Cybersecurity klinkt voor veel ondernemers als een onderwerp voor de IT-afdeling. Iets dat ergens op de achtergrond wordt geregeld, zolang de systemen maar blijven werken. Sinds 15 augustus 2026 is dat beeld achterhaald. Met de Cyberbeveiligingswet is digitale weerbaarheid een wettelijke plicht geworden, met bestuurders die daar persoonlijk op aanspreekbaar zijn. Cybersecurity is daarmee evengoed een vraagstuk voor de directie als voor de IT-afdeling.
Waar zit de kwetsbaarheid?
Lourens Bordewijk begeleidt als Director Cyber & Audit Advies bij Flynth ondernemers die zich afvragen of hun organisatie voldoende voorbereid is.[GS1] Daarvoor werkte hij negentien jaar bij een big five kantoor, waar hij grote financiële instellingen hielp met vraagstukken rond digitale weerbaarheid.
In al die gesprekken, destijds bij de grote bedrijven en nu in het mkb en midmarket, ziet hij telkens hetzelfde patroon terugkomen. Kwetsbaarheden ontstaan vaak op drie plekken: bij de systemen waarop een organisatie draait, bij de leveranciers waarvan zij afhankelijk is én bij de medewerkers die er dagelijks mee werken.
1. Systemen en data
Systemen vormen de digitale ruggengraat van de onderneming: de ERP-systemen waarin de administratie en voorraden draaien, klantdossiers, de cloudomgeving zoals Microsoft 365 of Google Workspace, en bij productiebedrijven vaak ook operationele technologie die machines aanstuurt.
Vrijwel de hele bedrijfsvoering hangt tegenwoordig af van deze systemen. Krijgt iemand van buitenaf toegang, bijvoorbeeld via ransomware, dan kan diegene in één klap alles platleggen of vergrendelen. Facturen versturen, leveren, bij klantgegevens komen: het ligt allemaal stil. Aanvallers verdienen vervolgens geld aan precies dat moment: ze bieden aan om de sleutel te geven waarmee bestanden weer worden ontgrendeld, maar alleen tegen betaling van losgeld. Hebtu een werkende back-up, dan herstelt u gewoon zelf en heeft dat aanbod geen waarde. Ontbreekt die back-up, dan is betalen vaak de enige weg om weer bij uw eigen data te komen.
Iets soortgelijks gebeurde bijvoorbeeld bij een ondernemer die een paar jaar geleden werd getroffen door een cyberaanval. Zijn bedrijf, actief in mediaproductie, had geen back-ups van de klantdossiers en campagnes waaraan hij werkte. Toen de aanval zijn systemen platlegde, was er niets meer om op terug te vallen. Grote lopende opdrachten konden niet meer worden afgerond, en het bedrijf ging uiteindelijk failliet. Wie geen back-up heeft liggen, heeft bij een aanval ook niets om op terug te vallen.
2. Leveranciers
Onder leveranciers vallen alle externe partijen die (digitale) toegang hebben tot uw organisatie of data: de IT-beheerder, softwareleveranciers, de cloudprovider, maar ook partners zoals een accountant die gekoppeld is aan uw systemen.
Aanvallers die geld willen verdienen met ransomware weten dat grotere bedrijven hun eigen beveiliging steeds beter op orde hebben en zijn veelal op zoek naar de weg van de minste weerstand Daarom richten ze zich vaker op een leverancier met minder goede beveiliging, maar wel met toegang tot het netwerk van die grotere klanten. Wordt zo'n leverancier gekraakt, dan bereiken aanvallers in één keer alle klanten die op diezelfde software of dienst draaien. Een organisatie kan de eigen voordeur nog zo goed op slot doen: zodra een leverancier een achterdeur openlaat, bent u alsnog kwetsbaar.
Ook de Cyberbeveiligingswet raakt dit rechtstreeks. Bedrijven die onder de wet vallen, moeten eisen aan security ook doorleggen aan hun eigen leveranciers. Zo ontstaat een sneeuwbaleffect: meer dan 8.000 organisaties vallen direct onder de wet en leggen hun eisen weer door aan tienduizenden leveranciers, ook aan bedrijven die zelf niet direct in scope zijn.
