Daily WTF!

por Don Ramón

Temporada 1

Van IT-kelder naar Bestuurskamer: Waarom de nieuwe Cyberbeveiligingswet bestuurders persoonlijk raakt

Cybersecurity is niet langer een geïsoleerd feestje van de IT-afdeling — de Cyberbeveiligingswet (CBW) trekt de digitale kabels rechtstreeks de bestuurskamer in. Sinds 15 augustus 2026 is de nieuwe wetgeving formeel van kracht. Waar IT-beveiliging voorheen vaak werd afgedaan als een taak in een afgekoelde serverruimte in de kelder, is het nu een keiharde bestuurlijke zorg- en aansprakelijkheidsplicht. In deze podcastaflevering ontleden we de harde wetsteksten, overheidspublicaties en praktijkver vertalingen. De belangrijkste inzichten uit de aflevering: Vervijfvoudiging van het speelveld: De wet geldt niet meer alleen voor de klassieke vitale infrastructuur, maar raakt ruim 8.000 Nederlandse organisaties — van de volledige voedselketen en zorg tot afvalverwerking, postdiensten en fabrikanten van medische hulpmiddelen. Het dominotil-effect in de keten (Supply Chain): Zelfs als jouw organisatie niet direct onder de 8.000 entiteiten valt, heeft deze wet impact. Hoofdaannemers en vitale organisaties zijn wettelijk verplicht hun toeleveranciersketen te beveiligen. Kun je als leverancier je beveiliging niet aantonen? Dan lig je uit het contract. Persoonlijke bestuurdersaansprakelijkheid & Artikel 78: Naast organisatieboetes (tot € 10 miljoen of 2% van de wereldwijde omzet) en persoonlijke boetes, introduceert Artikel 78 een ingrijpend wapen: de toezichthouder kan bij de rechter een schorsing van de bestuurder afdwingen. Dit betekent in de praktijk een beroepsverbod met aantekening in het Handelsregister. Opleidingsplicht is géén vinkjesoefening (Artikel 24): Bestuurders hebben een expliciete wettelijke plicht om kennis over cyberrisico's op te doen. Je hoeft geen firewalls te configureren, maar je moet wel de bedrijfskritische impact begrijpen als de beveiliging faalt. Hulp inroepen mag, maar de risico-acceptatie blijft bij het bestuur. Strikte meldplicht (24-uur regel): Bij een significant incident moet er binnen 24 uur een eerste waarschuwing liggen bij het CSIRT of de toezichthouder, binnen 72 uur een gedetailleerde melding en binnen een maand een uitgebreid eindrapport. Geopolitieke ingreep (Artikel 21a): De minister krijgt de bevoegdheid om leveranciers van hardware of software uit de keten te weren als er sprake is van een nationaal spionagerisico. De CISO als luchtverkeersleider, de Bestuurder als piloot In de podcast vergelijken we de dynamiek met de luchtvaart: de CISO is de luchtverkeersleider die alle radarschermen in de gaten houdt en risico's signaleert. De bestuurder is de piloot die beslist of er door de storm heen gevlogen wordt. Vliegt de piloot tegen het advies in de storm in, dan draagt de bestuurder de volle verantwoordelijkheid. Directe actiepunten voor organisaties: Registreer je entiteit in het NCSS-register via Mijn.NCSC.nl. Voer een risico-analyse uit op je toeleveranciers. Lijn de rapportagelijnen tussen CISO, CFO en CEO strak in.

T1 · E243

22 ago 2026

13:54

De onzichtbare hoofdsleutel van Entra ID: Waarom "geen actie vereist" dé valstrik van 2026 is

