Bent u bekend met het bericht dat PHP alleen voor de vier nog ondersteunde versies een reparatie heeft uitgebracht, terwijl naar schatting zestig tot zeventig procent van de PHP-servers op oudere versies draait?1
Vraag 2
Hoe zorgt de Baseline Informatiebeveiliging Overheid 2 (BIO2) ervoor dat software die helemaal geen updates meer krijgt, op tijd wordt vervangen?
Vraag 3
Hebben controles zoals ENSIA, de Auditdienst Rijk of de Algemene Rekenkamer de afgelopen jaren verouderde software bij de overheid aan het licht gebracht? Wat is daar vervolgens mee gedaan?
Vraag 4
Hoeveel systemen van de overheid draaien op dit moment op software die geen beveiligingsupdates meer krijgt, en is dat overzicht volledig?
Vraag 5
Gaan de Inkoopeisen Cybersecurity Overheid en de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten ook over de onderliggende software in een product, zoals PHP, of alleen over het product zelf?
Vraag 6
Hoe vaak is de afgelopen jaren gehandhaafd op deze inkoopeisen, bijvoorbeeld toen een leverancier zijn product niet meer bijwerkte?
Vraag 7
Hoe wordt bij de Cyberbeveiligingswet getoetst of organisaties weten welke verouderde onderdelen er in de software van hun leveranciers zitten?
Vraag 8
Hoe wordt de veiligheid geborgd van systemen die de overheid al jaren gebruikt, nu de eisen uit de Cyber Resilience Act alleen gelden voor producten die vanaf december 2027 op de markt komen?
Vraag 9
Blijft er, ondanks deze Europese regels, een gat over dat Nederland zelf moet dichten? Zo ja, hoe wilt u dat doen en op welke termijn?
Vraag 10
Is de ondersteuning door de Informatiebeveiligingsdienst genoeg voor gemeenten, provincies en waterschappen om verouderde software zelf op te sporen en te vervangen?
Vraag 11
Kunt u deze vragen afzonderlijk van elkaar en voor het commissiedebat Online veiligheid en cybersecurity beantwoorden?
Kamervraag document nummer: kv-tk-2026Z23405
Volledige titel: Verouderde software bij de overheid naar aanleiding van het PHP-lek