Cyberweerbaarheid schiet tekort bij bedrijven

Uit recente onderzoeken van Grant Thornton en Crayon blijkt dat zowel de technische als menselijke kant van cyberweerbaarheid tekortschiet. Nederlandse organisaties worden steeds vaker slachtoffer van digitale aanvallen, terwijl zowel beleid als personeel in veel gevallen nog niet klaar is om adequaat te reageren.

Eén op vier bedrijven getroffen door ernstige cyberaanval

Volgens het International Business Report van Grant Thornton kreeg bijna een kwart van de Nederlandse organisaties in 2024 te maken met een cyberaanval met aanzienlijke impact. Nog eens 39% meldde aanvallen met beperkte schade. Verontrustend is vooral dat 20% van de bedrijven helemaal geen monitoring doet en dus niet weet of ze ooit zijn aangevallen. In 13% van de gevallen is er nauwelijks aandacht voor cyberweerbaarheid.

Hoewel 64% van de middelgrote bedrijven zegt te beschikken over een uitgebreid cybersecuritybeleid, werkt 28% nog met basale maatregelen en reageert een kwart vooral ad hoc op incidenten. Vooral kleinere bedrijven vormen een kwetsbare schakel: hun beperkte capaciteit vergroot de kans op succesvolle aanvallen en daarmee ook het risico op ketenincidenten waarbij grotere partijen indirect worden geraakt.

'De dreiging wordt weliswaar erkend, maar veel organisaties worstelen nog met een aanpak die écht bij hun structuur past,' aldus Migiel de Wit-Beets, partner Cyber Risk bij Grant Thornton Nederland. 'Tijd om wakker te worden.'

Medewerker is de zwakste schakel én de sleutel tot cyberweerbaarheid

Naast het ontbreken van technische paraatheid, blijkt uit onderzoek van Crayon dat ook de menselijke factor ernstig tekortschiet. Hoewel 83% van de werknemers denkt phishing te herkennen, geeft bijna een derde toe vermoedens niet te melden bij IT of een leidinggevende. Bovendien weet slechts 41% van de medewerkers wat te doen bij een daadwerkelijke cyberaanval. De rest tast in het duister — of rekent op collega’s.

Dat vormt een directe bedreiging, stelt Michiel van Egmond van Crayon: 'Medewerkers vormen de eerste verdedigingslinie. Maar wie niet weet hoe te handelen, laat kostbare minuten verloren gaan. Dat is precies wanneer cybercriminelen toeslaan.'

Ondanks een hoog verantwoordelijkheidsgevoel - 62% voelt zich verantwoordelijk voor de digitale veiligheid - ontbreekt het vaak aan concrete handelingsperspectieven. De combinatie van overschatting, onderschatting van risico’s en gebrek aan training maakt organisaties kwetsbaar voor bijvoorbeeld ransomware, waarbij systemen worden gegijzeld en pas na betaling weer toegankelijk zijn.

Waarom beleid alléén niet genoeg is

Beleid is noodzakelijk, maar onvoldoende. Grant Thornton benadrukt dat cyberweerbaarheid een samenspel is van techniek, processen en menselijk gedrag. Het vereist betrokkenheid van álle lagen in de organisatie — van bestuur tot operationele teams. Zonder die integrale benadering blijven organisaties achter de feiten aanlopen.

Crayon wijst op het belang van terugkerende trainingen en realistische simulaties:

'Awareness-trainingen, duidelijke incidentprotocollen en phishing-oefeningen zorgen ervoor dat medewerkers niet alleen opletten, maar ook durven én weten te handelen.'

Wat kunnen organisaties nú doen?

De urgentie om te handelen is groot - en de oplossingen zijn vaak eenvoudiger dan gedacht. Concrete stappen om de weerbaarheid te verhogen zijn onder andere:
 

• Implementeer een integraal cybersecuritybeleid, afgestemd op de structuur en risico’s van de organisatie.
• Zorg voor actieve monitoring om aanvallen vroegtijdig te signaleren.
• Train medewerkers structureel, niet alleen in herkenning, maar ook in gedrag bij incidenten.
• Simuleer scenario’s, zoals phishing-aanvallen, om inzicht te krijgen in de reacties binnen teams.
• Veranker cyberweerbaarheid in de bestuursstructuur, met aandacht op het hoogste niveau.

Cyberveiligheid vereist actie

De digitale dreiging is reëel en neemt toe in zowel frequentie als complexiteit. Tegelijkertijd laten veel bedrijven steken vallen, óók wanneer ze beleid op papier hebben. Pas wanneer beleid en menselijk gedrag samenkomen, ontstaat echte cyberweerbaarheid.