Kennisbank · 1 september 2026

96 procent veilig, 63 werd geraakt

Door Sander Vermeer

Op de kwartaalvergadering staat het securityoverzicht op groen. De manager knikt, de directie knikt, volgende agendapunt. Twee verdiepingen lager staat een medewerker naar een schermvullende melding te kijken die er gisteren nog niet was, en heeft nog geen idee wie hij daarvoor moet bellen.

Die twee werkelijkheden staan nu naast elkaar in cijfers. Van 1.350 security- en IT-beslissers op directieniveau zegt 96 procent te verwachten dat hun team de hoeveelheid en complexiteit van moderne cyberdreigingen aankan. In dezelfde groep kreeg 63 procent van de organisaties het afgelopen jaar te maken met een serieus cybersecurityincident. Dat blijkt uit onderzoek van Sapio Research in opdracht van beveiliger Arctic Wolf, beschreven door MSP Business.

De opdrachtgever verkoopt beveiliging, en dat weegt mee

Eerst het kleine lettertje, want dat hoort erbij. Het onderzoek is uitgevoerd in april 2026, onder beslissers in onder meer de Verenigde Staten, het Verenigd Koninkrijk, Duitsland, de Benelux en Japan. Opdrachtgever is een bedrijf dat beveiligingsdiensten verkoopt. Een uitkomst die luidt “organisaties overschatten zichzelf” is voor die opdrachtgever commercieel prettig, en dat mag je meewegen.

Wat er dan overblijft is nog steeds interessant, want het gaat om twee vragen die los van elkaar zijn gesteld. Vertrouwen in eigen kunnen is één vraag. Wel of geen incident gehad is een andere. Dat 96 en 63 niet bij elkaar passen, is geen interpretatie van Arctic Wolf maar simpelweg wat de respondenten zelf hebben ingevuld. Nog een getal uit dezelfde set: 7 procent weet niet zeker óf er het afgelopen jaar een incident is geweest. Dat is geen vertrouwen, dat is geen zicht.

Ransomware kost het meest, maar niet waar iedereen kijkt

Arctic Wolf zegt zelf dat ransomware financieel de grootste gevolgen heeft, en de betalingscijfers onderbouwen dat: in Noord-Amerika betaalde 74 procent van de getroffen organisaties uiteindelijk, in Europa 57 procent, wereldwijd 55 procent. Wij kijken er iets anders naar, en dat is een accent en geen tegenspraak: het losgeld is het bedrag dat ergens in een boekhouding belandt, en juist daarom het enige deel van de schade dat achteraf zichtbaar is.

Hier zit namelijk het cijfer dat wij het meest onderschat vinden: van de organisaties die een incident meemaakten, had 48 procent twee weken of langer last van productiviteitsverlies. Bijna de helft dus twee weken uit het ritme.

Reken dat eens door voor een organisatie van vijftig mensen. Tien werkdagen waarin systemen haperen, mensen wachten en er dubbel werk ontstaat. Zelfs als je conservatief rekent en zegt dat er gemiddeld een kwart van de tijd verloren gaat, kom je op 50 × 10 × 0,25 = 125 verloren werkdagen. Dat is een half jaar werk van één persoon, en er is nog geen euro losgeld betaald. Die rekensom is bewust ruw; het punt is de orde van grootte, niet de precisie. In elke offerte voor beveiliging staat wat het kost. In vrijwel geen enkele staat dit ernaast.

Bewustzijn koop je niet, dat oefen je

Wij nemen hier stelling, en het gaat tegen ons eigen vakgebied in. Het rapport laat zien dat organisaties naar automatisering en AI kijken om de werkdruk te verlichten; securityteams zijn per taak 13 tot 15 uur per week kwijt aan zaken als fout-positieve meldingen wegwerken, tools beheren en voldoen aan compliance-eisen. Dat automatiseren is verstandig. Maar de kloof tussen 96 en 63 procent is geen tooltekort.

Sterker nog, dezelfde rapportage bevat een tweede kloof van precies dezelfde soort. 85 procent verwacht dat AI helpt bij het detecteren van nieuwe of moeilijk herkenbare dreigingen, en 72 procent denkt dat AI dat beter kan dan mensen. Maar slechts 53 procent zegt AI te vertrouwen met een afgebakende actie, zoals het blokkeren van een kwaadaardig IP-adres. Geloven dat de techniek het beter kan en haar vervolgens niets laten doen: dat is 96 tegenover 63, nu binnen één onderwerp. Wie zijn eigen oordeel niet vertrouwt genoeg om ernaar te handelen, heeft geen tool nodig maar een meting.

Wat wij in onze eigen trainingspraktijk zien — en dat is een waarneming, geen cijfer uit dit onderzoek — is dat het zelfbeeld verandert op het moment dat er voor het eerst echte klikcijfers op tafel liggen. Niet omdat het slechter gesteld is dan gedacht, maar omdat een percentage iets anders is dan een gevoel. Datzelfde verschil is precies waar het misgaat bij securitytraining die je automatiseert: een programma dat vanzelf loopt, levert deelnamecijfers op en geen inzicht. Hetzelfde geldt voor AI in awarenesstraining.

Waar wij zelf te makkelijk redeneren

En dan het ongemakkelijke deel. Dat 63 procent een incident had, betekent niet dat 63 procent slecht beveiligd is. “Serieus incident” is in dit onderzoek een brede categorie: het meest genoemde type is onbedoelde blootstelling of verlies van data, door ruim één op de vijf respondenten (21 procent) genoemd. Doelbewuste diefstal noemt 8 procent. Een organisatie die veel meet en veel meldt, scoort in zo’n vragenlijst slechter dan een organisatie die niets ziet. Wie de kloof presenteert als bewijs van gebrekkige beveiliging, gebruikt hetzelfde soort snelle redenering die hij bij anderen afkeurt. Het bewijst iets anders, en dat is genoeg: vertrouwen en meting staan los van elkaar.

Doe deze test bij het eerstvolgende teamoverleg

Vraag niet of het team dreigingen aankan; dat levert altijd ja op. Vraag: als er nu, op dit moment, een incident zou lopen, wie zou dat dan als eerste zien, en hoe lang zou dat duren? Blijft het stil, of komt er een naam die er toevallig vandaag niet is, dan heb je de kloof uit dit onderzoek net in je eigen kamer gemeten. En stel meteen de tweede vraag: hoe lang kunnen we het zonder onze belangrijkste systemen volhouden? Twee weken is in dit onderzoek geen uitzondering, maar bijna de helft van de gevallen. Wat dat kost, hebben we uitgewerkt bij de verborgen kosten van een cyberincident.

Het getal dat volgend jaar telt

Als hetzelfde onderzoek over een jaar terugkomt met opnieuw 96 procent vertrouwen en een incidentcijfer dat is meegegroeid, is de conclusie eenvoudig: AI heeft de werkdruk verlicht en niets aan het zelfbeeld gedaan. Zakt dat vertrouwenspercentage juist, dan is dat geen slecht nieuws maar het eerste teken dat organisaties zijn gaan meten in plaats van schatten.