Cybercrimebeeld Nederland 2026: wat betekent het voor bestuurders?

Cybercrime in Nederland: de belangrijkste cijfers

De Veiligheidsmonitor 2025 van het CBS laat zien hoe breed online criminaliteit de Nederlandse samenleving raakt. De cijfers gaan over Nederlanders van 15 jaar en ouder en omvatten meerdere vormen van online criminaliteit.

Dit betekent dus niet dat 2,5 miljoen Nederlanders zijn gehackt. Het cijfer omvat verschillende vormen van online criminaliteit.

Drie ontwikkelingen die de cyberdreiging in Nederland veranderen

Het Cybercrimebeeld Nederland 2026 beschrijft geen losstaande technieken, maar een cybercrime-ecosysteem waarin infrastructuur, kennis en diensten door verschillende groepen kunnen worden gebruikt. Drie ontwikkelingen zijn voor organisaties bijzonder relevant.

De belangrijkste kwetsbaarheid die ik in de praktijk zie? Aannames.

In mijn dagelijkse werk zie ik nog steeds dat veel directies cybersecurity vooral beschouwen als een taak van IT. Bijna iedere organisatie is inmiddels sterk afhankelijk van IT. Soms draait het volledige primaire proces erop. Toch wordt IT-risicobeheersing nog opvallend vaak volledig overgelaten aan de IT-afdeling of externe IT-dienstverlener.

Typische uitspraken zijn: ‘IT regelt dat’ en ‘Onze leverancier heeft dat op orde.’ Tijdens onderzoeken blijkt vervolgens regelmatig dat contracten verouderd zijn, SLA's onvoldoende concreet zijn, verantwoordelijkheden niet duidelijk zijn, rapportages ontbreken, risicoanalyses nooit zijn uitgevoerd en beveiligingsmaatregelen niet aantoonbaar worden gecontroleerd.

Vertrouwen is belangrijk. Maar vertrouwen is geen beheersmaatregel.

De grootste kwetsbaarheid zit vaak niet in een onbekende zero-day, maar in de aanname dat iemand anders het wel geregeld heeft.

Een firewall hebben betekent nog niet dat hij beschermt

Ik kom in de praktijk omgevingen tegen waarin een beveiligingsfunctie uitstaat, malware- of botnetcontrole niet actief blijkt, een licentie is verlopen en niemand dit controleert. Iedereen ging ervan uit dat de beveiliging goed stond.

Ook onvoldoende netwerkscheiding komt nog regelmatig voor, met name in productie, logistiek en transport en bij organisaties met veel lokale infrastructuur. Een aanvaller die één systeem bereikt, kan zich dan onnodig ver door de omgeving bewegen.

De vraag moet niet alleen zijn welke beveiligingsmaatregelen we hebben, maar vooral hoe we weten dat ze daadwerkelijk werken. Een onafhankelijke Cyber Security Audit kan precies dat verschil tussen aanname en bewijs zichtbaar maken. Goed patchmanagement en kwetsbaarhedenbeheer verkleint bovendien de tijd waarin bekende kwetsbaarheden misbruikt kunnen worden.

Cybersecurity hoort in de boardroom

Bestuurders hoeven geen technische specialisten te zijn. Zij moeten wel weten welke digitale risico's belangrijk zijn, wie verantwoordelijk is, welke maatregelen zijn gekozen, waarom die passend zijn, welke restrisico's worden geaccepteerd en hoe de werking wordt gecontroleerd.

Dat geldt ook voor incidentdetectie en voor de uitval van kritieke leveranciers. Leg rollen en verantwoordelijkheden vast in een RACI en gebruik een actuele risicoanalyse als basis voor besluiten. Eerst het risico begrijpen. Daarna bepalen welke maatregel daarbij past.

De Cyberbeveiligingswet en NIS2 maken deze bestuurlijke lijn extra actueel, maar goed risicogestuurd bestuur is ook buiten de wettelijke scope nodig.

• Welke digitale risico's kunnen de strategie of continuïteit raken?
• Wie is eigenaar en wie voert uit, adviseert of houdt toezicht?
• Welke maatregelen zijn gekozen en op welk risico zijn ze gebaseerd?
• Welke risico's worden bewust geaccepteerd en door wie?
• Hoe wordt gecontroleerd of maatregelen daadwerkelijk werken?
• Hoe worden incidenten gedetecteerd en geëscaleerd?
• Wat gebeurt er bij uitval van een kritieke leverancier?

Uitbesteden van IT is niet hetzelfde als uitbesteden van verantwoordelijkheid

Een IT-dienstverlener kan patching, logging, monitoring, back-ups, incidentdetectie, incidentrespons, escalatie, rapportage en herstel uitvoeren. De organisatie blijft verantwoordelijk voor de keuze van de dienstverlening, het bijbehorende risico en de controle op de gemaakte afspraken.

Maak leveranciersmanagement onderdeel van de eigen interne beheersing. Leg niet alleen vast wat de leverancier doet, maar ook welk bewijs en welke periodieke rapportage de organisatie ontvangt.

