De meeste bedrijven pakken dat aan zoals ze dat bij elke wet doen. Ze checken de vereisten af, kopen mogelijk een extra tool aan, halen een certificaat en zetten een vinkje: job done. Andere Europese landen, waaronder België, begonnen twee jaar geleden al met de implementatie van de wet. Die ervaring leert: je komt er niet met een vinkje.

Een certificaat bevestigt dat je op de dag van de audit aan de vereisten voldeed. Het zegt niets over hoe snel je reageert op de dag dat het misgaat. Risicobeheer is een proces, geen rapport.

Een bestuur dat cybersecurity afvinkt op basis van wat it aanlevert, doet wat de wet wil vermijden

De Cyberbeveiligingswet vraagt in de kern iets anders dan een opsomming van genomen maatregelen. Ze vraagt dat een organisatie haar eigen kritieke processen kent, weet welke risico’s het zwaarst wegen en kan aantonen dat iemand daarvoor verantwoordelijk is. Niet één keer per jaar bij een audit, maar doorlopend.

Dat klinkt eenvoudig. In de praktijk is het meestal het punt waarop trajecten vastlopen. Niet op de techniek. Firewalls en backups regelen bedrijven doorgaans wel. Maar op een eenvoudigere vraag: wie is er eigenaar van, vandaag en morgen?

De keten tekent mee

Dat eigenaarschap stopt niet bij de eigen muren. Artikel 21 van de NIS2-richtlijn maakt supply-chainsecurity verplicht onderdeel van het risicobeheer. Het risico van je leverancier is voortaan ook jouw risico.

Cybersecurity is op die manier zoals een verbouwing. Je kunt voor elektriciteit, sanitair en isolatie elk een andere aannemer inschakelen. Maar als er iets misgaat, vraagt niemand welke onderaannemer de fout maakte. De vraag luidt: wie voerde de regie? Een klant die zelf onder de wet valt, stelt jou diezelfde vraag, in een aanbesteding of bij een contractverlenging. Wie daar geen antwoord op heeft, verliest tijd of de opdracht zelf.

Aansprakelijkheid klimt omhoog

De wet maakt van cybersecurity ook uitdrukkelijk een bestuurskwestie. Bestuurders moeten toezicht houden en voldoende kennis hebben om risico’s zelf te beoordelen. Bij nalatigheid kunnen ze persoonlijk worden aangesproken.

Een bestuur dat cybersecurity enkel afvinkt op basis van wat it aanlevert, doet precies wat de wet wil vermijden: risico’s beheren zonder ze zelf te doorgronden.

Geen enkele tool vervangt ervaren eigenaarschap

Als cybersecuritybedrijf begeleiden we al bijna twee jaar organisaties in andere landen, waaronder België, die met dezelfde wetgeving worstelen. Het patroon is steeds hetzelfde: niet de bedrijven met de duurste tools komen er goed door, maar de bedrijven die weten wie beslist, wie opvolgt en wie het merkt zodra er iets verandert.

Stel jezelf daarom niet de vraag of je compliant bent. Stel jezelf daarentegen de vraag: als het morgen misgaat, in de eigen organisatie of bij de belangrijkste leverancier, wie weet dan wat er moet gebeuren? En hoeveel tijd is daarvoor nodig?

Wouter Decruy, managing director Acen

Dat meldt het Nationaal Cyber Security Centrum (NCSC) desgevraagd. Worden de verbonden organisaties meegeteld, dan komt het bereik op 4.144 organisaties. Met verbonden organisaties worden organisaties bedoeld die afzonderlijke organisaties zijn, maar door bijvoorbeeld eigendom of zeggenschap nauw met elkaar verweven zijn. Die verbondenheid kan meewegen bij de vraag of een organisatie onder de Cyberbeveiligingswet valt.

In werking

Morgen (15 augustus) treedt de langverwachte wet eindelijk in werking. Dan gelden nieuwe verplichtingen op het gebied van cyberbeveiliging. Circa negenduizend Nederlandse organisaties moeten voldoen aan strengere maatregelen voor de beveiliging van hun netwerk- en informatiesystemen. De normen voor cybersecurity gaan flink omhoog.

Maar in weerwil van de naderende deadline voor registratie laat het aantal aanmeldingen deze maand tot nog toe geen grote piek zien. In augustus staat de teller op 653 registraties, waarmee juli (599) is ingehaald, met nog dertien werkdagen te gaan. Op basis van de huidige cijfers, van vóór het ingaan van de wet en de registratieplicht, is het nog te vroeg om te zeggen welke sectoren qua aantallen registraties vooroplopen en welke achterblijven.

De implementatie van de Europese NIS2-richtlijn in Nederland is van toepassing op organisaties die essentiële of belangrijke diensten verlenen. De wet ziet toe op organisaties uit achttien sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer.

Inschrijving

Een van de eerste stappen voor organisaties is het registreren bij het Nationaal Cyber Security Centrum (NCSC). Inschrijving in het nationaal entiteitenregister is per 15 augustus verplicht. Organisaties moeten toetsen of ze onder de Cyberbeveiligingswet vallen. Elk bedrijf is zelf verantwoordelijk voor tijdige registratie én voor het actueel houden van alle gegevens.

Het klantcontactcentrum van het NCSC krijgt regelmatig vragen over de registratie, zegt woordvoerder Roger Kaemingk. Die gaan over verschillende onderwerpen, zoals complexe bedrijfsmodellen en niet in Nederland gevestigde bedrijven zonder KvK-nummer die zich hier willen inschrijven. Het NCSC biedt organisaties in dit soort situaties maatwerk en actieve ondersteuning.

