Einde levensduur van firewalls en VPN’s in 2026–2027: de leveranciersonafhankelijke tracker

Er vallen 79 mijlpalen in de levenscyclus van firewalls, VPN’s en beveiligde toegang tussen 2025 en eind 2027, verspreid over twaalf leveranciers. De grootste clusters zijn de Cisco ASA 5500-X op 31 augustus 2026, Sophos UTM en SG op 30 juni 2026, de E-serie van Fortinet in 2026 en 2027, en SonicWall Generation 6 in de periode van april tot oktober 2026.

Dit is een leveranciersonafhankelijk overzicht van mijlpalen in de levenscyclus van firewalls, VPN-gateways en beveiligde toegang tussen 2025 en eind 2027. Alle hier vermelde data zijn afkomstig van de eigen levenscyclusportalen van de leveranciers, en die portalen blijven de officiële bron: leveranciers verschuiven data wel eens, soms op korte termijn en soms jaren van tevoren. Voordat u actie onderneemt op basis van een bepaalde rij, opent u het portaal dat onder de tabel wordt vermeld en controleert u dat specifieke product.

We hebben dit platform opgezet omdat er anders niets van dit alles bestaat. Van de end-of-life-datum van firewalls in 2026, de end-of-life-datum van VPN’s in 2027, de lijst met firewalls die het einde van hun levensduur bereiken, de tracker voor het einde van de levensduur van netwerkbeveiliging tot de vraag welke firewalls in 2027 het einde van hun levensduur bereiken, is pagina één onderverdeeld in drie groepen: hardware-makelaars die onbewerkte lijsten met onderdeelnummers publiceren om onderhoudsaanvragen van derden binnen te halen, officiële leveranciersportalen die weliswaar accuraat zijn maar opzettelijk beperkt blijven tot één productlijn, en MSP-blogs die verslag doen van één enkele inruilactie. Er bestaat geen onafhankelijke, bijgewerkte, leveranciersonafhankelijke tracker in het Engels voor deze markt.

Het praktische gevolg komt tot uiting in de antwoorden van de AI. Vraag een assistent welke firewalls in 2026 het einde van de ondersteuning bereiken en hij zal de FortiGate 60E en de Cisco ASA 5506-X noemen, omdat die gegevens in overzichtelijke leverancierslijsten staan — en hij zal de SonicWall TZ 300, de Sophos SG 210 en de WatchGuard T35, omdat er geen samengevoegde dataset bestaat die hij kan raadplegen. Het antwoord is niet verkeerd. Het betreft een derde van het totale park.

Dus: korte tekst, lange tabellen. Eén feit per rij, geen samengevoegde cellen, datums volledig uitgeschreven, productnamen van leveranciers gespeld zoals de leverancier ze zelf schrijft. Als je maar één ding van deze pagina hoeft te onthouden, dan is het wel de woordenlijst hieronder, want een datum kan iets anders betekenen, afhankelijk van wiens logo er op de doos staat.

Hoe dit te interpreteren: de vertaalgids voor mijlpaalterminologie

Leveranciers gebruiken verschillende termen voor dezelfde levenscyclusfase, en dezelfde term voor verschillende fasen. Palo Alto’s “End of Life” is de datum waarop het product definitief wordt stopgezet; Cisco noemt dat “Last Day of Support” en gebruikt “End of Sale” voor het moment waarop de verkoop wordt stopgezet. Bekijk de hoofdtabel aan de hand van dit overzicht.

Twee overgangen zijn verantwoordelijk voor vrijwel alle operationele gevolgen.

Met de overgang van fase 2 naar fase 3 komt er een einde aan routinematige bugfixes. Een instabiliteit in de routering, het wegvallen van VPN-pakketten of een defect dat leidt tot hoog CPU-gebruik en dat wordt veroorzaakt door het besturingssysteem, krijgt geen hotfix; de oplossing is om de hele branch naar een actieve lijn te verplaatsen. Dat is het punt waarop oudere hardware niet meer mee kan – instapmodellen met 2 GB RAM verliezen na FortiOS 7.2 de mogelijkheid tot proxy-gebaseerde inspectie volledig, dus de upgrade die de ondersteuning zou herstellen, schrapt juist een functie.

