Na het bereiken van end of support ontvangt software of hardware geen beveiligingsupdates meer van de fabrikant. Dat betekent dat nieuw ontdekte kwetsbaarheden open blijven staan, zonder dat er ooit een patch komt. Voor organisaties die afhankelijk zijn van zulke systemen stijgt het risico op cyberaanvallen, datalekken en compliance-overtredingen direct. In dit artikel beantwoorden we de meest gestelde vragen over wat er precies misgaat na end of support en wanneer actie noodzakelijk is.
Welke aanvallen worden vaker uitgevoerd op systemen zonder patches?
Systemen zonder patches zijn bij uitstek kwetsbaar voor ransomware, exploits van bekende kwetsbaarheden en geautomatiseerde aanvallen. Aanvallers scannen het internet actief op systemen die draaien op software waarvan de kwetsbaarheden publiekelijk bekend zijn, maar waarvoor geen fix beschikbaar is. Juist dat maakt end-of-support-systemen een makkelijk doelwit.
De meest voorkomende aanvalstypes zijn:
- Ransomware: Aanvallers benutten ongepatchte kwetsbaarheden om toegang te krijgen en bestanden te versleutelen.
- Remote code execution: Via bekende lekken in verouderde software kan kwaadaardige code op afstand worden uitgevoerd.
- Privilege escalation: Aanvallers gebruiken zwakke plekken om hogere rechten te verkrijgen binnen een netwerk.
- Credential harvesting: Verouderde authenticatieprotocollen in EOS-software zijn eenvoudiger te omzeilen.
Wat het extra gevaarlijk maakt: deze aanvallen zijn grotendeels geautomatiseerd. Je hoeft geen specifiek doelwit te zijn. Zodra een systeem zichtbaar is op het internet, kan het binnen uren worden gescand en aangevallen.
Hoe snel worden kwetsbaarheden in EOS-software misbruikt?
Kwetsbaarheden in end-of-support-software worden doorgaans binnen dagen tot weken na publieke bekendmaking actief misbruikt. Omdat er geen patch uitkomt, blijft het lek permanent open. Aanvallers weten dit en richten zich bewust op systemen waarvan de kwetsbaarheden al gedocumenteerd staan in publieke databases zoals de CVE-lijst.
Het patroon is voorspelbaar: zodra een beveiligingsonderzoeker een kwetsbaarheid publiceert, volgt er binnen korte tijd proof-of-concept-code op forums en in aanvalskits. Voor systemen die nog actief patches ontvangen, dicht de leverancier het lek snel. Voor EOS-systemen geldt die optie simpelweg niet. De tijdlijn van ontdekking naar actief misbruik wordt steeds korter naarmate aanvallen meer worden geautomatiseerd.
Voor IT-managers betekent dit concreet: elk extra kwartaal dat je draait op EOS-software is een kwartaal waarin het aanvalsoppervlak van je organisatie groeit zonder dat je er iets aan kunt doen via de normale updatecyclus.
Wat zijn de compliance-risico’s bij het draaien van end-of-life software?
Het draaien van end-of-life software levert directe compliance-risico’s op onder regelgeving zoals NIS2, AVG en ISO 27001. Deze kaders vereisen dat organisaties aantoonbaar maatregelen nemen om systemen veilig te houden. Een systeem zonder beveiligingsupdates voldoet per definitie niet aan die eis, ongeacht andere maatregelen die je treft.
Concreet riskeer je bij een incident het volgende:
- Boetes van toezichthouders wegens aantoonbare nalatigheid in beveiliging.
- Verlies van certificeringen zoals ISO 27001, omdat auditors EOS-systemen als een open risico beschouwen.
- Aansprakelijkheid bij een datalek als blijkt dat het lek via bekende, ongepatchte kwetsbaarheden is misbruikt.
- Problemen met cyberverzekeringspolissen, die steeds vaker EOS-software uitsluiten van dekking.
Onder de NIS2-richtlijn, die in 2026 steeds strikter wordt gehandhaafd, geldt bovendien dat bestuurders persoonlijk aansprakelijk kunnen worden gesteld voor onvoldoende beveiligingsmaatregelen. Dat maakt de beslissing om op EOS-software te blijven draaien niet alleen een technisch vraagstuk, maar ook een bestuurlijk risico.
Verschilt het risico per type hardware of software na end of support?
Ja, het risico na end of support verschilt aanzienlijk per type systeem. Software die direct verbonden is met het internet, zoals besturingssystemen, firewalls en webapplicaties, vormt het grootste risico. Hardware zonder directe netwerkverbinding brengt minder direct gevaar met zich mee, maar kan indirect een zwakke schakel worden.