Volgens Thomas Margner, technisch directeur bij TrendAI, nemen veel organisaties een afwachtende houding aan. Een groot aantal heeft nog niet vastgesteld of het onder de Cyberbeveiligingswet valt. Dat geldt met name voor organisaties die niet eerder met dit type toezicht te maken hebben gehad. Margner: ‘Uit onderzoek van Grant Thornton blijkt dat slechts een derde van de mkb-bedrijven die onder de Cyberbeveiligingswet vallen daadwerkelijk actief met compliance bezig is, wat aansluit bij wat wij in de praktijk zien: ruim de helft staat nog aan het begin.’

Nieuw in de wet is dat managers persoonlijk aansprakelijk zijn te stellen voor tekortkomingen in de cybersecurity, zoals een gebrek aan training. De verantwoordelijkheid voor het beheersen van cyberrisico’s komt daarmee daadwerkelijk op bestuursniveau te liggen.

Michel Woudstra, partner account manager bij Rohde & Schwarz Networks & Cybersecurity, stelt dat cybersecurity met de officiële inwerkingtreding van NIS2 nu definitief van de serverruimte naar de bestuurskamer is verhuisd. ‘Te vaak wordt digitale veiligheid nog gezien als een verantwoordelijkheid van de it-afdeling. NIS2 daarentegen legt duidelijk de persoonlijke aansprakelijkheid van de bedrijfsleiding vast.’

De directie kan niet meer op afstand blijven. Volgens Christian Boertje, directeur van Boem Cybersecurity, kunnen toezichthouders bij ernstig falen maatregelen richting bestuurders zelf nemen. Het begint bij aanwijzingen en het opleggen van verbetermaatregelen. Daarna volgen bestuurlijke boetes, waarbij de bedragen voor essentiële entiteiten hoger liggen dan voor belangrijke entiteiten.

Delegeren mag; de verantwoordelijkheid overdragen niet. Boertje raadt aan om besluiten ter verbetering van de weerbaarheid met datum, onderbouwing en naam vast te leggen.

Risicobeheer

De wettelijke verplichting bestaat uit drie delen. Het leidinggevend orgaan keurt de maatregelen voor risicobeheer goed, ziet toe op de uitvoering daarvan en volgt scholing, zodat het de risico’s en beheersmaatregelen daadwerkelijk kan beoordelen. Volgens Boertje wordt dat laatste vaak onderschat. Het gaat niet om technische kennis, maar om het vermogen om een risicoafweging te lezen, er kritische vragen bij te stellen en een besluit te nemen dat je later kunt uitleggen.

Bestuurders moeten beschikken over voldoende kennis en vaardigheden om cyberrisico’s en de genomen maatregelen te kunnen beoordelen. Ze krijgen daarvoor twee jaar de tijd. Om die reden bevat de wet ook een trainingsplicht voor bestuurders.

Volgens Martin Krämer, ciso advisor bij KnowBe4, lijkt die periode van twee jaar ruim, maar het opbouwen van echte competentie op bestuursniveau kost meer tijd dan veel bestuurders denken. Met het volgen van een awareness-training en het behalen van een deelnamecertificaat kom je er niet. ‘Bestuurders moeten cyberrisico’s en de manier waarop deze worden beheerst kunnen identificeren, evalueren en beoordelen. Ze moeten vooral begrijpen welke impact deze risico’s op de organisatie kunnen hebben. Dat betekent dat zij actief betrokken moeten zijn bij beslissingen over risicomanagement.’

Als je bedrijf wordt gehackt, ben je niet automatisch schuldig. Volgens Christian Boertje ben je pas strafbaar of aansprakelijk als je vooraf je best niet hebt gedaan.

Het gevaarlijkste is waarschuwingen negeren. Heb je een rapport gekregen waarin staat dat de beveiliging slecht is en heb je daar niets aan gedaan? Dan is dat rapport achteraf het bewijs dat je wist van het probleem, maar weigerde om het op te lossen. Een cyberverzekering kan schade dekken, maar neemt de wettelijke verantwoordelijkheid niet weg. Bestuurlijke boetes zijn bovendien vaak uitgesloten van dekking.

Boetes

Wanneer boetes worden gegeven en hoe hoog die uitvallen, zal in de praktijk moeten blijken. Gilles van Heijst, transformation lead bij YaWorks (digitale infrastructuur), stelt dat het onduidelijk is waar de lat precies komt te liggen. ‘Dat zal waarschijnlijk pas blijken bij de eerste boetes. Wacht daar niet op: de wet kent geen overgangsperiode en bestuurders worden persoonlijk aansprakelijk als de beveiligingsmaatregelen niet op orde zijn.’ Zijn indruk is dat veel organisaties basisprocessen zoals identiteits- en toegangsbeheer, het intrekken van oude accounts of het uitfaseren van verouderde systemen nog onvoldoende hebben geborgd.

Ook bedrijven die niet onder de Cyberbeveiligingswet vallen, kunnen hiermee te maken krijgen. Cindy Wubben, ciso bij Visma, verwacht dat deze wet een vergelijkbaar effect zal hebben als de AVG. ‘Natuurlijk moeten de organisaties die onder de wet vallen de juiste maatregelen implementeren, maar door de ketenverantwoordelijkheid zullen ook bedrijven die momenteel buiten de directe reikwijdte vallen uiteindelijk via de klantvraag aan de eisen gaan voldoen. Dat geldt bijvoorbeeld voor veel mkb-bedrijven en toeleveranciers die diensten leveren aan grotere organisaties die wel rechtstreeks onder de wet vallen. Het toezicht verloopt in die gevallen niet via de formele toezichthouder, maar via klantrelaties en contractuele afspraken.’

