Het Cybersecuritybeeld Nederland 2026 zegt het zonder omwegen: de dreiging groeit sneller dan de weerbaarheid van Nederlandse organisaties. Als oorzaken noemt de NCTV een gebrek aan eigenaarschap, bestuurlijke sturing, geld en capaciteit.
Als recruiter lees ik dat laatste woord natuurlijk het eerst. Toch dicht je het gat niet met alleen extra mensen. De cijfers in het rapport wijzen eerst naar eigenaarschap en naar oefenen.
Wat het Cybersecuritybeeld Nederland 2026 concludeert
Het CSBN 2026 verscheen op 6 november en beslaat augustus 2025 tot en met augustus 2026. De kernboodschap: statelijke actoren en cybercriminelen worden sterker, en de digitale weerbaarheid groeit niet in hetzelfde tempo mee. De NCTV noemt die scheefgroei een ernstig risico voor de nationale veiligheid.
Nieuw is dat het rapport voor het eerst laat zien dat aanvallers AI aantoonbaar inzetten, om sneller kwetsbaarheden te vinden en malware te ontwikkelen. Volgens het NCSC hebben ze daar niet eens de meest geavanceerde modellen voor nodig. Zonder flinke verbetering van de weerbaarheid verwacht de NCTV de komende jaren een forse toename van het aantal incidenten.
Weerbaarheid op papier en in de praktijk
Het sterkste deel van het rapport gaat over het verschil tussen hoe organisaties zichzelf zien en wat er werkelijk staat. Het CSBN haalt daarvoor het onderzoek Cyberweerbaar Nederland van KPN aan. Organisaties gaven hun eigen weerbaarheid gemiddeld een 7,1. In hetzelfde onderzoek voelt 67 procent zich voorbereid op een cyberaanval, terwijl maar 28 procent dat structureel oefent.
Bij detectie is het beeld nog scherper. Een derde van de organisaties in dat onderzoek heeft geen of alleen zeer basale detectie. Zij ontdekken een incident dus pas als de schade er al is. Slechts 5 procent geeft prioriteit aan patching, endpointbeveiliging en incidentrespons. En het NCSC ziet dat organisaties actief misbruikte kwetsbaarheden nog steeds laten liggen, ook na een waarschuwing.
Het rapport heeft er een mooie zin voor: geen bewijs van een hack is geen bewijs dat er geen hack was. Wie niet logt, ziet ook niets.
Eigenaarschap gaat voor capaciteit
De NCTV noemt vier oorzaken in één adem: eigenaarschap, bestuurlijke sturing, financiële middelen en capaciteit. Mijn advies is om die volgorde serieus te nemen. Een extra SOC-analist zonder iemand die bepaalt welke systemen gelogd worden en wie op een alert reageert, kijkt vooral naar een leeg scherm.
Het CSBN noemt ook dat IT- en securitymedewerkers kritischer zijn over wat er echt geregeld is dan het management. Die kloof dicht je met een eigenaar die aan het bestuur rapporteert, en dan met cijfers: hoeveel systemen loggen centraal, hoe snel is er gepatcht, wanneer is er voor het laatst geoefend.
Pas daarna wordt capaciteit de vraag. Dan weet je ook welke: een detection engineer die logging en use cases op orde brengt, een incident responder die het plan een keer echt laat draaien, of een CISO die de sturing neerzet. Voor dat laatste schreef ik eerder over wat een information security officer doet en hoe die rol verschilt van de CISO.
Wat betekent dit voor je organisatie?
Sinds 15 augustus 2026 vallen essentiële en belangrijke entiteiten onder de Cyberbeveiligingswet. Voor die organisaties is weerbaarheid geen keuze meer. Maar ook wie er niet onder valt, zit vaak in de keten van iemand die dat wel doet. Het CSBN noemt de hack bij logistiek dienstverlener Ceva in augustus 2026, waardoor verschillende grote Nederlandse bedrijven waarvoor Ceva bestellingen afhandelt, slachtoffer werden van een datalek.
Een paar vragen die ik een bestuur zou laten beantwoorden:
- Wie is eigenaar van logging en detectie, met naam en toenaam?
- Welke systemen loggen we centraal, en hoe lang bewaren we dat?
- Wanneer hebben we het incidentresponsplan voor het laatst echt geoefend, met het bestuur erbij?
- Hoe snel patchen we een kwetsbaarheid die actief misbruikt wordt, en wie controleert dat?
- Welke leveranciers hebben toegang tot onze systemen of data, en wat weten we van hun beveiliging?
Lukt het niet om die vragen binnen een week te beantwoorden, dan weet je waar je moet beginnen. Voor het oefenen en de continuïteit sluit dit aan op een business continuity plan opstellen.
Het mkb en de keten
Het rapport besteedt opvallend veel aandacht aan de kloof tussen grote en kleine organisaties. Volgens de CBS-cijfers in het CSBN oefende in 2024 37 procent van de grote bedrijven een cyberincident, tegen 7 procent van de kleine bedrijven en 2 procent van de microbedrijven. De NCTV stelt dat kleine organisaties hun weerbaarheid niet zelfstandig kunnen verhogen, en dat toeleveranciers, toezichthouders en de overheid daar medeverantwoordelijk voor zijn.
Voor een grote organisatie betekent dat: je eigen weerbaarheid is zo sterk als die van je zwakste leverancier. Dan loont het om third party risk management serieus in te richten.
Hoe wij kunnen helpen
Zoek je tijdelijk iemand die logging en detectie op orde brengt, of een interim CISO die het eigenaarschap neerzet? Bekijk onze expertise in SOC operations en CISO en security officers. Via MVPeople plaatsen we interim securityprofessionals. Bel of mail me via de contactpagina, dan kijken we samen welke rol je als eerste nodig hebt.
