Begin januari viel een deel van het Griekse luchtruim stil. Door een panne in de communicatie­systemen verloor de luchtverkeersleiding urenlang contact met vliegtuigen, zonder dat er één hacker aan te pas kwam. Het is een scherpe reminder dat niet alleen cyberaanvallen, maar ook verouderde IT je organisatie plots kan stilleggen.

Begin januari raakte Griekenland urenlang de controle over een deel van zijn luchtverkeer kwijt.1 Vluchten werden vertraagd, omgeleid of geannuleerd terwijl het luchtruim gedeeltelijk sloot. Wat blijkt? Geen cyberaanval zoals aanvankelijk gedacht, maar verouderde systemen die uit sync geraakten en elkaar in een domino‑effect meesleurden.

Volgens lokale berichtgeving waarschuwde telecomoperator OTE al in 2019 voor de risico’s van de verouderde infrastructuur, maar modernisering werd telkens uitgesteld. Het resultaat voelt voor burgers als een cybercrisis, maar de oorzaak ligt bij technische keuzes en infrastructuur die te lang zijn blijven liggen.

De Griekse case staat niet op zichzelf. Europese rapporten laten zien dat verouderde systemen en technologie een terugkerend patroon zijn in kritieke sectoren. In het NIS360-rapport2 beschrijft ENISA hoe verschillende NIS2-sectoren, waaronder digitale infrastructuur en maritieme diensten, met outdated systemen werken die hen extra kwetsbaar maken voor cyberaanvallen en operationele storingen.

Ook buiten de EU zien we dat patroon opduiken. Het Britse National Audit Office stelde in 2025 vast dat de centrale overheid minstens 228 legacy IT-systemen in gebruik had.3 Ongeveer een kwart van die systemen geldt als hoog risico. Voor meer dan de helft is er nog geen duidelijk plan om ze te vernieuwen of te vervangen.

De combinatie van oude systemen, beperkte budgetten en complexe afhankelijkheden maakt storingen waarschijnlijker en herstel moeilijker.

Verouderde systemen zijn zelden van de ene dag op de andere een probleem. Ze groeien stilaan uit tot een risico, precies zoals in Griekenland: jarenlang draaien op oude technologie, waarschuwingen die genegeerd worden, tot het op een bepaald moment misloopt.

Er spelen meestal drie dingen tegelijk:

1. Meer storingen en langere uitval
   Oude infrastructuur valt vaker uit en is lastig te herstellen. Onderdelen zijn niet meer leverbaar, kennis zit bij een paar mensen die bijna met pensioen zijn of niet meer bij het bedrijf werken, en tests zijn moeilijk omdat niemand het geheel nog goed kent.
2. Geen vendor support meer
   Zodra een leverancier een product “end of support” verklaart, krijg je geen patches, geen fixes en geen hulp meer bij incidenten. Dat zie je ook in de Griekse case: de gebruikte systemen werden niet langer ondersteund, terwijl ze nog wel kritiek waren.
3. Onzichtbaar voor bestuur
   Rapporten zoals dat van het Britse National Audit Office tonen dat organisaties soms honderden legacy-systemen hebben waar geen volledig overzicht of plan voor bestaat. Het risico is dus niet alleen technisch, maar ook bestuurlijk: directies weten niet goed waar de zwakke plekken zitten, tot er iets groots fout loopt.

Dit alles samen maakt verouderde IT geen technisch detail, maar een serieuze bedreiging voor continuïteit en veiligheid.

Je hoeft geen luchtverkeersleiding te beheren om lessen te trekken uit de gebeurtenissen in Griekenland.

Drie vragen helpen je vooruit:

1. Welke systemen mogen nooit uitvallen?
   Maak een lijst van je belangrijkste systemen. Kijk daarbij ook naar onderliggende onderdelen zoals netwerk, oude servers of OT-systemen. Noteer waar je nog op verouderde technologie draait.
2. Is lifecycle management echt geregeld of alleen op papier?
   Leg per belangrijk systeem vast vanaf wanneer het “oud” is, wanneer support stopt, welke signalen een vervanging moeten triggeren en wie daar eigenaar van is. Koppel daar ook budget aan. Zo voorkom je dat systemen stilletjes ouder worden zonder dat iemand het op tijd oppikt.
3. Heb je een haalbaar plan om stap voor stap te vernieuwen?
   Alles in één keer vervangen is bijna nooit realistisch. Maak in plaats daarvan een meerjarenplan. Pak eerst de grootste risico’s aan en combineer dat met tijdelijke maatregelen zoals extra monitoring, beperkte toegang en betere segmentatie rond je oudste systemen.