Aan value added resellers, it-adviseurs en dergelijke biedt het expliciet neerleggen van eindverantwoordelijkheid en aansprakelijkheid bij het bestuur nog een unieke kans. Michel Woudstra: ‘Ze kunnen het gesprek over digitale weerbaarheid nu rechtstreeks op directieniveau voeren.’ Volgens hem kan dit leiden tot een betere afstemming tussen it-strategie en bedrijfsdoelstellingen, het vrijmaken van noodzakelijke budgetten en een organisatiebrede veiligheidscultuur. Een maatschappelijk en zakelijk voordeel hiervan is dat bedrijven niet langer reactief branden blussen, maar proactief hun bedrijf beschermen tegen kostbare uitval, datalekken en reputatieschade.

Meer te weten komen over NIS2? Kom naar Cybersec Netherlands (9+10 september, Jaarbeurs Utrecht)


👉🏼 Registreer nu gratis …

Bijna 9 op 10 mkb-bedrijven slachtoffer van cyberincident

Maar liefst 86 procent van de kleine en middelgrote bedrijven heeft het afgelopen jaar te maken gehad met een cyberincident. Dat blijkt uit internationaal onderzoek van Kaspersky onder it-beveiligingsspecialisten in achttien landen. Gemiddeld kregen organisaties met drie verschillende soorten incidenten te maken.

Bij mkb-bedrijven waren phishing (20 procent), misbruik van softwarekwetsbaarheden (17 procent) en aanvallen via externe toegang (16 procent) de meest voorkomende incidenten. Opvallend is dat slechts veertien procent van de bedrijven met minder dan vijfhonderd medewerkers geen incident meldde.

Gebrek aan expertise bij securitymedewerkers en onvoldoende veiligheidsbewustzijn onder personeel vallen als belangrijkste risicofactoren. Driekwart van de mkb-bedrijven heeft het cybersecuritybudget dit jaar verhoogd. Zeventig procent wil de beveiligingsfunctie verder versterken.

Databricks passeert omzetgrens van 7 miljard dollar

Databricks heeft in het tweede kwartaal een omzet-run-rate van meer dan zeven miljard dollar bereikt. Dat betekent een groei van ruim tachtig procent ten opzichte van een jaar eerder. Het Amerikaanse data- en ai-bedrijf haalt daarnaast vijf miljard dollar aan nieuwe financiering op, tegen een waardering van 190 miljard dollar.

Databricks wil het geld inzetten voor de verdere ontwikkeling van Lakebase, Genie en Unity AI Gateway. Lakebase, een serverloze PostgreSQL-database voor ai-agents, passeerde inmiddels een omzet-run-rate van honderd miljoen dollar. Genie moet ai-agents toegang geven tot bedrijfscontext, terwijl Unity AI Gateway het gebruik van verschillende ai-modellen beheert en kosten helpt beheersen.

Volgens topman Ali Ghodsi groeit de vraag naar ai-agents die zelfstandig bedrijfsprocessen kunnen uitvoeren snel.

Google lanceert Gemini 3.7 Flash voor code en ai-agents

Google heeft Gemini 3.7 Flash gelanceerd, een ai-model dat zich richt op complexe programmeertaken en ai-agents. De nieuwe versie verschijnt drie weken na Gemini 3.6 Flash en moet vooral op het gebied van software-engineering, webdevelopment en kennisintensieve toepassingen betere prestaties leveren.

Google zegt dat de verbeteringen voortkomen uit sterkere redeneermogelijkheden. Tegelijkertijd moet het model goedkoper zijn om op grote schaal in te zetten. De introductieprijs ligt volgens Google op de helft van die van Gemini 3.6 Flash.

Ook de persoonlijke ai-assistent Gemini Spark maakt voortaan gebruik van het nieuwe model. Volgens Google moet dit leiden tot een betere integratie met Google Workspace. De techgigant publiceert daarnaast nieuwe benchmarkresultaten en veiligheidsmaatregelen rond Gemini 3.7 Flash.

Zonsverduistering legt Europese e-commerce tijdelijk plat

De Europese consument zette tijdens de zonsverduistering het online-winkelen vrijwel stil. Dat blijkt uit transactiedata van financieel dienstverlener Mollie, dat betalingsstromen van meer dan 250.000 bedrijven in ruim dertig Europese markten analyseerde.

Tijdens het hoogtepunt van de totale eclips daalde het digitale transactievolume met bijna 38 procent ten opzichte van een normale avond. De pauze bleek van korte duur: in de 33 minuten daarna steeg het aantal transacties vanaf het ‘dieptepunt’ met 64 procent.

De opvallende V-vormige transactiegrafiek was zichtbaar in uiteenlopende retailsectoren. Volgens Mollie wijst dat op een continentbrede onderbreking van online-activiteit, in plaats van een effect dat beperkt bleef tot specifieke productcategorieën. De data laten volgens het bedrijf zien hoe snel consumentengedrag door een grote externe gebeurtenis kan veranderen.

Oracle en AWS breiden samenwerking rond ai-databases uit

Oracle en Amazon Web Services (AWS) breiden hun strategische samenwerking uit om migraties van Oracle-databases naar AWS te versnellen. Oracle AI Database@AWS is beschikbaar in 22 regio’s wereldwijd. De dienst wordt onder meer gebruikt door CJ Olive Young, Kobalt Music Group en de Metropolitan Transport Authority van Barcelona voor bedrijfskritische workloads.

Nieuw is Oracle Exadata Database Service on Exascale Infrastructure. Daarmee krijgen organisaties toegang tot Exadata-prestaties via een pay-per-use-model. Gebruikers kunnen reken- en opslagcapaciteit bovendien flexibel afstemmen op hun behoeften.

Oracle AI Database@AWS biedt daarnaast integratie met AWS-diensten zoals Amazon Bedrock, SageMaker en Redshift. Volgens Oracle kunnen bedrijven zo ai- en analytics-toepassingen ontwikkelen op basis van hun bestaande Oracle-data, zonder deze te verplaatsen of te dupliceren.

