Bijna dertig jaar lang was beveiliging gebaseerd op één simpel idee: als iets zich binnen het netwerk bevond, was het waarschijnlijk veilig. Firewalls trokken de grens, waardoor alles daarbuiten als een bedreiging werd beschouwd en alles binnenin als betrouwbaar. Die aanpak was logisch toen data in bedrijfsdatacenters werden opgeslagen en mensen vanuit kantoor werkten.
Die wereld bestaat niet meer. Tegenwoordig draaien je workloads op meerdere cloudproviders, AI-agents loggen in op gevoelige applicaties met beheerdersrechten, en aannemers en geautomatiseerde systemen vormen nu een groot deel van iedereen die toegang nodig heeft. De oude grens bestaat eigenlijk niet meer.
Waarom voelt 2026 dan anders aan dan de geleidelijke veranderingen die eraan voorafgingen? Omdat de regels nu pas echt van kracht worden en de deadlines voor naleving naderen. Aanvallers hebben zich al verplaatst naar een wereld waarin identiteit het doelwit is, terwijl zwakke, verouderde cryptografie zich blijft opstapelen als een stille cryptografische schuld. Deze blog bundelt geverifieerde richtlijnen van NIST, NSA, CISA, Gartner, Forrester en de Cloud Security Alliance. Het doel is simpel: laten zien wat er verandert en waar u dit jaar actie op moet ondernemen.
Nulvertrouwen wordt de norm.
De meeste beveiligingsteams hebben Zero Trust al jaren in hun plan staan. Wat er in 2026 is veranderd, is dat het een regel wordt in plaats van slechts een doelstelling. Dat is belangrijk, want je kunt een doelstelling uitstellen, maar een regel niet.
Wat NIST vraagt: NIST SP 800-207 (Zero Trust Architecture, 2020) biedt de belangrijkste Amerikaanse richtlijnen voor Zero Trust. De kernprincipes zijn eenvoudig: verleen geen impliciet vertrouwen op basis van netwerklocatie, evalueer toegang per sessie, neem beleidsbeslissingen op basis van factoren zoals identiteit en apparaatstatus, en monitor en herzie het vertrouwen continu. In 2023 publiceerde NIST SP 800-207A om te laten zien hoe deze principes van toepassing zijn op cloud-native applicaties, waarbij de nadruk ligt op identiteit, workloadauthenticatie en op beleid gebaseerde toegang in plaats van netwerklocatie. De richtlijnen zelf zijn duidelijk en gedetailleerd; de echte uitdaging is om ze consistent te implementeren in de dagelijkse praktijk.
De druk op compliance: juist die kloof vormt de kern van de druk. Voor Amerikaanse federale instanties, en met name voor gereguleerde sectoren, verschuift Zero Trust van een wenselijke optie naar een vereiste. Gartner voorspelt dat organisaties die hun beveiligingsinvesteringen baseren op een Continuous Threat Exposure Management (CTEM)-programma in 2026 drie keer minder kans hebben op een datalek. Het is een toekomstgerichte voorspelling en analisten merken op dat de resultaten nog worden gemeten, maar de richting is duidelijk.
Waarom gedeeltelijke Zero Trust riskant is. Eén waarschuwing verdient het om duidelijk te worden gesteld: Zero Trust halfslachtig implementeren kan erger zijn dan het helemaal niet te doen. Als je externe toegang blokkeert, maar alles binnenin nog steeds vertrouwt, is het gebied dat een aanvaller kan bereiken niet echt kleiner geworden. Zero Trust is geen product dat je inschakelt en vervolgens vergeet; het is een aanpak die je continu moet evalueren naarmate gebruikers, applicaties en bedreigingen veranderen. De basis voor vertrouwen moet ergens anders naartoe verschuiven.
Machines vormen de nieuwe perimeter.
Nu de oude grens is verdwenen, moet er iets nieuws komen dat de controle over gebruikers, apparaten, cloudservices en machines overneemt. Dat nieuwe controlepunt is identiteit. Gartner plaatst in zijn dreigingsrapport voor 2026 identiteitsgebaseerde beveiliging en Zero Trust Network Access centraal in de strijd tegen sessiekaping en gestolen inloggegevens. De cijfers achter deze verschuiving zijn opvallend.
