Kleine organisaties en het mkb kunnen hun digitale weerbaarheid niet meer op eigen kracht op peil brengen. Leveranciers, toezichthouders en de overheid zijn daar medeverantwoordelijk voor. Dat concludeert de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) in het Cybersecuritybeeld Nederland 2026, dat afgelopen week verscheen.
Waar het Cybersecuritybeeld vorig jaar vooral de Rijksoverheid de les las, verbreedt het dit jaar de kritiek naar bestuurders en de keten. De NCTV ziet dat statelijke hackers en cybercriminelen door gebruik van AI sneller en op grotere schaal kunnen aanvallen, maar dat de weerbaarheid van Nederlandse organisaties niet in hetzelfde tempo meegroeit. Die scheefgroei noemt het rapport een ernstig risico voor de nationale veiligheid. De harde conclusie luidt dan ook: het is niet de vraag óf, maar wanneer Nederland te maken krijgt met een cyberincident dat de samenleving ontwricht.
Op kleine schaal kreeg Nederland daar de afgelopen maand al een voorproefje van. Na een cyberaanval op Ahold Delhaize in oktober lag de thuisbezorging van Albert Heijn ongeveer twee weken stil en zaten winkels met lege schappen. Het bedrijf verwacht daardoor tussen de 200 en 250 miljoen euro omzet mis te lopen. En begin november zetten aanvallers in meerdere Europese landen de koelingen en vriezers van supermarkten van afstand op ontdooien.
Dreiging wordt steeds ingewikkelder
Het rapport kijkt terug op de periode van augustus 2025 tot en met augustus 2026. Meer dan in eerdere jaren gaat het dit keer ook over de weerbaarheid zelf, en dan valt al snel op hoe groot het verschil is tussen grote en kleine organisaties. Grote bedrijven steken steeds meer geld in hun beveiliging, het mkb blijft achter. Eigenlijk is dat ook niet zo gek, vindt de NCTV. Een mkb’er heeft minder wettelijke verplichtingen dan een groot bedrijf en krijgt ook minder hulp van de overheid. Die is vooral met zijn eigen vak bezig, en mist vaak de kennis en het geld om de beveiliging bij te houden, terwijl de dreiging steeds ingewikkelder wordt.
Toch is dit niet alleen een probleem van het mkb. Geen enkel bedrijf staat op zichzelf. Je bestellingen lopen via een logistiek dienstverlener, je gegevens staan bij een cloudleverancier, je software komt weer van een ander. Al die partijen zijn digitaal met elkaar verbonden, en volgens de NCTV is zo’n keten precies zo sterk als de zwakste schakel. Het lastige is dat je van die andere schakels meestal maar weinig weet. Hoe een leverancier zijn beveiliging regelt, zie je niet, en je hebt er nog minder over te zeggen. En hoe meer partijen er in de keten zitten, hoe meer deuren er zijn waar een aanvaller kan aankloppen.
Hoe dat uitpakt, bleek afgelopen augustus bij Ceva. Die logistiek dienstverlener handelt bestellingen af voor verschillende grote Nederlandse bedrijven. Toen hackers daar binnenkwamen, lekten de klantgegevens van minstens twaalf van die opdrachtgevers, onder wie ING, Ajax en Zalando. Bij de Bijenkorf en Bol kwamen bestellingen soms weken later aan bij klanten.
Flinke kloof tussen groot en klein
Hoeveel beter grote bedrijven hun beveiliging op orde hebben dan kleinere organisaties, laat de NCTV zien met cijfers van het CBS en ABN AMRO. Bij de basissecurity valt het nog wel mee. Zo’n 85 procent van de bedrijven gebruikt antivirussoftware en ook multifactorauthenticatie is de afgelopen jaren overal flink gegroeid. Maar zodra het wat ingewikkelder wordt, beginnen groot en klein uit de pas te lopen. Neem bijvoorbeeld het versleutelen van data. Van de grote bedrijven doet 91 procent dat, van de kleine bedrijven ongeveer de helft en van de allerkleinste bedrijven, met twee tot tien medewerkers, een op de drie.
Als we kijken naar het oefenen van een cyberincident is het gat nog groter. Ruim een derde van de grote bedrijven deed dat in 2024, tegen 7 procent van de kleine bedrijven en 2 procent van de ondernemingen met 2 tot 10 werknemers. Een formeel responsplan voor als het misgaat heeft volgens ABN AMRO een kwart van de ondervraagde mkb’ers, tegen bijna de helft van de grote bedrijven. De NCTV merkt er fijntjes bij op dat dus ook meer dan de helft van de grote bedrijven zo’n plan niet heeft.
