Kleine bedrijven moeten vooraf duidelijk maken wie beslist over toegang, patches en herstel, voordat een technisch probleem de kasstroom raakt.
Om 08.20 uur waarschuwt een IT-leverancier een klein installatiebedrijf voor een ernstig softwarelek. De patch installeren betekent dat de planning en de toegang voor buitendienstmedewerkers mogelijk twee uur stilliggen. De oprichter is bij een klant. De officemanager mag geen onderbreking goedkeuren. Niemand weet of de leverancier zonder toestemming in actie mag komen.
De patch blijft liggen.
Achter zo’n alledaagse vertraging schuilt de waarschuwing die de AFM in juni over geavanceerde AI gaf. Krachtigere modellen kunnen kwetsbaarheden sneller vinden en combineren. Daardoor houden organisaties minder tijd over om zwakke plekken te herstellen en incidenten in te dammen. Vooral kleinere bedrijven met oudere systemen of een minder volwassen beveiliging kunnen extra risico lopen.
Dit gaat niet in de eerste plaats over futuristische aanvallen. Het gaat erom of een bedrijf kan beslissen voordat een technisch gebrek klanten, facturen, lonen ofliquiditeit raakt.
Het beslisvenster wordt kleiner
De Nederlandsche Bank zette die waarschuwing in juli nog scherper neer. Geavanceerde AI kan kwaadwillenden helpen om kwetsbaarheden sneller, goedkoper en op grotere schaal te vinden en misbruiken. Ook kan AI zwakke plekken die afzonderlijk beheersbaar leken, verbinden tot een veel schadelijkere aanvalsketen.
Voor een klein bedrijf is vooral het woord sneller van belang. Veel ondernemingen weten dat ze updates moeten installeren, toegangsrechten moeten controleren en back-ups moeten testen. De zwakte zit vaak ergens anders: niemand heeft bepaald wie de werkdag mag onderbreken als snel handelen noodzakelijk is.
Dat is eerst een governanceprobleem en pas daarna een technologisch probleem. Beveiligingssoftware kan niet beslissen of het planningssysteem vóór de lunch offline mag. Ze kan geen vage afspraak met een IT-leverancier verduidelijken. En ze kan niet verklaren waarom een voormalige medewerker nog altijd beheerdersrechten heeft.
Het aanvalsvenster wordt mogelijk kleiner, terwijl het bedrijf aan oude gewoonten vasthoudt: wachten op de eigenaar, verstoring vermijden, de leverancier vertrouwen en het papierwerk later bespreken. Juist die mismatch maakt uitstel duurder.
Ook het juridische kader is veranderd. De Cyberbeveiligingswet trad op 15 augustus 2026 in werking. Organisaties die onder de wet vallen, moeten zich registreren, passende en evenredige risicobeheersmaatregelen nemen en significante incidenten volgens de toepasselijke regels melden.
Besturen moeten de relevante maatregelen goedkeuren, toezicht houden op de uitvoering en over voldoende kennis beschikken om cyberrisico’s te kunnen beoordelen. De wet geldt voor omschreven sectoren en organisaties. De bredere bestuurlijke les is echter helder: cyberverantwoordelijkheid mag niet verdwijnen in een uitbestede helpdesk.
Kleine bedrijven hebben een dunnere verdedigingslaag
De cijfers van het CBS plaatsen het probleem in perspectief. In 2024 meldde 4% van de Nederlandse bedrijven minstens één extern cyberincident met gevolgen, tegenover 11% in 2016. Die daling op lange termijn is positief. Maar op een lastige ochtend hangt weerbaarheid nog steeds af van de maatregelen die daadwerkelijk werken.
Het verschil in dekkingsgraad is veelzeggend. In 2025 had 13% van de bedrijven met 2 tot 10 werkzame personen minstens tien van de twaalf onderzochte cybersecuritymaatregelen ingevoerd. Bij bedrijven met minstens 250 werkzame personen was dat 86%.
Bij gegevensversleuteling is dezelfde afstand zichtbaar. Van de kleinste bedrijven gebruikte 33% encryptie, tegenover 91% van de grootste. Kleine ondernemingen hebben rond de systemen die het dagelijkse werk draaiende houden vaak minder verdedigingslagen.
Eén persoon kan bijna alle wachtwoorden, leverancierskennis en herstelervaring bezitten. Eén cloudaccount kan klantgegevens, projectwerk en facturatie met elkaar verbinden. Een externe leverancier kan ruime toegangsrechten hebben die de eigenaar nooit heeft beoordeeld.
Ga terug naar het installatiebedrijf. Als het planningssysteem uitvalt, hebben de monteurs misschien nog steeds hun bussen en gereedschap. Toch kunnen adressen, werkbonnen, klantnotities en registraties van afgeronde opdrachten onbereikbaar zijn. De facturatie vertraagt. Medewerkers proberen de dag te reconstrueren met berichten en hun geheugen. Zo verandert een technisch incident in een probleem voor de dienstverlening en de kasstroom.
