- Uitgebuite softwarekwetsbaarheden veroorzaken nu meer inbreuken dan gestolen wachtwoorden. Het Verizon Data Breach Investigations Report 2026 schat het cijfer op 31% van de inbreuken.
- U kunt niet patchen wat u niet kent. Een nauwkeurige inventaris van uw bedrijfsmiddelen, met een vaste eigenaar per systeem, gaat vóór elke scantool.
- Prioriteer op werkelijk risico, niet alleen op de CVSS-score. Een kwetsbaarheid uit de CISA Known Exploited Vulnerabilities-catalogus op een apparaat dat vanaf internet bereikbaar is, weegt zwaarder dan een hoger scorend probleem op een geïsoleerde interne server.
- Het Cyberbeveiligingsbesluit, dat sinds 15 augustus 2026 van kracht is, vereist dat essentiële en belangrijke entiteiten beschikken over een schriftelijk assetmanagementbeleid, aantoonbare onderhoudsprocessen en een schriftelijke beoordeling telkens wanneer zij worden gewaarschuwd voor een relevante kwetsbaarheid.
- Als u niet kunt patchen, verklein dan het risico, leg het risico vast en stel een vervaldatum in. Het besluit om een update niet door te voeren is een risicobeslissing voor het management, niet voor een individuele beheerder.
Wat kwetsbaarheidsbeheer omvat
Patchbeheer is het proces waarbij leveranciersupdates op uw systemen worden geplaatst. Kwetsbaarheidsbeheer is breder. Het omvat het vinden van zwakke punten in alles wat u uitvoert, het beslissen welke het belangrijkst zijn, ze binnen een vaste termijn herstellen of mitigeren, en het bewijzen dat de oplossing heeft gewerkt. Ontbrekende patches zijn één type kwetsbaarheid. Verkeerde configuraties, standaardwachtwoorden, blootgestelde beheerinterfaces en niet-ondersteunde software zijn andere voorbeelden, en een patchtool zal ze niet vinden.
Beschouw het als een continu operationeel proces met eigenaren, doelstellingen en rapportage, en niet als een maandelijkse IT-taak. De richtlijnen voor kwetsbaarheidsbeheer van het Britse NCSC stellen een bruikbare basislijn: pas updates zo snel mogelijk en idealiter automatisch toe, houd een inventaris bij van uw bedrijfsmiddelen en wie de eigenaar is, en zorg voor een specifiek proces voor kwetsbaarheden die aanvallers al misbruiken.
Waarom het venster kleiner wordt
Aanvallers misbruiken kwetsbaarheden sneller dan veel organisaties ze verhelpen. Uit Verizon 2026 DBIR blijkt dat organisaties slechts 26% van de kwetsbaarheden in de CISA Known Exploited Vulnerabilities-catalogus (KEV) volledig hebben verholpen, tegen 38% het jaar daarvoor. De mediane tijd tot volledige patch steeg van 32 naar 43 dagen. Dit zijn kwetsbaarheden met bevestigd actief misbruik, en de meeste bleven wekenlang openstaan.
Tegelijkertijd constateerde het Global Threat Report 2026 van CrowdStrike dat steeds meer zero-day-kwetsbaarheden worden misbruikt voordat ze openbaar zijn, en dat 40% van de kwetsbaarheden die door aan China gelieerde actoren werden misbruikt, zich richtten op randapparaten aan het internet, zoals firewalls, VPN's en gateways voor externe toegang. AI versnelt ook het onderzoek naar kwetsbaarheden aan de aanvallende kant, zoals ons artikel over AI en incidentrespons uitlegt. Een maandelijkse patchcyclus die zes weken duurt om het laatste apparaat te bereiken, laat een groot gat achter.
Sneller patchen lost dit slechts gedeeltelijk op. U moet ook weten waar uw blootstelling zich bevindt, zodat de belangrijke kwetsbaarheden als eerste worden opgelost en de rest een voorspelbaar schema volgt.
De levenscyclus van kwetsbaarheidsbeheer
De meeste volwassen programma's volgen dezelfde zes stappen. Elke stap is afhankelijk van de vorige, en hiaten in de eerste stappen ondermijnen alles wat volgt.
Prioriteren voorbij CVSS
Het Common Vulnerability Scoring System (CVSS) beoordeelt de technische ernst van een kwetsbaarheid. Het vertelt u niet of iemand er misbruik van maakt, en of het getroffen systeem van belang is voor uw bedrijf. Wie alleen op CVSS sorteert, laat teams jagen op hoge scores op geïsoleerde systemen, terwijl een actief misbruikte fout op de VPN wacht. Combineer vier signalen.
