Het Cybersecuritybeeld Nederland 2025 laat een patroon zien dat inmiddels moeilijk te negeren is. Cyberincidenten worden groter, frequenter en minder voorspelbaar. Niet alleen grote organisaties liggen onder vuur, maar juist ook de vele “niet-vitale” partijen die afhankelijk zijn van digitale processen.
Bijna elke maand ontstond er wel een storing, hack of datalek dat direct merkbare schade veroorzaakte. Denk aan het platleggen van onderwijs door ransomware, verstoringen in de zorgketen door softwarefouten, leveranciers die gegijzeld werden en gemeenten die dagenlang geen dienstverlening konden leveren. Dat zijn geen hypothetische risico’s. Dat is Nederland in 2024 en 2025.
Wat vooral opvalt: de keten kraakt
Veel aanvallen beginnen niet bij het doelwit zelf, maar bij een leverancier of softwarepartner die onbedoeld een achterdeur opent. Het rapport beschrijft meerdere voorbeelden waarbij aanvallers via deze route toegang kregen tot vertrouwelijke data of bedrijfsnetwerken. Zelfs organisaties met redelijke basismaatregelen worden dan alsnog geraakt.
Digitale afhankelijkheid is een zegen, totdat het een zwaktebod wordt.
AI versnelt aanvallen
Het rapport waarschuwt dat criminelen generatieve AI gebruiken om aanvallen slimmer en geloofwaardiger te maken. Phishingmails zijn niet meer te onderscheiden van echte berichten. Kwetsbaarheden worden sneller gevonden. Misbruik van large language models door cybercriminelen is geen futuristisch scenario meer. Het gebeurt nu al, op grote schaal.
AI vergroot het speelveld en verlaagt de drempel. Aanvallers hoeven minder te kunnen. Ze hebben betere tools dan ooit.
Menselijke fouten blijven een structureel probleem
De Autoriteit Persoonsgegevens meldt dat datadiefstal opnieuw sterk gestegen is. Het grootste deel daarvan komt door menselijk handelen. Fouten in e-mail, te ruime toegangsrechten, oude accounts die nooit zijn verwijderd. Kleine dingen. Simpel te voorkomen, maar in de praktijk gaat het vaak mis.
Organisaties onderschatten structureel hoeveel risico’s ontstaan door dagelijkse routines en de druk op personeel.
Wetgeving schuift mee
Met de Cyberbeveiligingswet en NIS2 groeit de verplichting om aantoonbaar in control te zijn. Voor veel organisaties is dat een grote verandering. Wetgeving kijkt niet alleen naar technische voorzieningen, maar ook naar beleid, governance, risicomanagement en controle.
Veel organisaties hebben daar nog geen structuur voor. Het leidt tot gaten die aanvallers graag benutten en waar toezichthouders straks op gaan handhaven.
Wat betekent dit voor organisaties nu?
Het Cybersecuritybeeld laat vooral zien dat organisaties de aanpak te ad-hoc houden. Men reageert op incidenten maar bouwt geen duurzaam fundament. Het rapport benoemt dat digitale ontwrichting vaak voortkomt uit een combinatie van factoren:
- Onvoldoende zicht op eigen risico’s.
- Verouderde maatregelen die niet worden onderhouden.
- Gebrek aan controle op leveranciers.
- Te weinig aandacht voor de menselijke factor.
- Geen structurele borging van cybersecurity in de bedrijfsvoering.
Veel organisaties denken “onze ICT-leverancier regelt dit”, maar ICT en cybersecurity overlappen slechts gedeeltelijk. Governance, beleid, rollen en controles blijven vaak liggen.
De boodschap is helder
Nederland staat op een kantelpunt. De dreiging neemt toe. De impact is groter dan ooit. En de afhankelijkheden in de keten maken dat één fout of een onoplettende leverancier voldoende is om processen stil te leggen.
Organisaties die willen voorkomen dat zij de volgende headline worden, moeten cybersecurity zien als een doorlopend onderdeel van hun bedrijfsvoering. Niet als project. Niet als technische check. Maar als iets wat aandacht vraagt, net als financiën of veiligheid op de werkvloer.
Wat kun je als organisatie nú doen?
Zorg voor drie dingen, hoe klein of groot je ook bent:
- Krijg zicht op je risico’s.
Zonder inzicht wordt elk incident een verrassing. - Bouw structuur in je beveiliging.
Beleid, rollen, periodieke controles, training en evaluatie horen bij elkaar. - Kijk verder dan je eigen muren.
Je digitale keten is minstens zo belangrijk als je interne beveiliging.
Dat is geen luxe. Dat is noodzakelijk, gezien de incidenten die NCTV het afgelopen jaar registreerde.
