Cybersecuritybeeld 2026: de dreiging groeit sneller dan onze weerbaarheid

9 november 2026 · Patrick Jordens

Aanvallers worden sneller en slimmer, mede door AI, terwijl veel organisaties de basis nog altijd niet op orde hebben. Volgens de NCTV vraagt dat nu om actie van bestuurders, niet alleen van de IT-afdeling.

Op 6 november publiceerde de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) het Cybersecuritybeeld Nederland 2026, kortweg het CSBN. Ik lees dit rapport elk jaar, maar deze editie vind ik verontrustender dan voorgaande jaren. Dat komt niet door spectaculaire nieuwe dreigingen. Het komt doordat het rapport zo duidelijk laat zien dat we bekende problemen nog altijd niet oplossen.

De NCTV spreekt van een groeiende scheefgroei. Statelijke actoren en cybercriminelen worden sterker, mede door AI, terwijl de weerbaarheid van Nederlandse organisaties niet in hetzelfde tempo meegroeit. Volgens het rapport is het daarom niet meer de vraag óf Nederland te maken krijgt met een ontwrichtend cyberincident, maar wanneer. Nationaal Coördinator Marc Kuipers vat de opdracht kort samen: “Bestuurders zijn aan zet.”

Hieronder de inzichten die volgens mij voor elke directie relevant zijn, of u nu een mkb-bedrijf leidt, een zorginstelling, een goed doel of een grote onderneming.

Cyberveiligheid is een bestuursvraagstuk, geen IT-project

Het opvallendste aan dit rapport is waar het de oorzaak legt. Niet bij een gebrek aan technologie, maar bij een gebrek aan eigenaarschap, bestuurlijke sturing, budget en capaciteit. Veel risico’s zijn al jaren bekend en blijven bestaan omdat bestuur en management er onvoldoende prioriteit aan geven. Het CSBN vraagt daarom om urgentie en investeringen, en zegt er nadrukkelijk bij dat die niet alleen bij IT- en securitymedewerkers moeten liggen, maar juist bij bestuur en management.

Voor organisaties die onder de Cyberbeveiligingswet vallen, die sinds 15 augustus 2026 van kracht is, is die bestuurlijke verantwoordelijkheid inmiddels een wettelijke plicht. De NCTV richt de oproep echter uitdrukkelijk ook aan organisaties die niet onder de wet vallen. Een cyberincident raakt immers niet alleen systemen. Het raakt de continuïteit van uw dienstverlening, uw klanten, uw medewerkers en uw reputatie. Dat zijn afwegingen die aan de directietafel thuishoren, niet in de serverruimte.

Geen bewijs van een hack is geen bewijs dat er geen hack is

Het CSBN constateert een aanzienlijk verschil tussen weerbaarheid op papier en weerbaarheid in de praktijk. Het rapport baseert zich onder meer op het onderzoek Cyberweerbaar Nederland van KPN, onder vooral grotere organisaties, waarvan een groot deel in de kritieke infrastructuur:

• Organisaties geven hun eigen digitale weerbaarheid gemiddeld een 7,1.
• 67% voelt zich voorbereid op een cyberaanval, maar slechts 28% oefent dat structureel.
• 33% heeft geen of slechts zeer basale detectie, waardoor incidenten pas zichtbaar worden als de schade er al is.
• Slechts 5% geeft prioriteit aan de basis: patchen, beveiliging van werkplekken en incidentrespons.

Opvallend is ook dat IT- en securitymedewerkers kritischer zijn over wat hun organisatie echt geregeld heeft dan het management. Wie dicht op de praktijk zit, ziet de gaten beter.

Het rapport verbindt daar een les aan die ik elke directie wil meegeven, en die ik daarom als kop boven dit stuk heb gezet. Zonder goede logging en monitoring weet u simpelweg niet of er iemand in uw systemen zit. Daarom is het niet genoeg dat maatregelen bestaan in een beleidsdocument. De vraag is of ze goed zijn opgezet, of ze daadwerkelijk bestaan en of ze in de praktijk werken.