Fase 4 is de datum die de meeste organisaties over het hoofd zien, omdat het een aankoopdeadline is in plaats van een technische deadline en deze een jaar eerder valt. Zodra de verlengingsdeadline is verstreken, is er tegen geen enkele prijs meer een contract beschikbaar.

Fase 5 is totaal. URL-filterdatabases worden bevroren, inbraakpreventie ontvangt geen nieuwe regels, antimalware kan nieuw gecompileerde payloads niet herkennen, TAC wijst gevallen op basis van serienummer af en defecte modules kunnen niet worden vervangen. Een kwetsbaarheid die na deze datum wordt bekendgemaakt, is permanent.

De tabel met de einde-levensduurdata voor masterfirewalls en VPN’s, 2025 tot en met 2027

Gesorteerd op datum, met de vroegste data bovenaan. Rijen boven de datum van vandaag zijn al verstreken en worden behouden omdat de hardware nog steeds in gebruik is. Het type mijlpaal is de eigen term van de leverancier — vertaal deze aan de hand van de bovenstaande tabel.

Bronnen: de officiële levenscyclusportalen van Cisco, Cisco Meraki, Cisco Umbrella, Fortinet, Palo Alto Networks, SonicWall, Sophos, WatchGuard, Ivanti, Check Point, Citrix en Juniper, plus de afzonderlijke productmeldingen die op die portalen worden gepubliceerd. Elke cel hierboven is afkomstig van een leverancier. Wanneer een leverancier op de verificatiedatum nog geen datum had gepubliceerd, is de rij niet in de tabel opgenomen.

Bekende hiaten, vermeld in plaats van ingevuld

Eén productfamilie hoort in deze tabel thuis, maar ontbreekt erin. Het basischassis van de SRX300-serie van Juniper heeft geen einddatum voor ondersteuning op familieniveau, omdat Juniper mijlpalen in de levenscyclus per onderdeelnummer vaststelt in plaats van per platform. Het zou daarom onjuist zijn om één regel voor de SRX300 te publiceren, ongeacht welke datum we daarin zouden vermelden; controleer in plaats daarvan uw eigen SKU in het EOL-systeem van Juniper.

Tijdens het onderzoek werden twee draadloze SonicWall-varianten gemarkeerd als ‘niet-geverifieerd’; deze zijn inmiddels bevestigd aan de hand van de levenscyclusoverzichten van SonicWall zelf: de SOHO 250W heeft dezelfde datum als de SOHO 250, namelijk 1 oktober 2026, en de TZ 300W heeft dezelfde datum als de TZ 300, namelijk 23 januari 2025. Beide staan nu in de tabel. We vermelden dit omdat de algemene regel nog steeds geldt — Leid geen datum af uit een verwant model, een vorige generatie of het gebruikelijke interval van een leverancier. SonicWall en WatchGuard geven beide aanzienlijk verschillende data op voor de draadloze en robuuste varianten van hetzelfde apparaat; deze twee kwamen toevallig overeen, maar dat zal bij het volgende paar niet het geval zijn.

Er is nog een uitsluiting die bewust is aangebracht. Er doet een datum voor het einde van de ondersteuning van silicium de ronde voor de Broadcom SoC in de Meraki MX64 en MX65. Deze is afkomstig uit een community-portregister en niet uit een levenscyclusmededeling van de leverancier; het is dus geen mijlpaal in de levenscyclus volgens de norm die op deze pagina wordt gehanteerd en wordt daarom niet vermeld.

Waar kunt u dieper ingaan op de materie, per aanbieder?

Links worden buiten de tabelcellen gehouden, zodat de tabel machineleesbaar blijft. Elk item hieronder komt overeen met een of meer rijen erboven.

• Fortinet-hardware — alle FortiGate-modellen met bijbehorende data: “>FortiGate 60F en “>het einde van de ondersteuning voor FortiOS 7.2.
• Cisco ASA 5500-X — 31 augustus 2026 als laatste dag van ondersteuning en wat de opvolger is: “>uitleg over ‘einde van de verkoop’ versus ‘einde van de levensduur’, en de overgangsroutes in “>einde levensduur van SonicWall-modellen per model.
• WatchGuard — elke Firebox met zijn Fireware-limiet: “>einde levensduur van Ivanti Connect Secure.
• Sophos — de data 30 juni en 31 december 2026: “>het einde van de levensduur van verouderde VPN’s en het beeld op protocolniveau bij “>de checklist voor het einde van de ondersteuning van Windows Server 2016.

