VicOne publiceert zijn Automotive Cybersecurity Rapport 2026 — en de boodschap is duidelijk: jouw datalek is niet langer alleen van jou
Er bestaat een comfortabele fictie in cyberbeveiliging dat wanneer er iets misgaat, het binnen je eigen muren blijft. Jouw datalek. Jouw incident response plan. Jouw forensisch team dat jouw rommel opruimt. Die fictie is zojuist aan diggelen geslagen.
Het 2026 Automotive Cybersecurity Report van VicOne, getiteld Crossroads: Automotive Cybersecurity in the Overlap Era, verscheen op 11 februari 2026 en documenteert wat automotive CISO’s de afgelopen achttien maanden al aanvoelden: cyberincidenten in het ecosysteem van verbonden voertuigen houden zich niet langer aan organisatorische grenzen. Ze verspreiden zich. Ze veroorzaken kettingreacties. Ze raken de OEM, de Tier 1-leverancier, de cloudprovider en de eindconsument in één campagne. En de governance-structuren van de sector — ontworpen voor een wereld waarin “ons netwerk” nog iets betekende — kunnen het tempo niet bijbenen.
De cijfers vertellen het verhaal zonder opsmuk. VicOne registreerde 610 aan automotive gerelateerde beveiligingsincidenten en 1.384 kwetsbaarheden in 2025. Incidenten over regio’s en bedrijven heen zijn meer dan verdrievoudigd ten opzichte van het jaar ervoor en waren goed voor 161 van deze gevallen. De kosten van datalekken tussen januari en oktober 2025 bedroegen $6,6 miljard. Dit zijn geen afrondingsverschillen. Dit is een structurele transformatie in hoe cyberrisico’s in de automotive sector werken.
5 Belangrijkste Inzichten
- Automotive Cyberincidenten zijn losgebroken uit organisatorische silo’s. 610 incidenten en 1.384 kwetsbaarheden in 2025. Cross-regionale, multi-business gevallen verdrievoudigden tot 161. Datalekken kostten $6,6 miljard. Aanvallen beslaan nu IT, cloud en in-voertuigsysteem in één campagne. Kiteworks biedt uniforme governance over elk datakanaal — met een geconsolideerde audit log die elke interactie vastlegt, ongeacht grenzen.
- Het voertuig is nu het primaire aanvalsvlak — en bevat de meest gevoelige klantdata. In-voertuigsysteem heeft IT als belangrijkste doelwit ingehaald (39,7% vs. 37,7%). Infotainment, gateways en ECU’s verwerken contacten, locatie, spraakopnames en accounttokens. Cockpitdata zal naar verwachting als ransomware-hefboom worden gebruikt. De op attributen gebaseerde toegangscontrole van Kiteworks zorgt voor datacentrische bescherming bij elke vertrouwensgrens.
- “Zwitserse kaas” compliance: Volledige naleving laat nog steeds gaten vallen. ISO/SAE 21434, UN R155, IEC 62443, ISO 15118-20 en NIST IR 8473 laten hardnekkige gaten waar domeinen elkaar overlappen. Geen enkele standaard dekt het volledige aanvalsvlak. Kiteworks biedt vooraf geconfigureerde sjablonen voor 50+ raamwerken met realtime beleidsafdwinging — waardoor het gat tussen gedocumenteerde en afgedwongen controls wordt gedicht.
- De software supply chain is de nieuwe voordeur voor automotive aanvallers. VicOne pleit voor SBOM’s en AI BOM’s als compliance-grade assets, en event-driven “Dynamic TARA” ter vervanging van statische risicobeoordelingen. Het WEF noemt supply chain visibility als topprioriteit. De audittrails, rolgebaseerde controls en geharde encryptiearchitectuur van Kiteworks beheersen elke leveranciersdata-uitwisseling.
- Verantwoording op bestuursniveau is gearriveerd — securityleiders hebben bewijs nodig, geen excuses. VicOne CEO Max Cheng bevestigt dat cyberbeveiliging een bestuurskwestie is. Besturen vragen: Wat is onze regulatoire blootstelling? Welke data is beschermd? Wat gebeurt er bij een grensoverschrijdend datalek? Kiteworks levert executive-ready compliance dashboards voor 50+ raamwerken, met FIPS 140-3 gevalideerde encryptie en zero trust-architectuur die ondersteunt wat je rapporteert.
