Inzicht in de praktijk
Het onderzoek Cyberweerbaar Nederland 2026 is
Het onderzoek combineerde een kwantitatieve survey onder meer dan 250 IT- en securityprofessionals met 19 diepte-interviews. Een groot deel van de respondenten werkt in organisaties die tot de vitale infrastructuur behoren. Op basis van deze input werd een volwassenheidsmodel ontwikkeld dat organisaties helpt hun eigen cyberweerbaarheid te beoordelen.
De uitkomsten
Van cybersecurity naar cyberweerbaarheid
Een belangrijke ontwikkeling die in het onderzoek naar voren komt, is de verschuiving van cybersecurity naar cyberweerbaarheid. Organisaties realiseren zich steeds meer dat de vraag niet is of zij ooit met een cyberincident te maken krijgen, maar wanneer.
Cyberweerbaarheid gaat daarom niet alleen over het voorkomen van aanvallen. Het gaat ook over het vermogen om incidenten snel te detecteren, adequaat te reageren en de organisatie weer operationeel te krijgen.
Organisaties geven zichzelf een 7,1
Een opvallend resultaat uit het onderzoek is dat organisaties zichzelf gemiddeld een 7,1 geven voor hun cyberweerbaarheid. Dat suggereert dat veel organisaties vinden dat zij hun basis redelijk op orde hebben.
Toch laat het onderzoek zien dat er nog belangrijke verschillen bestaan tussen perceptie en praktijk. Ongeveer een derde van de organisaties geeft aan zich niet volledig voorbereid te voelen op een cyberaanval. Daarnaast blijkt dat securityprofessionals vaak kritischer zijn op de weerbaarheid van hun organisatie dan management.
Monitoring en detectie blijven achter
Een van de grootste aandachtspunten is monitoring. Veel organisaties hebben wel securitymaatregelen geïmplementeerd, maar beschikken niet over voldoende zicht op wat er daadwerkelijk gebeurt in hun IT-omgeving.
In sommige gevallen worden alleen kritieke systemen actief gemonitord. Minder kritieke systemen blijven buiten beeld, terwijl juist daar kwetsbaarheden ontstaan. Wanneer monitoring niet breed genoeg is ingericht, bestaat het risico dat aanvallen pas laat worden ontdekt.
Crisisvoorbereiding wordt vaak overschat
Een ander belangrijk inzicht uit het onderzoek gaat over crisisvoorbereiding. Veel organisaties denken dat zij goed voorbereid zijn op een cyberincident. In de praktijk blijkt dat incidentrespons vaak onvoldoende wordt getest.
Slechts een minderheid van de organisaties oefent regelmatig met cybercrises, bijvoorbeeld via tabletop-oefeningen of red team-scenario’s. Zonder zulke oefeningen blijft onduidelijk hoe processen in werkelijkheid verlopen wanneer een incident zich voordoet. Plannen alleen zijn niet voldoende: het regelmatig testen van processen en samenwerking tussen teams is essentieel.
Leveranciers en ketenrisico’s
Ook ketenbeveiliging komt in het onderzoek naar voren als een kwetsbaar punt. Veel organisaties zijn afhankelijk van leveranciers, cloudproviders en softwarepartners. Toch hebben zij vaak beperkt zicht op de securitymaatregelen binnen die keten.
Leveranciersmanagement wordt regelmatig nog ad hoc ingericht. Structurele processen om leveranciers te beoordelen, te monitoren en te auditen ontbreken vaak. Dat maakt organisaties kwetsbaar voor supply-chain-aanvallen. Nieuwe regelgeving, zoals NIS2, vergroot de druk op organisaties om hun leveranciersketen beter in kaart te brengen en actief te beheren.
Identity en toegang blijven een uitdaging
Identity and Access Management blijft eveneens een belangrijk aandachtspunt. Veel organisaties hebben multifactor-authenticatie ingevoerd, maar vaak alleen voor kritieke applicaties.
Dat betekent dat een groot deel van de systemen nog steeds toegankelijk is via minder sterke beveiliging. Tegelijk groeit de complexiteit van identity-beheer door de toename van cloudservices, SaaS-applicaties en verbonden apparaten. Steeds meer organisaties zien identiteitsbeheer daarom als strategische prioriteit voor de komende jaren.
Investeringen nemen toe
Ondanks de genoemde uitdagingen is er ook reden voor voorzichtig optimisme. Het onderzoek laat zien dat veel organisaties hun securitybudget verhogen.
Investeringen richten zich vooral op monitoring, identity-beheer en het versterken van securitystrategieën. Daarnaast groeit de aandacht voor veilig gebruik van AI binnen organisaties. Cybersecurity wordt dus steeds meer gezien als een kernonderdeel van bedrijfsstrategie.
Vergelijk je eigen cyberweerbaarheid
Het onderzoek Cyberweerbaar Nederland 2026 biedt organisaties een benchmark om hun eigen cyberweerbaarheid te vergelijken met andere organisaties in Nederland.
Benieuwd hoe jouw organisatie scoort op monitoring, crisismanagement, identity-beheer en ketenbeveiliging? Download dan het volledige rapport.
Dit rapport laat zien dat veel organisaties stappen zetten richting hogere cyberweerbaarheid. Tegelijk laat het zien dat structurele investeringen in governance, monitoring en samenwerking in de keten noodzakelijk zijn om cyberrisico's effectief te beheersen.
