Spyware, adware en trojans uitgelegd

Geplaatst op: 3 september 2026

Spyware, adware en trojans zijn drie verschillende soorten malware die elk op hun eigen manier schade aanrichten. Spyware verzamelt heimelijk gegevens, adware bombardeert je met ongewenste advertenties, en een trojan vermomt zich als legitieme software om toegang te krijgen tot je systeem. Wat ze gemeen hebben: ze zijn allemaal gevaarlijk voor de digitale veiligheid van je organisatie. In dit artikel beantwoorden we de meest gestelde vragen over deze malwaresoorten, zodat je weet waar je op moet letten en hoe je jezelf beschermt.

Wat is het verschil tussen spyware, adware en trojans?

Het belangrijkste verschil zit in het doel van de aanval. Spyware is ontworpen om informatie te stelen zonder dat je het merkt. Adware is gericht op het tonen van advertenties, vaak als verdienmodel voor de aanvaller. Een trojan is een vermomd programma dat toegang verschaft tot je systeem, waarna aanvallers vrijwel alles kunnen doen. Alle drie vallen ze onder de bredere categorie malware soorten.

Hoewel ze soms tegelijk voorkomen, zijn de drie soorten fundamenteel anders in opzet:

• Spyware opereert onzichtbaar op de achtergrond en stuurt gevoelige informatie zoals wachtwoorden, toetsaanslagen of browsergedrag door naar een externe partij.
• Adware is niet altijd kwaadaardig in de klassieke zin, maar kan je systeem vertragen, je browsegedrag volgen en je blootstellen aan gevaarlijke advertenties die op hun beurt malware verspreiden.
• Trojans (of trojaanse paarden) doen zich voor als nuttige software, zoals een gratis tool of een e-mailbijlage, maar bevatten verborgen kwaadaardige code. Ze openen vaak een achterdeur voor verdere aanvallen.

De grenzen tussen deze categorieën zijn soms vaag. Een trojan kan spyware meebrengen, en adware kan spywarefunctionaliteit bevatten. Dat maakt het extra lastig om infecties te herkennen en te verwijderen.

Hoe werkt spyware en wat doet het met je gegevens?

Spyware installeert zich stil op je apparaat, vaak zonder enige zichtbare melding, en begint vervolgens met het verzamelen van gegevens. Dit kunnen inloggegevens zijn, financiële informatie, e-mailinhoud of zelfs screenshots. Die gegevens worden doorgestuurd naar een externe server die onder controle staat van de aanvaller.

Er zijn meerdere varianten van spyware, elk met een specifieke aanvalsmethode:

• Keyloggers registreren elke toetsaanslag die je maakt, inclusief wachtwoorden en creditcardnummers.
• Screen recorders maken periodiek schermopnames of volgen je muisbewegingen.
• Browser hijackers passen je browserinstellingen aan en registreren je zoekgedrag en bezochte websites.
• Credential stealers halen opgeslagen wachtwoorden op uit je browser of andere applicaties.

Voor organisaties is spyware bijzonder gevaarlijk omdat het lang onopgemerkt kan blijven. Een medewerker die maandenlang bespioneerd wordt, kan onbewust toegang geven tot gevoelige bedrijfsinformatie, klantgegevens of systemen. De schade is dan al aanzienlijk voordat er ook maar iemand alarm slaat.

Hoe verspreidt een trojan zich en waarom is het gevaarlijk?

Een trojan verspreidt zich door zich voor te doen als iets onschuldigs of nuttigs. Denk aan een e-mailbijlage die eruitziet als een factuur, een gratis downloadbare tool of een nep-update voor populaire software. Zodra de gebruiker het bestand opent of installeert, wordt de kwaadaardige code actief. Dat maakt trojans zo effectief: ze misbruiken menselijk vertrouwen in plaats van technische kwetsbaarheden.

Wat een trojan gevaarlijk maakt, is de breedte van wat hij kan doen nadat hij actief is:

• Een Remote Access Trojan (RAT) geeft aanvallers volledige controle over het besmette apparaat op afstand.
• Een Downloader Trojan haalt aanvullende malware op, zoals ransomware of spyware.
• Een Banking Trojan is specifiek gericht op het onderscheppen van bankgegevens en transacties.
• Een Backdoor Trojan creëert een permanente toegangspoort voor toekomstige aanvallen, ook nadat de initiële infectie is opgeruimd.

Organisaties zijn extra kwetsbaar voor trojans omdat medewerkers dagelijks e-mails openen, bestanden downloaden en software installeren. Eén klik van één medewerker kan voldoende zijn om een heel netwerk te compromitteren. Daarmee is de menselijke factor bij trojans net zo belangrijk als de technische kant. Een gerichte penetratietest kan blootleggen via welke kanalen aanvallers binnen kunnen komen.

Hoe herken je een infectie met adware, spyware of een trojan?

Een infectie met adware, spyware of een trojan gaat zelden gepaard met een duidelijk signaal. Toch zijn er veelvoorkomende symptomen die kunnen wijzen op een besmetting. Denk aan een plotseling trager apparaat, onverklaarbaar hoog dataverbruik, onbekende programma’s in je taakbeheer of advertenties die verschijnen op plekken waar ze niet horen.

Signalen van adware

Adware is relatief eenvoudig te herkennen: je browser opent plotseling nieuwe tabbladen, er verschijnen pop-upadvertenties buiten je browser om, je startpagina is veranderd zonder dat je dat hebt gedaan, of zoekopdrachten worden omgeleid naar onbekende zoekmachines. Soms installeert adware ook werkbalken of extensies die je niet herkent.

Signalen van spyware of een trojan

Spyware en trojans zijn bewust ontworpen om onzichtbaar te blijven, wat herkenning moeilijker maakt. Let op de volgende aanwijzingen:

• Je apparaat is merkbaar trager geworden zonder duidelijke reden.
• Je antivirussoftware is uitgeschakeld of reageert niet meer.
• Er zijn onbekende processen actief in taakbeheer die veel CPU of geheugen verbruiken.
• Accounts worden geblokkeerd of er zijn inlogpogingen vanuit onbekende locaties.
• Collega’s ontvangen vreemde e-mails die vanuit jouw account zijn verstuurd.

Bij organisaties is het verstandig om niet alleen te vertrouwen op zichtbare symptomen. Veel infecties blijven maanden onopgemerkt. Regelmatige scans en monitoring zijn dan ook essentieel, niet alleen reactief maar ook als preventieve maatregel.

Wat kun je doen als je apparaat besmet is?

Als je vermoedt dat je apparaat besmet is met spyware, adware of een trojan, is snel handelen cruciaal. Koppel het apparaat eerst los van het netwerk om verdere verspreiding te voorkomen, en meld de situatie direct bij je IT-afdeling of beveiligingsverantwoordelijke. Verwijder de malware niet zelf als je niet zeker weet wat je doet, want sommige trojans laten resterende backdoors achter die later opnieuw misbruikt kunnen worden.

Een gestructureerde aanpak na een besmetting ziet er als volgt uit:

1. Isoleer het apparaat: Verbreek de netwerkverbinding (wifi en bekabeld) zodat de malware geen gegevens meer kan doorsturen of zich verder kan verspreiden.
2. Scan met gespecialiseerde tools: Gebruik een betrouwbare malwarescanner die specifiek is gericht op het detecteren van spyware en trojans, naast je reguliere antivirussoftware.
3. Verander wachtwoorden: Doe dit vanaf een schoon apparaat, want als er een keylogger actief was, zijn je huidige wachtwoorden mogelijk al gecompromitteerd.
4. Controleer andere systemen: Kijk of de infectie zich heeft verspreid naar andere apparaten of accounts in het netwerk.
5. Herstel vanuit een schone back-up: Als de infectie diepgeworteld is, kan een volledige herinstallatie van het besturingssysteem noodzakelijk zijn.
6. Analyseer de oorzaak: Bepaal hoe de infectie is binnengekomen, zodat je herhaling kunt voorkomen.

Voor organisaties die onder de NIS2-wetgeving vallen, geldt bovendien een meldplicht bij significante incidenten. Een besmetting met malware die de continuïteit van dienstverlening verstoort, kan meldingsplichtig zijn bij de bevoegde autoriteiten.

Hoe bescherm je je organisatie structureel tegen deze malwaresoorten?

Structurele bescherming tegen spyware, adware en trojans vraagt om een combinatie van technische maatregelen, beleid en bewustwording. Er bestaat geen enkelvoudige oplossing die alle risico’s elimineert. Effectieve cyberbeveiliging is een doorlopend proces, geen eenmalige actie.

De belangrijkste maatregelen voor organisaties zijn:

• Endpoint protection: Zorg voor up-to-date antivirus- en antimalwaresoftware op alle apparaten, inclusief mobiele apparaten en laptops van thuiswerkers.
• Patchbeheer: Houd besturingssystemen en applicaties consequent bijgewerkt. Veel trojans maken gebruik van bekende kwetsbaarheden in verouderde software.
• E-mailbeveiliging: Implementeer filters die kwaadaardige bijlagen en phishinglinks blokkeren voordat ze de medewerker bereiken.
• Least privilege: Geef medewerkers alleen toegang tot de systemen en data die ze daadwerkelijk nodig hebben voor hun werk. Dit beperkt de schade bij een infectie aanzienlijk.
• Bewustwordingstraining: Leer medewerkers verdachte e-mails, links en downloads te herkennen. De mens blijft de zwakste schakel bij trojans en phishing.
• Netwerksegmentatie: Scheid kritieke systemen van de rest van het netwerk, zodat een infectie zich niet ongehinderd kan verspreiden.
• Regelmatige scans en monitoring: Voer periodiek vulnerability scans en security assessments uit om kwetsbaarheden op te sporen voordat aanvallers dat doen.

Naast deze technische maatregelen is het ook belangrijk om beleid op te stellen rondom software-installaties, het gebruik van externe opslagmedia en het omgaan met onbekende e-mails. Techniek en beleid versterken elkaar, maar zonder bewuste medewerkers blijft elke verdediging kwetsbaar.

Hoe Q-Cyber helpt bij bescherming tegen malware

Wij begrijpen dat het overzicht bewaren over alle malwarerisico’s, van spyware tot trojans, voor veel organisaties een uitdaging is. Zeker als je ook nog moet voldoen aan wet- en regelgeving zoals NIS2. Daarom bieden wij een aanpak die technische kennis combineert met praktisch beleid, volledig onafhankelijk en zonder binding aan softwarepartijen.

Concreet helpen wij je met:

• Vulnerability scans en pentests: We testen actief hoe kwetsbaar jouw omgeving is voor malware-infecties en andere aanvalstechnieken, inclusief gesimuleerde aanvallen door onze ethical hackers.
• Phishing simulaties: We meten hoe medewerkers reageren op nep-phishingmails en trojans vermomd als legitieme bestanden, en geven gerichte feedback.
• Beleidsvorming: We schrijven concreet beveiligingsbeleid dat aansluit op jouw organisatie, inclusief richtlijnen voor softwaregebruik, incidentrespons en toegangsbeheer.
• Virtuele CISO via Continuous-Q: Een team van specialisten dat continu meekijkt en adviseert, zonder dat je een fulltime CISO hoeft aan te nemen.
• NIS2-begeleiding: We helpen je bepalen of je onder de meldplicht valt en zorgen dat je aantoonbaar voldoet aan de zorgplicht.

Wacht niet tot een infectie het werk voor je doet. Neem contact op en ontdek hoe wij jouw organisatie structureel weerbaarder maken tegen spyware, adware, trojans en andere moderne dreigingen.

Lees meer

Wat is malware en welke soorten zijn er?

Geplaatst op: 2 september 2026

Malware is schadelijke software die is ontworpen om computersystemen, netwerken of apparaten te beschadigen, te verstoren of ongeautoriseerde toegang te verkrijgen tot gevoelige gegevens. De term is een samentrekking van “malicious software” en omvat een breed scala aan digitale dreigingen, van virussen en ransomware tot spyware en trojans. Malware treft zowel particulieren als organisaties en vormt een van de meest voorkomende oorzaken van datalekken en operationele verstoringen. In dit artikel beantwoorden we de meest gestelde vragen over malware: welke soorten er zijn, hoe besmetting plaatsvindt en hoe je jouw organisatie effectief beschermt.

Welke soorten malware zijn er?

Er zijn veel verschillende soorten malware, elk met een eigen werkwijze en doel. De meest voorkomende categorieën zijn virussen, ransomware, trojans, spyware, adware, wormen en rootkits. Elke soort maakt gebruik van andere technieken om systemen binnen te dringen en schade aan te richten, wat cyberbeveiliging tot een veelzijdige uitdaging maakt.