De Cloud Security Alliance heeft bevestigd wat veel teams al vermoedden: in cloudomgevingen zijn machine-identiteiten nu vele malen talrijker dan menselijke identiteiten, volgens sommige schattingen zelfs 100 keer zo talrijk . Serviceaccounts, API-sleutels en andere machinegegevens stapelen zich snel op. De CSA noemt onveilige machine-identiteiten en -toegangsrechten het grootste cloudrisico in 2026. Aanvallers zijn dol op serviceaccounts omdat deze vaak brede toegang bieden en veel minder aandacht krijgen dan menselijke accounts. De oplossing is eenvoudig te zeggen, maar moeilijk te realiseren: stop met het gebruik van statische sleutels met een lange levensduur, ga over op identiteitsgebaseerde, kortstondige gegevens en pas het principe van minimale bevoegdheden toe op machines, net zoals je dat doet voor beheerders.
Agentische AI ​​maakt dit nog lastiger. Dit zijn geen simpele chatbots, maar systemen die zelfstandig handelen, taken uitvoeren, gegevens lezen, code uitvoeren en vaak tegelijkertijd beheerdersrechten hebben op meerdere systemen. U moet elke AI-agentidentiteit, of deze nu inkomend, uitgaand of intern is, met dezelfde zorg behandelen als elk ander bevoorrecht account. CSA ontdekte dat 92% van de beveiligingsmanagers zich zorgen maakt over de impact van AI-agenten op hun beveiliging. En het is gemakkelijk te begrijpen waarom. Eén agent met te veel bevoegdheden kan een aanvaller in staat stellen om met machinesnelheid gegevens op te halen zonder ooit een menselijk wachtwoord te stelen.
Dit bereikte al snel het overheidsniveau. Op 1 mei 2026 publiceerden zes instanties (CISA en NSA in de VS, plus partners in Australië, Canada, het VK en Nieuw-Zeeland) gezamenlijk "Careful Adoption of Agentic AI Services" . Dit is de eerste gecoördineerde richtlijn voor meerdere landen die specifiek gericht is op AI-agenten. De boodschap was duidelijk: geef agenten geen brede of onbeperkte toegang en integreer ze in uw normale beveiligingsmodel in plaats van ze als een apart experiment te behandelen. De richtlijn benadrukt toegang met minimale privileges, netwerksegmentatie, continue monitoring, menselijk toezicht en de mogelijkheid om agenten snel te isoleren of uit te schakelen wanneer nodig.
Het probleem is dat de meeste organisaties nog niet aan die norm kunnen voldoen.
Na het kwantumtijdperk: de tijd dringt.
Geen enkele verandering wordt zo vaak afgedaan als een probleem voor het volgende decennium als post-kwantumcryptografie. NIST heeft zijn standaarden afgerond, de NSA heeft strikte deadlines gesteld en aanvallers verzamelen nu al versleutelde gegevens om die later te kraken en te lezen. De verschuiving is al begonnen en teams die nog niet zijn begonnen, lopen achter.
De standaarden zelf zijn nu definitief. In augustus 2024 publiceerde NIST drie voltooide post-kwantumstandaarden: ML-KEM ( FIPS 203 ) voor sleuteluitwisseling, ML-DSA ( FIPS 204 ) voor digitale handtekeningen en codeondertekening, en SLH-DSA ( FIPS 205 ) als een stateless hash-gebaseerde digitale handtekeningstandaard. Deze standaarden zijn daadwerkelijk in gebruik. Commerciële PKI- leveranciers ondersteunen ze, en veel grote technologie- en browseraanbieders gebruiken al hybride post-kwantumprotocollen in productie. NIST's IR 8547 , een eerste ontwerp, stelt een tijdlijn voor waarin klassieke algoritmen zoals RSA-2048 en ECC P-256 na 2030 zouden worden afgekeurd en na 2035 niet meer toegestaan ​​zouden zijn.
De NSA CNSA 2.0- suite, een afkorting voor Commercial National Security Algorithm Suite, werd in 2022 uitgebracht en stelt de regels vast voor Amerikaanse nationale veiligheidssystemen. Het vereist ML-KEM voor sleutelgeneratie en ML-DSA voor digitale handtekeningen, waarbij SLH-DSA is goedgekeurd voor bepaalde toepassingen. De implementatie verloopt gefaseerd in plaats van met één vaste einddatum. De NSA geeft prioriteit aan de migratie van nieuwe software, firmware en bootchain-ondertekening naar CNSA 2.0 zo snel mogelijk. Netwerkapparatuur zoals VPN's, firewalls en routers zouden rond 2026 moeten beginnen met de migratie en er vanaf 2030 volledig gebruik van moeten maken. De NSA verwacht dat CNSA 2.0 tegen 2035 de standaard zal zijn voor alle nationale veiligheidssystemen.
