Cyber Due Diligence: Digitale Risico's Scannen voor M&A

In 2017 ontdekte Verizon na de overname van Yahoo dat 3 miljard accounts gehackt waren — de overnameprijs daalde met $350 miljoen. Marriott erfde in 2018 een data breach van Starwood Hotels die 500 miljoen gasten trof. Cyber due diligence had dit kunnen voorkomen.

1. Waarom Cyber DD bij M&A?

Bij een overname erf je niet alleen activa en personeel — je erft ook digitale schuld:

• Onontdekte breaches — Gemiddeld 277 dagen om een breach te detecteren
• Verouderde systemen — Legacy software met bekende kwetsbaarheden
• Compliance-gaps — Niet voldoen aan AVG, NIS2 of sectorspecifieke eisen
• Shadow IT — Ongeautoriseerde systemen en diensten

2. NIS2-Richtlijn: Wat Verandert Er?

De Network and Information Security Directive 2 (NIS2) is sinds oktober 2024 van kracht in de EU. De richtlijn breidt de cybersecurity-verplichtingen drastisch uit:

• Meer sectoren — Naast energie en transport nu ook: voedsel, afval, chemie, ICT-diensten, post, ruimtevaart
• Supply chain security — Bedrijven moeten de cybersecurity van hun leveranciers beoordelen
• Bestuurlijke aansprakelijkheid — Bestuurders zijn persoonlijk aansprakelijk voor naleving
• Meldplicht — Significante incidenten binnen 24 uur melden
• Boetes — Tot €10 miljoen of 2% van de wereldwijde jaaromzet

3. De 5 Checks voor Cyber Due Diligence

4. Externe exposure-analyse: wat ziet een aanvaller?

Externe exposure-analyse laat zien welke internet-connected apparaten, poorten en services publiek bereikbaar zijn. Het scant voortdurend het internet en catalogiseert welke poorten open staan, welke software draait, en welke kwetsbaarheden aanwezig zijn.

Wat DueSight zoekt via externe exposure-analyse:

• Open databases — MongoDB, Elasticsearch, Redis zonder authenticatie
• RDP/VNC — Remote desktop poorten open naar het internet
• Verouderde webservers — Apache 2.2, IIS 6.0 met bekende exploits
• IoT-apparaten — Cameras, printers, industriele systemen
• Known CVE's — Software met publiek bekende kwetsbaarheden

5. Have I Been Pwned: Datalekken

Have I Been Pwned (HIBP) aggregeert data uit 700+ publieke data breaches. DueSight controleert of e-mailadressen van het doelbedrijf voorkomen in gelekte databases.

Waarom dit belangrijk is bij DD:

• Gelekte wachtwoorden = credential stuffing risico
• Veel hits = zwak wachtwoordbeleid
• Executive accounts in breaches = spear phishing risico

6. SSL/TLS en DNS-beveiliging

SSL/TLS analyse

• Certificaat geldigheid en uitgever
• Protocol versie (TLS 1.2 minimum, TLS 1.3 aanbevolen)
• Cipher suites (geen RC4, geen 3DES)
• HSTS header aanwezig?

DNS-beveiliging

• SPF — Voorkomt e-mail spoofing
• DKIM — Verifieert afzender authenticiteit
• DMARC — Beleid voor afhandeling van spoofed e-mail
• DNSSEC — Voorkomt DNS-hijacking

7. Data Breach na Overname: Cases

8. Veelgestelde Vragen

Is cyber due diligence verplicht bij overnames?

Niet wettelijk verplicht als zodanig, maar onder NIS2 zijn bestuurders persoonlijk aansprakelijk voor cybersecurity. Een overname zonder cyber DD kan dus bestuurdersaansprakelijkheid opleveren als er achteraf een breach ontdekt wordt.

Hoe lang duurt een cyber DD scan?

Een handmatige cyber DD door een securitybedrijf duurt 2-4 weken en kost €10.000-€50.000. DueSight's geautomatiseerde scan heeft een korte richttijd en zet de belangrijkste checks op een reviewroute.

Wat als de target veel kwetsbaarheden heeft?

Dat is juist waardevol om te weten vóór de deal. Je kunt: (1) de overnameprijs verlagen, (2) remediatie-kosten meenemen in de waardering, (3) specifieke garanties opnemen in het koopcontract, of (4) afzien van de deal.