Datalekken bij derden treffen nu de meeste slachtoffers

Het volgende datalek dat waarschijnlijk op jouw bureau belandt, begint bij een bedrijf dat je niet bezit. Jouw logo staat op de notificatiebrief, jouw naam staat in de inbox van de toezichthouder en jouw bestuur wil weten waarom een fout van een leverancier jouw incident is geworden. Kroll’s Data Breach Outlook 2026 geeft een cijfer aan dat patroon. Van de personen die getroffen zijn in de datalekken waarbij Kroll van juni 2025 tot juni 2026 betrokken was, werd 69 procent getroffen via een derde partij.

Dat cijfer verdient meer aandacht dan de gebruikelijke herinnering aan leveranciersrisico’s. Het beschrijft mensen, geen incidenten, en het laat zien waar de echte schade zich concentreert. Een enkele gecompromitteerde technologieaanbieder kan in één keer miljoenen mensen bereiken bij honderden klanten. Het beveiligingsteam van een van die klanten zag het niet aankomen en geen van hen had controle over de systemen die faalden.

Deze post legt uit wat Kroll heeft gemeten, waarom het verschilt van het Verizon Data Breach Investigations Report, wat de HIPAA-meldingsregels zeggen als een leverancier wordt getroffen en welk bewijs een CISO of complianceverantwoordelijke moet hebben voordat de telefoon gaat. De korte versie: een leveranciersvragenlijst is geen bewijs. Een log van wat er is verplaatst, wie het heeft aangeraakt en onder welk beleid, is dat wel.

Belangrijkste Bevindingen

1. Kroll ontdekte dat 69 procent van de getroffen personen via een derde partij werd geraakt, en 79 procent van die gevallen was te herleiden tot technologieaanbieders.

2. Kroll telt mensen en Verizon telt datalekken, dus de twee cijfers meten verschillende dingen en mogen nooit tot één statistiek worden samengevoegd.

3. Volgens HIPAA ontslaat een datalek bij een business associate de verantwoordelijke partij niet van de plicht om personen te informeren, en de klok kan gaan lopen zodra de leverancier als agent wordt beschouwd.

4. Het leiderschapsverschil is het verborgen risico, want Krolls enquête laat zien dat IT-leiders veel zelfverzekerder zijn dan de C-suite of leiders op het gebied van risico en compliance.

5. De sterkste verdediging is bewijs dat je zelf genereert, wat betekent: één gereguleerd pad voor gevoelige content met één beleidssysteem en één audit log.

Wat Kroll Heeft Gemeten

Begin met de definities, want de kop reist sneller dan de kleine lettertjes. Kroll publiceerde zijn Data Breach Outlook 2026 op 22 oktober 2026. De onderliggende casussen lopen van juni 2025 tot juni 2026. In het persbericht van Kroll staat dat 7 van de 10 personen die door datalekken zijn getroffen, via een derde partij zijn bereikt, en het exacte cijfer is 69 procent.

Let op de meeteenheid. Kroll telt getroffen personen, oftewel de mensen van wie de gegevens zijn blootgesteld. Het telt niet het aantal organisaties dat een datalek heeft gehad. Dat onderscheid is belangrijk, want een leveranciersdatalek werkt als een vermenigvuldiger. Eén incident bij een salarisverwerker, een claimsplatform of een aanbieder van bestandsoverdracht kan de klanten van elke cliënt die het gebruikte blootstellen.

Kroll voerde ook een enquête uit onder 250 leiders naast de casussen. Negenenzestig procent van die leiders gaf aan dat hun organisatie was getroffen door een datalek, en 34 procent zei dat dit meer dan eens was gebeurd. Hier verschijnt een tweede 69 procent, en het is makkelijk om die te verwarren met de eerste. De ene beschrijft personen die via leveranciers zijn bereikt. De andere beschrijft organisaties die een datalek hebben meegemaakt. Citeer ze altijd apart.

Krolls samenvatting splitst de resultaten niet per land. Behandel de cijfers als een wereldwijd patroon, niet als een oordeel over een enkele markt. Als je een bestuur in Londen, Riyadh of Chicago informeert, zeg dat dan vooraf en laat het lokale regelgevingsgedeelte het regionale gewicht dragen.

Technologieaanbieders en de Impactradius

Van de personen die via een derde partij zijn getroffen, schrijft Kroll 79 procent toe aan technologieaanbieders, 9 procent aan de financiële sector, 6 procent aan verzekeringen en 5 procent aan de zorg. De technologiesector alleen al is verbonden aan 60 procent van alle getroffen personen in Krolls dataset.