Hier is een overzicht van de belangrijkste malwaresoorten:

• Virus: Een programma dat zichzelf koppelt aan legitieme bestanden en zich verspreidt wanneer die bestanden worden gedeeld of uitgevoerd. Net als een biologisch virus heeft het een gastheer nodig om zich te vermenigvuldigen.
• Ransomware: Versleutelt bestanden of vergrendelt systemen en eist betaling voor herstel. Ransomware-aanvallen richten zich steeds vaker op organisaties in kritieke sectoren.
• Trojan (Trojaans paard): Vermomt zich als legitieme software maar voert op de achtergrond schadelijke acties uit, zoals het openen van een achterdeur voor aanvallers.
• Spyware: Verzamelt stiekem informatie over gebruikersgedrag, inloggegevens of financiële gegevens en stuurt deze door naar derden.
• Worm: Verspreidt zich zelfstandig over netwerken zonder tussenkomst van de gebruiker en kan in korte tijd grote schade veroorzaken.
• Adware: Toont ongewenste advertenties en kan tegelijkertijd gebruikersgedrag bijhouden. Hoewel minder destructief, tast het de prestaties en privacy aan.
• Rootkit: Verbergt zijn aanwezigheid diep in het besturingssysteem, waardoor detectie en verwijdering bijzonder lastig zijn.
• Keylogger: Registreert elke toetsaanslag en stuurt deze informatie door, waardoor wachtwoorden en andere gevoelige invoer worden onderschept.

Moderne malware combineert vaak meerdere van deze technieken. Een aanvaller kan bijvoorbeeld een trojan gebruiken om een ransomware-payload te installeren, terwijl een keylogger op de achtergrond inloggegevens verzamelt. Dit maakt de analyse van cyberdreigingen steeds complexer.

Hoe verspreidt malware zich?

Malware verspreidt zich via meerdere kanalen, waarbij menselijk gedrag en technische kwetsbaarheden de twee belangrijkste ingangspunten zijn. De meest gebruikte verspreidingsmethoden zijn phishing-e-mails, besmette downloads, kwetsbare software, geïnfecteerde USB-apparaten en kwaadaardige advertenties op websites.

Phishing blijft de meest effectieve methode: een gebruiker opent een e-mail die afkomstig lijkt van een betrouwbare bron, klikt op een link of opent een bijlage, en de malware wordt automatisch geïnstalleerd. Aanvallers worden hierin steeds geraffineerder door gebruik te maken van social engineering, waarbij de boodschap persoonlijk en geloofwaardig overkomt.

Naast phishing zijn dit veelgebruikte verspreidingsroutes:

• Drive-by downloads: Een bezoek aan een gecompromitteerde website installeert automatisch malware, zonder dat de gebruiker iets hoeft te klikken.
• Besmette software: Illegale of onbetrouwbare downloads bevatten verborgen malware die wordt meegeïnstalleerd.
• USB-apparaten: Een geïnfecteerd opslagapparaat kan malware automatisch uitvoeren zodra het wordt aangesloten.
• Supply chain-aanvallen: Aanvallers compromitteren software van een leverancier, waarna de malware via een legitieme update bij eindgebruikers terechtkomt.
• Ongepatchte kwetsbaarheden: Software met bekende beveiligingslekken biedt aanvallers een directe ingang, zonder dat gebruikersinteractie nodig is.

Organisaties die werken met meerdere leveranciers of externe partijen lopen extra risico via de toeleveringsketen. Dit is ook een van de redenen waarom wetgeving zoals NIS2 supply chain-beveiliging als een expliciete verplichting opneemt.

Wat is het verschil tussen een virus en ransomware?

Het belangrijkste verschil tussen een virus en ransomware is het doel en de werkwijze. Een virus richt zich op het verspreiden en beschadigen van bestanden door zichzelf te kopiëren naar andere programma’s. Ransomware heeft een ander doel: het versleutelt gegevens of blokkeert toegang tot systemen om vervolgens losgeld te eisen voor herstel.

Een virus is als het ware de oudere, meer generieke dreiging. Het hecht zich aan uitvoerbare bestanden en verspreidt zich bij elke uitvoering naar nieuwe bestanden of systemen. De schade bestaat meestal uit corruptie van bestanden, vertraging van systemen of het openen van achterdeuren voor verdere aanvallen.

Ransomware is een specifiekere, doelgerichtere vorm van malware die de afgelopen jaren enorm is gegroeid als zakelijk verdienmodel voor cybercriminelen. De aanval verloopt doorgaans in fasen: eerst infiltratie, dan verkenning van het netwerk, vervolgens versleuteling van zoveel mogelijk bestanden en ten slotte de losgeldeis. Sommige ransomware-varianten dreigen ook met het openbaar maken van gestolen data als extra druk, een techniek die “double extortion” wordt genoemd.

Kort samengevat:

• Virus: Verspreidt zichzelf, beschadigt of wijzigt bestanden, heeft een gastheer nodig
• Ransomware: Versleutelt gegevens, eist betaling, richt zich op maximale ontwrichting

Beide zijn ernstige dreigingen, maar ransomware heeft door zijn financiële motivatie en operationele impact de meeste aandacht getrokken van zowel organisaties als toezichthouders.

Hoe weet je of je apparaat besmet is met malware?

Een apparaat dat besmet is met malware vertoont vaak herkenbare signalen, hoewel geavanceerde malware juist is ontworpen om onzichtbaar te blijven. De meest voorkomende waarschuwingssignalen zijn onverklaarbare traagheid, onbekende programma’s die opstarten, plotselinge crashes, ongewone netwerkactiviteit en toegangsproblemen tot bestanden of accounts.

Let op de volgende indicatoren:

• Trage prestaties: Het systeem reageert trager dan normaal, ook bij eenvoudige taken, wat kan wijzen op malware die op de achtergrond actief is.
• Onbekende programma’s of processen: Taakbeheer toont processen die je niet herkent of die ongewoon veel geheugen of CPU verbruiken.
• Plotselinge crashes of foutmeldingen: Frequente systeemcrashes of “blue screens” kunnen duiden op beschadigde systeembestanden door malware.
• Ongewone pop-ups of advertenties: Advertenties die verschijnen buiten de browser om, zijn een klassiek teken van adware of erger.
• Gewijzigde browserinstellingen: Een andere startpagina, onbekende extensies of doorverwijzingen naar vreemde websites wijzen op een browserinfectie.
• Verdachte netwerkactiviteit: Onverklaarbaar hoog dataverkeer, zeker buiten kantooruren, kan betekenen dat malware gegevens doorstuurt.
• Vergrendelde bestanden of losgeldmelding: Dit is het meest directe teken van ransomware.

Veel geavanceerde malware, zoals rootkits of spyware, is echter bewust ontworpen om geen sporen achter te laten. Regelmatige security scans en penetratietesten zijn daarom essentieel om verborgen dreigingen op te sporen die gewone gebruikers niet zelf zullen ontdekken.

Hoe bescherm je een organisatie tegen malware?

Effectieve malwarebeveiliging voor organisaties vereist een gelaagde aanpak die technische maatregelen combineert met bewustwording, beleid en regelmatige toetsing. Geen enkele maatregel biedt volledige bescherming, maar een combinatie van preventie, detectie en respons vermindert het risico aanzienlijk.

De meest effectieve maatregelen zijn:

• Patchbeheer: Houd alle software en besturingssystemen up-to-date. De meeste succesvolle aanvallen maken gebruik van bekende kwetsbaarheden waarvoor al patches beschikbaar zijn.
• Multi-factor authenticatie (MFA): Voorkomt dat gestolen inloggegevens direct toegang geven tot systemen.
• E-mailbeveiliging: Gebruik spamfilters, e-mailvalidatieprotocollen zoals DMARC, en scan bijlagen automatisch op malware.
• Endpoint protection: Installeer moderne antivirussoftware en endpoint detection and response (EDR) oplossingen op alle apparaten.
• Netwerksegmentatie: Beperk de verspreiding van malware door netwerken op te delen in segmenten met strikte toegangscontrole.
• Bewustwordingstraining: Medewerkers zijn vaak de eerste verdedigingslinie. Regelmatige training en phishing-simulaties verlagen de kans op menselijke fouten aanzienlijk.
• Back-upbeleid: Maak regelmatig back-ups van kritieke data en bewaar deze offline of in een geïsoleerde omgeving, zodat je bij een ransomware-aanval kunt herstellen zonder losgeld te betalen.
• Vulnerability scanning: Voer periodiek scans uit om zwakke plekken in je infrastructuur te identificeren voordat aanvallers dat doen.

Cyberbeveiliging is geen eenmalige actie maar een doorlopend proces. Organisaties die security structureel inbedden in hun beleid en processen, zijn weerbaarder dan organisaties die alleen reageren na een incident.

Hoe Q-Cyber helpt bij malwarebeveiliging

Malware is een reële en voortdurende dreiging voor elke organisatie, ongeacht de omvang. Wij helpen organisaties om van een reactieve naar een proactieve beveiligingshouding te groeien. Onze aanpak combineert technische expertise met praktisch beleid, zodat malwarebeveiliging niet alleen op papier klopt maar ook daadwerkelijk werkt in de dagelijkse praktijk.

Wat wij voor jouw organisatie kunnen doen:

• Vulnerability scans: We brengen kwetsbaarheden in kaart voordat aanvallers dat doen, inclusief een helder rapport met prioriteiten en concrete aanbevelingen.
• Penetratietesten en phishing-simulaties: We testen hoe goed jouw organisatie bestand is tegen realistische aanvalsscenario’s, zodat je weet waar de zwakke plekken zitten.
• Beleidsvorming en bewustwordingstraining: We schrijven beveiligingsbeleid op maat en verzorgen trainingen voor medewerkers en bestuurders.
• Virtuele CISO via Continuous-Q: Voor organisaties die behoefte hebben aan structurele begeleiding bieden we een team van specialisten dat als vaste sparringpartner fungeert op het gebied van cyberbeveiliging.
• NIS2-begeleiding: We helpen organisaties die onder de Cyberbeveiligingswet vallen om te voldoen aan de zorgplicht, inclusief maatregelen tegen malware en andere cyberdreigingen.

Wij werken volledig onafhankelijk, zonder binding aan softwarepartijen of leveranciers. Dat betekent dat ons advies altijd in jouw belang is. Wil je weten hoe jouw organisatie er nu voor staat? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Factuurhackfraude: wat is het en hoe voorkom je het?

Geplaatst op: 1 september 2026

Factuurhackfraude is een vorm van cybercriminaliteit waarbij criminelen betaalgegevens in facturen of betaalverzoeken manipuleren, zodat betalingen naar een rekening van de fraudeur gaan in plaats van naar de echte leverancier. Het slachtoffer betaalt het juiste bedrag, maar aan de verkeerde partij. Deze fraudevorm treft zowel kleine bedrijven als grote organisaties en kan leiden tot aanzienlijke financiële schade die zelden volledig wordt teruggehaald. In dit artikel leggen we uit hoe factuurhackfraude werkt, hoe je het herkent en wat je kunt doen om het te voorkomen.

Hoe werkt factuurhackfraude in de praktijk?

Factuurhackfraude werkt doordat criminelen toegang krijgen tot een e-mailaccount van een leverancier of klant, de communicatie monitoren en op het juiste moment een valse factuur of betaalwijziging sturen met een frauduleus rekeningnummer. De ontvanger denkt te maken te hebben met een vertrouwde partij en betaalt het gevraagde bedrag zonder argwaan. Dit type aanval staat ook wel bekend als Business Email Compromise (BEC) of factuurwijzigingsfraude.

De aanval verloopt doorgaans in een aantal herkenbare stappen. Eerst verschaffen criminelen zich toegang tot een zakelijk e-mailaccount, vaak via phishing of het misbruiken van zwakke wachtwoorden. Vervolgens lezen ze wekenlang mee in de mailbox om te begrijpen wie de leveranciers zijn, hoe facturen eruitzien en wanneer betalingen worden verwacht. Op het moment dat een echte factuur wordt verwacht, sturen de criminelen een bijna identieke versie met een aangepast IBAN-nummer.

Wat factuurhackfraude zo gevaarlijk maakt, is de geloofwaardigheid. De e-mail komt van een bekend adres, de opmaak van de factuur klopt en de timing is precies goed. Soms wordt zelfs een extra berichtje gestuurd met een plausibele reden voor de rekeningwijziging, zoals een “nieuwe bankrelatie” of “administratieve herstructurering”. Dit maakt het voor medewerkers bijzonder moeilijk om de fraude te herkennen zonder extra verificatiestappen.