Hersteltermijnen vaststellen
Hersteltermijnen maken van prioriteiten deadlines waaraan mensen zich kunnen houden. De tabel hieronder is het uitgangspunt dat wij bij klanten hanteren. Pas het aan aan uw risicobereidheid en aan de eisen van uw sector, uw toezichthouder en uw klanten.
| Niveau | Wat komt in aanmerking | Voorgestelde termijn |
|---|---|---|
| Noodsituatie | In de CISA KEV-catalogus of aantoonbaar actief misbruikt, op een vanaf internet bereikbaar of bedrijfskritisch systeem | Binnen 48 uur gemitigeerd (eerder bij blootgestelde systemen onder actieve aanval), binnen 7 dagen volledig verholpen |
| Kritiek / Hoog | De leverancier beoordeelt het probleem als kritiek of hoog, de basisscore van CVSS v3 is 7 of hoger, of de leverancier geeft geen ernst aan | 14 dagen na release |
| Gemiddeld | CVSS 4.0 tot 6.9 zonder bekend misbruik | 30 dagen |
| Laag | CVSS onder 4.0, of bevindingen die alleen met vergaande toegang te misbruiken zijn | 90 dagen, of de volgende geplande cyclus |
Laat de termijn lopen vanaf de datum waarop de update is uitgebracht of de kwetsbaarheid is gepubliceerd, niet vanaf de datum waarop uw scanner deze heeft gevonden. Dat voorkomt dat langzaam scannen trage patches verbergt. Is er nog geen oplossing, volg dan de uitzonderingsprocedure hieronder totdat die er is. Schakel automatische updates in waar het platform dit ondersteunt. Het verwijdert de meeste routinematige patches uit de wachtrij.
Edge-apparaten en externe toegang
Firewalls, VPN-concentrators, gateways voor externe toegang en andere netwerkapparaten zijn de systemen die aanvallers het liefst willen compromitteren en die organisaties het vaakst vergeten te updaten. Ze zitten op internet, ze draaien vaak firmware die een handmatige update nodig heeft, en ze ondersteunen zelden endpoint security agents.
Geef ze hun eigen proces. Abonneer u op de beveiligingsadviezen van de leverancier en controleer deze wekelijks. Zorg ervoor dat beheerinterfaces niet via internet bereikbaar zijn. Vervang apparaten waarvoor het einde van de ondersteuning is bereikt, omdat leveranciers geen oplossingen meer voor deze apparaten uitbrengen. Wanneer een kritieke kwetsbaarheid wordt aangekondigd, patch dan eerst en controleer vervolgens of er tekenen zijn dat het apparaat vóór de patch is gehackt. Aanvallers die de fout vroeg hebben misbruikt, hebben mogelijk al persistentie geïnstalleerd die de update overleeft. Hardeningrichtlijnen zoals de CIS Benchmarks helpen het aanvalsoppervlak vooraf te verkleinen.
Wanneer u niet kunt patchen
Soms is er nog geen oplossing, breekt de oplossing een kritieke applicatie, of is het systeem eigendom van een leverancier die de update beheert. De richtlijnen van het Britse NCSC zijn duidelijk: de beslissing om een update niet door te voeren is een risicobeslissing op directieniveau, die een individuele beheerder niet alleen mag nemen. Op grond van de Cbw keuren directeuren ook de cyberbeveiligingsmaatregelen goed en houden zij toezicht op de manier waarop deze worden uitgevoerd.
Behandel het als een formele uitzondering. Pas compenserende controles toe: isoleer het systeem op zijn eigen netwerksegment, beperk wie en wat er verbinding mee kan maken, schakel de kwetsbare functie uit of voeg monitoring toe voor misbruikpogingen. Registreer de uitzondering in uw risicoregister met een genoemde eigenaar, de reden, de uitgevoerde controles en een vervaldatum. Leg vooraf vast wie een uitzondering mag goedkeuren en wanneer deze naar een senior risico-eigenaar moet. Test of de compenserende controles werken en beoordeel de uitzondering opnieuw wanneer de dreiging, de blootstelling of de beschikbare oplossingen veranderen. Isolatie verkleint de blootstelling, maar verwisselbare media, toegang door leveranciers en lokale gebruikers kunnen een geïsoleerd systeem nog steeds bereiken. Controleer de uitzondering voordat deze verloopt. Een uitzondering zonder einddatum wordt een permanent gat waarvan niemand meer weet wie het heeft goedgekeurd.
Niet-ondersteunde software heeft een eigen plan nodig. Verwijder het of verplaats het naar een apart netwerksegment zonder internettoegang totdat het kan worden vervangen. Ons artikel over het einde van de ondersteuning voor Windows 10 behandelt een van de meest voorkomende actuele voorbeelden. Door leveranciers beheerde systemen horen ook thuis in uw contracten. In onze beveiligingsgids voor de toeleveringsketen leest u hoe u patchverwachtingen kunt opstellen voor leveranciers.
Wat de kaders vereisen
De Nederlandse wetgeving en de meest voorkomende raamwerken verwachten allemaal kwetsbaarheidsbeheer, met verschillende detailniveaus.
