De nieuwste inzichten uit het “Dreigingsbeeld Informatiebeveiliging 2025-2026” van de Vereniging van Nederlandse Gemeenten(VNG) laten zien wat we eigenlijk al wisten: digitale veiligheid verdient absolute prioriteit. De urgentie wordt groter, met ransomware, datalekken en leveranciersincidenten die steeds vaker de gemeentelijke processen raken. Maar er is goed nieuws: gemeenten kunnen veel doen om hun digitale landschap veilig en inzichtelijk te houden.
Voor elke organisatie van toepassing
Alle kennis in dit recente onderzoek is op elke organisatie van toepassing. En omdat het goed leesbaar is brengen wij het graag bij iedereen onder de aandacht.
Ransomware en leveranciers als voornaamste dreiging
Ransomware is geen verrassing meer, maar blijft hardnekkig bovenaan staan in het dreigingsbeeld. Datalekken en phishingaanvallen komen op een goede tweede plaats. Het grootste risico zit echter verborgen bij leveranciers. Incidenten bij externe partijen raken direct tientallen gemeenten tegelijk. Dit vraagt om heldere afspraken en beter inzicht in digitale processen. Dat inzicht ontbreekt nu nog te vaak.
Gemeenten als essentiële entiteiten
Vanaf 2025 geldt een expliciete zorgplicht voor gemeenten onder de nieuwe Cyberbeveiligingswet (Cbw – voorheen NIS2). Dit betekent dat gemeenten zich niet langer kunnen verschuilen achter leveranciers of regieconstructies. Ze moeten zelf aan de bak om hun digitale deuren en ramen dicht te houden. Een heldere verantwoordelijkheid, die vraagt om goed beleid en strak beheer van digitale sleutels: certificaten.
Vijf bestuurlijke prioriteiten voor gemeenten
De VNG heeft vijf bestuurlijke prioriteiten vastgesteld om gemeenten beter te wapenen tegen digitale dreigingen. Deze prioriteiten zijn: het versterken van bestuurlijke bewustwording, het verbeteren van risicomanagement, het versterken van weerbaarheid, het intensiveren van samenwerking tussen gemeenten, en het verbeteren van leveranciersmanagement. PKIpartners ondersteunt gemeenten actief bij het invullen van deze prioriteiten door helder inzicht, duidelijk beleid en strak certificaatbeheer.
Leveranciersmanagement: grip op digitale ramen en deuren
“Het nieuwe dreigingsbeeld bevestigt precies wat we al langer zien”, vertelt Ton Oosterwijk van PKIpartners. “Veel gemeenten hebben onvoldoende grip op hun leveranciers en daarmee hun certificaatbeheer.” PKIpartners pleit daarom voor helder leveranciersmanagement. “Wie heeft er toegang, via welke certificaten en hoe zit het met de controle? Wij maken dit inzichtelijk. Zo weet je precies welke digitale ramen en deuren openstaan en wie er naar binnen mag.”
Certificaatbeheer: van wildgroei naar strak beleid
Goed certificaatbeheer voorkomt niet alleen incidenten, maar beschermt ook de continuïteit van dienstverlening aan burgers en bedrijven. PKIpartners adviseert gemeenten daarom een helder beleid op te stellen in de vorm van een Certificate Management Practice Statement (CMPS). “Hiermee zorg je dat het beheer strak geregeld is en voorkom je wildcardcertificaten die ongecontroleerd kunnen worden gekopieerd”, legt Ton uit.
Controle en regie gaan hand in hand
Gemeenten kiezen steeds vaker voor regievoering op hun IT-processen. Een goede ontwikkeling, vindt PKIpartners. Maar regie betekent niet: loslaten. Ton benadrukt: “Je mag onze sleutels gebruiken, maar je moet er wel voor tekenen. Met duidelijke afspraken borg je het beheer van certificaten en voorkom je problemen.”
Wat gemeenten nu kunnen doen
Het nieuwste dreigingsbeeld onderstreept het belang van heldere regie en goed certificaatbeheer. Gemeenten die hier slim en proactief mee omgaan, kunnen zich wapenen tegen digitale dreigingen. PKIpartners ondersteunt gemeenten hierin. Niet alleen met advies, maar vooral met concreet inzicht, grip en duidelijkheid. Zo maken we samen het digitale landschap veiliger. En dat is goed nieuws voor iedereen.