Hoe herken je een valse factuur of betaalverzoek?

Een valse factuur of frauduleus betaalverzoek herken je aan signalen zoals een plotseling gewijzigd rekeningnummer, een afwijkend e-mailadres dat sterk lijkt op het echte adres, ongebruikelijke urgentie in de betalingstermijn of kleine afwijkingen in de opmaak en het taalgebruik. Geen enkel signaal is op zichzelf doorslaggevend, maar een combinatie van meerdere afwijkingen moet altijd aanleiding zijn voor extra verificatie.

Concrete waarschuwingssignalen om op te letten:

• Gewijzigd rekeningnummer: een leverancier die plotseling vraagt betalingen naar een nieuw IBAN over te maken
• Spoofed e-mailadres: een adres dat bijna identiek is aan het echte, maar met een extra letter, een ander domein of een subtiele typfout
• Ongebruikelijke urgentie: verzoeken om direct of vandaag nog te betalen, buiten de normale betalingstermijn
• Afwijkende communicatiestijl: een andere aanhef, ander taalgebruik of een andere toon dan normaal
• Onverwachte factuur: een factuur voor een dienst of product dat je niet herkent of waar geen voorafgaande offerte voor is verstuurd
• Verzoek buiten de normale kanalen: een betaalverzoek dat via een persoonlijk e-mailadres of WhatsApp binnenkomt in plaats van via het zakelijke systeem

Bij twijfel geldt altijd: bel de leverancier op een telefoonnummer dat je al in je systeem hebt staan, niet het nummer dat in de verdachte e-mail staat. Een korte verificatieoproep kan grote financiële schade voorkomen.

Welke bedrijven lopen het meeste risico op factuurhackfraude?

Bedrijven die regelmatig grote betalingen doen aan externe leveranciers, weinig interne controles hebben op betalingsprocessen en sterk afhankelijk zijn van e-mailcommunicatie voor financiële transacties, lopen het grootste risico op factuurhackfraude. Grootte is hierbij minder bepalend dan de structuur van het betalingsproces en de volwassenheid van de beveiligingsmaatregelen.

In de praktijk zijn de meest kwetsbare organisaties:

• Mkb-bedrijven met beperkte IT-middelen en weinig formele processen rondom betalingsgoedkeuring
• Vastgoedbedrijven en makelaars die regelmatig grote transacties uitvoeren
• Juridische en financiële dienstverleners die namens klanten betalingen regelen
• Bouwbedrijven en aannemers met veel verschillende leveranciers en subcontractors
• Non-profitorganisaties die minder investeren in cybersecurity maar wel substantiële bedragen beheren

Ook bedrijven die recentelijk zijn gefuseerd, een nieuwe financieel medewerker hebben aangenomen of midden in een drukke periode zitten, zijn extra kwetsbaar. Criminelen kiezen bewust momenten van verandering of drukte, omdat de kans dan groter is dat medewerkers minder kritisch zijn of minder tijd hebben voor verificatie.

CEO-fraude is een verwante variant waarbij criminelen zich voordoen als de directeur of een leidinggevende en een medewerker van de financiële afdeling opdracht geven om snel een betaling te doen. Ook hier spelen urgentie en autoriteit een grote rol in het overtuigen van het slachtoffer.

Wat moet je doen als je slachtoffer bent geworden van factuurhackfraude?

Als je slachtoffer bent geworden van factuurhackfraude, moet je zo snel mogelijk handelen: neem direct contact op met je bank om de betaling te laten blokkeren of terug te vorderen, doe aangifte bij de politie en informeer de leverancier wiens identiteit is misbruikt. Hoe sneller je handelt, hoe groter de kans dat de schade beperkt blijft.

Volg deze stappen zo snel mogelijk:

1. Neem direct contact op met je bank. Vraag om een spoedprocedure voor het terughalen van de betaling. Banken hebben hiervoor speciale fraudeprotocollen. Elke minuut telt, want criminelen halen het geld snel weg.
2. Doe aangifte bij de politie. Dit is noodzakelijk voor eventuele juridische stappen en voor de bank om de fraudeprocedure te starten. Bewaar alle communicatie als bewijsmateriaal.
3. Informeer de echte leverancier. Zij moeten weten dat hun identiteit of e-mailaccount is misbruikt, zodat zij hun klanten kunnen waarschuwen en hun systemen kunnen beveiligen.
4. Analyseer hoe de fraude kon plaatsvinden. Welk e-mailaccount was gecompromitteerd? Waren er zwakke plekken in het betalingsproces? Dit inzicht is nodig om herhaling te voorkomen.
5. Informeer je medewerkers. Leg uit wat er is gebeurd, zonder schuldigen aan te wijzen. Gebruik het incident als leermoment voor het hele team.

Helaas is het geld in veel gevallen moeilijk of niet terug te halen, zeker als het naar een buitenlands rekeningnummer is overgemaakt. Preventie blijft dan ook verreweg de meest effectieve strategie.

Hoe voorkom je factuurhackfraude binnen je organisatie?

Factuurhackfraude voorkom je door een combinatie van technische maatregelen, heldere interne processen en bewustwording bij medewerkers. De kern is simpel: verifieer altijd rekeningwijzigingen via een apart kanaal en zorg dat geen enkele medewerker betalingen kan autoriseren zonder een tweede controle. Technologie helpt, maar gedrag en processen zijn minstens zo belangrijk.

De meest effectieve preventieve maatregelen zijn:

• Vier-ogen-principe voor betalingen: laat betalingen boven een bepaald bedrag altijd door twee personen goedkeuren
• Verificatieprotocol voor rekeningwijzigingen: bel altijd terug via een bekend nummer wanneer een leverancier vraagt om een nieuw IBAN te gebruiken
• Multi-factorauthenticatie (MFA): bescherm e-mailaccounts met MFA zodat criminelen niet eenvoudig kunnen inloggen
• E-mailbeveiliging via DMARC, DKIM en SPF: stel deze protocollen in om e-mailspoofing van jouw domein te bemoeilijken
• Bewustwordingstraining voor medewerkers: leer medewerkers de signalen van phishingfacturen en CEO-fraude herkennen
• Leveranciersregistratie: houd een actueel register bij van IBAN-nummers van vaste leveranciers en wees alert op afwijkingen

Naast technische maatregelen is een duidelijk beleid rondom betalingsprocessen essentieel. Leg schriftelijk vast wie welke betalingen mag autoriseren, hoe rekeningwijzigingen worden geverifieerd en wat medewerkers moeten doen bij twijfel. Een helder protocol geeft medewerkers de ruimte om te vertragen en te verifiëren, ook als er druk wordt uitgeoefend om snel te handelen.

Organisaties die vallen onder de NIS2-richtlijn zijn bovendien wettelijk verplicht om dit soort risico’s structureel te beheersen als onderdeel van hun cybersecuritybeleid. Betaalfraude voorkomen is daarmee niet alleen een operationele keuze, maar ook een compliance-vereiste.

Hoe Q-Cyber helpt bij het voorkomen van factuurhackfraude

Factuurhackfraude is geen technisch probleem dat je oplost met één tool. Het vereist een combinatie van technische beveiliging, heldere processen en goed getrainde medewerkers. Precies dat is waar wij organisaties bij ondersteunen.

Wat wij concreet voor je kunnen doen:

• Phishingsimulaties en bewustwordingstraining: we testen hoe medewerkers reageren op nep-facturen en valse betaalverzoeken, en trainen hen om de signalen te herkennen
• E-mailbeveiligingsaudit: we controleren of jouw domein correct is beveiligd met DMARC, DKIM en SPF om spoofing te voorkomen
• Beleidsvorming rondom betalingsprocessen: we schrijven heldere procedures voor factuurverificatie, autorisatieschema’s en meldprotocollen
• NIS2-begeleiding: voor organisaties die onder de NIS2 vallen zorgen wij dat betaalfraude-risico’s zijn meegenomen in het bredere cybersecuritybeleid
• Virtuele CISO-diensten: via ons Continuous-Q programma begeleiden we je organisatie continu op het gebied van cybersecurity, inclusief dreigingsmonitoring en beleidsonderhoud

We werken onafhankelijk, zonder binding aan softwarepartijen, en geven altijd pragmatisch advies dat past bij jouw organisatie en risiconiveau. Wil je weten hoe kwetsbaar jouw organisatie is voor factuurhackfraude? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

CEO-fraude: hoe herken en voorkom je het?

Geplaatst op: 31 augustus 2026

CEO-fraude herken je aan onverwachte, dringende betalingsverzoeken die zogenaamd afkomstig zijn van een leidinggevende, waarbij de aanvaller bewust druk uitoefent en om vertrouwelijkheid vraagt. Het is een vorm van social engineering waarbij criminelen de identiteit van een CEO of directeur nabootsen om medewerkers te manipuleren. In dit artikel beantwoorden we de meest gestelde vragen over CEO-fraude herkennen, voorkomen en wat je moet doen als het toch misgaat.

Hoe werkt een CEO-fraude aanval in de praktijk?

Bij CEO-fraude doet een aanvaller zich voor als een hooggeplaatste leidinggevende, meestal de CEO of CFO, en vraagt een medewerker via e-mail of telefoon om snel een betaling uit te voeren of gevoelige informatie te delen. De aanval is zorgvuldig voorbereid en maakt gebruik van openbaar beschikbare informatie om geloofwaardig over te komen.

Een typische aanval verloopt in een aantal herkenbare stappen. Eerst doet de aanvaller aan verkenning: via LinkedIn, de bedrijfswebsite en sociale media verzamelt hij namen van leidinggevenden, medewerkers op de financiële afdeling en lopende projecten. Met die informatie bouwt hij een overtuigend verhaal op.

Vervolgens neemt de aanvaller contact op, vrijwel altijd via een e-mailadres dat sterk lijkt op het echte adres van de CEO. Denk aan een extra letter, een punt op de verkeerde plek of een ander domein zoals bedrijfsnaam-nl.com in plaats van bedrijfsnaam.nl. Het bericht is urgent van toon: er moet vandaag nog een betaling plaatsvinden voor een overname, een belastingkwestie of een vertrouwelijk project. De medewerker wordt gevraagd dit niet met collega’s te bespreken.

Die combinatie van urgentie, autoriteit en vertrouwelijkheid is precies wat CEO-fraude zo effectief maakt. De aanvaller speelt in op de menselijke neiging om snel te handelen wanneer een leidinggevende iets vraagt, zeker als er tijdsdruk op staat. Bedragen lopen uiteen van enkele duizenden tot honderdduizenden euro’s, en het geld verdwijnt doorgaans naar buitenlandse rekeningen die vrijwel onmogelijk te traceren zijn.

Wat zijn de meest voorkomende signalen van CEO-fraude?

De meest voorkomende signalen van CEO-fraude zijn: een ongebruikelijk e-mailadres, extreme tijdsdruk, een verzoek tot geheimhouding, een afwijkende schrijfstijl en een betalingsverzoek buiten de normale procedures om. Wie deze signalen leert herkennen, kan een aanval tijdig stoppen.

Concreet zijn dit de waarschuwingssignalen waar je op moet letten:

• Afwijkend e-mailadres: het adres lijkt op het echte adres maar bevat een kleine fout, een extra karakter of een ander domein.
• Ongewone urgentie: het verzoek moet dezelfde dag of zelfs binnen het uur worden afgehandeld.
• Verzoek tot vertrouwelijkheid: je wordt gevraagd niets te zeggen tegen collega’s, de controller of de financieel directeur.
• Afwijking van normale processen: de betaling loopt niet via de gebruikelijke kanalen of goedkeuringsprocedures.
• Ongebruikelijke schrijfstijl: de toon of het taalgebruik klopt niet helemaal met hoe de betreffende leidinggevende normaal communiceert.
• Onbekend rekeningnummer: het geld moet naar een rekening die niet in het systeem staat of recent is gewijzigd.
• Beroep op autoriteit gecombineerd met druk: zinnen als “De CEO rekent op jou” of “Dit mag niet mislopen” zijn typische manipulatietechnieken.

Eén van deze signalen hoeft nog geen bewijs van fraude te zijn, maar een combinatie van twee of meer is een serieus alarmsignaal. Train medewerkers om bij twijfel altijd telefonisch te verifiëren via een bekend nummer, nooit via het nummer dat in het verdachte bericht staat.