Geen organisatie is volledig immuun voor een incident. Een kwetsbaarheid kan worden misbruikt, een account kan worden overgenomen of een aanvaller kan via een leverancier binnenkomen. Hoe naticipeer je op een cybercrisis? Op Cybersec Netherlands vind je antwoorden als je onderstaande route volgt langs workshops en stands.

Een cybercrisis vraagt namelijk om meer dan een technisch antwoord. Wie neemt de beslissingen? Hoe snel wordt duidelijk wat er aan de hand is? Hoe voorkom je dat een incident zich verder verspreidt? En wanneer kun je zeggen dat de crisis daadwerkelijk voorbij is?

Wie op 9 en/of 10 september naar Cybersec Netherlands 2026 in Jaarbeurs Utrecht gaat, kan die vragen vanuit verschillende invalshoeken bekijken. Van crisisleiding en zichtbaarheid tot beheersing, herstel en samenwerking. Samen vormen ze een route langs vijf stappen om beter voorbereid te zijn op het moment waarop cybersecurity niet langer een preventievraagstuk is, maar een crisis.

Meer dan securityincident

Een securityincident hoeft niet direct uit te groeien tot een crisis. Dat gebeurt wanneer de gevolgen verder reiken dan het securityteam en bijvoorbeeld de bedrijfsvoering, klanten of reputatie raken. Op dat moment moeten beslissingen vaak onder tijdsdruk worden genomen, terwijl informatie onvolledig is en belangen uiteenlopen.

Daarom begint goed cybercrisismanagement niet pas wanneer een aanvaller is ontdekt. Het begint met voorbereiding. Wie verantwoordelijkheden vooraf helder heeft, weet welke informatie nodig is en regelmatig oefent, staat tijdens een incident sterker.

Stap 1: bepaal wie er beslist wanneer het misgaat

Een cybercrisis kan technische problemen veroorzaken, maar de belangrijkste beslissingen zijn lang niet altijd technisch. Moet een systeem offline? Wanneer informeer je klanten of partners? Welke risico’s accepteer je om de bedrijfsvoering draaiende te houden?

De keynote ‘From banking to academia to manufacturing: what every CISO can learn across industries’ (9 september, 13.30 – 13.50 uur, Mainstage) sluit hier goed op aan. Martin de Vries, chief information security officer bij VDL Groep, kijkt vanuit ruim twintig jaar ervaring naar het cybersecurityleiderschap in verschillende sectoren. Daarbij komen onder meer governance, stakeholdermanagement, crisisrespons en risico-eigenaarschap aan bod.

Northwave sluit hier als exposant goed op aan (stand 11.C057). De organisatie houdt zich bezig met cybersecurity en incident response en biedt daarmee een praktische aanvulling op de vraag hoe organisaties zich voorbereiden op situaties waarin een securityincident uitgroeit tot een bedrijfscrisis.

Wat levert deze stop op?
Meer duidelijkheid over verantwoordelijkheden en besluitvorming wanneer een cyberincident niet meer alleen een zaak van het securityteam is.

Stap 2: zorg dat je snel weet wat er gebeurt

Een crisis wordt moeilijker te beheersen wanneer de organisatie geen betrouwbaar beeld heeft van haar eigen digitale omgeving. Welke systemen zijn bereikbaar? Welke assets staan publiekelijk bloot? En welke nieuwe verbindingen of kwetsbaarheden zijn ontstaan zonder dat het securityteam daarvan op de hoogte is?

De sessie ‘The intelligence gap: why modern SOCs depend on complete internet visibility’ (10 september, 13.15 – 13.45 uur, Masterclass theater 5) gaat precies over dat probleem. Security operations centers (soc’s) moeten steeds sneller dreigingen detecteren, onderzoeken en beantwoorden, terwijl hun informatie over systemen met internettoegang en dreigingsactiviteiten soms onvolledig of verouderd is.

Hadrian sluit hier goed op aan als exposant (stand 11.D074). De organisatie richt zich op external attack surface management en combineert continue asset discovery met het valideren van kwetsbaarheden vanuit het perspectief van een aanvaller. Daarmee past Hadrian bij de praktische vraag achter deze stap. Je kunt een crisis immers pas goed beheersen wanneer je weet wat er daadwerkelijk aan de buitenkant van je organisatie zichtbaar en bereikbaar is.

Wat levert deze stop op?
Een beter beeld van de digitale omgeving en daarmee een snellere startpositie wanneer een incident zich voordoet.

Stap 3: voorkom dat een incident uitgroeit tot een crisis

Wanneer een aanvaller eenmaal binnen is, telt iedere minuut. Zeker bij ransomware kan een relatief klein incident zich snel ontwikkelen tot een situatie waarin systemen en data niet meer beschikbaar zijn.

De sessie ‘Welcome to Cryptographic Park: how ransomware finds a way’ (9 en 10 september, 12.30 – 13.00 uur, Masterclass theater 5) kijkt naar de manier waarop ransomware langs traditionele beveiligingsmaatregelen kan komen. De nadruk ligt volgens Ross Asquith, solutions engineering director bij Halcyon, niet alleen op preventie, maar ook op detectie, het blokkeren van encryptie en snel herstel.

Keepit past goed bij deze stap (stand 11.B050). De organisatie richt zich op cloudback-up en dataresilience. Daarmee brengt de beursvloer een belangrijk perspectief in bij ransomware. Als preventie en detectie tekortschieten, moet een organisatie kunnen voorkomen dat een aanval meteen leidt tot langdurig verlies van kritieke data en bedrijfscontinuïteit.

Wat levert deze stop op?
Meer inzicht in de maatregelen die nodig zijn om een aanval te beperken voordat een securityincident uitgroeit tot een bedrijfscrisis.

