Ameri­kaanse cyber­se­cu­ri­ty­be­drijven kunnen binnen­kort worden ingezet voor offen­sieve opera­ties tegen buiten­landse cyber­cri­mi­nele organi­sa­ties. Dat betekent echter niet dat iedere getroffen onder­ne­ming voortaan zelf achter ransom­wa­re­groepen aan mag gaan. Volgens Corey Brunkow, direc­teur Federal Opera­tions bij Horizon3, blijft de Ameri­kaanse overheid bepalen wie wordt aange­vallen, met welk doel en binnen welke opera­ti­o­nele grenzen. Horizon3 heeft een groten­deels autonoom functi­o­ne­rend platform voor pentes­ting ontwik­keld waarmee organi­sa­ties hun eigen cyber­se­cu­rity-aanpak kunnen testen. Voor Europese CIO’s en CISO’s roept het programma onder­tussen belang­rijke vragen op.

Met een presi­den­tieel memorandum van 12 augustus 2026 zet de Ameri­kaanse regering een opmer­ke­lijke stap in de bestrij­ding van inter­na­ti­o­nale cyber­cri­mi­na­li­teit. Presi­dent Donald Trump heeft opdracht gegeven een programma op te zetten waarin geselec­teerde Ameri­kaanse bedrijven mogen meewerken aan cyberope­ra­ties tegen buiten­landse crimi­nele organisaties.

Het gaat daarbij niet alleen om het verza­melen van infor­matie. Het memorandum maakt ook zogenoemde “cyber effects opera­tions” mogelijk. Dat zijn opera­ties die systemen, netwerken, gegevens of digitaal aange­stuurde infra­struc­tuur kunnen manipu­leren, verstoren, onbruik­baar maken of vernietigen.

Daarmee begeeft de Ameri­kaanse overheid zich op terrein dat tot nu toe vrijwel volledig was voorbe­houden aan overheids­dien­sten, inlich­tin­gen­dien­sten en militaire cybercommando’s. Private onder­ne­mingen mochten hun eigen systemen verde­digen en binnen afgesproken grenzen penetra­tie­testen uitvoeren, maar het binnen­dringen of uitscha­kelen van infra­struc­tuur van een aanvaller gold als een duide­lijke rode lijn.

Toch betekent het memorandum volgens Corey Brunkow, direc­teur Federal Opera­tions bij securi­ty­be­drijf Horizon3, niet dat private bedrijven een algemene vergun­ning krijgen om terug te slaan. De term “hack back” kan daardoor gemak­ke­lijk een verkeerd beeld oproepen.

Geen vrijbrief om zelf terug te slaan

De kern van het nieuwe programma is dat opera­ties onder de controle, het toezicht en de juridi­sche bevoegd­heden van de Ameri­kaanse overheid moeten plaats­vinden. De deelne­mende bedrijven voeren dus geen zelfstandig gekozen offen­sieve campagnes uit. Zij werken namens de overheid aan een speci­fiek omschreven operatie waarvoor vooraf toestem­ming is verleend.

Het programma komt onder leiding te staan van twee functi­o­na­rissen: één aange­wezen door het Ameri­kaanse minis­terie van Justitie en één door het Depart­ment of Homeland Security. Iedere operatie moet worden beoor­deeld en schrif­te­lijk worden goedge­keurd. Een bedrijf mag pas handelen nadat het concrete instruc­ties heeft ontvangen.

Daarmee blijft de belang­rijkste grens volgens Brunkow intact. Een bedrijf dat wordt getroffen door ransom­ware mag niet op eigen initi­a­tief servers van een vermoe­de­lijke aanvaller binnen­dringen, gegevens verwij­deren of infra­struc­tuur uitscha­kelen. Ook een securi­ty­le­ve­ran­cier kan niet zelfstandig besluiten dat een bepaalde groep of server een legitiem doelwit vormt.

Het verschil is dat de overheid voortaan expli­ciet commer­ciële partijen kan contrac­teren om onder­delen van een officiële operatie uit te voeren. Die bedrijven functi­o­neren dan feite­lijk als zorgvuldig gecon­tro­leerde uitvoer­ders binnen een onder­zoek, inlich­tin­gen­ope­ratie of versto­rings­actie van de federale overheid. De techni­sche hande­lingen kunnen dan sterk lijken op activi­teiten die normaal gesproken als compu­ter­vre­de­breuk zouden gelden. De juridi­sche basis komt echter niet van het bedrijf zelf, maar van de Ameri­kaanse overheids­in­stantie die de operatie autori­seert en aanstuurt.