Wat is het verschil tussen CEO-fraude en phishing?

CEO-fraude is een gerichte aanval waarbij de aanvaller zich specifiek voordoet als een leidinggevende binnen jouw organisatie. Phishing is een bredere aanvalsvorm waarbij massaal nepberichten worden verstuurd, vaak zonder specifieke kennis van de ontvanger. Het belangrijkste verschil zit in de mate van personalisatie en voorbereiding.

Bij traditionele phishing ontvangt een groot aantal mensen hetzelfde generieke bericht, zoals een nepmelding van een bank of pakketdienst. De aanvaller hoeft niets te weten over de ontvanger. Het succes hangt af van volume: ook als slechts een klein percentage erin trapt, is de aanval winstgevend.

CEO-fraude, ook wel Business Email Compromise (BEC) of spear phishing in de richting van financiële medewerkers, is veel gerichter. De aanvaller investeert tijd in het bestuderen van de organisatie, de hiërarchie en lopende activiteiten. Daardoor is het bericht veel geloofwaardiger en moeilijker te herkennen als fraude.

Een ander belangrijk verschil is het doel. Phishing is vaak gericht op het stelen van inloggegevens of het installeren van malware. CEO-fraude heeft vrijwel altijd een direct financieel doel: een overboeking naar een rekening van de crimineel. Beide vormen vallen onder de bredere categorie cybersecurity dreigingen, maar vragen om een andere aanpak in bewustwording en preventie.

Welke medewerkers zijn het meest kwetsbaar voor CEO-fraude?

Medewerkers op de financiële afdeling, met name degenen die betalingsopdrachten kunnen uitvoeren, zijn het meest kwetsbaar voor CEO-fraude. Maar ook HR-medewerkers met toegang tot salarisgegevens en personeelsinformatie zijn een geliefd doelwit. Kwetsbaarheid heeft minder te maken met technische kennis en meer met positie en bevoegdheden.

De aanvaller zoekt altijd naar de combinatie van twee factoren: iemand die de autoriteit van de CEO erkent én de technische mogelijkheid heeft om een betaling te doen of informatie vrij te geven. Dat maakt de volgende groepen extra kwetsbaar:

• Financieel medewerkers en boekhouders die betalingen kunnen initiëren of goedkeuren.
• Assistenten van directieleden die gewend zijn opdrachten van leidinggevenden snel uit te voeren.
• HR-medewerkers die toegang hebben tot salarisgegevens en gevraagd worden rekeningnummers te wijzigen.
• Nieuwe medewerkers die de interne processen en communicatiestijl nog niet goed kennen.
• Medewerkers die tijdelijk taken overnemen bij afwezigheid van een collega, en daardoor minder vertrouwd zijn met de normale gang van zaken.

Het is een misverstand dat alleen technisch onervaren medewerkers slachtoffer worden. CEO-fraude is zo overtuigend opgezet dat ook ervaren professionals erin kunnen trappen, zeker onder tijdsdruk of in een drukke werkperiode. Regelmatige bewustwording en training zijn dan ook voor iedereen van belang, niet alleen voor de financiële afdeling.

Hoe voorkom je CEO-fraude binnen je organisatie?

CEO-fraude voorkom je door een combinatie van technische maatregelen, duidelijke interne procedures en structurele bewustwording bij medewerkers. Geen enkele maatregel is waterdicht op zichzelf, maar samen maken ze een succesvolle aanval aanzienlijk moeilijker.

Begin met de technische basisbeveiliging. Zorg dat e-maildomeinen zijn beveiligd met DMARC, DKIM en SPF. Deze protocollen maken het voor aanvallers veel moeilijker om e-mails te versturen die lijken te komen van jouw domein. Controleer ook of medewerkers meldingen zien wanneer een e-mail van buiten de organisatie komt.

Stel daarnaast het vier-ogen-principe in voor betalingen boven een bepaald bedrag. Dit betekent dat minimaal twee personen een betaling moeten goedkeuren voordat deze wordt uitgevoerd. Combineer dit met een beleid dat rekeningwijzigingen altijd telefonisch worden geverifieerd via een eerder bekend nummer, nooit op basis van informatie uit het betreffende bericht zelf.

Op het gebied van bewustwording zijn dit de meest effectieve stappen:

• Voer regelmatig phishing simulaties uit om medewerkers te trainen in het herkennen van verdachte berichten.
• Maak een duidelijk intern protocol voor het omgaan met ongebruikelijke betalingsverzoeken, ook als ze van de CEO lijken te komen.
• Creëer een veilige meldcultuur zodat medewerkers zonder schroom een verdacht verzoek kunnen melden of verifiëren.
• Beperk de hoeveelheid organisatorische informatie die openbaar toegankelijk is op websites en sociale media.
• Informeer medewerkers actief over nieuwe aanvalsmethoden, ook via deepfake audio en video, een opkomende techniek bij CEO-fraude.

Organisaties die vallen onder de NIS2-richtlijn zijn bovendien verplicht om aantoonbare maatregelen te treffen tegen dit soort aanvallen als onderdeel van hun bredere cybersecuritybeleid. Maar ook voor organisaties die niet onder NIS2 vallen, is preventie van CEO-fraude een essentieel onderdeel van een volwassen beveiligingsaanpak.

Wat moet je doen als je slachtoffer bent geworden van CEO-fraude?

Als je slachtoffer bent geworden van CEO-fraude, moet je zo snel mogelijk handelen: neem direct contact op met je bank om de overboeking te laten blokkeren, doe aangifte bij de politie en informeer intern de juiste personen. Snelheid is cruciaal, want hoe eerder je handelt, hoe groter de kans dat het geld nog traceerbaar is.

Volg deze stappen zo snel mogelijk na ontdekking:

1. Bel direct je bank. Vraag om een spoedprocedure om de overboeking te blokkeren of terug te vorderen. Banken hebben hiervoor speciale fraudeafdelingen die snel kunnen handelen als ze tijdig worden gewaarschuwd.
2. Doe aangifte bij de politie. Dit is noodzakelijk voor eventuele juridische stappen en voor de registratie van de fraude. Bewaar alle communicatie als bewijsmateriaal.
3. Informeer intern de juiste personen. Breng de directie, de financieel verantwoordelijke en de IT-afdeling op de hoogte. Zorg dat de betrokken e-mailaccounts worden onderzocht op mogelijke verdere compromittering.
4. Analyseer hoe het kon gebeuren. Onderzoek welke informatie de aanvaller heeft gebruikt en hoe hij toegang heeft gekregen tot die informatie. Dit helpt om herhaling te voorkomen.
5. Communiceer intern op een zorgvuldige manier. Zorg dat medewerkers weten wat er is gebeurd zonder onnodige paniek te veroorzaken, en gebruik het incident als leermoment voor de hele organisatie.

Meld het incident ook bij het Nationaal Cyber Security Centrum (NCSC) als jouw organisatie onder de meldplicht valt. Voor organisaties die onder de Cyberbeveiligingswet vallen, geldt een meldplicht bij significante cyberincidenten. Maar ook zonder wettelijke verplichting is melden zinvol, omdat het bijdraagt aan het bredere inzicht in cyberdreigingen in Nederland.

Hoe Q-Cyber helpt bij het voorkomen van CEO-fraude

CEO-fraude is geen technisch probleem dat je oplost met een firewall. Het raakt de mensen, de processen en de cultuur van een organisatie. Wij helpen organisaties om weerbaarder te worden tegen dit soort aanvallen, met een aanpak die verder gaat dan een eenmalige training.

Concreet bieden wij:

• Phishing simulaties en social engineering tests: we voeren realistische aanvalssimulaties uit, inclusief CEO-fraude scenario’s, om te meten hoe medewerkers reageren en waar de kwetsbaarheden zitten.
• Bewustwordingstrainingen: praktische trainingen voor medewerkers en leidinggevenden, gericht op het herkennen van CEO-fraude, phishing en andere vormen van social engineering.
• Beleidsvorming en procedures: we schrijven heldere interne protocollen voor betalingsverzoeken, verificatieprocedures en incidentrespons, afgestemd op jouw organisatie.
• Technische beoordeling van e-mailbeveiliging: we controleren of jouw e-maildomein correct is geconfigureerd met DMARC, DKIM en SPF om spoofing te bemoeilijken.
• Virtuele CISO via Continuous-Q: voor organisaties die structureel willen werken aan cybersecurity, bieden we een team van specialisten dat als vaste sparringpartner fungeert.

We werken onafhankelijk, zonder binding aan softwareleveranciers, en geven altijd pragmatisch advies dat past bij de schaal en het risicoprofiel van jouw organisatie. Wil je weten hoe kwetsbaar jouw organisatie is voor CEO-fraude? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat zijn de gevolgen als je niet voldoet aan NIS2?

Geplaatst op: 30 augustus 2026

Niet voldoen aan NIS2 kan leiden tot aanzienlijke financiële sancties, persoonlijke aansprakelijkheid van bestuurders en ernstige operationele schade. Essentiële entiteiten riskeren boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, terwijl belangrijke entiteiten boetes tot 7 miljoen euro of 1,4% van de jaaromzet kunnen verwachten. In dit artikel beantwoorden we de meest gestelde vragen over de NIS2-gevolgen, van sancties en aansprakelijkheid tot de eerste stappen richting compliance.

Welke boetes en sancties staan er op niet-naleving van NIS2?

Bij niet voldoen aan NIS2 riskeren essentiële entiteiten boetes tot maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet (het hoogste bedrag telt). Belangrijke entiteiten kunnen worden beboet tot 7 miljoen euro of 1,4% van de wereldwijde jaaromzet. Naast financiële sancties beschikken toezichthouders over een breed instrumentarium aan corrigerende maatregelen.

De NIS2-richtlijn, in Nederland omgezet via de Cyberbeveiligingswet, maakt onderscheid tussen twee categorieën organisaties. Essentiële entiteiten zijn grote organisaties in kritieke sectoren zoals energie, transport, financiën en gezondheidszorg. Belangrijke entiteiten zijn middelgrote organisaties in aanvullende sectoren. Beide categorieën vallen onder de zorgplicht en meldplicht, maar de maximale boetes verschillen.

Naast boetes kunnen toezichthouders ook de volgende maatregelen opleggen:

• Verplichte beveiligingsaudits op kosten van de organisatie
• Aanwijzingen om specifieke maatregelen binnen een bepaalde termijn te treffen
• Tijdelijke schorsing van dienstverlening in ernstige gevallen
• Publicatie van de overtreding (naming and shaming)
• Verplichte kennisgeving aan klanten of afnemers over het nalevingstekort

Het is belangrijk te begrijpen dat boetes niet automatisch worden opgelegd bij elk incident. Toezichthouders kijken naar de ernst van de overtreding, de mate waarin een organisatie aantoonbaar inspanningen heeft geleverd om te voldoen, en de schade die is ontstaan. Wie structureel niets heeft gedaan aan NIS2-compliance staat er beduidend slechter voor dan een organisatie die aantoonbaar actief bezig was met implementatie.

Wie is persoonlijk aansprakelijk bij een NIS2-overtreding?

De NIS2-richtlijn legt de verantwoordelijkheid voor cyberweerbaarheid nadrukkelijk bij het bestuur van een organisatie. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld als zij hun toezichthoudende taak ernstig hebben verwaarloosd. Dit maakt cybersecurity tot een directe boardroomverantwoordelijkheid, niet langer alleen een IT-vraagstuk.

Concreet betekent dit dat bestuurders moeten kunnen aantonen dat zij voldoende kennis hebben van cybersecurityrisico’s, dat zij weloverwogen beslissingen nemen over beveiligingsmaatregelen, en dat zij actief toezicht houden op de naleving binnen hun organisatie. De wet vereist dat bestuurders een training volgen die drie leerdoelen dekt: risicoherkenning, beoordeling van maatregelen en impactbeoordeling bij incidenten.

Voor overheidsorganisaties geldt een specifieke uitzondering: de bepaling over persoonlijke aansprakelijkheid van bestuurders is uitdrukkelijk niet van toepassing op overheidsinstanties. Wel wordt de politieke leiding, zoals ministers en wethouders, aangewezen als het verantwoordelijke bestuur in de zin van de Cyberbeveiligingswet. Dit sluit aan bij de Gemeentewet en vergelijkbare wetgeving.

Voor private organisaties is de boodschap helder: wie als bestuurder cybersecurity delegeert zonder zelf betrokken te zijn, loopt een reëel persoonlijk risico. De NIS2-gevolgen reiken daarmee verder dan de organisatie zelf.