Quantum Computing, de dreiging en de kansen voor Nederland
Afgelopen maand heb ik de Post-Quantum Cryptography Conference in Texas bezocht en daar de lezing van professor Aaronson over Quantum Computing bijgewoond. Onderaan de pagina kan je de hele opname terugkijken, maar ik heb in dit artikel ook de, voor mij, interessantste punten op een rijtje gezet.
Voor mij bleek er vooral een nuance in de stand van zaken rondom Quantum versus de dreiging, ook in combinatie met de relatie tot AI. Tegelijkertijd worden er nu wel ontwerpen gemaakt voor technologieën/implementaties die vele tientallen jaren nadat het in gebruik wordt genomen nog werkend en veilig moeten zijn. Denk bijvoorbeeld aan waterwerken, vliegtuigen en mobiliteit.
Wij hebben in Nederland een bijzonder goed en robuust stelsel van basisregistraties waarin ‘onze’ werkelijkheid zit opgeslagen/opgesloten. Daarnaast zijn we, als ik het buitenland mag geloven, bijzonder goed in het verknopen van systemen en uitwisselen/delen van gegevens.
Ik denk dan ook dat wij in Nederland met al onze kennis van organisaties CWI, ASML, TU, TNO en alle kennis die letterlijk zo dicht bij elkaar te vinden- en te brengen is, dat wij een uitgelezen kans hebben om de leidende rol te kunnen nemen in het vinden van de antwoorden op Post Quantum dreigingen. Vroeg of laat komt het er. Door te investeren in het vinden van de praktische toepassingen/antwoorden kan er een verschil worden gemaakt.
Over de spreker: Professor Scott Aaranson
Professor Scott Aaranson – Schlumberger Chair of Computer Science and founding director Quantum Information Center University Texas, Austin. De Schlumberger Chair is een bijzonder academische positie die wordt bekleed door een hoogleraar op het gebied van aardwetenschappen of een daarmee verwant vakgebied.
Als spreker om het Post-Quantum Cryptography congres te openen gaf Professor Aaronson zijn visie/mening over de staat van- en over de toekomst van Quantum Computers.
Quantum Computing: “Between Hope and Hype“
Belangrijke/opmerkelijke punten zaken die ik heb opgepikt:
De kennis over de Quantum Crypto die al dan niet voldoende bescherming bieden is publieke informatie. Zowel bij de “the good als the bad guys”.
Het ontwerpen van resistentie systemen is al begonnen; tegelijkertijd moeten we ons ervan bewust zijn dat we nog steeds niet weten of de systemen ook daadwerkelijk resistent zijn tegen quantum computers en mogelijk ook traditionele computers.
De vraag die het meest aan hem gesteld wordt is: “How much time have we got doc?” Maar dan wel over een quantum computer die ook werkelijk wat kan doen en schaalbaar is en ook werkelijk (Peter) Shor’s algoritme kan uitvoeren (en RSA-2048 kan kraken). Daar had hij nog geen sluitend antwoord op.
Hij heeft ook 2 jaar gewerkt bij openAI in de SafetyGroup, maar hij gaf aan dat die groep is opgeheven.
Hij nam de ontwikkelingen en tijdlijn van ontwikkelen van AI als handvat/gids voor wat zou het betekenen voor QC als dit in zelfde tempo/mate gaat.
Nuance die hij aangaf was dat het niet om het aantal qubits (Quantum Bits) gaat naar zijn mening, maar om de kwaliteit van werking van de qubits en over logische en fysieke qubits.
Daarnaast ging hij in op de details van de stand van zaken met voorbeelden waar Google is met hun quantum computers.
Hij benadrukte daarbij ook zijn mening dat het hebben van een enkele stabiele qubit, nog een hele weg is voordat 2048bit kan worden gebroken.