Kijk je beter, dan vertelt de rangorde een scherper verhaal. Technologie stond op de zevende plaats qua aantal organisaties met een datalek, maar op de eerste plaats qua aantal getroffen personen. Verzekeringen stonden negende qua organisaties en tweede qua personen. Die sectoren worden niet vaker getroffen dan anderen. Ze beheren meer gegevens van anderen, dus elk datalek reikt verder.

Dat is een concentratieprobleem, geen probleem van onzorgvuldigheid. Jouw leveranciers zijn niet per se slechter in beveiliging dan jij. Ze zijn simpelweg aggregatiepunten. Wanneer een aanbieder gegevens opslaat, verzendt of verwerkt voor honderden klanten, oogst een aanvaller die eenmaal binnenkomt een opbrengst die anders honderden afzonderlijke inbraken zou vergen.

Kroll merkte ook op dat de financiële sector en professionele dienstverlening elk verantwoordelijk waren voor 20 procent van de datalekken, waarbij professionele dienstverlening met 45 procent steeg. Advocatenkantoren, adviesbureaus, accountants en uitbestede specialisten zitten midden in gevoelige uitwisselingen. Ze ontvangen contracten, financiële gegevens en persoonsgegevens, en geven die door. Elk van die overdrachten is een plek waar jouw beleid stopt en dat van een ander begint.

Als jouw risicobeheer toeleveringsketen-programma vooral leveranciers vraagt hun controles te beschrijven, meet het intentie. De cijfers van Kroll meten uitkomsten, en die uitkomsten concentreren zich in een handvol aanbiedercategorieën die jouw programma als eerste zou moeten rangschikken.

Verizon Telt Datalekken, Kroll Telt Mensen

Beveiligingsleiders zullen snel grijpen naar het Verizon 2026 Data Breach Investigations Report om het verhaal van Kroll te toetsen. Het Verizon-rapport vond betrokkenheid van derden bij 48 procent van de datalekken, een stijging ten opzichte van 30 procent in de vorige editie. De periode loopt van oktober 2024 tot november 2025 en beslaat 145 landen.

Op het eerste gezicht lijken 48 procent en 69 procent elkaar tegen te spreken. Dat is niet zo. Verizon vraagt bij hoeveel datalekken een derde partij betrokken was. Kroll vraagt hoeveel mensen via een derde partij zijn getroffen. Omdat incidenten met derden meestal groter zijn, is het aandeel mensen hoger dan het aandeel datalekken. Beide cijfers kunnen tegelijk waar zijn, en samen zeggen ze meer dan elk afzonderlijk.

Gezamenlijk laten ze twee trends zien. Betrokkenheid van derden bij datalekken stijgt snel, en de datalekken waarbij een derde partij betrokken is, zijn groter. Een CISO die alleen incidentaantallen bijhoudt, onderschat de blootstelling. Een CISO die alleen het aantal getroffen personen bijhoudt, mist hoe gewoon het patroon is geworden.

Het 2026 Third-Party Breach Report van Black Kite voegt een nuttige waarschuwing toe over het bewijs dat leveranciers meestal leveren. Het registreerde 136 gebeurtenissen, 719 benoemde slachtoffers en ongeveer 26.000 niet-benoemde, met een mediane meldingsachterstand van 73 dagen. De gemiddelde leverancierscore was 90,27, maar toch had 53,77 procent van die leveranciers een kritieke kwetsbaarheid. Een hoge score en een ernstig zwakke plek kwamen in dezelfde populatie voor. Daarom kan een beoordeling alleen nooit het bewijs vervangen van hoe jouw gegevens zijn behandeld.

Het Leiderschapsverschil Waar Niemand Eigenaarschap Over Neemt

Het meest onthullende deel van Krolls enquête gaat niet over aanvallers. Het gaat over vertrouwen. Toen Kroll leiders vroeg hoe goed voorbereid ze zich voelden, zei 54 procent van de IT-leiders dat ze vertrouwen hadden. In de C-suite was dat 40 procent. Bij leiders op het gebied van risico en compliance slechts 30 procent.

Lees dat verschil als een signaal over wie het bewijs in handen heeft. De mensen die het dichtst bij de technologie staan, voelen zich het veiligst, en de mensen die verantwoording moeten afleggen aan toezichthouders, verzekeraars en besturen het minst. Complianceleiders zijn niet pessimistisch. Ze weten wat een auditor zal vragen, en ze weten dat het antwoord meestal in het systeem van de leverancier leeft, niet in dat van henzelf.

