Behandel digitale weerbaarheid als een governance-taak, niet alleen als iets voor Defensie: breng uw afhankelijkheid van internetknooppunten, datacenters en cloud in kaart, doe een systematische risicoanalyse en bereid u voor op de Cyberbeveiligingswet (NIS2), die naar verwachting in het tweede kwartaal van 2026 geldt voor duizenden organisaties die nu nog niet zijn voorbereid.
De aanleiding is een keynote van oud-MIVD-directeur Pieter Cobelens voor Cybersec Netherlands, waarvan Computable op 16 juli 2026 een voorbeschouwing publiceerde. Cobelens stelt daarin dat moderne conflicten niet met een schot beginnen maar met een storing in digitale infrastructuur, en dat Nederland door zijn sterk gedigitaliseerde economie bijzonder kwetsbaar is. Naar onze inschatting is de kern niet de dreiging zelf, maar de vraag welke controles u per werkproces kunt aantonen.
Wat bedoelt Cobelens precies met oorlog die begint met een storing?
Volgens de voorbeschouwing in Computable betoogt Cobelens dat de Nederlandse economie op één digitaal fundament rust: internetknooppunten, hyperscale-datacenters, logistieke ketens, financiële diensten en cloudplatforms. Dat cluster maakt het land aantrekkelijk voor statelijke actoren en cybercriminelen. Zijn tweede punt is minstens zo belangrijk: digitale weerbaarheid is volgens hem een gedeelde verantwoordelijkheid van overheid, bedrijfsleven en samenleving, en niet uitsluitend een taak voor Defensie.
Die verschuiving van kinetiek naar ontwrichting is geen losse mening. De samenvatting van een adviesrapport van de Cyber Security Raad door DutchStartup.ai concludeert dat de Nederlandse communicatie-infrastructuur van hoge kwaliteit is, maar dat de weerbaarheid onder toenemende druk staat. AIVD, MIVD en NCTV zien de aard van de dreiging verschuiven van pure spionage naar actieve voorbereiding op sabotage van kritieke infrastructuur.
Welke structurele zwakheden bevestigt het Cybersecuritybeeld Nederland 2025?
Het Cybersecuritybeeld Nederland 2025 van NCTV, AIVD en MIVD onderbouwt Cobelens' waarschuwing met concrete bevindingen. De belangrijkste conclusies voor bestuurders:
- De digitale dreiging tegen Nederland wordt diverser en onvoorspelbaarder, met een verweven landschap van statelijke actoren, cybercrime en opkomende technologie.
- Meerdere incidenten tonen aan dat de cybersecuritymaatregelen bij veel rijksorganisaties al langere tijd onvoldoende zijn.
- Veel organisaties voldoen niet aan de voorgeschreven richtlijnen voor informatiebeveiliging.
- Dat leidt tot een schijnveiligheid: deze organisaties kunnen aanvallen vaak niet zelfstandig detecteren of mitigeren.
De samenvatting van dit beeld door Dutch IT Leaders voegt toe dat de NCTV de dreiging complexer ziet worden door geopolitiek en snelle vooruitgang in generatieve AI, waarbij aanvallen niet langer geïsoleerd zijn maar steeds meer met elkaar verweven raken. Wie ongeautoriseerd AI-gebruik binnen de eigen muren wil beheersen, doet er goed aan eerst zicht te krijgen op ongeautoriseerd AI-gebruik in uw organisatie.
Wat verandert er met de Cyberbeveiligingswet en NIS2 en wie valt eronder?
De Cyberbeveiligingswet is de Nederlandse implementatie van de NIS2-richtlijn en treedt naar verwachting in het tweede kwartaal van 2026 in werking, aldus de door Dutch IT Leaders samengevatte duiding van het CSBN. De wet verplicht een veel bredere groep organisaties tot een systematische risicoanalyse en tot zwaardere beveiligingsmaatregelen.