AI: aanvallers versnellen, organisaties lopen achter

Voor het eerst stelt het CSBN vast dat aanvallers AI aantoonbaar inzetten bij de uitvoering van cyberaanvallen. Ze vinden daarmee sneller en meer kwetsbaarheden, en ook minder ervaren criminelen kunnen nu aanvallen uitvoeren. De tijd tussen het bekend worden van een kwetsbaarheid en het misbruik ervan is gedaald van enkele maanden in 2024 naar enkele uren in 2026. Een update pas na een paar weken installeren past daar niet meer bij.

Tegelijk gebruiken organisaties zelf volop AI, vaak zonder afspraken. Volgens onderzoek van ABN AMRO dat in het rapport wordt aangehaald, gebruikt 78% van het mkb in enige mate AI, maar heeft slechts 9% formeel beleid voor het gebruik ervan. Bij grote bedrijven is dat 32%. Het CSBN noemt een sprekend voorbeeld: bij de gemeente Eindhoven werden gevoelige gegevens van kwetsbare inwoners ingevoerd in openbare AI-tools.

Dat maakt AI-beleid tot een bestuurlijke keuze. Welke tools mogen medewerkers gebruiken, welke gegevens mogen daar nooit in, en wie houdt daar toezicht op? Het goede nieuws is dat AI het fundamentele antwoord niet verandert. Organisaties die de basis op orde hebben, zoals tijdig patchen, meerfactorauthenticatie, goede back-ups en zicht op wat er in hun netwerk gebeurt, staan ook tegenover AI-gedreven aanvallen sterker.

Uw weerbaarheid is zo sterk als uw zwakste leverancier

Cybercriminelen richten zich steeds vaker op het stelen van data in plaats van alleen het versleutelen van systemen. Het afgelopen jaar zagen we dat bij Odido, waar gegevens van ruim 6 miljoen klanten werden buitgemaakt, en bij zorgsoftwareleverancier ChipSoft, waarna veel ziekenhuizen hun patiëntportalen offline moesten halen. Het rapport is ook duidelijk over losgeld: politieonderzoek laat zien dat betalen geen garantie geeft dat gestolen gegevens worden verwijderd.

Veel van deze incidenten ontstonden bij een leverancier. De hack bij logistiek dienstverlener Ceva leidde tot datalekken bij minstens twaalf van haar opdrachtgevers. Bij Jaguar Land Rover in het Verenigd Koninkrijk raakte één aanval zo’n 5.000 andere organisaties, vooral toeleveranciers en dealers, met een geschatte schade van 2,2 miljard euro. Uw weerbaarheid hangt dus mede af van die van uw leveranciers, en een certificaat alleen zegt weinig over hoe het daar in de praktijk geregeld is.

Voor het mkb en kleinere maatschappelijke organisaties is de boodschap extra scherp. Slechts 26% van het mkb heeft een formeel responsplan voor cyberincidenten. Een incident oefenen doet 7% van de kleine bedrijven en 2% van de microbedrijven. Het CSBN concludeert dat kleinere organisaties hun weerbaarheid niet zelfstandig kunnen verhogen. Dat is geen verwijt, maar wel een reden om er bewust hulp bij te organiseren.

Vijf vragen voor uw volgende directieoverleg

Honderd procent veilig bestaat niet, dat erkent ook het rapport, maar grip krijgen op uw risico’s kan wel. Deze vijf vragen helpen om het gesprek aan de directietafel te openen:

1. Wie is bij ons bestuurlijk eigenaar van cyberveiligheid, en hoe vaak staat het op de agenda?
2. Weten we hoe weerbaar we in de praktijk zijn, of vooral hoe het op papier geregeld is?
3. Hebben we een responsplan voor een cyberincident, en hebben we dat het afgelopen jaar geoefend?
4. Welke afspraken hebben we over het gebruik van AI, en welke gegevens mogen daar niet in?
5. Welke leveranciers zijn kritiek voor onze continuïteit, en weten we hoe zij hun beveiliging geregeld hebben?

Lees het volledige rapport: Cybersecuritybeeld Nederland 2026 op de website van de NCTV