De Europees ogende wachtwoordsoftware Passwork komt in werkelijkheid uit Rusland, aldus Nu.nl onlangs. Geen van de Europese klanten wist het. Over twee maanden gaat de meldplicht van de Cyber Resilience Act in, maar de vraag “wie zit er eigenlijk achter mijn software” heeft in heel de Digital Decade-wetgeving nog steeds geen goed antwoord.
Passwork maakt wachtwoordkluizen voor bedrijven. Op de website: “Made in EU”, hoofdkantoor Barcelona, voldoet aan Europese privacywetgeving. In werkelijkheid werd het bedrijf in 2014 opgericht in Rusland, en die banden zijn er nog. Het “hoofdkantoor” bleek een brievenbus bij een Russischtalig advocatenkantoor. Onder meer een grote Nederlandse zonneparkbeheerder, een Frans havenbedrijf en Ierse overheidsinstanties waren klant.
Passwork zegt dat wachtwoorden alleen op de servers van klanten staan, versleuteld, met een “zero-knowledge architecture”. Ze kunnen er zelf niet bij. Althans, zeggen ze: de encryptie en decryptie vinden plaats in code die Passwork zelf schrijft en via updates beheert. Wij kunnen het niet zien. Een extra kanaaltje naar de FSB kan er dus zomaar zijn.
Password managers worden expliciet in de Cyber Resilience Act (CRA) genoemd als in-scope softwareproducten. Vanaf 11 september moet Passwork actief misbruikte kwetsbaarheden binnen 24 uur melden bij ENISA, en tegen december 2027 moet het bedrijf een volledige SBOM leveren — een stuklijst van alle softwarecomponenten, inclusief herkomst.
Maar een SBOM vertelt je wat er volgens de leverancier in de software zit. Niet wat er daadwerkelijk draait. Ken Thompson beschreef dat probleem al in 1984: een compiler die zichzelf compileert kan een achterdeur bevatten die in geen enkele regel broncode zichtbaar is, maar die zich bij elke compilatie reproduceert. Het punt is veertig jaar oud en nog steeds onopgelost.
En daar raakt het technische probleem aan het politieke. Want als je de broncode niet kunt vertrouwen en de SBOM niet kunt verifiëren, dan valt je terug op de enige vraag die overblijft: vertrouw je de partij die de software maakt? Dat is een soevereiniteitsvraag.
Soevereiniteit kent vele betekenissen. Als ondergrens hanteer ik: wie software levert aan vitale infrastructuur moet kunnen aantonen vanuit welke jurisdictie de broncode wordt beheerd en wie de update-pipeline bezit. Maar leg die last niet bij de afnemer. Novar bouwt zonneparken, geen dreigingsanalyses. Dit soort risico’s moet gevangen worden in de CE-certificering, niet in de due diligence van elke mkb’er.
En ja, de nervositeit is nu ingegeven door het woord “Rusland”. Maar het zou precies hetzelfde moeten uitpakken bij Amerikaanse software. De soevereiniteitsvraag is dus eigenlijk: wie willen wij vertrouwen voor onze ict-infrastructuur?
Arnoud
