De federale overheid opent een deur die decennialang gesloten is geweest: particuliere bedrijven laten terugslaan tegen hackers met offensieve middelen, niet alleen defensieve. Onder een nieuw beleid van de regering-Trump zouden gescreende beveiligingsbedrijven binnenkort gemachtigd kunnen worden om Amerikaanse particuliere cyberoperaties te lanceren tegen buitenlandse criminele netwerken die Amerikanen online aanvallen, een koerswijziging die decennialang beleid omverwerpt dat particuliere actoren verbiedt offensieve actie te ondernemen zonder toestemming van een rechtbank.
Summary
Belangrijkste punten
- Een National Security Presidential Memorandum, gedateerd 13 aug. 2026, draagt het National Coordination Center (NCC) op een programma op te zetten waarmee gescreende particuliere bedrijven offensieve cyberoperaties kunnen uitvoeren tegen buitenlandse cybercriminelen.
- In aanmerking komende doelwitten zijn onder meer ransomwarebendes, sextortionschema’s, phishingcampagnes, financiële frauderetten en oplichting met identiteitsfraude die verbonden zijn aan transnationale criminele organisaties.
- Deelnemende bedrijven moeten worden goedgekeurd door de ministeries van Justitie en Homeland Security, voldoen aan strikte technische en screeningsnormen en een escrow-storting van $1 miljoen plaatsen die wordt verbeurd bij niet-naleving.
- Operaties kunnen onder meer het inzetten van spyware, op encryptie gebaseerde uitsluitingen en distributed denial-of-service-aanvallen omvatten, maar mogen geen verlies van mensenlevens, ernstig letsel veroorzaken of het niveau van “gebruik van geweld” onder internationaal recht bereiken.
- De ministeries van Justitie en Homeland Security hebben 60 dagen om uit te werken hoe het programma in de praktijk zal functioneren.
Amerikaanse overheid machtigt offensieve cyberoperaties door de private sector
Voor het eerst nodigt Washington particuliere bedrijven uit om onder federale autorisatie terug te slaan tegen buitenlandse hackers, in plaats van hen strikt tot verdediging te beperken. Het memorandum, ondertekend door president Donald Trump, instrueert het National Coordination Center, dat onder de Homeland Security Task Force valt, om een formeel programma op te zetten voor deze operaties, met toezicht dat wordt gedeeld door de ministeries van Justitie en Homeland Security.
Het beleid is rechtstreeks gericht op transnationale criminele organisaties, groepen die in het memo worden gedefinieerd als buitenlandse entiteiten die cyber-enabled crime plegen tegen de Amerikaanse overheid, Amerikaanse personen of Amerikaanse belangen, zonder een officieel onderdeel van een andere overheid te zijn. Een factsheet die samen met het bevel is vrijgegeven, noemt ransomware-operators, sextortionschema’s, phishingcampagnes, financiële frauderetten en oplichting met identiteitsfraude als legitieme doelwitten voor deelnemende bedrijven. Volgens cijfers die in de factsheet van het Witte Huis worden aangehaald, meldden Amerikaanse consumenten in 2025 alleen al meer dan $20,8 miljard te hebben verloren aan cyber-enabled crime, een aantal dat onderstreept waarom functionarissen verder kijken dan traditionele opsporingsmiddelen.
Waarom is dit belangrijker dan alleen de beleidsformulering? Het markeert een structurele verandering in de manier waarop de VS grensoverschrijdende cybercriminaliteit bestrijdt. In plaats van uitsluitend te vertrouwen op FBI-onderzoeken, sancties of diplomatieke druk, positioneert de overheid nu expertise uit de private sector als een frontliniewapen tegen criminele netwerken die vaak vrijwel ongestraft hebben geopereerd vanuit rechtsgebieden die de VS niet gemakkelijk kan bereiken.
Deelnamevereisten en operationele beperkingen
Niet zomaar elke beveiligingsleverancier kan zich aanmelden. Bedrijven die willen deelnemen, moeten een screeningsproces doorlopen dat gezamenlijk wordt uitgevoerd door de ministeries van Justitie en Homeland Security voordat zij een formeel contract aangaan, en de drempel voor toelating is bewust hoog.
Screening, normen en de escrow van $1 miljoen
Het memo beschrijft minimumnormen waaraan deelnemende bedrijven moeten voldoen, waaronder technische deskundigheid, een bewezen staat van dienst in cyberoperaties, beveiliging van faciliteiten, screening van personeel, competentie en betrouwbaarheid. Programmadirecteuren, die samenwerken met de Homeland Security Council, zullen bepalen hoe “groot vertrouwen” in de capaciteiten van een bedrijf er precies uitziet voordat het wordt goedgekeurd.
Ook financieel zijn de inzet reëel. Bedrijven moeten minimaal $1 miljoen op een escrowrekening storten**, geld dat wordt verbeurd als zij de voorwaarden van hun contractuele overeenkomst schenden. Bedrijven zijn ook verplicht om operaties onmiddellijk te stoppen en het NCC te informeren als zij activiteiten detecteren die de goedgekeurde grenzen overschrijden, waaronder elke onbedoelde targeting van Amerikaanse burgers of in de VS gevestigde systemen. Die waarborg is bedoeld om friendly-fire-scenario’s te voorkomen waarin een offensieve operatie afwijkt naar binnenlandse netwerken.
Toegestane cyberoperaties en juridische grenzen
Het programma trekt een duidelijke grens tussen agressieve digitale tactieken en alles wat reële schade in de fysieke wereld zou kunnen veroorzaken. Goedgekeurde bedrijven mogen uitvoeren wat het memo Cyber Surveillance Operations en Cyber Effects Operations noemt, terminologie die ruimte laat voor een vrij breed offensief instrumentarium.