Daarom kan een cyberverzekering niet de volledige last dragen. Volgens het CBS had 19% van de Nederlandse bedrijven in 2025 een cyberverzekering. Een verzekering kan een deel van de schade financieren. Ze herstelt geen onduidelijke toegangsrechten en haalt geen informatie terug waarvan het bedrijf het herstel nooit heeft getest.
Beheersing begint bij beslissingsbevoegdheid
Een klein bedrijf hoeft de beveiligingsafdeling van een bank niet na te bootsen. Het heeft wel antwoorden nodig die ook op een lastige ochtend standhouden.
Wie ontvangt een urgente waarschuwing? Wie mag uitvaltijd goedkeuren? Welke systemen zijn vanaf internet bereikbaar? Welke medewerkers, voormalige collega’s en leveranciers hebben beheerdersrechten? En wie neemt het over als de belangrijkste beslisser niet beschikbaar is?
De belangrijkste vraag is of het bedrijf een kritieke dienst kan herstellen zonder afhankelijk te zijn van het geheugen van één persoon. Die vraag hoort thuis bij alle systemen die verkoop, levering, salarisverwerking, facturatie en betalingsgoedkeuring ondersteunen.
Een gericht gesprek met de IT-leverancier moet duidelijkheid geven over patches, monitoring, waarschuwingen, back-ups, logbestanden en hersteltests. Verantwoordelijkheden moeten zo helder zijn dat een andere bevoegde persoon ermee kan werken wanneer de gebruikelijke contactpersoon afwezig is.
Betalingsprocedures verdienen evenveel aandacht. De AFM heeft gewaarschuwd dat generatieve AI social engineering krachtiger kan maken, onder meer door stemvervalsing en deepfakes. Een bekende stem of een overtuigend geschreven leveranciersbericht verdient daardoor niet langer automatisch vertrouwen.
Een wijziging van bankgegevens of een ongebruikelijk betalingsverzoek moet worden bevestigd via een bekend, onafhankelijk contactkanaal. Dat is geen wantrouwen. Het is een verstandige scheiding tussen het verzoek en de bevoegdheid om geld vrij te geven.
Ook het eigen AI-gebruik van het bedrijf hoort in dit gesprek thuis. Het CBS stelde vast dat 13,8% van de Nederlandse microbedrijven in 2025 minstens één van de onderzochte AI-technologieën gebruikte. Marketing en verkoop waren de meest voorkomende toepassingen, gevolgd door administratie en management.
Governance betekent dat bekend is welke hulpmiddelen medewerkers gebruiken, welke informatie ze invoeren en waar menselijke controle noodzakelijk blijft. Commerciële software was voor microbedrijven die AI gebruikten de meest voorkomende manier om de technologie te verkrijgen. Dat maakt duidelijk eigenaarschap en heldere grenzen des te belangrijker.
Het voordeel van kalmte
Goede cybergovernance is geen dik beleidsstuk dat voor een inspectie wordt opgesteld. Het is het vermogen om zonder verwarring te handelen wanneer het normale werk wordt onderbroken.
Voor organisaties die onder de Cyberbeveiligingswet vallen, heeft die verantwoordelijkheid rechtstreeks juridisch gewicht. Voor andere bedrijven is de commerciële logica al overtuigend genoeg. Klanten verwachten continuïteit. Medewerkers hebben duidelijke bevoegdheden nodig. Leveranciers moeten hun grenzen kennen. De administratie heeft betrouwbare gegevens nodig. En de eigenaar moet via een vaste route van waarschuwing naar besluit kunnen komen.
Het installatiebedrijf hoeft niet elke aanval met zekerheid te kunnen voorspellen. Het heeft toestemming nodig om de urgente patch te installeren, een actuele lijst van accounts met verhoogde rechten en het vertrouwen dat het planningssysteem kan worden hersteld.
AI kan de aanvaller sneller maken. Het verstandige antwoord is geen paniek en ook geen duur veiligheidstheater. Het is het wegnemen van twijfel binnen het bedrijf, voordat iemand anders leert hoe die twijfel kan worden uitgebuit.
Leg vast wie een urgente cybermaatregel mag goedkeuren, voordat uitstel een operationeel en financieel probleem wordt.
De data, bronnen en analyse achter dit artikel zijn uitgevoerd door Paolo Maria Pavan. AI is niet gebruikt om bronnen te identificeren, de feitelijke basis op te bouwen of het analytische oordeel te vormen. AI is alleen gebruikt als schrijfhulp. De uiteindelijke Nederlandse tekst is persoonlijk beoordeeld, bewerkt en goedgekeurd door Paolo Maria Pavan vóór publicatie.
Bronnen
- Snellere AI-aanvallen vragen om sterkere weerbaarheid
- De Nederlandsche Bank - Later supervisory confirmation of the changed threat model
- Rijksoverheid - Cybersecurity law and explicit board responsibility
- Centraal Bureau voor de Statistiek - Observed resilience gap between small and large firms
- Centraal Bureau voor de Statistiek - AI adoption inside small firms
- Autoriteit Financiële Markten - Control evidence, monitoring and outsourced ICT
- Autoriteit Financiële Markten - Systemic concentration and AI-enabled social engineering
- Autoriteit Financiële Markten