Hoe groot het gat is, blijkt uit een persbericht van Jaarbeurs over Cybersec Netherlands: kort voor de invoering hadden 4.144 organisaties zich geregistreerd of stonden zij als aangesloten geregistreerd, terwijl naar schatting 8.000 tot 10.000 organisaties onder de wet vallen. Naar onze inschatting betekent dit dat een aanzienlijk deel van de vitale organisaties nog niet is voorbereid op de verplichte risicoanalyse en de zware beveiligingseisen. Deze cijfers komen letterlijk uit het persbericht van Jaarbeurs.
Welke stappen leggen bestuur, CISO en risicoteam nu vast?
De volgende stappen vertalen de bevindingen van Cobelens, het CSBN en de Cyber Security Raad naar een concrete governance-agenda. Dit is onze redactionele ordening, geen bronuitspraak:
- Breng uw afhankelijkheid van Nederlandse en grensoverschrijdende digitale infrastructuur in kaart: internetknooppunten, datacenters, cloudplatforms en logistieke ketens.
- Lijn uw interne risicoraamwerk uit met de bevindingen uit het CSBN en met de verplichtingen onder de Cyberbeveiligingswet en NIS2.
- Voer een systematische risicoanalyse uit en leg vast welke maatregelen daaruit volgen en wie eigenaar is.
- Integreer AI-bewuste dreigingsmonitoring en oefen incidentafhandeling, zodat detectie en respons niet alleen op papier bestaan.
- Borg dat vitale aanbieders en overheidsorganisaties geavanceerde verstoringen daadwerkelijk kunnen signaleren en erop kunnen reageren.
Voor overheidsorganisaties die generatieve AI in werkprocessen inbrengen, hebben we deze aanpak uitgewerkt in een artikel over GenAI veilig inzetten bij de overheid per werkproces. De bredere context vindt u in onze themahub over AI-security en digitale weerbaarheid.
Hoe maakt u aantoonbaar dat controles per werkproces actief waren?
Het CSBN benoemt schijnveiligheid als kernprobleem: organisaties denken beschermd te zijn maar kunnen aanvallen niet detecteren. Naar onze inschatting is het antwoord daarop niet meer techniek alleen, maar bewijs. U wilt per werkstroom kunnen tonen welke systemen, AI-componenten en controles actief waren, welke logs bestaan van uitgevoerde risicoanalyses en incidentafhandeling, en hoe dat aansluit op de verwachtingen uit het CSBN en de Cyberbeveiligingswet. Hoe u dat bewijs opbouwt en bewaart, beschrijven we bij het vastleggen van bewijs en logging van uitgevoerde controles.
Een verificatielaag zoals IamVera.ai kan hierbij ondersteunen door de digitale-beveiligingshouding per werkstroom zichtbaar te maken: welke stappen, modellen en controles zijn doorlopen en welk bewijs daarvan bestaat. Vera is geen chatbot en geen eigen taalmodel, en vervangt de beveiliging niet; het maakt controle mogelijk en laat het eindoordeel bij de gebruiker. De verplichte maatregelen, de risicoanalyse en de detectiecapaciteit blijft u zelf inrichten. Waar persoonsgegevens in de keten komen, blijven ook de eisen uit de AVG onverkort gelden.
Bronnen en referenties
- Oorlog begint niet met een schot, maar met een storing
- Duizenden organisaties nog niet klaar voor nieuwe cyberwet; vakbeurs Cybersec Netherlands in teken van digitale weerbaarheid
- Cybersecuritybeeld Nederland 2025
- NCTV: cyberdreiging complexer door AI en geopolitiek
- Rapport: Nederlandse communicatie-infrastructuur is goed maar onder druk
Bronnen: Het artikel steunt op de Computable-voorbeschouwing van Cobelens' keynote, het Cybersecuritybeeld Nederland 2025 van NCTV/AIVD/MIVD, een Jaarbeurs-persbericht over Cybersec Netherlands en een door DutchStartup.ai samengevat adviesrapport van de Cyber Security Raad.