Vergaderjaar 2026-2027 Tweede Kamer der Staten-Generaal 2 Kamervragen Vragen gesteld door de leden der Kamer 2026Z23405 Vragen van het lid El Boujdaini (D66) aan de Staatssecretarissen van Binnenlandse Zaken en Koninkrijksrelaties en van Economische Zaken en Klimaat over verouderde software bij de overheid naar aanleiding van het PHP-lek (ingezonden 29 oktober 2026). Vraag 1 Bent u bekend met het bericht dat PHP alleen voor de vier nog ondersteunde versies een reparatie heeft uitgebracht, terwijl naar schatting zestig tot zeventig procent van de PHP-servers op oudere versies draait?1PHP-lekken tonen risico van onzichtbare afhankelijkheid, IO+ d.d. 22 oktober 2026; https://ioplus.nl/nl/posts/php-lekken-tonen-risico-van-onzichtbare-afhankelijkheid Vraag 2 Hoe zorgt de Baseline Informatiebeveiliging Overheid 2 (BIO2) ervoor dat software die helemaal geen updates meer krijgt, op tijd wordt vervangen? Vraag 3 Hebben controles zoals ENSIA, de Auditdienst Rijk of de Algemene Rekenkamer de afgelopen jaren verouderde software bij de overheid aan het licht gebracht? Wat is daar vervolgens mee gedaan? Vraag 4 Hoeveel systemen van de overheid draaien op dit moment op software die geen beveiligingsupdates meer krijgt, en is dat overzicht volledig? Vraag 5 Gaan de Inkoopeisen Cybersecurity Overheid en de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten ook over de onderliggende software in een product, zoals PHP, of alleen over het product zelf? Vraag 6 Hoe vaak is de afgelopen jaren gehandhaafd op deze inkoopeisen, bijvoorbeeld toen een leverancier zijn product niet meer bijwerkte? Vraag 7 Hoe wordt bij de Cyberbeveiligingswet getoetst of organisaties weten welke verouderde onderdelen er in de software van hun leveranciers zitten? Vraag 8 Hoe wordt de veiligheid geborgd van systemen die de overheid al jaren gebruikt, nu de eisen uit de Cyber Resilience Act alleen gelden voor producten die vanaf december 2027 op de markt komen? Vraag 9 Blijft er, ondanks deze Europese regels, een gat over dat Nederland zelf moet dichten? Zo ja, hoe wilt u dat doen en op welke termijn? Vraag 10 Is de ondersteuning door de Informatiebeveiligingsdienst genoeg voor gemeenten, provincies en waterschappen om verouderde software zelf op te sporen en te vervangen? Vraag 11 Kunt u deze vragen afzonderlijk van elkaar en voor het commissiedebat Online veiligheid en cybersecurity beantwoorden?