Praat met een willekeurige security officer bij een Nederlandse organisatie, en dezelfde knelpunten komen telkens terug. Er komt wetgeving aan die het bestuur persoonlijk raakt, de lijst met openstaande kwetsbaarheden groeit sneller dan hij kan worden weggewerkt, aanvallers omzeilen wachtwoorden door identiteiten zelf te kapen, het bestuur begrijpt de cijfers uit de securityrapportage niet altijd, AI wordt aangeschaft zonder onderliggend beleid, en leveranciers introduceren risico’s die niemand direct in beeld heeft. Dit artikel loopt deze zes knelpunten stuk voor stuk langs en beschrijft welke stappen het risico aantoonbaar kunnen verkleinen.
Security officers bij Nederlandse organisaties krijgen te maken met zes terugkerende knelpunten: de aankomende Cyberbeveiligingswet, oncontroleerbare kwetsbaarhedenlijsten, identiteitsgerichte aanvallen, een bestuur dat securitycijfers niet altijd vertaalt naar bedrijfsrisico, ongestructureerde AI investeringen en onzichtbaar ketenrisico. Dit artikel behandelt elk knelpunt afzonderlijk en beschrijft welke technische en organisatorische richtingen het risico kunnen verkleinen.
De Cyberbeveiligingswet laat bestuurders minder ruimte om weg te kijken
Dinsdag 7 juli 2026 stemt de Eerste Kamer over de Cyberbeveiligingswet, samen met de Wet weerbaarheid kritieke entiteiten. Deze wet vormt de Nederlandse vertaling van de Europese NIS2 richtlijn. Bij goedkeuring treden beide wetten naar verwachting op 15 augustus 2026 in werking, waarmee het aantal organisaties dat verplichtingen krijgt oploopt van ongeveer duizend naar zo’n achtduizend. Die organisaties moeten zelf beoordelen of ze onder de reikwijdte vallen, zich registreren via mijn.ncsc.nl en significante incidenten melden in drie stappen: een vroegtijdige waarschuwing binnen 24 uur, een volledige melding binnen 72 uur en een eindverslag binnen een maand.
De verschuiving die het meeste losmaakt, zit niet in die procedures maar in de verantwoordelijkheid. Het bestuur moet de maatregelen die uit de zorgplicht volgen formeel goedkeuren en toezien op de uitvoering ervan. Die verplichting verdwijnt niet door de uitvoering bij een CISO of een externe partij te beleggen. Uitvoerende bestuurders moeten daarnaast een training volgen over cyberbeveiligingsrisico’s en de beheersing daarvan, waarvoor een overgangstermijn van maximaal twee jaar geldt. Toezichthoudende en niet-uitvoerende bestuurders vallen niet onder die trainingsplicht. Voor de overige verplichtingen bestaat die coulance dus niet.
Hoe ver reikt de aansprakelijkheid van een CISO onder de Cyberbeveiligingswet
De juridische positie van de CISO ligt subtieler dan veel berichtgeving suggereert. Wie geen statutair bestuurder is, valt niet automatisch onder de klassieke bestuurdersaansprakelijkheid uit het Burgerlijk Wetboek. Tegelijk is die scheiding minder waterdicht dan ze lijkt zodra een CISO zelfstandig bevoegd is om zwaarwegende beslissingen te nemen, bijvoorbeeld het loskoppelen van een netwerksegment tijdens een incident of het indienen van een wettelijke melding. Bij een ernstig verwijt kan persoonlijke aansprakelijkheid onder omstandigheden alsnog in beeld komen.
Mijn advies aan iedereen die deze rol vervult: leg besluitvorming vast alsof u er over twee jaar bij een toezichthouder verantwoording over moet afleggen. Datum, advies, afweging, genomen besluit en de naam van degene die het nam. Als een bestuurder ondanks een onderbouwd advies besluit een investering uit te stellen, hoort dat zwart op wit in het risicoregister te staan. Dat is geen wantrouwen richting de directie, het is de enige manier waarop later nog te reconstrueren valt wie wat wist. SolidBE helpt organisaties bij het opzetten van dit soort risicoregisters en bestuursrapportages.
