Instructure/Canvas Inbreuk - De gevolgen voor IT-leveranciers
Instructure/Canvas Inbreuk en NIS2/Cybersecuritywet – Gevolgen voor IT-leveranciers
Wat is er gebeurd?
Op 2 mei 2026 bevestigde Instructure een beveiligingsincident in Canvas, waarbij studentengegevens, waaronder namen, e-mailadressen, studenten-ID's en berichten, mogelijk zijn blootgesteld. In totaal werden 31 Zweedse hogescholen getroffen, die allemaal Canvas gebruikten dat via SUNET werd geleverd.
Wie draagt de verantwoordelijkheid?
Drie actoren zijn betrokken: Instructure (de softwareleverancier), SUNET (Zweedse intermediair en aanbestedingsorganisatie) en de universiteiten (eindklanten). Volgens de Cybersecuritywet draagt SUNET de zwaarste verantwoordelijkheid in Zweden:
Aansprakelijkheid in de toeleveringsketen. De Cybersecuritywet verplicht organisaties om beveiligingsvereisten op te leggen aan leveranciers en onderaannemers die digitale diensten leveren. SUNET kan onder de loep worden genomen over de vraag of het contract met Instructure adequate dergelijke vereisten bevatte.
Meldingsplicht incidenten. In het geval van een significant incident moet de operator binnen 24 uur een vroegtijdige waarschuwing indienen, binnen 72 uur een meer gedetailleerde melding, een voortgangsrapportage als het incident voortduurt, en tot slot een afsluitende rapportage.
Sancties. Het management kan persoonlijk aansprakelijk worden gesteld voor tekortkomingen, en de organisatie riskeert aanzienlijke financiële boetes op basis van de wereldwijde omzet.
MSP's en kritieke IT-leveranciers staan voor exact dezelfde blootstelling
Dit is niet alleen het probleem van SUNET. Als MSP of IT-leverancier aan de publieke sector; scholen, gemeenten, regio's, overheidsinstanties, bevindt u zich in exact dezelfde positie. U bent de schakel tussen een onderliggend platform en een eindklant die onder de wet valt.
En dit is wat echt aandacht zou moeten krijgen: de inbreuk vond niet plaats bij de Zweedse universiteiten, maar bij hun leverancier in de VS.
Toch zijn het de Zweedse actoren in de keten die de meldingsplichten dragen, onder de loep worden genomen en sancties riskeren. Als kritieke IT-leverancier kunt u zware boetes krijgen voor een beveiligingsfout van iemand anders, als u niet beschikt over:
- Gedocumenteerde beveiligingsvereisten voor uw onderaannemers in contracten
- Een incidentresponsplan met de strakke termijnen (24/72 uur) ingebouwd
- Processen voor het continu monitoren en opvolgen van de beveiligingshouding van uw leveranciers
Operators moeten ook zelf vaststellen dat ze gedekt zijn en zich registreren bij de Zweedse autoriteit voor civiele paraatheid. Geen enkele autoriteit zal langskomen. Het missen van die stap alleen al kan leiden tot toezichthoudende maatregelen.
De boetes zijn niet symbolisch: voor essentiële entiteiten kunnen sancties oplopen tot € 10 miljoen of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten is het plafond € 7 miljoen of 1,4%. De Canvas-case is een concrete illustratie van hoe de regelgeving in de praktijk werkt, en opnieuw een wake-up call voor de gehele Zweedse IT-toeleveringsindustrie.