Welkom in het Overlap-tijdperk: Waar Alles met Alles Verbonden Is
Het door VicOne geïntroduceerde concept — het “Overlap Era” — weerspiegelt een realiteit die veel verder reikt dan automotive. Het beschrijft een periode waarin traditionele voertuigplatforms wereldwijd operationeel blijven, terwijl softwaregedefinieerde voertuigen, cloud-ecosystemen en lerende/adaptieve functies tegelijkertijd worden ingezet. Voertuigen, backendservices, IT en externe infrastructuur zijn bewust nauw gekoppeld. Maar eigenaarschap en governance van cyberbeveiliging blijven vaak gefragmenteerd.
Het praktische gevolg: een aanvaller die een cloud-API compromitteert, kan voertuigsbesturingssystemen bereiken. Een zwakte in het OTA-backend van een Tier 2-leverancier kan leiden tot veiligheids- en privacyrisico’s voor hele wagenparken. Een kwetsbaarheid in het beheerconsole van een EV-laadstation kan klantidentiteit, facturatiegegevens en laadsessiedata van honderdduizenden gebruikers blootleggen.
Dit is hetzelfde onderlinge afhankelijkheidsmechanisme dat het WEF Global Cybersecurity Outlook 2026 beschrijft voor alle sectoren: een nieuwe generatie cyberincidenten die de kwetsbaarheid van digitale verbindingen blootlegt, waarbij één lokale storing of gerichte aanval snel kan uitgroeien tot gevolgen op grote schaal. Het verschil in automotive is dat de gevolgen fysiek kunnen zijn. Als het aangevallen systeem met een gezin aan boord over de snelweg rijdt, overstijgen de risico’s het gegevensbeheer.
Het Voertuig is nu het Primaire Doelwit — en Weet Alles van Jou
Een van de meest opvallende bevindingen uit het rapport is een omslagpunt: in-voertuigsysteem is nu het grootste doelwit, met 39,7% tegenover 37,7% voor IT. Dit is geen marginale verschuiving. Het is een heroriëntatie van waar aanvallers waarde zien.
De meest aangevallen in-voertuigcomponenten — infotainment en head units, in-voertuignetwerken en gateways, ECU’s en embedded software — zijn ook de systemen die de meest gevoelige persoonsgegevens verwerken: contacten, locatiegeschiedenis, microfoon- en spraakopnames, gekoppelde telefoondata, navigatiebestemmingen en accounttokens. Het rapport typeert deze systemen als integratiehubs waar gebruikersinput en externe diensten samenkomen. In privacytermen zijn het dataconsolidatielagen met een groeiend aanvalsvlak.
VicOne identificeert drie specifieke risicovectoren in dit domein. Ten eerste introduceert het ecosysteem van derde-partij-apps — waaronder Android Automotive en CarPlay-integraties — supply chain-risico via niet-gecontroleerde code die locatie- en microfoongegevens kan verzamelen. Ten tweede hebben companion apps en backend-API’s te maken met authenticatiefouten, gebrekkige object-level autorisatie en injectiekwetsbaarheden die cross-tenant data-exposure mogelijk maken. Ten derde — en dit zou privacy officers wakker moeten houden — voorspelt het rapport dat cockpitdata als ransomware-hefboom zal worden gebruikt, waarbij aanvallers dreigen rijgedrag en persoonlijke informatie te openbaren.
Het Dragos 2026 OT/ICS Cybersecurity Report documenteert een vergelijkbaar patroon in industriële omgevingen: threat groups zoals VOLTZITE verzamelen niet langer alleen data uit IT-netwerken, maar interacteren direct met OT-apparaten en stelen sensor- en operationele data. De convergentie is duidelijk: of je nu een stroomnet of een connected vehicle beschermt, aanvallers gaan waar de meest waardevolle data zich bevindt — en dat is steeds vaker aan de rand, in de fysieke systemen zelf.