Een CVSS-score van 10.0, geen authenticatie nodig, en de mogelijkheid om ongemerkt de voordeur van tienduizenden organisaties, overheden en ziekenhuizen wereldwijd geruisloos te openen. In de nieuwste episode van onze podcast duiken we diep in CVE-2026-69836 — een kritiek lek in Microsoft Entra ID dat de cybersecuritywereld op zijn kop zette. Wat begint als een technische fout in een vergeten legacy-onderdeel, legt in werkelijkheid een gigantische blinde vlek bloot in de cloud-gebaseerde identiteitssystemen waar we massaal op bouwen. De anatomie van het lek (CVE-2026-69836) Het mechanisme: Een klassieke deserialisatiefout van onvertrouwde data. Een aanvaller kon van afstand een 'platgeslagen' datapakket sturen dat zichzelf op de server uitvouwde als een digitaal Trojaans paard. Geen authenticatie: Zonder in te loggen kon een kwaadwillende de server dwingen om zogenaamde Actor Tokens(digitale mandaten) uit te reiken. Hiermee promoveer je jezelf onzichtbaar tot hoogste beheerder over Microsoft 365, Azure-omgevingen en gekoppelde applicaties. Perimeter-compressie: Omdat organisaties hun beveiliging hebben gecentraliseerd bij één cloud-poortwachter, krimp de verdedigingslinie van duizenden bedrijven in tot één enkel kwetsbaar controlepunt. De communicatiechaos: Van wereldwijde paniek naar "niks aan de hand" Het incident legde een schurende dynamiek bloot tussen cloudleveranciers en IT-beheerders: Donderdag: Microsoft publiceert de 10.0-waarschuwing met de status actief misbruikt in het wild. Incident response teams over de hele wereld laten direct alles vallen. Vrijdag: De status verandert stilzwijgend naar niet actief misbruikt en "fully mitigated" aan de serverkant. De boodschap: "Geen actie vereist vanuit de klant." Waarom "Geen actie vereist" een gevaarlijke misvatting is Dat Microsoft de bug op de achtergrond heeft gedicht, betekent enkel dat je nu geen patch meer hoeft te installeren. Het geeft nul garantie dat een aanvaller in de maanden voorafgaand aan de patch niet al binnen is gedrongen. Blinde vlek in audit logs: Entra ID genereerde voor deze specifieke onderdelen helemaal geen logboeken voor eindgebruikers. Beheerders staren letterlijk naar een lege pagina. Onzichtbare achterdeuren: Een aanvaller die vóór de patch binnenkwam, kon simpelweg een malafide Service Principal (een geautomatiseerd robot-account) aanmaken. Die achterdeur blijft actief bestaan, patch of geen patch. Het Zero Trust-dilemma: Zero Trust dicteert: "vertrouw niets, verifieer alles". Maar wie verifieert de identiteitsprovider als de leverancier de logboeken beheert en het narratief bepaalt? De grote vraag voor de toekomst Zijn we te ver doorgeslagen in het centraliseren van onze identiteitsarchitectuur? Als de sleutelhanger van de hele wereld bij één partij ligt, worden gedecentraliseerde identiteitssystemen misschien wel een noodzakelijk alternatief.

T1 · E242

22 ago 2026

19:50

Van chatbot naar autonome AI: Waarom 'Agents', 'Loops' en 'Graphs' jouw werk gaan transformeren

