Moderne applicaties bestaan allang niet meer uitsluitend uit eigen code. Frameworks, libraries, plug-ins en softwarepackages vormen samen een complex ecosysteem. Deze softwareketen vergroot de ontwikkelsnelheid aanzienlijk, maar introduceert ook een fundamenteel nieuw beveiligingsrisico. En die afhankelijkheid van third-party softwarecomponenten groeit - ook in de zorgsector.
Vrijwel alle moderne software bevat third-party componenten. Uit het OSSRA 2026-rapport (Open Source Security Risk and Analysis) blijkt een ongekende versnelling: het aantal open-sourcecomponenten is met 30 procent toegenomen ten opzichte van vorig jaar. En het aantal bestanden in de code van applicaties is in die periode met 74 procent gestegen.
Volgens de onderzoekers is het gemiddelde aantal kwetsbaarheden per applicatie in een jaar tijd met 107 procent toegenomen. De invoering van AI-modellen heeft bovendien een nieuw, ongereguleerd aanvalsoppervlak gecreëerd.
Aanvallen op die keten zijn inmiddels geen theoretisch scenario meer. Ze vormen een structurele en snelgroeiende dreiging. Een aanvaller hoeft zich niet op een specifieke organisatie te richten, maar op een leverancier of component waar je op vertrouwt. Via die weg kan kwaadaardige code of een kwetsbaarheid ongemerkt jouw IT-omgeving binnendringen.
Afhankelijkheid wordt aanvalsvector
Deze componenten worden vaak gedeeld via online platforms, zoals npm (Node Package Manager) voor Node.js, waar ontwikkelaars functionaliteit kunnen publiceren en hergebruiken. Omdat componenten op hun beurt weer afhankelijk kunnen zijn van andere componenten, kan een applicatie uiteindelijk afhankelijk zijn van honderden of zelfs duizenden externe bouwstenen.
Dat maakt het potentieel effect van een geslaagde aanval enorm. Kwaadaardige code in één package kan zich via reguliere ontwikkel- en updateprocessen razendsnel verspreiden en ongemerkt bij veel organisaties terechtkomen.
Hoewel er weinig publieke voorbeelden zijn van npm-aanvallen op Nederlandse zorginstellingen, laten incidenten die voortkwamen uit kwetsbaarheden in softwarecomponenten (zoals react2shell1 en log4j) zien hoe afhankelijk de zorgsector is van veilige softwarecomponenten.
Steeds geavanceerder
In 2026 zien we dat deze aanvallen in tempo en impact toenemen. Zo werden dit voorjaar in korte tijd tientallen npm-packages gecompromitteerd, waarbij malware automatisch werd uitgevoerd tijdens installatie en credentials uit ontwikkelomgevingen werden buitgemaakt.
Daarnaast signaleren onderzoekers een duidelijke trend waarbij aanvallen steeds geavanceerder worden. De aanvallen krijgen wormachtige eigenschappen en worden actief verspreid via gestolen tokens en via ontwikkel- en updateprocessen.
Vergeet de plug-ins niet
Naast packages zijn plug-ins - van ontwikkeltools tot content managementsystemen - en browsers een aantrekkelijk doelwit. Zo zijn er aanvallen bekend waarbij legitieme plug-ins in bijvoorbeeld WordPress zijn overgenomen, waarna er via een backdoor (kwaadaardige) updates werden uitgerold. Ook zijn er incidenten waarbij browserextensies gevoelige data onderscheppen, zoals AI- of chatgegevens.
Dit type aanval is effectief omdat het vertrouwen groot is. Plug-ins draaien vaak met uitgebreide rechten en worden zelden kritisch beoordeeld na installatie.
Extra kwetsbaarheid zorg
Voor zorginstellingen komt hier een extra dimensie bij. Zij gebruiken een groot aantal applicaties van leveranciers, variërend van elektronische patiëntendossiers tot medische apparatuur en ondersteunende bedrijfssoftware. Daardoor zijn zij sterk afhankelijk van de beveiliging van externe partijen. Een succesvol supply chain-incident kan leiden tot datalekken of verstoring van zorgprocessen en aantasting van het vertrouwen in de digitale zorg.
Een groot deel van de risico’s ligt buiten de directe invloed van de organisatie - zoals bij eerdergenoemde leveranciers. Voor zorginstellingen betekent dit dat cybersecurity niet langer alleen draait om de beveiliging van de eigen systemen, maar om het beheersen van risico's binnen het volledige digitale ecosysteem. Dit wordt overigens ook verplicht vanaf het moment dat de Cyberbeveiligingswet van kracht is.
Hoe kun je misbruik voorkomen?
Volledige controle over de software supply chain bestaat niet, maar organisaties kunnen de risico's wel verkleinen door:
- Inzicht te houden in afhankelijkheden
Zorg voor een actueel overzicht van gebruikte softwarecomponenten, bijvoorbeeld met een Software Bill of Materials (SBOM).
- Componenten zorgvuldig te selecteren
Gebruik alleen betrouwbare, goed onderhouden softwarecomponenten en beperk onnodige afhankelijkheden.
- Kwetsbaarheden continu te monitoren
Volg actief beveiligingsadviezen en monitor gebruikte componenten op nieuwe kwetsbaarheden en malafide code.
- Software veilig te integreren en beheren
Controleer de herkomst van componenten en voer updates gecontroleerd door. Voorkom dat updates automatisch worden doorgevoerd.
