Zeven op de tien Nederlandse organisaties kregen het afgelopen jaar te maken met een cyberincident, maar AI-gerichte dreigingen staan bij hen minder hoog op de agenda dan in andere Europese landen. Nederlandse organisaties richten zich bij hun cybersecurityinvesteringen vooral op training, vaardigheidsontwikkeling en governance, terwijl specifieke voorbereiding op AI-gedreven aanvallen een lagere prioriteit krijgt. Operationele problemen en personeelstekorten bepalen de prioriteiten.
Dit blijkt uit Europees onderzoek van de Zoho Corporation-divisie ManageEngine. AI-gedreven dreigingen staan in Duitsland bovenaan de lijst van grootste cyberrisico’s (45%), gevolgd door het Verenigd Koninkrijk (43%) en Italië (36%). In Nederland noemt slechts 28,5 procent van de organisaties dit als voornaamste zorg, waarmee Nederland aan de onderkant van het Europese spectrum staat.
Directe risico’s domineren de agenda
Voor het komende jaar zien Nederlandse organisaties geavanceerde cyberaanvallen (33,2%), menselijke fouten en lage security-awareness (32,2%) en datalekken (29,5%) als de drie grootste risico’s. AI-gestuurde aanvallen volgen op de vierde plaats. Die rangorde vertaalt zich rechtstreeks naar investeringsbeslissingen: voor de komende twaalf tot vierentwintig maanden krijgen training en vaardigheidsontwikkeling (36,5%) en cybersecurity-governance (30,5%) de meeste aandacht. Voorbereiding op AI en andere opkomende dreigingen eindigt ook hier als vierde prioriteit, met 26,5 procent.
Volgens ManageEngine weerspiegelt dit dat organisaties AI beschouwen als onderdeel van een breder risicolandschap, maar vooralsnog de voorkeur geven aan het aanpakken van actuele operationele uitdagingen.
Operationele belemmeringen verklaren de focus
Structurele problemen spelen hierbij een rol. Een tekort aan gekwalificeerd personeel (37%), vaardigheidskloven door snel veranderende dreigingen (32,2%), niet-geïntegreerde beveiligingstools (31%) en handmatige processen (29,5%) leggen beslag op capaciteit en aandacht. Van de 70 procent van de organisaties die het afgelopen jaar een incident meemaakten, kreeg bijna de helft te maken met phishing en social engineering (46%), gevolgd door malware en ransomware (43,4%) en datalekken (38%).
Regional Business Director Benelux Sabarishwaran Jay van ManageEngine stelt dat AI geen toekomstonderwerp meer is, maar nu al de manier verandert waarop aanvallen worden voorbereid, opgeschaald en aangepast. Organisaties hebben volgens Jay nog tijd om bij te sturen, maar moeten daarvoor inzetten op meer zichtbaarheid, snellere detectie, striktere identity-controls en betere voorbereiding op opkomende dreigingen.
Governance nog overwegend reactief
Op governancevlak constateert het onderzoek dat de betrokkenheid van bestuurders en directie bij cybersecurity bij bijna de helft van de organisaties (49,5%) pas toeneemt tijdens een crisis. Minder dan één op de vijf organisaties (19%) meldt structurele en voortdurende betrokkenheid van het leiderschap.
Stevige basis aanwezig
Het onderzoek laat ook positieve ontwikkelingen zien. Meer dan zes op de tien organisaties (61,3%) beschikken al over een formele methodologie voor cyberweerbaarheid en een derde is er nog een aan het ontwikkelen. Bijna de helft (48%) beoordeelt de eigen weerbaarheid vaker dan eenmaal per jaar en 94 procent voert na een incident een formele evaluatie uit.
Praveen Das, Regional Technical Head Europe bij ManageEngine, geeft aan dat de uitdaging voor Nederlandse organisaties niet ligt in bewustzijn of ambitie, maar in uitvoering: het terugdringen van complexiteit, betere samenwerking tussen teams en het bijhouden van een steeds verder geautomatiseerd dreigingslandschap, inclusief dreigingen die AI mogelijk maakt.