Een globale risicorangschikking:
- Hoog risico: Besturingssystemen (zoals Windows Server-versies na EOS), databasesoftware en netwerkapparatuur zoals routers en switches.
- Middelhoog risico: Applicatiesoftware die interne data verwerkt, zoals ERP- of CRM-systemen op verouderde platforms.
- Lager risico: Geïsoleerde hardware zonder netwerkverbinding, hoewel fysieke beveiliging dan extra aandacht verdient.
Belangrijk is dat zelfs hardware met een lagere risicoclassificatie problemen kan geven als er geen vervangende onderdelen meer beschikbaar zijn. Een defecte server zonder beschikbare spare parts kan de bedrijfscontinuïteit net zo hard raken als een cyberaanval.
Kan third-party support de beveiligingsrisico’s na EOS beperken?
Third-party support kan een deel van de risico’s na end of support beperken, maar vervangt geen beveiligingspatches. Een gespecialiseerde ondersteuningspartner kan de beschikbaarheid en prestaties van hardware bewaken, spare parts leveren en operationele continuïteit garanderen. Beveiligingslekken in software blijven echter bestaan, tenzij aanvullende compenserende maatregelen worden getroffen.
Wat third-party support wel kan bieden:
- Snelle vervanging van defecte hardware-onderdelen vanuit lokale voorraden, zodat downtime minimaal blijft.
- Monitoring en proactief beheer om afwijkend gedrag vroeg te signaleren.
- Flexibele SLA’s die aansluiten bij de specifieke behoeften van de organisatie.
- Begeleiding bij het plannen van een gecontroleerde migratie naar ondersteunde systemen.
Combineer third-party support altijd met aanvullende beveiligingslagen: netwerksegmentatie, strikte toegangscontrole en intensievere monitoring. Zo beperk je de blootstelling van EOS-systemen zoveel mogelijk totdat migratie haalbaar is. Onze IT-diensten zijn specifiek gericht op organisaties die deze overgangsperiode zo veilig en kostenefficiënt mogelijk willen doorlopen.
Wanneer is het veiliger om te migreren dan door te draaien op EOS-systemen?
Migratie is veiliger dan doordraaien op EOS-systemen zodra compenserende beveiligingsmaatregelen niet langer opwegen tegen de risico’s, of wanneer compliance-vereisten migratie afdwingen. De afweging hangt af van de kritikaliteit van het systeem, de mate van blootstelling aan het internet en de beschikbaarheid van alternatieven.
Overweeg migratie als prioriteit wanneer:
- Het systeem direct toegankelijk is via het internet of gekoppeld is aan kritieke bedrijfsprocessen.
- Er actief misbruik plaatsvindt van kwetsbaarheden in vergelijkbare systemen bij andere organisaties.
- Auditors of toezichthouders het EOS-systeem hebben aangemerkt als compliance-risico.
- De kosten van compenserende maatregelen de migratiekosten benaderen of overstijgen.
Doordraaien op EOS kan tijdelijk acceptabel zijn als het systeem volledig geïsoleerd is, er geen gevoelige data op staat en er een concreet migratieplan met een harde deadline ligt. Zonder dat plan wordt uitstel al snel een structureel risico in plaats van een bewuste keuze.
Hoe REAL helpt bij beveiligingsrisico’s na end of support
Wij begrijpen dat migreren niet altijd van de ene op de andere dag mogelijk is. Veel IT-managers beheren systemen die technisch nog functioneren, maar waarvan de ondersteuning al is gestopt. REAL helpt organisaties om die overgangsperiode zo veilig en gecontroleerd mogelijk door te komen. Dit doen we concreet door:
- Multi-Vendor Support te bieden voor hardware en software van vrijwel alle merken, onafhankelijk van de oorspronkelijke fabrikant.
- Spare parts te leveren vanuit 34 Europese locaties, zodat defecte hardware snel vervangen wordt en downtime minimaal blijft.
- Flexibele SLA’s op maat, afgestemd op de kritikaliteit van jouw systemen en de beschikbare budgetruimte.
- Begeleiding bij het plannen van een gefaseerde migratie, zodat je niet overhaast beslist maar ook niet onnodig lang op risico draait.
Wil je weten wat wij voor jouw organisatie kunnen betekenen? Neem contact op voor een vrijblijvend gesprek, of download onze brochure voor meer informatie over onze aanpak.
