Augustus 2025 · InnovAKT-inlichtingenanalyse
In juli 2025 kwamen zes jurisdicties er tegelijk achter.
Een gecoördineerde ransomwarecampagne liep door overheidssystemen op Aruba, Curaçao en Sint Maarten. Belastinginning, rechtspraak en parlementaire communicatie werden verstoord. Wij hebben er een volledige analyse van gepubliceerd — de tijdlijn hieronder komt daaruit.
6
jurisdicties
getroffen door één aanval op het Gemeenschappelijk Hof van Justitie
3+
overheidsinstanties
gecompromitteerd op meerdere eilanden binnen tien dagen
55%
van de OT-omgevingen
gebruikt vier of meer tools voor toegang op afstand — de weg die de campagne nam
- 22 juli
De waarschuwing
Het Openbaar Ministerie verbreekt de internetverbinding na NCSC-waarschuwingen over Citrix NetScaler.
- 24 juli
Dubbele afpersing
De belastingdienst van Curaçao wordt versleuteld terwijl het publieke aangifteportaal bewust blijft draaien.
- 24–25 juli
Alle zes tegelijk
Het Gemeenschappelijk Hof van Justitie wordt gecompromitteerd in alle zes Nederlands-Caribische jurisdicties.
- Eind juli
De verschuiving
De e-mailsystemen van het Arubaanse parlement worden het doelwit — inlichtingen vergaren, niet verstoren.
Onze conclusie was dat dit geen op zichzelf staand incident was maar een strategische verkenning: het leverde aanvallers een werkende kaart van regionale afhankelijkheden, gedeelde leveranciers en infrastructuur voor toegang op afstand. De getroffen systemen waren administratief. De toegangspaden die ze blootlegden lopen door naar operationele technologie.
Caribbean Ransomware Attacks — Advanced Intelligence Assessment and OT Security Implications. InnovAKT OT Cybersecurity Intelligence Team, augustus 2025. Cijfer over toegang op afstand: Claroty Team82.
De gids voor eilandoperators over cyberweerbaarheid.
Een gratis praktijkgids bij het boek No Mainland to Call van Mohammed Adel Saad.
Een nutsbedrijf op het vasteland kan weerbaarheid lenen. Een eiland moet die zelf in huis hebben.
The Island Operator’s Guide to Cyber Resilience verbindt de ransomwarecampagne van juli 2025 met de beslissingen die ertoe doen voor Caribische nutsbedrijven, havens en faciliteiten.
- Twaalf vragen om een gericht gesprek met uw operationele team te beginnen.
- Twee investeringsvolgordes om de juiste prioriteiten te stellen.
- Een stappenplan voor het eerste jaar om inzicht in risico’s om te zetten in concrete actie.
De weerbaarheid van uw eiland verdient meer dan een checklist. Begin met een gids die aansluit op de dagelijkse praktijk van uw bedrijfsvoering.
Uw exemplaar. Direct in uw inbox.
Vul uw naam en zakelijke e-mailadres in. U ontvangt namens Mohammed Saad van InnovAKT een automatische e-mail met de downloadlink.
Door de gids aan te vragen, vraagt u InnovAKT om u de downloadlink per e-mail te sturen. Wij gebruiken uw gegevens om deze aanvraag af te handelen en een gesprek te regelen als u daarvoor kiest. Privacybeleid (Engels).
Laadt het formulier niet? Open het beveiligde aanvraagformulier.
Waarom een eiland anders is
Één net, één gevolg
Er is geen koppeling om stroom van te importeren. Een incident in een regelsysteem bij een centrale, een onderstation of een brandstofterminal is een gebeurtenis voor het hele eiland, en black start is het herstelplan. Cyberrisico moet in die termen worden beschreven voordat iemand het op waarde kan schatten.
Alles hangt van alles af
Ontzilting is een elektrische belasting. De kranen van de haven en de verlichting van de luchthaven zijn elektrische belastingen. Het hotel draait op eigen opwekking tot het net terug is. Eén afhankelijkheidsketen loopt door het hele eiland, en meestal loopt er ook één korte lijst met leveranciers doorheen.
Het netwerk groeide zonder segmentatie, en de leveranciers vertrokken nooit
Installaties die project voor project zijn gebouwd, eindigen als één segment waar alles alles kan bereiken, met toegang op afstand die is geopend voor een inbedrijfstelling die jaren geleden is afgerond. Dat is geen nalatigheid. Het is wat er gebeurt als elk project apart wordt opgeleverd en niemand het geheel bezit.