Stap 4: herstel betekent meer dan systemen weer online brengen

Een organisatie kan technisch herstellen terwijl de gevolgen van een incident nog jarenlang merkbaar zijn. Denk aan gestolen persoonsgegevens, phishing, identiteitsfraude of klanten die het vertrouwen in een organisatie verliezen.

De sessie ‘The breach is over. The damage isn’t’ (10 september, 10.15 – 10.45 uur, Stronger Together Partner Dome 7) kijkt juist naar die periode na een datalek. Willemijn Rodenburg, strategisch adviseur bij Cyberveilig Nederland, richt zich op de gevolgen voor mensen van wie persoonsgegevens zijn gestolen en op de vraag waar de verantwoordelijkheid van organisaties ophoudt en die van slachtoffers begint.

Kiteworks sluit hier als exposant goed op aan (stand 11.D056). De organisatie richt zich op het veilig delen en beheren van gevoelige informatie. Daarmee ontstaat een bredere kijk op herstel. Niet alleen systemen moeten weer functioneren, maar ook de informatie waarmee organisaties, medewerkers, klanten en partners werken, moet zorgvuldig worden behandeld.

Wat levert deze stop op?
Een bredere definitie van herstel. Een crisis is niet voorbij zodra de systemen weer werken, maar pas wanneer ook de gevolgen voor de organisatie en haar omgeving beheersbaar zijn.

Stap 5: gebruik een crisis om structureel weerbaarder te worden

Een organisatie die een cybercrisis heeft doorstaan, heeft iets waardevols geleerd. De vraag is alleen of die lessen ook daadwerkelijk worden omgezet in verbetering.

De sessie ‘From islands to alliances: how collaboration transforms cyber resilience’ (10 september, 14.45 – 15.15 uur, Stronger Together Partner Dome 7) kijkt naar cyberweerbaarheid vanuit samenwerking. De centrale gedachte van Aernout Reijmer, ceo van CyberAlloy, is dat organisaties niet als geïsoleerde eilanden functioneren. Juist samenwerking tussen bedrijven, overheid, kennisinstellingen en andere partijen kan helpen om structureel weerbaarder te worden.

S2 Grupo sluit aan bij deze laatste stap van de route (stand 11.C024). De organisatie richt zich op cybersecurity en cyberresilience en kan daarmee de vraag achter deze stap helpen verbreden. Een cybercrisis moet niet alleen worden geëvalueerd vanuit de vraag wat er fout ging, maar ook vanuit de vraag welke structurele verbeteringen nodig zijn om een volgende crisis beter op te vangen.

Wat levert deze stop op?
Een manier om van incident response naar structurele cyberweerbaarheid te gaan. Niet alleen herstellen wat kapot ging, maar de organisatie sterker maken voor een volgende aanval.

Crisis begint niet bij incident

Wie deze route volgt, ziet dat cybercrisismanagement veel verder gaat dan een incident response-plan. Het begint met duidelijke verantwoordelijkheden en goede voorbereiding. Daarna gaat het om zicht op de omgeving, het beperken van de impact en het daadwerkelijk kunnen herstellen.

Maar misschien wel het belangrijkste is wat daarna gebeurt. Een cybercrisis levert informatie op over de manier waarop een organisatie functioneert onder druk. Wie die lessen benut en samenwerking zoekt buiten de eigen organisatie, kan de volgende crisis beter voorbereid tegemoet gaan.

Cyberweerbaarheid betekent uiteindelijk niet dat een organisatie iedere aanval kan voorkomen. Het betekent dat een organisatie weet wat ze moet doen wanneer preventie tekortschiet, snel kan handelen wanneer dat nodig is en sterker uit een incident kan komen.

Deze ontwikkeling is duidelijk zichtbaar in recente overnames van Nederlandse bedrijven in industriële automatisering, productiesoftware, sensortechnologie en energiebeheer. Zo blijkt uit een rapport van Aeternus, adviesbureau bij bedrijfsovernames en -financiering. Een sprekend voorbeeld is de overname van Sensorfact, een Nederlandse aanbieder van software voor energiebeheer, door het Zweeds-Zwitserse concern ABB.

Digitale systemen nodig

Volgens Aeternus kijken kopers gerichter naar technologie die productieprocessen schaalbaarder, voorspelbaarder en minder afhankelijk van handmatige arbeid maakt. Om fabrieken zo goed mogelijk te laten draaien, zijn digitale systemen nodig. Door slim gebruik te maken van gegevens uit de machines, is de productie sneller en zonder fouten aan te sturen.

De voordelen zijn:

• Meer winst: Je werkt een stuk efficiënter.
• Betere producten: De kwaliteit gaat omhoog.
• Sneller aanpassen: Je bent flexibeler als klanten iets anders willen.
• Makkelijker groeien: Je bedrijf kan simpel groter worden.

Factory automation

Aeternus ziet een aanhoudende vraag naar factory automation, robotics en machine vision. Een tweede trend is de opkomst van software als verbindende laag binnen de maakindustrie. Waar productiebedrijven vroeger vaak werkten met losse systemen voor planning, ERP, controle op de werkvloer en kwaliteitsregistratie, is de behoefte aan geïntegreerde software-omgevingen gegroeid.

Lovable biedt software waarmee niet-technische klanten met behulp van vibecoding prototypes, websites, apps en tools kunnen bouwen. De startup is gelanceerd in november 2024 en zegt dat er sindsdien 60 miljoen projecten met de software zijn gebouwd. Onduidelijk is de status en omvang van die projecten.

Sinds kort kan elke zakelijke gebruiker op het Lovable-platform een ’trust center’ aan zijn app of site toevoegen. Daarin kan de gebruiker zien welke security-maatregelen genomen zijn. Eerder dit jaar nog kwam Lovable in opspraak door een groot datalek.