EV-laadinfrastructuur: Het Groeiende Aanvalsvlak Waar Niemand Eigenaarschap Heeft
Het rapport besteedt veel aandacht aan EV-laadinfrastructuur als groeiende bron van cyberrisico. Laadstations verbinden voertuigen, backendservices, mobiele applicaties en het stroomnet op grote schaal. Ze verwerken klantidentiteit, laadsessiedata, facturatie- en betalingsgegevens en operationele telemetrie. En de kwetsbaarheden die VicOne documenteert — autorisatiebypass en injectiekwetsbaarheden — kunnen zich verspreiden over klanten en wagenparken.
Het complianceprobleem is hier nijpend. VicOne legt diverse standaarden naast EV-laadbeveiliging en concludeert dat geen enkele standaard het volledige aanvalsvlak dekt. ISO 15118-20 beveiligt communicatie tussen EV en lader, maar dekt niet volledig de besturingssystemen, managementlagen of firmware. IEC 62443 richt zich op industriële controlebeveiliging, maar laat gaten voor IT-componenten. ISO/SAE 21434 focust vooral op voertuiggerichte cyberbeveiliging. UN R155 verwijst naar gebieden buiten voertuigen, maar EV-laadinfrastructuur wordt slechts indirect behandeld. NIST IR 8473 is een integratieve referentie, maar geen conformiteitsdocument.
De kern: alle compliance-vakjes afvinken volgens deze standaarden garandeert niet dat je echte aanvalspaden hebt afgedekt — zeker niet die over lader-, cloud- en voertuiggrenzen heen. Voor organisaties die gevoelige data verwerken in vergelijkbaar gefragmenteerde rechtsbevoegdheden, is dit patroon herkenbaar. Kiteworks pakt dit aan door uniforme governance te bieden over alle datacommunicatiekanalen, met geautomatiseerde compliance-rapportage die controls koppelt aan specifieke wettelijke vereisten in plaats van compliance als losstaande oefening te behandelen, los van operationele beveiliging.
Wanneer de AI-assistent van de auto een phishingkanaal wordt
Het rapport introduceert een risicopatroon dat het assistant-mediated content injection noemt, waarbij een in-voertuig AI-assistent kan worden gemanipuleerd om kwaadaardige links, telefoonnummers of bestemmingen te presenteren via gemanipuleerde vermeldingen, advertenties of metadata. Omdat de assistent fungeert als een interface met hoog vertrouwen — bestuurders verwachten autoriteit — wordt het een voertuig-eigen kanaal voor social engineering.
Als de assistent acties kan initiëren — bellen, navigeren, betalingen — strekt het risico zich uit tot transactie-integriteit en gebruikersinstemming. Dit is het automotive-equivalent van een probleem waar de wereld van enterprise databeveiliging al langer mee worstelt: wat gebeurt er als een vertrouwde interface onbetrouwbare content verwerkt en de gebruiker het verschil niet kan zien?
Het WEF Global Cybersecurity Outlook 2026 beschrijft dit mechanisme op sectorniveau: slechts 40% van de organisaties beoordeelt de beveiliging van tools vóór inzet, en het verschil tussen organisaties die dat wel of niet doen, hangt direct samen met hun weerbaarheid. De Secure MCP Server van Kiteworks biedt een model voor hoe trusted-but-verified governance zou moeten werken: elke operatie door een externe agent — inclusief LLM-gebaseerde applicaties — is onderworpen aan rol- en attributengebaseerde toegangscontrole, met uitgebreide audit logging van elke interactie. Dit principe geldt of de agent nu een bedrijfs-chatbot of de spraakassistent van een auto is: vertrouw de interface, verifieer de actie, log alles.
Wat Automotive CISO’s — en Elke CISO in een Verbonden Ecosysteem — Nu Moeten Doen
Ga van systeemgerichte beveiliging naar domeinoverstijgende governance. Het rapport adviseert governance die duidelijk eigenaarschap en escalatiepaden toewijst en risico’s meet per dienst, vloot en impactradius — niet per individueel component. Omdat incidenten IT, cloud, voertuig en laadinfrastructuur beslaan, moet het governance-model daarop aansluiten. Kiteworks biedt deze domeinoverstijgende governance voor gevoelige data: uniforme beleidsafdwinging over elk communicatiekanaal, met één geconsolideerde audit log die de zichtbaarheidsgaten van gefragmenteerde tools elimineert.