IT en OT zijn hetzelfde handjevol mensen
Bij de meeste eilandbedrijven draagt hetzelfde kleine team beide al. Dat is geen convergentie — convergentie is een model. Wat ontbreekt zijn beslissingsbevoegdheden: wie keurt een wijziging aan een regelsysteem goed, wie is eigenaar van cyberrisico voor de productie, wie mag een leverancier toegang geven, en wie kondigt een incident af.
Het geld gaat naar de verkeerde plek
Een platform is makkelijk te kopen, makkelijk goed te keuren en makkelijk aan een directie te laten zien. De blootstelling die het eiland daadwerkelijk zou stilleggen, is vaker een toegangspad dat niemand in kaart heeft, een inventarisatie die er niet is, of een restore die nooit is getest — en die kosten een fractie van wat er in plaats daarvan wordt uitgegeven.
Directies, toezichthouders en financiers vragen er nu om
Verzekeraars, toezichthouders en de ontwikkelingsfinanciers achter nieuwe opwek-, water- en havencapaciteit willen steeds vaker aantoonbare weerbaarheid in plaats van een beleidsdocument. Een programma dat meetbaar is, is veel eenvoudiger te verdedigen dan een programma dat dat niet is.
Het operationele model van het eiland
Weerbaarheid begint bij de hele bedrijfsvoering.
Het cyberrisico van een nutsbedrijf reikt verder dan de eigen systemen. Dit model verbindt operationele beperkingen met essentiële diensten en laat zien hoe samenwerking de vaardigheden en het eigenaarschap binnen het eigen team kan versterken.
Waar het budget heen gaat
Dezelfde zes budgetregels, in twee verschillende volgordes.
Links ongeveer de volgorde waarin deze worden gekocht — het makkelijkst goed te keuren eerst. Rechts de volgorde waarin ze het eiland zouden stilleggen. De twee zijn bijna omgekeerd: zo ziet investeren in de verkeerde richting eruit op een begroting.
Niets op deze lijst is verkeerd om te hebben. De vraag is alleen wat als eerste wordt gefinancierd, en een platform is veel makkelijker aan een directie voor te leggen dan een toegangsreview.
Wat wij leveren
Acht capaciteiten, als één programma of stuk voor stuk.
Genoemd zoals een koper ernaar zoekt. Elk wordt geleverd via de InnovAKT-diensten erachter, en elk is afzonderlijk af te bakenen.
NIS2 en het plan van het Koninkrijk
NIS2 en de eilanden: de reikwijdte telt.
Het NCSC-bouwplan van juli 2025 voor een Cyberweerbaarheidsnetwerk binnen het Koninkrijk maakt onderscheid tussen Caribisch Nederland — Bonaire, Sint Eustatius en Saba — en de autonome landen Aruba, Curaçao en Sint Maarten. Het stelt dat NIS2 niet van toepassing is op Caribisch Nederland en dat EU-wetgeving niet automatisch geldt in de autonome landen. Lokale wetgeving en contractuele verplichtingen moeten afzonderlijk worden beoordeeld. Het plan stelt vier fasen tot en met 2029 voor, onder de daarin genoemde voorwaarden; fase drie vergelijkt Caribische capaciteiten met Nederlandse maatstaven. Deze planningsdata zijn geen wettelijke termijnen.
Waarom dit een argument is om nu te handelen
Wie op een verplichting wacht, gaat de vergelijking in fase drie in met wat er toevallig ligt. Wie vrijwillig naar NIS2-gelijkwaardige praktijk toewerkt, gaat die in met bewijs — en kan meepraten over hoe de pijlers eruitzien in plaats van ze te ontvangen.
Het plan zegt ook iets waar InnovAKT het mee eens is: wat de eilanden nodig hebben is technische ondersteuning, personele capaciteit, training en oefeningen — capaciteit, geen inkoop. Dat is hetzelfde punt dat wij op deze pagina maken, en zo bakenen wij een opdracht af.
Vier reviews die u daar brengen
In alle vier is de rol van InnovAKT: toetsen, onderbouwen en adviseren. De verplichting onder een norm, regel of contract blijft bij u, en niets in een opdracht verplaatst die.
Bron: Bouwplan Cyberweerbaarheidsnetwerk, bijlage Caribisch gebied — NCSC, Nederland
IT en OT
Bij een klein bedrijf is convergentie niet het probleem. Verantwoordelijkheid wel.
Het gebruikelijke convergentiegesprek gaat uit van twee organisaties die bij elkaar moeten worden gebracht. Bij de meeste eilandbedrijven zijn er geen twee organisaties. Er is één klein team dat het kantoornetwerk, het regelnetwerk en alles wat daaraan hangt al draagt, en waarvan de leden elkaar elke dag spreken.
