Verzekeraars slaan alarm: ongeveer 80% van de cyberaanvallen treft het mkb. In Nederland en Europa vragen zij om strengere preventie en duidelijke basismaatregelen. De Europese AI-verordening gevolgen overheid en bedrijfsleven worden daarbij voelbaar, net als NIS2-eisen voor digitale weerbaarheid. Op het moment van schrijven laten schade-analyses zien dat vooral phishing en ransomware toenemen, mede geholpen door kunstmatige intelligentie.
Mkb is primair doelwit
Het grootste deel van de aanvallen raakt kleinere organisaties met beperkte middelen. Criminelen kiezen het mkb omdat de drempel lager is en de ketenwaarde groot blijft. Eén geslaagde aanval kan productie stilleggen of klantdata lekken. Dat maakt het mkb tot aantrekkelijk doelwit in heel Europa.
Op het moment van schrijven wordt circa 80% van alle gedetecteerde cyberaanvallen toegeschreven aan incidenten bij het mkb.
Nederlandse bedrijven in handel, logistiek, zorg en maakindustrie zijn extra digitaal afhankelijk. Zij werken met cloudsoftware en externe leveranciers, vaak zonder eigen securityteam. Daardoor blijven updates, segmentatie en monitoring soms achter. Aanvallers misbruiken die gaten met geautomatiseerde scans.
De schade is meer dan losgeld of herstelkosten. Stilstand kost omzet en reputatie en kan leiden tot claims. Bij datalekken geldt bovendien de AVG-meldplicht en mogelijk boetes van de Autoriteit Persoonsgegevens. Verzekeraars zien daardoor hogere totaalbedragen per incident.
De meest gebruikte ingangen zijn phishing, hergebruikte wachtwoorden en fout ingestelde cloudomgevingen. Generatieve AI maakt phishingmails en nepwebsites overtuigender, in vloeiend Nederlands. Ook spraakdeepfakes ondersteunen fraude met ‘spoedbetalingen’. Zo groeit het aantal succesvolle eerste kliks.
Verzekeraars stellen strengere eisen
Cyberverzekeringen blijven beschikbaar, maar voorwaarden worden strakker. Basismaatregelen als multifactorauthenticatie, regelmatige updates en offline back-ups zijn vaak verplicht. Zonder die maatregelen daalt de dekking of stijgt het eigen risico. Dat zet bedrijven aan tot structurele preventie.
Naast polisvoorwaarden bieden verzekeraars en makelaars vaker risicoscans en awareness-training. Sommige werken samen met beveiligingsleveranciers voor EDR, een systeem dat verdachte activiteiten op endpoints herkent en stopt. Voorbeelden in de markt zijn Microsoft Defender for Endpoint, CrowdStrike Falcon en Darktrace. Zulke diensten helpen ook bij snelle incidentrespons.
Bij ransomware gelden steeds vaker sublimieten en striktere toetsing. Wie geen netwerksegmentatie of test-restore van back-ups kan aantonen, krijgt minder uitkering. Ook contracten eisen tegenwoordig een incidentresponsplan en oefening. Preventie weegt zo zwaarder mee in prijs en voorwaarden.
Claimsafhandeling is bovendien tijdkritisch. Verzekeraars zien graag 24/7-bereikbaarheid van IT-partners en duidelijke escalatieroutes. Zij vragen om logging, zodat forensisch onderzoek snel kan starten. Dat verkleint schade en verkort de stilstand.
AI vergroot aanval én verdediging
Aanvallers gebruiken generatieve AI, zoals ChatGPT, Gemini en open modellen als Llama, om foutloze phishing te schrijven. Zij vertalen, personaliseren en automatiseren berichten op schaal. Deepfake-stemmen voeden CEO-fraude via telefoon. De combinatie verhoogt de kans op een eerste klik.
Verdedigers zetten ook algoritmen in. Tools als Microsoft Defender for Endpoint, CrowdStrike Falcon en Darktrace herkennen patronen die afwijken van normaal gedrag. Dit heet anomaliedetectie: het systeem zoekt naar ongewone logins, datastromen of processen. Zo wordt een aanval sneller gezien en gestopt.
Die systemen werken alleen goed met actuele data en goede instellingen. Zonder tuning ontstaan te veel valse alarmen, waardoor teams meldingen missen. Menselijk toezicht blijft dus nodig, bijvoorbeeld via een Security Operations Center (SOC). Regelmatige evaluatie en updates horen bij het beheer.