Wat zijn de operationele gevolgen van een NIS2-incident zonder compliance?

Een organisatie die niet voldoet aan NIS2 en vervolgens slachtoffer wordt van een cyberincident, staat voor een dubbele schade: de directe operationele schade van het incident zelf én de juridische en reputatieschade door het ontbreken van adequate maatregelen. Zonder compliance ontbreekt bovendien de gestructureerde respons die schade beperkt.

De operationele gevolgen zijn concreet en ingrijpend:

• Meldplichtschending: Een significant incident moet binnen 24 uur worden gemeld bij de bevoegde autoriteit. Wie geen incidentresponsproces heeft ingericht, mist deze termijn vrijwel zeker, wat een zelfstandige overtreding oplevert.
• Langere hersteltijd: Organisaties zonder bedrijfscontinuïteitsplan en crisismanagementprocedures herstellen gemiddeld aanzienlijk langzamer van een aanval.
• Ketenrisico: Leveranciers en afnemers kunnen contractueel aansprakelijk worden gesteld als een incident bij uw organisatie schade veroorzaakt in hun systemen. De NIS2-zorgplicht vereist dat u inzicht heeft in de cybersecuritymaatregelen van uw leveranciers.
• Reputatieschade: Toezichthouders kunnen de overtreding openbaar maken, wat directe gevolgen heeft voor klantvertrouwen en marktpositie.
• Hogere verzekeringskosten: Cyberverzekeraars hanteren steeds strengere eisen; non-compliance kan leiden tot hogere premies of weigering van dekking.

Een grondige penetratietest of red team-oefening vooraf had in veel gevallen de kwetsbaarheden blootgelegd die tot een incident leidden. Compliance is in die zin niet alleen een juridische verplichting, maar ook een operationele beschermingsmaatregel.

Wanneer begint de handhaving van NIS2 in Nederland?

De handhaving van NIS2 in Nederland start naar verwachting in het tweede kwartaal van 2026, wanneer de Cyberbeveiligingswet naar verwachting in werking treedt. Nederland heeft de oorspronkelijke Europese implementatiedeadline van 17 oktober 2024 niet gehaald; het wetsvoorstel werd pas op 4 juni 2025 ingediend bij de Tweede Kamer.

Dit betekent echter niet dat organisaties kunnen afwachten. De Rijksoverheid adviseert nadrukkelijk om nu al te beginnen met implementatie, om twee redenen. Ten eerste: de risico’s zijn er nu al, ongeacht de wetgeving. Ten tweede: wie bij inwerkingtreding nog niets heeft gedaan, staat direct bloot aan handhaving zonder overgangsperiode.

De wetgevingsstructuur bestaat uit drie lagen die elkaar aanvullen:

1. De Cyberbeveiligingswet (Cbw): De wettelijke basis met kernverplichtingen, ingediend bij de Tweede Kamer op 4 juni 2025.
2. Het Cyberbeveiligingsbesluit (Cbb): De uitwerking van zorgplicht, registratieplicht en trainingsplicht voor bestuurders.
3. Ministeriële regelingen per sector: Sectorspecifieke invulling; voor de overheid geldt de BIO2 als normenkader.

Organisaties die nu al beginnen met de implementatie van NIS2-compliance bouwen niet alleen aan juridische zekerheid, maar versterken ook hun daadwerkelijke weerbaarheid tegen de cyberdreigingen van dit moment.

Hoe verhoudt NIS2-niet-naleving zich tot GDPR-overtredingen?

NIS2 en de AVG (GDPR) zijn complementaire maar afzonderlijke regelgevingskaders. Niet voldoen aan NIS2 en niet voldoen aan de AVG zijn twee verschillende overtredingen met eigen toezichthouders en sanctieregimes. Een cyberincident kan echter tegelijkertijd een NIS2-schending én een AVG-datalek zijn, wat betekent dat beide boetetrajecten gelijktijdig kunnen lopen.

De belangrijkste verschillen op een rij:

• Reikwijdte: De AVG richt zich specifiek op de bescherming van persoonsgegevens. NIS2 richt zich breder op de beveiliging van netwerk- en informatiesystemen, ook waar geen persoonsgegevens bij betrokken zijn.
• Toezichthouder: De AVG wordt in Nederland gehandhaafd door de Autoriteit Persoonsgegevens. Voor NIS2 zijn meerdere sectorale toezichthouders aangewezen, afhankelijk van de sector.
• Boeteplafonds: De AVG kent boetes tot 20 miljoen euro of 4% van de wereldwijde jaaromzet. De NIS2-boetes zijn lager, maar de cumulatie van beide regimes bij één incident maakt de totale blootstelling aanzienlijk.
• Meldtermijnen: De AVG vereist melding van een datalek binnen 72 uur bij de toezichthouder. NIS2 vereist een eerste melding binnen 24 uur bij een significant incident, gevolgd door een aanvullende melding binnen 72 uur en een eindverslag binnen één maand.

In de praktijk versterken de twee regelgevingskaders elkaar. Wie zijn AVG-huiswerk goed heeft gedaan, heeft al een deel van de NIS2-vereisten ingevuld. Maar NIS2 gaat verder en stelt aanvullende eisen aan technische maatregelen, supply chain-beveiliging en bestuurlijke betrokkenheid die buiten de scope van de AVG vallen.

Wat zijn de eerste stappen om NIS2-risico’s te beperken?

De eerste stap om NIS2-risico’s te beperken is bepalen of uw organisatie onder de wet valt en in welke categorie. Daarna volgt een gap-analyse om te zien welke verplichtingen nog niet zijn ingevuld. Wie nu begint, heeft ruim de tijd om gestructureerd en pragmatisch te werken aan volledige compliance voor de inwerkingtreding.

Een praktische aanpak in stappen:

1. Bepaal uw status: Gebruik de NIS2 Zelfevaluatietool van de RVO om vast te stellen of uw organisatie essentieel of belangrijk is en of u onder Nederlands toezicht valt.
2. Voer een risicoanalyse uit: De zorgplicht vereist passende maatregelen op basis van een gedegen risicobeoordeling. Begin hier zo snel mogelijk mee.
3. Implementeer minimummaatregelen: Denk aan beleid voor informatiebeveiliging, multi-factorauthenticatie, cryptografie, toegangsbeheer en bedrijfscontinuïteit.
4. Breng de toeleveringsketen in kaart: De NIS2-zorgplicht vereist dat u inzicht heeft in de cybersecuritymaatregelen van uw leveranciers. Inventariseer welke leveranciers kritieke systemen ondersteunen.
5. Richt een meldproces in: Zorg dat u een incident binnen 24 uur kunt melden. Dit vereist een werkend incidentresponsplan en duidelijke interne escalatielijnen.
6. Train uw bestuurders: De wet vereist dat bestuurders aantoonbaar kennis hebben van cybersecurityrisico’s. Begin met bewustwordingstraining voor de directie.
7. Registreer u bij het NCSC: Organisaties die onder de Cbw vallen, zijn verplicht zich te registreren. Vrijwillige registratie is nu al mogelijk en levert direct inzicht op in actuele dreigingen.

Voor overheidsorganisaties geldt als extra startpunt: zorg dat u al voldoet aan de huidige Baseline Informatiebeveiliging Overheid (BIO). De BIO2 dekt een groot deel van de NIS2-zorgplicht af en is het logische vertrekpunt voor de overheidssector. Een gestructureerd cyberonderzoek helpt om blinde vlekken in de huidige beveiliging snel zichtbaar te maken.

Hoe Q-Cyber helpt met NIS2-compliance

Wij begeleiden organisaties door het volledige NIS2-traject, van de eerste oriëntatie tot aantoonbare compliance. Onze aanpak combineert technische diepgang met beleidsmatige expertise, zodat u niet alleen aan de wet voldoet maar ook daadwerkelijk weerbaarder wordt. Concreet bieden wij:

• Gap-analyse en statusbepaling: We brengen in kaart waar uw organisatie staat ten opzichte van de NIS2-vereisten en welke stappen prioriteit hebben.
• Beleid op maat: Onze consultants schrijven het beveiligingsbeleid dat de wet vereist, afgestemd op uw sector en risicoprofiel.
• Bestuurderstraining: We verzorgen trainingen die de drie wettelijke leerdoelen dekken: risicoherkenning, maatregelbeoordeling en impactbeoordeling.
• Technische toetsing: Via red teaming en pentests toetsen we of uw technische maatregelen in de praktijk standhouden.
• Virtuele CISO: Via Continuous-Q bieden we een team van specialisten dat structureel de CISO-rol invult, inclusief NIS2-toezicht en rapportage.
• Onafhankelijk advies: We zijn niet gebonden aan softwarepartijen of leveranciers, zodat ons advies altijd in uw belang is.

De NIS2-gevolgen bij niet-naleving zijn reëel en de handhaving komt eraan. Wie nu in actie komt, staat straks sterk. Neem contact op voor een vrijblijvend gesprek over uw NIS2-situatie.

Lees meer

Wat zijn de boetes als je niet voldoet aan NIS2?

Geplaatst op: 29 augustus 2026

Als je niet voldoet aan de NIS2-richtlijn, kunnen de boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4% van de jaaromzet voor belangrijke entiteiten. De precieze hoogte hangt af van de ernst van de overtreding, de categorie van de organisatie en het oordeel van de toezichthouder. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-boetes, handhaving en wat je kunt doen om risico’s te beperken.

Hoe hoog kunnen de NIS2-boetes oplopen?

De NIS2-boetes zijn verdeeld op basis van de categorie van de organisatie. Essentiële entiteiten riskeren boetes van maximaal 10 miljoen euro of 2% van de totale wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Belangrijke entiteiten kunnen worden beboet tot 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.

Deze maxima zijn vergelijkbaar met de boetesystematiek onder de AVG en zijn bewust hoog gesteld om organisaties te dwingen cybersecurity serieus te nemen. De toezichthouder kijkt bij het bepalen van de boetehoogte naar factoren zoals de ernst en duur van de overtreding, of er sprake is van herhaling, de mate van samenwerking met de toezichthouder en de schade die is ontstaan voor derden.

Naast financiële sancties kan de toezichthouder ook tijdelijke operationele beperkingen opleggen, zoals het verbod om bepaalde diensten aan te bieden totdat de situatie is hersteld. Voor bestuurders geldt bovendien dat zij bij ernstige overtredingen persoonlijk aansprakelijk kunnen worden gesteld. Dat maakt NIS2-compliance niet alleen een operationele kwestie, maar ook een boardroomverantwoordelijkheid.

Welke organisaties vallen onder de NIS2-boetebevoegdheid?

De NIS2-boetebevoegdheid geldt voor alle organisaties die onder de reikwijdte van de richtlijn vallen: zowel essentiële als belangrijke entiteiten in aangewezen sectoren. In Nederland gaat het naar schatting om meer dan 10.000 organisaties die direct onder de wet vallen, en nog eens circa 50.000 toeleveranciers die indirect met de eisen te maken krijgen.

De richtlijn onderscheidt twee categorieën:

• Essentiële entiteiten: organisaties in sectoren zoals energie, transport, drinkwater, financiële infrastructuur, gezondheidszorg en digitale infrastructuur. Zij vallen onder het strengste toezichtsregime en de hoogste boetes.
• Belangrijke entiteiten: organisaties in sectoren zoals post- en koeriersdiensten, afvalstoffenbeheer, levensmiddelen, chemische industrie en digitale aanbieders. Voor hen gelden iets lagere maximumboetes, maar de verplichtingen zijn grotendeels gelijk.

Ook overheidsorganisaties vallen onder de wet. Alle bestuurslagen, van gemeenten tot ministeries, worden als essentiële entiteit aangemerkt. De NIS2-complianceverplichtingen gelden dus breed: van een middelgrote gemeente tot een grote energieleverancier. Of jouw organisatie onder de wet valt, kun je controleren via de NIS2 Zelfevaluatietool van de RVO.

Wie handhaaft de NIS2-regels in Nederland?

In Nederland is de Rijksinspectie Digitale Infrastructuur (RDI) aangewezen als primaire toezichthouder voor de overheidssector. Voor waterschappen is dat de Inspectie Leefomgeving en Transport (ILT). Per sector kunnen ook andere toezichthouders een rol spelen, afhankelijk van de sectorale ministeriële regelingen die onder de Cyberbeveiligingswet worden vastgesteld.

