Minister: beperkte impact SharePoint-kwetsbaarheden, onderzoek Citrix-aanval OM loopt
Op 23 september 2025 heeft minister Van Oosten van Justitie en Veiligheid de Tweede Kamer geïnformeerd over recente cyberincidenten bij de rijksoverheid. In zijn antwoorden op Kamervragen van Barbara Kathmann (GroenLinks-PvdA) en Jesse Six Dijkstra (NSC) ging de minister in op twee actuele kwesties: kwetsbaarheden in Microsoft SharePoint Server en aanvallen via Citrix Netscaler.
Beperkte gevolgen SharePoint
De kwetsbaarheden in de on-premise versie van Microsoft SharePoint Server bleken slechts beperkte gevolgen te hebben voor de Nederlandse overheid en samenleving. Uit voorzorg haalde de rijks-ICT-dienst SSC-ICT de digitale samenwerkingsruimten tijdelijk offline. Sinds 24 juli 2025 zijn deze weer beschikbaar.
Voor gemeenten en andere medeoverheden was de impact gering. Zij gebruiken meestal de cloudvariant van SharePoint, en die is niet getroffen door de specifieke kwetsbaarheden.
Onderzoek naar Citrix-aanval
Voor de kwetsbaarheden in Citrix Netscaler is het beeld ernstiger. Het Openbaar Ministerie (OM) moest systemen tijdelijk offline halen. Ook bij enkele andere rijksorganisaties zijn sporen van compromittering aangetroffen.
Volgens de minister zijn inmiddels mitigerende maatregelen genomen en loopt nader onderzoek. Vooralsnog zijn er geen aanwijzingen dat andere overheidsinstellingen getroffen zijn.
Het Nationaal Cyber Security Centrum (NCSC) ondersteunde betrokken organisaties met adviezen, waaronder patches, detectiescripts en zogenoemde Indicators of Compromise (IoC’s).
Dreigingsinformatie en statelijke actoren
Microsoft koppelde de Citrix-aanvallen aan Chinese actoren. Minister Van Oosten benadrukte echter dat het kabinet bij attributie altijd uitgaat van eigenstandige informatie. Cyberdreigingen van statelijke actoren staan structureel op de agenda, zoals beschreven in het Dreigingsbeeld Statelijke Actoren 2025.
Nieuwe Cyberbeveiligingswet versterkt uitwisseling
Met de aanstaande Cyberbeveiligingswet wordt de uitwisseling van dreigingsinformatie tussen het NCSC en zowel publieke als private partijen versterkt. Computer Security Incident Response Teams (CSIRTs) krijgen hierbij een expliciete taak om signalen sneller en breder te delen.
Ook initiatieven als het Cyberweerbaarheidsnetwerk en Cyclotron moeten zorgen voor betere samenwerking en een vlottere verspreiding van waarschuwingen.
Meer TLP:CLEAR-rapporten
De minister ging tevens in op de publicatie van een NCSC-rapport over de Russische actor Laundry Bear. Dit rapport werd met de classificatie TLP:CLEAR openbaar gemaakt en positief ontvangen.
Volgens de minister zullen vaker rapporten onder TLP:CLEAR verschijnen, zodat organisaties hun digitale weerbaarheid verder kunnen versterken. Deze classificatie binnen het Traffic Light Protocol (TLP) houdt in dat de informatie wereldwijd en zonder beperkingen gedeeld mag worden, omdat het risico op misbruik minimaal is.
Conclusie
De recente incidenten laten zien dat de rijksoverheid voortdurend alert moet blijven op digitale dreigingen. De impact van de SharePoint-kwetsbaarheden was beperkt, maar de aanvallen via Citrix Netscaler tonen aan dat kwetsbaarheden in cruciale systemen directe gevolgen kunnen hebben. Met structurele maatregelen, betere samenwerking en meer open dreigingsinformatie zet de overheid stappen om de weerbaarheid te vergroten.