De meeste professionals gebruiken Artificial Intelligence momenteel op een inefficiënte manier: de eindeloze cyclus van een prompt typen, het resultaat lezen, zuchten, en de prompt verbeteren. Om de overstap te maken naar AI als een onafhankelijke 'zelfrijdende auto', moeten we drie cruciale concepten omarmen: Agents, Loops en Graphs. 1. De Autonome Agent: Tools en Geheugen Een échte AI-agent kan meer dan alleen tekst genereren; hij kan autonoom handelen. Hiervoor heeft een agent 'tools' (zoals API's of rekenmachines) en een robuust geheugen nodig. Het probleem met de huidige AI is het beperkte context window (het werkgeheugen). Als een taak te lang duurt, raakt het 'vel papier' vol en verdwijnt de originele instructie. Een veelgebruikte oplossing is de 'scratchpad-techniek', waarbij de AI periodiek pauzeert om een samenvatting te schrijven van de voortgang. Hier schuilt echter een gevaar: bij elke samenvatting gaat nuance verloren (denk aan het fluisterspelletje). Om te voorkomen dat de agent ontspoort, is de System Prompt onmisbaar. Dit is een onzichtbare, ijzersterke set van kernregels (een "anker") die de AI steevast als eerste inlaadt en nooit overschreven mag worden. 2. Loops: Het Gevaar van de 'Zachte Check' Echte autonomie ontstaat pas door het toevoegen van 'Loops' – een continue cyclus waarin de AI plant, uitvoert en zijn eigen werk controleert tot het specifieke doel is bereikt. Daarbij moet wel altijd een stopconditie worden ingebouwd om eindeloos rekenen en torenhoge serverkosten te voorkomen. Bij het controleren van dit proces stuiten we op een gigantische valkuil: AI is verschrikkelijk slecht in 'zachte checks'. Vraag je aan een AI of de tekst die hij zojuist heeft geschreven "vriendelijk en empathisch genoeg" is, dan zal het model uit bevestigingsvooroordeel (confirmation bias) vrijwel altijd "Ja!" antwoorden. AI excelleert echter wél in 'harde checks', zoals het objectief testen of gegenereerde programmeercode compileert. Als de code crasht, detecteert de AI de foutmelding en draait de loop opnieuw. Harde checks zijn een absolute vereiste voor een betrouwbare autonome loop. 3. Graphs: Weg met de 'Fake Edge' Wanneer taken te complex worden voor één enkele agent, bouwen we 'Graphs': architecturen van meerdere gespecialiseerde AI-agenten (Nodes) die met elkaar communiceren via informatiestromen (Edges). Vanuit menselijke logica hebben we de neiging processen strikt chronologisch (eerst A, dan B) te ontwerpen. In de wereld van AI noemt men dit een 'Fake Edge': een kunstmatige afhankelijkheid. AI kan namelijk perfect parallel werken. De podcast gebruikt de analogie van koken: je hoeft niet te wachten tot het pastawater kookt voordat je de uien snijdt. De efficiëntste AI-structuur is het 'Diamant-model' (Fan out, then converge). Hierin voeren gespecialiseerde agenten onafhankelijke deeltaken razendsnel tegelijkertijd uit. Pas aan het eind vloeien de resultaten samen bij één 'synthese-agent' die het eindproduct oplevert. De Gouden Regel voor Kwaliteitscontrole Wanneer agenten elkaars werk controleren, hanteer dan altijd een 'gescheiden context' (een onafhankelijke checker). Een controlerende AI-agent mag nóóit de eerdere prompt-historie of gedachtegang zien van de agent die het originele werk leverde. Gebeurt dat wel, dan kopieert de controleur simpelweg de aannames van de ander en faalt de check. De checker moet starten met een schone lei en krijgt enkel de harde eisen en het eindresultaat te zien.

T1 · E238

19 ago 2026

33:14

Van verlaten kerncentrale tot commerciële sterrenstof: Waarom de stellerator dé fusie-revolutie is (en waar het schuurt)

Deze podcast analyseert de hernieuwde race naar kernfusie, met name via de stellerator — een asymmetrisch, getordeerd fusieontwerp uit 1951 (bedacht door Lyman Spitzer). In tegenstelling doeltreffende symmetrische tokamaks (zoals een donut), gebruikt een stellerator ingewikkelde externe magneetspoelen om plasma vast te houden zonder dat er een constante elektrische stroom door het plasma hoeft te lopen. Dit maakt het systeem van nature stabieler voor langdurige energieopwekking. Technologische Doorbraak Oplossing van Bohm-diffusie & Neoklassiek Transport: Stellerators kampten decennialang met hete deeltjes die weglekten door microscopische turbulentie en magneetdrip. Supercomputers: Pas in de jaren '90 konden supercomputers de complexe magneetvelden tot op de millimeter nauwkeurig berekenen om dit deeltjesverlies op te vangen. W7-X Record: De Duitse Wendelstein 7-X (W7-X) bewees de theorie recent met een recordwaarde voor de triple product en een opsluitingstijd van meer dan 200 milliseconden. De Instandhouding & Ingenieursproblemen Ondanks fysieke successen waarschuwen ingenieurs voor de rauwe industriële realiteit: Logistieke Nachtmerrie: Stellerators vereisen extreem zware, vervormde supergeleidende magneten. Een klein lek in de koeling is fataal. Veiligheid & Quench: Kernfusie kent geen ontploffingsgevaar of meltdown, maar een 'quench' (plotseling verlies van supergeleiding) zet magnetische energie razendsnel om in hitte. Dit kan de reaktor mechanisch verwoesten zonder het milieu te schaden. Kosten: De brandstof is goedkoop, maar de kapitaalkosten en het onderhoud van de gigantische machines zijn astronomisch. Industrie, Locatie & Bureaucratie Private Allianties: Proxima Fusion (plant een demonstratieresultaat in Garching) en Gauss Fusion (nieuwe CEO Dr. Uwe Bau) werken samen met zware industrieën (zoals Siemens, Bilfinger, KIT, ENEA). Hergebruik Kerncentrales: Gauss en TU München brachten 900 Europese locaties in kaart. Oude Duitse kerncentrales (zoals Philippsburg of Grafenrheinfeld) zijn ideaal vanwege hun al aanwezige hoogspanningsnetten, koelvoorzieningen en vergunningsstructuren. Wetgeving & Intellectueel Eigendom (IP): De Duitse Atomschutzgesetz (ATG) is verouderd en gericht op kernsplitsing/ontmanteling. Politieke partijen pleiten voor een nieuw innovatiekader. Tegelijkertijd eist de overheid strenge IP-voorwaarden (spill-over obligations) bij miljardensubsidies (zoals de Hubs for Fusion) om technologische souvereiniteit binnen Europa te houden. De Grote Onzekerheid: Tritium Kweken Fusie vereist deuterium en tritium. Deuterium is overvloedig, maar tritium is extreem zeldzaam. Een commerciële fusiecentrale moet haar eigen tritium 'kweken' in de reactorwand via een deken van lithium. Als dit proces niet efficiënt genoeg werkt, valt de gehele fusiestroom direct stil.