Kwetsbaarhedenlijsten die harder groeien dan teams ze kunnen wegwerken
Klassiek kwetsbaarhedenbeheer meet vooral hoeveel gaten er zijn gevonden en gedicht. Dat levert een cijfer op dat maandelijks stijgt en verder weinig zegt. Het knelpunt zit namelijk niet in het aantal kwetsbaarheden, maar in het ontbreken van context. Is een specifieke CVE binnen déze omgeving werkelijk misbruikbaar, staat het betreffende systeem aan de buitenkant, en welk bedrijfsproces valt stil als het misgaat.
Sturen op het aantal gedichte kwetsbaarheden is naar mijn mening een van de hardnekkigste misvattingen in het vak. Het beloont volume in plaats van risico, en het geeft een bestuur een gevoel van voortgang dat de werkelijkheid niet dekt. Een team dat driehonderd lage bevindingen wegwerkt en één misbruikbare kwetsbaarheid in een internetgerichte applicatie laat staan, scoort in die rapportage uitstekend.
Waarom exposure management meer zegt dan het aantal gedichte kwetsbaarheden
Exposure management keert de volgorde om door kwetsbaarheden te koppelen aan actuele dreigingsinformatie en aan de processen die ze raken. SolidBE zet daarvoor onder meer FortiSOC Cloud in, het cloudplatform dat Fortinet in juni 2026 uitbracht en waarin logbeheer, correlatie, automatisering, gedragsanalyse en threat intelligence samenkomen in één console. Analisten beoordelen dreigingen vanuit hetzelfde overzicht, waardoor prioritering kan plaatsvinden op basis van reëel risico in plaats van op basis van een steeds langer wordende patchlijst. Voor de bestuursrapportage betekent dat een verschuiving van “wij hebben zoveel bevindingen gesloten” naar “dit is de blootstelling die nu overblijft en dit raakt het als het misgaat”.
Identiteiten in plaats van wachtwoorden
Multifactorauthenticatie die alleen op het inlogmoment controleert, dekt het risico niet meer af. Aanvallers richten zich steeds vaker op gestolen sessietokens, OAuth-tokens en cloudsleutels die de authenticatie al zijn gepasseerd. Eenmalige verificatie bij aanmelding laat daardoor een blinde vlek achter zodra een sessie is buitgemaakt. Adaptieve authenticatie beperkt dat door voortdurend te herbeoordelen op basis van gedrag, locatie en apparaatstatus in plaats van eenmalig te controleren. Hoe die risicobeoordeling technisch werkt en welke signalen daarbij meewegen, staat uitgewerkt in ons artikel over de overstap van statische naar adaptieve multifactorauthenticatie.
Daaronder ligt een tweede, minder zichtbaar probleem. Veel organisaties weten niet precies welke apparaten er op hun netwerk zijn aangesloten. Zonder die inventarisatie is elk toegangsbeleid deels theorie. FortiNAC identificeert ieder apparaat bij aansluiting, deelt het in en koppelt het aan het bijbehorende beleid, zodat een onbekend of niet conform apparaat niet stilzwijgend toegang krijgt.
Waarom een bestuur securityrapportages leest zonder de urgentie te voelen
Tien jaar geleden presenteerde ongeveer een kwart van de CISO’s rechtstreeks aan het bestuur, inmiddels doet vrijwel iedereen dat. Het onderliggende probleem bleef. Tijdens de Gartner Security and Risk Management Summit 2026 in National Harbor stelden analisten Sam Olyaei en Tom Scholtz vast dat veel rapportages die zij onder ogen krijgen zijn opgebouwd rond de securityfunctie zelf en niet rond het bedrijf erachter. Volgens Gartner onderschrijft 93 procent van de bestuursleden dat cyberrisico de aandeelhouderswaarde bedreigt, en verwacht 98 procent dat de dreiging de komende twee jaar toeneemt. Toch behandelt datzelfde bestuur cyberrisico vaak als een verplichte verzekeringspremie, een vergelijking die Olyaei tijdens de sessie zelf trok.
