Het cybersecuritylandschap verandert snel. Nederlandse organisaties verschuiven hun prioriteiten onder invloed van twee krachten die elkaar versterken: de opkomst van Frontier AI-modellen die cyberaanvallen versnellen, en de groeiende complexiteit van toeleveringsketens. De grootste uitdaging zit niet alleen in technologie, maar in de mensen en organisaties die deze verandering moeten sturen.
Een verschuiving in prioriteiten
Uit PwC’s 2027 Global Digital Trust Insights blijkt dat Nederlandse organisaties hun focus verbreden. 61 procent noemt risico’s bij derden en in de toeleveringsketens als topprioriteit. Organisaties zien zichzelf niet langer als eilanden, maar als knooppunten in netwerken waarin risico’s overal kunnen ontstaan; juist ook buiten de eigen muren.
Tegelijkertijd richt 55 procent van de respondenten zich op databescherming en het beveiligen van AI en autonome agents. Daarmee erkennen organisaties dat zowel de informatie die hun processen ondersteunt als de technologie die die informatie verwerkt, kwetsbaar is.
Waarom verschuift de prioriteit? Mimoent Haddouti, partner cyber, data, technology & risk bij PwC Nederland, zegt het zo: ‘De vraag is niet alleen hoe veilig je organisatie is. Het gaat er ook om hoe weerbaar je bent als kritieke bedrijfsprocessen afhankelijk zijn van complexe toeleveringsketens, snel veranderende technologie en steeds autonomere AI.’
De versnelling door Frontier AI
Frontier AI staat voor de meest geavanceerde AI-modellen en verandert het speelveld. Het Mythos-model van Anthropic is daar een voorbeeld van. Dit AI-systeem, getraind om cybersecurityproblemen op te sporen, vond in één maand meer dan tienduizend kwetsbaarheden bij ongeveer vijftig partners. Dezelfde technologie die verdediging versterkt, stelt kwaadwillenden in staat om aanvallen op grotere schaal en met hogere snelheid uit te voeren.
De impact is zichtbaar. Het aantal patches dat softwarebedrijven uitbrengen, was rond de zomer met zeventig procent gestegen ten opzichte van vorig jaar en medio oktober verdubbelt. Elke patch staat voor een bekendgemaakte kwetsbaarheid. Meer patches betekenen meer werk, grotere backlogs en meer risico’s die nog niet zijn verholpen.
Haddouti noemt dit een ratrace: ‘De tijd tussen het ontdekken en misbruiken van een kwetsbaarheid wordt steeds korter. Traditioneel namen bedrijven een maand of zelfs een kwartaal om patches door te voeren. Dat gaat niet meer. Je moet continu inzicht hebben in je eigen kwetsbaarheden en weten hoe AI je kan helpen om op het volume en de snelheid van de aanvallen te reageren.’
Van technologie naar organisatie
In Nederland zien organisaties vooral de menselijke factor als beperkende factor. 52 procent maakt zich zorgen over de kans dat AI-systemen worden gemanipuleerd. Wereldwijd geldt juist technologische volwassenheid (55 procent) als grootste zorg.
Dat verschil laat zien dat Nederlandse organisaties cyberweerbaarheid vooral als organisatorische opgave zien. Je kunt geavanceerde AI-verdedigingstools inzetten, maar als medewerkers niet weten hoe ze die moeten gebruiken, blijft een deel van de waarde onbenut.
Haddouti: ‘De toepassing van AI in cybersecurity wordt steeds meer bepaald door de volwassenheid van de technologie én door het vermogen van een organisatie om de juiste expertise aan te trekken en te ontwikkelen. Daarom is het essentieel dat medewerkers AI-geletterd zijn en dat organisaties investeren in de kennis en vaardigheden die zij nodig hebben om AI effectief en verantwoord te gebruiken. Investeren in deze capaciteiten is net zo belangrijk als investeren in de technologie zelf.’
Cybertalent en cultuur
Nederlandse organisaties handelen naar dit inzicht. Waar respondenten wereldwijd vooral inzetten op groeimogelijkheden en beloning, leggen Nederlandse organisaties de nadruk op cultuur. 61 procent noemt een sterke cybercultuur als middel om talent te behouden. Slechts vijftien procent noemt beloning als instrument, tegenover veertig procent wereldwijd.
Dit benadrukt dat het beheersen van risico’s bij derden, het beveiligen van AI-agents en het verkleinen van de ‘AI-oversight skills gap’ niet alleen met technologie lukt. Organisaties hebben mensen nodig die AI begrijpen, risico’s in toeleveringsketens kunnen beoordelen en de ethische en operationele vragen rond AI kunnen adresseren.
Van reageren naar transformeren
De verschuiving in prioriteiten raakt de hele organisatie. Sander Reerink, cyber & resilience-expert bij PwC, zegt: ‘Op korte termijn moeten bedrijven ervoor zorgen dat alle processen blijven draaien. Op langere termijn moeten ze nadenken over een fundamenteel andere inrichting van die processen.’