T1 · E237

19 ago 2026

15:37

Hack je zenuwstelsel: De kracht van excentrisch trainen en slimme fitnesstechnologie

Moderne sporttechnologie en spierfysiologie laten zien dat spieropbouw en herstel niet langer draaien om 'brute kracht', maar om het slim beïnvloeden van de communicatie tussen je zenuwstelsel, hart en spieren. Automatisering in de Sportschool: Kansen en Blinde Vlekken Geautomatiseerde fitnesscircuits (zoals E-Gym, Tree11 en Purple Gym) beloven maximale resultaten in 30 tot 45 minuten via slimme software: Automatische Periodisering: Software leidt sporters door fasen om spierplateaus te voorkomen: Regulier(standaard kracht), Negatief (excentrisch), Adaptief (gewicht daalt bij spierfalen), Isokinetisch (vaste snelheid) en Explosief (snelle spiervezels). Marketing vs. Realiteit: Claims over 6 kg spiertoename in twee weken zijn biologisch onmogelijk (vochtretentie of meetfouten). Reële krachttoenames liggen rond 10-20% in twee tot drie maanden. De Blinde Vlek: Het uitbesteden van beweging aan een computer vermindert proprioceptie (driedimensionaal lichaamsbewustzijn). De vaste bewegingsbaan schakelt kleine stabilisatiespieren uit en vermindert sociale interactie in de sportschool. Excentrisch Trainen: De Ultieme Metabolische Cheat Code Het hart van deze technologie leunt op het verschil tussen concentrische (samenknijpende) en excentrische (afremmende) spieracties, zoals onderzocht door prof. Hans Hoppeler: Eigenschap Concentrisch (Optillen)Excentrisch (Afremmen) Mechanisme Chemische samentrekking (ATP)Mechanisch 'klittenband-effect' Energie & Zuurstof Hoge metabolische vraag 4x zo laag bij gelijke belasting Zenuwstelsel-signaal (EMG) Volledige elektrische aansturing Gehalveerd signaal naar de spier Spierschade BeperktMicro-scheurtjes (DOMS / spierpijn) V8-motor voor de Prijs van een Hybride: Excentrisch trainen levert enorme spierprikkels zonder het cardiovasculaire systeem uit te putten. Topskiërs verwerken op excentrische ergometers tot 1200 Watt (240 ton cumulatieve weerstand) met minimale zuurstofopname. Repeated Bout Effect: Door de belasting geleidelijk in drie weken op te bouwen, verstevigt de bindweefselstructuur rondom spiervezels. Hierdoor verdwijnt spierpijn en kan de spier extreme krachten aan. Klinische Revolutie: Van COPD tot Long COVID Omdat excentrische belasting spieren versterkt zonder de longen en het hart zwaar te belasten, biedt het grote medische voordelen: Sarcopenie & COPD: Ouderen en chronisch zieken bouwen spiermassa op met 35% minder ademhalingsbelasting. Long COVID & Dysautonomie: 96% van de Long COVID-patiënten kampt met vermoeidheid door dysautonomie(ontregeld autonoom zenuwstelsel met een lage Hartslagvariabiliteit / HRV en verhoogde rusthartslag). De Fitheidstolk: Uit mediatie-analyses blijkt dat circa 25% van de verstoorde HRV direct wordt gemedieerd door een gebrek aan cardiorespiratoire fitheid (VO2max). Fitheid fungeert als 'tolk': een sterke conditie voorkomt dat een viraal syndroom het autonome zenuwstelsel volledig ontregelt. Het beheersen van de wisselwerking tussen mechanische belasting, zuurstofcapaciteit en zenuwstelselrespons vormt de sleutel tot zowel fysieke topsport als medisch herstel.