Het alternatief dat de twee analisten voorstellen, gebruikt het kwartaalverslag als sjabloon in plaats van een dreigingsdashboard. Een momentopname van de huidige risicopositie zoals een balans, een overzicht van de financiële impact van dreigingen zoals een resultatenrekening, en inzicht in de inzet van middelen zoals een kasstroomoverzicht. Daarbij hoort het advies om bij de start een beperkte, stabiele set indicatoren te kiezen en die per kwartaal gelijk te houden, zodat een bestuur trends ziet in plaats van steeds nieuwe grafieken. In de praktijk struikelt die vertaling vooral over operationele data die verspreid staat over losse systemen. SolidBE bouwt SOC-rapportages daarom zo op dat detectie- en responstijden herleidbaar zijn naar concrete bedrijfsprocessen en vastgestelde risicodrempels, waardoor de bestuursupdate en het dagelijkse operationele beeld op dezelfde brongegevens rusten.
AI-inkoop zonder beleid
In de Leadership Perspective Survey 2026 van Gartner C-level Communities staat het veilig inzetten en beschermen van AI voor het eerst bovenaan de prioriteitenlijst van CISO’s, een thema dat het jaar ervoor nog niet in de top vijf voorkwam. Van de ondervraagde securityleiders geeft 43 procent aan te willen investeren in AI-producten en -diensten, meer dan in enig ander gebied. Een deel van die uitgaven komt voort uit de angst om achter te blijven bij concurrenten. Gartner waarschuwt in “Predicts 2026: CISOs Must Embrace Relief of Missing Out on AI” dat een strategie die door dat gevoel wordt gedreven leidt tot verspilde investeringen en tegenvallende opbrengsten.
De uitweg is om AI-beleid expliciet te koppelen aan bestaande beveiligingsdoelen, bijvoorbeeld aan de functies van het NIST Cybersecurity Framework, in plaats van AI als los project te behandelen. Fortinet legt die koppeling inmiddels in de productlijn: de AI-analyselaag binnen FortiMail Workspace Security is gericht op aanvallen zonder schadelijke bijlage of link, zoals business email compromise, impersonatie en gerichte spear phishing. Juist die categorie glipt langs de standaardfilters van Microsoft 365 en Google Workspace. Dat geeft een CISO iets concreets om AI-gedreven detectie mee te onderbouwen richting het bestuur, in plaats van een belofte voor later.
Leveranciersrisico dat pas zichtbaar wordt na een incident
Vrijwel elke organisatie leunt op leveranciers, softwarecomponenten en clouddiensten waarvan de beveiliging niet is getoetst en soms zelfs niet in kaart is gebracht. Zo erft een security officer risico dat buiten de eigen muren is ontstaan. De Cyberbeveiligingswet maakt ketenbeveiliging onderdeel van de wettelijke zorgplicht: beveiligingseisen moeten contractueel worden vastgelegd en periodiek worden gecontroleerd. Hoe dat in de praktijk uitpakt en welke controlemomenten daarbij horen, beschrijven we in ons artikel over ketenbeveiliging onder de Cyberbeveiligingswet.
Een contract levert alleen geen technische scheiding op. Wie de papieren afspraken op orde heeft maar de onderhoudslaptop van een leverancier nog steeds in hetzelfde VLAN als de productieomgeving hangt, heeft compliance geregeld en risico niet. Begin daarom bij segmentatie en pas daarna bij de contractbijlage. SolidBE combineert hiervoor doorgaans FortiGate-firewalls voor segmentatie met FortiNAC voor toegangscontrole op apparaatniveau, zodat een besmet leveranciersapparaat niet direct bij kernsystemen uitkomt.
Zichtbaarheid als gemeenschappelijke noemer
Deze zes knelpunten lijken los van elkaar te staan, maar ze delen dezelfde oorzaak: versnipperde zichtbaarheid. Zonder zicht op welke kwetsbaarheden er werkelijk toe doen, welke apparaten toegang hebben, hoe operationele cijfers zich verhouden tot bedrijfsrisico en wat er in de keten gebeurt, valt aantoonbaar in control zijn niet vol te houden. Geen van de beschreven richtingen is een garantie, maar samen verkleinen ze het risico stap voor stap, en ze leveren precies het materiaal op waar een toezichthouder sinds 15 augustus naar kan vragen.
SolidBE ondersteunt Nederlandse organisaties bij het wegwerken van dit soort blinde vlekken, met technologie van Fortinet, Ruckus, HPE Networking, Arista, Cisco en Extreme Networks, en met rapportages die aansluiten op de informatiebehoefte van bestuur en toezicht. Neem contact op om te bespreken welk van deze zes knelpunten in uw organisatie nu het meeste aandacht vraagt.
