Wat het ministerie van Defensie ontdekte

Defensiecorrespondent Richard Holmes van The Telegraph meldde op 9 augustus 2026 dat bewakingscamera's op K3 Scout-dronevaartuigen van de Royal Navy, gebruikt door de Royal Marines en nauw verbonden met operaties van de Special Boat Service vanuit Poole, Chinese componenten bevatten die "heartbeat-communicatie" verstuurden naar een apparaat in China. Een woordvoerder van het ministerie van Defensie bevestigde de kern van het verhaal: de transmissies werden ontdekt tijdens een "routinematige cyberkwetsbaarheidsbeoordeling" van de K3-vloot, en de uitgewisselde informatie bevestigde alleen dat de camera online en functioneel was, geen operationele gegevens. Na de ontdekking haalde het MoD alle internetconnectiviteit van de betrokken camera's weg.

Het officiële standpunt van het MoD, herhaald tegenover meerdere media, is dat een vervolgonderzoek geen bewijs vond dat MoD-gegevens of -systemen waren benaderd, gecompromitteerd of naar buiten verzonden. Dat is een beperktere claim dan te zeggen dat de componenten veilig waren: het bevestigt dat er geen bekende exfiltratie was, niet dat dit naar-huis-bel-gedrag bedoeld, bekendgemaakt of ooit voorzien was.

De vloot van 12 miljoen pond achter Project Beehive

De K3 Scout is een 8,4 meter lang onbemand oppervlaktevaartuig, gebouwd door Kraken Technology Group, een Britse defensieleverancier gevestigd in Fareham, Hampshire. De Royal Navy gaf Kraken opdracht om 20 K3 Scouts en de bijbehorende grondcontrolesystemen te leveren onder Project Beehive, een programma om snelle onbemande vaartuigen in de vlootoperaties te integreren; de vaartuigen kunnen sensor-, vracht- of wapenladingen dragen en zijn ook getest in proeven zoals een luchtlanding vanuit een A400M van de Royal Air Force. De vloot, ter waarde van 12 miljoen pond, is sinds maart 2026 in dienst bij de Royal Marines, waarbij sommige vaartuigen naar verluidt bestemd zijn voor een inzet in de Golf om de scheepvaart in de Straat van Hormuz te beschermen.

Kraken Technology Group verklaarde tegenover journalisten dat de camera's NDAA-conform waren - dus voldeden aan de Amerikaanse defensie-inkoopnorm die bepaalde Chinese leveranciers uitsluit - maar erkende dat de units "een klein aantal componenten van buiten het Verenigd Koninkrijk" bevatten, die volgens het bedrijf werden betrokken van een externe leverancier die veiligheidsgaranties had gegeven. Kraken hield vol dat er geen gevoelige informatie was gedeeld.

Waar de garantieketen echt brak

De keten heeft hier drie schakels: Kraken bouwde en verkocht de K3 Scout aan de Royal Navy; Kraken kocht de cameramodule bij een externe leverancier; die leverancier gaf Kraken veiligheidsgaranties over het component. Geen van die garanties ving het heartbeat-verkeer op voordat de vaartuigen in gebruik waren. Het kwam pas ongeveer vijf maanden na het begin van operationeel gebruik aan het licht, toen het MoD een routinematige cyberkwetsbaarheidsbeoordeling uitvoerde - het soort controle dat periodiek plaatsvindt, niet een die is ingebouwd in het opnemen van het onderdeel van een nieuwe leverancier.

Schaduwminister voor veiligheid Alicia Kearns zei dat het incident laat zien hoe kwetsbaarheden in de toeleveringsketen soevereine defensiecapaciteit kunnen ondermijnen, zelfs wanneer de hoofdaannemer Brits is en formeel aan een compliance-norm (NDAA) is voldaan. Dat is precies wat compliance-papierwerk niet vangt: een component kan een genoemde norm en een schriftelijke garantie van een leverancier doorstaan en zich in productie toch gedragen op een manier die niemand stroomopwaarts heeft getest of bekendgemaakt.

Wat dit betekent voor EU- en UK-bedrijven buiten defensie

Dit is niet alleen een probleem van het ministerie van Defensie. Chinese camera- en sensormodules zitten in een enorme reeks commerciële hardware die gewone EU- en UK-bedrijven kopen: beveiligingscamera's, toegangscontrolesystemen, sensoren voor slimme gebouwen, industriële monitoringapparatuur, zelfs klantgerichte kiosken. De K3 Scout-zaak laat zien dat een schriftelijke garantie van een leverancier - "NDAA-conform", "geen gevoelige gegevens gedeeld", een ondertekende veiligheidsvragenlijst - niet hetzelfde is als de claim "we hebben getest wat dit apparaat daadwerkelijk op het netwerk doet", en die twee kunnen uiteenlopen zonder dat iemand in de keten het merkt, totdat een onafhankelijke audit het toevallig ontdekt.

Onder NIS2 dragen essentiële en belangrijke entiteiten in de hele EU (energie, zorg, digitale infrastructuur, fabrikanten van kritieke producten en meer) een expliciete plicht tot beheer van leveringsketenrisico's: artikel 21(2)(d) vereist het beoordelen van de beveiligingspraktijken van directe leveranciers en dienstverleners, niet alleen hun papierwerk. In Nederland vertaalt deze plicht zich naar de Cyberbeveiligingswet, de omzetting van NIS2, met het NCSC-NL als aanspreekpunt voor betrokken organisaties. Het Royal Navy-incident is een concrete illustratie van waarom die plicht zich moet vertalen naar een technische stap, niet alleen een contractuele. Een inkoopteam dat wil voorkomen zijn eigen "heartbeat"-probleem pas vijf maanden na ingebruikname te ontdekken, zou vóór de uitrol een onafhankelijke vastlegging van het netwerkverkeer van elke camera-, sensor- of IoT-module van een derde moeten eisen - en controleren waar het daadwerkelijk verbinding mee maakt, niet alleen wat de leverancier beweert dat het niet doet. Het Verenigd Koninkrijk valt buiten de jurisdictie van NIS2, maar loopt hetzelfde praktische risico, en daarom heeft het eigen NCSC om precies deze reden vergelijkbare richtlijnen over garanties in de toeleveringsketen gepubliceerd.

Lees hierna: Roteer elke CI-sleutel van 4 augustus  |  De fix tekent nieuwe bestanden, niet uw archief