Home   2026-10-22 19:56:51

←

Nederlands OM had geen monitoring van kwetsbare Citrix-systemen rond hack 2025

Original article

Het Openbaar Ministerie had geen middelen om activiteiten rond zijn NetScaler-systemen te loggen en te analyseren. Zulke monitoring is nodig omdat hackers 'regelmatig zerodaykwetsbaarheden vinden' in die Citrix-apparatuur. Dit staat in het vandaag verschenen onderzoeksrapport van Justitie over de OM-hack van 2025.

Dit nieuws in het kort

  • Het Nederlandse OM had zijn ict-beveiliging niet goed op orde voor de hack in 2025.
  • Door ontbrekende monitoring zag het OM niet hoe hackers binnenkwamen en wat ze zoal deden.
  • Het onderzoeksrapport naar deze hackaanval beschrijft deze tekortkomingen en meer.

Voordat die hack plaatsvond, was de ict-beveiliging 'onvoldoende', mede doordat monitoring ontbrak. Het besluit van het OM om offline te gaan is begrijpelijk en 'in dit geval verstandig'. Dit zijn enkele van de constateringen in het rapport op basis van onderzoek in opdracht van het ministerie van Justitie en Veiligheid.

Zerodaygevaar voor Citrix NetScaler

De NetScaler-systemen en de gehele kantooromgeving die het OM gebruikte hadden geen monitoring. Daardoor kon het security operations center van het OM niet vaststellen wat er voor, tijdens en na de hackaanval is gebeurd. Het is dus niet duidelijk hoe de aanvallers zijn binnengedrongen en wat ze precies hebben gedaan. Wel is duidelijk dat zij een zerodaykwetsbaarheid in Citrix NetScaler gebruikten.

Zo'n zerodayaanval komt volgens het onderzoeksrapport tegenwoordig vaker voor bij verschillende organisaties. Het OM is door de aard van de werkzaamheden een aantrekkelijk doelwit. Volgens het rapport 'is elke Citrix NetScaler permanent vatbaar voor een zogenaamde zerodaykwetsbaarheid', doordat zulke beveiligingsgaten regelmatig worden gevonden in die systemen. "Het enige antwoord op dit risico is zorgvuldig te monitoren wat er op en rondom de Citrix NetScaler gebeurt", stellen de onderzoekers.

Monitoring was er eerder wel

Tot eind 2023 had het OM wél monitoring voor deOpenbaar Ministerie OM kantoorautomatiseringsomgeving. Toen gebruikte het een licentie van het ministerie van Justitie en Veiligheid voor de ArcSight-tool. Het ministerie kondigde in 2022 aan dat het daarmee in december 2023 zou stoppen. Het OM moest zelf zorgen voor logging- en analysetools. Het ministerie zette het licentiegebruik nog een maand eerder stop.

Het OM had vóór de hack van vorig jaar wel monitoring actief voor de zogeheten hoogbeveiligde omgeving. Voor de kantooromgeving was dit echter nog niet op orde. Het OM had 'pas in het najaar van 2024' budget toegewezen om monitoring in te richten voor de kantooromgeving, inclusief de NetScaler-systemen. Toen de hack plaatsvond in de zomer van 2025, waren er wel tools geïnstalleerd, maar was de logging nog niet daarop aangesloten.

Telkens brandjes blussen

Uit het onderzoek naar de hack blijkt ook dat het OM 'al jaren te maken had met instabiele, trage en verouderde ict-systemen'. Daardoor traden er regelmatig storingen op en waren systemen soms onbereikbaar. Dit vertraagde het primaire proces van het OM. Daardoor kreeg de aanpak van de acute problemen een hogere prioriteit dan structurele verbeteringen doorvoeren voor de ict-beveiliging, aldus het rapport.

Door dit 'brandjes blussen' was er geen tijd, aandacht of budget om te werken aan 'brandveiligheid' en daarmee preventie van nieuwe IT- en beveiligingsproblemen. De titel van het onderzoeksrapport verwijst hier ook naar: Van 'brand meester' naar 'brandveilig'.

