security and Resilience Bill en bijgewerkte Network and Information Systems (NIS)-regelgeving zelfstandig na.

Uitdagingen voor grensoverschrijdende naleving

Voor organisaties die actief zijn in zowel de EU als het VK, creëert deze divergentie dubbele nalevingsverplichtingen:

• Termijnen voor incidentmelding verschillen. NIS2 vereist vroegtijdige waarschuwingen binnen 24 uur en volledige rapporten binnen 72 uur. De NIS-regelgeving van het VK heeft eigen termijnen en meldingsautoriteiten.
• Vereisten voor toeleveringsketens overlappen maar zijn niet identiek. Een organisatie die voldoet aan de bepalingen voor toeleveringsketenbeveiliging van NIS2 kan nog steeds aanvullende maatregelen nodig hebben voor naleving in het VK, en omgekeerd.
• Interactie van gegevensbescherming. De meldingsvereisten voor datalekken van UK GDPR en EU GDPR lopen parallel, wat mogelijk dubbele melding vereist voor één enkel incident.

🔒 OpenAI neemt Promptfoo over — beveiligingstesten van AI wordt mainstream

OpenAI heeft de overname aangekondigd van Promptfoo, een AI-beveiligingstest-startup die ontwikkelaars helpt kwetsbaarheden te identificeren in LLM-applicaties. De deal signaleert dat zelfs de grootste spelers van AI het kritieke hiaat erkennen tussen AI-mogelijkheden en AI-beveiliging — precies het hiaat dat de EU AI-verordening is ontworpen om aan te pakken.

Het platform van Promptfoo maakt geautomatiseerde red-teaming, veiligheidsevaluaties en beveiligingstesten voor AI-agents mogelijk — mogelijkheden die direct aansluiten bij de vereisten van de EU AI-verordening voor conformiteitsbeoordelingen en continue monitoring van hoogrisico-AI-systemen.

Waarom dit belangrijk is voor EU-naleving

• Conformiteitsbeoordelingen hebben tooling nodig. De EU AI-verordening vereist dat hoogrisico-AI-systemen conformiteitsbeoordelingen ondergaan. Tools zoals Promptfoo bieden de geautomatiseerde testmogelijkheden die nodig zijn om deze beoordelingen schaalbaar te maken.
• Agentische AI introduceert nieuwe risico's. Naarmate AI-systemen autonomer worden (agentisch), breidt het aanvalsoppervlak zich uit. Beveiligingstesten moeten evolueren van statische evaluaties naar continue monitoring — een vereiste die de EU AI-verordening voorziet.
• Marktconsolidatie bevoordeelt geïntegreerde platforms. Het inbedden van beveiligingstesten direct in zijn platform door OpenAI zou de facto normen kunnen vaststellen voor AI-veiligheidstesten — normen die EU-regelgevers nauwlettend zullen volgen.

🏛️ Senaat bevestigt nieuwe NSA- & Cyber Command-leider — implicaties voor Amerikaanse cyberstrategie

De Amerikaanse Senaat heeft Joshua Rudd bevestigd om zowel de National Security Agency als het US Cyber Command te leiden onder de controversiële "dual-hat"-regeling. De bevestiging komt terwijl transatlantische cyberbeveiligingssamenwerking onder de loep komt te liggen onder verschuivende prioriteiten van de Amerikaanse regering.

Voor Europese organisaties zijn veranderingen in het Amerikaanse cyberleiderschap van belang vanwege de diepe verwevenheid tussen de verdediging van de kritieke infrastructuur van de VS en de EU, de uitwisseling van inlichtingen onder het EU-VS Data Privacy Framework, en gecoördineerde reacties op dreigingen van natiestaten. Elke verschuiving in de Amerikaanse cyberdoctrine heeft gevolgen voor de coöperatieve cyberverdedigingshouding van de NAVO en bilaterale overeenkomsten met EU-lidstaten.

📊 EU-regelgevingstracker — maart 2026