Maak risicobeoordeling continu, niet periodiek. VicOne pleit voor het vervangen van statische risicobeoordelingen door event-driven “Dynamic TARA”, getriggerd door codewijzigingen, SBOM-updates, zero-day disclosures en threat intelligence. Dit sluit aan bij de bredere trend van periodieke auditgereedheid naar continue compliance. De realtime beleidsafdwinging en geautomatiseerde bewijsverzameling van Kiteworks leveren precies dit: continu bewijs dat controls actief zijn, niet alleen gedocumenteerd.
Behandel SBOM’s en AI BOM’s als compliance-grade assets. Traceerbaarheid is essentieel voor audits, incidentonderzoeken en leveranciersverantwoording. Organisaties hebben live zicht op de software supply chain nodig, geen statische inventarisdocumenten. De uitgebreide audittrails van Kiteworks — die elk bestand, elke gebruiker, elke actie over elk kanaal volgen — bieden het traceermodel dat de automotive sector nu vereist voor softwarecomponenten.
Versterk elke vertrouwensgrens waar persoonsgegevens stromen. Het rapport adviseert sterkere geheugensafety, privilege-isolatie, inputvalidatie en continue gedragsmonitoring voor infotainment- en AI-systemen. Dit zijn dezelfde principes die Kiteworks toepast op enterprise data: zero trust-architectuur waarbij alle IP-adressen standaard geblokkeerd zijn, behalve expliciet toegestane, ingebouwde netwerkfirewalls, inbraakdetectie en klant-eigen encryptiesleutels die garanderen dat geen externe partij toegang krijgt tot beschermde data.
Voorzie besturen van bewijs, niet van dashboards vol waarschuwingen. Het WEF meldt dat bestuursleden bij zeer weerbare organisaties bijna drie keer zo vaak persoonlijk aansprakelijk zijn voor cyberdatalekken als bij onvoldoende weerbare organisaties (30% versus 9%). Besturen willen weten: welk percentage gevoelige data is versleuteld, welke controls zijn afgedwongen en aan welke wettelijke vereisten is voldaan. Kiteworks biedt compliance-status over 50+ raamwerken, visualisatie van datarisicopositie en geautomatiseerde rapportage die GDPR Artikel 30-registraties, HIPAA-auditrapporten, NIS2-incidentmeldingen en CMMC-bewijs genereert — in taal waar besturen op kunnen handelen.
Domeinoverstijgend Risico Vereist Domeinoverstijgende Governance
De kernboodschap van het VicOne 2026-rapport is dat privacy- en compliance-uitkomsten nu worden bepaald door domeinoverstijgend cyberbeveiligingsbeheer. Het risico van data-exposure leeft niet alleen waar persoonlijk identificeerbare informatie wordt opgeslagen. Het ontstaat waar voertuigen, clouddiensten, OTA-pijplijnen, dealersystemen, AI-supply chains en EV-laadinfrastructuur elkaar kruisen — vaak over wettelijke grenzen heen, en bijna altijd over organisatiegrenzen heen.
Dit is geen specifiek automotive probleem. Het is hetzelfde systemische risico dat het WEF identificeert in elke onderling verbonden sector. Het is dezelfde kwetsbaarheid in de supply chain waar CISO’s in de financiële sector, zorgprocessen, producenten en kritieke infrastructuur mee te maken krijgen als ze de integriteit van derde-partijsoftware, hardware en diensten in hun ecosystemen niet kunnen waarborgen.
De organisaties die dit risico effectief zullen beheren, zijn degenen die stoppen met het beheren van beveiliging in silo’s en het juist domeinoverstijgend aanpakken, overal waar gevoelige data zich verplaatst. Kiteworks maakt dit operationeel: uniforme datagovernance, realtime beleidsafdwinging, uitgebreide audittrails, executive rapportage die compliance aantoont en de encryptiearchitectuur die garandeert dat de gerapporteerde beveiliging ook daadwerkelijk bestaat.
Het Overlap-tijdperk is geen fase. Het is de permanente operationele realiteit voor elke organisatie waarvan data, systemen en partners onderling verbonden zijn. De vraag is niet of je beveiligingsprogramma met domeinoverstijgend risico te maken krijgt. De vraag is of je governance-infrastructuur erop gebouwd is om het aan te kunnen.
Wil je weten hoe Kiteworks kan helpen? Plan vandaag nog een demo op maat.
