De antwoorden op drie vragen bepalen of de cybersecurity basis van je organisatie op orde is: welke systemen hangen aan het internet, wie ontvangt een beveiligingsmelding en hoe snel staat een kritieke patch live? Ze zijn in een minuut gesteld. Maar eerlijk is eerlijk, een antwoord op deze “simpele” vragen kost in de meeste organisaties dagen, soms weken, en levert vrijwel altijd verrassingen op.
De aanleiding voor dit artikel is dat het kabinet wil dat het NCSC organisaties vaker en actiever gaat waarschuwen. In het nieuwe actieprogramma voor digitale weerbaarheid staat een plan voor een eigen scanplatform waarmee het NCSC kwetsbaarheden bij Nederlandse organisaties opspoort. Hetzelfde programma stelt vast dat het Cybersecuritybeeld Nederland 2026 opnieuw laat zien dat niet alle organisaties hun basismaatregelen hebben doorgevoerd. Een waarschuwing van het NCSC heeft pas zin als iemand er iets mee doet. Daar ontbreekt het juist aan omdat bedrijven niet precies weten waar te beginnen…
En dat zetten we nu even op een rijtje aan de hand van deze drie “simpele”vragen. Met een goed antwoord op de drie vragen ben je ook nog niet klaar. Je hebt dan wel het vertrekpunt waar de rest van je beveiliging op leunen kan.
Een melding van het NCSC helpt alleen als je weet welke systemen aan het internet hangen, wie de melding ontvangt en hoe snel een kritieke patch live kan. Dit artikel laat zien hoe je die drie dingen zelf regelt: van een actuele inventaris en een vaste route voor beveiligingsmeldingen tot een patchproces dat ook op vrijdagmiddag werkt. Met concrete stappen voor organisaties met een eigen IT-afdeling en voor kleinere bedrijven die leunen op een externe beheerder.
Weet je welke systemen van je organisatie aan het internet hangen
Vraag een beheerder hoeveel apparaten er in het netwerk zitten en je krijgt een getal. Draai daarna een discovery-scan en het getal is bijna altijd hoger. In ons artikel over wat vulnerability management een organisatie oplevert en welke wetgeving je ermee afdekt staan voorbeelden die we in de praktijk vaak tegenkomen. Een oude NAS bij facilitair. Een testomgeving die een leverancier ooit heeft opgezet en die nog steeds een publiek IP-adres heeft. De managementinterface van een switch die nooit naar het beheer-VLAN is verhuisd. Niemand heeft daar kwaad mee bedoeld, het is gewoon zo gegroeid. Een aanvaller die het internet afscant, vindt die apparaten wel.
Zo’n inventaris hoeft niet perfect te zijn om bruikbaar te wezen. Een lijst met systemen, eigenaar, softwareversie en bereikbaarheid vanaf internet is al een enorme stap. De lijst met systemen die je vandaag hebt zijn morgen alleen alweer verouderd, en daarom werkt een eenmalige Excel-export slecht.
Begin bij alles wat vanaf buiten bereikbaar is
Firewalls, VPN-gateways, mailservers, webapplicaties en remote access-oplossingen zijn de eerste plekken waar een aanvaller aanklopt. Een externe scan laat zien welke IP-adressen actief zijn, welke diensten erop draaien en of daar bekende kwetsbaarheden in zitten. Met de Security Scan van SolidBE doen we precies dat met Tenable, zowel voor het externe domein als voor het interne netwerk en cloudomgevingen. Vergeet de cloud niet. Een opslagbucket met te ruime rechten of een beheerportaal dat open staat, valt buiten het zicht van wie alleen naar het eigen datacenter kijkt.
Wil je doorlopend zicht in plaats van een momentopname, dan houdt een vulnerability management-platform de inventaris automatisch bij via netwerkscans, agents op laptops en servers en koppelingen met cloudproviders. Nieuwe apparaten verschijnen dan vanzelf in het overzicht.
Wie in je organisatie ontvangt een beveiligingsmelding van het NCSC
Hier gaat het in de praktijk het vaakst mis, en het heeft weinig met techniek te maken. Een beveiligingsadvies kan via allerlei routes binnenkomen. Het NCSC publiceert beveiligingsadviezen, leveranciers als Fortinet, Microsoft en Cisco hebben eigen advisories, het DIVD meldt soms rechtstreeks kwetsbare systemen en je IT-dienstverlener stuurt misschien ook nog een bericht. Als al die meldingen in persoonlijke mailboxen terechtkomen, hangt de opvolging af van wie toevallig aanwezig is.
Leg daarom vast wie eigenaar is van beveiligingsmeldingen, wie de vervanger is en via welk adres meldingen binnenkomen. Een gedeelde mailbox die door minimaal twee mensen wordt gelezen, werkt beter dan het adres van één beheerder. Spreek ook af wie mag beslissen dat een systeem buiten het onderhoudsvenster wordt gepatcht of tijdelijk offline gaat. Dat besluit moet op een dinsdagavond om tien uur ook genomen kunnen worden, zonder dat iemand eerst drie managers moet bellen.