Dat vraagt om drie stappen.
Bestuurlijk eigenaarschap
Cyberrisico’s zijn geen puur IT-vraagstuk meer, maar een bestuurskwestie. Bestuur en toezicht moeten risico’s analyseren, vastleggen welke niveaus aanvaardbaar zijn en maatregelen koppelen aan de strategie.
Inzicht in kritieke processen
Veel organisaties weten niet precies welke processen echt kritisch zijn. Zonder inzicht in je ‘minimum viable company’ – de minimale set processen en functies waarmee je organisatie kan blijven draaien – is gericht prioriteren lastig. Investeringen in cybersecurity zijn dan minder effectief, omdat niet duidelijk is waar de grootste risico’s zitten.
Voortdurend experimenteren met AI-verdediging
Organisaties moeten ruimte creëren om te leren. Haddouti: ‘Je moet het lef hebben om bijvoorbeeld een AI-lab op te zetten. Daar kun je onderzoeken hoe agents je kunnen helpen om je verdediging te versterken. En ontdek je wat de agents wel en niet kunnen en kun je afspraken maken over de manier waarop je ze inzet.’
Omdat er nog weinig langjarige referenties zijn, is gecontroleerd experimenteren noodzakelijk. Zo bouwen organisaties ervaring op met AI in de verdediging en krijgen ze zicht op grenzen en risico’s.
Toeleveringsketens als strategisch vraagstuk
Risico’s bij derden zijn geen puur inkoop- of compliancevraagstuk meer. Een leverancier met geprivilegieerde toegang of een kritieke operationele rol vormen zowel een toegangspoort voor aanvallers als een concentratierisico.
Nederlandse organisaties besteden daarom veel aandacht aan ’threat intelligence’ en geopolitieke monitoring (52 procent). De Nederlandse economie is relatief sterk blootgesteld aan geopolitieke risico’s via onder andere kritieke data-infrastructuur, Europese havens en internationale gerechtelijke instellingen. Afhankelijkheid van in de VS gevestigde derde partijen vergroot bovendien de onzekerheid rond technologie en handelsrelaties.
Dit vraagt om een directe verbinding tussen leveranciersmanagement, IT-architectuur, continuïteitsplanning, incidentrespons en hersteltesten. Uitbesteden neemt de eindverantwoordelijkheid niet weg. Je moet erop toezien dat leveranciers hun beveiliging op orde hebben, anders kunnen aanvallers via hun software binnenkomen.
Data, soevereiniteit en geopolitiek
Datagovernance en datalokalisatie zijn hier direct mee verweven. 45 procent van de Nederlandse respondenten in het genoemde onderzoek noemt dit prioriteit. Als kritieke diensten of data afhankelijk zijn van leveranciers onder andere jurisdicties, komen risico’s bij derden, wettelijke verplichtingen en digitale soevereiniteit samen.
Cyberrisico’s beheersen vraagt daarom om inzicht in waar data staat, welke wetgeving van toepassing is en hoe dit zich verhoudt tot efficiëntie en innovatie.
De toets op weerbaarheid
Uiteindelijk gaat het om de vraag hoe je handelt als het misgaat. Reerink: ‘Bedrijven stellen vaak de vraag: ben ik veilig? Honderd procent veilig ben je natuurlijk nooit. Het gaat erom dat je, als jouw organisatie iets overkomt, als bestuurder in de spiegel kunt kijken en kunt zeggen: ik heb er het maximale aan gedaan.’
Cyberweerbaarheid draait dus niet om absolute veiligheid, maar om gereedheid: het vermogen om snel te reageren, impact te beperken en herstel te organiseren. Hoe korter de tijd tussen detectie en ingrijpen, hoe meer ruimte je hebt om schade te beperken.
Conclusie: weerbaarheid als strategie
Nederlandse organisaties staan op een belangrijk punt. Frontier AI vergroot de schaal, snelheid en complexiteit van cyberaanvallen. Tegelijk worden toeleveringsketens ingewikkelder, komen geopolitieke risico’s dichterbij en wordt regelgeving strenger.
Uit ons onderzoek naar digitaal vertrouwen blijkt dat organisaties deze ontwikkeling herkennen. Ze zien cybersecurity niet alleen als technisch vraagstuk, maar als onderdeel van organisatie en bestuur. Ze investeren in technologie én in cultuur, mensen, inzicht in kritieke processen en strategie.
Welke organisaties hierin slagen, hangt niet alleen af van de kwaliteit van hun beveiligingstechnologie. Doorslaggevend zijn een sterke cybercultuur, AI-geletterde medewerkers, bestuurders die cyberrisico’s serieus nemen en de wendbaarheid om snel te reageren.
De ratrace tegen AI-gestuurde dreigingen gaat dus niet alleen over technologie. Het gaat over de vraag of je als organisatie de structuur, cultuur en vaardigheden hebt om bij te blijven en vooruit te lopen.
Dit is een ingezonden bijdrage van PwC. Via deze link vind je meer informatie over de mogelijkheden van het bedrijf.