De Ameri­kaanse regering moet de uitvoe­rings­re­gels uiter­lijk op 11 oktober 2026 vaststellen. Daarin komen onder meer eisen voor techni­sche deskun­dig­heid, bewezen opera­ti­o­nele ervaring, fysieke bevei­li­ging, betrouw­baar­heid en scree­ning van perso­neel. Zowel grote onder­ne­mingen als kleinere gespe­ci­a­li­seerde bedrijven moeten volgens het memorandum kunnen deelnemen.

Meeste bedrijven worden informatieleverancier

Voor het overgrote deel van het bedrijfs­leven veran­dert de dagelijkse praktijk veel minder. Een organi­satie die slacht­offer wordt van ransom­ware, fraude of een andere cyber­aanval zal niet zelf aan een offen­sieve operatie deelnemen. Haar belang­rijkste rol ligt bij het verza­melen, bewaren en delen van bruik­bare techni­sche informatie.

Volgens Brunkow kan een incident pas bijdragen aan een mogelijke tegen­ope­ratie wanneer gegevens voldoende gedetail­leerd, betrouw­baar en repro­du­ceer­baar zijn. Alleen melden dat een organi­satie door een bepaalde ransom­wa­re­groep is aange­vallen, is niet genoeg. Onder­zoe­kers moeten kunnen recon­stru­eren hoe de aanval­lers binnen­kwamen, welke infra­struc­tuur zij gebruikten, hoe zij zich door het netwerk bewogen en met welke externe systemen zij communiceerden.

Voor getroffen bedrijven betekent dit dat zij onder meer netwerk­logs, endpoint­tele­me­trie, authen­ti­ca­tie­ge­ge­vens en cloud­logs moeten veilig­stellen. Ook IP-adressen, domein­namen, malwa­re­be­standen, hashes, gebruikte accounts, commando’s, tijdstippen, crypto­wal­lets, phishing­be­richten en ransom­wa­re­be­richten kunnen waardevol zijn.

Daarnaast moet infor­matie snel beschik­baar komen. Cyber­cri­mi­nelen wisselen regel­matig van infra­struc­tuur, verwij­deren systemen en verplaatsen gegevens. Een server die tijdens een incident actief wordt gebruikt, kan enkele dagen later alweer zijn ontman­teld of aan een andere klant zijn toegewezen.

Voor CIO’s en CISO’s betekent dit dat inciden­tres­pons niet uitslui­tend moet zijn gericht op herstel. Het veilig­stellen van bewijs­ma­te­riaal, het vastleggen van een tijdlijn en het onder­houden van contacten met politie, toezicht­hou­ders, CERT’s en relevante leveran­ciers worden eveneens belangrijk.

Het memorandum biedt deelne­mende Ameri­kaanse bedrijven expli­ciet de mogelijk­heid commer­ciële afspraken te maken met andere private partijen, vertelt Brunkow. Zij mogen dreigings­in­for­matie ontvangen die deze organi­sa­ties tijdens hun normale bedrijfs­ac­ti­vi­teiten verza­melen. Een slacht­offer, managed securi­ty­pro­vider, cloud­le­ve­ran­cier of threat-intel­li­gen­ce­be­drijf kan daardoor infor­matie aanle­veren zonder zelf onder­deel te worden van een offen­sieve operatie.

Europese bedrijven kunnen niet rechtstreeks deelnemen

Het memorandum spreekt nadruk­ke­lijk over private Ameri­kaanse bedrijven. Alleen onder­ne­mingen uit de Verenigde Staten kunnen als officiële “Parti­ci­pa­ting Company” worden toege­laten en recht­streeks door het Depart­ment of Justice of Depart­ment of Homeland Security worden gecontracteerd.

Dat sluit Europese betrok­ken­heid echter niet volledig uit. Neder­landse en Belgi­sche cyber­se­cu­ri­ty­be­drijven kunnen bijvoor­beeld dreigings­in­for­matie, analyses, techno­logie of speci­a­lis­ti­sche exper­tise leveren aan een Ameri­kaans bedrijf dat wel tot het programma is toegelaten.