‘De leverancier is ISO 27001-gecertificeerd, dus het zal wel goed zijn’

Een ISO 27001-certificaat is nuttig, maar geen vrijbrief. Controleer de certificeringsscope, de Statement of Applicability, relevante beheersmaatregelen, of de gebruikte dienstverlening binnen scope valt, de verdeling van verantwoordelijkheden, beschikbare rapportages en eventuele auditrechten.

Wanneer een leverancier een cruciaal onderdeel van het primaire proces verzorgt, kan aanvullende assurance of een aanvullende audit logisch zijn. Een certificering is geen vervanging voor leveranciersmanagement.

Een datalek stopt niet nadat het bij de AP is gemeld

Organisaties zijn soms terughoudend met melden en communiceren uit angst voor boetes en reputatieschade. Later kan blijken dat de impact ernstiger is dan aanvankelijk gedacht. Gestolen data blijft bovendien langdurig bruikbaar en kan met andere datasets worden gecombineerd, waardoor phishing en fraude geloofwaardiger worden.

De vraag is niet alleen wat vandaag is gelekt, maar ook wat iemand over zes maanden met die gegevens kan doen. Houd daar rekening mee in onderzoek, communicatie, nazorg en monitoring.

Awareness moet mee veranderen

Klassieke awareness die vooral waarschuwt voor spelfouten en slechte zinnen raakt achterhaald. Met AI kunnen aanvallers overtuigende en contextspecifieke berichten maken. Nieuwe awareness moet daarom gaan over context, gedrag, controle, verificatie via een tweede kanaal, afwijkende betaalverzoeken en afwijkend accountgebruik.

Medewerkers moeten leren vragen: klopt dit verzoek, is deze handeling logisch, waarom verandert ineens het rekeningnummer en kan ik dit via een tweede kanaal controleren? Een doorlopend security-awarenessprogramma helpt om zulke controlehandelingen onderdeel van het dagelijkse werk te maken.

Awareness mag nooit de enige verdedigingslinie zijn. Technische maatregelen zoals MFA, toegangsbeheer, veilige configuratie, detectie, logging en monitoring blijven nodig.

Veel organisaties merken een incident waarschijnlijk niet snel genoeg op

Bij sommige organisaties ontbreekt logging. Bij andere bestaat logging, maar kijkt niemand ernaar. Detectieregels en een duidelijke escalatieroute kunnen ontbreken, terwijl de IT-leverancier automatisch wordt vertrouwd en niet duidelijk is wie de incidentrespons leidt.

Sommige organisaties zijn niet alleen onvoldoende voorbereid op een cyberincident, maar onvoldoende ingericht om het incident überhaupt tijdig te ontdekken.

Oefen voordat het incident er is

Een bruikbaar incidentresponsplan verbindt de incidentorganisatie met het crisisplan, actuele contactlijsten, communicatie, een mogelijke melding aan de Autoriteit Persoonsgegevens, de cyberverzekering, een incidentresponsepartner en vooraf afgesproken besluitvorming.

Oefen ook scenario's zoals uitval van Microsoft 365 of de IT-leverancier. Een document op SharePoint stopt geen ransomware-aanval. Het plan moet daarom ook beschikbaar en bruikbaar zijn wanneer de normale omgeving niet werkt.

Never waste a good incident. Laat ieder incident leiden tot evaluatie, root-causeanalyse, beoordeling van de maatregelen en structurele verbetering. Is er al iets misgegaan, gebruik dan de eerste stappen uit Gehackt? Wat nu?.

Bespreek ransomware voordat je ransomware hebt

Politie en OM benadrukken het belang van niet betalen bij ransomware. Betalen biedt geen garantie dat criminelen gegevens verwijderen en houdt hun verdienmodel in stand.

Bespreek vooraf of betalen per definitie is uitgesloten, of uitzonderlijke omstandigheden denkbaar zijn, wie mag beslissen, welke rol RvT, RvC of RvA heeft, welke externe adviseurs worden betrokken en wat de cyberverzekering verlangt. Een crisissituatie is een slecht moment om principiële governancevragen voor het eerst te bespreken.

Wat moet een bestuurder uit het Cybercrimebeeld Nederland 2026 halen?

Deze zeven punten vertalen het actuele cybercrimebeeld naar concrete bestuurlijke beheersing.

De dreiging wordt ingewikkelder. De basis blijft verrassend herkenbaar.

Het Cybercrimebeeld Nederland 2026 laat zien dat cybercriminelen professioneler samenwerken, dat grenzen tussen dadertypen vervagen en dat AI bestaande aanvallen sneller en schaalbaarder maakt. Dat verdient aandacht.

Maar organisaties moeten zich daardoor niet laten verleiden tot de gedachte dat hun beveiliging automatisch ingewikkelder moet worden. Veel organisaties kunnen hun weerbaarheid aanzienlijk verbeteren door eerst scherp te krijgen wat ze al dénken te hebben geregeld.

Welke maatregelen werken werkelijk? Welke afspraken bestaan aantoonbaar? Welke risico's zijn bewust geaccepteerd? Wie controleert de leverancier? Wie kijkt naar de logging? Wie neemt de leiding wanneer het misgaat?

Want uiteindelijk zit de grootste kwetsbaarheid vaak niet in een onbekende zero-day. De grootste kwetsbaarheid zit vaak in de aanname dat iemand anders het wel geregeld heeft.