Ook als u geen federale contractant bent, bieden deze data een solide basis voor audits. Veel organisaties gebruiken de CNSA 2.0-routekaart als planningsreferentie, zelfs als dit geen wettelijke verplichting is.
Het principe van 'nu verzamelen, later decoderen' gebeurt al. Wat veel mensen over het hoofd zien, is dit: het gevaar schuilt niet alleen in het feit dat iemand ooit in realtime de encryptie kan kraken, maar ook in het feit dat aanvallers uw versleutelde gegevens nu al kopiëren en opslaan, met het plan om ze te decoderen zodra er een krachtige kwantumcomputer bestaat. Westerse inlichtingendiensten, waaronder de NSA, de Britse GCHQ en de Franse ANSSI, hebben allemaal gewaarschuwd dat staatsgroepen dit vandaag de dag al doen. Elke versleutelde websessie, VPN-tunnel of e-mail die wordt verzameld, kan later worden geopend. Als uw gegevens tien jaar of langer geheim moeten blijven, is deze dreiging nu al van toepassing op u.
Waar begin je dan? NIST, NSA en CISA zeggen allemaal hetzelfde: bouw systemen waarmee je algoritmes kunt wisselen zonder het hele platform opnieuw op te bouwen. Ontwerpen met het oog op verandering is geen vrijbrief om die verandering uit te stellen; het accepteert simpelweg dat de huidige standaarden voorlopig de beste zijn, maar niet voor altijd. Houd in de praktijk je algoritmekeuzes gescheiden van de applicatielogica, kies HSM's met post-quantumondersteuning die op hun roadmap staan, en zorg ervoor dat je certificaatbeheer op grote schaal nieuwe algoritmetypen kan uitgeven.
Elk plan begint op dezelfde manier, met een volledige cryptografische inventarisatie. Je kunt niet vervangen wat je niet in kaart hebt gebracht. En zelfs een volledig in kaart gebracht, cryptografisch flexibel systeem draait nog steeds op code die het niet zelf heeft geschreven, en dat is precies waar de volgende blinde vlek ontstaat.
De blinde vlek in de toeleveringsketen
Terwijl teams hun identiteitsbescherming versterken en post-kwantumcryptografie implementeren, heeft een derde front zich stilletjes een weg gebaand naar de verdediging. In 2021 voorspelde Gartner dat 45% van de organisaties tegen 2025 te maken zou krijgen met aanvallen op de softwareleveringsketen. Dat bleek een lage schatting te zijn: een brancheonderzoek uit 2024 schatte het percentage op 75%, een jaar eerder. Vanaf dat moment versnelde het tempo alleen maar en was de dreiging niet langer abstract. Honderdduizenden kwaadaardige open-sourcepakketten werden in 2025 gepubliceerd. In maart 2026 verspreidden aanvallers twee kwaadaardige versies van de populaire axios npm-bibliotheek via een gehackt beheerdersaccount.
Waarom is dit zo moeilijk? Omdat het niet hetzelfde is als leveranciersrisico. Richtlijnen in de branche maken hier een nuttig onderscheid: risico's in de softwareleveringsketen zijn niet hetzelfde als leveranciersrisicobeheer, en als je ze door elkaar haalt, loop je risico's. Leveranciersrisico's hebben betrekking op de bedrijven waarmee je zaken doet, hun beveiliging, contracten en incidentrespons. Aanvallen in de leveringsketen richten zich op de build- en leveringspipeline die je gebruikt om je eigen software te maken. Een afhankelijkheid of upstream-beheerder die je nooit formeel hebt gecontroleerd, kan een beveiligingslek in een pakket stoppen dat je app al vertrouwt.
Het antwoord hierop is het scannen van de open-source componenten waarvan je afhankelijk bent, ze vastzetten op bekende, betrouwbare versies, verifiëren wat er uit je build komt en een register bijhouden van de AI-componenten in je software. Toeleveringsketens bleven een vertrouwde zone die buiten het overal toegepaste Zero Trust-principe viel. Die lacune wordt door aanvallers steeds weer benut. Als verdedigers zich het langzaamst hebben aangepast aan de toeleveringsketens, dan is het security operations center (SOC) nu de plek waar ze zich het snelst ontwikkelen, en AI is daar de reden voor.
AI treedt toe tot het SOC
AI in het security operations center is allang voorbij het demonstratiestadium. Tegen 2026 zal het daadwerkelijk werk verrichten in het hele incidentresponsproces, en niet alleen waarschuwingen op een dashboard weergeven. Dat biedt echte voordelen, maar ook één specifiek nieuw risico dat het vermelden waard is.
