In het kort
- De NCTV waarschuwt dat de cyberdreiging door AI sneller groeit dan de weerbaarheid van bedrijven.
- Een aanval legt je bedrijf soms dagen stil en raakt ook je klanten en medewerkers.
- Breng je cyberrisico’s in kaart, regel de basis en check of je verzekering een cyberincident dekt.
Het is maandagochtend, kwart over zeven. De planner van een installatiebedrijf zet haar laptop aan en ziet een rood scherm. Alle bestanden zijn versleuteld. Een bericht vraagt om losgeld in bitcoin. De monteurs staan klaar op het erf, maar niemand weet waar ze vandaag naartoe moeten. De planning, de klantgegevens en de openstaande facturen zitten allemaal in hetzelfde systeem.
Dit bedrijf is een voorbeeld, maar het scenario is heel echt. De eerste vragen van de eigenaar zijn meestal niet technisch. Wie bel ik nu? Wat kost dit? En ben ik hiervoor eigenlijk verzekerd? Precies daarom wil je je cyberrisico’s in kaart hebben voordat het misgaat, en niet pas erna.
Waarom uitstellen geen optie meer is
Deze week verscheen het Cybersecuritybeeld Nederland 2026 van de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV). De boodschap is stevig. Volgens de NCTV groeit de digitale dreiging sneller dan de weerbaarheid van organisaties. Die scheefgroei noemt de NCTV een ernstig risico.
Een belangrijke aanjager is kunstmatige intelligentie. Hackers gebruiken AI om sneller zwakke plekken te vinden en overtuigender phishingmails te schrijven. Ze laten AI zelfs schadelijke software maken en verbeteren. Aanvallen gaan daardoor sneller, raken meer bedrijven tegelijk en vragen minder vakmanschap. De NCTV stelt dat de vraag niet meer is of een ontwrichtend cyberincident Nederland treft, maar wanneer.
Voor het mkb is dat extra zorgelijk. De NCTV ziet een hardnekkige kloof in weerbaarheid tussen kleinere en grote bedrijven. Mkb-bedrijven krijgen minder steun van de overheid dan grote organisaties met een vitale functie. Toch zijn ze net zo goed een doelwit. De oproep aan bestuurders is helder: breng de bescherming nu op orde.
Wat een cyberaanval voor jouw bedrijf betekent
Veel ondernemers zien een cyberaanval als een probleem voor de IT-leverancier. In de praktijk raakt het je hele bedrijf. De gevolgen spelen op drie fronten tegelijk.
Stilstand kost meer dan je denkt
Zonder planning, mail of boekhouding ligt je bedrijf stil. Je medewerkers kunnen niet werken, maar je betaalt hun salaris gewoon door. Afspraken met klanten vallen weg en facturen blijven liggen. Het herstel van systemen en data duurt vaak dagen, soms weken. Zonder goede back-up raak je gegevens soms zelfs voorgoed kwijt.
Klantgegevens en aansprakelijkheid
Bij een aanval komen vaak persoonsgegevens op straat te liggen. Denk aan adressen van klanten of de personeelsdossiers van je medewerkers. Bij een datalek met risico’s voor de betrokkenen meld je dit binnen 72 uur bij de Autoriteit Persoonsgegevens. Daarnaast kunnen klanten of partners jou aansprakelijk stellen voor hun schade. Dat raakt niet alleen je portemonnee, maar ook het vertrouwen dat je in jaren hebt opgebouwd.
Je medewerkers als eerste verdedigingslinie
De meeste aanvallen beginnen niet bij de techniek, maar bij een mens. Een medewerker klikt op een link in een mail die van een vaste leverancier lijkt te komen. Of de administratie krijgt een bericht van „de directeur” met het verzoek een factuur vandaag nog te betalen. Met AI zijn zulke berichten foutloos en persoonlijk. Het oude advies om op taalfouten te letten, helpt dus steeds minder.
Cyberrisico's in kaart brengen: zo pak je het aan
Het goede nieuws: je hoeft geen IT-specialist te zijn om grip te krijgen. Het begint met een paar eerlijke vragen over je eigen bedrijf. Een risico-inventarisatie laat zien waar je kwetsbaar bent en wat een incident jou zou kosten.
- Wat is kritisch? Welke systemen en gegevens heb je nodig om te kunnen werken? Denk aan je planning, je administratie en je klantgegevens.
- Hoe lang kun je zonder? Een dag stilstand is vervelend, een week kan je bedrijf in gevaar brengen. Reken uit wat één dag stilstand je kost.
