NCSC

Cybersecuritybeeld Nederland 2026: ga ervan uit dat de aanvaller al binnen is.

NCSC en NCTV zien de dreiging sneller groeien dan de weerbaarheid, en voor het eerst aantoonbaar door AI. Wat er in het rapport staat, welke Nederlandse cijfers het noemt, hoe hard de bewering is dat lekken binnen uren worden misbruikt, en wat u ermee doet.

Door Sander 8 november 2026 5 min leestijd

Dit sluit aan op onze artikelen over AI en de snelheid van aanvallen en over het advies van AIVD, MIVD en NCSC over edge devices.

In het kort

Het Cybersecuritybeeld Nederland 2026 (CSBN) van NCSC en NCTV verscheen op 6 november en beslaat augustus 2025 tot en met augustus 2026.
De kernboodschap: de dreiging groeit sneller dan de weerbaarheid van Nederlandse organisaties, en die kloof is een risico voor de nationale veiligheid.
Voor het eerst stelt het CSBN vast dat aanvallers AI aantoonbaar inzetten.
Organisaties moeten ervan uitgaan dat aanvallers al in hun systemen zitten.
Volgens het rapport worden lekken nu binnen enkele uren misbruikt. Dat cijfer klopt voor een klein deel van de kwetsbaarheden, niet voor alle.

Wat er in het rapport staat

Het CSBN beschrijft drie ontwikkelingen die samen een probleem vormen.

De dreiging neemt toe. China, Rusland, Iran en Noord-Korea hebben offensieve cyberprogramma's die zich ook op Nederland richten, en steeds meer andere landen bouwen er een op. Criminelen richten zich steeds vaker op het stelen van grote hoeveelheden data om af te persen of door te verkopen, zonder nog iets te versleutelen.

AI versterkt die dreiging. Het rapport noemt voorbeelden waarin aanvallers AI gebruikten om kwetsbaarheden te vinden en te misbruiken, om malware te schrijven, en zelfs malware die tijdens een aanval een taalmodel om nieuwe commando's vraagt. Meestal gaat het nog om ondersteunend gebruik.

De weerbaarheid blijft achter. Een deel van de organisaties heeft de basismaatregelen niet op orde. Het NCSC ziet dat actief misbruikte kwetsbaarheden nog steeds te laat worden gepatcht, ook na waarschuwingen. Onderzoek van het NCSC naar incidenten loopt geregeld vast omdat de forensische informatie ontbreekt.

Wat er in Nederland gebeurde

Het rapport noemt een reeks Nederlandse incidenten uit de afgelopen twaalf maanden:

Odido: ShinyHunters stal gegevens van ruim 6 miljoen (oud-)klanten, een van de grootste datalekken ooit in Nederland.
Gemeente Epe: via een ClickFix-aanval werden bijna 552.000 bestanden gestolen, met persoonsgegevens van vrijwel alle inwoners, inclusief burgerservicenummers.
ChipSoft: bij een ransomware-aanval op de softwareleverancier werden medische gegevens gestolen. Een groot deel van de ziekenhuizen haalde daarop de patiëntportalen offline.
DJI, de Autoriteit Persoonsgegevens en de Raad voor de Rechtspraak: aanvallers kregen inzage in persoonsgegevens van medewerkers.
Rijksorganisaties en andere organisaties werden gehackt via kwetsbaarheden in Citrix en Ivanti EPMM.
Salt Typhoon had kleinere Nederlandse internet- en hostingproviders als doelwit, en Russische diensten hackten IP-camera's langs militaire routes.
Ceva Logistics: een hack bij de logistieke dienstverlener leidde tot datalekken bij verschillende Nederlandse bedrijven die hun bestellingen via Ceva laten lopen.

Volgens AIVD en MIVD wordt maar een beperkt deel van de Chinese operaties tegen Nederland ontdekt. De zichtbare incidenten zijn dus niet het hele beeld.

De cijfers

Het rapport verzamelt cijfers uit verschillende bronnen. Een selectie:

Wat	Cijfer	Bron
Datalekken door een cyberaanval (2025)	2.428	AP
Ransomware-aanvallen gemeld bij de AP (2025)	136 (2024: 127)	AP
Alleen data gestolen, niets versleuteld (2025)	32 (2024: 15)	AP
Organisaties met geen of zeer basale detectie (2026)	33%	KPN
Organisaties die voorrang geven aan patchen, endpoints en incidentrespons (2026)	5%	KPN
MFA in gebruik (2025)	micro 56%, klein 79%, groot 97%	CBS
Cyberincident geoefend (2024)	micro 2%, klein 7%, groot 37%	CBS
Formeel responsplan (2026)	mkb 26%, groot 49%	ABN AMRO
Beleid voor AI-gebruik (2026)	mkb 9%, groot 32%	ABN AMRO

Bij het CBS is micro 2 tot 10 medewerkers, klein 10 tot 50 en groot meer dan 250. Het mkb is alles onder de 250.

De verschuiving bij de AP valt op: het aantal aanvallen waarbij alleen data werd gestolen, verdubbelde in een jaar. Wie zijn verdediging vooral afstemt op versleuteling en back-ups, mist dat soort aanvallen. Volgens politieonderzoek biedt betalen bovendien geen garantie dat gestolen data wordt verwijderd.

