Iedere organisatie wordt vroeg of laat geaudit. De enige vraag is: doe je dat zelf, of doen cybercriminelen het voor je?
Veel organisaties denken dat het wel goed zit zolang er geen alarmbellen afgaan. Geen incidenten, geen meldingen vanuit de beveiligingssoftware, dus geen probleem. Maar juist die gedachte is één van de grootste risico's binnen cybersecurity.
De valkuil van de normalcy bias
Psychologen noemen dit de normalcy bias: de menselijke neiging om te geloven dat alles blijft zoals het is, zelfs wanneer de signalen op het tegendeel wijzen. We onderschatten risico's, omdat er nog niets ernstigs is gebeurd.
In cybersecurity vertaalt zich dat naar een gevaarlijke aanname: als er geen waarschuwingen zijn, zal de beveiliging wel op orde zijn. Of erger nog: organisaties zien het uitblijven van een incident als bewijs dat ze veilig zijn. Dat is een misvatting. Stilte betekent niet automatisch veiligheid.
Ondertussen nemen cyberaanvallen juist toe. Volgens de NCSC Annual Review 2025 steeg het aantal nationaal significante cyberincidenten met 130% ten opzichte van het jaar ervoor. Van de 429 geregistreerde incidenten werden er 18 als 'zeer significant' geclassificeerd, een stijging van 50%. Cyberaanvallen worden dus niet alleen talrijker, maar ook impactvoller.
Zijn de lessen echt geleerd?
Na een groot cyberincident klinkt steevast dezelfde boodschap: "We hebben onze lessen geleerd."
Maar als het aantal ernstige incidenten blijft stijgen, is het de vraag hoeveel organisaties hun aanpak daadwerkelijk veranderen. Echte lessen zie je namelijk niet terug in persverklaringen, maar in concrete maatregelen. Denk aan:
- hogere investeringen in cybersecurity;
- betere logging en monitoring;
- strengere controle van leveranciers;
- regelmatig testen van de weerbaarheid;
- meer aandacht voor awareness en training;
- een duidelijk herstelplan voor incidenten.
Pas wanneer organisaties hun werkwijze structureel aanpassen vóórdat een aanval plaatsvindt, is er werkelijk sprake van leren.
Niet weten is geen bewijs
Veel organisaties verkeren in een comfortabele onzekerheid: "Wij zijn niet gehackt."
Maar klopt dat wel?
Zolang logbestanden niet actief worden onderzocht en er niet actief wordt gezocht naar compromittering, is die conclusie vooral gebaseerd op het ontbreken van bewijs. Anders gezegd: als niemand kijkt, weet niemand wat er werkelijk speelt. Cybercriminelen profiteren juist van deze blinde vlek.
Cybercriminelen voeren de audit graag uit
Iedere organisatie heeft uiteindelijk twee keuzes.
De eerste is om zichzelf kritisch te blijven toetsen. Door regelmatig penetratietesten uit te voeren, red- en blue-team-oefeningen te organiseren, het dreigingslandschap opnieuw te beoordelen en beveiligingsmaatregelen continu te verbeteren.
De tweede optie is niets doen. In dat geval voeren cybercriminelen de audit uit. Alleen ontvang je achteraf de rekening. Want een aanval laat feilloos zien waar het verschil zit tussen wat een organisatie dénkt dat haar beveiligingsniveau is en wat de werkelijkheid blijkt te zijn. Die audit is meestal aanzienlijk duurder dan een preventieve investering.
De dreiging staat nooit stil
Dat cybercriminelen steeds professioneler opereren, blijkt ook uit de hoeveelheid dreigingsinformatie die dagelijks wordt verwerkt.
De threat intelligence-processen van ESET verwerken iedere dag ruim 750.000 verdachte bestanden, analyseren 2,5 miljard URL's en blokkeren daarvan ongeveer 500.000. Het laat zien hoe continu en grootschalig cyberdreigingen zich ontwikkelen.
Ook consumenten voelen de impact van datalekken. Uit onderzoek van ESET onder 2.000 consumenten blijkt dat 46% aangeeft na een datalek meer dan vijf maanden nodig te hebben om het vertrouwen in een getroffen organisatie terug te winnen. Dat maakt duidelijk dat de schade van een cyberincident veel verder reikt dan alleen de directe financiële kosten.
De spelregels zijn veranderd
Het dreigingslandschap van vandaag is fundamenteel anders dan dat van enkele jaren geleden. Organisaties hebben inmiddels te maken met onder meer:
- AI-gedreven fraude en geautomatiseerde aanvallen;
- de voortdurende geopolitieke spanningen;
- deepfakes en steeds geavanceerdere social engineering;
- phishing die onverminderd de belangrijkste aanvalsvector blijft;
- een groeiend tekort aan cybersecurityspecialisten;
- steeds complexere beveiligingsoplossingen.
Cybercriminelen maken bovendien steeds vaker gebruik van AI om kwetsbaarheden sneller te vinden en aanvallen op grote schaal uit te voeren. Niet omdat de aanvallen per se slimmer worden, maar omdat ze efficiënter en massaler kunnen opereren.
Daarom verschuift de markt ook richting diensten als MDR, XDR en MXDR, waarbij organisaties continu worden gemonitord en bedreigingen actief worden opgespoord.
Wacht niet tot de realiteit je inhaalt
Opvallend genoeg krijgt cybersecurity in veel organisaties pas écht aandacht nadat er een kostbaar incident heeft plaatsgevonden. Pas wanneer de normale gang van zaken abrupt wordt verstoord, ontstaat urgentie.
En dat is de valkuil van de normalcy bias.
Cybercriminelen werken dag en nacht door en beschikken steeds vaker over AI-ondersteuning. Zij wachten niet op het volgende kwartaal of de volgende budgetronde.
Daarom is het verstandig om regelmatig kritisch naar de eigen cyberweerbaarheid te kijken. Investeer in periodieke audits, penetratietesten, security awareness en moderne 24/7 MDR- of MXDR-diensten. Niet omdat er vandaag een incident is, maar juist om te voorkomen dat de volgende audit wordt uitgevoerd door een aanvaller.