Op onze pagina met security update feeds halen we de actuele beveiligingsadviezen van het NCSC en de advisories van het DIVD op één plek binnen. Handig om dagelijks even langs te lopen, maar het blijft een handmatige stap. Organisaties die meldingen niet zelf willen bewaken, kunnen dat onderbrengen bij een SOC. Bij SOC Essential analyseert ons SOC-team de logmeldingen 24 uur per dag en alarmeert het de klant wanneer er een echte dreiging is, met advies over de tegenmaatregelen.
Hoe snel kan een kritieke patch bij jou live
Dit is de vraag die het meest zegt over de staat van je basisbeveiliging, en tegelijk de vraag waar de minste organisaties een eerlijk antwoord op hebben. Het kabinet schrijft in het actieprogramma dat de tijd die organisaties hebben om te patchen afneemt, onder meer doordat aanvallers AI inzetten. De stroom aan updates is ook flink. Microsoft verhielp tijdens de Patch Tuesday van oktober 2026 ruim 1.400 kwetsbaarheden in één keer.
Meet daarom de doorlooptijd van één kritieke patch, van het moment dat het advies verschijnt tot het moment dat de update draait en gecontroleerd is. Kijk waar de tijd blijft zitten. Vaak is dat niet het installeren zelf. Het zit in het zoeken naar wie het systeem beheert, het wachten op een onderhoudsvenster of een applicatie-eigenaar die geen herstart wil. Ik zou als organisatie eerst die doorlooptijd meten voordat je geld uitgeeft aan een nieuwe securitytool, want het getal laat direct zien of je proces werkt.
Een paar praktische afspraken maken veel verschil. Maak een back-up van de configuratie vóór elke firmware-update, zodat terugdraaien een kwestie van minuten is. Leg een noodprocedure vast voor patches die niet kunnen wachten tot het reguliere venster. Controleer na de update of de kwetsbaarheid echt verholpen is, want een geïnstalleerde patch die een herstart vereist en die nooit kreeg, telt niet. Binnen SolidControl verzorgen we die periodieke back-ups van configuraties, houden we de netwerkdocumentatie actueel en voeren we kritieke updates en patches door, afhankelijk van het serviceniveau ook buiten kantoortijd.
Prioriteren op actief misbruik met KEV, EPSS en VPR
Niet elk lek verdient dezelfde haast. Een kritieke kwetsbaarheid op een internetgerichte VPN-gateway weegt zwaarder als hetzelfde lek op een geïsoleerd testsysteem. Kijk naast de CVSS-score naar de Known Exploited Vulnerabilities-catalogus van CISA, die bijhoudt welke lekken actief worden misbruikt, en naar de EPSS-score voor de kans op misbruik. Tenable rekent met de Vulnerability Priority Rating dagelijks een eigen score uit op basis van onder meer beschikbare exploitcode en activiteit in het criminele circuit. Zo houd je een korte lijst over waar een klein beheerteam ook echt doorheen komt.
Wat kleinere bedrijven zonder securityteam zelf kunnen regelen
Een bedrijf met twintig medewerkers heeft geen CISO en meestal ook geen beheerder in dienst. Toch gelden dezelfde drie vragen. Het verschil is dat het antwoord vaak bij de IT-dienstverlener ligt, en daar wringt het soms. Lees je contract er eens op na. Staat erin wie beveiligingsadviezen bewaakt, hoe snel kritieke patches worden doorgevoerd en of jij bericht krijgt wanneer er iets speelt? Als dat nergens staat, is de kans groot dat iedereen denkt dat de ander het regelt.
Het actieprogramma noemt IT-dienstverleners met reden als eerste aanspreekpunt van het mkb bij incidenten. Binnen het Cyberweerbaarheidsnetwerk komt een centraal punt voor mkb’ers met informatie, handelingskaders en oefenformats, en IT-dienstverleners worden daar ook bij betrokken. Het NCSC en het voormalige Digital Trust Center hebben al een gezamenlijke set basisprincipes gepubliceerd, die volgens het actieprogramma wordt getoetst aan het huidige dreigingsbeeld en waar nodig wordt bijgewerkt. De eerste daarvan is je risico’s in kaart brengen, en dat sluit precies aan op de inventaris waarmee dit artikel begon.
Volgens mij kan een seintje van het NCSC voor juist deze groep het verschil maken tussen een tijdige patch en een ransomware-incident, mits er afgesproken is wie het oppakt. Wie eerst een onafhankelijk beeld wil van de huidige stand van het netwerk, kan beginnen met een Network Health Check. Daarin brengen we knelpunten in kaart en adviseren we waar je het eerst iets aan moet doen.
Drie vragen voor je volgende overleg
Organisaties die de basis op orde heeft, merken dat aan de rust bij een nieuw beveiligingsadvies. Iemand ziet de melding, kijkt binnen een kwartier of het eigen netwerk geraakt is en plant de update in. Geen paniek, geen zoektocht. Leg de drie vragen uit de eerste alinea eens voor aan je team, zonder vooraf iets op te zoeken. Hoe lang duurt het voordat iemand weet of die ene VPN-gateway eigenlijk van jullie is?