Het rapport zegt er zelf eerlijk bij dat digitale weerbaarheid moeilijk te meten is. Veel bronnen zijn enquêtes onder een beperkte groep organisaties.

Hoe hard is "binnen enkele uren"?

De zin die het meest wordt overgenomen: de tijd tussen ontdekking en misbruik van een kwetsbaarheid was in 2024 gemiddeld enkele maanden, in 2025 enkele weken en in 2026 nog maar enkele uren. Volgens het rapport kan dat uiteindelijk minuten worden.

In de bronnenlijst staat voor die zin één bron: de Zero Day Clock, een online dashboard van Sergej Epp, CISO van Sysdig. Dat dashboard meet de mediane tijd tussen publicatie van een CVE en het eerste bevestigde misbruik, op basis van kwetsbaarheden die op lijsten van misbruikte kwetsbaarheden staan, zoals die van CISA en VulnCheck.

Dat is een zinnige meting, maar hij gaat alleen over kwetsbaarheden die uiteindelijk worden misbruikt, en dat is een klein deel. Epp erkent zelf dat de methode kritiek krijgt: welke kwetsbaarheden in de selectie belanden en hoe oud ze zijn, beïnvloedt de uitkomst sterk. Andere metingen geven een rustiger beeld. VulnCheck vond in de eerste helft van 2026 dat 23 procent van de misbruikte kwetsbaarheden al op of vóór de dag van publicatie werd aangevallen, en dat de mediane tijd tot opname in de lijst van misbruikte kwetsbaarheden 80 dagen was.

Beide beelden kloppen tegelijk. Voor de kleine groep kwetsbaarheden die aanvallers echt oppakken, zeker in systemen aan internet, is de tijd tot misbruik soms uren. Voor het overgrote deel van de tienduizend meldingen per maand gebeurt er niets. Dat ondersteunt de aanpak met twee snelheden uit ons eerste AI-artikel: direct handelen bij actief misbruik op systemen aan internet, de rest op basis van risico. Het NCSC schrijft in het rapport dat uitstel van dagen of weken niet meer past bij het huidige dreigingslandschap, en voor die eerste groep is dat terecht.

Ga ervan uit dat de aanvaller al binnen is

De oproep die in het rapport het meest terugkomt, is assume breach. Organisaties richten zich te veel op aanvallers buiten houden en te weinig op het ontdekken van aanvallers die al binnen zijn. Het rapport vat het samen als "geen bewijs van een hack is geen hack": wie geen logging heeft, kan niet vaststellen dat er niets is gebeurd.

Dat is geen theoretisch punt. Bij de Citrix-aanvallen bleven sporen van misbruik na de update gewoon staan. Wie alleen patchte en niet controleerde, had een bijgewerkt systeem met een achterdeur erin.

Het rapport wijst ook op een opvallend effect: CBS en ABN AMRO zien het aantal gemelde incidenten bij bedrijven dalen. Volgens het CSBN kan dat ook betekenen dat bedrijven incidenten minder snel opmerken.

Het mkb loopt het verst achter

Het CSBN is opvallend direct over het mkb. Kleine bedrijven hebben minder wettelijke verplichtingen dan organisaties die sinds 15 augustus onder de Cyberbeveiligingswet vallen, minder ondersteuning, minder kennis en minder geld. Het rapport concludeert dat het mkb zijn weerbaarheid niet zelfstandig kan verhogen, en dat leveranciers, toezichthouders en de overheid daar medeverantwoordelijk voor zijn.

Het kabinet presenteerde tegelijk het actieprogramma "Toekomstbestendige Digitale Weerbaarheid". Daarin staan onder meer betere samenwerking tussen overheid en bedrijven bij incidenten en een scanplatform bij het NCSC, waarmee organisaties op kwetsbaarheden kunnen worden doorgelicht. Hoe en wanneer dat er komt, is nog niet bekend.

Wat u nu kunt doen

Test uw logging. Kies een willekeurige dag van drie maanden geleden en probeer te achterhalen wie er toen inlogde op uw VPN, firewall en belangrijkste servers. Lukt dat niet, dan kunt u een inbraak ook niet uitsluiten. AIVD en MIVD adviseren logs minstens een halfjaar te bewaren.
Zoek actief naar sporen op uw edge devices. Draai de controletools die Citrix, Ivanti en andere leveranciers na een incident uitbrengen ook als u op tijd hebt gepatcht.
Patch in twee snelheden. Actief misbruikt en bereikbaar vanaf internet: binnen dagen. De rest: op basis van risico.
Zet MFA overal aan, ook in kleine organisaties. Gebruik voor beheeraccounts een vorm die niet te phishen is, zoals een hardwaresleutel of passkey. De Russische campagne tegen Signal- en WhatsApp-accounts werkte met verificatiecodes die via phishing werden buitgemaakt.
Leg een responsplan vast en oefen het één keer. Wie belt wie, wie mag systemen offline halen, waar staan de back-ups. Van de kleine bedrijven oefende in 2024 maar 7 procent een cyberincident.
Maak afspraken over AI-gebruik. Welke tools mogen, en welke gegevens mogen er niet in. Het CSBN noemt een gemeente waar gevoelige gegevens van inwoners in openbare AI-tools belandden.
Vraag uw leveranciers hoe zij u informeren bij een incident. Ceva en ChipSoft laten zien dat een aanval bij een leverancier uw datalek kan worden.