Hij is behoudend over waar we staan, maar tegelijkertijd geeft hij ook aan dat het vergelijkbaar is met de staat van de ontwikkeling van de atoombom in 1942. “Hoe graag wil men een quantum computers en welke bedragen wil men erin investeren.” Hij geeft daarbij aan dat op dit moment al de geïnteresseerde partijen tientallen miljarden per jaar investeren.
Als wetenschapper ziet hij ook de mogelijkheid dat de quantum theorie niet klopt. Zijn nuance daarbij is dat hij adviseert om er niet op te gokken dat:
de theorie niet klopt,
quantum niet gaat werken, en
dat het decrypten niet gaat lukken.
Hij adviseert degene die zich zorgen maken of hun geheimen nog wel geheim zijn over 10 jaar om nu wel degelijk maatregelen te treffen (zonder een voorspelling te doen of quantum er wel of niet is).
Hij wijst er wel op dat ook als de quantum-dreiging geen werkelijkheid wordt omdat er voldoende tegenmaatregelen zijn, we wel de maatschappelijk vruchten van quantum zullen plukken. Hij verwacht dat de vruchten van quantum er eerder zullen zijn dan dat RSA-20248 encryptie zal worden gebroken.
Vanaf 20 minuten in de presentatie worden de vragen uit de zaal beantwoord. Hierbij gaat hij ook in op de vragen of er geheimen groeperingen bezig zijn en bevestigt de zorg over ‘Harvest now, Decrypt Later’ en om dit niet te negeren.
Er wordt ook in gegaan op de technische/mechanische uitdagingen, maar ook de creativiteit die getoond wordt om die belemmeringen te omzeilen of te beantwoorden.
Op de vraag of AI een impact gaat hebben op de snelheid van ontwikkelen, geeft hij een bevestigend antwoord. AI helpt nu al bij het herkennen van aanstaande fouten bij testen. Hij verwacht dat AI gestuurde error-correctie de standaard gaat worden, maar ook dat AI gebruikt zal worden voor optimalisatie doeleinden.
Hij vermeldt ook dat de ontwikkelingen voor wat betreft AI boven de verwachtingen met ‘de klassieke AI’ nu al sneller gaan, dan jaren geleden. En dat AI zich zo snel ontwikkelt, dat het gebruik van een quantum-computer voor bepaalde toepassingen mogelijk achterhaald gaat worden door AI. Hij hoopt dan ook op de combinatie van AI met quantum computer.
Tot slot gaf hij aan dat de belangrijkste redenen voor alle investeringen die nu gedaan worden niet de drijfveer van het kraken van algoritmes is, maar om algemene ontwikkelingen te versnellen en dan met name quantum simulatie. Met daarbij de nuance dat naar zijn mening de wensen, dromen en visies vaak veel groter zijn dan wat de realiteit nu is en wat haalbaar zal worden.
Bovenstaande informatie en adviezen zijn gebaseerd op mijn kennis van zaken in het algemeen en de publieke informatie. Het staat u vrij met dit bericht uw voordeel te doen, maar ik en PKIpartners aanvaarden geen aansprakelijkheid voor mogelijke schade als gevolg van acties die u onderneemt op basis van de inhoud van dit bericht. Ik heb met de beste intentie/vermogen vertalingen en interpretaties gedaan, maar om zeker te zijn adviseer ik u altijd om zelf de opname te bekijken. Wenst u een op maat gesneden advies, spreekbeurt of afstemming voor uw specifieke situatie, dan kunt u uiteraard contact opnemen.
Wie in Nederland medische gegevens uitwisselt, een zorgverlener laat inloggen of gebruikmaakt van landelijke zorgcommunicatie, staat er meestal niet bij stil hoeveel digitale infrastructuur daarvoor nodig is. Toch vormt die infrastructuur het fundament onder de dagelijkse zorgverlening. Jaarlijks worden meer dan een miljard berichten veilig uitgewisseld tussen zorgverleners, zorgorganisaties en overheidsvoorzieningen. Achter de schermen speelt VZVZ daarin een cruciale rol.
Met de komst van de nieuwe generatie PKIoverheid-certificaten, G4, staat de zorgsector voor een belangrijke moderniseringsslag. Om deze transitie zorgvuldig en toekomstbestendig te begeleiden, werken VZVZ en PKIpartners intensief samen.