Kiteworks’ eigen jaarlijkse enquête wijst dezelfde kant op. Van 459 respondenten, ongeveer de helft in de EU en VK en allemaal zelfgerapporteerd, noemde slechts 14 procent een datalek via derden als hun grootste risico. Ondertussen gebruikt 54 procent vier of meer platforms om gevoelige content uit te wisselen, en heeft 73 procent geen technische handhaving op die kanalen. Slechts 4 procent draait op één uniform platform, en 19 procent heeft nooit getest of toegang van derden daadwerkelijk kan worden ingetrokken.

Sta stil bij dat laatste cijfer. Eén op de vijf organisaties heeft nooit bevestigd dat ze de toegang van een leverancier kunnen afsluiten. Als jouw leverancier op dinsdag wordt getroffen, is de eerste vraag van je CEO of je de verbinding kunt verbreken. “We denken van wel” is geen antwoord dat een bestuur accepteert, en een onderzoeker zal het niet vriendelijk noteren.

Noem dit het bewijsverschil. Het is de afstand tussen het vertrouwen dat je technologieafdeling rapporteert en het bewijs dat je complianceafdeling op verzoek kan aanleveren. Krolls drie cijfers, 54, 40 en 30, zijn een kaart van die afstand.

De Meldplicht Blijft Liggen

De zorg maakt de aansprakelijkheid concreet, want HIPAA schrijft precies voor wie wie moet informeren. Volgens 45 CFR 164.410 moet een business associate de verantwoordelijke partij zonder onredelijke vertraging en uiterlijk 60 kalenderdagen na ontdekking informeren over een datalek. De regel zegt ook dat een datalek wordt beschouwd als ontdekt zodra de business associate ervan op de hoogte is, en zodra een van zijn medewerkers of agenten ervan weet.

Kijk nu naar de volgende schakel in de keten. Volgens 45 CFR 164.404 informeert de verantwoordelijke partij de getroffen personen. Het falen van de leverancier verplaatst die plicht niet. Jij bent nog steeds de organisatie die patiënten horen, en jij bent nog steeds degene wiens notificatiebrieven toezichthouders lezen.

HHS behandelde een subtiel punt in haar commentaar uit 2013 in het Federal Register. Als een business associate optreedt als agent van de verantwoordelijke partij, wordt de kennis van een datalek bij de business associate toegerekend aan de verantwoordelijke partij. In dat geval kan de meldingsklok van de verantwoordelijke partij ingaan zodra de leverancier het datalek ontdekt, niet pas als de leverancier uiteindelijk de telefoon opneemt. Of een leverancier een agent is, hangt af van hoeveel controle jij uitoefent, dus het is een juridische vraag die je vóór een incident met juridisch advies moet beantwoorden, niet tijdens.

Dit is ook waar de HIPAA Security Rule-herziening het gesprek binnenkomt. De voorgestelde update is nog niet afgerond, en rapportage van HIPAA Journal geeft aan dat de definitieve actie is uitgesteld tot juli 2027. Wacht daar niet op. De bovenstaande meldingsregels gelden al, en je leveranciersbewijs moet nu klaar zijn. Voor meer achtergrond over de basis, zie Kiteworks’ overzicht van HIPAA-naleving.

Dezelfde logica geldt buiten de Verenigde Staten. Volgens UK GDPR Artikel 33 moet een verwerkingsverantwoordelijke de toezichthouder binnen 72 uur na kennisname van een datalek informeren, indien mogelijk. De PDPL van Saoedi-Arabië werkt ook met een 72-uurs melding aan de toezichthouder, en een consultatie die op 6 oktober 2026 is gestart, stelt voor dit aan te scherpen. Verslaggeving van Pinsent Masons meldt dat het concept de huidige schadegrens zou schrappen, opslag binnen het Koninkrijk zou vereisen en een reactieplicht van 20 werkdagen zou toevoegen. De consultatie sluit op 5 november 2026, en deze details komen uit secundaire bronnen, dus controleer de primaire tekst voordat je erop handelt. Het patroon is in elke rechtsbevoegdheid hetzelfde. De leverancier kan het datalek veroorzaken, maar de verwerkingsverantwoordelijke draagt de klok.