De Cyberbeveiligingswet (Cbw), de Nederlandse vertaling van de NIS2-richtlijn, is op 4 juni 2025 ingediend bij de Tweede Kamer. Inwerkingtreding wordt verwacht in het tweede kwartaal van 2026. Zodra de wet van kracht is, kunnen toezichthouders actief handhaven, inclusief het opleggen van boetes en het uitvoeren van audits.

De RDI maakt voor het toezicht op gemeenten gebruik van de bestaande ENSIA-methodiek, zodat de administratieve lasten beperkt blijven. Voor rijkspartijen worden de jaarlijkse Informatiebeveiligingsbeelden van de Auditdienst Rijk (ADR) en rapportages van de Algemene Rekenkamer (ARK) ingezet. De verwachting is dat toezichthouders minder intensief hoeven in te grijpen naarmate organisaties volwassener worden in hun informatiebeveiligingspraktijk.

Waarvoor worden NIS2-boetes precies opgelegd?

NIS2-boetes worden opgelegd bij schending van de twee kernverplichtingen uit de richtlijn: de zorgplicht en de meldplicht. De zorgplicht verplicht organisaties passende technische en organisatorische maatregelen te nemen om cyberrisico’s te beheersen. De meldplicht verplicht organisaties significante incidenten tijdig te melden bij de bevoegde autoriteiten.

Schendingen van de zorgplicht

De zorgplicht omvat een breed pakket aan maatregelen, waaronder beleid voor systeembeveiliging, toegangsbeheer, cryptografie, supply chain-beveiliging en bedrijfscontinuïteit. Als een organisatie aantoonbaar tekortschiet in het implementeren van deze maatregelen, kan de toezichthouder ingrijpen. Ook het ontbreken van een trainingsplicht voor bestuurders valt hieronder: alle leden van het bestuur zijn verplicht een opleiding te volgen die hen leert risico’s te herkennen, maatregelen te beoordelen en de impact daarvan voor de organisatie in te schatten.

Schendingen van de meldplicht

Bij een significant cyberincident geldt een strikte meldtermijn. Organisaties moeten binnen 24 uur een eerste melding doen bij de bevoegde autoriteit of het CSIRT, gevolgd door een aanvullende melding binnen 72 uur en een eindverslag uiterlijk een maand na het incident. Het niet of te laat melden van een incident is een zelfstandige grond voor een boete, los van de vraag of het incident zelf het gevolg was van nalatigheid.

Wat zijn de niet-financiële gevolgen van NIS2-non-compliance?

Naast financiële boetes heeft het niet voldoen aan de NIS2-richtlijn ook aanzienlijke niet-financiële gevolgen. De toezichthouder heeft de bevoegdheid om tijdelijke operationele maatregelen op te leggen, zoals het verbieden van bepaalde diensten of het verplichten van externe audits. In ernstige gevallen kan een bestuurder persoonlijk aansprakelijk worden gesteld.

De reputatieschade die gepaard gaat met een publiek bekendgemaakt handhavingstraject is voor veel organisaties minstens zo impactvol als de boete zelf. Klanten, partners en aanbestedende diensten hechten steeds meer waarde aan aantoonbare cybersecurity-volwassenheid. Wie niet voldoet aan NIS2, loopt het risico uitgesloten te worden van aanbestedingen of contracten te verliezen.

Ook de supply chain speelt een rol. Organisaties die leveren aan NIS2-entiteiten krijgen te maken met informatieverzoeken over hun eigen cybersecuritymaatregelen. Wie daar geen goed antwoord op heeft, riskeert zijn positie als leverancier. De NIS2-verplichtingen werken daarmee indirect door in de gehele keten, ook voor bedrijven die zelf niet direct onder de wet vallen.

Hoe verklein je het risico op NIS2-sancties?

Het risico op NIS2-sancties verklein je door structureel en aantoonbaar te werken aan cybersecurity: niet als eenmalig project, maar als doorlopend proces dat is ingebed in beleid, processen en bestuur. De volgende stappen vormen een praktisch vertrekpunt:

• Bepaal of je organisatie onder de wet valt via de NIS2 Zelfevaluatietool van de RVO of de flowchart van het NCSC.
• Voer een gap-analyse uit om te zien welke maatregelen al aanwezig zijn en wat er nog ontbreekt ten opzichte van de NIS2-zorgplicht.
• Implementeer een risicogebaseerd beveiligingsbeleid dat toegangsbeheer, cryptografie, incidentrespons en supply chain-beveiliging omvat.
• Train bestuurders zodat zij risico’s kunnen herkennen, maatregelen kunnen beoordelen en hun verantwoordelijkheid kunnen dragen.
• Stel een meldprocedure in zodat je bij een incident snel kunt handelen en binnen de wettelijke termijnen kunt melden.
• Breng je toeleveringsketen in kaart en zorg dat je inzicht hebt in de cybersecuritymaatregelen van je leveranciers.
• Laat periodiek testen uitvoeren, zoals een penetratietest of een red team oefening, om kwetsbaarheden proactief te identificeren.

Wie nu al aan de slag gaat, is beter voorbereid op het moment dat de Cyberbeveiligingswet in werking treedt. De risico’s zijn er immers al, ongeacht of de wet formeel van kracht is.

Hoe Q-Cyber helpt met NIS2-compliance

Wij begeleiden organisaties door het volledige NIS2-traject: van de eerste oriëntatie tot een aantoonbaar compliant beveiligingsbeleid. Onze aanpak is pragmatisch, onafhankelijk en volledig afgestemd op jouw specifieke risicoprofiel. We zijn niet gebonden aan softwarepartijen of toeleveranciers, waardoor we altijd het advies geven dat het beste bij jouw organisatie past.

Wat we voor je kunnen doen:

• Een gap-analyse uitvoeren om te bepalen waar je organisatie staat ten opzichte van de NIS2-vereisten
• Beleid schrijven op maat, inclusief incidentresponsplannen, toegangsbeleid en supply chain-procedures
• Bestuurderstrainingen verzorgen die voldoen aan de trainingsplicht uit de Cyberbeveiligingswet
• Technische tests uitvoeren, zoals pentesten en phishing-simulaties, om kwetsbaarheden bloot te leggen
• Ondersteuning bieden via onze virtual CISO-dienst voor doorlopend advies en toezicht op je cybersecurityprogramma

Wil je weten waar jouw organisatie staat en welke stappen als eerste gezet moeten worden? Neem contact op en we kijken samen wat de beste aanpak is voor jouw situatie.

Lees meer

Wat is DDoS en hoe bescherm je je ertegen?

Geplaatst op: 28 augustus 2026

Een DDoS-aanval, voluit Distributed Denial of Service, is een cyberaanval waarbij een aanvaller een systeem, netwerk of website overspoelt met zo veel verkeer dat het niet meer bereikbaar is voor legitieme gebruikers. Het doel is geen diefstal van data, maar verstoring: de dienst platleggen. DDoS-aanvallen treffen zowel grote bedrijven als kleine organisaties en overheidsinstanties, en de gevolgen kunnen variëren van reputatieschade tot aanzienlijke financiële verliezen. In dit artikel beantwoorden we de meest gestelde vragen over DDoS-aanvallen en wat je eraan kunt doen.

Hoe werkt een DDoS-aanval technisch gezien?

Een DDoS-aanval werkt door een doelwit te overspoelen met verkeer vanuit een groot aantal gecompromitteerde systemen tegelijk. Die systemen, samen een botnet genoemd, sturen massaal verzoeken naar de server of het netwerk van het slachtoffer totdat de capaciteit is uitgeput en het systeem niet meer reageert op normale gebruikers.

De aanvaller bestuurt het botnet op afstand, vaak zonder dat de eigenaren van de betrokken apparaten hier iets van merken. Denk aan geïnfecteerde thuiscomputers, slecht beveiligde IoT-apparaten of servers die via malware zijn overgenomen. Omdat het verkeer uit duizenden of zelfs miljoenen bronnen tegelijk komt, is het lastig om de aanval eenvoudig te blokkeren.

Technisch gezien zijn er drie hoofdvormen:

• Volumetrische aanvallen: overspoelen de bandbreedte met enorme hoeveelheden data, zoals bij UDP floods of DNS amplification-aanvallen.
• Protocol-aanvallen: misbruiken zwakheden in netwerkprotocollen, zoals SYN floods die de verbindingstabel van een server vollopen.
• Applicatielaag-aanvallen: richten zich op specifieke webapplicaties met ogenschijnlijk legitieme verzoeken, waardoor ze moeilijker te detecteren zijn.

De kracht van een moderne DDoS-aanval zit in de combinatie van schaal en slimheid. Aanvallers gebruiken steeds vaker meerdere technieken tegelijk om verdedigingsmaatregelen te omzeilen.

Wat zijn de meest voorkomende doelwitten van DDoS-aanvallen?

De meest voorkomende doelwitten van DDoS-aanvallen zijn organisaties waarbij beschikbaarheid cruciaal is: e-commerceplatforms, financiële instellingen, overheidswebsites, gamingdiensten en aanbieders van kritieke infrastructuur. Elke minuut downtime heeft voor deze partijen directe operationele of financiële gevolgen.

Overheidsinstanties worden regelmatig getroffen, zeker in tijden van geopolitieke spanningen. Hacktivisten en staatsgelieerde groepen zetten DDoS-aanvallen in als politiek drukmiddel. Gemeenten, ministeries en publieke dienstverleners zijn daardoor kwetsbaar, ook al beschikken ze niet altijd over de middelen van een grote commerciële organisatie.

Kleinere bedrijven denken soms dat ze geen interessant doelwit zijn, maar dat klopt niet. Zij worden juist aangevallen vanwege hun relatief zwakke beveiliging. Concurrenten, criminelen die losgeld eisen of simpelweg kwaadwillenden kunnen een DDoS-aanval inzetten als afpersingsmiddel of als afleiding voor een andere aanval.

Sectoren die extra aandacht verdienen op het gebied van NIS2-regelgeving en cyberbeveiliging zijn onder meer energie, transport, gezondheidszorg en digitale infrastructuur. Juist voor deze sectoren geldt dat een DDoS-aanval niet alleen de organisatie zelf raakt, maar ook de samenleving.

Hoe herken je een DDoS-aanval op je netwerk?

Je herkent een DDoS-aanval aan een plotselinge, onverklaarbare toename van netwerkverkeer die gepaard gaat met trage of onbereikbare diensten. Het verschil met gewone drukte is de snelheid en de omvang van de stijging, en het feit dat het verkeer vaak afkomstig is van ongebruikelijke of geografisch gespreide bronnen.

Concrete signalen om op te letten zijn:

• Een website of applicatie reageert extreem traag of is helemaal niet bereikbaar.
• Netwerkmonitoring toont een abnormale piek in inkomend verkeer, zonder bijbehorende stijging in legitiem gebruik.
• Servers geven foutmeldingen of crashen herhaaldelijk zonder duidelijke technische oorzaak.
• Verkeersanalyse laat zien dat veel verzoeken afkomstig zijn van hetzelfde IP-bereik of land.
• Medewerkers of klanten melden dat een dienst plots niet meer werkt.

Het probleem is dat een DDoS-aanval in eerste instantie kan lijken op een technische storing of een onverwacht hoge belasting door een marketingcampagne. Goede netwerkmonitoring en logging zijn daarom essentieel om snel onderscheid te maken. Zonder die zichtbaarheid verlies je kostbare tijd voordat je in actie kunt komen.

Welke maatregelen beschermen tegen een DDoS-aanval?

Effectieve DDoS-bescherming bestaat uit een combinatie van technische maatregelen, een doordachte netwerkarchitectuur en een voorbereid responsplan. Er bestaat geen enkele maatregel die alle aanvallen stopt, maar een gelaagde aanpak verkleint de impact aanzienlijk.

Technische beveiligingsmaatregelen

Op technisch niveau zijn dit de belangrijkste stappen:

• Rate limiting: beperk het aantal verzoeken dat een IP-adres per seconde mag sturen.
• Anycast-netwerken: verspreid inkomend verkeer over meerdere servers wereldwijd, zodat geen enkel punt overbelast raakt.
• Firewalls en intrusion prevention systems (IPS): filter verdacht verkeer op basis van gedragspatronen.
• Content Delivery Networks (CDN): absorberen verkeer en verbergen het echte IP-adres van de server.
• Blackholing en traffic scrubbing: leid kwaadaardig verkeer om naar een leeg eindpunt of filter het via een schoonmaakdienst.