Een Europese organi­satie zou daarmee een leveran­cier, intel­li­gen­ce­partner of onder­aan­nemer kunnen worden. De formele opera­ti­o­nele verant­woor­de­lijk­heid blijft dan bij de Ameri­kaanse hoofd­aan­nemer en de Ameri­kaanse overheid. Ook moet de deelne­mende onder­ne­ming alle relevante contrac­tuele relaties aan het National Coordi­na­tion Center melden.

Hoe ver die indirecte deelname kan gaan, is nog niet duide­lijk, zegt Brunkow. De opera­ti­o­nele proce­dures moeten onder meer bepalen welke perso­neels­leden toegang mogen krijgen tot gevoe­lige infor­matie, waar werkzaam­heden mogen worden uitge­voerd en welke veilig­heids­mach­ti­gingen nodig zijn. Het is goed mogelijk dat voor de meest gevoe­lige onder­delen uitslui­tend gescreend Ameri­kaans perso­neel en infra­struc­tuur in de Verenigde Staten mogen worden gebruikt.

Voor Europese bedrijven spelen boven­dien eigen juridi­sche verplich­tingen. Denk aan de Algemene veror­de­ning gegevens­be­scher­ming, natio­nale straf­wet­ge­ving, contrac­tuele geheim­hou­ding en regels voor het doorgeven van persoons­ge­ge­vens of opera­ti­o­nele data aan partijen buiten de Europese Econo­mi­sche Ruimte. Een Ameri­kaans contract of een Ameri­kaanse overheids­op­dracht heft die verplich­tingen niet op. Een Europese partij zal dus moeten vaststellen welke gegevens worden gedeeld, op welke rechts­grond dat gebeurt en of de infor­matie ook gegevens van klanten, medewer­kers of onschul­dige derden bevat.

Impact op Europese infrastructuur

Een ingewik­kelde situatie ontstaat wanneer cyber­cri­mi­nelen gebruik­maken van infra­struc­tuur in Neder­land, België of een ander Europees land. Ransom­wa­re­groepen huren servers bij reguliere hosting­be­drijven, gebruiken gekaapte systemen en misbruiken accounts bij grote cloud­plat­forms. De juridi­sche eigenaar van een systeem is daardoor meestal niet de aanvaller.

Een Ameri­kaanse operatie kan dus een server identi­fi­ceren die technisch onder­deel is van een crimi­nele campagne, maar fysiek of juridisch onder de verant­woor­de­lijk­heid van een niet bij de crimi­nele activi­teiten betrokken Europese organi­satie valt.

Volgens Brunkow mag een commer­cieel bedrijf in zo’n situatie niet zelfstandig besluiten om het systeem te verstoren. De Ameri­kaanse overheid moet de doelin­for­matie beoor­delen, de operatie afstemmen met andere diensten en rekening houden met inter­na­ti­o­nale verplich­tingen en de belangen van bondgenoten.

Het memorandum schrijft daarom voor dat opera­ties vooraf tussen verschil­lende Ameri­kaanse organi­sa­ties worden afgestemd. Naast justitie en binnen­landse veilig­heid kunnen ook het minis­terie van Buiten­landse Zaken, het minis­terie van Finan­ciën, defen­sie­or­ga­ni­sa­ties en inlich­tin­gen­dien­sten betrokken zijn.

Wanneer infra­struc­tuur in Neder­land of België in beeld komt, ligt samen­wer­king met de autori­teiten in dat land voor de hand, meent Brunkow. Zij kunnen bijvoor­beeld een hosting­pro­vider benaderen, beslag laten leggen op een server of via een gerech­te­lijk bevel gegevens veilig­stellen. Dat is vaak juridisch minder riskant dan een eenzij­dige Ameri­kaanse digitale ingreep.

Tegelijk blijft dit een gevoelig punt. Het internet trekt zich weinig aan van lands­grenzen, terwijl opspo­rings­be­voegd­heden juist sterk natio­naal zijn georga­ni­seerd. Een technisch zorgvuldig uitge­voerde operatie kan daardoor alsnog diplo­ma­tieke, straf­rech­te­lijke of civiel­rech­te­lijke gevolgen hebben.

Attribution blijft groot risico

Een offen­sieve cyberope­ratie vereist een veel grotere mate van zeker­heid dan een defen­sieve bevei­li­gings­test. Bij een penetra­tie­test is duide­lijk wie eigenaar is van de systemen en welke hande­lingen zijn toege­staan. Bij een operatie tegen een crimi­nele organi­satie moeten onder­zoe­kers eerst vaststellen wie een systeem werke­lijk gebruikt en voor welk doel.

