Cybersecurity Voorafgaand aan een van de meest ontwrichtende hacks in Nederland ooit, schoot de digitale beveiliging van het Openbaar Ministerie jarenlang tekort. Tot die conclusie komt een onafhankelijke onderzoekscommissie.
Koerier van de rechtbank Utrecht met documenten, nadat het Openbaar Ministerie door een hack is afgesloten van internet.
Het Openbaar Ministerie was onvoldoende beveiligd, toen hackers in 2025 binnendrongen en daarmee een van de meest ontwrichtende digitale inbraken van de Nederlandse geschiedenis pleegden. Dat constateert een onafhankelijke commissie in een donderdag verschenen onderzoek. Niet alleen ontbrak een cruciaal beveiligingssysteem, ook waren dreigingsanalyses niet op orde en werden signalen over beveiligingsrisico’s „onvoldoende opgemerkt” door de OM-top.
Na de computerinbraak, die in juli vorig jaar naar buiten kwam, koppelde het OM uit veiligheidsoverwegingen alle systemen los van internet. Dit had grote gevolgen voor de volledige strafrechtketen en kende een nasleep van maanden.
Zo viel het e-mailverkeer weg, werd het digitaal uitwisselen van strafdossiers met advocaten onmogelijk en kwamen nieuwe strafzaken van de politie het OM-systeem niet meer binnen. Uit het jaarverslag van het OM over 2025 blijkt dat dit tot minder voorgeleidingen van verdachten, minder strafzaken en langere doorlooptijden leidde.
De onderzoekers stellen dat „een aan een statelijke actor gelieerde partij” de hack pleegde en plaatst de inbraak onder meer in de context van „geopolitieke ontwikkelingen”. Het rapport weidt daar verder niet over uit. Bronnen melden NRC dat binnen de rijksoverheid er ernstig rekening mee wordt gehouden dat de hack samenhangt met de NAVO-top in Den Haag – gehouden op 24 en 25 juni 2025 – en uit Russische hoek zou komen.
Uit het rapport van de driekoppige onderzoekscommissie, met onder anderen cybersecurityhoogleraar Michel van Eeten, komt naar voren dat het OM jarenlang onvoldoende belang hechtte aan de digitale infrastructuur en beveiliging. De commissie spreekt van een „langdurige achterstand in de professionalisering”.
Vanwege de verouderde systemen en vele incidenten en verstoringen daarvan, was het OM vooral branden aan het blussen, waardoor beveiligingsmaatregelen achterbleven. Processen om risico’s te signaleren „ontbraken of waren gebrekkig ingericht”, staat in het rapport. Tot begin 2025 had de hoogste functionaris voor informatiebeveiliging geen centrale positie binnen het OM en overlegde die niet direct met de hoogste besluitvormers.
Volgens de commissie heerste dieper binnen de organisatie „een gedeeld gevoel van onmacht” over de staat van de ict. De onderzoekers kregen zelfs van OM’ers te horen dat een belangrijk rapport over beveiligingsrisico’s werd afgezwakt voordat het aan de OM-top werd voorgelegd.
De hack bij het OM verliep via een kwetsbaarheid in Citrix NetScaler, een veelgebruikt systeem om mee op afstand te werken, dat als schakel functioneert tussen internet en de eigen applicaties van organisaties. Citrix is geregeld doelwit van hackers. De commissie constateert dat regelmatig ‘gaten’ in het systeem worden gevonden. Dit maakt het essentieel dat Citrix goed in de gaten wordt gehouden door „zorgvuldig te monitoren wat op en rondom Citrix Netscaler gebeurt”, aldus de commissie.
Van monitoring was binnen het OM echter lang „geen sprake”, omdat het naliet een alternatief te regelen toen de gezamenlijke monitoring via het ministerie van Justitie en Veiligheid in 2023 ophield. Ten tijde van de hack was daarvoor wel een nieuw programma geïnstalleerd, maar dat was niet actief. Daardoor kon het OM na de hack ook niet achterhalen wat precies was gebeurd en hoever de inbrekers waren binnengedrongen.
Het lek in Citrix, dat al enige tijd bestond, werd op 25 juni 2025 publiek bekendgemaakt door Citrix. Tegelijk werd een update verstrekt om het gat te dichten. De commissie constateert dat de hackers toen al binnen waren. De daadwerkelijke hack – waarbij een verborgen ‘achterdeur’ in het OM-systeem werd geplaatst – werd waarschijnlijk op 19 juni uitgevoerd, stelt de commissie op basis van onderzoek door Deloitte. Ook werd op 20 juni door een hacker ingelogd.
Evenwel duurde het tot 16 juli voordat het Nationaal Cyber Security Centrum het OM waarschuwde voor een mogelijk incident. De volgende dag, toen ook een spoor van de hackers werd aangetroffen, besloot het College alle OM-systemen los te koppelen van internet, met alle gevolgen van dien voor het OM, advocaten en anderen binnen de strafrechtketen. Die drastische stap noemt de onderzoekscommissie „begrijpelijk en navolgbaar”.
Het Landelijk Parket van het OM doet strafrechtelijk onderzoek naar de hack. Een woordvoerder stelt dat dit zich in de afrondende fase bevindt, maar wil niet op de uitkomsten vooruitlopen.
Het OM was niet de enige organisatie waar hackers via de Citrix-kwetsbaarheid naar binnenkwamen. Eerder werd bekend dat dit ook gebeurde bij de Justitiële ICT Organisatie, die systemen beheert voor onder meer DJI, de Dienst Terugkeer en Vertrek en de Raad voor de Kinderbescherming.
In een reactie op het onderzoek benadrukt het College van procureurs-generaal geen aanleiding te hebben om te veronderstellen dat informatie is buitgemaakt of dat de hackers toegang kregen tot de hoogbeveiligde omgeving van het OM. Het College stelt dat „verdere verbetering en vernieuwing” van de digitale infrastructuur nodig is. Daarvoor heeft het kabinet inmiddels 50 miljoen euro per jaar beschikbaar gesteld. Het OM stelt een ‘onafhankelijke reviewboard’ met deskundigen aan om hierbij te helpen.
Bij Google kan je nu zelf aangeven welke nieuwsbronnen jij vaker wil zien in je zoekresultaten.Meer informatie