Organisatorische voorbereiding

Techniek alleen is niet genoeg. Organisaties moeten ook voorbereid zijn op het moment dat een aanval plaatsvindt:

• Stel een incidentresponsplan op dat specifiek ingaat op DDoS-scenario’s.
• Zorg voor duidelijke contactlijnen met je internetprovider en hostingpartij, zodat je snel kunt opschalen of verkeer kunt omleggen.
• Test regelmatig hoe je systemen reageren op hoge belasting, bijvoorbeeld via een pentest of belastingtest.
• Zorg dat medewerkers weten hoe ze een aanval herkennen en aan wie ze dit melden.

Organisaties die onder de NIS2-richtlijn vallen, zijn bovendien verplicht om maatregelen te nemen voor bedrijfscontinuïteit en crisisbeheer. DDoS-bescherming past daar direct in.

Wanneer is professionele DDoS-mitigatie noodzakelijk?

Professionele DDoS-mitigatie is noodzakelijk zodra de aanvallen groter, frequenter of geavanceerder zijn dan wat je eigen infrastructuur en internetprovider aankunnen. Voor organisaties waarbij beschikbaarheid een kritieke bedrijfsfunctie is, is het geen luxe maar een basisvereiste.

Zelf beheerde maatregelen hebben grenzen. Een aanval van honderden gigabits per seconde overspoelt de meeste standaard beveiligingsoplossingen. Gespecialiseerde DDoS-mitigatiediensten beschikken over scrubbing-centra die enorme hoeveelheden verkeer kunnen verwerken en filteren voordat het je netwerk bereikt.

Overweeg professionele DDoS-beveiliging in de volgende situaties:

• Je organisatie heeft eerder een DDoS-aanval meegemaakt die leidde tot downtime.
• Je biedt kritieke diensten aan waarbij elke minuut uitval directe schade veroorzaakt, financieel of maatschappelijk.
• Je valt onder NIS2 of vergelijkbare regelgeving die beschikbaarheid als verplichting stelt.
• Je organisatie is actief in een sector die regelmatig wordt aangevallen, zoals overheid, financiën of gezondheidszorg.
• Je groeit snel en je huidige infrastructuur is niet ontworpen voor grote verkeerspieken.

Naast technische mitigatie is het verstandig om je algehele cyberweerbaarheid te laten beoordelen. Cyber research en dreigingsanalyse geven inzicht in hoe realistisch een DDoS-aanval voor jouw organisatie is en welke aanvullende risico’s er spelen.

Hoe Q-Cyber helpt met DDoS-beveiliging en cyberweerbaarheid

Een DDoS-aanval is zelden een op zichzelf staand incident. Het is vaak onderdeel van een bredere aanvalsstrategie of een signaal dat de basisbeveiliging van een organisatie niet op orde is. Wij helpen organisaties om van reactieve beveiliging over te stappen naar structurele, dynamische weerbaarheid.

Wat we concreet voor je kunnen doen:

• Gap-analyse en risicoassessment: we brengen in kaart waar je organisatie kwetsbaar is voor DDoS en andere dreigingen.
• Pentesting en vulnerability scans: we testen actief hoe je systemen reageren op aanvallen, inclusief DDoS-simulaties.
• Beleidsvorming en incidentresponsplanning: we schrijven praktisch beleid dat aansluit op jouw organisatie en voldoet aan NIS2-vereisten.
• Virtuele CISO via Continuous-Q: een team van specialisten dat continu meekijkt en adviseert, ook bij acute dreigingen.
• Onafhankelijk advies: we zijn niet gebonden aan softwarepartijen of leveranciers, zodat ons advies altijd in jouw belang is.

Wil je weten hoe goed jouw organisatie bestand is tegen een DDoS-aanval of andere cyberdreigingen? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Cyberaanvallen op het mkb: de meest voorkomende soorten

Geplaatst op: 27 augustus 2026

Cyberaanvallen op het mkb zijn aan de orde van de dag. De meest voorkomende soorten zijn phishing, ransomware, CEO-fraude en aanvallen via zwakke wachtwoorden of onbeveiligde systemen. Mkb-bedrijven worden steeds vaker en gerichter aangevallen, juist omdat ze waardevolle data bezitten maar vaak minder goed beveiligd zijn dan grote organisaties. Dit artikel behandelt de belangrijkste cyberdreigingen voor het mkb en legt uit hoe je ze herkent en aanpakt.

Waarom zijn mkb-bedrijven zo vaak het doelwit van aanvallen?

Mkb-bedrijven zijn aantrekkelijke doelwitten voor cybercriminelen omdat ze waardevolle data en financiële middelen hebben, maar doorgaans minder investeren in cybersecurity dan grote ondernemingen. Aanvallers weten dat de kans op succes bij een mkb-bedrijf groter is: minder beveiligingslagen, minder gespecialiseerde IT-medewerkers en minder bewustzijn op de werkvloer.

Daar komt bij dat mkb-bedrijven steeds vaker onderdeel zijn van de toeleveringsketen van grotere organisaties. Aanvallers gebruiken een kleiner, minder goed beveiligd bedrijf als opstap naar een groter doelwit. Dit maakt het mkb niet alleen een doelwit op zichzelf, maar ook een indirecte kwetsbaarheid voor de hele keten.

Een andere factor is de aanname die veel ondernemers zichzelf aanpraten: “wij zijn te klein om interessant te zijn.” Die gedachte is gevaarlijk. Cybercriminelen werken grotendeels geautomatiseerd. Ze scannen het internet op kwetsbare systemen, sturen phishing-mails in bulk en zoeken naar zwakke plekken zonder te kijken naar de omvang van een bedrijf. Wie niet beveiligd is, wordt vroeg of laat geraakt.

Wat is phishing en hoe herken je het als mkb?

Phishing is een aanvalstechniek waarbij cybercriminelen zich voordoen als een betrouwbare partij, zoals een bank, leverancier of collega, om medewerkers te verleiden gevoelige informatie te delen of op een kwaadaardige link te klikken. Voor het mkb is phishing de meest voorkomende ingang voor cyberaanvallen, omdat het inspeelt op menselijk gedrag in plaats van technische kwetsbaarheden.

Phishing-berichten worden steeds overtuigender. Waar vroeger spelfouten en vreemde afzenders de norm waren, zien moderne phishing-mails er professioneel uit en zijn ze soms gepersonaliseerd op basis van openbaar beschikbare informatie over het bedrijf of de ontvanger. Dit noemen we spear phishing: gerichte aanvallen op specifieke personen binnen een organisatie, zoals de financieel medewerker of de directeur.

Herkenningspunten voor phishing zijn onder andere:

• Een onverwacht verzoek om inloggegevens, betalingen of persoonlijke informatie
• Een afzenderadres dat lijkt op een bekend adres maar net iets afwijkt (bijvoorbeeld info@leverancier-nl.com in plaats van info@leverancier.nl)
• Links die naar een ander domein leiden dan verwacht (check altijd de URL voor je klikt)
• Urgentie of druk in de berichtinhoud: “handel direct, anders wordt uw account geblokkeerd”
• Bijlagen die je niet verwachtte te ontvangen

Naast e-mail komt phishing ook voor via sms (smishing) en telefoongesprekken (vishing). Bewustzijn bij medewerkers is de eerste en meest effectieve verdedigingslinie. Een phishingtest kan inzichtelijk maken hoe kwetsbaar een organisatie in de praktijk is.

Hoe werkt een ransomware-aanval op een mkb-bedrijf?

Bij een ransomware-aanval versleutelen cybercriminelen de bestanden en systemen van een bedrijf, waarna ze losgeld eisen in ruil voor de sleutel om de data te ontgrendelen. Voor mkb-bedrijven kan zo’n aanval desastreus zijn: de bedrijfsvoering valt stil, klantdata is onbereikbaar en de herstelkosten lopen snel op.

Een ransomware-aanval begint bijna altijd met een initiële toegang tot het netwerk. Dit gebeurt via een phishing-mail met een kwaadaardige bijlage, via een zwak wachtwoord op een extern toegankelijk systeem, of via een kwetsbaarheid in software die niet tijdig is bijgewerkt. Eenmaal binnen verspreidt de ransomware zich snel door het netwerk voordat de versleuteling begint.

Wat ransomware voor het mkb extra gevaarlijk maakt, is de combinatie van twee afpersingstactieken die aanvallers steeds vaker inzetten: naast het versleutelen van data dreigen ze ook met het publiceren van gestolen bedrijfsinformatie. Betalen geeft bovendien geen garantie dat de data daadwerkelijk wordt teruggegeven of dat de aanvallers zich niet opnieuw toegang hebben verschaft.

De beste bescherming bestaat uit een combinatie van regelmatige, offline back-ups, het tijdig patchen van systemen en het beperken van toegangsrechten binnen de organisatie. Wie een goede back-upstrategie heeft, hoeft geen losgeld te betalen om de bedrijfsvoering te herstellen.

Welke andere soorten cyberaanvallen treffen het mkb?

Naast phishing en ransomware zijn er meerdere andere cyberdreigingen die het mkb regelmatig treffen. De bekendste zijn CEO-fraude, aanvallen via zwakke of gestolen inloggegevens, en misbruik van kwetsbaarheden in software of netwerkapparatuur.

CEO-fraude en Business Email Compromise (BEC)

Bij CEO-fraude doen aanvallers zich voor als een directeur of leidinggevende en instrueren ze een medewerker om snel een betaling te doen of gevoelige informatie te delen. Deze aanvallen zijn gericht, overtuigend en leiden direct tot financiële schade. Mkb-bedrijven zijn kwetsbaar omdat beslissingen vaak snel worden genomen en er minder formele goedkeuringsprocessen zijn.

Credential stuffing en zwakke wachtwoorden

Aanvallers maken gebruik van grote databases met eerder gestolen gebruikersnamen en wachtwoorden. Ze proberen deze combinaties automatisch uit op andere diensten, in de hoop dat medewerkers hetzelfde wachtwoord op meerdere plekken gebruiken. Zonder multi-factor authenticatie (MFA) is één gestolen wachtwoord genoeg om toegang te krijgen tot bedrijfssystemen.

Aanvallen op slecht beveiligde software en apparaten

Routers, firewalls en software met bekende kwetsbaarheden die niet tijdig worden bijgewerkt, vormen een open deur voor aanvallers. Dit geldt ook voor cloudapplicaties en externe toegangspunten zoals VPN-verbindingen. Aanvallers scannen het internet continu op zulke zwakke plekken.

Wat zijn de gevolgen van een cyberaanval voor een mkb-bedrijf?

De gevolgen van een cyberaanval op een mkb-bedrijf zijn direct en ingrijpend: stilliggende bedrijfsprocessen, financiële schade door herstelkosten of losgeld, reputatieschade bij klanten en leveranciers, en mogelijk juridische consequenties bij het lekken van persoonsgegevens. Voor kleinere bedrijven zonder buffer kan een aanval het voortbestaan van de onderneming bedreigen.

De directe financiële schade omvat niet alleen eventueel betaald losgeld, maar ook de kosten van IT-herstel, verloren productiviteit en het inschakelen van externe specialisten. Daarbovenop komen de indirecte kosten: klanten die weglopen door verminderd vertrouwen, boetes bij het niet tijdig melden van datalekken aan de Autoriteit Persoonsgegevens, en mogelijke aansprakelijkheid richting klanten of partners.

Mkb-bedrijven die onderdeel zijn van de toeleveringsketen van grotere organisaties lopen ook het risico dat een aanval hun contractuele positie schaadt. Onder wetgeving zoals NIS2 worden eisen aan de cyberveiligheid van leveranciers steeds concreter. Wie niet kan aantonen dat de beveiliging op orde is, riskeert contracten te verliezen.

Hoe kan een mkb-bedrijf zich beschermen tegen cyberaanvallen?

Een mkb-bedrijf beschermt zich het effectiefst tegen cyberaanvallen door een combinatie van technische basismaatregelen, bewustwording bij medewerkers en een duidelijk beleid voor wat te doen als er iets misgaat. Perfecte beveiliging bestaat niet, maar een goed beveiligd mkb is een stuk minder aantrekkelijk doelwit dan een onbeveiligd bedrijf.

Concrete stappen die elk mkb-bedrijf kan zetten:

• Zet multi-factor authenticatie (MFA) in op alle accounts, zeker op e-mail, clouddiensten en externe toegangspunten
• Maak regelmatig back-ups en bewaar ze op een locatie die losstaat van het primaire netwerk (offline of in een aparte cloudomgeving)
• Houd software en apparaten up-to-date door updates en beveiligingspatches direct te installeren
• Train medewerkers in het herkennen van phishing en andere social engineering-aanvallen
• Beperk toegangsrechten zodat medewerkers alleen toegang hebben tot systemen en data die ze voor hun werk nodig hebben
• Stel een incidentresponsplan op zodat iedereen weet wat te doen bij een aanval: wie bel je, wat leg je vast, wanneer meld je bij de Autoriteit Persoonsgegevens?