Dat is lastig omdat cyber­cri­mi­nelen hun activi­teiten uiter­aard bewust verbergen. Zij gebruiken VPN-diensten, Tor, gekaapte servers, gehackte accounts en infra­struc­tuur die met andere gebrui­kers wordt gedeeld. Ook imiteren groepen soms de werkwijze van andere aanvallers.

Een verkeerde identi­fi­catie kan ertoe leiden dat een systeem van een onschul­dige organi­satie wordt verstoord. In het ernstigste geval kan een operatie vitale processen raken of onbedoeld gevolgen hebben voor een zieken­huis, telecom­net­werk, industrieel systeem of overheidsdienst.

Brunkow benadrukt daarom het belang van meerdere, onafhan­ke­lijke infor­ma­tie­bronnen. Techni­sche indica­toren moeten worden gecom­bi­neerd met kennis over aanvals­pa­tronen, infra­struc­tuur, accounts, finan­ciële trans­ac­ties en eerdere opera­ties. Boven­dien moet infor­matie actueel zijn. Een correct geïden­ti­fi­ceerde server kan inmid­dels een andere eigenaar of functie hebben gekregen.

De uitein­de­lijke beslis­sing over een doelwit hoort volgens hem daarom niet bij de securi­ty­le­ve­ran­cier te liggen. Het bedrijf kan analyses maken en een operatie voorstellen, maar de overheid moet de infor­matie valideren, juridi­sche toestem­ming regelen en bepalen welke effecten aanvaard­baar zijn.

Opera­ties die waarschijn­lijk leiden tot doden, ernstig letsel of een situatie die inter­na­ti­o­naal­rech­te­lijk als geweld­ge­bruik of een gewapende aanval kan gelden, mogen niet via de reguliere proce­dure worden goedge­keurd. Daarvoor gelden aanvul­lende beper­kingen, waarvan een deel in een geheime bijlage bij het memorandum is vastgelegd.

Nieuwe vragen voor CISO’s

Het programma kan een nieuwe commer­ciële markt creëren, meent Brunkow. Ameri­kaanse cyber­se­cu­ri­ty­be­drijven kunnen niet alleen defen­sieve software, penetra­tie­testen en inciden­tres­pons leveren, maar ook capaci­teit beschik­baar stellen voor door de overheid aange­stuurde surveil­lance- en verstoringsoperaties.

Deelne­mende bedrijven moeten contracten sluiten met de Ameri­kaanse overheid en kunnen worden verplicht minimaal één miljoen dollar als borg of in escrow aan te houden. Dat bedrag kan worden ingehouden wanneer zij zich niet aan de contrac­tuele voorwaarden houden.

Voor leveran­ciers kan deelname aantrek­ke­lijk zijn vanwege overheids­con­tracten, toegang tot dreigings­in­for­matie en de mogelijk­heid nieuwe opera­ti­o­nele exper­tise op te bouwen. Daar staan aanzien­lijke risico’s tegen­over. Crimi­nele organi­sa­ties kunnen proberen wraak te nemen, medewer­kers kunnen een doelwit worden en buiten­landse overheden kunnen de juridi­sche bescher­ming van Ameri­kaanse deelne­mers betwisten.

Ook voor klanten veran­dert er mogelijk iets. Europese CIO’s en CISO’s zullen willen weten of een Ameri­kaanse securi­ty­le­ve­ran­cier betrokken is bij offen­sieve overheidsprogramma’s. Niet omdat deelname automa­tisch een probleem vormt, maar omdat verschil­lende rollen vragen kunnen oproepen over vertrou­we­lijk­heid, gegevens­schei­ding en belangenconflicten.

Een klant kan bijvoor­beeld willen weten of teleme­trie die voor defen­sieve dienst­ver­le­ning wordt verza­meld, ook kan worden gebruikt om een operatie voor te stellen. Andere vragen gaan over de toegang van overheids­in­stan­ties tot klant­ge­ge­vens, de schei­ding tussen commer­ciële en overheids­om­ge­vingen en de kans dat een leveran­cier zelf doelwit wordt van vergeldingsacties.