Het federale beleid loopt al achter: het duidelijkste voorbeeld is CISA BOD 26-04 , uitgegeven op 10 juni 2026 ("Prioriteren van beveiligingsupdates op basis van risico"). Deze vervangt de eerdere vaste hersteltermijnen in BOD 22-01 door een risicogebaseerd prioriteringsmodel. De richtlijn houdt rekening met factoren zoals of een getroffen systeem publiekelijk toegankelijk is, of de kwetsbaarheid voorkomt in de catalogus van bekende, misbruikte kwetsbaarheden (KEV) , of exploitatie geautomatiseerd kan worden en de potentiële impact van een succesvolle aanval. Deze factoren bepalen de herstelprioriteit, waarbij kwetsbaarheden met het hoogste risico binnen drie dagen moeten worden verholpen, terwijl bevindingen met een lager risico formeel kunnen worden uitgesteld.
Belangrijk is dat de regel AI-gestuurde automatisering van exploits als een factor noemt. CISA schrijft beleid voor een wereld waarin AI een bug sneller kan misbruiken dan mensen deze kunnen verhelpen.
Aan de defensieve kant helpt AI nu bij het opsporen van bedreigingen, het prioriteren van waarschuwingen, het indammen van incidenten en het opruimen achteraf. Maar het risico is net zo reëel. Tijdens een Gartner-conferentie in 2026 werd een live voorbeeld getoond van een aanvaller die de eigen AI-assistent van een bedrijf gebruikte om met behulp van trefwoorden interne documenten te doorzoeken naar inloggegevens. Hij vond gevoelige toegang sneller dan een mens dat handmatig zou kunnen. Er was geen nieuwe kwetsbaarheid nodig; de aanvaller gebruikte simpelweg een vertrouwde tool die het bedrijf al bezat.
Het advies van Gartner is het onthouden waard: beschouw interne AI als de volgende generatie van schaduw-IT. Het ondermijnt uw beveiligingsmodel niet; het versnelt alleen de ontdekking van toegang die u nooit hebt opgeruimd. Die overlap, waarbij een toegangsprobleem tegelijkertijd een probleem met datalekken is, wijst op een grotere verschuiving die momenteel gaande is.
Privacy ontmoet beveiliging
Een subtiele verschuiving verbindt veel van deze zaken met elkaar. Privacybeheer en beveiligingsbeheer versmelten tot één raamwerk. De logica hierachter is praktisch, niet theoretisch. Privacyrisico's en beveiligingsrisico's bevinden zich nu op dezelfde plek. Een identiteitssysteem zonder Zero Trust is zowel een beveiligingslek als een privacyrisico. Een AI-agent met te veel toegang tot gegevens vormt tegelijkertijd een beveiligingsrisico en een juridische aansprakelijkheid. Een systeem dat gebruikmaakt van verouderde algoritmen bedreigt zowel de geheimhouding van gegevens als het vertrouwen.
Dit zijn geen afzonderlijke problemen die een kantoor delen. Het is hetzelfde probleem, bekeken vanuit twee perspectieven. Bedrijven die aparte programma's voor beveiliging en privacy hanteren, met aparte teams en aparte audits, merken dat die scheiding moeilijk te rechtvaardigen is. Een uniforme governance vermindert dubbel werk, dicht de blinde vlekken tussen programma's en geeft een beter beeld van de werkelijke risico's. Veel teams stappen ook over van geplande patchvensters naar een continue, geautomatiseerde aanpak voor het oplossen van ernstige problemen, zodat de beveiliging gelijke tred houdt met de ontwikkeling in plaats van achter te lopen. Dat zijn veel factoren om tegelijkertijd in de gaten te houden, en daarvoor is de onderstaande beknopte handleiding bedoeld.
Het spiekbriefje voor 2026
Een kort overzicht van de hierboven beschreven verschuivingen en wanneer deze plaatsvinden.
| Voorspelling | Timeline |
|---|---|
| De deadlines voor de implementatie van het federale Zero Trust-systeem naderen. | 2026 |
| Niet-menselijke identiteiten (ongeveer 100:1) vormen het primaire aanvalsoppervlak. | Nu actief |
| De Five Eyes-agentschappen publiceren gezamenlijke richtlijnen voor het beveiligen van AI met agentfuncties. | mei 2026 |
| CNSA 2.0 vereist voor nationale veiligheidssystemen | 2030-2035 |
| Het aftellen naar de uitfasering van RSA-2048 en ECC P-256 begint. | 2030 verder |
| Het aantal aanvallen op de softwareleveringsketen blijft toenemen. | 2026 verder |
| BOD 26-04 driedaagse patchregel voor kwetsbaarheden met het hoogste risico | Nu actief |
| Privacy- en cybersecuritygovernance vloeien operationeel samen. | 2026 verder |
Je volgende vijf zetten
De lijst met wijzigingen is lang. Hier volgt een eenvoudige volgorde, gebaseerd op de bovenstaande deadlines en bedreigingen.
