Het Cybersecuritybeeld Nederland (CSBN) 2026 trekt een indringende conclusie: de vraag is niet óf onze samenleving wordt geraakt door een ontwrichtend cyberincident, maar wanneer. De Cyber Security Raad (CSR) onderschrijft deze zorgelijke constatering, die aansluit bij de waarschuwing van de raad begin dit jaar in een brief aan de informateur: maatschappelijke ontwrichting door cyberdreigingen is een reëel en acuut risico.
De rode draad van het dreigingsbeeld is de verontrustende groei van de kloof tussen de complexiteit van dreigingen en onze collectieve weerbaarheid. NCTV- en CSR-(co)voorzitter Marc Kuipers kwalificeert deze kloof als een ‘Grand Canyon’. Dit wordt met name gedreven door steeds agressievere statelijke actoren zoals China, Rusland, Iran en Noord-Korea, die fysieke en digitale sabotage, spionage, beïnvloeding en economische druk combineren. Daarbij vervaagt de grens tussen cybercriminelen en statelijke actoren, met een professioneel, commercieel ecosysteem waarin digitale aanvalswapens en kwetsbaarheden worden verhandeld.
Gebrekkig voorstellingsvermogen
Volgens het CSBN ontbreekt het de samenleving en organisaties aan voldoende voorstellingsvermogen over de impact van opkomende technologieën, zoals kunstmatige intelligentie (AI) en quantumcomputing. AI fungeert als vliegwiel voor kwaadwillenden: het verbreedt, versnelt en verdiept aanvalscapaciteiten. Waar het voorheen weken of maanden kostte om een pas ontdekte kwetsbaarheid te misbruiken, kan dit nu binnen enkele uren.
Omdat we de exacte contouren van toekomstige cyberwapens moeilijk kunnen voorzien, moeten organisaties uitgaan van het assume-breach-principe: de aanname dat systemen vroeg of laat succesvol worden geïnfiltreerd. De focus moet daarom verschuiven naar operationele redundantie en robuust herstelvermogen om de impact van succesvolle aanvallen te minimaliseren.
Voor bestuurders ligt hier een belangrijke rol: zij moeten proactief, integraal sturen op de digitale veerkracht van hun organisatie. Daarbij blijft de boodschap: cybersecurity is geen exotisch onderwerp, het is een ‘gewoon’ – maar groot, urgent – bedrijfsrisico. Bestuurders kunnen hierbij gebruikmaken van de door de CSR ontwikkelde Handreiking Cybersecurity voor Bestuurders en Bedrijfseigenaren.
Defensieve kennissprong
In cybersecurity zijn aanvallers doorgaans in het voordeel: hackers hoeven slechts één zwakke plek te vinden, terwijl verdedigers de gehele infrastructuur onafgebroken moet dichttimmeren. AI vergroot deze asymmetrie in eerste instantie, maar biedt ook ongekende kansen om de verdediging te innoveren en versnellen.
De CSR stelde al in een eerdere Signaalbrief: Nederland moet een substantiële kennissprong maken om AI-gestuurde aanvallen in realtime te detecteren, analyseren en neutraliseren. De raad heeft intensief gepleit voor gecoördineerd optreden, wat heeft bijgedragen aan een Europees actieplan door de Europese Commissie: de Grand Challenge voor AI-cybersecurity. Daarnaast steunt de CSR het Prometheus-consortium, waarbinnen het bedrijfsleven, de overheid en kennisinstellingen aan praktische, schaalbare AI-toepassingen werken voor verhoging van de digitale weerbaarheid.
Kwetsbaar mkb
Digitale weerbaarheid is geen individuele aangelegenheid, maar een collectief belang. In een wereld van almaar complexere, frequentere en grootschaliger cyberaanvallen blijft de digitale verdediging van het mkb achter bij die van grotere organisaties. Het mkb beschikt vaak niet over de financiële middelen, specialistische capaciteit en ondersteuning om stand te houden tegen dreigingen.
Wanneer deze kloof verder verdiept, ontstaan systeemrisico’s voor de Nederlandse economie en vitale infrastructuur. Dit is daarom niet uitsluitend een probleem van kleinere ondernemers. Het moet topprioriteit zijn voor de rijksoverheid en grotere marktpartijen die cruciale spilfuncties vervullen binnen hun economische ketens. Zij dienen toeleveranciers actief te ondersteunen en te eisen dat cybersecurity-standaarden strikt worden nageleefd.
Centrale overheidsregie en dwingende doorzettingsmacht
Minstens zo zorgelijk is de digitale weerbaarheid van de overheid zelf. Hoewel de gezamenlijke cybersecurity- en veiligheidsdiensten recent nog een dringend appèl deden op alle Nederlandse bestuurders, blijven implementatie van basismaatregelen en de transitie naar toekomstige security-standaarden binnen de overheid achter. Dit wordt bemoeilijkt door gefragmenteerd eigenaarschap en een hardnekkig gebrek aan centrale sturing.
Dit doorbreken vereist een stevige, centrale regie en doorzettingsmacht vanuit de CIO Rijk, zoals de CSR begin dit jaar adviseerde aan de informateur en de formateur van het nieuwe kabinet. Zonder dwingende bevoegdheden om overheidsorganisaties te verplichten tot het aanpakken van legacy, het accuraat patchen van systemen en het structureel vrijmaken van noodzakelijke budgetten, blijft de overheid kwetsbaar.
Van dreigingsbeeld naar daadkracht
Digitale dreigingen voor onze nationale veiligheid zijn groter dan ooit. Daarbij waarschuwt het CSBN voor het risico op maatschappelijke apathie en afnemend vertrouwen in digitale systemen. Wanneer cyberincidenten elkaar in hoog tempo opvolgen, kunnen bestuurders en burgers cynisch worden en dreigingen gelaten over zich heen laten komen. Dat kunnen we ons niet veroorloven. Wetten en kaders zijn pas effectief als ze leiden tot een robuuste verdediging. Er is nu een fundamentele versnelling nodig, waarbij herstelvermogen, ketenweerbaarheid, centrale overheidsregie en defensieve inzet van AI prioriteit krijgen. Het dempen van de Grand Canyon in onze cybersecurity is een dwingende opgave waar overheid, bedrijfsleven en kennisinstellingen – gezamenlijk en zonder voorbehoud – direct de schouders onder moeten zetten.