Scaleup Europe Fund

De recente series C-ronde bracht 400 miljoen dollar voor de Zweden op. Naast het Scaleup Europe Fund investeerden diverse venture capital-partijen uit onder andere de VS en China in deze ronde.  

Het Scaleup Europe Fund (SEF) is een nieuwe publiek-private samenwerking waarin de private investeerder EQT de leiding heeft. Het fonds is vorig jaar door de Europese Commissie aangekondigd als antwoord op het rapport Draghi, dat opriep om het investeringsgat voor deep-tech bedrijven te dichten.

Het fonds richt zich op nieuwe ‘later stage’ Europese ondernemingen die willen doorgroeien tot ‘global leaders’. Het SEF investeert in ai, quantum technologie, semiconductor technologie, robotics en autonomous systems, energietechnologie, ruimtevaarttechnologie, biotechnologie, medische technologie, advanced materials en agritech.

De Europese commissie neemt op gelijke voorwaarden deel als de andere investeerders in het SEF en brengt 1 miljard euro in.

Een van de andere investeerders is het Nederlandse APG Asset Management, dat onder andere pensioengeld van ABP belegt.  

Recente cijfers wijzen erop dat de arbeidsmarkt voor zelfstandige professionals, waaronder ict’ers, minder gunstig wordt. Het aantal aanbiedingen per opdracht ligt inmiddels vier keer hoger dan tijdens het dieptepunt van de coronaperiode. Opdrachten zonder reacties zijn zeldzaam geworden.

Volgens de Talent Monitor van HeadFirst Group en Intelligence Group staan de tarieven in delen van de ict inmiddels onder druk. De verwachte tariefstijging voor 2026 bedraagt gemiddeld slechts één procent, terwijl juniortarieven zelfs licht dalen, een ontwikkeling die de onderzoekers mede toeschrijven aan meer aanbod, minder schaarste en de impact van ai.

Medior- en seniortarieven blijven wel stijgen: het gemiddelde uurtarief van een zelfstandige ict-consultant kwam in 2026 uit op 108 euro (excl. btw), tegen een gemiddelde van 83 euro voor alle Nederlandse zzp’ers samen. Aan de top van de markt liggen de tarieven nog hoger: informatiemanagers vragen gemiddeld 122 euro per uur, security architects 125 euro en enterprise architects 127 euro.

Ict-salarissen stijgen minder hard

Ook in de salarisgroei lijkt de rek eruit. Eerder dit jaar berichtte Computable dat in de Nederlandse ict‑sector het salaris van medewerkers minder hard groeit dan de cao‑lonen. Dat bleek uit een onderzoek onder circa 450 ict’ers, uitgevoerd eind 2025 op initiatief van FNV IT, met medewerking van de vakbonden CNV, De Unie en Computable. De uitkomsten van het ‘Salarisonderzoek in de ICT 2025’ laten zien dat salarisontwikkeling sterk afhangt van factoren als leeftijd, bedrijf, loyaliteit en gender.

Wat kan medewerker met ai

Kunstmatige intelligentie verandert niet alleen het werk van ict-professionals, maar ook de manier waarop werkgevers talent beoordelen, belonen en inzetten. De vraag verschuift van wat iemand weet naar wat iemand met die kennis en ai kan bereiken. Volgens Niels Agterberg, managing partner van recruitmentburerau ACES International, wordt het vermogen om ai effectief in te zetten steeds belangrijker. Die ontwikkeling ziet hij niet alleen bij ontwikkelaars, maar ook bij managers, marketeers en consultants: ‘Het gaat veel meer naar: als een klant iets wil hebben, hoe zet je nou ai in om dat op een goede manier te presenteren?’

Voor softwareontwikkelaars ziet Agterberg een vergelijkbare verschuiving. Ai-tools en vibe coding nemen steeds meer routinematig programmeerwerk over. De waarde van ervaren ontwikkelaars ligt daardoor minder in het schrijven van code en meer in het beoordelen van de kwaliteit ervan.

De grootste winnaars lijken niet per se de professionals die de meeste code produceren, maar degenen die technologie, domeinkennis en ai effectief weten te combineren.

Beloning in het ai-tijdperk

Hoe kun je nu meer gaan verdienen? Wie meer salaris of een hoger tarief wil, doet er verstandig aan verder te kijken dan functietitel, diploma’s of certificaten. Door de opkomst van ai verschuift de waarde van werknemers steeds meer naar hun vermogen om technologie daadwerkelijk toe te passen en daarmee resultaten te boeken.

Voor werknemers betekent dit dat een salarisonderhandeling steeds minder draait om wat zij weten en steeds meer om wat zij aantoonbaar realiseren, legt Dr. Ken Matos, Director of Market Insights (Human Capital Management) bij hr-platform HiBob uit. Maar uit onderzoek van Hibob onder 1.200 ai-beslissers blijkt dat werkgevers niet bereid zijn extra te betalen voor algemene ‘ai literacy’.

‘Ze betalen extra voor schaarse vaardigheden die direct bedrijfsrisico’s verkleinen of productiviteit verhogen,’ zegt Matos. ‘Wie kan laten zien dat ai leidt tot kortere doorlooptijden, lagere kosten, minder fouten of betere dienstverlening, beschikt over sterkere argumenten dan iemand die vooral benadrukt welke tools hij gebruikt.’

Een goede voorbereiding begint daarom met het verzamelen van concrete resultaten, stelt Matos. ‘Welke processen zijn versneld? Hoeveel tijd is bespaard? Zijn fouten verminderd? Welke nieuwe diensten of producten zijn mogelijk geworden?’ Hoe concreter de bijdrage aan bedrijfsdoelstellingen, hoe sterker de onderhandelingspositie.