T1 · E236

19 ago 2026

25:33

Porsche samen met Xpeng

Het klopt inderdaad dat de wegen van Porsche en moederbedrijf Volkswagen op het gebied van emissies (tijdelijk) scheiden. Porsche stapt voor de jaren 2026 en 2027 uit de Europese CO2-emissiepool van de Volkswagen Groep en vormt in plaats daarvan een nieuwe 'open pool' met de Chinese fabrikant van elektrische auto's, XPeng [1-4]. Deze opvallende samenwerking heeft een aantal belangrijke strategische en financiële redenen: * Tegenvallende EV-verkopen en focus op brandstof: Porsche ziet de vraag naar zijn elektrische modellen in Europa teruglopen; zo daalden de verkopen van de Taycan onlangs met 20% en die van de elektrische Macan met 30% [5, 6]. Het merk past daarom zijn elektrificatiestrategie aan en gaat zich weer meer focussen op winstgevende modellen met een verbrandingsmotor (zoals een nieuwe Macan, Cayenne en Panamera op benzine) [5, 7]. Dit zal echter leiden tot een aanzienlijke stijging van Porsche's gemiddelde CO2-uitstoot [5, 8]. * Geen emissieruimte binnen Volkswagen: De overige automerken binnen de Volkswagen Groep hebben zelf al de grootste moeite om de strenge Europese CO2-doelstellingen te behalen. In 2025 zat de groep op een gemiddelde uitstoot van 100 gram/km, terwijl de limiet 93,6 gram was [9, 10]. Er is intern dus geen ruimte om de extra vervuilende auto's van Porsche te compenseren [8]. Door Porsche uit de pool te halen, wordt het voor de VW Groep mogelijk zelfs makkelijker om hun eigen doelen wél te halen [9, 10]. * XPeng als de ideale partner: XPeng verkoopt in Europa uitsluitend volledig elektrische auto's [11]. Door de nul-emissie registraties van XPeng samen te voegen met die van Porsche, kan de gemiddelde uitstoot van de pool sterk omlaag worden gebracht [2, 11]. Een bijkomend voordeel is dat de Volkswagen Groep een aandeel van 5% in XPeng heeft, waardoor een deel van het geld dat Porsche voor deze deal betaalt, indirect weer terugvloeit naar Volkswagen [4, 9]. * Voorkomen van miljardenboetes: Hoewel Porsche de Chinezen ongetwijfeld fors moet betalen voor deze zogeheten "groene kredieten", is dit hoogstwaarschijnlijk veel goedkoper dan de alternatieve EU-boetes. Er was namelijk berekend dat de Volkswagen Groep anders in de periode 2025 tot en met 2027 mogelijk 1,2 tot 1,5 miljard euro aan emissieboetes had moeten betalen [12].

T1 · E235

18 ago 2026

23:23

Het groene dashboard Is een Illusie: van statisch scannen naar continuous threat exposure management