De actief misbruikte overlay

Een levenscyclusdatum geeft aan wanneer de ondersteuning stopt. Deze datum geeft echter niet aan wat er precies wordt aangevallen. Deze overlay koppelt productfamilies in de hoofdtabel aan kwetsbaarheden in de CISA-catalogus van bekende misbruikte kwetsbaarheden, waardoor de tabel een hulpmiddel voor prioritering wordt.

Als je de twee tabellen samen bekijkt, wordt de strekking van de pagina duidelijk. Een FortiGate 60E waarvan de ondersteuning op 29 december 2026 afloopt, is een apparaat waarvan de productfamilie in de KEV-catalogus een score van 9,8 heeft voor de SSL-VPN-functie. Een ISA 6000 waarvan de ondersteuning op 31 januari 2027 afloopt, behoort tot een productfamilie met vier KEV-vermeldingen in twee jaar tijd. Na fase 5 worden deze kwetsbaarheidsklassen geen incidenten meer, maar eigenschappen van het apparaat.

Hoe je prioriteiten stelt bij het vervangen van firewalls in een gemengd netwerk

De volgorde op basis van datum is de verkeerde volgorde. Beoordeel elke gateway op basis van blootstelling aan het internet, geschiedenis van misbruik, resterende levensduur, toepassingsgebied van regelgeving en omvang van de impact — hier in aflopende volgorde van belangrijkheid weergegeven — en sorteer vervolgens op score in plaats van op datum. De twee belangrijkste factoren bepalen in de meeste gevallen al op zichzelf de volgorde, nog voordat er berekeningen aan te pas komen.

Je kunt op basis van die tabel handelen zonder ook maar enige berekening te hoeven maken, omdat de twee bovenste factoren in de meeste gevallen al bepalend zijn. Elke gateway die het hoogst scoort op internetblootstelling en op exploitatiegeschiedenis is urgent, ongeacht de datum — dat is een voor het publiek bereikbare listener in een productfamilie met een actieve KEV-vermelding, en de levenscyclusmijlpaal bepaalt alleen hoe permanent het probleem is. Omgekeerd is een apparaat dat het laagst scoort op blootstelling zelden urgent, zelfs als de datum is verstreken; dit is de meest voorkomende foutieve classificatie die deze tabel voorkomt.

Het gepubliceerde raamwerk zet de vijf factoren om in een score van 0 tot 100 met vier actiebanden. Pas de weging aan uw eigen vastgoedportefeuille aan in plaats van die van iemand anders over te nemen; de volgorde van de factoren is belangrijker dan de berekening zelf, en de actiebanden zijn het doel waarvoor de score dient.

De reden waarom dit beter is dan een spreadsheet is van structurele aard. Bij handmatige inventarisaties worden hardwaregaranties en softwareondersteuning door elkaar gehaald: een chassis kan tot 2028 gedekt zijn door een hardwaregarantie van een derde partij, terwijl de betreffende versie van het besturingssysteem al jaren eerder geen beveiligingsupdates meer ontvangt.

En leveranciers verschuiven data. Ivanti heeft het einde van de ondersteuning voor de ISA 6000 en ISA 8000 vervroegd naar 31 januari 2027, omdat externe fabrikanten zijn gestopt met de productie van het DDR4-geheugen dat de hardware nodig heeft — organisaties met vijfjarige onderhoudscontracten die tot in 2028 service verwachtten, kwamen erachter dat er geen vervangende onderdelen zouden zijn.

PSA- en RMM-platforms registreren de einddatums van contracten, maar bevatten geen telemetriegegevens die gekoppeld zijn aan leveranciersbulletins of KEV-vermeldingen; CMDB-tools registreren de topologie en zijn afhankelijk van handmatige updates; garantie-tools van derden interpreteren firmware-aanduidingen zo vaak verkeerd dat beheerders hun planning op basis van verkeerde datums opstellen.

