Verouderde netwerkapparatuur: het risico dat niemand ziet

De gevaarlijkste zin in een serverkast is "daar moet je niet aankomen".

Meestal wordt hij half lachend gezegd, over een apparaat dat er al jaren hangt, waar iets belangrijks doorheen loopt, en waar zoveel omheen is gebouwd dat niemand meer durft te tikken. Het ding doet het. Dus blijft het hangen.

Over verouderde laptops en pc’s hebben we vaker geschreven — zie technische schuld aanpakken, wanneer je een apparaat vervangt en je vervangingsplan. Dit artikel gaat over verouderde netwerkapparatuur — de apparatuur die niemand ziet: de firewall, de VPN-verbinding, de router, de switch, de NAS en die ene fysieke server. Daar zit een ander soort risico, en het wordt zelden geïnventariseerd.

Waarom deze categorie anders is

Een verouderde laptop is vervelend. Hij is traag, de accu is op, en als het misgaat is er één medewerker uit de running. Vervelend, overzichtelijk.

Een firewall of VPN-verbinding die geen firmware meer krijgt, is een ander verhaal om drie redenen. Hij hangt aan het internet, dus hij is van buitenaf te vinden. Hij staat vóór je hele netwerk, dus er is niets dat er nog achter beschermt. En hij valt niemand op, want hij doet gewoon zijn werk — er is geen gebruiker die klaagt dat de switch drie jaar te oud is.

Daar komt bij dat "hij doet het nog" en "hij is nog veilig" twee volstrekt verschillende uitspraken zijn. Als een fabrikant stopt met ondersteuning, blijft het apparaat precies zo goed werken als de dag ervoor. Alleen worden nieuw ontdekte zwakke plekken vanaf dat moment niet meer gerepareerd. Ze stapelen zich op, en er komt geen melding van.

De drie plekken waar je begint

1. Wat aan het internet hangt en geen updates meer krijgt

Dit is de belangrijkste categorie en meteen de kleinste, want het gaat vaak om drie tot zes apparaten. Firewall, router, VPN-oplossing, eventueel een aparte switch of een NAS die van buitenaf bereikbaar is.

Wat je per apparaat wilt weten: welk merk en model, tot wanneer de fabrikant beveiligingsupdates levert, wanneer de laatste update is geïnstalleerd, en of de beheerinterface toevallig vanaf internet bereikbaar is. Die laatste komt vaker voor dan je zou hopen, meestal omdat het ooit handig was.

Deze inventarisatie kost letterlijk een uur en levert direct duidelijkheid op. Wie het niet weet, kan het bij de leverancier opvragen — de einddatum van ondersteuning staat gewoon op de site van de fabrikant.

2. Systemen die niet meer bij te werken zijn

De tweede categorie herken je aan de uitzonderingen eromheen. Een systeem dat een verouderd protocol nodig heeft. Een toepassing die alleen werkt als een bepaalde beveiliging uitstaat. Een firewallregel die specifiek voor dat ene ding is gemaakt en die niemand meer durft weg te halen.

Die uitzonderingen zijn het echte signaal. Niet het apparaat zelf, maar het feit dat je er beveiliging omheen hebt moeten afzwakken. Vaak gaat het om een bedrijfskritische toepassing van een leverancier die er zelf ook niet meer in investeert.

Hier valt niet omheen te patchen. Bij een systeem dat geen updates meer krijgt, is elke gevonden zwakke plek permanent. Er zijn wel maatregelen om het risico te verkleinen, maar dat is uitstel, geen oplossing — en het is eerlijk om dat zo te benoemen.

3. De server waar de basis is weggezakt

De sluipendste van de drie, omdat er formeel niets mis is. Het besturingssysteem wordt nog ondersteund, de hardware draait, niemand klaagt. Maar de routine is verwaterd.

Vier vragen laten dat snel zien. Hoe lang geleden zijn de updates voor het laatst geïnstalleerd, en gebeurt dat volgens een ritme of als iemand eraan denkt? Welke diensten en rollen draaien er nog die allang niet meer gebruikt worden? Wie heeft er beheerrechten, en zijn dat nog steeds de juiste mensen? En — de vraag die het vaakst een pijnlijk antwoord oplevert — wanneer is er voor het laatst een terugzetting getest, niet alleen een back-up gemaakt?

Meer hierover in patchmanagement, verborgen kwetsbaarheden en back-ups die je echt kunt terugzetten.

Hoe dat er in de praktijk uitziet

Een productiebedrijf met 41 medewerkers. Bij een inventarisatie blijkt de firewall zeven jaar oud en al twee jaar buiten ondersteuning. Hij doet het prima; er was nooit reden om ernaar te kijken.

Tegelijk komt er iets anders boven water: de VPN-oplossing waarmee drie buitendienstmedewerkers inloggen, draait op datzelfde apparaat en gebruikt nog een verouderde aanmeldmethode zonder tweede factor. Dat was ooit zo ingericht en niemand heeft het daarna aangeraakt.

