VPN gateways, firewalls and remote-access appliances sit on the internet by design. In the 2026 incident reports from Mandiant and Verizon, exploiting a vulnerability is the most common way in, and these devices are a favourite target. Four questions decide whether yours is the way in: who owns it, how fast it is patched, what it exposes, and how much a login opens. VPN-gateways, firewalls en apparaten voor toegang op afstand staan per definitie aan het internet. In de incidentrapporten van Mandiant en Verizon over 2026 is misbruik van een kwetsbaarheid de meest voorkomende ingang, en deze apparaten zijn een favoriet doelwit. Vier vragen bepalen of die van u de ingang is: wie er eigenaar van is, hoe snel hij wordt gepatcht, wat hij blootstelt, en hoeveel één inlog opent.
Servers have an owner, a patch cycle and endpoint protection. The firewall or VPN gateway was often installed by a supplier years ago. It runs its own operating system, sits outside the normal patch cycle, and cannot run your endpoint protection. Its logs usually stay on the box. Mandiant's M-Trends 2026 report finds that exploits were the most common way in for the sixth year running (32% of intrusions), and that attackers hide on edge devices precisely because those lack standard monitoring.
Business impact: the box nobody owns is the one still on an old version when the advisory comes out. The first step costs nothing: one list of every device facing the internet, with an owner's name, the version, and the vendor's end-of-support date. The Five Eyes guidance (February 2025) names that inventory, with support dates, as a baseline measure.
Servers hebben een eigenaar, een patchcyclus en endpointbeveiliging. De firewall of VPN-gateway is vaak jaren geleden door een leverancier geplaatst. Hij draait zijn eigen besturingssysteem, valt buiten de normale patchcyclus en kan uw endpointbeveiliging niet draaien. Zijn logs blijven meestal op het apparaat. Het M-Trends-rapport 2026 van Mandiant stelt dat exploits voor het zesde jaar op rij de meest voorkomende ingang waren (32% van de inbraken), en dat aanvallers zich juist op randapparatuur verschuilen omdat daar standaardmonitoring ontbreekt.
Bedrijfsimpact: de doos zonder eigenaar is de doos die nog op een oude versie staat als het beveiligingsadvies verschijnt. De eerste stap kost niets: één lijst met elk apparaat dat aan het internet staat, met de naam van een eigenaar, de versie en de einddatum van ondersteuning door de fabrikant. De Five Eyes-richtlijn (februari 2025) noemt die inventaris, met ondersteuningsdata, als basismaatregel.
Attackers scan the whole internet for a vulnerable model and version within hours of an advisory. Whether your box is on your list makes no difference to them.Aanvallers scannen binnen enkele uren na een advies het hele internet op een kwetsbaar model en versie. Of uw apparaat op uw lijst staat, maakt voor hen niets uit.
A leaked configuration backup of the box, fed to an AI tool, yields VPN accounts, internal addresses and firewall rules in minutes.Een uitgelekte configuratieback-up van het apparaat levert, door een AI-tool gehaald, in minuten VPN-accounts, interne adressen en firewallregels op.
Attack-surface tools, increasingly AI-assisted, list what the internet sees of you and match it to vendor advisories. A cheap way to build the list.Tools voor het aanvalsoppervlak, steeds vaker met AI, laten zien wat het internet van u ziet en koppelen dat aan adviezen van fabrikanten. Een goedkope manier om de lijst te maken.
When a vendor publishes a fix for a VPN or firewall, attackers start within days, and sometimes before the fix exists. In August 2025 NCSC-NL reported that several critical Dutch organisations had been breached through a Citrix NetScaler flaw since early May, seven weeks before Citrix published the patch. Verizon's 2026 Data Breach Investigations Report puts exploitation of vulnerabilities at 31% of breaches, up from 20% a year earlier, and finds that only 26% of known-exploited vulnerabilities were fully fixed, after a median of 43 days. A box past its end-of-life date never gets a fix.
Business impact: the monthly patch cycle is too slow for this class of device, and patching is not enough once a box was already exploited. NCSC-NL advises checking for compromise and resetting sessions as well, because the patch does not remove the intruder. Replacing a device before its end-of-support date is a budget line, not a surprise. From 11 December 2027 the CRA requires manufacturers to provide security updates for a support period of at least five years.