Onzichtbaar, maar onmisbaar
VZVZ vormt al jaren een belangrijke schakel in de digitale zorginfrastructuur van Nederland. Via voorzieningen zoals AORTA-LSP, ZORG-ID, ZORG-AB en Mitz faciliteert de organisatie veilige en betrouwbare gegevensuitwisseling tussen zorgverleners, zorgorganisaties en overheidsvoorzieningen. Achter deze voorzieningen schuilt een complexe vertrouwensinfrastructuur gebaseerd op certificaten, authenticatie, digitale ondertekening en versleutelde netwerkcommunicatie.
Voor zorgverleners is deze techniek grotendeels onzichtbaar. Tegelijkertijd is zij essentieel voor de continuïteit van de zorg. “Die infrastructuur is voor veel zorgverleners nauwelijks zichtbaar, maar vormt wel de basis onder vrijwel alle landelijke digitale zorgcommunicatie”, vertelt Frank Voogel, Productverantwoordelijke ZORG-ID bij VZVZ.
“En omdat deze infrastructuur zo fundamenteel is, nemen vragen rondom continuïteit, cybersecurity en digitale afhankelijkheden toe. Wat gebeurt er als systemen elkaar niet langer vertrouwen? Wat als certificaten verlopen of nieuwe standaarden niet tijdig worden ondersteund? En hoe houd je landelijke zorgcommunicatie operationeel terwijl cryptografische standaarden veranderen?”
G4 maakt de noodzaak zichtbaar
De aanleiding voor de huidige veranderingen ligt in de landelijke migratie naar PKIoverheid G4-certificaten. Logius heeft aangekondigd dat organisaties uiterlijk november 2028 moeten zijn overgestapt. Het UZI-register besloot vervolgens op 24 maart 2026 mee te gaan in deze overgang, waarbij de eerste nieuwe certificaten voor servers en UZI-passen vanaf november 2026 beschikbaar komen. Daarmee ontstond voor de gehele zorgketen een duidelijke noodzaak om tijdig voorbereidingen te treffen.
Jarenlang draaide de zorginfrastructuur stabiel op oudere generaties certificaten. Die situatie heeft goed gefunctioneerd, maar sluit steeds minder aan op moderne beveiligingsstandaarden en toekomstige eisen rondom cryptografie en digitale weerbaarheid. G4 introduceert nieuwe cryptografische standaarden, nieuwe TLS-vereisten en een aangepaste vertrouwensstructuur. Dat raakt niet alleen de techniek binnen organisaties, maar ook de beschikbaarheid van systemen, de samenwerking tussen ketenpartners en uiteindelijk de continuïteit van zorgprocessen.
Een partnerschap gebaseerd op diepgaande kennis
Voor VZVZ was het duidelijk dat deze opgave niet alleen intern kan worden opgelost. De impact raakt immers ook softwareleveranciers, zorginstellingen, sourcingpartners en andere ketenpartijen. Daarom koos VZVZ voor samenwerking met PKIpartners.
Frank: “Een gespecialiseerde partner brengt diepgaande kennis mee van certificaatketens, cryptografie, migraties en de praktische implementatie van nieuwe beveiligingsstandaarden. Voor VZVZ is het belangrijk om niet alleen intern de juiste stappen te zetten, maar ook gezamenlijk richting leveranciers en zorgaanbieders duidelijkheid en rust te creëren.”
Volgens Frank draait de samenwerking niet alleen om techniek. In een keten waarin alles met elkaar verbonden is, vraagt continuïteit om samenwerking, kennisdeling en gedeelde verantwoordelijkheid. Dat sluit goed aan bij de rol die PKIpartners vervult binnen de Nederlandse PKIoverheid-community. De organisatie ondersteunt zorginstellingen, softwareleveranciers en andere organisaties bij complexe vraagstukken rondom certificaten, vertrouwensdiensten, authenticatie en digitale identiteit. “Het contact met PKIpartners ervaren we als zeer positief. Met name algemeen directeur Ton Oosterwijk brengt niet alleen technische expertise, maar ook pragmatiek in een traject dat voor veel organisaties complex en impactvol is. Aan welke kernwoorden ik dan denk? Aan deskundig, betrouwbaar, toegankelijk, meedenkend en verbindend. Dat is van grote waarde in een traject waarin techniek, governance en continuïteit samenkomen”, aldus Frank.
