Je denkt waarschijnlijk dat je bedrijf aardig op orde is als het om cyberveiligheid gaat. Een wachtwoordmanager hier, een paar updates daar, misschien een virusscanner die trouw op de achtergrond draait. Toch blijkt uit onderzoek van Cisco dat precies dat gevoel het grootste probleem is. Nederlandse mkb-bedrijven voelen zich veiliger dan ze zijn, en dat verschil kan je duur komen te staan.
Het gat tussen gevoel en werkelijkheid
De Cybersecurity Readiness Index 2025 van Cisco, gepubliceerd eind 2025, verdeelt bedrijven in vier niveaus: beginner, formative, progressive en mature. Van de Nederlandse mkb-bedrijven met 10 tot 250 medewerkers zit 16 procent nog op het beginnersniveau. 74 procent heeft weliswaar wat maatregelen genomen, maar scoort op belangrijke onderdelen nog onvoldoende. Slechts 10 procent presteert bovengemiddeld. Geen enkel Nederlands mkb-bedrijf haalt het hoogste niveau, tegenover 5 procent van de grote bedrijven.
Ondertussen denkt 45 procent van de ondervraagde mkb'ers dat hun huidige IT-infrastructuur voldoende bescherming biedt tegen toekomstige aanvallen. Dat is bijna de helft, terwijl de cijfers hierboven iets heel anders laten zien. Negen van de tien Nederlandse mkb-bedrijven lopen volgens het onderzoek aanzienlijke cyberrisico's. "Dit onderzoek weerspiegelt een vals gevoel van veiligheid bij Nederlandse mkb'ers", zegt Jan Heijdra, Field CTO Security bij Cisco Nederland.
Waarom je zo'n vals gevoel van veiligheid krijgt
Dat gevoel komt niet uit de lucht vallen. Een derde van de ondervraagde mkb-eigenaren acht het onwaarschijnlijk dat hun bedrijf binnen twee jaar door een cyberaanval wordt stilgelegd. Veel ondernemers redeneren dat ze te klein zijn om interessant te zijn voor criminelen. In de praktijk werkt het juist andersom: kleinere bedrijven zijn een aantrekkelijk doelwit, omdat hun beveiliging vaak minder streng is dan bij grote organisaties en de slaagkans voor een aanvaller daardoor hoger ligt.
Budgetten groeien bovendien amper mee met het dreigingsbeeld. Slechts 22 procent van het mkb verhoogde het cybersecuritybudget de afgelopen twee jaar, terwijl 7 procent het juist verlaagde. Bij grote bedrijven verhoogde 32 procent het budget en kromp het bij maar 1 procent. Je ziet een duidelijk patroon: hoe groter het bedrijf, hoe serieuzer de investering, en hoe kleiner het bedrijf, hoe groter de kans dat niemand er echt naar kijkt.
Wil je weten hoe streng de regels voor jouw sector eigenlijk zijn? deze cyberwet raakt ook mkb-bedrijven die zelf niet in de wet vallen, puur omdat ze toeleveren aan bedrijven die er wel onder vallen.
Wat een cyberaanval je eigenlijk kost
Een derde van het Nederlandse mkb was het afgelopen jaar slachtoffer van een cyberaanval, tegenover 47 procent van de grote bedrijven. Dat verschil lijkt gunstig voor kleinere bedrijven, maar de impact van een aanval is voor hen vaak groter. Een mkb-bedrijf heeft doorgaans geen IT-afdeling die een incident binnen een paar uur isoleert, geen reserve om een week stilstand op te vangen, en geen tweede systeem om op terug te vallen terwijl het eerste wordt schoongemaakt.
46 procent van het mkb gebruikt tussen de 11 en 40 verschillende beveiligingsoplossingen naast elkaar, en 6 procent gebruikt er zelfs tot 60. Dat klinkt misschien grondig, maar 67 procent van de ondervraagden ervaart die versnippering juist als een probleem. Te veel losse tools zonder overzicht betekent vaak dat niemand meer precies weet wat waar draait, en daar glippen aanvallers doorheen.
Benieuwd of jouw systemen echt standhouden, in plaats van dat je het aanneemt? een pentest laat zien waar de zwakke plekken in jouw netwerk zitten, voordat een aanvaller ze vindt.
Wat de wet dit jaar al van je verwacht
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, die bedrijven in bepaalde sectoren verplicht om incidenten binnen 24 uur te melden. De rijksoverheid roept ondernemers op om zelf te onderzoeken of hun bedrijf onder deze wet valt, want dat is niet voor elk mkb-bedrijf vooraf duidelijk. Val je er niet direct onder, dan kan je via een klant of leverancier die wel onder de wet valt, alsnog verplichtingen krijgen opgelegd.
Juist omdat het beginnersniveau in het onderzoek zo veel voorkomt, lonen basismaatregelen het meest. Denk aan een actuele back-up die los staat van je dagelijkse netwerk, multifactorauthenticatie op al je zakelijke accounts, en een vast proces voor wie welke toegang heeft. Geen dure oplossing, wel een die het verschil maakt tussen een vervelend incident en een week stilstand.
Vijf stappen die je dit kwartaal nog zet
- Vraag een cybersubsidie aan voordat het budget op is. de SLIM- en cybersubsidies voor mkb zijn vaak binnen een paar weken uitgeput, dus wachten kost je geld dat er wel was.
- Zet multifactorauthenticatie aan op e-mail, boekhouding en elk account met klantgegevens.
- Maak een back-up die niet permanent verbonden is met je netwerk, zodat ransomware die niet ook kan vergrendelen.
- Vergelijk je eigen aanpak met de basismaatregelen van het Nationaal Cyber Security Centrum en kijk waar je nog gaten hebt.
- Laat je sterkste schakel geen toeval zijn. Spreek met je team af wie verdachte mails meldt, en bij wie.
Het gaat er niet om dat je morgen een compleet beveiligingsteam optuigt. Het gaat erom dat je het gat dicht tussen hoe veilig je je voelt en hoe veilig je echt bent, voordat iemand anders je daarop wijst.