Als een fabrikant een fix publiceert voor een VPN of firewall, beginnen aanvallers binnen dagen, en soms al voordat de fix bestaat. In augustus 2025 meldde het NCSC dat meerdere kritieke Nederlandse organisaties sinds begin mei waren binnengedrongen via een lek in Citrix NetScaler, zeven weken voordat Citrix de patch publiceerde. Het Data Breach Investigations Report 2026 van Verizon zet misbruik van kwetsbaarheden op 31% van de datalekken, tegen 20% een jaar eerder, en stelt vast dat slechts 26% van de bekend misbruikte kwetsbaarheden volledig was verholpen, na een mediaan van 43 dagen. Een apparaat voorbij zijn einde levensduur krijgt nooit meer een fix.
Bedrijfsimpact: de maandelijkse patchcyclus is te traag voor dit soort apparaten, en patchen volstaat niet als een apparaat al is misbruikt. Het NCSC adviseert ook te controleren op compromittatie en sessies te resetten, omdat de patch de indringer niet verwijdert. Een apparaat vervangen vóór de einddatum van ondersteuning is een begrotingspost, geen verrassing. Vanaf 11 december 2027 vereist de CRA dat fabrikanten beveiligingsupdates leveren gedurende een ondersteuningsperiode van minimaal vijf jaar.
AI shortens the gap between a published advisory and a working exploit. Mandiant reports that the time to exploit keeps falling, with edge devices hit first.AI verkort de tijd tussen een gepubliceerd advies en een werkende exploit. Mandiant meldt dat de tijd tot misbruik blijft dalen, met randapparatuur als eerste doelwit.
An AI assistant that summarises advisories for the team can rate one as "low" that is actively exploited. Keep a human and the vendor's own severity in the loop.Een AI-assistent die adviezen voor het team samenvat, kan er een als "laag" beoordelen dat actief wordt misbruikt. Houd een mens en de ernstscore van de fabrikant zelf in de lus.
Tools match new vendor advisories to your inventory and open the change ticket automatically. The decision stays with people; the waiting disappears.Tools koppelen nieuwe adviezen van fabrikanten aan uw inventaris en openen automatisch het wijzigingsticket. De beslissing blijft bij mensen; het wachten verdwijnt.
Two settings decide how hard the box is to take. The first is the management interface, the page where the box is configured. It is often reachable from the whole internet, so one leaked password or one flaw in that page hands over the device. In June 2023 CISA ordered US federal agencies to take such interfaces off the internet within 14 days, and the Five Eyes guidance says the same for everyone. The second is the VPN login itself. A VPN account with only a password is one password guess away from the inside of your network, and that includes supplier accounts and service accounts.
Business impact: both are configuration choices, not purchases. The admin page is reachable only from an internal management network. Every remote login uses MFA, phishing-resistant where possible. And the box sends its logs to your monitoring, because it cannot run your endpoint protection and an intruder on the box can delete what stays there.
Twee instellingen bepalen hoe moeilijk het apparaat te veroveren is. De eerste is de beheerinterface, de pagina waarop het apparaat wordt ingesteld. Die is vaak vanaf het hele internet bereikbaar, zodat één uitgelekt wachtwoord of één lek in die pagina het apparaat overdraagt. In juni 2023 gaf CISA Amerikaanse overheidsdiensten de opdracht zulke interfaces binnen 14 dagen van het internet te halen, en de Five Eyes-richtlijn zegt hetzelfde voor iedereen. De tweede is de VPN-inlog zelf. Een VPN-account met alleen een wachtwoord staat één geraden wachtwoord af van de binnenkant van uw netwerk, en dat geldt ook voor leveranciersaccounts en serviceaccounts.
Bedrijfsimpact: beide zijn configuratiekeuzes, geen aankopen. De beheerpagina is alleen bereikbaar vanaf een intern beheernetwerk. Elke inlog op afstand gebruikt MFA, waar mogelijk phishingbestendig. En het apparaat stuurt zijn logs naar uw monitoring, omdat het uw endpointbeveiliging niet kan draaien en een indringer op het apparaat kan wissen wat daar blijft.
Password guessing against VPN portals runs at scale, with AI picking likely passwords per company and per vendor's login format.Wachtwoorden raden op VPN-portalen gebeurt op grote schaal, waarbij AI per bedrijf en per inlogformaat van de fabrikant de meest waarschijnlijke wachtwoorden kiest.
A cloned voice calls the helpdesk to reset an admin's MFA. Mandiant reports voice phishing as the second most common way in for 2025 (11%).Een gekloonde stem belt de helpdesk om de MFA van een beheerder te resetten. Mandiant meldt telefonische phishing als op één na meest voorkomende ingang in 2025 (11%).