De Cbw is de Nederlandse implementatie van NIS2. Samen met het Cyberbeveiligingsbesluit geldt de Cbw sinds 15 augustus 2026. Artikel 21 van de Cbw stelt de zorgplicht vast, en het besluit specificeert de minimummaatregelen. Drie ervan gaan over kwetsbaarheidsbeheer. Artikel 11 vereist processen voor het onderhoud en beheer van uw netwerk- en informatiesystemen, waaronder in ieder geval configuratiemanagement en verandermanagement. Artikel 16 vereist een schriftelijk beleid voor assetmanagement. Artikel 17 vereist dat u, telkens wanneer u wordt gewaarschuwd voor een relevante kwetsbaarheid of een gericht beveiligingsadvies ontvangt, beoordeelt of uw maatregelen moeten worden gewijzigd, en dat u de uitkomst hiervan schriftelijk vastlegt.
Het besluit schrijft geen vast aantal dagen voor patchen voor. De toezichthouder beoordeelt of uw tijdschema past bij het risico, dus gedocumenteerde doelstellingen en het bewijs dat u ze haalt, zijn van groot belang.
Beheersmaatregel 8.8 uit bijlage A, Beheer van technische kwetsbaarheden, vereist dat u informatie verkrijgt over technische kwetsbaarheden, uw blootstelling evalueert en passende maatregelen neemt. De beheersmaatregel schrijft geen vaste termijnen voor. Om aan te tonen dat deze werkt, verwachten auditors doorgaans een gedefinieerd proces, tijdschema's voor herstel, bewijs dat u hieraan voldoet en een overzicht van uitzonderingen waarvan het risico is geaccepteerd. Beheersmaatregel 5.9 (inventaris van informatie en andere gerelateerde bedrijfsmiddelen) ondersteunt dit. Onze ISO 27001 gids behandelt het bredere certificeringsproces.
Als uw systemen persoonsgegevens verwerken, vereist de AVG passende technische en organisatorische maatregelen die rekening houden met de stand van de techniek. Een datalek door een kwetsbaarheid waarvoor al maanden een patch beschikbaar was, is lastig te verdedigen tegenover de Autoriteit Persoonsgegevens.
Als u producten met digitale elementen maakt die in de EU worden verkocht, heeft de Cyber Resilience Act fabrikanten sinds 11 september 2026 verplicht actief misbruikte kwetsbaarheden te melden, waarna de belangrijkste beveiligingsverplichtingen op 11 december 2027 volgen.
Kerncijfers voor het bestuur
Het bestuur heeft geen scanaantallen nodig. Het wil weten of de organisatie de juiste dingen snel genoeg oplost. Zes kerncijfers dekken het grootste deel daarvan.
Bekende misbruikte kwetsbaarheden binnen doel. Het percentage in KEV vermelde of actief misbruikte kwetsbaarheden dat binnen uw nooddeadline is opgelost. Dit is het meest bruikbare cijfer.
Mediane hersteltijd per niveau. Hoe lang herstel werkelijk duurt, vergeleken met de doelstellingen in uw beleid.
Herstel binnen termijn. Het percentage bevindingen dat binnen de termijn voor het betreffende niveau is opgelost, met achterstallige punten uitgesplitst naar eigenaar en type asset. Een gunstige mediaan kan een lange staart van oude, ernstige bevindingen verbergen.
Scandekking. Het percentage assets in uw inventaris dat in de afgelopen 30 dagen is gescand. Bij een lage dekking ziet elk ander cijfer er beter uit dan het is.
Open uitzonderingen. Het aantal risicogeaccepteerde kwetsbaarheden, hoe oud ze zijn en hoeveel ervan over hun vervaldatum heen zijn.
Niet-ondersteunde assets. Het aantal systemen waarop software draait en die geen beveiligingsupdates meer ontvangt, met voor elk een plan en een datum.
Veel voorkomende fouten
Scannen zonder inventaris. Een scanner controleert alleen waar hij op gericht is. Zonder inventaris om mee te vergelijken kunt u niet zien welke assets zijn gemist, en juist die worden meestal het slechtst onderhouden.
Elke hoge CVSS-score als urgent behandelen. Als alles urgent is, is niets urgent. Teams raken uitgeput door duizenden bevindingen in scorevolgorde door te werken, terwijl de weinige die aanvallers gebruiken op hun beurt wachten.
Firmware en applicaties van derden vergeten. Updates van het besturingssysteem zijn meestal geautomatiseerd. Browserplug-ins, PDF-lezers, ontwikkelaarstools, firmware voor netwerkapparatuur en line-of-business-applicaties zijn dat vaak niet, en daar zitten vaak gaten in. Endpointbeheertools en Microsoft 365- en Intune-beleid kunnen een groot deel daarvan dichten.
Implementatierapporten vertrouwen. Een patch die is gemarkeerd als geïmplementeerd, is geen bevestigde patch. Controleer met een nieuwe scan.
Uitzonderingen die nooit vervallen. Elk geaccepteerd risico heeft een eigenaar, een beoordelingsdatum en compenserende controles nodig. Anders wordt de lijst met uitzonderingen stilletjes de lijst met systemen die een aanvaller als eerste zou proberen.
Ryland levert al meer dan twintig jaar programma's op het gebied van cyberbeveiliging, compliance en IT-beheer voor gereguleerde organisaties in het Verenigd Koninkrijk en Nederland. Bekijk volledig profiel