Datalek/Security/Hackers/Hack. Bron: Boonchai Eedmakawand/Moment/Getty Images
Bron: Boonchai Eedmakawand/Moment/Getty Images

Door Jasper Bakker

Nieuwsredacteur

Feedback • 08-10-2026 15:03
22 • submitter: walteij

08-10-2026 • 15:03

22

Submitter: walteij

Lees meer

Reacties (22)

Het OM heeft volgens mij geen eigen ICT afdeling maar besteed alles uit aan derde partijen. Dit zou ook betekenen dat een derde partij mogelijk niet opgelet heeft.
Los van licenties, budgetten enz, moet je toch tijdig signaleren als er belangrijke zaken zoals monitoring ontbreek of onvolledig is.
En dat is toch wel een grote weeffout van management bij Outsourcing: Ik besteed het uit aan een 3e partij, "en als die niet opletten of fouten maken is het minder erg". Er worden keuzen gemaakt op kosten, maar onderschat dat jezelf altijd verantwoordelijk blijft voor de risico's, en je dus altijd zelf ook maatregelen moet nemen om de uitbesteding te monitoren: periodiek SLA rapportages, actief vragen om assurance rapporten, zorgen dat contracten actueel zijn, maar ook dat issues bekend zijn. Ik ken huidige casus niet, dus ik weet niet of OM alles heeft uitbesteed, maar dit zijn in de markt echt wel pijnpunten.
Je moet nooit een probleem outsourcen. Maw als je niet snapt hoe het in elkaar zit moet je het niet outsourcen, maar eerst oplossen. Ik vermoed zeer sterk dat het OM de expertise helemaal niet meer in huis heeft, zodat ze niet eens weten waar ze op moeten letten in die 'assurance rapporten'.
Dat geldt niet alleen voor het OM, maar voor de meeste bedrijven. Een bedrijf kan verplicht - vanwege de Europese aanbestedingswet - een partner selecteren, die alle checkboxen die het bedrijf volledig en uitstekend in kaart heeft gebracht, benoemd, met een strikje eromheen in een perkament opgeleverd, nog steeds niet kijken in de keuken van die partner (KPN, Capgemini, Axians - ga zo maar door...).

Zo mooi als die partners ook de zaken presenteren en overal een oplossing voor zeggen te hebben, de realiteit is vrijwel altijd weerbarstiger.

Maar in ieder geval heeft het bedrijf aan hun plicht voldaan - Europees aanbesteed - en dan blijkt dat de (IT-)partner de Helpdesk of Beheerders in India heeft zitten, die meer rechten/permissies hebben dan de werknemers in Nederland/de EU. Of dat "een vriend" zoals de VS opeens geen vriend meer is en de inhoud van kritieke mail kan doorspitten.

[Reactie gewijzigd door Obfzk8R op 9 oktober 2026 12:00]

Dat is tijdig gesignaleerd, als je in het rapport kijkt:
Het OM kampte al langere tijd met verouderde systemen. In
2023 informeerde de minister de Tweede Kamer hier al over
per brief.
Ze waren bezig, ze hadden grote achterstanden, en waren veel bezig met brandjes blussen, waar het budget en capaciteit aan op ging.
De middelen en capaciteit die benodigd waren in het blussen van deze
branden, zorgden er echter voor dat structurele veranderingen
of verbeteringen op het gebied van securitymaatregelen
achterbleven. De problematiek is onder andere het gevolg van
een langdurige achterstand in professionalisering van de IV. Er
is wel geïnvesteerd in IV, maar onvoldoende in het inrichten
van passende beveiligingsmaatregelen. Het verbeteren van IV,
en in het bijzonder beveiliging, is een omvangrijk traject, dat
nog een aantal jaar tijd en investeringen vergt.
Ze waren bezig, maar zijn ingehaald door de tijd. Zo was er vlak voor het incident pas een CIO aangesteld:
Sommige van deze geleerde lessen zijn al voor het incident ingevoerd, zoals het aanstellen van een bestuurlijke CIO.

