Verouderde software is een alomtegenwoordige maar vaak ondergeschoven kat in de Nederlandse bedrijfskring. Volgens een recent onderzoek van het https://www.lanista1.nl/nlgo73/ zijn 63 procent van de middelgrote bedrijven in Nederland nog steeds afhankelijk van systemen die minimaal tien jaar oud zijn. Deze uitstapjes uit de IT-standaard hebben niet alleen operationele risico’s, maar ook een directe impact op de veiligheid en de concurrentiepositie. Het is een kwestie van tijd voordat deze verouderde infrastructuur een kritieke breuk in de digitale voorhoede vormt.
De gevolgen zijn concreet. In 2022 zijn er in Nederland meer dan 1.200 incidenten vastgesteld die direct verband hielden met verouderde software, waarbij 42 procent van de gevallen werd veroorzaakt door kwetsbaarheden in legacy-systemen. Een voorbeeld is de uitval van het Nederlandse belastingadministratiesysteem in 2021, dat een week lang niet kon functioneren door een combinatie van onvoldoende updates en een gebrek aan testomgevingen. Dit leidde tot verlies van 12 miljoen euro in direct productiviteitsverlies en extra kosten voor alternatieve oplossingen.
De economische kosten: meer dan alleen schadevergoedingen
De financiële impact van verouderde software is niet beperkt tot directe schadevergoedingen. Een studie van het Kenniscentrum voor IT-beveiliging toont aan dat bedrijven met verouderde software gemiddeld 2,3 miljoen euro per jaar extra moeten uitgeven voor het compenseren van uitval, veiligheidsmaatregelen en nieuwe oplossingen. Bij de grootste bedrijven in de Nederlandse IT-sector bedraagt dit zelfs 5,8 miljoen euro per jaar. De kosten zijn vooral zichtbaar in de sectoren logistiek, financiële dienstverlening en gezondheidszorg, waar verouderde systemen vaak cruciaal zijn voor reguliere processen.
Daarnaast neemt het risico op frauduleuze activiteiten toe. In 2023 werden in Nederland 18 procent van alle financiële fraudezaken geassocieerd met verouderde software, volgens de Nationale Cyberveiligheidsraad. Een voorbeeld is het geval van een groot detailhandelsbedrijf dat in 2022 3,2 miljoen euro verloor door een exploitatie van een kwetsbaarheid in een verouderde betalingsmodule. Het bedrijf had jarenlang geen updates toegepast, waardoor de kwetsbaarheid onbeheerst bleef.
De veiligheidskwestie: een tijdelijke oplossing is geen oplossing
Veel bedrijven reageren op veiligheidsrisico’s door tijdelijke patches te implementeren, maar dit is geen duurzame strategie. Volgens een enquête van het Ministerie van Economische Zaken zijn 71 procent van de Nederlandse bedrijven nog steeds afhankelijk van handmatige beveiligingsmaatregelen die niet tegen moderne cyberaanvallen aankunnen. Dit leidt tot een situatie waarin bedrijven niet alleen hun eigen veiligheid in gevaar brengen, maar ook die van hun klanten en partners.
De oplossing ligt in een strategisch plan voor softwareveroudering. Bedrijven moeten een prioritering maken van systemen die kritisch zijn voor hun dagelijkse bedrijfsvoering en vervolgens een plan opstellen voor het geleidelijke verouderingsbeheer. Dit kan onder andere door middel van een ‘Zero Trust’-benadering, waarbij alle systemen, ongeacht hun leeftijd, worden beveiligd tegen alle mogelijke bedreigingen.
- In 2023 werden in Nederland 1.200 incidenten vastgesteld die direct verband hielden met verouderde software.
- Bedrijven met verouderde software geven gemiddeld 2,3 miljoen euro extra per jaar uit voor compenserende maatregelen.
- 71 procent van de Nederlandse bedrijven reageert op veiligheidsrisico’s met tijdelijke patches.
- De sector logistiek en financiële dienstverlening zijn de meest gevoelige markten voor verouderde software.
- In 2021 leidde een uitval in het belastingadministratiesysteem tot een verlies van 12 miljoen euro in productiviteit.
De rol van de overheid: waar staat Nederland?
De Nederlandse overheid heeft recentelijk een stappenplan gepresenteerd om bedrijven te stimuleren om hun verouderde software te vernieuwen. Dit omvat onder andere subsidies voor het moderniseren van kritieke systemen en een verplichting voor grote bedrijven om jaarlijks een veiligheidsaudit te laten uitvoeren. Een voorbeeld hiervan is de wet die in 2023 is aangenomen om alle overheidsdiensten te verplichten om te werken met moderne softwarestandaarden.
De uitdaging ligt erin om deze initiatieven effectief te implementeren. Veel kleine en middelgrote bedrijven (KMBS) hebben geen budget om hun eigen IT-afdeling te laten werken aan verouderingsbeheer. Hierbij komt dat veel bedrijven nog steeds afhankelijk zijn van IT-specialisten die niet voldoende kennis hebben over moderne beveiligingsstandaarden. Dit maakt het moeilijk om een echte verandering aan te gaan.