Maar het meest opvallende verschil zit bij AI. Bijna acht op de tien mkb’ers gebruiken in enige mate AI, en dat gaat niet zonder zorgen. Een derde is bang dat medewerkers gevoelige informatie in een AI-tool stoppen. Toch heeft maar 9 procent van het mkb formeel beleid voor het gebruik van AI. Bij grote bedrijven is dat 32 procent. Wat er mis kan gaan, bleek bijvoorbeeld eind vorig jaar in Eindhoven. Daar bleek uit een steekproef van de gemeente zelf dat medewerkers bestanden met persoonsgegevens van inwoners, zoals Jeugdwetdocumenten, naar openbare AI-websites als ChatGPT hadden gestuurd.
Security is vooral theoretisch
Wie denkt dat grote organisaties het dan wel op orde hebben, kan nog wel eens bedrogen uitkomen. Ze zijn er vooral zelf erg van overtuigd, blijkt uit het onderzoek Cyberweerbaar Nederland van KPN. Daarin gaven de onderzochte organisaties hun eigen cyberweerbaarheid gemiddeld een 7,1. Maar als je kijkt wat er écht geregeld is, blijven het bewaken van systemen, de reactie op incidenten en de grip op leveranciers structureel achter. Slechts 5 procent geeft voorrang aan het bijwerken van software, het beveiligen van laptops en andere apparaten en het reageren op incidenten. Van de organisaties voelt 67 procent zich voorbereid op een aanval, terwijl maar 28 procent dat regelmatig oefent. Voorbereiding bestaat volgens de NCTV dan ook voor een groot deel op papier.
Opvallend is wie er het meest rooskleurig over de eigen weerbaarheid denkt. De IT- en securitymedewerkers blijken kritischer over wat hun organisatie echt geregeld heeft dan het management. Ook de NCTV legt de verantwoordelijkheid bij het bestuur. Dat de basis vaak niet op orde is, is al jaren bekend. Dat aanvallers toch steeds binnenkomen, komt doordat eigenaarschap, sturing vanuit het bestuur en capaciteit achterblijven.
Gaat het mis, dan merkt niet alleen de IT-afdeling dat, maar de hele organisatie. En al snel ligt er een beslissing op tafel die helemaal niet technisch is. Cybercriminelen stelen namelijk steeds vaker grote hoeveelheden data zonder systemen te versleutelen, en dreigen die gegevens openbaar te maken. Betaal je dan of niet? Wie de schade met losgeld denkt te beperken, krijgt volgens de politie geen garantie dat de gegevens ook echt verdwijnen. Uit meerdere opsporingsonderzoeken blijkt dat gestolen data ook na betaling bij criminelen blijft liggen. Soms wordt die doorverkocht, soms later gebruikt om het slachtoffer opnieuw af te persen. Ook de Autoriteit Persoonsgegevens zag in 2025 organisaties die betaalden, waarna de criminelen meer geld eisten of de gegevens toch online zetten.
Mkb op zichzelf aangewezen
Sinds 15 augustus geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Organisaties in achttien kritieke sectoren moeten hun cyberrisico’s nu beheersen, en de wet legt die verantwoordelijkheid nadrukkelijk bij bestuurders. Het grootste deel van het mkb valt niet onder die wet. Dat scheelt verplichtingen, maar betekent ook minder ondersteuning. Toch moet ook het mkb de basis op orde hebben, vindt de NCTV. Alleen zegt de coördinator er in één adem bij dat het mkb dat niet zelfstandig kan. Daar zijn ook de overheid, leveranciers en toezichthouders voor nodig.
Hoe dat er in de praktijk uit moet zien, werkt het rapport zelf dan weer niet uit. Het noemt wel het Cyber Weerbaarheidscentrum Brainport als voorbeeld, waar bedrijven uit de hightech- en maakindustrie kennis over dreigingen met elkaar delen. Ook wijst het erop dat het NCSC veel informatie misloopt, omdat organisaties die uit juridische of commerciële voorzichtigheid voor zich houden. Het kabinet stuurde tegelijk met het rapport een actieprogramma naar de Kamer dat tot eind 2027 loopt. Daarin staat onder meer een centraal loket waar mkb’ers terechtkunnen met vragen over de voorbereiding op incidenten. Voor netwerken die het mkb ondersteunen, komt er een nieuwe ronde van de subsidieregeling Versterken Cyberweerbaarheid. En bij de overheid komen pilots waarin bestuurders en inkopers zicht krijgen op hun afhankelijkheden bij de aanschaf van ICT en AI-tools. Helaas komt er geen extra geld bij en moet alles binnen de bestaande budgetten gebeuren.
Al in 2019 schreef de NCTV dat Nederland digitaal onvoldoende weerbaar was. Zeven rapporten later staat die conclusie er nog steeds. Nu moeten de grotere partijen in de keten gaan helpen om het gat bij het mkb te dichten. Maar juist die grotere bedrijven overschatten volgens datzelfde rapport hun eigen weerbaarheid.