Veelgestelde Vragen
ISO/SAE 21434 vereist dat organisaties een cybersecurity managementsysteem implementeren dat risicobeoordeling (TARA), dreigingsanalyse in de conceptfase en monitoring na ontwikkeling gedurende de gehele levenscyclus van een voertuig omvat. Het gat: het is voertuiggericht en reguleert geen cloud-backends, EV-laadinfrastructuur of ecosystemen van derde-partij-apps. Wanneer een aanval via een companion app API in voertuigsystemen terechtkomt, pakt 21434-compliance aan de voertuigkant de bron van de blootstelling niet aan. Domeinoverstijgende audittrails en uniforme beleidsafdwinging vullen aan wat 21434 niet reguleert.
Dynamic TARA vervangt dreigingsbeoordeling op één moment door event-triggered analyse — die automatisch draait bij code-merges, SBOM-wijzigingen, zero-day disclosures en updates van threat intelligence. Statische TARA faalt omdat softwaregedefinieerde voertuigen continu OTA-updates ontvangen, waardoor het aanvalsvlak tussen beoordelingen verandert. Een kwetsbaarheid die de dag na een statische TARA wordt gemeld, wordt pas bij de volgende geplande review geëvalueerd — mogelijk maanden later — waardoor aanvallers structureel ruimte krijgen. Continue audit logging en realtime beleidsafdwinging bieden het equivalent voor datagovernance.
Companion apps bevatten langlevende OAuth-tokens die toegang geven tot voertuigstatus, locatiegeschiedenis, afstandsbediening en accountdata. Gebrekkige object-level autorisatie — waarbij API-endpoints niet controleren of de aanvragende gebruiker eigenaar is van de bron — maakt cross-tenant blootstelling op grote schaal mogelijk: één gecompromitteerd account kan via hetzelfde endpoint data van andere gebruikers opvragen. In tegenstelling tot in-voertuig exploits die fysieke nabijheid vereisen, zijn API-fouten op afstand uit te buiten en op grote schaal. Dit zijn dezelfde token-misbruikpatronen die door Unit 42 zijn gedocumenteerd in enterprise SaaS-omgevingen — zelfde architectuur, zelfde supply chain-risico, voertuigbrede blootstelling van persoonsgegevens.
Cockpitdata — locatiegeschiedenis, spraakopnames, contacten, rijgedrag, gekoppelde apparaatdata — geldt als persoonsgegevens onder de GDPR, CCPA en vergelijkbare raamwerken. Ongeautoriseerde exfiltratie activeert meldingsplichten voor datalekken, ongeacht of de aanvaller systemen versleutelt. Onder de GDPR geldt een meldingsvenster van 72 uur bij de toezichthouder. Voor wagenparkbeheerders die rijdata van werknemers verwerken, strekt de blootstelling zich uit tot privacyverplichtingen rond werkgelegenheid. Datagovernance-controls die beperken welke cockpitdata wordt bewaard, hoe lang en onder welke toegangsrestricties, zijn de enige pre-breach maatregel.
De aansprakelijkheidsverdeling hangt af van contractuele dataverwerkingsovereenkomsten en toepasselijke regelgeving. Onder de GDPR, als de OEM de data controller is en de Tier 2-leverancier persoonsgegevens verwerkt namens de OEM, rusten primaire meldings- en verantwoordingsplichten bij de OEM — zelfs als het datalek upstream is ontstaan. UN R155 legt verplichtingen voor cybersecurity managementsystemen bij voertuigfabrikanten, inclusief toezicht op de supply chain. OEM’s die geen leveranciers-toegangscontrole, audittrails van data-uitwisselingen en contractuele beveiligingsvereisten kunnen aantonen, lopen zowel regulatoire als civiele aansprakelijkheid als cascaderende incidenten eindgebruikersdata blootleggen.
Aanvullende bronnen
- Blog Post Zero Trust Architectuur: Nooit Vertrouwen, Altijd Verifiëren
- Video Microsoft GCC High: Nadelen die defensie-aannemers richting slimmere voordelen sturen
- Blog Post Hoe je geclassificeerde data beveiligt zodra DSPM het signaleert
- Blog Post Vertrouwen opbouwen in Generatieve AI met een Zero Trust-aanpak
- Video De definitieve gids voor veilige opslag van gevoelige data voor IT-leiders