AI versnelt cyberaanvallen

Waarom is digitale veiligheid nog vaak alleen een IT-vraagstuk?

🔐TL;DR

Zeven Nederlandse organisaties waarschuwen dat AI bestaande cyberdreigingen versnelt. Hun oproep aan bestuurders: breng de basis op orde, beoordeel je beveiliging opnieuw en geef digitale veiligheid een vaste plek in de besluitvorming. 

Een kwetsbaarheid in software, een overtuigend bericht van een aanvaller of een account met te ruime toegangsrechten. De risico’s zijn bekend. Toch verandert AI de situatie: aanvallers kunnen onderdelen van hun werkwijze automatiseren en kwetsbaarheden sneller vinden en misbruiken. Voor organisaties wordt het daardoor belangrijker om niet alleen maatregelen te treffen, maar ook te weten of die maatregelen in de praktijk werken.

Op 24 september 2026 deden de NCTV, het NCSC, de AIVD, de MIVD, het Openbaar Ministerie, CIO Rijk en de Politie een gezamenlijke oproep aan bestuurders. Hun boodschap is helder: AI kan bestaande cyberdreigingen versnellen en versterken. Daarom mag digitale veiligheid niet uitsluitend bij de IT-afdeling liggen.

AI verandert vooral het tempo van de dreiging

Bij een cyberaanval zoeken kwaadwillenden naar een ingang, proberen zij toegang te krijgen en benutten zij vervolgens wat ze aantreffen. Volgens het NCSC kan AI delen van die aanvalsketen versnellen, van het vinden van kwetsbaarheden tot het misbruiken ervan. Daarvoor zijn niet per se de meest geavanceerde AI-modellen nodig.

Dat betekent niet dat iedere aanval volledig door AI wordt uitgevoerd. Het betekent wel dat bekende zwakke plekken minder lang onopgemerkt kunnen blijven. Een update die nog moet worden ingepland, een account dat niet meer nodig is of een herstelplan dat nooit is getest, verdient aandacht voordat een incident laat zien waarom het belangrijk was. De Rijksinspectie Digitale Infrastructuur ziet in de praktijk dat juist de structurele toepassing van zulke basismaatregelen vaak tekortschiet.

De waarschuwing is daarmee geen pleidooi om blindelings nieuwe beveiligingstechnologie aan te schaffen. Zij stelt een fundamentelere vraag: weet jouw organisatie wat zij moet beschermen, hoe goed dat nu gebeurt en wie beslist wanneer verbetering nodig is?

Waarom dit niet alleen een taak voor IT is

IT-specialisten kunnen kwetsbaarheden onderzoeken, systemen beveiligen en maatregelen adviseren. Maar zij bepalen niet zelfstandig welk bedrijfsproces voorrang krijgt, welke verstoring de organisatie kan opvangen of hoeveel risico acceptabel is. Die afweging raakt aan klanten, medewerkers, financiën en continuïteit.

Daarom roepen de zeven organisaties bestuurders op om cybersecurity prioriteit te geven, middelen beschikbaar te stellen en deskundigen de ruimte te geven hun werk te doen. Het NCSC beschrijft effectieve informatiebeveiliging als een samenwerking tussen verschillende rollen in de organisatie. Beveiligingsmaatregelen moeten aansluiten op de risico’s, maar ook op de manier waarop mensen werken. 

Een directiegesprek over cybersecurity hoeft daarom niet te beginnen met technische termen. Het kan beginnen met vragen als: welke processen mogen niet stilvallen? Welke informatie is daarvoor onmisbaar? Waar zijn we afhankelijk van anderen? En wat gebeurt er als een belangrijke voorziening morgen niet beschikbaar is? Het NCSC biedt vragen voor het gesprek tussen bestuurder en beveiligingsverantwoordelijke, juist om risico’s, maatregelen en verantwoordelijkheden bespreekbaar te maken. 

Ook zonder eigen CISO blijft dat gesprek nodig. De handreiking van de Cyber Security Raad richt zich op bestuurders en bedrijfseigenaren van organisaties van uiteenlopende omvang, ook als zij niet onder specifieke cyberwetgeving vallen. 

Van een landelijke waarschuwing naar jouw organisatie

De gezamenlijke oproep noemt drie acties: breng de basis op orde, vraag je af of de beveiliging nog passend is en neem signalen rond AI serieus. Die acties krijgen pas waarde als je ze vertaalt naar de werkelijkheid van jouw organisatie.

Weet wat voor jouw organisatie onmisbaar is

Niet elk systeem of document vraagt dezelfde aandacht. Begin bij de processen die moeten blijven draaien en de gegevens die je daarvoor nodig hebt. Breng vervolgens in kaart welke systemen, medewerkers en leveranciers daarbij een rol spelen. Zo wordt duidelijk waar een verstoring de grootste gevolgen kan hebben.

De vijf basisprincipes van digitale weerbaarheid van het NCSC geven hiervoor een bruikbaar vertrekpunt: breng risico’s in kaart, bevorder veilig gedrag, bescherm systemen en apparaten, beheer toegang en bereid je voor op incidenten. Deze principes zijn ook bedoeld voor het mkb.