Salarispremie

De drie vaardigheden waarvoor het vaakst een salarispremie van minimaal 10 procent wordt genoemd zijn automatisering en technische integratie (34%), ai safety, ethiek en governance (34%) en evaluatie en kwaliteitscontrole van ai-output (33%).

‘Dat zijn interessante uitkomsten,’ aldus Matos. ‘Het zijn immers niet direct de vaardigheden waar momenteel de meeste aandacht naar uitgaat. Ja, veel werknemers leren prompten. Maar werkgevers blijken vooral te zoeken naar mensen die ai-systemen beheersbaar maken.’

Een tweede inzicht is dat ai steeds vaker onderdeel wordt van promotiebeleid. Matos: ’67 procent van de organisaties koppelt ai-vaardigheden aan promoties en 50 procent aan beoordelingsgesprekken.’

Nebius profiteert van enorme vraag naar ai-capaciteit

Nebius, het ai-cloudbedrijf met hoofdkantoor aan de Amsterdamse Zuidas, zag zijn inkomsten in het afgelopen kwartaal met 454 procent stijgen vergeleken met een jaar eerder. De omzet reikte tot 582 miljoen euro. De vraag naar ai-capaciteit stijgt exponentieel. In het tweede kwartaal werden vier grote deals gesloten, elk met een waarde van meer dan 1 miljard euro, waaronder die met Reflection en Cohere. Volgens Nebius-topman Arkady Volozh sloot zijn bedrijf nooit eerder zulke grote ai-cloud-deals af tegen zulke gunstige voorwaarden. 

Behalve via lange termijncontracten verkoopt Nebius ook capaciteit via veilingen en korte termijn deals. Die kunnen zeer lucratief zijn. Nebius verwacht dit jaar voor 9 miljard dollar aan vooruitbetalingen van klanten te krijgen. Het van oorsprong Russische Nebius heeft in IJsland, Finland, het Verenigd Koninkrijk, de VS, Frankrijk en Israël datacenters. Dit jaar komen daar 14 nieuwe datacenters bij, vooral in de VS.

SpaceX nu al meer ai-bedrijf

SpaceX is niet langer – primair – een lanceer-onderneming voor satellieten, maar ontwikkelt zich razendsnel in een ai-bedrijf. Die transformatie is nu grotendeels voltooid. Oprichter Elon Musk ziet enorme kansen. SpaceX zou in 2028 500 miljard dollar kunnen verdienen, zegt hij in een 29 minuten durende presentatie. ‘Onze ai-inkomsten zullen waarschijnlijk in september alle andere SpaceX-inkomsten overtreffen en zullen in het vierde kwartaal aanzienlijk hoger uitvallen dan alle andere SpaceX-inkomsten,’ aldus Musk. ‘Ai is dus een extreem belangrijk onderdeel geworden van de toekomst van SpaceX.’ 

‘Waarschijnlijk zal ai over vier of vijf jaar 99% van de waarde van SpaceX uitmaken; ik denk zeker binnen vijf jaar,’ zei Musk. ‘En de waarde van SpaceX zal een astronomisch bedrag zijn.’ SpaceX lanceerde deze week nieuwe ai-software (Grok Bot) die ai-agenten als een team laat werken bij het uitvoeren van verschillende taken. Eerder dit jaar kocht SpaceX xAI, een startup die Musk in 2023 oprichtte. xAI ontwikkelde de chatbot Grok en beheert ook een krachtig supercomputer-cluster in Tennessee genaamd Colossus. Musk wil één miljoen ai-satellieten voor datacenters in de ruimte brengen. 

Securitas Technology tekent voor camerabeheer parkeervoorzieningen Rotterdam

Securitas Technology heeft een raamovereenkomst gesloten met de gemeente Rotterdam voor het integraal beheer en de verdere ontwikkeling van de videosurveillancesystemen (VSS) in de gemeentelijke parkeervoorzieningen, waaronder parkeergarages en fietsenstallingen. De overeenkomst ging in op 1 juli 2026, loopt in eerste instantie twee jaar en kan twee keer met een jaar worden verlengd. Securitas Technology neemt het volledige levenscyclusbeheer van de systemen voor zijn rekening: van preventief en correctief onderhoud tot de installatie van nieuwe camera’s, uitbreidingen, upgrades en de levering van hardware en software. Ook cybersecurity krijgt aandacht, met onder meer veilige netwerkarchitecturen, toegangsbeheer en encryptie, en het bedrijf verkent toepassingen als video-analyse en ai om cameratoezicht meer preventief en datagedreven in te zetten.

IG&H neemt RevoData over van Atomic Group

IG&H heeft RevoData overgenomen van Atomic Group en versterkt daarmee zijn leidende positie in data en ai. Met de overname haalt IG&H een gespecialiseerd team van ruim 40 Databricks-professionals in huis. RevoData’s Databricks-expertise wordt gecombineerd met IG&H’s schaalbare, internationale platform- en sectorkennis. Atomic Group, dat RevoData verkoopt, richt zich voortaan volledig op soevereine cloud-, data- en ai-infrastructuur voor Nederland. Beide bedrijven blijven partners in het leveren van data- en ai-oplossingen op soevereine infrastructuur.

