Cybersecurity mkb: grip voor directie

Waarom cybersecurity nu op de directietafel ligt

Cybersecurity in het mkb betekent het geheel van technische en organisatorische maatregelen waarmee je de continuïteit van je bedrijfsvoering beschermt tegen digitale incidenten. Het gaat dus niet alleen om het weren van aanvallers, maar net zo goed om de vraag hoe snel je weer draait als er iets misgaat.

Wat er dit jaar veranderd is, is de juridische positie van de directeur. De Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn, is op 15 augustus 2026 in werking getreden. Die wet legt de eindverantwoordelijkheid voor cyberbeveiliging expliciet bij het bestuur. Het bestuur moet de maatregelen goedkeuren, zich actief laten informeren over risico’s en aanspreekbaar zijn op tekortkomingen. Taken beleggen bij een IT-manager of een externe leverancier mag, maar de verantwoordelijkheid schuift niet mee.

Voor veel mkb-directies voelt dat als een vreemde situatie. Je wordt verantwoordelijk gehouden voor iets waar je zelf geen zicht op hebt. En dat is precies waarom het onderwerp niet met een extra tool of licentie op te lossen is. Wat je nodig hebt is overzicht, in een taal die je begrijpt.

De vijf plekken waar het in het mkb structureel misgaat

Het Nationaal Cyber Security Centrum wijst er al jaren op dat verreweg de meeste incidenten hun oorzaak vinden in het ontbreken van digitale basishygiëne. Niet in geavanceerde aanvalstechnieken. In de praktijk zien we bij mkb-organisaties telkens dezelfde vijf gaten terugkomen.

• Onvolledige multifactorauthenticatie. MFA staat aan voor de mail, maar niet voor de VPN, de boekhouding of de beheeraccounts. Precies die uitzonderingen worden gevonden.
• Back-ups die nooit getest zijn. Er wordt netjes een back-up gemaakt. Of die terug te zetten is en hoe lang dat duurt, weet niemand.
• Toegangsrechten die meegroeien. Medewerkers wisselen van functie of vertrekken, maar hun rechten blijven staan. Na een paar jaar heeft de halve organisatie toegang tot alles.
• Achterstallige updates op randapparatuur. Laptops worden bijgewerkt, maar de firewall, de switches en de access points niet.
• Bewustzijn zonder herhaling. Er is ooit een awarenessessie geweest. Sindsdien is er niets gemeten en niets herhaald, terwijl phishing door generatieve AI juist overtuigender is geworden.

Wat opvalt aan dit rijtje: geen van deze punten kost veel geld om op te lossen. Ze kosten aandacht en eigenaarschap. Dat is een organisatorisch probleem, geen technisch probleem.

Security is een vitale functie, geen los product

Bij Solipsis vergelijken we de IT van een organisatie met een lichaam. Security is dan het immuunsysteem. Dat is niet zomaar een beeldspraak. Een immuunsysteem functioneert alleen goed als de rest van het lichaam gezond is, en het valt nooit los te beoordelen.

In de praktijk zie je dat terug. Een werkplek die niet gestandaardiseerd is, is per definitie moeilijker te beveiligen. Een netwerk zonder scheiding tussen gasten en medewerkers maakt elke endpointmaatregel minder effectief. En medewerkers die digitaal onvoldoende vaardig zijn, omzeilen veiligheidsmaatregelen niet uit onwil maar omdat ze hun werk moeten doen.

Daarom kijken we bij een scan naar vijf domeinen tegelijk: de moderne werkplek, adoptie en digitale vaardigheden, beveiligingsdiensten, connectiviteit en telefonie. Wie alleen naar het securitydomein kijkt, meet symptomen in plaats van gezondheid.

Wat de Cyberbeveiligingswet van je vraagt, ook als je er niet onder valt

De kans is groot dat jouw mkb-organisatie niet direct onder de Cyberbeveiligingswet valt. De wet richt zich op organisaties in aangewezen sectoren die bovendien een bepaalde omvang hebben. Toch is “wij vallen er niet onder” het meest kostbare misverstand van dit moment.

De wet bevat namelijk een ketenverplichting. Organisaties die er wel onder vallen, moeten aantoonbaar eisen stellen aan hun leveranciers en toezien op de naleving daarvan. Lever je diensten, onderdelen of software aan zo’n organisatie, dan komt die verplichting via het contract bij jou terecht. In de praktijk betekent dat vragenlijsten, aantoonbaarheidseisen en soms een certificeringseis. Wie daar niet aan kan voldoen, verliest opdrachten.

Praktisch gezien komt het hierop neer. Breng in kaart of je klanten onder de wet vallen. Ga ervan uit dat de vraag naar aantoonbaarheid binnen een jaar bij je op de mat ligt. En zorg dat je dan iets kunt laten zien dat verder gaat dan de mededeling dat het geregeld is.

Van losse maatregelen naar een meetbare score

Het lastige aan cybersecurity is dat succes onzichtbaar is. Als er niets gebeurt, weet je niet of dat komt door goede beveiliging of door geluk. Daardoor is het onderwerp bestuurlijk moeilijk te sturen. Je kunt niet aan een investering zien of die iets heeft opgeleverd.

De oplossing daarvoor is meten. Met de Solipsis IT Scan brengen we de vijf domeinen in kaart en vertalen we dat naar een Digital Health Score: een objectieve score per domein, gebaseerd op concrete metingen, best practices en benchmarks. Daaruit volgt een visuele rapportage en een roadmap met verbetervoorstellen, geordend op impact.

Wat dat oplevert is niet in de eerste plaats meer veiligheid. Het is bestuurbaarheid. Je hebt een nulmeting, je kunt prioriteren op basis van feiten in plaats van op gevoel en je kunt aantonen dat je bewust hebt gestuurd. Dat laatste is precies wat de wetgever van je vraagt.

Je eerste 90 dagen

Je hoeft niet alles tegelijk. Deze vier stappen leveren in een kwartaal het meeste op.

• Maand 1: meten. Voer een nulmeting uit over alle vijf de domeinen. Zonder feitelijk vertrekpunt is elke maatregel een gok.
• Maand 1: eigenaarschap beleggen. Leg schriftelijk vast wie waarvoor verantwoordelijk is, inclusief wat je van externe partijen verwacht.
• Maand 2: de basis dichten. MFA overal, back-upherstel daadwerkelijk testen, toegangsrechten opschonen, updatebeleid over al je apparatuur.
• Maand 3: ritme aanbrengen. Zet cybersecurity als vast punt op de directieagenda, met een kwartaalrapportage die je ook aan een klant of toezichthouder kunt laten zien.

Wat je daarmee bouwt is geen project met een einddatum. Het is een routine, vergelijkbaar met een jaarlijkse gezondheidscontrole. Preventief werkt nu eenmaal beter en goedkoper dan herstellen.