Augustus 2025 · InnovAKT-inlichtingenanalyse
In juli 2025 kwamen zes jurisdicties er tegelijk achter.
Een gecoördineerde ransomwarecampagne liep door overheidssystemen op Aruba, Curaçao en Sint Maarten. Belastinginning, rechtspraak en parlementaire communicatie werden verstoord. Wij hebben er een volledige analyse van gepubliceerd — de tijdlijn hieronder komt daaruit.
6
jurisdicties
getroffen door de ene aanval op het Gemeenschappelijk Hof van Justitie
3+
overheidsinstanties
gecompromitteerd op meerdere eilanden binnen tien dagen
55%
van OT-omgevingen
gebruikt vier of meer tools voor toegang op afstand — de weg die de campagne nam
- 22 juli
De waarschuwing
Het Openbaar Ministerie gaat van het internet af na NCSC-waarschuwingen over Citrix NetScaler.
- 24 juli
Dubbele afpersing
De Belastingdienst Curaçao wordt versleuteld terwijl het publieke aangifteportaal bewust blijft draaien.
- 24–25 juli
Alle zes tegelijk
Het Gemeenschappelijk Hof van Justitie wordt gecompromitteerd in alle zes Caribische jurisdicties.
- Eind juli
De verschuiving
De e-mailsystemen van het Arubaanse parlement worden doelwit — inlichtingen vergaren, niet verstoren.
Onze conclusie was dat dit geen op zichzelf staand incident was maar een strategische verkenning: het leverde aanvallers een werkende kaart van regionale afhankelijkheden, gedeelde leveranciers en infrastructuur voor toegang op afstand. De getroffen systemen waren administratief. De toegangspaden die ze blootlegden lopen door naar operationele technologie.
Caribbean Ransomware Attacks — Advanced Intelligence Assessment and OT Security Implications. InnovAKT OT Cybersecurity Intelligence Team, augustus 2025. Cijfer toegang op afstand: Claroty Team82.
Turn the lessons into your next move.
The Island Operator’s Guide to Cyber Resilience connects the July 2025 ransomware campaign with the decisions that matter for Caribbean utilities, ports and facilities.
- Twelve questions to start a useful conversation with your operations team.
- Two investment sequences to help put priorities in the right order.
- A first-year roadmap to move from exposure to practical action.
Your island’s resilience deserves more than a checklist. Start with a guide built around the realities of your operation.
Your copy. Straight to your inbox.
Enter your name and business email. Mohammed Saad at InnovAKT will send you an automated email with the download link.
By requesting the guide, you ask InnovAKT to email you its download link. We’ll use your details to fulfil this request and arrange a conversation if you choose that option. Privacy Policy.
Form not loading? Open the secure request form.
Waarom een eiland anders is
Één net, één gevolg
Er is geen koppeling om stroom van te importeren. Een incident in een regelsysteem bij een centrale, een onderstation of een brandstofterminal is een gebeurtenis voor het hele eiland, en black start is het herstelplan. Cyberrisico moet in die termen worden beschreven voordat iemand het kan waarderen.
Alles hangt van alles af
Ontzilting is een elektrische belasting. De kranen van de haven en de verlichting van de luchthaven zijn elektrische belastingen. Het hotel draait op eigen opwekking tot het net terug is. Eén afhankelijkheidsketen loopt door het hele eiland, en meestal loopt er ook één korte lijst leveranciers doorheen.
Het netwerk groeide plat, en de leveranciers gingen nooit weg
Installaties die project voor project zijn gebouwd eindigen als één segment waar alles alles kan bereiken, met toegang op afstand die is geopend voor een inbedrijfstelling die jaren geleden is afgerond. Dat is geen nalatigheid. Het is wat er gebeurt als elk project apart wordt opgeleverd en niemand het geheel bezit.
IT en OT zijn dezelfde paar mensen
Bij de meeste eilandbedrijven draagt hetzelfde kleine team beide al. Dat is geen convergentie — convergentie is een model. Wat ontbreekt zijn beslissingsbevoegdheden: wie keurt een wijziging aan een regelsysteem goed, wie is eigenaar van cyberrisico voor de productie, wie mag een leverancier toegang geven, en wie roept een incident uit.
Het geld gaat naar de verkeerde plek
Een platform is makkelijk te kopen, makkelijk goed te keuren en makkelijk aan een directie te laten zien. De blootstelling die het eiland daadwerkelijk zou stilleggen is vaker een toegangspad dat niemand in kaart heeft, een inventarisatie die er niet is, of een restore die nooit is getest — en die kosten een fractie van wat er in plaats daarvan wordt uitgegeven.