[Reactie gewijzigd door gorgi_19 op 8 oktober 2026 15:30]

Benieuwd wat de CTO te zeggen heeft, die heeft kaas van z’n brood laten eten of een handtekening moeten zetten op een moeilijk besluit van andere prioriteiten.
In plaats van boetes en sancties voor het niet op horde hebben van zaken, krijgen ze 50 miljoen euro extra geld. https://www.om.nl/actueel/nieuws/2026/10/08/reactie-college-op-onderzoeksrapport-ict-inbreuk-2025
En hoeveel daarvan gaat naar licentiekosten van een Citrix-farm :+
Leg eens uit waarom ze een boete zouden moeten krijgen? Ze zijn gehacked door een security issue in de citrix netscalers, die overigens nog maar kort bekend was. Ze(overigens was dit uitbesteed aan de markt geloof ik, al blijven ze zelf verantwoordelijk) hadden zeker sneller kunnen en moeten patchen. Maar als je maar een beperkt budget hebt, dan krijg je nu eenmaal beperktere mogelijkheden. ArcSight is niet goedkoop, en het nut van dergelijke tools, zelfs als goed ingericht(de tooling en het proces erbij, wat ook niet meevalt) is niet altijd zichtbaar(pas achteraf).

[Reactie gewijzigd door YoMarK op 8 oktober 2026 16:06]

Tja leuk een boete voor ze, maar die betalen ze niet zelf mag de burger weer doen uiteindelijk.
Een boete bovenop het toch al krappe budget gaat de IT problemen er niet minder op maken.
Wat heeft een boete hier voor zin? Nu kunnen ze mooi dat geld gebruiken om alles wel op orde te krijgen. Als ze een boete kregen hadden ze nog minder geld om uit te geven aan het verbeteren van de beveiliging.
Waarom boete zin heeft: stukje symboliek.
Je kan de verantwoordelijken niet anders straffen. In bedrijfsleven zouden ze ontslagen worden of bonussen mislopen. Dat is niet mogelijk bij de overheid.
Die symboliek is het enige. Maar volkomen betekenisloos.

Zo'n beetje alle uitvoerende overheidsdiensten worden al jarenlang stukbezuinigd. Met kunst en vliegwerk wordt alles in de lucht gehouden door het ene gat met het andere gat te vullen en te hopen dat er ondertussen niets instort. En wanneer er dan toch iets instort zijn het degenen die hun uiterste best hebben gedaan om dat te voorkomen die de zwarte piet krijgen toegespeeld.

Misschien de volgende keer toch eens stemmen op een partij die staat voor een robuuste overheid in plaats van een kleine overheid. Dat is op den duur goedkoper dan eerst alles wegbezuinigen en vervolgens extern in moeten huren om de ontstane problemen op te lossen.
En welke "partij" zou dat moeten zijn? Of de vraag andersom gesteld: op welke partijen moet je absoluut niet op stemmen, omdat zij staan voor een kleine overheid en niet een robuuste? 8)7
Onzin. Die ouderwetse redenatie wordt telkens opgevoerd: "In het bedrijfsleven zouden ze ontslagen worden of bonussen mis lopen".

Ontslagbescherming geldt voor elke werknemer in Nederland. Geen enkele werkgever kan iemand per direct ontslaan voor een gewone fout. Elke fout moet worden beoordeeld naar ernst, gevolgen, verantwoordelijkheid, nalatigheid, herhaling, opzet, de rol van het management, noem maar op.

Wel heb je vaker bij overheidsinstanties dat werknemers eerder herplaatst kunnen worden naar bijvb. een functie die beter bij hen past. En bij die instanties zorgen reorganisaties en slechtere resultaten minder vaak voor massale ontslagen, vaak omdat er geen aandeelhouders zijn die simpelweg winst willen maken.

Gewoon roepen: "Je moet die beheerder ontslaan, omdat ze geen mitigerende maatregelen hebben genomen om te voorkomen dat een kwetsbaarheid wordt misbruikt" is dom napraten. Populaire kreten bezigen zonder te weten hoe de organisatie en afdeling waar die beheerder voor werkt in elkaar zit.