AI-beveiliging verwerkt vaak persoonsgegevens uit logbestanden. Dat valt onder de AVG en vraagt om dataminimalisatie, versleuteling en heldere bewaartermijnen. Een Data Protection Impact Assessment (DPIA) is verstandig bij grootschalige monitoring. Documentatie helpt bovendien bij audits door klanten en toezichthouders.
Europese AI-verordening gevolgen overheid
De Europese AI-verordening (AI Act) classificeert AI-systemen naar risico. Beveiligings- en monitoringtools vallen doorgaans in de lage-risicoklasse, maar transparantie en documentatie blijven belangrijk. Overheden moeten bij inkoop kunnen beoordelen hoe modellen zijn getraind en welke data worden verwerkt. Dit voorkomt onduidelijkheid over herkomst en rechten van data.
Voor publieke diensten is aanvullend toezicht en zorgvuldige inkoop cruciaal. Contracten vragen steeds vaker om uitlegbaarheid, logboeken en exit-mogelijkheden om afhankelijkheid te beperken. Dat raakt ook mkb-leveranciers van gemeenten of zorginstellingen. Zij moeten kunnen aantonen dat hun AI-onderdelen veilig en conform zijn ingericht.
Omdat beveiliging persoonsgegevens raakt, gelden AVG-eisen extra scherp bij de overheid. Loggen mag, maar alleen wat nodig is en zo kort mogelijk. Delen van incidentinformatie met CERTs en toezichthouders vraagt een rechtsgrond en passende waarborgen. Heldere processen versnellen melding en respons.
NIS2 vergroot druk in keten
NIS2 breidt de Europese beveiligingsplicht uit naar meer sectoren en ‘belangrijke’ entiteiten. De Nederlandse implementatie versterkt eisen aan risicobeheer, continuïteit en rapportage. Ook leveranciers krijgen meer aandacht in het toezicht. Daardoor voelen veel mkb’ers indirecte druk via contracten.
De richtlijn verlangt basiscontroles zoals MFA, patchmanagement, versleuteling en segmentatie. Voor ernstige incidenten geldt een vroegmelding binnen 24 uur en een uitgebreider rapport binnen 72 uur. Een eindrapport volgt later met oorzaken en maatregelen. Dit dwingt tot heldere procedures en oefening.
Klanten en prime contractors vertalen NIS2 naar leveranciersvoorwaarden. Denk aan security-audits, minimumcontroles en snelle toegang tot logs tijdens incidenten. Verzekeraars stemmen hun vragenlijsten vaak af op dezelfde standaarden. Zo ontstaat één taal voor risicobeheer in de keten.
In Nederland ondersteunen het Nationaal Cyber Security Centrum (NCSC) en het Digital Trust Center (DTC) met richtlijnen en waarschuwingen. Hun adviezen helpen bij prioriteiten en patchbeleid. Aansluiting op deze bronnen verkleint reactietijd bij nieuwe dreigingen. Dat is nuttig voor zowel bedrijven als overheden.
Praktische stappen voor bedrijven
Begin met basisbeveiliging: multifactorauthenticatie, tijdige updates en gescheiden, offline back-ups. Zorg voor netwerksegmentatie, zodat één besmette laptop niet alles platlegt. Test het terugzetten van back-ups regelmatig. Documenteer wat werkt en wat nog niet op orde is.
Versterk detectie en respons. Zet EDR of XDR in en laat meldingen beoordelen, intern of via een externe SOC-dienst. Train medewerkers elk kwartaal tegen phishing en simuleer aanvallen. Koppel dit aan duidelijke procedures voor melden en blokkeren.
Regel privacy en compliance. Beperk logdata tot wat nodig is, versleutel opslag en stel bewaartermijnen in. Voer een DPIA uit bij grootschalige monitoring en leg keuzes vast. Sluit verwerkersovereenkomsten af met leveranciers van beveiligingstools.
Bereid incidenten en verzekering samen voor. Schrijf een kort draaiboek met contactpersonen, forensische partners en meldplichten (AVG, NIS2). Oefen jaarlijks met een tabletop-scenario. Deel dit plan met de verzekeraar om dekking en responstijden te borgen.
