Fortress & Gatekeeper: Waarom jouw leveranciersrisico niet stopt bij je directe vendor

In november 2025 kreeg OpenAI te maken met een security-incident. De oorzaak lag niet bij OpenAI zelf, maar bij Mixpanel, een analytics vendor. Een smishing-campagne compromitteerde Mixpanel-medewerker credentials, waarna een dataset met OpenAI-gebruikersgegevens werd geëxporteerd.

OpenAI moest haar gebruikers notificeren. De scope-bepaling duurde weken: eerst API-gebruikers, later bleken ook ChatGPT-gebruikers getroffen. De klantrelatie lag bij OpenAI, maar het bewijs, de data, en de oorzaak lagen bij een partij die de klant nooit heeft gekozen, gezien of beoordeeld.

Dit is transitive trust: het fenomeen waarbij jouw cybersecurity-positie afhangt van de security practices van partijen waar jij geen directe relatie mee hebt. Fortress and Gatekeeper: Theorizing Transitive Trust in Third-Party Cybersecurity Risk Governance (Chen & Anwar, 2026) ontwikkelt een theoretisch framework om dit probleem te doorgronden.

Het probleem: je vertrouwt wat je niet kunt zien

Het paper gebruikt agency theory en organisatorisch vertrouwensonderzoek om te verklaren waarom third-party cybersecurity risk structureel anders is dan directe leveranciersrisico's:

1. Informatie-asymmetrie. De klant vertrouwt de zichtbare dienstverlener, maar de dienstverlener vertrouwt op subvendors wiens security practices slechts gedeeltelijk zichtbaar en controleerbaar zijn. De klant kan deze subvendors niet selecteren, evalueren of monitoren.

2. Hidden action. Agency theory onderscheidt hidden information (pre-contractueel) van hidden action (post-contractueel). Vendor-vragenlijsten, SOC 2-rapporten en ISO 27001-certificeringen zijn momentopnames, maar security-gedrag verandert continu tussen die observatiepunten. Een smishing-campagne slaagt niet vanwege falende certificering, maar vanwege wat één medewerker op één moment doet met één bericht.

3. Evidence-productie asymmetrie. Toen Mixpanel het incident detecteerde, controleerde zij de evidence-productie. OpenAI was afhankelijk van Mixpanel's onderzoekstempo en log-toegang om de scope te bepalen. De tijdlijn is illustratief: detectie 8 november, dataset-export vastgesteld 9 november, dataset gedeeld met OpenAI 25 november, een monitoring gap van 17 dagen waarin de principal geen onafhankelijke toegang had tot het bewijs.

De vier proposities

Het paper destilleert vier proposities die samen het Fortress & Gatekeeper framework vormen:

P1: Vendor-integratie. Hoe dieper een vendor geïntegreerd is in de dienstverlening van de focal organization, hoe groter de transitive trust exposure. Niet alle vendors zijn gelijk, een analytics vendor die gebruikersdata verwerkt creëert een fundamenteel ander risicoprofiel dan een CDN die statische assets serveert.

P2: Metadata exposure. De security-relevante metadata die een vendor genereert, toegangslogs, export-records, scope-bepalingen, is vaak ontoegankelijk voor de focal organization. Dit creëert een accountability gap: de organisatie die verantwoordelijk wordt gehouden door de klant, heeft geen directe toegang tot het bewijs dat nodig is om de impact te bepalen.

P3: Point-in-time assurance. Vendor assessments zijn momentopnames. SOC 2 Type 2, ISO 27001, penetratietests, het zijn verifieerbare signalen op één moment, maar de hidden action ontvouwt zich continu tussen die punten. De governance-waarde van een assessment neemt af naarmate de tijd sinds de laatste observatie toeneemt.

P4: Data proliferatie. Elke extra processor is een nieuwe principaal-agent relatie met eigen informatie-asymmetrieën, monitoringkosten en residuele risico's. Hoe meer vendors klantdata verwerken, hoe complexer incident response wordt, en hoe groter de kans dat scope-bepaling iteratief en onvolledig is.

Het Fortress & Gatekeeper framework

De kern van het paper is een herdefinitie van cybersecurity governance boundaries. Traditioneel denken we in organisatiegrenzen: "onze security" versus "hun security." Het Fortress & Gatekeeper framework stelt dat governance boundaries moeten worden gedefinieerd op basis van trust- en dataflows, niet op basis van formele organisatiegrenzen.

• Fortress = de zichtbare dienstverlener die de klantrelatie heeft. De fortress is het primaire aanspreekpunt voor de klant en draagt de accountability.
• Gatekeeper = de governance-functie die bepaalt welke vendors toegang krijgen tot welke data, onder welke voorwaarden, met welke monitoring, en met welke escalation-procedures.

De gatekeeper-functie is niet optioneel, het is de structurele voorwaarde voor transitive trust management. Zonder gatekeeper is de fortress overgeleverd aan de security practices van partijen die de klant niet kent.

NIS2/BIO2 implicaties

Voor Nederlandse organisaties is dit paper direct relevant onder aankomende en bestaande regelgeving:

NIS2 / Cyberbeveiligingswet. Artikel 21 vereist supply-chain security voor essentiële en belangrijke entiteiten. Het Fortress & Gatekeeper framework biedt een theoretische onderbouwing voor wát supply-chain security moet omvatten: niet alleen directe leveranciersassessments, maar een governance-functie die transitive trust relaties in kaart brengt, monitort en escaleert.

BIO2. De Baseline vereist dat risico's van derden worden beheerst. Het paper maakt duidelijk dat "derden" niet alleen je directe leveranciers zijn, het zijn ook hún leveranciers, voor zover die klantdata verwerken of security-relevante functies vervullen. Een BIO2-audit die alleen naar directe vendor contracts kijkt, mist de transitive trust-laag.

EU AI Act. Artikel 9 (risk management) vereist dat risico's in de hele AI-waardeketen worden geïdentificeerd en beheerst. Voor AI-systemen die afhankelijk zijn van cloud-providers, analytics platforms, identity providers en model-endpoints, allemaal subvendors in de transitive trust-keten, is het Fortress & Gatekeeper framework een direct toepasbaar governance-model.

De kernboodschap

Je klant vertrouwt jou. Jij vertrouwt je vendors. Maar je vendors vertrouwen hún vendors, en die kent niemand. Transitive trust is het onzichtbare risico in elke digitale dienstverlening. Het Fortress & Gatekeeper framework maakt het zichtbaar, meetbaar, en beheersbaar.

---

Bron: Chen, Y. & Anwar, M. (2026). Fortress and Gatekeeper: Theorizing Transitive Trust in Third-Party Cybersecurity Risk Governance. arXiv:2606.26866. Macquarie University / Monash University / Swinburne University of Technology.