Periodieke netwerkscans bieden een gevaarlijke schijnveiligheid in moderne cloudomgevingen. Terwijl maandelijkse rapporten een 'groen' dashboard tonen, kunnen kortstondige (ephemeral) workloads – zoals automatisch opschalende Kubernetes-containers – binnen enkele minuten ontstaan, misbruikt worden en weer verdwijnen. Tegen de tijd dat een traditionele scan draait, is de aanval voorbij en staat de achterdeur open. Het Failliet van Traditionele Scans Vluchtige Workloads: Cloud-native microservices en serverless functies leven vaak slechts minuten of seconden. Periodieke scans missen deze dynamische IT-activa volledig. Vulnerability Fatigue: Scanners genereren dikke rapporten met duizenden CVE's zonder context. Dit leidt tot verlamming en overbelasting bij securityteams. Misplaatste Aannames: Oude beveiligingsmodellen gaan uit van statische servers met vaste IP-adressen — een situatie die in modern CI/CD-beheer niet meer bestaat. Actieve Asset Discovery (CIS Controls v7.1) CIS Controls 1 & 2: Beveiligen wat onzichtbaar is, kan niet. De focus verschuift van periodieke CMDB-updates naar een continue stroom van asset-ontdekking. Realtime DHCP-Koppeling: Netwerktoegangscontroles en DHCP-logs moeten via API's direct gecorreleerd worden met de asset-database om Shadow IT en onbeheerde apparaten 'on-the-fly' te herkennen. Dekkingsratio's: Succes wordt gemeten aan de hand van de 'delta' tussen daadwerkelijk actieve IP-adressen op het netwerk en het aantal beheerde security-agents. Van CVSS naar Contextuele Prioritering (RBVM & CTEM) De Beperking van CVSS: Een CVSS-score beoordeelt technische ernst in een vacuüm. Een kritiek lek op een geïsoleerde testserver is minder urgent dan een gemiddeld lek op een publiek betalingsportaal. Inzet van EPSS & CISA KEV: Risk-Based Vulnerability Management (RBVM) gebruikt de Exploitability Prediction Scoring System (EPSS) en lijsten met actief misbruikte exploits om de werkelijke dreiging te berekenen. Continuous Threat Exposure Management (CTEM): Voegt bedrijfscontext en actieve validatie (zoals red teaming) toe om zogenaamde choke points te identificeren — cruciale knooppunten waar meerdere aanvalspaden samenkomen. Remediëring vs. Mitigatie Remediëren: De bronoorzaak definitief herstellen (patch installeren, code herschrijven). Mitigeren: Compensrerende maatregelen nemen (netwerkisolatie, virtueel patchen via IPS) wanneer een reboot of downtime op kritieke bedrijfssystemen onmogelijk is. Het Gevaar van 'Mitigatie-Rot': Gemmitigeerde kwetsbaarheden mogen nooit de status 'opgelost' krijgen. Verandert een netwerkregel drie maanden later, dan staat het niet-gepatchte systeem ongemerkt weer bloot. Automatisering en Onveranderbare Infrastructuur Shift-Left in CI/CD: Beveiligingsscans worden diep geïntegreerd in de ontwikkeldienst; kwetsbare code wordt automatisch geblokkeerd voordat deze live gaat. Automatisch Patchen met Safeguards: Gebruik Cloud Workload Protection Platforms (CWPP) gecombineerd met canary-releases en Infrastructure as Code (IaC) om patches geautomatiseerd én veilig uit te rollen. Immutable Infrastructure: De ultieme stip op de horizon: in plaats van draaiende containers te herstellen ('patchen'), wordt een kwetsbare container direct vernietigd en binnen een seconde vervangen door een schone, geautomatiseerde nieuwbouw.

T1 · E234

18 ago 2026

17:11

1 de 25

Daily WTF!

Van IT-kelder naar Bestuurskamer: Waarom de nieuwe Cyberbeveiligingswet bestuurders persoonlijk raakt

De onzichtbare hoofdsleutel van Entra ID: Waarom "geen actie vereist" dé valstrik van 2026 is

Cabrio-therapie: Waarom het open dak hét medicijn is tegen stress

Hoe mRNA-technologie kanker en auto-immuunziekten herprogrammeert

Hoe een vredesverdrag de gruwelen van eenheid 731 ontketende

Van chatbot naar autonome AI: Waarom 'Agents', 'Loops' en 'Graphs' jouw werk gaan transformeren

Van verlaten kerncentrale tot commerciële sterrenstof: Waarom de stellerator dé fusie-revolutie is (en waar het schuurt)

Hack je zenuwstelsel: De kracht van excentrisch trainen en slimme fitnesstechnologie

Porsche samen met Xpeng

Het groene dashboard Is een Illusie: van statisch scannen naar continuous threat exposure management