Workday breidt VAR-programma uit naar EMEA, ook Nederland

Workday breidt zijn Value-Added Reseller (VAR)-programma uit naar de EMEA-regio, waaronder Nederland. Via het nieuwe VAR-ecosysteem krijgen organisaties via vertrouwde regionale partners bredere toegang tot Workday Services en Agentic AI-capabilities. De uitbreiding moet vooral middelgrote organisaties helpen die nog met gescheiden hr- en financiële systemen werken en op zoek zijn naar één schaalbaar platform. Met deze stap maakt Workday de overstap van een volledig direct verkoopmodel naar een hybride model, waarin directe verkoop wordt gecombineerd met een groeiend netwerk van partners. Ook in Nederland zijn lokale VAR-partners actief. Partner HR Path ziet het VAR-model als een logische stap om het mkb in Nederland breder te ondersteunen, van strategische besluitvorming tot operationele implementatie, aldus Angelo Van Stijn, Associate Partner bij HR Path.

Cybersecurity is volwassener dan ooit. Organisaties investeren miljoenen in security operations centers, threat intelligence, zero trust, endpoint protection en ai-gedreven detectie. Toch blijven ransomware-aanvallen, datalekken en digitale verstoringen aan de orde van de dag. De vraag is dan ook niet of we investeren in cybersecurity, maar of we onze aandacht op de juiste plekken richten.

De reflex bij vrijwel iedere nieuwe dreiging is dezelfde: er komt een nieuwe tool, een extra beveiligingslaag of een geavanceerdere detectietechniek. Technologische innovatie is onmisbaar, maar tegelijkertijd lijkt cybersecurity steeds vaker te worden benaderd als een puur technisch vraagstuk. En juist daar wringt het, meent osint-specialist Arno Reuser tijdens Cybersec Netherlands. Op 10 september verzorgt hij een keynote over deze spagaat.

Aannames

Want de meeste succesvolle aanvallen beginnen niet met een technisch hoogstandje, maar met menselijk gedrag. Een medewerker die op een overtuigende phishingmail klikt. Een wachtwoord dat wordt hergebruikt. Een verzoek dat zonder controle wordt goedgekeurd. Of simpelweg iemand die beveiligingsmaatregelen ervaart als een obstakel om zijn werk gedaan te krijgen.

Dat betekent niet dat gebruikers het probleem zijn. Integendeel. Het betekent dat organisaties hun verdediging vaak bouwen op de aanname dat mensen zich altijd veilig zullen gedragen. Een aanname die in de praktijk nauwelijks standhoudt.

Organisatievraagstuk

Toch blijft de nadruk vooral liggen op technologie. Security awareness wordt vaak gereduceerd tot een verplichte e-learning of een periodieke phishingtest, terwijl veilig gedrag veel meer vraagt. Het gaat om organisatiecultuur, leiderschap, eigenaarschap en het ontwerpen van processen waarin de veilige keuze vanzelfsprekend is. Cybersecurity is uiteindelijk niet alleen een it-vraagstuk, maar ook een organisatievraagstuk.

‘Zolang de menselijke factor een sluitpost blijft, blijven organisaties investeren in symptoombestrijding’

Daarmee ontstaat een opvallende paradox. We worden steeds beter in het detecteren van aanvallen, maar veel minder goed in het voorkomen van de omstandigheden die aanvallers succesvol maken. Zolang de menselijke factor een sluitpost blijft, blijven organisaties investeren in symptoombestrijding.

Keynote Arno Reuser

Juist die stelling staat centraal in de keynote van Arno Reuser tijdens Cybersec Netherlands. Onder de titel ‘You are all wrong: cybersecurity is failing, and it’s not the hackers’ houdt hij op 10 september om 12.40 uur de cybersecuritysector een spiegel voor. Volgens Reuser is de grootste bedreiging voor cybersecurity niet de cybercrimineel zelf, maar onze beperkte manier van denken over beveiliging. Zolang organisaties vooral blijven vertrouwen op technische oplossingen en de menselijke kant verwaarlozen, zal de kloof tussen investeren en daadwerkelijk veiliger worden, alleen maar groter worden.

Tijdens zijn keynote laat Reuser aan de hand van actuele praktijkvoorbeelden zien waar de grootste blinde vlekken zitten en waarom een fundamenteel andere kijk op cybersecurity noodzakelijk is. Niet door technologie minder belangrijk te maken, maar door haar weer onderdeel te maken van een bredere strategie waarin mens, organisatie en techniek onlosmakelijk met elkaar verbonden zijn.

De totale uitgaven stegen met 37 procent, maar de gemiddelde prijs per token daalde met 13,6 procent. Dat blijkt uit de nieuwste AI Gateway Production Index van het Amerikaans technologiebedrijf Vercel.

De dalende kosten hangen samen met een verschuiving naar goedkopere modellen. Driekwart van de teams die in juni en juli meer dan tien miljoen tokens verwerkten, wijzigde minimaal tien procent van zijn modelmix. Vooral open-weight-modellen (modellen waarvan de getrainde modelgewichten beschikbaar worden gesteld, zodat ontwikkelaars ze zelf kunnen downloaden, draaien en aanpassen) winnen terrein. Hun aandeel in het totale tokenvolume steeg van elf procent in april naar 36 procent in juli.

Chinese model

DeepSeek groeide uit tot de op een na grootste ai-aanbieder gemeten naar tokenvolume. Het Chinese model verwerkte in juli meer dan twee keer zoveel tokens als Google. Het aandeel van DeepSeek steeg in enkele maanden van minder dan één naar 25 procent, terwijl Google terugviel van bijna veertig naar 10,7 procent. DeepSeek V4 Flash was alleen al goed voor bijna een vijfde van het totale volume.

De markt splitst zich daarmee verder op. Goedkope modellen verwerken grote hoeveelheden ai-taken, terwijl duurdere modellen voor gespecialiseerde toepassingen worden ingezet. Het Amerikaanse Anthropic had bijna dertig procent van het tokenvolume, maar was goed voor 65,1 procent van de uitgaven. Bij coding agents verwerkte DeepSeek bijna een derde van de tokens, terwijl Anthropic meer dan tachtig procent van de uitgaven voor zijn rekening nam.