Prometheus: twaalf partijen starten AI-pilot voor softwarelekken

Op 25 september 2026 maakte Digital Holland Prometheus bekend: twaalf Nederlandse publieke en private partijen beginnen met een gezamenlijke pilot om met AI kwetsbaarheden in veelgebruikte software op te sporen en te valideren. TNO, de Nederlandse Spoorwegen (NS) en het Nationaal Cyber Security Centrum (NCSC) behoren tot de kopgroep. Een gedeelde cybervoorziening voor meer organisaties is het doel van de samenwerking; de aangekondigde eerste stap is de pilot.

Volgens Security Delta boden de partners die dag hun manifest aan staatssecretaris Willemijn Aerdts aan. De samenwerking richt zich aanvankelijk op essentiële en belangrijke organisaties en wil later ook andere sectoren en het mkb bereiken. Security Delta werkt met de Prometheus-werkgroep aan een voorstel voor het Nationaal Groeifonds. Voor bedrijven buiten de pilot is geen datum bekend waarop zij de voorziening via hun IT-dienstverlener kunnen gebruiken.

Wie meedoen en wat al vaststaat

Digital Holland coördineert het initiatief. De twaalf organisaties in de kopgroep hebben verschillende rollen: onderzoek, beveiligingstechnologie, het opsporen en melden van kwetsbaarheden, overheid en vitale dienstverlening. Dat onderscheid helpt om de aangekondigde werkzaamheden en de beoogde gebruikers uit elkaar te houden:

Deelnemers: TNO, ESET, AISLE, Hadrian, Software Improvement Group (SIG), Northwave, Schuberg Philis, Dutch Institute for Vulnerability Disclosure (DIVD), Nederlandse Spoorwegen (NS), Nationaal Cyber Security Centrum (NCSC), Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) en VUSec van de Vrije Universiteit Amsterdam.
Eerste pilot: de partners brengen in kaart wat organisaties nodig hebben, welke oplossingen al bestaan en waar hiaten zitten. Gebruikers, beveiligingsbedrijven, technologiepartners en kennisinstellingen gaan aan praktijkgevallen en testomgevingen werken.
Beoogde gebruikers: essentiële en belangrijke organisaties krijgen eerst aandacht. Andere sectoren en kleinere bedrijven moeten later kunnen profiteren van oplossingen die in de praktijk hun waarde hebben bewezen.
Open uitvoering: voor een bredere voorziening zijn nog geen beschikbaarheidsdatum, toegangsvoorwaarden of vastgesteld financieringsmodel bekendgemaakt.

Het manifest heeft ook ondertekenaars buiten de kopgroep, waaronder sectororganisaties en ketenpartners. Hun steun aan de ambitie maakt hen niet automatisch uitvoerder van de pilot. Digital Holland voert de regie over het initiatief, maar staat niet op de lijst van twaalf koplopers.

Wat de proef met softwarelekken moet opleveren

De pilot begint bij een afgebakende toepassing: mogelijke kwetsbaarheden in veelgebruikte software vinden en valideren met hulp van AI. Vinden levert een kandidaat op; valideren moet uitwijzen of een bevinding werkelijk een kwetsbaarheid is die aandacht vraagt. De aangekondigde inventarisatie van behoeften en bestaande oplossingen bepaalt welke onderdelen de partners vervolgens in praktijkgevallen kunnen beproeven. Opschaling is voorzien voor oplossingen die daar hun waarde laten zien.

De technische vragen gaan ook over de AI die voor dat werk wordt ingezet. In TNO’s toelichting zegt NS-directeur cybersecurity Dimitri van Zantvliet: “Aanvallers werken op machinesnelheid, terwijl verdedigende processen nog grotendeels op mensensnelheid draaien.” TNO leidt binnen Prometheus een proof of concept dat onderzoekt welke bestaande AI-modellen veilig genoeg zijn, welke Nederlandse aanbieders ze betrouwbaar en duurzaam kunnen hosten en hoe AI kwetsbaarheden kan opsporen voordat aanvallers dat doen.

Daarmee zijn het model, de aanbieder en de inrichting van een gezamenlijke dienst nog geen gemaakte keuzes. Ook een gevonden softwarefout is op zichzelf nog geen verholpen risico: de betrokken organisatie of leverancier moet kunnen beoordelen wat de bevinding betekent en hoe een oplossing wordt doorgevoerd. Prometheus wil die keten versnellen door kennis en capaciteit te bundelen, zodat afzonderlijke organisaties niet ieder dezelfde voorzieningen hoeven te ontwikkelen.

Wie er als eerste iets van kan merken

Voor essentiële en belangrijke organisaties kan de eerste praktische waarde liggen in de aangekondigde praktijkgevallen en testomgevingen. De partners hebben geen lijst van pilotgebruikers of oplevermoment voor een gedeelde dienst bekendgemaakt. NS neemt deel als organisatie uit een vitale sector; die deelname betekent nog niet dat alle bedrijven in de spoorketen al op Prometheus kunnen aansluiten.

Voor het mkb is de beoogde route indirecter. Werkende oplossingen zouden kleinere bedrijven moeten bereiken via kanalen die zij al gebruiken, zoals hun IT-dienstverlener, softwareleverancier of brancheorganisatie. Dat is een plan voor verspreiding na de proef, geen aanbod dat een dienstverlener nu al aan klanten kan leveren. Eerst moet duidelijk worden welke oplossing bruikbaar blijkt, wie haar beschikbaar stelt en onder welke voorwaarden anderen er toegang toe krijgen.

Die volgorde is relevant voor digitale ketens. Een organisatie kan haar eigen systemen beveiligen en tegelijk afhankelijk blijven van software en diensten van andere partijen. De focus op veelgebruikte software kan daardoor verder reiken dan één pilotgebruiker, maar pas wanneer bevindingen zorgvuldig worden gevalideerd en bruikbare oplossingen hun weg naar de betrokken leveranciers en gebruikers vinden.

Opschaling vraagt nog besluiten

Het aangekondigde voorstel voor het Nationaal Groeifonds is een stap richting mogelijke financiering, geen toegekende bijdrage. Voor een blijvende voorziening moeten ook beheer, toegang tot bevindingen over kwetsbare software en de rol van nieuwe partners worden uitgewerkt. De kopgroep wil uitbreiden met organisaties die kennis, technologie, infrastructuur, capaciteit of praktijkgevallen kunnen inbrengen; concrete voorwaarden voor die uitbreiding zijn nog niet gepubliceerd.

De eerstvolgende inhoudelijke toets ligt bij de pilot: welke bestaande AI-oplossingen zijn veilig en bruikbaar voor het vinden en valideren van kwetsbaarheden, en welke hiaten blijven over? Daarna kunnen de partners bepalen wat zij opschalen en via welke partijen die uitkomsten beschikbaar komen. Voor het mkb hangt een bruikbare startdatum af van die resultaten en de besluiten over financiering en toegang.