Achttien procent van de Nederlandse werknemers krijgt pas uitleg over security nadat er iets is misgegaan. Ruim zes op de tien werkenden (62 procent) maakte op het werk al eens een noemenswaardig IT-incident mee. Daarnaast deelt bijna 40 procent wachtwoorden met collega’s, blijkt uit onderzoek onder ruim duizend werknemers.
Het onderzoek, de IT-Indicator 2026, is uitgevoerd door IT-dienstverlener Aces Direct onder 1.018 werkende Nederlanders bij organisaties met 250 tot 1.200 medewerkers. Behalve het moment waarop werknemers voorlichting over security krijgen, brengt het onderzoek ook in kaart welke incidenten zich voordoen, hoe er met wachtwoorden wordt omgegaan en hoeveel tijd verloren gaat aan IT-problemen.
Storingen, phishing en datalekken
Van de werknemers die al eens een IT-incident meemaakten, gaat het vaak om systemen die tijdelijk platliggen door een storing of cyberincident. Dat overkwam 21 procent van de respondenten. Zeventien procent zag een collega op een phishingmail klikken en elf procent kreeg te maken met een datalek.
Aces Direct legt een verband tussen de frequentie van incidenten en het moment waarop organisaties security ter sprake brengen. Volgens het bedrijf is security voor een aanzienlijk deel van de werkvloer geen instructie vooraf, maar een correctie achteraf.
Wachtwoorden gedeeld en zwak ingesteld
Dat zie je volgens de onderzoekers terug in de dagelijkse praktijk. Bijna twee op de vijf werknemers (38 procent) deelt wachtwoorden met collega’s. Zes procent houdt een document bij waarin alle wachtwoorden bij elkaar staan.
Ook bij de start van een dienstverband gaat het lang niet altijd goed. Elf procent kreeg bij indiensttreding een eenvoudig wachtwoord, zoals ‘Welkom2026!’. Slechts twintig procent geeft aan dat de wachtwoorden die de IT-afdeling aanmaakte, werden ondersteund door tweefactorauthenticatie.
Zeventien uur per maand aan IT-problemen
Naast de securityrisico’s kijkt het onderzoek naar productiviteit. Werknemers zijn gemiddeld zeventien uur per maand kwijt aan het oplossen van technische storingen of problemen met IT-apparatuur, bedrijfssoftware of applicaties. Omgerekend komt dat neer op ruim twee werkdagen per maand.
Aces Direct stelt dat die tijd niet opgaat aan grote incidenten. Het gaat volgens het bedrijf om de optelsom van kleine haperingen die nergens als incident worden geregistreerd en daardoor ook niet op een begroting terugkomen.
Gemak wint het van bewustwording
Sven van Boxtel, CEO van Aces Direct, geeft aan dat het optreden van incidenten op zich geen verrassing is. Hem valt vooral op dat security bij veel werknemers pas op de agenda komt nadat er iets is gebeurd.
Volgens Van Boxtel lost bewustwording alleen het probleem niet op. Zolang een gedeeld wachtwoord de makkelijkste route is en tweefactorauthenticatie niet standaard aanstaat, kiezen medewerkers voor gemak. Hij benadrukt dat werknemers daarmee niet onzorgvuldig zijn, maar doen wat hun omgeving toelaat. Van Boxtel ziet de oplossing in een combinatie van techniek die de veilige route ook de makkelijkste maakt en uitleg op de eerste werkdag in plaats van na het eerste incident.
Het volledige rapport is te lezen via IT-Indicator 2026.