Aanvullend is het verstandig om periodiek te laten testen hoe weerbaar de organisatie in de praktijk is. Een vulnerability scan of pentest brengt kwetsbaarheden in kaart voordat aanvallers ze vinden. Zo verschuift de aanpak van reactief naar proactief.

Hoe Q-Cyber helpt bij bescherming tegen cyberaanvallen op het mkb

Bij Q-Cyber helpen wij mkb-bedrijven om van reactieve beveiliging naar echte, dynamische weerbaarheid te groeien. We bieden geen standaardpakketten, maar pragmatische oplossingen die aansluiten op de specifieke situatie van jouw organisatie. Onze aanpak is volledig onafhankelijk: wij zijn niet gebonden aan softwarepartijen of andere leveranciers, waardoor ons advies altijd in jouw belang is.

Wat wij voor het mkb doen:

• Phishing-simulaties en vulnerability scans om de werkelijke kwetsbaarheid van jouw organisatie in kaart te brengen
• Bewustzijnstrainingen voor medewerkers zodat het menselijke aspect van cyberbeveiliging wordt versterkt
• Beleidsvorming en advies op het gebied van cybersecurity, inclusief NIS2-compliance voor bedrijven die daarmee te maken krijgen
• Virtuele CISO-diensten via Continuous-Q voor organisaties die behoefte hebben aan structurele begeleiding zonder een fulltime beveiligingsexpert in dienst te nemen
• Red team-testen waarbij een ethische hacker als gesimuleerde aanvaller jouw verdediging op de proef stelt

Wil je weten hoe jouw mkb-bedrijf er op dit moment voor staat? Neem contact op met Q-Cyber voor een vrijblijvend gesprek. We helpen je concreet en zonder omhaal verder.

Lees meer

Hoe vergroot je de digitale weerbaarheid van je mkb?

Geplaatst op: 26 augustus 2026

De digitale weerbaarheid van je mkb vergroot je door een combinatie van technische maatregelen, organisatorisch beleid en een cultuur van bewustzijn. Cybersecurity is voor het midden- en kleinbedrijf geen luxe meer, maar een basisvoorwaarde voor continuïteit. In dit artikel beantwoorden we de meest gestelde vragen over cyberbeveiliging voor het mkb, van de grootste dreigingen tot de praktische stappen richting echte weerbaarheid.

Wat zijn de grootste cyberdreigingen voor het mkb?

De grootste cyberdreigingen voor het mkb zijn ransomware, phishing, zwakke toegangsbeveiliging en aanvallen via de toeleveringsketen. Mkb-bedrijven worden steeds vaker doelgericht aangevallen, juist omdat aanvallers weten dat de verdediging minder volwassen is dan bij grote organisaties. Dat maakt cybersecurity voor het midden- en kleinbedrijf urgenter dan ooit.

Ransomware treft mkb-bedrijven hard: systemen worden versleuteld, de bedrijfsvoering valt stil en er wordt losgeld geëist. Phishing is de meest gebruikte aanvalsmethode om toegang te krijgen tot systemen, vaak via overtuigende e-mails die medewerkers verleiden om inloggegevens af te geven of malware te installeren. Zwakke wachtwoorden en het ontbreken van multi-factorauthenticatie maken het aanvallers gemakkelijk.

Een onderschat risico is de supply chain: als een leverancier of softwarepakket dat jij gebruikt wordt gecompromitteerd, kunnen aanvallers via die weg jouw organisatie binnenkomen. De NIS2-richtlijn benoemt supply chain security dan ook expliciet als minimumvereiste. Voor het mkb betekent dit dat digitale veiligheid niet stopt bij de eigen organisatiegrens.

Hoe weet je hoe kwetsbaar je organisatie op dit moment is?

Je weet hoe kwetsbaar je organisatie is door een combinatie van een vulnerability scan, een phishingsimulatie en een risicoanalyse van je processen en systemen. Zonder meting weet je niet waar de zwakke plekken zitten. Een gestructureerde beoordeling geeft inzicht in de werkelijke staat van je digitale veiligheid.

Een penetratietest of pentest gaat verder dan een automatische scan: een ethische hacker probeert actief in te breken op je systemen, net zoals een echte aanvaller dat zou doen. Dit brengt kwetsbaarheden aan het licht die geautomatiseerde tools missen. Een phishingsimulatie test hoe medewerkers reageren op nep-aanvallen en geeft inzicht in het menselijke risico.

Naast technische tests is het belangrijk om ook je beleidsmatige en organisatorische volwassenheid in kaart te brengen. Heb je een incidentresponsplan? Is er toegangsbeleid voor systemen? Weet iedereen wat te doen bij een verdacht bericht? Deze vragen zijn minstens zo relevant als de technische kwetsbaarheden. Een risicoanalyse die beide dimensies combineert, geeft het meest complete beeld van je cyberweerbaarheid.

Welke maatregelen verhogen de digitale weerbaarheid het meest?

De maatregelen die de digitale weerbaarheid van het mkb het meest verhogen zijn multi-factorauthenticatie, regelmatige back-ups, patchbeheer, medewerkerstraining en een helder incidentresponsplan. Deze basismaatregelen sluiten de meest voorkomende aanvalsvectoren af en vormen de fundering voor bredere cybersecurity.

Concreet zijn dit de prioriteiten:

• Multi-factorauthenticatie (MFA): voeg een extra verificatiestap toe bij inloggen, zodat een gestolen wachtwoord alleen niet voldoende is voor toegang.
• Regelmatige back-ups: zorg voor offline of geïsoleerde back-ups van kritieke data, zodat je bij ransomware niet afhankelijk bent van het betalen van losgeld.
• Patchbeheer: houd software, besturingssystemen en applicaties up-to-date om bekende kwetsbaarheden te dichten.
• Medewerkerstraining: mensen zijn de eerste verdedigingslinie. Train ze regelmatig in het herkennen van phishing en veilig gedrag online.
• Incidentresponsplan: weet wat je doet als het toch misgaat. Wie belt wie? Wat wordt er afgesloten? Hoe informeer je klanten?
• Toegangsbeveiliging: geef medewerkers alleen toegang tot de systemen en data die ze echt nodig hebben voor hun werk.

Organisaties die deze basismaatregelen op orde hebben, zijn al weerbaarder dan het gemiddelde mkb-bedrijf. Vanuit daar kun je stap voor stap uitbreiden naar een volwassener beveiligingsniveau.

Wat is het verschil tussen een statische en dynamische beveiligingsaanpak?

Een statische beveiligingsaanpak bouwt vaste verdedigingen zoals firewalls en antivirussoftware en gaat ervan uit dat die muren standhouden. Een dynamische aanpak behandelt beveiliging als een levend systeem dat continu wordt gemonitord, getest en aangepast aan nieuwe dreigingen. Het verschil zit in de grondhouding: reactief versus proactief.

De traditionele statische aanpak heeft lang de standaard gevormd in de cybersecuritywereld. Het probleem is dat elke muur kan worden doorbroken. Aanvallers ontwikkelen zich voortdurend, en een verdediging die vorig jaar afdoende was, is dat vandaag misschien niet meer. Een statisch beveiligde organisatie merkt een inbraak vaak pas weken of maanden later op.

Bij een dynamische aanpak staat weerbaarheid centraal in plaats van bescherming. Dat betekent continu monitoren van netverkeer en systemen, regelmatig testen van de beveiliging via security assessments, snel reageren op signalen en leren van incidenten. Beveiliging is geen project dat je afrondt, maar een capaciteit die je onderhoudt en versterkt. Voor het mkb betekent dit dat cybersecurity structureel moet worden ingebed in de bedrijfsvoering, niet als eenmalige actie.

Wanneer heeft een mkb-bedrijf een vCISO nodig?

Een mkb-bedrijf heeft een virtuele CISO (vCISO) nodig zodra de complexiteit van de digitale omgeving of de regelgeving vraagt om strategisch beveiligingsleiderschap, maar de organisatie te klein is om een fulltime Chief Information Security Officer in dienst te nemen. Een vCISO biedt de expertise van een ervaren beveiligingsstrateeg op flexibele, kostenefficiënte basis.

Concrete signalen dat een vCISO meerwaarde biedt:

• Je organisatie valt of dreigt te vallen onder NIS2 of andere regelgeving en weet niet hoe je compliance aanpakt.
• Er is geen interne eigenaar voor cybersecurity en niemand die het overzicht bewaakt.
• Klanten of partners stellen steeds vaker eisen aan jouw beveiligingsniveau.
• Je hebt een incident gehad en wilt structureel verbeteren, maar weet niet hoe.
• Je wilt beleid schrijven, risico’s beheersen en een beveiligingsstrategie ontwikkelen zonder een dure fulltime aanstelling.

Een virtuele CISO via Continuous-Q werkt als een team van specialisten dat de strategische en beleidsmatige verantwoordelijkheid op zich neemt. Ze adviseren het management, bewaken de voortgang van beveiligingsmaatregelen en zorgen voor aansluiting op wet- en regelgeving. Voor het mkb is dit vaak de meest pragmatische route naar een volwassen beveiligingsniveau.

Hoe voldoet het mkb aan de NIS2-richtlijn?

Het mkb voldoet aan de NIS2-richtlijn door eerst te bepalen of de organisatie onder de wet valt, vervolgens een risicobeoordeling uit te voeren en daarna de vereiste technische en organisatorische maatregelen te implementeren. De NIS2-richtlijn is in Nederland vertaald naar de Cyberbeveiligingswet, waarvan de inwerkingtreding verwacht wordt in het tweede kwartaal van 2026.

Niet elk mkb-bedrijf valt direct onder NIS2. De wet richt zich op organisaties in essentiële en belangrijke sectoren boven een bepaalde omvang. Maar ook mkb-bedrijven die leveren aan organisaties die wel onder NIS2 vallen, krijgen indirect met de eisen te maken via supply chain-verplichtingen. Naar schatting hebben ruim 50.000 bedrijven in Nederland indirect met de richtlijn te maken.

De stappen voor mkb-organisaties die willen voldoen aan NIS2-regelgeving:

1. Bepaal of je onder de wet valt via de NIS2 Zelfevaluatietool op regelhulpenvoorbedrijven.nl.
2. Voer een risicoanalyse uit en breng de kwetsbaarheden in kaart.
3. Implementeer de verplichte maatregelen, waaronder beleid voor informatiebeveiliging, toegangsbeheer, cryptografie, incidentrespons en bedrijfscontinuïteit.
4. Borg de toeleveringsketen door inzicht te krijgen in de beveiligingsmaatregelen van leveranciers.
5. Train het bestuur, want NIS2 verplicht bestuurders aantoonbaar kennis te hebben van cybersecurityrisico’s.
6. Stel een meldproces in voor significante incidenten, met een eerste melding binnen 24 uur na ontdekking.

Bij niet-naleving kunnen organisaties boetes krijgen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Bovendien kan het senior management persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen. Wachten tot de wet volledig van kracht is, is dan ook geen verstandige strategie.

Hoe Q-Cyber helpt met digitale weerbaarheid

Wij helpen mkb-organisaties om stap voor stap te werken aan echte, duurzame digitale weerbaarheid. Geen overbodige complexiteit, geen afhankelijkheid van softwarepartijen, maar onafhankelijk en pragmatisch advies dat aansluit op jouw specifieke situatie. Dit is wat we concreet doen:

• Gap-analyse en risicoanalyse: we brengen in kaart waar je nu staat en waar de grootste risico’s liggen.
• Vulnerability scans en pentesten: we testen actief of jouw systemen bestand zijn tegen aanvallen.
• Phishing simulaties: we meten en vergroten het bewustzijn bij medewerkers.
• Beleidsschrijving: we schrijven concreet beveiligingsbeleid dat aansluit op NIS2 en andere relevante regelgeving.
• Virtuele CISO (Continuous-Q): we nemen de strategische beveiligingsverantwoordelijkheid op ons als jouw organisatie geen fulltime CISO heeft.
• NIS2-begeleiding: we begeleiden je door het volledige NIS2-traject, van nulmeting tot aantoonbare compliance.
• Bestuurderstrainingen: we zorgen dat jouw management de kennis heeft om weloverwogen beslissingen te nemen over cybersecurity.

Wil je weten waar jouw organisatie nu staat en welke stappen het meeste effect hebben? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer