Op een druilerige dinsdagochtend opent de oprichter van een installatiebedrijf met twaalf medewerkers drie dingen tegelijk: een e-mail van een leverancier met het verzoek nieuwe bankgegevens te gebruiken, een door AI opgesteld concept voor een aanbesteding en een bericht van de IT-leverancier over een dringende software-update.
That is where the business story sits. Cybersecurity is no longer a server-room topic. It is a board and ownership question.
Wie draagt de verantwoordelijkheid?
Rijksoverheid confirmed that the Tweede Kamer adopted the Cyberbeveiligingswet and the Wet weerbaarheid kritieke entiteiten on 15 April 2026. The Cyberbeveiligingswet implements the European NIS2 directive in Dutch law.
In de overheidsvoorlichting staan de sectoren die waarschijnlijk het meeste werk krijgen al genoemd: energie, vervoer, banken, gezondheidszorg, drinkwater, digitale infrastructuur, ICT-dienstverlening, digitale aanbieders, post- en koeriersdiensten, afvalbeheer, levensmiddelen, chemie, onderzoek en industrie. Ook bepaalde micro- en kleine aanbieders van digitalediensten kunnen onder NIS2 vallen.
Voor de meeste micro- en kleine bedrijven is het praktische vraagstuk minder ingewikkeld dan de functietitel doet vermoeden. Zij nemen geen fulltime chief information security officer aan. De lastigere vraag is wie onder druk beslissingen neemt over toegangsrechten, leveranciers, betalingscontroles, het gebruik van AI, logbestanden, herstel en het informeren van klanten.
Die druk houdt niet op bij de juridische grens. Ze loopt via klantcontracten, aanbestedingen, verzekeraars, banken, ketenpartners en grotere opdrachtgevers die van kleinere leveranciers bewijs willen zien.
De kloof bij kleine bedrijven
CBS schetst het nuchtere beeld. In 2024 meldde 1% van alle bedrijven een cyberincident met kosten als gevolg van een aanval van buitenaf. Nog eens 3% meldde een dergelijk incident zonder kosten.
In 2025 had 86% van de bedrijven met 250 of meer werknemers ten minste tien van de twaalf onderzochte cybersecuritymaatregelen getroffen. Bij bedrijven met 2 tot 10 werknemers was dat 13%.
In die kloof bevinden zich veel kleinere leveranciers. Een ontwerpbureau, salarisadministrateur, logistiek partner, installateur, adviseur of softwarebedrijf kan onderdeel zijn van de dagelijkse keten van een grotere organisatie. Die grotere klant kan vragen om cybersecurityregels, leverancierscontroles, antwoorden voor audits, incidentclausules en bewijs van verzekering.
CBS meldde ook dat 19% van alle bedrijven verzekerd was tegen cyberincidenten. Een verzekering helpt, maar vervangt de beheersing niet. Na een incident moet een bedrijf nog altijd kunnen aantonen dat het tijdig heeft gehandeld, de situatie goed heeft aangepakt en de administratie op orde heeft gehouden.
Geld, contracten en bewijs
Ik kijk bij cyberbeheersing in de eerste plaats naar geld. DNB maakt onderscheid tussen niet-bancaire fraude, waarbij het slachtoffer onder valse voorwendselen een betaling uitvoert of goedkeurt, en bancaire fraude, waarbij een betaling plaatsvindt zonder toestemming van de rekeninghouder. CEO-fraude en factuurfraude vallen in de eerste categorie.
Voor een klein bedrijf kan dat betekenen: een leverancier die per e-mail een ander rekeningnummer doorgeeft, een overboeking die vlak voor de vakantie nog snel moet worden gedaan of een mailbox die er normaal uitziet totdat het geld verdwenen is.
Voor de oprichter van het installatiebedrijf zit de waarde in eenvoudige beheersmaatregelen. Een wijziging van bankrekeninggegevens mag niet alleen op e-mail berusten. Iemand moet weten wie bankgegevens mag goedkeuren, wie toegang heeft tot het boekhoudsysteem, wie na uitdiensttreding nog kan inloggen en welke leverancier klant- of personeelsgegevens bewaart.
Datzelfde geldt na een incident. Volgens DNB is de tijd tussen het ontdekken en het misbruiken van softwarekwetsbaarheden teruggelopen tot uren en soms minuten. Daarmee krijgen verantwoordelijkheden, contactlijsten, logbestanden en vastgelegde besluiten een concrete bedrijfswaarde.
DNB legt uit dat DORA sinds 17 januari 2025 in de financiële sector van toepassing is. De verordening richt zich op ICT-risico’s, incidenten, testen, uitbestedingsrisico’s en het delen van informatie over cyberdreigingen. Financiële instellingen moeten bovendien een register bijhouden van contracten met ICT-dienstverleners.
De AFM meldde op 11 juni 2026 dat gap-analyses van handelsplatformen vaak te algemeen waren. De toezichthouder wees op monitoring, toegangsbeheer, logging, noodwijzigingen en continuïteitsbeheer. Voor kleinere bedrijven buiten de financiële sector is DORA vooral een bruikbaar beheermodel: beleid schiet tekort als niemand kan laten zien wat er is gebeurd.
AI hoort in hetzelfde gesprek
AI brengt dit onderwerp nog nadrukkelijker naar de bestuurstafel. CBS meldde dat in 2025 33% van de bedrijven met 10 of meer werknemers een of meer van de onderzochte AI-technologieën gebruikte. In 2024 was dat 23% en in 2023 14%. Het cijfer voor 2025 is voorlopig.
De Rijksoverheid vermeldt dat de EU AI-verordening op 1 augustus 2024 in werking is getreden en gefaseerd wordt ingevoerd. Bepaalde ongewenste AI-toepassingen zijn sinds februari 2025 verboden. De eisen voor AI met een hoog risico en de transparantieverplichtingen volgen vanaf 2 augustus 2026.
Voor een klein bedrijf begint de beheersing met een bescheiden vraag. Welke AI-tools gebruiken medewerkers, welke gegevens voeren zij daarin in en wie controleert de uitkomst voordat die gevolgen heeft voor een klant, werknemer, contract, aanbesteding of betaling?
Een rustigere gewoonte aan de bestuurstafel
UWV verwacht dat het aantal ICT-banen tot 2028 met ongeveer 20.000 groeit, aangejaagd door digitalisering, cybersecurity en AI. Die arbeidsmarktprognose houdt het gesprek nuchter. Veel kleine bedrijven lossen dit niet op door een senior specialist aan te nemen.
Een werkbaar ritme kan desondanks eenvoudig blijven. Wijs één verantwoordelijke aan die rechtstreeks toegang heeft tot de oprichter of het bestuur. Geef die persoon voldoende bevoegdheid om onveilige noodgrepen te blokkeren. Zet dezelfde onderwerpen maandelijks op de agenda: kritieke systemen, toegang van leveranciers, accounts van voormalige medewerkers, controles op wijzigingen van bankgegevens, back-ups, AI-tools, incidentcontacten, het informeren van klanten en contractuele verplichtingen.
Dat de CISO opschuift naar de bestuurskamer is een bruikbaar beeld, maar voor de meeste Nederlandse kleine bedrijven is dat niet het eigenlijke verhaal. Het eigenlijke verhaal is dat de bestuurskamer zelf digitaal is geworden. Kasgeld, vertrouwen, personeelsgegevens, klantdossiers, leveranciersportalen, AI-tools en fiscale gegevens bevinden zich inmiddels in dezelfde bedrijfsomgeving. Iemand moet die omgeving beheren voordat de verkeerde e-mail, inlogpoging of storing de zakelijke beslissing van morgenochtend wordt.
Wilt u bespreken wat dit betekent voor uw bedrijf?
De data, bronnen en analyse achter dit artikel zijn uitgevoerd door Paolo Maria Pavan. AI is niet gebruikt om bronnen te identificeren, de feitelijke basis op te bouwen of het analytische oordeel in dit artikel te vormen. AI is alleen gebruikt als hulpmiddel bij het opstellen. De definitieve Nederlandse tekst is persoonlijk nagekeken, geredigeerd en goedgekeurd door Paolo Maria Pavan voor publicatie.