De Verzekeringssom

Verzekeraars hebben hetzelfde patroon opgemerkt. Verslaggeving in Insurance Business laat zien dat leveranciers de oorzaak waren van de grootste datalekken in de zorg in juni. Wanneer de grootste incidenten in een sector routinematig bij een leverancier beginnen, zullen verzekeraars vragen gaan stellen over jouw leveranciers.

Verwacht een paar verschuivingen. Aanvragen zullen onderzoeken hoe je leveranciers inventariseert die jouw data beheren. Bij verlenging zal gevraagd worden of je kunt aantonen wie toegang had tot wat, niet alleen of er een beleid bestaat. Claims zullen afhangen van hoe snel je gebeurtenissen kunt reconstrueren, want een claim die je niet kunt onderbouwen, wordt mogelijk niet uitgekeerd.

Verzekeringen nemen ook een bijzondere plek in in Krolls data. Ze stonden negende qua organisaties met een datalek en tweede qua getroffen personen. Verzekeraars en hun beheerders zijn ook aggregators, wat betekent dat de partij die jouw risico prijst, aan hetzelfde concentratie-effect wordt blootgesteld als jij.

De praktische les is dat de kosten van een leveranciersdatalek niet door de leverancier worden bepaald. Ze worden bepaald door hoe snel jij vier vragen kunt beantwoorden. Welke data had die leverancier? Wie autoriseerde de toegang? Wat is er in de afgelopen 90 dagen gedeeld? Kun je dat bewijzen? Elk antwoord komt uit je eigen administratie of uit de welwillendheid van de leverancier.

Bewijs Voordat de Leverancier Belt

De meeste organisaties behandelen risico’s van derden als een inkoopfunctie. Ze sturen een vragenlijst, verzamelen een SOC 2-rapport, archiveren de resultaten en gaan verder. Dat proces heeft waarde, maar het levert beweringen op over de omgeving van de leverancier. Het levert geen bewijs over de beweging van jouw data.

Dat onderscheid bepaalt wat je op de slechtste dag kunt doen. Een door de leverancier aangeleverde verklaring vertelt wat de leverancier zegt te doen. Je eigen logs laten zien wat er met jouw content is gebeurd. Tijdens een incident vertrouw je veel meer op die tweede bron dan op de eerste, en een toezichthouder ook.

Hier is de architectuur van gevoelige contentuitwisseling van belang. E-mail, bestandsoverdracht, SFTP, beheerde bestandsoverdracht, webformulieren en API’s zijn de routes waarlangs gereguleerde data jouw muren verlaat. Als elke route zijn eigen tools, beleid en logs heeft, wordt het samenstellen van een incidenttijdlijn een forensisch project. De enquêtecijfers van Kiteworks laten zien hoe vaak die fragmentatie voorkomt: 54 procent van de respondenten gebruikt vier of meer platforms.

Een control plane-benadering consolideert die routes. Kiteworks reguleert beveiligde e-mail, beveiligde bestandsoverdracht, SFTP, beheerde bestandsoverdracht, formulieren en API’s via één data policy engine, met RBAC– en ABAC-controles, één audit log en een verdedigbare chronologische documentatie. Het draait als een single-tenant hardened virtual appliance, zodat jouw data en sleutels niet worden vermengd met die van andere klanten. AI-agenten worden samen met menselijke gebruikers onder dezelfde beleidsregels beheerd, wat belangrijk is nu meer leveranciersprocessen worden geautomatiseerd.

Het principe erachter is eenvoudig. Als er iets misgaat bij een leverancier, is de vraag niet wat de leverancier wist. Het is wat jij kunt bewijzen over de content die je naar de leverancier hebt gestuurd, en onder welke regels. Een gereguleerd pad beantwoordt die vraag in minuten in plaats van weken.

De HIPAA minimum necessary rule hoort hier ook bij. Minder data naar een leverancier sturen, beperkt hoeveel mensen kunnen worden getroffen als die leverancier uitvalt. De concentratiebevinding van Kroll en het minimum necessary-principe wijzen dezelfde kant op. Beperk wat vertrekt, en wat vertrekt moet beleidsmatig worden gecontroleerd en gelogd.

Vijf Acties voor de Komende 90 Dagen

Een bevinding als die van Kroll kan te groot voelen om op te acteren. Dat is niet zo. Vijf acties passen binnen een kwartaal en leveren elk iets op dat je aan een auditor kunt tonen.