Wat betekent dit voor de zorgsector?
Het uiteindelijke doel van de samenwerking is dat zorgverlenend Nederland tijdig voorbereid is op de overgang naar een nieuwe generatie digitale vertrouwensinfrastructuur. Dat betekent veilige en betrouwbare netwerkcommunicatie, toekomstbestendige authenticatie en ondersteuning van moderne beveiligingsprotocollen. Tegelijkertijd ontstaat een infrastructuur die beter voorbereid is op toekomstige cyberdreigingen en nieuwe technologische ontwikkelingen. “Voor zorgverleners betekent dit vooral dat systemen veilig en beschikbaar blijven functioneren, zonder dat zij dagelijks hoeven stil te staan bij de complexe techniek daarachter”, aldus Frank.
Van impactanalyse naar ketenmigratie
De samenwerking tussen VZVZ en PKIpartners bevindt zich inmiddels in een actieve fase. Er wordt gewerkt aan impactanalyses, technische aanpassingen binnen de VZVZ-diensten en afstemming met sourcingpartners. Ook softwareleveranciers en zorgaanbieders worden ondersteund bij de voorbereidingen op de overgang naar G4.
Daarnaast worden systemen voorbereid op nieuwe certificaatstructuren, moderne versleutelingstechnieken en nieuwe communicatieprotocollen. In een later stadium verschuift de aandacht steeds meer naar ketenmigratie, begeleiding van leveranciers en
Daarbij gaat het niet alleen om certificaten, maar bijvoorbeeld ook om compatibiliteit van bestaande infrastructuur, kaartlezers en gekoppelde systemen.
Stelselbrede modernisering van de digitale vertrouwensinfrastructuur
De overgang naar PKIoverheid G4 is veel meer dan een technische certificaatvervanging. Het is een stelselbrede modernisering van de digitale vertrouwensinfrastructuur waarop de Nederlandse zorg dagelijks vertrouwt.
Mede daarom is samenwerking tussen partijen als VZVZ en PKIpartners zo belangrijk. Niet omdat certificaten op zichzelf het doel zijn, maar omdat zij de basis vormen voor veilige communicatie, betrouwbare toegang en het vertrouwen dat nodig is om digitale zorg mogelijk te maken. Of, zoals Frank het treffend samenvat: “De overgang naar G4 is veel meer dan een technische certificaatwissel. Het is een stelselbrede modernisering van de digitale vertrouwensinfrastructuur onder de Nederlandse zorgcommunicatie.”
Gemeenten staan onder druk. Niet alleen door personeelstekorten en nieuwe wetgeving, maar ook door een steeds complexer digitaal landschap. Tegelijkertijd schuiven fundamentele veranderingen in de digitale infrastructuur dichterbij. De transitie van G1 en G3 naar PKIoverheid G4 is geen theoretische exercitie meer. Het is een concrete beweging die directe gevolgen heeft voor gemeentelijke processen.
Wat wij in de praktijk zien, is dat veel gemeenten het belang wel herkennen, maar dat de urgentie nog niet overal voelbaar is.
“Het gebrek aan urgentie begint zorgelijk te worden,” zegt Ton Oosterwijk, algemeen directeur van PKIpartners. “De huidige PKIoverheidcertificaten hebben een einddatum. Dat is geen mening, dat is een feit. Als de transitie niet ordentelijk wordt opgepakt, gaan dingen stuk. De enige vraag is: waar en wanneer.”
Geen technisch detail, maar een ketenverantwoordelijkheid
De overstap naar G4 raakt veel meer dan alleen een certificaat in een serverkast. Gemeenten gebruiken certificaten voor onder meer:
Digipoort
Digimelding
Digilevering
Digikoppeling
TLS-verbindingen
Elektronische handtekeningen
Interne en externe ketencommunicatie
Dat betekent dat de impact niet beperkt blijft tot IT. Het raakt financiële stromen, vergunningprocessen, belastingaangiftes, gegevensuitwisseling met het Rijk en in bepaalde gevallen zelfs zorg- en onderwijsprocessen.