Hoeveel van de 2400 medewerkers van Discord zouden - volgens jouw stelling - ontslagen moeten worden?

[Reactie gewijzigd door Obfzk8R op 9 oktober 2026 12:03]

Ja, en dan krijgen ze een boete die wij betalen, en het enige resultaat is dat ze nog minder budget hebben om dit op orde te krijgen. Enkel voor een stukje symboliek.
Wat is je alternatief?
Niets doen?
Niks doen tegen een erg ongelukkige samenloop van omstandigheden waar een zero day misbruikt is die nog relatief onbekend was? Hadden ze het beter moeten aanpakken, en meteen de monitoring op orde moeten hebben nadat de licentie was afgenomen? Ja, absoluut. We kunnen nu beter het OM de beveiliging weer laten opschroeven en zorgen dat het niet weer gebeurd. Er hoeft niet voor alles altijd iemand aangewezen te worden om te straffen.

Dus nee, we moeten niet niks doen, maar we hoeven ook niet iets of iemand te straffen puur om te straffen.

[Reactie gewijzigd door Lagonas op 8 oktober 2026 20:59]

Ik begrijp niet helemaal waarom een Citrix pagina van een gevoelige overheidsinstantie public moet zijn. Begrijp het eigenlijk helemaal niet. Zie compleet de noodzaak niet anno 2026. Gebruikersgemak kan en mag geen reden zijn.

Waarom geen extra VPN met 2FA? Of een Workspace One profiel met VPN. Natuurlijk is dat niet heilig maar is wel een grote mensen drempel waar je eerst overheen moet voordat je "lekker snel" de zero days kan testen met je script.

Heb even gescand maar meerdere login paginas gevonden. Zelfs Google weet ze feilloos te vinden |:(

En ohwja voordat we weer onwijs los gaan op de overheid, tijdens mijn scan was de grote meerderheid van (beursgenoteerde) commerciële bedrijven.

Edit: dan is automatisch de vraag "wanneer" je gehackt wordt en niet "of". Anyhow ik ben maar een simpele ICT'er en laten we vooral AI aan het werk zetten in dit landschap, want dat is goedkoper en beter...

[Reactie gewijzigd door Roberto4646 op 9 oktober 2026 06:01]

Het blijkt dat we een heleboel kapiteins aan wal hebben staan. Zonder het gebeurde te bagatalliseren, vraag ik mij oprecht af, hoeveel van deze kapiteins ooit fatsoenlijk beheer hebben gedaan in een grotere organisatie en hoeveel van hen ook nog alle kwetsbaarheden en zero-day kwetsbaarheden continu in het snotje hadden. Zelfs vóórdat bijvb. een Microsoft, Google, Apple of Red Hat de kwetsbaarheid heeft ontdekt of over heeft vernomen, geclassificeerd, een oplossing ervoor heeft bedacht en als patch gedistribueerd. En hoeveel van die kapiteins ook nog de patch tijdig heeft kunnen uitrollen op alle test- en productiesystemen, met zo weinig mogelijk gevolg voor productie, wat ook een vereiste is. Alsof iemand in Nederland erop zit te wachten dat DigiD, de belastingdienst, (noem maar op) te vaak "ff tijdelijk niet beschikbaar is", omdat ze ff-tjes tijdens werkuren een kritieke patch aan het uitrollen zijn op de productieomgeving en schaduw-productieomgeving, vanwege de ernst van de kwetsbaarheid.

Daarnaast vormen alle mensen - werknemers bij alle afdelingen - nog steeds het grootste risico. Phishing, wachtwoorden noem maar op. Hoeveel rekeningen worden tegenwoordig niet meer betaald omdat de gewone mens mail niet meer vertrouwt.

[Reactie gewijzigd door Obfzk8R op 9 oktober 2026 11:43]


Om te kunnen reageren moet je ingelogd zijn