Detection models flag a VPN login from a new country followed by admin activity within minutes. That only works if the box's logs leave the box.Detectiemodellen signaleren een VPN-inlog uit een nieuw land, gevolgd door beheeractiviteit binnen enkele minuten. Dat werkt alleen als de logs het apparaat verlaten.
A classic VPN gives a connected laptop a seat inside the network. Whoever holds that login, or breaks the box, is inside. Zero trust turns this around: access is granted per application, per user and per device check, and being "on the network" means nothing by itself. NIST describes the model in SP 800-207 (guidance, 2020). The practical gain is twofold: fewer boxes facing the internet, and a stolen login that reaches one application instead of everything. It is a programme, not a product. The VPN box often stays for years for the legacy systems that cannot move.
Business impact: the question for the board is not "do we buy zero trust" but "which applications still need the whole network opened, and by when do we shrink that list". A short list with dates is a reasonable ask of IT. Suggested timeline, not a legal deadline.
Een klassieke VPN geeft een verbonden laptop een plek binnen het netwerk. Wie die inlog heeft, of het apparaat kraakt, is binnen. Zero trust draait dit om: toegang wordt per applicatie, per gebruiker en per apparaatcontrole verleend, en "op het netwerk zitten" betekent op zichzelf niets. Het NIST beschrijft het model in SP 800-207 (richtlijn, 2020). De praktische winst is tweeledig: minder apparaten aan het internet, en een gestolen inlog die één applicatie bereikt in plaats van alles. Het is een programma, geen product. De VPN-doos blijft vaak nog jaren staan voor de oude systemen die niet mee kunnen.
Bedrijfsimpact: de vraag voor de directie is niet "kopen we zero trust" maar "welke applicaties hebben nog het hele netwerk nodig, en wanneer krimpt die lijst". Een korte lijst met data is een redelijke vraag aan IT. Voorgestelde tijdlijn, geen wettelijke deadline.
Once inside through the VPN, AI tooling maps a flat network and finds the valuable systems in minutes. Per-application access leaves far less to map.Eenmaal binnen via de VPN brengt AI-gereedschap een plat netwerk in minuten in kaart en vindt het de waardevolle systemen. Toegang per applicatie laat veel minder over om in kaart te brengen.
AI agents and integrations get handed VPN-style network access because it is quick. They deserve the same per-application door as a person.AI-agents en koppelingen krijgen VPN-achtige netwerktoegang omdat dat snel is. Zij verdienen dezelfde deur per applicatie als een mens.
Device health, location and behaviour, scored continuously, feed each access decision. That scoring is where AI earns its place in zero trust.Apparaatstatus, locatie en gedrag, doorlopend gescoord, voeden elke toegangsbeslissing. In die scoring verdient AI zijn plek binnen zero trust.
| Control | Addresses | In one line |
|---|---|---|
| Edge inventory | Owner (01) | Every internet-facing device, with owner, model, version and the vendor's end-of-support date. Reviewed every quarter. |
| Named owner | Owner (01) | One person accountable per box for patching and configuration. The supplier that installed it is not the owner. |
| Emergency patch lane | Patching (02) | Edge advisories skip the monthly cycle: assess the same day, patch within days, with a maintenance window agreed in advance. |
| Compromise check | Patching (02) | For an actively exploited flaw, assume the box was hit: run the vendor's or NCSC's checks, reset sessions and credentials. |
| Replace before end-of-life | Patching (02) | A date in the budget. A device past vendor support leaves the internet, whatever it still does internally. |
| Admin page off the internet | Exposure (03) | Management reachable only from an internal management network or through a separate, MFA-protected access gateway. |