Controleer of maatregelen werkelijk werken

Dat een maatregel is afgesproken, betekent nog niet dat hij overal is uitgevoerd of nog steeds passend is. Worden kwetsbaarheden tijdig aangepakt? Hebben mensen alleen toegang tot informatie die zij nodig hebben? Kun je gegevens herstellen uit een back-up? En is duidelijk wie handelt als een incident wordt ontdekt?

De Rijksinspectie Digitale Infrastructuur signaleert onder meer tekortkomingen in het overzicht van systemen, het uitvoeren van updates, toegangsbeheer en de voorbereiding op incidenten. Het gaat dus niet alleen om het kiezen van de juiste maatregelen, maar ook om het consequent toepassen en opnieuw beoordelen ervan.

Maak besluiten en opvolging zichtbaar

Een risico wordt niet kleiner doordat het in een rapport staat. Iemand moet bepalen wat ermee gebeurt, welke maatregel voorrang krijgt en wanneer wordt gecontroleerd of de situatie is verbeterd. Soms kan een risico direct worden aangepakt. Soms is meer tijd of investering nodig. In beide gevallen moet duidelijk zijn wie de afweging maakt.

Volgens het NCSC zijn vragen over risicobeoordeling, maatregelen en voortgang geen eenmalige checklist. Ze vormen het begin van een terugkerend gesprek tussen bestuur en de mensen die de beveiliging uitvoeren.

Vergeet de menselijke kant niet

Niet ieder risico begint bij een technische kwetsbaarheid. Phishing en andere vormen van digitale misleiding blijven belangrijk. Medewerkers moeten verdachte situaties kunnen herkennen, maar vooral ook weten waar zij terechtkunnen als zij twijfelen of iets misgaat. Een open meldcultuur helpt om signalen sneller boven tafel te krijgen.

Daarom kijkt OfficeGrip niet alleen naar systemen. Met Security Awareness helpen we medewerkers om cyberdreigingen beter te herkennen, onder meer via phishingsimulaties en korte trainingen. Dat is een aanvulling op technische beveiliging, geen vervanging ervan.

Maak van urgentie een haalbare aanpak

De oproep van de veiligheidsorganisaties vraagt niet van iedere organisatie precies dezelfde maatregelen. De juiste prioriteit hangt af van je bedrijfsprocessen, bestaande beveiliging, afhankelijkheden en beschikbare capaciteit. Wat wél voor iedere organisatie geldt: zonder inzicht is het moeilijk om gericht te kiezen.

Een Cybersecurity Scan kan helpen om kwetsbaarheden en zwakke punten in de omgeving zichtbaar te maken en bevindingen te vertalen naar aanbevelingen. Met een IT Roadmap kunnen die verbeteringen vervolgens worden afgewogen tegen organisatiedoelen, andere ontwikkelingen en beschikbare middelen. Zo ontstaat geen losse lijst met maatregelen, maar een route waarin duidelijk is wat eerst moet en waarom. 

De vraag voor de volgende directievergadering is dus niet alleen: zijn we beveiligd? Vraag ook: welke risico’s zijn voor ons het belangrijkst, hoe weten we of onze maatregelen werken en wie neemt het besluit over de volgende stap? Daar begint bestuurlijke regie op digitale veiligheid.

Veelgestelde vragen

De gezamenlijke waarschuwing gaat vooral over het versnellen en versterken van bestaande dreigingen. AI kan aanvallers helpen om delen van hun werkwijze te automatiseren en kwetsbaarheden sneller te vinden of te misbruiken. Dat maakt het belangrijk om bestaande risico’s en maatregelen opnieuw te beoordelen.

Ja. Ook kleinere bedrijven zijn afhankelijk van digitale systemen en gegevens. De basisprincipes van het NCSC zijn uitdrukkelijk zo opgesteld dat ondernemers, waaronder mkb’ers, ermee aan de slag kunnen. Welke maatregelen voorrang krijgen, verschilt per organisatie.

Nee. Een bestuurder moet wel kunnen beoordelen welke bedrijfsrisico’s spelen, welke keuzes worden voorgesteld en hoe de uitvoering wordt gevolgd. De gespreksvragen van het NCSC helpen om dat gesprek met een CISO of andere beveiligingsverantwoordelijke te voeren.

Begin bij de processen en informatie die voor je bedrijfsvoering essentieel zijn. Breng daarna in beeld welke systemen en toegangsrechten daarbij horen en hoe je bent voorbereid op verstoring. De vijf basisprincipes bieden houvast; een beoordeling van je eigen omgeving helpt om de belangrijkste vervolgstappen te bepalen.

eBook cover Cybersecurity voor bedrijven3

Meer informatie over Cybersecurity?

Download dan hier gratis ons eBook voor meer informatie.

Download

Klaar om meer grip te krijgen
op jouw digitale veiligheid?

Avista-Shegani

Avista denkt graag
met u mee.