Wat is toegestaan en wat is verboden
Op basis van de bewoording van het memo zouden bedrijven spyware kunnen inzetten, encryptie kunnen gebruiken om criminele groepen uit hun eigen systemen te sluiten, of distributed denial-of-service-aanvallen kunnen lanceren die zijn ontworpen om de infrastructuur van een doelwit te verstoren. Tot nu toe heeft de overheid de private sector over het algemeen verboden dit soort offensieve acties te ondernemen zonder door een rechtbank geautoriseerde goedkeuring, wat deze koerswijziging opmerkelijk maakt.
Er is echter een harde bovengrens aan wat is toegestaan. Operaties mogen niet leiden tot wat het memo “Critical Outcomes” noemt, wat betekent: geen verlies van mensenlevens, geen ernstig letsel en niets dat zou kwalificeren als gebruik van geweld of gewapende aanval onder internationaal recht. Die beperking is bedoeld om te voorkomen dat hack-back-operaties escaleren tot iets dat lijkt op een gewapend conflict, zelfs terwijl particuliere actoren middelen in handen krijgen die voorheen waren voorbehouden aan overheidsinstanties.
Wat gebeurt er nu
Het kader bestaat op papier, maar de operationele realiteit wordt nog uitgewerkt. De ministeries van Justitie en Homeland Security hebben 60 dagen om de details te bepalen van hoe het programma van dag tot dag zal functioneren, inclusief hoe contracten worden gestructureerd en hoe het toezicht daadwerkelijk zal worden afgedwongen.
Scepsis van experts over prikkels
Onafhankelijk beveiligingsonderzoeker Kevin Beamont verwelkomde een deel van het concept, maar wees op een reële zorg over hoe het in de praktijk uitpakt. “Er zit zeker iets in het idee om ransomwaregroepen te hacken en het gebeurt in feite nu al (vraag me niet hoe ik dat weet),” zei hij, eraan toevoegend dat “de juiste prikkels aanwezig moeten zijn.”
Beamont ging verder en wees op een patroon dat hij in de sector heeft waargenomen: “Het grootste probleem dat ik de afgelopen 5 jaar heb gehad met het bestrijden van ransomware is dat particuliere cyberbedrijven er in feite voor lobbyen dat er niets verandert. Veel bedrijven hebben veel geld verdiend, dus hen verantwoordelijk maken voor het stoppen ervan lijkt optimistisch.”
Die spanning raakt de kernvraag die boven dit hele initiatief hangt. Het toekennen van offensieve capaciteiten aan bedrijven die profiteren van het voortbestaan van cybercriminaliteit kan een programma creëren dat er op papier hard uitziet, maar moeite heeft om resultaten te leveren als de onderliggende prikkels niet verschuiven. Of de ministeries van Justitie en Homeland Security voldoende verantwoording inbouwen wanneer zij de regels in de komende weken finaliseren, zal waarschijnlijk bepalen of dit nieuwe hoofdstuk van Amerikaanse particuliere cyberoperaties een betekenisvolle verstoring wordt van transnationale hacknetwerken of slechts een extra laag gecontracteerde bureaucratie.
FAQ
Welke soorten cybercriminele groepen kunnen particuliere bedrijven onder het nieuwe programma aanvallen?
Particuliere bedrijven mogen buitenlandse transnationale criminele organisaties aanvallen die betrokken zijn bij ransomware, sextortion, phishing, financiële fraude en oplichting met identiteitsfraude.
Welke beperkingen gelden voor de cyberoperaties die door particuliere beveiligingsbedrijven worden uitgevoerd?
Operaties mogen geen verlies van mensenlevens of ernstig letsel veroorzaken, niet kwalificeren als gebruik van geweld onder internationaal recht en moeten voldoen aan de Amerikaanse wetgeving en het toezicht.
Hoe worden particuliere beveiligingsbedrijven geselecteerd voor deelname aan het offensieve cyberprogramma?
Bedrijven moeten worden gescreend en goedgekeurd door de ministeries van Justitie en Homeland Security, voldoen aan technische en beveiligingsnormen en een escrow van $1 miljoen storten.
Wanneer worden gedetailleerde operationele procedures voor dit programma gepubliceerd?
De ministeries van Justitie en Homeland Security moeten binnen 60 dagen na de datum van het memorandum de details van het programma vastleggen.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Welke soorten cybercriminele groepen kunnen particuliere bedrijven onder het nieuwe programma aanvallen?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Particuliere bedrijven mogen buitenlandse transnationale criminele organisaties aanvallen die betrokken zijn bij ransomware, sextortion, phishing, financiële fraude en oplichting met identiteitsfraude.”}},{“@type”:”Question”,”name”:”Welke beperkingen gelden voor de cyberoperaties die door particuliere beveiligingsbedrijven worden uitgevoerd?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Operaties mogen geen verlies van mensenlevens of ernstig letsel veroorzaken, niet kwalificeren als gebruik van geweld onder internationaal recht en moeten voldoen aan de Amerikaanse wetgeving en het toezicht.”}},{“@type”:”Question”,”name”:”Hoe worden particuliere beveiligingsbedrijven geselecteerd voor deelname aan het offensieve cyberprogramma?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Bedrijven moeten worden gescreend en goedgekeurd door de ministeries van Justitie en Homeland Security, voldoen aan technische en beveiligingsnormen en een escrow van $1 miljoen storten.”}},{“@type”:”Question”,”name”:”Wanneer worden gedetailleerde operationele procedures voor dit programma gepubliceerd?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”De ministeries van Justitie en Homeland Security moeten binnen 60 dagen na de datum van het memorandum de details van het programma vastleggen.”}}]}
Artikel geproduceerd met behulp van kunstmatige intelligentie en beoordeeld door de redactie.