Directies, toezichthouders en financiers vragen er nu om
Verzekeraars, toezichthouders en de ontwikkelingsfinanciers achter nieuwe opwek-, water- en havencapaciteit willen steeds vaker aantoonbare weerbaarheid in plaats van een beleidsdocument. Een programma dat meetbaar is, is veel eenvoudiger te verdedigen dan een programma dat dat niet is.
De installatie, zoals die is
Het netwerk zoals het groeide. Het netwerk zoals het zou moeten zijn.
Twee tekeningen van hetzelfde eilandbedrijf. De eerste is wat twintig jaar project-voor-project opleveren oplevert. De tweede is dezelfde apparatuur met zones, een industriële DMZ en één beheerde toegangsweg — een reeks wijzigingen, geen herbouw.
Elke leverancierstunnel komt uit op hetzelfde segment als de controllers, dus elk van hen bereikt het proces rechtstreeks. Niets hiervan is ongewoon en niets hiervan was destijds een fout — zo ziet een plat netwerk eruit zodra je het tekent.
Waar het budget heen gaat
Dezelfde zes budgetregels, in twee verschillende volgordes.
Links ongeveer de volgorde waarin deze worden gekocht — het makkelijkst goed te keuren eerst. Rechts de volgorde waarin ze het eiland zouden stilleggen. De twee zijn bijna omgekeerd, en die omkering is hoe investeren in de verkeerde richting er op een begroting uitziet.
Niets op deze lijst is slecht om te bezitten. De vraag is alleen wat als eerste wordt gefinancierd, en een platform is veel makkelijker aan een directie voor te leggen dan een toegangsreview.
Wat wij leveren
Acht capaciteiten, als één programma of stuk voor stuk.
Benoemd zoals een koper ernaar zoekt. Elk wordt geleverd via de InnovAKT-diensten erachter, en elk is afzonderlijk af te bakenen.
NIS2 en het plan van het Koninkrijk
NIS2 geldt hier nog niet. De vergelijking komt er wel aan.
Het bouwplan van het NCSC voor een Cyberweerbaarheidsnetwerk binnen het Koninkrijk stelt onomwonden dat Caribisch Nederland geen cyberwetgeving kent en dat NIS2 niet van toepassing is, zodat vandaag geen enkele organisatie wettelijk als vitaal is aangemerkt. Vervolgens zet het vier fasen uit die tot 2029 lopen — en de derde is een gap-analyse van Caribische capaciteiten tegen Nederlandse maatstaven.
Waarom dit een argument is om nu te handelen
Wie op een verplichting wacht, gaat de vergelijking in fase drie in met wat er toevallig ligt. Wie vrijwillig naar NIS2-gelijkwaardige praktijk toewerkt, gaat die in met bewijs — en kan meepraten over hoe de pijlers eruitzien in plaats van ze te ontvangen.
Het plan zegt ook iets waar InnovAKT het mee eens is: wat de eilanden nodig hebben is technische ondersteuning, personele capaciteit, training en oefeningen — capaciteit, geen inkoop. Dat is hetzelfde argument dat wij op deze pagina maken, en zo bakenen wij een opdracht af.
Vier reviews die u daar brengen
De rol van InnovAKT is in alle vier toetsen, onderbouwen en adviseren. De verplichting onder een norm, regel of contract blijft bij u, en niets in een opdracht verplaatst die.
Bron: Bouwplan Cyberweerbaarheidsnetwerk, bijlage Caribisch gebied — NCSC, Nederland
IT en OT
Bij een klein bedrijf is convergentie niet het probleem. Verantwoordelijkheid wel.
Het gebruikelijke convergentiegesprek gaat uit van twee organisaties die bij elkaar moeten worden gebracht. Bij de meeste eilandbedrijven zijn er geen twee organisaties. Er is één klein team dat het kantoornetwerk, het regelnetwerk en alles wat daaraan hangt al draagt, en dat elkaar elke dag spreekt.
Wat ontbreekt is geen integratie. Het is de reeks beslissingen die niemand heeft vastgelegd — en elk daarvan komt op het slechtst denkbare moment naar boven, wanneer een leverancier om middernacht toegang nodig heeft of een engineer moet besluiten of de productie doorgaat.