Begin met een cryptografische inventarisatie. Breng elk certificaat, elke sleutel, elk algoritme, elke bibliotheek en elke ondertekeningssleutel in kaart voordat u met post-quantumwerk begint. Zonder deze inventarisatie kunt u uw risico op 'harvesting-now' niet inschatten of een realistische tijdlijn vaststellen. Het wordt bovendien steeds belangrijker voor audits.
Beheer machine-identiteiten zoals beheerdersaccounts. Pas het principe van minimale bevoegdheden toe op serviceaccounts, API-sleutels en AI-agents, vervang inloggegevens volgens een vast schema en let op ongebruikelijke toegang vanuit geautomatiseerde accounts. Dit is een snelle manier om risico's te verminderen, geen project van meerdere jaren.
Test je AI-agenten aan de hand van de zes controlemechanismen. Kun je elke agent beperken tot zijn doel? Kun je een agent die problemen veroorzaakt snel uitschakelen? Kun je de agent isoleren als er iets misgaat? Als het antwoord op een van deze vragen nee is, los dat dan eerst op voordat je meer agenten toevoegt.
Behandel code van derden als onbetrouwbaar verkeer: leg versienummers vast, controleer build-artefacten, vraag leveranciers om software-bill of materials en beoordeel welke software je pipeline standaard vertrouwt.
Plan uw cryptomigratie in fasen. Bescherm eerst de gegevens die lang bewaard moeten blijven, waar het risico op directe toegang het grootst is, vervolgens certificaathiërarchieën en codeondertekening, en daarna algemene TLS. Teams die nauw verbonden zijn met de federale overheid moeten de data van CNSA 2.0 per producttype in kaart brengen.
Hoe encryptieconsultancy kan helpen
Als het gaat om het in de praktijk brengen van al het bovenstaande, blijft de basis hetzelfde: een helder, nauwkeurig en actueel beeld van uw cryptografische status. Dat is precies wat de Encryption Advisory Services van Encryption Consulting bieden.
Onze adviesdiensten op het gebied van encryptie bieden u een onafhankelijke beoordeling van hoe uw organisatie cryptografie gebruikt. Het helpt u ook inzicht te krijgen in hoe uw sleutels worden gegenereerd, opgeslagen en geroteerd, welke algoritmen worden gebruikt, waar gevoelige gegevens wel en niet worden beschermd, en hoe dit alles aansluit op de normen en deadlines die in deze blog worden besproken. Vanuit die basis helpen we u bij het opstellen van een encryptiebeleid, het versterken van sleutelbeheer en -governance, het dichten van compliance-lacunes en het prioriteren van de werkzaamheden die het risico het snelst verminderen.
En wanneer u klaar bent om specifiek de post-quantum-tijdlijn aan te pakken, breiden onze post-quantum-adviesdiensten datzelfde werk uit naar een gefaseerd migratieplan dat is afgestemd op de CNSA 2.0- en NIST-regelgeving. Neem contact met ons op om uw encryptiestrategie en post-quantum-gereedheid te bespreken. Ontdek ons ​​volledige aanbod aan producten en diensten om te zien hoe wij uw organisatie kunnen beveiligen.
Conclusie
Wat er in 2026 echt veranderd is, is hoeveel en hoe vaak je moet verifiëren. Het antwoord is: meer, en continu, voor een veel bredere mix van gebruikers, machines en agents die twee jaar geleden nauwelijks bestond.
Zero Trust is nu een regel die compliance-teams beginnen te handhaven. Post-quantumstandaarden zijn definitief, de deadlines zijn bindend en de dreiging voor langlevende data is nu al reëel. Toeleveringsketens zijn een van de gevaarlijkste aanvalspaden geworden en AI werkt nu aan beide kanten van de strijd tegelijk.
De teams die 2026 goed zullen doorstaan, zullen niet de teams zijn met de meeste tools of de langste beleidslijnen. Het zullen de teams zijn die daadwerkelijk inzicht hebben in hun identiteiten, hun crypto-activa, hun softwareafhankelijkheden en hun AI. Zo weet je wat je beschermt en waar het risico zich bevindt. In 2026 is voorbereiding geen mijlpaal die je bereikt. Het is de enige manier om de confrontatie met de dreiging te overleven.