| MFA on every remote login | Exposure (03) | Phishing-resistant where possible. Includes suppliers and service accounts. No shared VPN accounts. |
| Logs off the box | Exposure (03) | Central logging with alerts on admin logins and configuration changes. The box cannot run your endpoint protection. |
| Per-application access | Zero trust (04) | New remote access per application with a device check. The network-wide VPN shrinks to a dated list of legacy systems. |
| Maatregel | Pakt aan | In één zin |
|---|---|---|
| Inventaris van de rand | Eigenaar (01) | Elk apparaat aan het internet, met eigenaar, model, versie en de einddatum van ondersteuning door de fabrikant. Elk kwartaal nagelopen. |
| Eigenaar met naam | Eigenaar (01) | Eén persoon per apparaat die verantwoordelijk is voor patchen en configuratie. De leverancier die het plaatste, is niet de eigenaar. |
| Spoedprocedure voor patches | Patchen (02) | Adviezen over randapparatuur slaan de maandcyclus over: dezelfde dag beoordelen, binnen dagen patchen, met een vooraf afgesproken onderhoudsvenster. |
| Controle op compromittatie | Patchen (02) | Bij een actief misbruikt lek: ga ervan uit dat het apparaat is geraakt, draai de controles van de fabrikant of het NCSC, reset sessies en wachtwoorden. |
| Vervangen vóór einde levensduur | Patchen (02) | Een datum in de begroting. Een apparaat zonder ondersteuning van de fabrikant gaat van het internet af, wat het intern ook nog doet. |
| Beheerpagina van het internet | Blootstelling (03) | Beheer alleen bereikbaar vanaf een intern beheernetwerk of via een aparte, met MFA beveiligde toegangspoort. |
| MFA op elke inlog op afstand | Blootstelling (03) | Waar mogelijk phishingbestendig. Inclusief leveranciers en serviceaccounts. Geen gedeelde VPN-accounts. |
| Logs van het apparaat af | Blootstelling (03) | Centrale logging met meldingen bij beheerinlogs en configuratiewijzigingen. Het apparaat kan uw endpointbeveiliging niet draaien. |
| Toegang per applicatie | Zero trust (04) | Nieuwe toegang op afstand per applicatie, met apparaatcontrole. De netwerkbrede VPN krimpt tot een lijst oude systemen met data. |
The box is on the internet by design, and scanned by everyone. Exploiting a vulnerability is the most common way in, in both the Mandiant and the Verizon 2026 reports, and edge devices are a favourite target.Het apparaat staat per definitie aan het internet en wordt door iedereen gescand. Misbruik van een kwetsbaarheid is de meest voorkomende ingang, in zowel het Mandiant- als het Verizon-rapport over 2026, en randapparatuur is een favoriet doelwit.
A breached edge device is a foothold inside the network. It is how ransomware and data theft often start, and it can become a notifiable incident.Een gekraakt randapparaat is een voet tussen de deur van het netwerk. Zo beginnen ransomware en datadiefstal vaak, en het kan een meldplichtig incident worden.
Zero-days remain. With an owner, fast patching, the admin page off the internet, MFA and logs off the box, a hit is rarer, shorter and reaches less.Zero-days blijven bestaan. Met een eigenaar, snel patchen, de beheerpagina van het internet, MFA en logs van het apparaat af is een treffer zeldzamer, korter en bereikt hij minder.
The CISO owns the policy; the head of infrastructure owns each box by name. If that second name is missing, that is the finding.De CISO is eigenaar van het beleid; het hoofd infrastructuur is bij naam eigenaar van elk apparaat. Ontbreekt die tweede naam, dan is dat de bevinding.
Internet-facing devices without a named owner · days from a critical edge advisory to patch · devices past vendor support · % of remote logins with MFA.Apparaten aan het internet zonder eigenaar met naam · dagen tussen een kritiek advies over randapparatuur en de patch · apparaten voorbij de ondersteuning van de fabrikant · % inlogs op afstand met MFA.
