Cobelens waarschuwt voor digitale ontwrichting: wat u nu als vitale organisatie moet vastleggen

Digitale weerbaarheid is een governance-taak voor uw organisatie, niet alleen voor defensie. U moet uw afhankelijkheid van internetknooppunten, datacenters en cloudplatforms in kaart brengen, een systematische risicoanalyse uitvoeren en zich voorbereiden op de Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 van kracht wordt voor duizenden organisaties die nog niet klaar zijn.

De aanleiding is een analyse van 14 september 2026 van digitale weerbaarheid als gedeelde verantwoordelijkheid, die betoogt dat moderne conflicten niet met een militaire actie beginnen maar met een storing in kritieke digitale infrastructuur. Nederland is door zijn sterk gedigitaliseerde economie bijzonder kwetsbaar omdat de economie op één fundament rust: internetknooppunten, hyperscale-datacenters, logistieke ketens, financiële diensten en cloudplatforms. In onze inschatting is de kern van deze waarschuwing niet de dreiging zelf, maar de vraag welke controles u per werkproces kunt aantonen en welk bewijs daarvan bestaat.

Welke dreigingen verschuiven van spionage naar sabotage?

De Nederlandse communicatie-infrastructuur is van hoge kwaliteit, maar de weerbaarheid staat onder toenemende druk. Inlichtingendiensten zien de aard van de dreiging verschuiven van pure spionage naar actieve voorbereiding op sabotage van kritieke infrastructuur. Deze verschuiving is geen losse mening maar onderbouwd in het Cybersecuritybeeld Nederland 2025 van NCTV, AIVD en MIVD.

De dreiging wordt complexer door geopolitieke spanningen en snelle vooruitgang in generatieve AI. Aanvallen zijn niet langer geïsoleerd maar steeds meer met elkaar verweven. Dit betekent dat u niet alleen traditionele cyberrisico's moet adresseren, maar ook ongeautoriseerd AI-gebruik binnen uw organisatie moet beheersen.

Welke organisaties moeten zich nu voorbereiden op de Cyberbeveiligingswet?

De Cyberbeveiligingswet is de Nederlandse implementatie van de NIS2-richtlijn en treedt naar verwachting in het tweede kwartaal van 2026 in werking. De wet verplicht een veel bredere groep organisaties tot een systematische risicoanalyse en tot zwaardere beveiligingsmaatregelen dan voorheen.

Kort voor de invoering hadden ongeveer 4.144 organisaties zich geregistreerd of stonden zij als aangesloten geregistreerd, terwijl naar schatting 8.000 tot 10.000 organisaties onder de wet vallen. Dit gat wijst erop dat een aanzienlijk deel van de vitale organisaties nog niet is voorbereid op de verplichte risicoanalyse en beveiligingseisen.

Welke risico's moet u per werkstroom in kaart brengen?

• Ongeautoriseerd AI-gebruik — generatieve AI die zonder toestemming in werkprocessen is ingebracht en waarvan de impact onbekend is.
• Schijnveiligheid — organisaties die denken beschermd te zijn maar aanvallen niet kunnen detecteren of onderzoeken.
• Verborgen afhankelijkheden — kritieke processen die onzichtbaar afhankelijk zijn van externe cloudplatforms, datacenters of internetknooppunten.
• Onvoldoende logging — werkstromen waarvan geen audit trail bestaat van uitgevoerde controles, risicoanalyses of incidentafhandeling.
• Geopolitieke sabotage — voorbereiding op actieve verstoring van kritieke infrastructuur door statelijke actoren.

Welke controles moet u per werkstroom kunnen aantonen?

1. Documenteer welke systemen en AI-componenten in elke werkstroom actief zijn — zet vast welk model, welke data en welke controles per proces doorlopen worden.
2. Voer een systematische risicoanalyse uit en leg deze vast — analyseer per werkstroom welke bedreigingen relevant zijn en welke maatregelen u hebt genomen.
3. Bewaar logs van alle uitgevoerde controles en incidentafhandeling — zorg dat u kunt aantonen welke stappen zijn genomen en wanneer.
4. Breng uw afhankelijkheden in kaart — documenteer welke internetknooppunten, datacenters en cloudplatforms kritiek zijn voor uw operatie.
5. Zorg dat persoonsgegevens onder AVG-controle blijven — waar persoonsgegevens in de keten komen, gelden de eisen uit de Algemene Verordening Gegevensbescherming onverkort.

Hoe bouwt u het bewijs op dat u compliant bent?

Het antwoord op schijnveiligheid is niet meer techniek alleen, maar bewijs. U wilt per werkstroom kunnen tonen welke systemen, AI-componenten en controles actief waren, welke logs bestaan van uitgevoerde risicoanalyses en incidentafhandeling, en hoe dat aansluit op de verwachtingen uit het Cybersecuritybeeld Nederland en de Cyberbeveiligingswet.

Een verificatielaag kan hierbij ondersteuning bieden door de digitale-beveiligingshouding per werkstroom zichtbaar te maken: welke stappen, modellen en controles zijn doorlopen en welk bewijs daarvan bestaat. Dergelijke gereedschappen vervangen de beveiliging niet en nemen het eindoordeel niet over; zij maken controle mogelijk en laten het eindoordeel bij u. De verplichte maatregelen, de risicoanalyse en de detectiecapaciteit blijft u zelf inrichten.

Tooling kan u helpen bewijs te verzamelen en werkstromen zichtbaar te maken, maar het eindoordeel over risico, naleving en incidentafhandeling blijft uw professionele verantwoordelijkheid. Geen systeem kan u ontheffen van de plicht om te kunnen aantonen dat u de Cyberbeveiligingswet naleeft en dat u uw digitale weerbaarheid hebt getoetst.