Twee bronnen, op dezelfde ochtend geteld

Op 27 juli om zeven uur 's avonds publiceerde CISA versie 2026.07.27 van haar catalogus van bekend misbruikte kwetsbaarheden. Er kwamen twee items bij: een lek in Fortinet FortiOS en een command injection in de VeloCloud Orchestrator van Arista. Daarmee stond de catalogus op 1.655 items, en dat is alles wat de dienst sinds de start van de lijst in 2021 als aangevallen heeft kunnen bevestigen.

De volgende ochtend bevroegen we de andere bron. De National Vulnerability Database, beheerd door het NIST, geeft voor elke gevraagde periode aan hoeveel kwetsbaarheden daarbinnen een publicatiedatum dragen. Voor 1 januari tot 28 juli 2026 luidt het antwoord 45.601. Voor dezelfde periode in 2025 is dat 28.032. Voor 2024 was het 23.486.

Beide cijfers zijn openbaar, beide zijn gratis, en vrijwel niemand legt ze naast elkaar. Naast elkaar zeggen ze iets wat de berichtgeving van deze week volledig heeft gemist.

Er is geen verdubbeling

Begin bij de bewering die het verst heeft gereisd. Sinds maandag circuleert het cijfer van zo'n 45.000 lekken en de voorspelling dat het jaar het vorige zal verdubbelen. De eerste helft klopt. De tweede niet.

209 dagen van 2026 hebben 45.601 gepubliceerde kwetsbaarheden opgeleverd. In hetzelfde tempo doorgetrokken tot 31 december kom je rond 79.600 uit. Heel 2025 bleef op 49.972 staan. Dat is een factor van ongeveer 1,6, niet van 2.

Het onderscheid is geen muggenzifterij, want het lagere getal blijft uitzonderlijk. Een stijging van 60 procent in één jaar is de steilste die de reeks bevat, en 2026 is nu al voorbij 91 procent van alles wat 2025 opleverde terwijl er nog vijf maanden te gaan zijn. Vasthouden aan het juiste cijfer telt, omdat het opgeblazen cijfer tot de verkeerde reactie uitnodigt. Verdubbeling klinkt als een noodsituatie die rechtvaardigt dat je een team verdubbelt. 1,6 keer klinkt als wat het is: een structurele verschuiving in het aanbod die geen enkele aanwerving zal opvangen.

De misbruikcurve volgde niet

Hier staat het getal dat de beslissing hoort te sturen. Van de 45.601 dit jaar gepubliceerde kwetsbaarheden zijn er 171 toegevoegd aan de catalogus van bevestigd misbruik. Slechts honderd items in de hele catalogus dragen überhaupt een kenmerk uit 2026.

Doe dezelfde rekensom aan de misbruikkant. 171 toevoegingen in 209 dagen geven een tempo van ongeveer 299 voor het jaar. CISA voegde er in heel 2025 precies 245 toe. Terwijl de publicatie dus met 63 procent steeg, groeide het bevestigde misbruik met ongeveer een vijfde.

De twee curven zijn uit elkaar gelopen en het gat wordt elke maand groter. Wat de golf aan publicaties ook drijft, en leveranciers geven vrij openlijk toe dat geautomatiseerd zoeken daar een groot aandeel in heeft, het produceert vondsten sneller dan wie dan ook ze in aanvallen omzet. Het gepubliceerde aantal is geen benadering meer van het werk dat voor je ligt. Het meet inmiddels hoeveel onderzoek de sector kan dragen, en dat is een andere vraag met een ander antwoord.

Eén eerlijke kanttekening, omdat die de instructie scherper maakt in plaats van zwakker. Afwezigheid uit de catalogus bewijst niet dat niemand iets misbruikt. De lijst legt vast wat een overheidsdienst kan bevestigen, en bevestiging loopt achter. Dat pleit ervoor om bewijs van misbruik te behandelen als het sterkste beschikbare signaal, niet om de afwezigheid ervan als vrijbrief te lezen.

Wat de regelgeving werkelijk vraagt

In vrijwel elk kwetsbaarhedenbeleid dat de afgelopen drie jaar in Europa is geschreven staat een zin van deze vorm: alles vanaf 7,0 wordt binnen dertig dagen verholpen. Wie die zin in 2023 opschreef, tekende voor een werklast die sindsdien met twee derde is gegroeid zonder dat iemand het hem vroeg.

Het loont te controleren waar die zin vandaan komt, want de toezichthouder heeft hem er niet in gezet. NIS2 plaatst het omgaan met en openbaar maken van kwetsbaarheden tussen de risicobeheersmaatregelen die een entiteit binnen het toepassingsgebied moet treffen, en koppelt de hele verplichting aan evenredigheid met het werkelijke risico. De tekst noemt geen scoresysteem en stelt geen drempel. DORA doet hetzelfde voor financiële entiteiten: prioriteer herstel naar de kritikaliteit van wat geraakt is, zonder dat er ergens een vast getal staat.

De drempel was dus een eigen vinding, overgenomen omdat hij controleerbaar was. Controleerbaar blijft hij. Hij is alleen niet langer betaalbaar, en geen van beide instrumenten heeft er ooit om gevraagd.

Herschrijf de norm, niet de bezetting

De praktische verandering is klein en past in dit kwartaal. Zet bevestigd misbruik bovenaan de rij, met een klok in dagen. Al het andere houdt een ordening op ernst maar verliest de automatische deadline en wordt in het gewone onderhoudsritme afgehandeld, op de systemen die er bij jou echt toe doen.

Twee ondersteunende stappen maken dat houdbaar tegenover een auditor. Leg schriftelijk vast welke externe bron je als gezaghebbend behandelt en waarom, zodat de prioritering een gedocumenteerde methode is en geen ingeving. En noteer het blootstellingsbesluit voor de systemen die je uitstelt, want wat een toezichthouder na een incident vraagt is of er een beredeneerd proces was, niet of je een getal hebt gehaald.

De teams die het de komende achttien maanden zwaar krijgen zijn die waarvan het beleid rekenkundig onmogelijk is en waarvan de auditors dat nog niet hebben gemerkt. Het aantal blijft stijgen. De verzameling van wat er werkelijk tegen je wordt ingezet stijgt bij lange na niet in hetzelfde tempo, en die wordt elke week gratis gepubliceerd.

Lees hierna: Uw sandbox geraakt, een maand voor de waarschuwing  |  Een bericht bereikte de SSH-sleutels