“Als een certificaat verloopt of niet tijdig wordt vervangen, stopt de communicatie,” aldus Ton. “Dat kan een aangiftestroom zijn, maar ook iets dat direct maatschappelijke impact heeft. Denk aan zorg, onderwijs of het ophalen van een recept. Het zijn processen die onzichtbaar draaien, totdat ze stilstaan.”
Het echte risico zit in overzicht
In gesprekken met gemeenten komt steeds hetzelfde patroon naar voren. Certificatenbeheer is vaak historisch gegroeid:
Verschillende leveranciers
Verspreide verantwoordelijkheid
Onvoldoende centrale registratie
Geen volledig lifecycle-overzicht
Dat is jarenlang werkbaar geweest. Maar met de komst van G4, verkorte geldigheidsduren en aangescherpte beveiligingseisen wordt het verschil tussen ‘het loopt’ en ‘het is geborgd’ zichtbaar.
Daarbij komt het bredere dreigingsbeeld. De VNG publiceerde in juni 2025 het Dreigingsbeeld Informatiebeveiliging 2025–2026, waarin expliciet wordt gewezen op toenemende digitale dreiging en de noodzaak tot versterkte beveiliging. De transitie naar beter beveiligde overheidscertificaten past in dat kader.
G4 is dus geen administratieve wijziging, maar onderdeel van een structurele versterking van digitale weerbaarheid.
Wat verandert er concreet?
De overgang naar PKIoverheid G4 betekent onder meer:
Vervanging van bestaande G1- en G3-certificaten
Nieuwe technische eisen
Aanpassingen in ketenkoppelingen
Kortere geldigheidsduren van certificaten
Hogere eisen aan beheer en monitoring
Voor gebruikers verandert er aan de voorkant soms weinig. Achter de schermen verandert er veel.
Dat maakt het risico paradoxaal: het lijkt rustig, maar onder de motorkap moet veel worden voorbereid.
Van reactief naar georganiseerd
Wat gemeenten nu nodig hebben, is geen paniek. Wel overzicht.
Welke certificaten zijn actief?
Welke systemen gebruiken ze?
Wanneer lopen ze af?
Wie is eigenaar?
Welke leveranciers zijn betrokken?
Wat vraagt G4 concreet per keten?
“Het gaat er niet om met de vinger te wijzen,” zegt Ton. “Het gaat erom dat dit geen onderwerp is dat je kunt laten liggen. We zitten nu in een fase waarin je nog kunt organiseren. Als je wacht tot certificaten verlopen, organiseer je onder grote druk.”
Aan tafel in het ecosysteem
PKIpartners is actief betrokken bij de transitie en zit aan tafel bij partijen als Logius, VNG en andere ketenpartners om de overgang beheerst te laten verlopen. Die betrokkenheid is geen formaliteit, maar bedoeld om gemeenten tijdig en concreet te informeren. Niet door dreiging te schetsen, maar door helderheid te bieden. Gemeenten hoeven dit niet alleen te doen. Maar niets doen is geen optie.
Digitale zekerheid vraagt regie
Ton: “Digitale soevereiniteit en weerbaarheid worden vaak besproken in termen van cloud en software. Minder zichtbaar, maar minstens zo cruciaal, is de laag van certificaten en digitale identiteit. Zonder goed ingerichte en robuuste certificaatketens bestaat er geen veilige digitale overheid.”
“G4 is een kans om die basis op orde te brengen. Wie nu inventariseert, structureert en borgt, voorkomt later verstoringen. Wie wacht, vergroot de kans op incidenten. De boodschap is daarom helder: organiseer het, en wel nú, voordat het je overkomt.”
Verder praten of nu echt concreet aan de slag? Bel met 085 90 20 820 of mail naar info@pkipartners.nl.
PKIoverheid G4 TRIAL Certificaten Vraag nu een TRIALcertificaat aan ⚠ GebruiksvoorwaardenPKIoverheid G4 TRIAL certificaten worden kosteloos aangeboden als hulpmiddel voor uw testdoeleinden en ketentesten.De TRIAL certificaten zijn opgezet in lijn met...