Het memorandum bepaalt dat deelne­mende bedrijven dreigings­in­for­matie mogen ontvangen uit de normale bedrijfs­ac­ti­vi­teiten van andere onder­ne­mingen. Dat maakt trans­pa­rante contrac­tuele afspraken essen­tieel. Klanten moeten kunnen begrijpen welke gegevens worden verza­meld, voor welke doeleinden die mogen worden gebruikt en onder welke omstan­dig­heden infor­matie aan de overheid of een opera­ti­o­nele partner wordt verstrekt.

Veel details ontbreken nog

Horizon3 beschikt met zijn autonome pentest­plat­form NodeZero over techno­logie die aanvals­paden in bedrijfs­om­ge­vingen opspoort en aantoont welke kwets­baar­heden daadwer­ke­lijk te misbruiken zijn. Het bedrijf werkt al voor Ameri­kaanse overheids­or­ga­ni­sa­ties en NodeZero heeft een zogeheten FedRAMP High-autori­satie. FedRAMP High is het hoogste bevei­li­gings­ni­veau binnen het Ameri­kaanse Federal Risk and Autho­ri­za­tion Manage­ment Program. Dit programma stelt bevei­li­gings­eisen aan cloud­dien­sten die door Ameri­kaanse federale overheids­or­ga­ni­sa­ties worden gebruikt.

Daarmee beschikt Horizon3 volgens Brunkow over exper­tise die relevant kan zijn voor het programma. Dit betekent nog niet dat het bedrijf automa­tisch wordt toege­laten of dat zijn bestaande techno­logie zonder aanpas­singen voor offen­sieve opera­ties kan worden ingezet. De defini­tieve criteria moeten immers nog worden gepubli­ceerd, zegt hij. Naast techni­sche mogelijk­heden zullen onder meer perso­neels­cree­ning, opera­ti­o­nele ervaring, bevei­ligde facili­teiten, rappor­tage, contrac­tuele aanspra­ke­lijk­heid en naleving van overheids­in­struc­ties meewegen.

Ook de rol van inter­na­ti­o­nale partners is nog onzeker. Een Neder­landse of Belgi­sche Horizon3-partner zou mogelijk techni­sche infor­matie, lokale kennis of exper­tise kunnen leveren. Of zo’n partner dichter bij de uitvoe­ring van een operatie mag komen, hangt af van de komende proce­dures en van de gevoe­lig­heid van de betref­fende opdracht.

Voorlopig vooral veel voorbereidend werk

Het memorandum is een belang­rijke beleids­wij­zi­ging, maar nog geen volledig opera­ti­o­neel programma. De komende uitvoe­rings­re­gels moeten duide­lijk maken hoe bedrijven worden geselec­teerd, welke bewijzen nodig zijn om een doelwit te bepalen en hoe aanspra­ke­lijk­heid, inter­na­ti­o­nale samen­wer­king en toezicht worden geregeld.

Voor Europese IT-managers en CISO’s is er daarom nog geen reden om hun inciden­tres­pons nu al volledig te herzien. Wel is dit een goed moment om te contro­leren of hun organi­satie na een aanval voldoende techni­sche gegevens kan bewaren en snel kan delen met bevoegde instanties.

Daarnaast verdient de relatie met Ameri­kaanse securi­ty­le­ve­ran­ciers aandacht. Organi­sa­ties kunnen in contracten en leveran­ciers­ge­sprekken vragen opnemen over het gebruik van teleme­trie, samen­wer­king met overheden, gegevens­schei­ding en eventuele deelname aan offen­sieve programma’s.

De funda­men­tele boodschap van Brunkow is duide­lijk: private bedrijven zijn niet ineens zelf rechter, opspo­rings­dienst en uitvoerder van offen­sieve opera­ties geworden. De Ameri­kaanse overheid probeert speci­a­lis­ti­sche kennis en snelheid in de markt te benutten, maar wil tegelij­ker­tijd de juridi­sche en opera­ti­o­nele regie behouden.

De klassieke grens rond “hack back” verdwijnt daarmee vooralsnog niet. Er ontstaat een smalle, streng gecon­tro­leerde doorgang waardoor geselec­teerde, Ameri­kaanse bedrijven namens de overheid mogen opereren. Juist de manier waarop die doorgang wordt bewaakt, zal bepalen of het programma uitgroeit tot een effec­tief instru­ment tegen cyber­cri­mi­na­li­teit of tot een nieuwe bron van juridi­sche en inte