- Is de basis op orde? Tweestapsverificatie, actuele updates, sterke wachtwoorden en een back-up die los staat van je netwerk.
- Weten je mensen wat ze moeten doen? Herkennen ze een verdachte mail en weten ze bij wie ze een fout veilig kunnen melden?
- Wie doet wat bij een incident? Leg vast wie je belt, wie beslist en hoe je klanten informeert.
Juist dat laatste punt ontbreekt vaak. Uit onderzoek van ABN AMRO van deze zomer blijkt dat maar 26 procent van het mkb een formeel plan heeft voor cyberincidenten. Bij grote bedrijven is dat bijna de helft. Ook in beveiliging zie je een groot verschil. Volgens het CBS neemt 86 procent van de grote bedrijven minstens tien van de twaalf onderzochte maatregelen. Bij bedrijven met 2 tot 10 medewerkers is dat 13 procent.
Test je back-up
Een back-up die je nog nooit hebt teruggezet, is een aanname. Plan elk kwartaal een korte hersteltest met je IT-leverancier, zodat je zeker weet dat het werkt als het erop aankomt.
Waarom een cyberverzekering het sluitstuk is
Preventie verkleint de kans op een incident, maar haalt het risico nooit helemaal weg. Ook een goed beveiligd bedrijf kan slachtoffer zijn, bijvoorbeeld via een leverancier of een softwarepakket dat je gebruikt. Voor dat restrisico is een cyberverzekering bedoeld.
Toch heeft volgens het CBS maar 19 procent van de Nederlandse bedrijven zo’n verzekering. In de bouw, in vervoer en opslag en in de horeca is dat zelfs 12 procent. Veel ondernemers gaan ervan uit dat hun bestaande polissen een cyberincident dekken. Dat valt vaak tegen. Een aansprakelijkheidsverzekering of bedrijfsschadeverzekering sluit schade door een hack vaak uit of dekt die maar beperkt.
Een cyberverzekering is bovendien meer dan een vergoeding achteraf. De meeste verzekeraars zetten direct specialisten in op het moment dat het misgaat. Dat kan het verschil maken tussen een paar dagen en een paar weken stilstand.
| Onderdeel | Wat het dekt | Voorbeeld |
|---|---|---|
| Hulp bij een incident | Hulplijn, forensisch onderzoek en juridisch advies | Specialisten sporen de aanval op en zetten je systemen weer veilig aan |
| Eigen schade | Herstel van data en systemen | Je laat je administratie herstellen vanuit een back-up |
| Bedrijfsschade | Inkomsten die je mist door stilstand | Je monteurs kunnen drie dagen niet aan het werk |
| Aansprakelijkheid | Schade die anderen lijden door het incident | Gegevens van klanten lekken uit en een klant claimt schade |
Let op de voorwaarden
Veel verzekeraars stellen eisen aan je beveiliging, zoals tweestapsverificatie en regelmatige back-ups. Voldoe je daar niet aan, dan kan je dekking beperkt zijn. Loop de voorwaarden daarom samen met je adviseur na.
Rust door overzicht: zo helpt beuken'essers
Als integraal adviseur kijken we niet naar één polis, maar naar je hele bedrijf. Samen met jou brengen we je cyberrisico’s in kaart en leggen we ze naast de verzekeringen die je al hebt. Zo zie je in één oogopslag waar je goed geregeld bent en waar gaten zitten. We vergelijken de mogelijkheden bij verschillende verzekeraars en kijken of de voorwaarden passen bij hoe jouw bedrijf werkt. En gaat het toch mis, dan sta je er niet alleen voor.
Wat kun jij doen?
- Maak een lijst van de systemen en gegevens die je nodig hebt om te werken.
- Zet tweestapsverificatie aan op mail en administratie en test je back-up.
- Spreek af wie wat doet bij een cyberincident en leg dat vast.
- Bespreek met je medewerkers hoe ze phishing herkennen en melden.
- Laat je polissen controleren op dekking voor cyberincidenten.
Terug naar die maandagochtend. Een ondernemer die zijn cyberrisico’s kent, weet wie hij moet bellen. Hij heeft een back-up die werkt, een plan op papier en een verzekering die de kosten en de hulp regelt. Het blijft een vervelende dag, maar het is geen ramp. Dat verschil maak je nu, niet pas als het scherm rood kleurt. Uitstellen kan niet langer.
Vragen over cyberrisico's?
Richard Wintjens
Ondernemersadviseur bij beuken’essers. Brengt samen met jou de risico’s van je bedrijf in kaart.