Deze vijf vastleggen kost meestal weken, kost vrijwel niets, en verandert hoe elke latere investering wordt geprioriteerd. Het is het deel van een opdracht waarvan klanten achteraf zeggen dat ze het als eerste hadden moeten doen.
| De beslissing | Waar die meestal ligt | Hoe een werkend model eruitziet |
|---|---|---|
| Een wijziging aan een regelsysteem goedkeuren | Bij degene die het werk doet | Engineering is eigenaar, security toetst, en de vastlegging overleeft degene die de wijziging maakte |
| Eigenaarschap van cyberrisico voor de productie | Niemand, of standaard IT | De operationeel leidinggevende die het productiedoel bezit, geadviseerd door security |
| Een leverancier toegang op afstand geven | Wie de inloggegevens heeft | Aangevraagd door engineering, per sessie goedgekeurd, verleend via één poort, vastgelegd |
| Een cyberincident uitroepen | Onduidelijk tot het gebeurt | Een benoemde dienstdoende rol met de bevoegdheid om uit te roepen, en een vastgelegde route naar de bedrijfsleider |
| Besluiten de productie stil te leggen of door te gaan | Ter plekke betwist | Altijd de fabriek. Security adviseert over blootstelling; het beslist nooit over productie |
Hoe wij in het Caribisch gebied werken
Wij hebben met bedrijven in het Caribisch deel van het Koninkrijk gewerkt en kennen de operationele werkelijkheid: een handvol mensen dat overal verantwoordelijk voor is, OEM's zes tijdzones verderop, en onderhoudsvensters die het hele eiland merkt.
Ons doel is niet dat u van ons afhankelijk wordt. Ons doel is uw team te versterken en meer kennis op het eiland achter te laten dan we aantroffen — zodat de volgende cyclus door uw eigen mensen wordt gedraaid, met ons beschikbaar in plaats van ertussenin. Die lokale kennis opbouwen hoort bij de opdracht, niet bij de afronding.
Opdrachten combineren werk ter plaatse op de eilanden met ondersteuning op afstand vanuit Atlanta, binnen een uur van de lokale tijd. De relatie is tussen InnovAKT en u: wij werken volgens een afgesproken serviceniveau, wij rapporteren de beveiligingsvolwassenheid tegen een nulmeting die u zichtbaar ziet bewegen, en wij schrijven voor twee doelgroepen tegelijk — de engineers die de installatie draaien en de directie of het ministerie dat die financiert.
Deze pagina is beschikbaar in het Engels, Nederlands en Papiamentu. Opdrachten worden in het Engels uitgevoerd; schriftelijk materiaal kan op verzoek in een andere taal worden opgesteld.
Innovate the Future. AKT Today.
Praat met InnovAKT over de operatie op uw eiland.
Een senior consultant, uw omgeving, en een eerlijk beeld van wat de eerste stap zou moeten zijn.
Veelgestelde vragen
Werken op Aruba, Curaçao en Bonaire.
Werkt InnovAKT op Aruba, Curaçao en Bonaire?
Ja. InnovAKT ondersteunt nutsbedrijven, waterproductie, brandstofterminals, raffinaderijen, havens, luchthavens en hotelinfrastructuur op Aruba, Curaçao, Bonaire en Sint Maarten — op locatie op de eilanden en op afstand vanuit Atlanta. Opdrachten worden in het Engels uitgevoerd.
Waarom is kritieke infrastructuur op een eiland anders te beveiligen?
Door isolatie. Er is geen buurnet om stroom van te importeren, geen tweede ontziltingsinstallatie verderop, en een reserveonderdeel komt per vliegtuig in plaats van per vrachtwagen. Een incident dat op een groot gekoppeld net een ongemak zou zijn, wordt op een eiland een nationale kwestie. Dat verandert wat veerkracht moet betekenen en hoe herstel moet worden ontworpen.
Welke regelgeving geldt voor operators in het Caribisch gebied?
Operators in het Caribisch deel van het Koninkrijk werken doorgaans volgens internationale praktijk — IEC 62443 voor industriële systemen, het NIST Cybersecurity Framework voor het programma, ISO 27001 waar een managementsysteem vereist is — naast lokale toezichts- en nutsverplichtingen en, voor organisaties met een Nederlandse of Europese moeder, de verwachtingen die voortvloeien uit NIS2. InnovAKT bouwt naar het operationele resultaat en koppelt dat aan het raamwerk waarover de organisatie verantwoording moet afleggen.