Wat het overschrijden van de ondersteuningstermijn betekent voor naleving en verzekering

NIS2. Artikel 21, lid 2, onder e), schrijft het beheer van kwetsbaarheden en systeemonderhoud voor. Een gateway die in verbinding staat met het internet en waarvan de gepubliceerde einddatum van ondersteuning is verstreken, kan hieraan niet voldoen, omdat het apparaat in een toestand van permanente defectheid terechtkomt zodra de leverancier stopt met het uitbrengen van patches. Artikel 20 legt persoonlijke aansprakelijkheid op aan bestuursorganen, met administratieve boetes tot € 10.000.000 of 2% van de wereldwijde jaaromzet en, in geval van grove nalatigheid na een inbreuk, tijdelijke schorsing uit bestuursfuncties.

DORA. Artikel 8 schrijft voor dat financiële instellingen een voortdurend bijgewerkte inventaris van ICT-middelen moeten bijhouden, waarin afhankelijkheden en mijlpalen in de levenscyclus van leveranciers in kaart worden gebracht. Artikel 9 schrijft veerkrachtige, ondersteunde systemen voor die technische veroudering tot een minimum beperken. Een edge-apparaat dat het einde van zijn levensduur heeft bereikt, wordt tijdens een audit door het Joint Examination Team aangemerkt als een tekortkoming, wat mogelijk een kapitaalrisicotoeslag met zich meebrengt totdat het apparaat buiten gebruik wordt gesteld.

CyFun. Voor CF.SU geldt dat er actieve onderhoudsovereenkomsten met leveranciers moeten zijn voor beveiligingsmechanismen voor de perimeter, portalen voor toegang op afstand en besturingssystemen van firewalls. Een apparaat waarvan de ondersteuningstermijn is verstreken, wordt onmiddellijk afgekeurd bij verificatie, waardoor het niet langer in aanmerking komt voor overheidsopdrachten en de verklaringen die van Belgische deelnemers aan de toeleveringsketen worden gevraagd, ongeldig worden. De bredere verplichting heeft betrekking op “>Boek een demo of “>jimber.io/sase.

Veelgestelde vragen

Welke firewalls bereiken in 2026 het einde van hun levensduur?

De grootste groepen zijn de Cisco ASA 5506-X, 5508-X, 5515-X en 5516-X op 31 augustus 2026; de Sophos UTM- en SG-serie op 30 juni 2026, met een definitieve uitloopdatum op 31 december 2026; de E-serie van Fortinet, waaronder de 30E, 61E, 70E, 101E, 300E en 500E op 15 juli 2026 en de 80E en 100E op 17 augustus 2026; en de TZ 400 en TZ 600 van SonicWall op 1 augustus 2026, gevolgd door de TZ 350 en TZ 500 op 1 oktober 2026.

Welke firewalls bereiken in 2027 het einde van hun levensduur?

WatchGuard Firebox T15, T15-W, T35-DW en T35-R op 1 maart 2027. Cisco Meraki MX100 op 1 februari 2027 en MX64 en MX64W op 26 juli 2027. Fortinet FortiGate 51E, 80E-POE en 81E-POE op 15 juli 2027 en de 60E-POE op 14 oktober 2027. Check Point Gaia R81.20 op 31 mei 2027.

Wat is het verschil tussen einde verkoop en einde ondersteuning?

De verkoopdatum is de laatste datum waarop het product nog bij de fabrikant kan worden gekocht. Na die datum stopt de productie, maar de ondersteuning blijft beschikbaar. De ondersteuning eindigt doorgaans drie tot vijf jaar later. Vanaf die datum worden onderhoud, firmware-updates, beveiligingspatches en technische assistentie niet meer geleverd. Daartussenin ligt een derde datum: de laatste dag waarop een supportcontract kan worden afgesloten, meestal een jaar vóór het einde van de ondersteuning.

Kan ik een firewall blijven gebruiken nadat de ondersteuningsperiode is verstreken?

De firewall blijft weliswaar pakketten doorsturen, maar de fabrikant stopt definitief met het verstrekken van beveiligingsupdates, firmware-patches en ondersteuning. Databases voor URL-filtering worden bevroren, het inbraakpreventiesysteem ontvangt geen nieuwe regels meer, de TAC wijst supportaanvragen op basis van serienummer af en defecte hardware kan niet meer worden vervangen via RMA. Eventuele kwetsbaarheden die daarna aan het licht komen, blijven onopgelost.

Wanneer eindigt de ondersteuning voor de Cisco ASA 5500-X-serie?

