Vorige week presenteerde de Autoriteit Persoonsgegevens een position paper aan de Tweede Kamer over de staat van cyberveiligheid in Nederland. De conclusie is weinig geruststellend: het beveiligingsniveau van bedrijven en organisaties is al jaren structureel te laag. In 2025 werden ruim 44.000 datalekken gemeld bij de AP, een stijging van meer dan 15 procent ten opzichte van het jaar daarvoor. Maar het getal zelf is niet het meest verontrustende. Verontrustender is de reden waarom het misgaat.
Het probleem zit zelden in de intentie
Uit de analyse van het AP blijkt dat bij 33 procent van de onderzochte organisaties beleid voor informatiebeveiliging volledig ontbreekt. Dat is zorgelijk, maar verklaarbaar: veel organisaties hebben nu eenmaal geen security officer en weten niet goed waar te beginnen. Opvallender is de bevinding over de overige gevallen. Bij 40 procent van de organisaties is er wel beleid, maar wordt dat beleid niet juist uitgevoerd of onvoldoende gecontroleerd. Met andere woorden: de intentie is er, de papieren in werkelijkheid ook, maar de praktijk loopt achter.
Dit is een bestuurlijk probleem, geen technisch probleem. Beleid dat niet wordt uitgevoerd of getoetst, biedt geen bescherming. Het biedt hooguit de schijn van de bescherming, wat bij een incident de positie van een bestuurder er niet beter op maakt.
Drie maatregelen die het verschil maken
De AP wijst op drie concrete maatregelen die de gevolgen van een datalek aanzienlijk kunnen beperken, maar die in de praktijk te weinig worden toegepast. De eerste is dataminimalisatie: verwerk alleen de gegevens die strikt noodzakelijk zijn voor uw dienstverlening. Hoe minder gegevens u beheert, hoe beperkter de schade bij een lek. De tweede is het naleven van bewaartermijnen: gegevens die u niet meer nodig heeft, mogen en moeten worden verwijderd. De derde maatregel betreft communicatie na een incident. Organisaties die slachtoffers snel en helder informeren, beperken niet alleen de schade voor betrokkenen, maar staan ook juridisch sterker.
Geen van deze drie maatregelen vereist een groot IT-budget of specialistische kennis. Wel vereisen ze dat iemand in de organisatie verantwoordelijkheid neemt, processen inricht en die processen periodiek laat controleren.
Cyberveiligheid is een bestuurlijke verantwoordelijkheid
De AP is expliciet in haar aanbeveling: cyberveiligheid hoort niet op het bord van individuele medewerkers, maar centraal geborgd en hoog op de agenda van bestuurders. Dat sluit aan bij wat wij in de praktijk zien. Organisaties die bij een incident niet alleen technisch maar ook bestuurlijk kwetsbaar blijken, missen doorgaans drie dingen: overzicht over wat er precies wordt verwerkt en bewaard, heldere verantwoordelijkheden voor wie wat doet bij een incident, en aantoonbare maatregelen die ook daadwerkelijk worden nageleefd.
De vraag voor iedere bestuurder is dan ook niet of uw organisatie een beveiligingsbeleid heeft. De vraag is of dat beleid in de praktijk werkt, en of u dat kunt aantonen.
Over TT3P
TT3P helpt organisaties zonder eigen security officer om deze basis aantoonbaar op orde te krijgen: niet als papieren exercitie, maar als werkend governanceproces. Wij brengen in kaart waar de risico’s zitten, welke maatregelen ontbreken en hoe verantwoordelijkheden helder belegd kunnen worden. Weten waar uw organisatie nu staat? We denken graag mee.