“An unpatched, end-of-life or exposed internet-facing appliance (VPN, firewall, gateway) is exploited and gives an attacker a foothold in the internal network, which can lead to ransomware, data theft and a notifiable incident.”“Een ongepatcht, verouderd of blootgesteld apparaat aan het internet (VPN, firewall, gateway) wordt misbruikt en geeft een aanvaller een voet tussen de deur van het interne netwerk, wat kan leiden tot ransomware, datadiefstal en een meldplichtig incident.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | NIS2 requires security in the acquisition and maintenance of systems, including vulnerability handling (Art. 21(2)(e)), asset management (Art. 21(2)(i)) and MFA where appropriate (Art. 21(2)(j)). In the Netherlands this runs through the Cyberbeveiligingswet, in force since 15 August 2026. | Ask which of their devices face the internet for your service, how many days they take to patch an actively exploited flaw, and whether their remote access uses MFA. | A breach through an edge device can count as a significant incident if it meets the thresholds. Early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. |
| DORA | The RTS on ICT risk require an asset inventory that records the end dates of vendor support (Art. 4) and vulnerability and patch management with set timeframes (Art. 10). DORA has applied since 17 January 2025. | The gateway in front of your service belongs to an ICT third party in your register. Ask for its patch timelines and end-of-support dates. | Classify promptly. Initial notification within 4 hours of classifying it as major (at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month. |
| SOC 2 | Criterion CC6.6 covers protecting against threats from outside the system boundary, which is where the firewall and VPN live. CC7.1 covers detecting new vulnerabilities and configuration changes. | Check that boundary devices are in scope and tested, not only described. Check whether the hosting provider underneath is carved out of the report. | An exploited or unpatched boundary device in scope will likely appear as an exception in the next report. |
| ISAE 3402 | The focus is financial reporting. The firewall and VPN appear only as general IT controls where they protect the financial process. | The report rarely names device versions or end-of-support dates. Ask for them in the contract instead. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | NIS2 vraagt beveiliging bij de aanschaf en het onderhoud van systemen, inclusief de omgang met kwetsbaarheden (art. 21 lid 2 onder e), beheer van bedrijfsmiddelen (art. 21 lid 2 onder i) en MFA waar passend (art. 21 lid 2 onder j). In Nederland loopt dit via de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026. | Vraag welke van hun apparaten voor uw dienst aan het internet staan, hoeveel dagen zij nodig hebben om een actief misbruikt lek te patchen, en of hun toegang op afstand MFA gebruikt. | Een inbraak via een randapparaat kan als significant incident gelden als het de drempels haalt. Vroegtijdige waarschuwing binnen 24 uur na ontdekking, incidentmelding binnen 72 uur, eindverslag binnen een maand. |
| DORA | De RTS over ICT-risico vragen een inventaris van bedrijfsmiddelen met de einddata van ondersteuning door de leverancier (art. 4) en kwetsbaarheids- en patchbeheer met vaste termijnen (art. 10). DORA geldt sinds 17 januari 2025. | De gateway vóór uw dienst hoort bij een ICT-derde in uw register. Vraag naar zijn patchtermijnen en einddata van ondersteuning. | Classificeer snel. Eerste melding binnen 4 uur na classificatie als ernstig (uiterlijk 24 uur na ontdekking), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand. |
| SOC 2 | Criterium CC6.6 gaat over bescherming tegen dreigingen van buiten de systeemgrens, en daar staan de firewall en de VPN. CC7.1 gaat over het ontdekken van nieuwe kwetsbaarheden en configuratiewijzigingen. | Controleer of de apparaten op de grens binnen scope vallen en zijn getest, niet alleen beschreven. Controleer of de onderliggende hostingleverancier buiten het rapport is gelaten. | Een misbruikt of ongepatcht grensapparaat binnen scope komt waarschijnlijk als afwijking in het volgende rapport. |
| ISAE 3402 | De focus ligt op de financiële verslaggeving. De firewall en de VPN komen alleen voor als algemene IT-beheersmaatregelen waar ze het financiële proces beschermen. | Het rapport noemt zelden apparaatversies of einddata van ondersteuning. Vraag daar in het contract naar. | ISAE 3402 schept geen meldplicht aan de auditors van gebruikers. Verwacht een afwijking in het volgende rapport en vraag in het contract om tussentijdse melding. |
Checked against: Mandiant M-Trends 2026 (2026), Verizon DBIR 2026 (2026), NCSC-NL Citrix case (13 Aug 2025), Five Eyes edge-device guidance ITSM.80.101 (Feb 2025), CISA BOD 23-02 (June 2023), NIST SP 800-207 (Aug 2020), NIS2 Art. 21 and 23, DORA Art. 19 and RTS (EU) 2024/1774 Art. 4 and 10, CRA Art. 13 and 71, NCSC-NL (Aug 2026), AICPA Trust Services Criteria CC6.6 and CC7.1 (2017, points of focus 2022) · October 2026.
Gecontroleerd tegen: Mandiant M-Trends 2026 (2026), Verizon DBIR 2026 (2026), NCSC casus Citrix (13 aug 2025), Five Eyes-richtlijn randapparatuur ITSM.80.101 (feb 2025), CISA BOD 23-02 (juni 2023), NIST SP 800-207 (aug 2020), NIS2 art. 21 en 23, DORA art. 19 en RTS (EU) 2024/1774 art. 4 en 10, CRA art. 13 en 71, NCSC (aug 2026), AICPA Trust Services Criteria CC6.6 en CC7.1 (2017, aandachtspunten 2022) · oktober 2026.