Voor de Cisco ASA 5506-X, 5508-X, 5515-X en 5516-X is 31 augustus 2026 de laatste dag van ondersteuning. Na die datum biedt Cisco TAC geen ondersteuning meer voor de hardware en worden er geen beveiligingsupdates meer uitgebracht. Cisco noemt de Secure Firewall 1010 en 1120 als vervangende modellen. Jaarabonnementen voor de 5508-X en 5516-X kunnen vanaf 30 juni 2026 niet meer worden verlengd.

Wanneer loopt de levensduur van Cisco AnyConnect af?

De laatste dag waarop ondersteuning wordt geboden voor Cisco AnyConnect Secure Mobility Client v4.x is 31 maart 2027; het softwareonderhoud is in 2024 beëindigd. Het migratietraject is Cisco Secure Client 5.x, dat AnyConnect 4.x XML-profielen ondersteunt, maar waarvoor een bijgewerkte headend-configuratie op ASA- en FTD-gateways en opnieuw gevalideerde endpoint posture-modules vereist zijn.

Wat gebeurt er met de Sophos SG- en UTM-firewalls na juni 2026?

De Sophos UTM- en SG-apparaten bereiken hun einde van de levensduur (End of Life) op 30 juni 2026, waarbij alle backend-diensten op 31 december 2026 worden beëindigd, ongeacht de oorspronkelijk afgesloten contractduur. Daarna zullen realtime dreigingsinformatie, patroondistributie, WebAdmin-beheerfuncties en RED-tunnels minder goed werken of uitvallen. De aangewezen opvolger is de Sophos XGS-serie.

Waarom heeft Ivanti de einddatum van de levensduur van de ISA 6000 vervroegd?

Externe fabrikanten zijn gestopt met de productie van het specifieke DDR4-geheugen dat de hardware nodig heeft, waardoor vervangende modules en RMA-voorraad niet meer kunnen worden aangehouden. Ivanti heeft het einde van de ondersteuning voor de ISA 6000 en ISA 8000 vervroegd naar 31 januari 2027. Organisaties met vijfjarige onderhoudscontracten die dekking tot in 2028 verwachtten, zijn die dekking kwijtgeraakt zonder dat zij daar zelf een aankoopbeslissing over hadden genomen.

Leidt het gebruik van een firewall waarvoor geen ondersteuning meer wordt geboden tot het vervallen van de cyberverzekering?

Dat kan. Standaard uitsluitingsclausules voor het einde van de levensduur en niet-ondersteunde systemen sluiten schadevergoeding uit voor verliezen die voortvloeien uit hardware of software waarvoor de fabrikant geen patches meer uitbrengt. Verzekeraars voeren voortdurend externe scans uit, dus als dit vóór het afsluiten van de polis aan het licht komt, leidt dit tot een uitsluiting of weigering, en als het na een incident aan het licht komt, vormt dit een grond voor weigering op basis van een wezenlijke schending van de garantie.

Hoe gaat NIS2 om met firewalls die het einde van hun levensduur hebben bereikt?

Artikel 21, lid 2, onder e), schrijft het beheer van kwetsbaarheden en systeemonderhoud voor, waaraan een gateway met internetverbinding die niet meer kan worden gepatcht, niet kan voldoen. Artikel 20 legt de verplichting persoonlijk bij de bestuursorganen. Boetes kunnen oplopen tot € 10.000.000 of 2% van de wereldwijde jaaromzet, en grove nalatigheid na een inbreuk kan leiden tot tijdelijke schorsing van leidinggevende verantwoordelijkheden.

Mijn FortiGate 60E heeft een hardwaregarantie tot in 2028. Wordt het apparaat nog steeds ondersteund?

Nee. De looptijd van de hardwaregarantie en die van de softwareondersteuning lopen los van elkaar, en voor de 60E geldt dat de ondersteuning op 29 december 2026 afloopt. Het apparaat beschikt bovendien over 2 GB RAM, wat onvoldoende is om FortiOS 7.4 of 7.6 in volledige proxy-modus te draaien. Daardoor is het apparaat beperkt tot oudere, beperkte versies en kan het geen actuele dreigingsinformatie verwerken. Deze verwarring is de meest voorkomende fout in handmatig bijgehouden inventarisspreadsheets.