Cyberweerbaarheid in Nederland: waarom een 7,1 niet genoeg zegt

Hoe cyberweerbaar is jouw organisatie echt? Nederlandse organisaties geven zichzelf gemiddeld een 7,1 voor digitale weerbaarheid. Dat blijkt uit het KPN-onderzoek Cyberweerbaar Nederland 2026, uitgevoerd onder ruim 250 IT- en securityprofessionals bij middelgrote en grote organisaties, veelal actief in vitale sectoren, aangevuld met 19 diepte-interviews met CISO's en CIO's.

Een 7,1 klinkt als een geruststelling. Wie het rapport doorleest, ziet iets anders. Een derde van de organisaties monitort digitale dreigingen onvoldoende of slechts basaal. Slechts 28 procent oefent regelmatig met crisisscenario's. En toch voelt 67 procent zich voorbereid.

Dat laatste getal is het probleem. Wie zich voorbereid voelt zonder ooit te hebben geoefend, verwart een plan op papier met een plan dat werkt.

De kloof tussen boardroom en werkvloer

Het meest opvallende inzicht uit het onderzoek zit in het verschil tussen twee groepen. Management schat de volwassenheid van de eigen organisatie stelselmatig hoger in dan de IT- en securityprofessionals die de systemen dagelijks draaiende houden.

Die professionals zien waar het wringt: governance, security monitoring en crisisvoorbereiding. Het management ziet vooral dat er beleid is, dat er budget is en dat er nog geen groot incident is geweest.

Beide beelden kunnen tegelijk waar zijn. De vraag is welk beeld je stuurt op. Een organisatie die begroot en prioriteert op het optimisme van de boardroom, investeert te weinig in de fundamenten die de werkvloer elke dag ziet ontbreken.

Incidenten beginnen bij bekende zwakke plekken

In de diepte-interviews komt n patroon steeds terug. Incidenten beginnen zelden bij iets nieuws. Ze beginnen bij bekende zwakke plekken: identitybeheer dat niet op orde is, patching die achterloopt, eigenaarschap dat nergens belegd is.

AI-gedreven aanvallen vergroten de snelheid en de schaal, maar veranderen de kern van de verdediging nauwelijks. De aanval van 2026 zoekt vaak dezelfde open deuren als die van 2020. Alleen sneller.

Dat is een ongemakkelijke conclusie voor iedereen die het securitybudget aan nieuwe tooling wil besteden. Het is tegelijk goed nieuws: de belangrijkste verbeteringen vragen zelden om nieuwe aankopen. Een sluitend joiner-mover-leaver-proces, conditional access zonder uitzonderingen, monitoring die daadwerkelijk bekeken wordt. In veel Microsoft-omgevingen is een groot deel van de basis al beschikbaar, maar de waarde zit in inrichting, opvolging en eigenaarschap.

Oefenen maakt het verschil

Het rapport legt nog een pijnpunt bloot: de oefendiscipline. Slechts 28 procent van de organisaties oefent regelmatig met crisisscenario's. Plannen krijgen pas waarde als ze getest zijn in een realistisch scenario.

Wie nooit geoefend heeft, ontdekt tijdens een echt incident dat telefoonnummers verouderd zijn, dat niemand weet wie mag beslissen over het platleggen van systemen, en dat de communicatie naar klanten nergens is voorbereid. Elk van die ontdekkingen kost tijd. En tijd is tijdens een incident het enige dat je niet hebt.

Zicht, toegang en opvolging

Cyberweerbaarheid begint bij zicht, toegang en opvolging. Dat betekent: identity op orde, sluitende joiner-mover-leaver-processen, MFA zonder onnodige uitzonderingen en Conditional Access die past bij het risico. Maar ook monitoring die niet alleen signalen verzamelt, maar ook ervoor zorgt dat ze daadwerkelijk worden opgevolgd. En oefenen met scenario's waarin duidelijk wordt wie beslist, wie communiceert en welke systemen prioriteit krijgen.

De techniek is belangrijk, maar de waarde ontstaat pas als processen, eigenaarschap en opvolging kloppen.

Waar te beginnen

Drie stappen die uit het onderzoek volgen:

1. Meet het verschil in perceptie. Vraag je management en je securityteam onafhankelijk van elkaar om een rapportcijfer per thema. Het verschil tussen die twee lijstjes is je agenda.
2. Controleer je monitoring. De vraag is niet of er een SIEM draait, maar wie er vandaag naar gekeken heeft en wat er met de signalen gebeurt.
3. Plan een oefening. En tabletop-sessie van een dagdeel legt meer bloot dan een jaar aan beleidsdocumenten.

Een 7,1 geven is makkelijk. Een 7,1 zijn vraagt om fundamenten die aantoonbaar werken. Het verschil daartussen bepaalt hoe je volgende incident afloopt.

Wil je weten waar jouw Microsoft-securityfundament sterker kan? InSpark helpt je inzicht krijgen in identity, monitoring en incidentvoorbereiding, zodat weerbaarheid niet alleen op papier bestaat.

Liever luisteren? In de InSpark Podcast over de basis op orde bespreken Jelmer Vorstenburg (InSpark) en Justin Post (Director Security, KPN) de belangrijkste bevindingen uit het onderzoek.