In juli 2025 kreeg het Openbaar Ministerie (OM) te maken met een van de meest ontwrichtende cyberaanvallen in de Nederlandse geschiedenis. Een onbekende partij kreeg via een zero-day-kwetsbaarheid in de veelgebruikte Citrix NetScaler toegang tot de interne netwerken, waardoor kritieke processen wekenlang stilvielen. De inbraak werd pas in de tweede helft van juli publiek, maar de technische sporen wijzen op activiteiten die al eind mei of begin juni begonnen zouden kunnen zijn.
Een driekoppige onderzoekscommissie, waaronder cybersecurity-hoogleraar Michel van Eeten concludeerde dat er sprake was van “een langdurige achterstand in de professionalisering” van de digitale infrastructuur van het OM. Het rapport stelt bovendien dat processen om risico’s te signaleren “ontbraken of waren gebrekkig ingericht” en dat “beveiligingsmaatregelen achterbleven”. Deze tekorten maakten het mogelijk dat de aanvallers een verborgen “achterdeur” konden installeren zonder dat het Nationaal Cyber Security Centrum of interne monitoringsystemen het oppikten.
Hoe de inbraak werd uitgevoerd
De zwakke plek lag in de Citrix NetScaler een gateway die extern verkeer naar interne applicaties leidt. Op 25 juni 2025 maakte Citrix publiekelijk melding van een kwetsbaarheid en bood meteen een patch aan. Volgens de commissie hadden de infiltranten al op 19 juni een achterdeur in het OM-systeem geplaatst; op 20 juni konden ze zich vervolgens met een gebruikersaccount aanmelden. Omdat de gezamenlijke monitoring die via het Ministerie van Justitie en Veiligheid in 2023 was beëindigd niet meer functioneerde, bleef de inbraak onopgemerkt. Een nieuw monitoringsprogramma was inmiddels geïnstalleerd, maar nog niet operationeel, waardoor de exacte omvang van de toegang onbekend bleef.
De onderzoekers vermoeden dat de aanval mogelijk verband houdt met “geopolitieke ontwikkelingen”. Sommige bronnen suggereren een link met de NAVO-top in Den Haag, die plaatsvond op 24 en 25 juni 2025, en wijzen op een Russische of een andere statelijke actor. Deze hypothese wordt echter niet expliciet onderbouwd in het verslag. Het citaat “een aan een statelijke actor gelieerde partij” werd door de commissie wel gebruikt om de ernst van de dreiging te onderstrepen.
Impact op de strafrechtketen en de nasleep
Na ontdekking van het incident besloot het College van procureurs-generaal op 17 juli om alle OM-systemen van het internet los te koppelen. Deze drastische maatregel was bedoeld om verdere infiltratie te voorkomen, maar leidde tot een onmiddellijke stilte in de digitale communicatie. E-mailverkeer viel weg, digitale uitwisseling van strafdossiers met advocaten werd onmogelijk en nieuwe strafzaken van de politie konden niet langer in het systeem worden ingevoerd. Het jaarverslag 2025 van het OM laat zien dat dit resulteerde in minder voorgeleiden van verdachten, een daling van het aantal behandelde strafzaken en langere doorlooptijden.
Het directe gevolg was een vertraging van ongeveer 9.000 rechtszaken. Deze vertraging beïnvloedde zowel de verdachten als de slachtoffers, en zette de gehele strafrechtketen onder druk. Het Landelijk Parket heeft inmiddels een strafrechtelijk onderzoek opgestart; een woordvoerder gaf aan dat dit zich in de afrondende fase bevindt, zonder verdere details te verschaffen.
Als reactie op de bevindingen heeft de regering een budget van 50 miljoen euro per jaar beschikbaar gesteld om de digitale infrastructuur van het OM te vernieuwen. Daarnaast richt het OM een onafhankelijk reviewboard op dat deskundigen moet ondersteunen bij het implementeren van nieuwe beveiligingsmaatregelen. Het College van procureurs-generaal benadrukt dat er geen aanwijzingen zijn dat de hackers toegang kregen tot de hoogbeveiligde omgeving, maar dat “verdere verbetering en vernieuwing van de digitale infrastructuur nodig is”.