De echte kosten zaten niet in de vervanging — dat was een dag werk en een bedrag dat in de begroting paste. Ze zaten in het feit dat het twee jaar níémands taak was om te weten dat de ondersteuning verlopen was. Er kwam geen mail, geen waarschuwing, geen melding. Zulke dingen komen alleen aan het licht als iemand ernaar zoekt.

Wat je doet met wat je vindt

Zet alles op één lijst met vier kolommen: wat het is, tot wanneer het ondersteund wordt, wie de eigenaar is, en wanneer je het aanpakt. Meer niet. Een lijst die je bijhoudt is oneindig veel waard dan een rapport dat je één keer laat maken.

Prioriteer daarna simpel: eerst wat aan het internet hangt en geen updates meer krijgt, dan wat niet meer bij te werken is, dan de weggezakte basis. Dat is precies de volgorde hierboven, en die is niet toevallig — hij loopt van "van buitenaf bereikbaar" naar "alleen van binnenuit een probleem".

Kun je iets nu niet vervangen, doe dan het volgende in afwachting daarvan: haal de beheerinterface van het internet af, zet het systeem in een apart netwerkstuk zodat het niet bij de rest kan, beperk wie erbij mag, en zorg dat er meldingen op staan. Zie netwerkproblemen oplossen en logging inrichten. Zeg er wel bij dat dit uitstel is en zet een datum in de agenda.

Neem de vervanging op in je begroting in plaats van in je storingsbudget. Dat scheelt niet alleen geld maar vooral het verschil tussen op een dinsdag vervangen en op een vrijdagavond. Zie wat uitval werkelijk kost en je jaarlijkse review.

Waarom dit sneller gaat spelen

Twee ontwikkelingen zorgen ervoor dat deze vraag vaker gesteld gaat worden, en niet alleen door jezelf.

De Cyberbeveiligingswet (de Nederlandse invulling van NIS2) geldt sinds 15 augustus 2026 voor een deel van de organisaties, en werkt door in de keten. Ook als je er zelf niet onder valt, kun je via een grote klant een vragenlijst krijgen waarin staat hoe je omgaat met apparatuur die buiten ondersteuning valt. Zie wat NIS2 betekent en leveranciersrisico beheren.

Daarnaast komen er via Europese regelgeving eisen aan hoe lang fabrikanten hun apparaten van beveiligingsupdates moeten voorzien. Dat helpt bij nieuwe aanschaf: vraag bij elke bestelling van netwerkapparatuur naar de ondersteuningstermijn en noteer die meteen. Zie apparaten die niemand beheert.

Veelgestelde vragen

Waarom is verouderde netwerkapparatuur zo’n risico?

Al het verkeer in je bedrijfsnetwerk loopt langs deze hardware. Firewalls en routers zien wat er binnenkomt, regelen de toegangscontrole en bepalen welke gebruikers waarbij mogen. Draait daar software op die geen updates meer krijgt, dan is elke nieuw gevonden zwakke plek permanent — precies op de plek waar al je data langskomt. Het apparaat blijft betrouwbaar zijn werk doen; alleen de beveiliging staat stil. Dat is het verschil met een oude laptop, waar de risico’s bij één werkplek blijven.

Hoe weet ik tot wanneer mijn firewall ondersteund wordt?

Zoek op het typenummer op de site van de fabrikant; die publiceren einddata voor verkoop en voor ondersteuning. Let op het verschil: einde verkoop betekent alleen dat het model niet meer geleverd wordt, einde ondersteuning betekent dat er geen beveiligingsupdates meer komen. Alleen die tweede datum telt.

Is een oud apparaat achter een goede firewall niet gewoon veilig?

Voor iets dat alleen intern draait, verlaagt dat het risico aanzienlijk. Maar voor de firewall zelf gaat die vlieger niet op — die staat vooraan. En intern is niet hetzelfde als onbereikbaar: wie via phishing binnenkomt, staat al aan de goede kant.

Moeten we alles tegelijk vervangen?

Nee, en dat is meestal ook niet betaalbaar. Neem één ding per kwartaal, te beginnen bij wat aan het internet hangt. Twee jaar consequent doorpakken levert meer op dan één groot project dat halverwege stilvalt.

Wij hebben helemaal geen serverruimte meer, alles staat in de cloud. Geldt dit dan nog?

Ja, in afgeslankte vorm. Ook dan heb je een router, waarschijnlijk een firewall, wifi-apparatuur en misschien een NAS. Dat is precies de eerste categorie. Zie ook je wifi-apparatuur.

Weet je niet zeker wat er bij jullie in de meterkast of serverkast hangt en tot wanneer het wordt ondersteund? Dat is in een ochtend in kaart gebracht — we doen het graag een keer met je.