Wat ontbreekt is geen integratie. Het is de reeks beslissingen die niemand heeft vastgelegd — en elk ervan komt op het slechtst denkbare moment naar boven, wanneer een leverancier om middernacht toegang nodig heeft of een engineer moet besluiten of de productie doorgaat.
Deze vijf vastleggen duurt meestal enkele weken en kost vrijwel niets. Het verandert hoe elke latere investering wordt geprioriteerd. Het is het deel van een opdracht waarvan klanten achteraf zeggen dat ze het als eerste hadden moeten doen.
| De beslissing | Waar die meestal ligt | Hoe een werkend model eruitziet |
|---|---|---|
| Een wijziging aan een regelsysteem goedkeuren | Bij degene die het werk doet | Engineering is eigenaar, security toetst, en de vastlegging overleeft degene die de wijziging maakte |
| Eigenaarschap van cyberrisico voor de productie | Niemand, of standaard IT | De operationeel leidinggevende die verantwoordelijk is voor het productiedoel, geadviseerd door security |
| Een leverancier toegang op afstand geven | Wie de inloggegevens heeft | Aangevraagd door engineering, per sessie goedgekeurd, verleend via één toegangspoort, vastgelegd |
| Een cyberincident afkondigen | Onduidelijk tot het gebeurt | Een benoemde dienstdoende rol met de bevoegdheid om dat te doen, en een vastgelegde route naar de bedrijfsleider |
| Besluiten de productie stil te leggen of door te laten gaan | Ter plekke betwist | Altijd de fabriek. Security adviseert over blootstelling; zij beslist nooit over productie |
Hoe wij in het Caribisch gebied werken
Wij hebben met bedrijven in het Caribisch deel van het Koninkrijk gewerkt en kennen de operationele werkelijkheid: een handvol mensen dat overal verantwoordelijk voor is, OEM's zes tijdzones verderop, en onderhoudsvensters die het hele eiland merkt.
Ons doel is niet dat u van ons afhankelijk wordt. Ons doel is uw team te versterken en meer kennis op het eiland achter te laten dan we aantroffen — zodat de volgende cyclus door uw eigen mensen wordt gedraaid, met ons beschikbaar in plaats van ertussenin. Die lokale kennis opbouwen hoort bij de opdracht, niet bij de afronding.
Opdrachten combineren werk ter plaatse op de eilanden met ondersteuning op afstand vanuit Atlanta, binnen een uur van de lokale tijd. De relatie is tussen InnovAKT en u: wij werken volgens een afgesproken serviceniveau, wij rapporteren de beveiligingsvolwassenheid tegen een nulmeting die u zichtbaar ziet bewegen, en wij schrijven voor twee doelgroepen tegelijk — de engineers die de installatie draaien en de directie of het ministerie dat die financiert.
Deze pagina is beschikbaar in het Engels en het Nederlands. Opdrachten worden in het Engels uitgevoerd; schriftelijk materiaal kan op verzoek in een andere taal worden opgesteld.
Innovate the Future. AKT Today.
Praat met InnovAKT over de operatie op uw eiland.
Een senior consultant, uw omgeving, en een eerlijk beeld van wat de eerste stap zou moeten zijn.
Veelgestelde vragen
Werken op Aruba, Curaçao en Bonaire.
Werkt InnovAKT op Aruba, Curaçao en Bonaire?
Ja. InnovAKT ondersteunt nutsbedrijven, waterproductie, brandstofterminals, raffinaderijen, havens, luchthavens en hotelinfrastructuur op Aruba, Curaçao, Bonaire en Sint Maarten — op locatie op de eilanden en op afstand vanuit Atlanta. Opdrachten worden in het Engels uitgevoerd.
Waarom is kritieke infrastructuur op een eiland anders te beveiligen?
Door isolatie. Er is geen buurnet om stroom van te importeren, geen tweede ontziltingsinstallatie verderop, en een reserveonderdeel komt per vliegtuig in plaats van per vrachtwagen. Een incident dat op een groot gekoppeld net een ongemak zou zijn, wordt op een eiland een nationale kwestie. Dat verandert wat weerbaarheid moet betekenen en hoe herstel moet worden ontworpen.
Welke regelgeving geldt voor operators in het Caribisch gebied?
Operators in het Caribisch deel van het Koninkrijk werken doorgaans volgens internationale praktijk — IEC 62443 voor industriële systemen, het NIST Cybersecurity Framework voor het programma, ISO 27001 waar een managementsysteem vereist is — naast lokale toezichts- en nutsverplichtingen en, voor organisaties met een Nederlandse of Europese moederorganisatie, de verwachtingen die voortvloeien uit NIS2. InnovAKT bouwt naar het operationele resultaat en koppelt dat aan het raamwerk waarover de organisatie verantwoording moet afleggen.