Dat effect was in april 2026 duidelijk zichtbaar bij ChipSoft. Het systeem van deze leverancier wordt gebruikt door het grootste deel van de Nederlandse ziekenhuizen, huisartsenpraktijken en apotheken. Het bedrijf werd getroffen door een ransomware-aanval. Aanvankelijk sprak ChipSoft van een dataincident, maar forensisch onderzoek toonde ruim een week later aan dat criminelen daadwerkelijk medische patiëntgegevens hadden gestolen. Portalen en platformen werden meteen uitgeschakeld. Vooral huisartsenpraktijken en apotheken ondervonden hier weken lang last van, zonder dat hun eigen systemen waren aangevallen. Zelf goed beveiligd zijn is dus geen garantie als u niet weet hoe uw leveranciers dat geregeld hebben.
3. Medewerkers
Medewerkers vormen de derde plek, niet omdat zij onbetrouwbaar zijn, maar omdat zij het meest voor de hand liggende doelwit zijn. In de hectiek van een werkdag wordt wel eens een snelle beslissing genomen, en juist daar spelen aanvallers slim op in.
Phishingmails zijn allang niet meer de knullige berichten met spelfouten van vroeger. Ze zijn tegenwoordig hyperrealistisch, vaak met AI geschreven en soms aangevuld met nagemaakte stemmen van een directeur of collega. Zodra een medewerker op een link klikt, krijgt een aanvaller toegang tot de computer van die medewerker en van daaruit vaak tot andere systemen. Gevaarlijk wordt het pas echt als die medewerker toegang heeft tot meer dan nodig is voor de eigen functie: dan opent één overgenomen account meteen de deur naar het hele bedrijf.
Dat gebeurde bijvoorbeeld bij Odido, in februari 2026. Een aanvaller belde de klantenservice en deed zich voor als IT-medewerker. Hij overtuigde een medewerker om in te loggen in een werkomgeving die later vals bleek. Twee dagen later meldden de hackers dat ze de gegevens van meer dan zes miljoen klanten hadden buitgemaakt. Niet de techniek werd hier gekraakt, maar het vertrouwen van de medewerker.
Ook uw organisatie is een doelwit
Bedrijven die ooit zijn getroffen, gaan er vaak heel anders in staan dan bedrijven die dat nog nooit is overkomen. Wie eenmaal is gehackt, maakt digitale weerbaarheid tot een vaste prioriteit. Wie dat nog niet heeft meegemaakt, denkt al snel: dat overkomt ons niet, dat gebeurt bij de buren. Precies die gedachte maakt een bedrijf kwetsbaar, want de voorbereiding begint pas nadat het te laat is.
Deze denkwijze verklaart ook waarom juist kleinere bedrijven kwetsbaar zijn. Doordat grote bedrijven hun beveiliging steeds beter op orde hebben, verschuift het doelwit naar het mkb en mid market, waar dat nog niet altijd het geval is.
>Daarnaast maakt de opkomst van kunstmatige intelligentie het voor hackers een stuk makkelijker om binnen te komen. Onderzoekers documenteerden in 2026 met Jadepuffer het eerste voorbeeld van zogeheten agentic ransomware: een volledige cyberaanval en afpersingsoperatie die van begin tot eind zelfstandig wordt uitgevoerd door een groot taalmodel (LLM), zonder dat er een menselijke hacker aan te pas komt. Jadepuffer kon zelfstandig redeneren, fouten binnen seconden analyseren en oplossen en zich aanpassen aan de omgeving om systemen binnen te dringen en databases te vernietigen.
Waar begint u?
De drie plekken staan niet los van elkaar: een aanval via een leverancier raakt uiteindelijk uw systemen, en een medewerker die intrapt opent de deur naar diezelfde systemen. De vraag is niet of uw organisatie ooit met een cyberaanval te maken krijgt, maar wanneer en hoe goed u daarop bent voorbereid.
Daarbij is weerbaarheid niet alleen een kwestie van risico's afdekken. Een organisatie die aantoonbaar goed beveiligd is, wint ook het vertrouwen van klanten en partners. Zeker bij opdrachtgevers die zelf onder de Cyberbeveiligingswet vallen, wordt aantoonbare weerbaarheid steeds vaker een voorwaarde om zaken te mogen doen.
Doe de Cyberweerbaarheid Quickscan van Flynth en ontdek binnen enkele minuten waar uw organisatie het kwetsbaarst is. U hoeft niet alles in één keer op te lossen: elke stap die u zet, maakt uw organisatie al weerbaarder.