Actie 1. Rangschik leveranciers op hoeveelheid data, niet op contractwaarde. Maak een lijst van elke derde partij die gereguleerde of vertrouwelijke content beheert, en sorteer dan op het aantal personen of records dat ze beheren. De data van Kroll zegt dat de technologie- en verzekeringscategorieën als eerste aan de beurt zijn. Jouw grootste leverancier qua uitgaven en jouw grootste leverancier qua blootstelling zijn zelden hetzelfde bedrijf.

Actie 2. Test intrekking, niet alleen beleid. Kies je vijf risicovolste leveranciers en trek hun toegang in tijdens een gecontroleerde oefening. Leg vast hoe lang het duurde, wie erbij betrokken was en wat er misging. Negentien procent van de ondervraagde organisaties heeft dit nooit gedaan, en het is de goedkoopste manier om die groep te verlaten.

Actie 3. Beantwoord de agentvraag met juridisch advies. Bepaal per leverancier of de relatie als agentschap kan worden gezien. Als dat zo is, zegt het HHS-commentaar dat de kennis van de leverancier jouw kennis kan worden. Je incident response plan moet aangeven wanneer de meldingsklok begint onder elk scenario, en dat hoort thuis in je reactieplan voor incidenten.

Actie 4. Overbrug het leiderschapsverschil met één gedeeld overzicht. Zet het IT-perspectief en het complianceperspectief op één pagina. Laat zien welke uitwisselingen met derden door technische controles worden afgedwongen, welke alleen op beleid vertrouwen en welke geen logging hebben. Als 54, 40 en 30 een enkele lijst met benoemde gaten worden, verandert het vertrouwensverschil in een werkplan.

Actie 5. Consolideer de kanalen die gereguleerde data vervoeren. Breng elk pad in kaart dat wordt gebruikt om gevoelige content naar of van een derde partij te verplaatsen. Schaf de paden af die niemand beheert. Breng de rest onder één beleidssysteem en één log, zodat de volgende incidenttijdlijn een rapport is in plaats van een onderzoek. Voor gerelateerde programma’s, zie de richtlijnen van Kiteworks over vendor risk management en TPRM.

Doe deze vijf dingen en je volgende gesprek met het bestuur verandert. In plaats van uit te leggen hoe een leverancier jou heeft gefaald, kun je laten zien wat je wist, wat je onder controle had en hoe snel je hebt gereageerd.

Wat Je Je Bestuur Moet Vertellen

Als bestuurders vragen naar de kop van Kroll, geef ze drie zinnen. De meeste mensen die door datalekken worden getroffen, worden geraakt via leveranciers, niet via het bedrijf wiens naam op de brief staat. Onze wettelijke meldplicht blijft bij ons, zelfs als de leverancier schuld heeft. Onze verdediging is het bewijs dat we bezitten, en we meten en verbeteren dat volgens een planning.

Breng daarna het overzicht. Een lijst van leveranciers gerangschikt op blootstelling, een resultaat van een intrekkingstest en één tijdlijn van een gevoelige uitwisseling van begin tot eind doen meer dan welke maturiteitsscore dan ook. Besturen vertrouwen op wat ze kunnen controleren.

Tot slot een waarschuwing over de reikwijdte. Krolls casussen zijn een wereldwijde steekproef, en de respondenten van Kiteworks’ enquête zijn zelfgerapporteerd en neigen naar de EU en VK. Geen van beide datasets voorspelt wat er met jouw organisatie zal gebeuren. Ze laten wel zien dat de structuur van het risico is veranderd, en dat die structuur de organisaties beloont die hun eigen omgang met data kunnen documenteren.

Zie Het op Je Eigen Data

Kiteworks biedt beveiligings- en compliance-teams één gereguleerd pad voor gevoelige content, met één beleidssysteem en één audit log over e-mail, bestandsoverdracht, SFTP, beheerde bestandsoverdracht, formulieren en API’s. Wil je zien hoe een leveranciersdatalek-tijdlijn eruitziet als het bewijs al op één plek staat? Plan vandaag nog een demo op maat.

Aanvullende Bronnen

• Blog Post Zero Trust Architectuur: Nooit Vertrouwen, Altijd Verifiëren
• Video Microsoft GCC High: Nadelen die Defensie-aannemers naar Slimmere Voordelen Drijven
• Blog Post Hoe je Geclassificeerde Data Beveiligt Zodra DSPM het Signaleert
• Blog Post Vertrouwen Bouwen in Generatieve AI met een Zero Trust-aanpak
• Video De Definitieve Gids voor het Veilig Opslaan van Gevoelige Data voor IT-leiders