Cybersecurity wordt met de dag complexer. Dreigingen evolueren razendsnel en nieuwe regelgeving vergroot de druk op organisaties. Cyberweerbaarheid in 2026 draait dan ook niet meer om tools of afvinklijstjes, maar om strategie, organisatiecultuur en samenwerking. Waar moet je precies op letten in 2026? Vier trends en drie best practices om goed in de gaten te houden.
Door redactie / Beeld: Shutterstock
TREND 1. AI als wapen én als schild
De belangrijkste ontwikkeling van deze tijd is natuurlijk AI, en dat is ook te merken in de cybersecuritywereld. Joep Kremer, Business Unit Director Cyber Security bij IT-dienstverlener ilionx, ziet hoe generatieve AI de aanvalskant verscherpt. ‘AI genereert foutloze phishingberichten, creëert overtuigende deepfakes en kan steeds sneller kwetsbaarheden in systemen blootleggen.’
Dominique Frison, IT-securityconsultant bij IT-serviceverlener Ictivity, gaat hierop verder: ‘De mens blijft het favoriete doelwit. Zo worden synthetische identiteiten, waarbij echte persoonsgegevens worden gecombineerd met verzonnen informatie, en deepfake-manipulatie in 2026 steeds realistischer. Cybercriminelen gebruiken dan valse identiteiten om bankrekeningen te openen, bedrijfsdata te ontfutselen of vertrouwen te winnen binnen organisaties. Een videovergadering met ‘de directeur’ of een telefoontje van ‘een klant’ kan volledig nagemaakt zijn, maar levensecht lijken. Ook zijn agentic AI-systemen een grote opkomende zorg.’
Daniël van den Brink, Security Lead bij digitale transformatiepartner Strict, waarschuwt ook voor agentic AI: ‘Zo’n systeem kan binnenkort meerfasige aanvallen zelfstandig plannen én uitvoeren, en past zijn tactiek aan op de verdediging van de organisatie die wordt aangevallen.’ Maar aan de verdedigende kant biedt AI juist weer heel veel kansen.
‘AI wordt onmisbaar voor detectie, respons en risicobeoordeling’, zegt Bo-Nathan London, Enterprise Architect Hybrid Cloud & Cyber Security bij digitale transformatiepartner Proximus NXT. ‘Het kan afwijkend gedrag realtime herkennen en soms zelfs autonoom maatregelen nemen. Juist door de groei van geautomatiseerde aanvallen en deepfakes is menselijke monitoring alleen niet meer toereikend, en is AI onmisbaar geworden. Mits jouw AI-modellen transparant en compliant zijn.’
Erik de Jong, Chief Research Officer bij cybersecuritydienstverlener Tesorion, vult aan: ‘Inderdaad. AI kan bedrijven enorm helpen om je te wapenen tegen dreigingen, maar je hebt nog steeds experts nodig om het aan te sturen en kritisch te blijven beoordelen.’
AI is de belangrijkste ontwikkeling van dit moment.
TREND 2. Grip op je digitale fundament en soevereiniteit
Niet alleen AI verandert het speelveld. Europese organisaties worstelen steeds vaker met hun afhankelijkheid van Amerikaanse technologie. Want hoe houd je de regie op je data en leveranciers, zonder innovatie te remmen?
London (Proximus NXT) legt uit: ‘Data- en technologisch soeverein handelen is ondertussen een strategisch speerpunt voor overheden, vitale sectoren en elke organisatie met gevoelige data. Organisaties willen controle over waar data wordt opgeslagen, verwerkt en beheerd. In de industrie en bij de overheid zien we daarom een groei richting Europese cloud-initiatieven en hybride architecturen om vendor lock-in te vermijden. De uitdaging hierbij is het behouden van controle en innovatie, zonder afhankelijk te worden van niet-Europese technologiepartners.’
Maar er is goede hoop dat Europa stap voor stap meer grip krijgt op zijn eigen digitale infrastructuur. Zo ziet Roel Gloudemans, Director IT Risk & Compliance bij IT-dienstverlener Conclusion, dat er steeds meer aandacht is voor Europese dienstverlening. ‘Daarom voorspel ik dat er steeds meer migraties van Amerikaanse naar Europese cloud-alternatieven zullen zijn’, zegt hij. ‘We worden niet in één keer helemaal soeverein, maar we zullen wel richting een gezondere balans gaan.’
> LEES OOK: Cybersecuritybeeld 2025: Dreiging groeit, digitale weerbaarheid cruciaal
TREND 3. Regelgeving als katalysator voor volwassenheid
Waar soevereiniteit vooral draait om strategische keuzes, zorgt wetgeving ervoor dat die keuzes niet vrijblijvend blijven. Bart Bruinsma, Chief Strategy Officer bij IT-dienstverlener Conclusion Mission Critical, is duidelijk: ‘De NIS2-richtlijn en de Cyber Resilience Act (CRA) tillen security naar bestuursniveau.’ Dat betekent dat bestuursleden zich actief bezig moeten gaan houden met cyberrisico’s. Denk aan verantwoordelijkheden vastleggen, middelen vrijmaken en aantoonbaar toezicht houden.
Gloudemans (Conclusion) voegt toe: ‘Regelgeving triggert publiek-private samenwerking en realtime informatiedeling, bijvoorbeeld via publiek-private initiatieven.’ De Jong (Tesorion) kan zich daarin vinden. ‘Wetgeving zoals de NIS2-richtlijn zorgt ervoor dat de verantwoordelijkheid van de Nederlandse overheid groeit om de digitale weerbaarheid te waarborgen. Maar dit kan niet zonder de private sector. Bedrijven hebben steeds nadrukkelijker een maatschappelijke rol in de nationale digitale veiligheid.’ Regelgeving is dus geen checklist, maar de aanjager van een cultuur waarin volwassen cyberbestuur en samenwerking centraal staan.
Tom Engels, Proposition Lead Networking & Automation bij Proximus NXT, voegt toe: ‘Ook ketenweerbaarheid is een van de kernvereisten van NIS2: organisaties moeten aantoonbaar grip hebben op de beveiliging van hun volledige digitale keten, inclusief leveranciers en partners.’
> LEES OOK: Zo bereiden bedrijven zich alvast voor op de nieuwe cyberwet
TREND 4. Ketenkwetsbaarheid en IT/OT-convergentie
De laatste trend die experts zien opkomen, is de toenemende complexiteit van ketens. ‘Door strengere regelgeving en de groei van digitale ecosystemen wordt supply chain-weerbaarheid in 2026 een kernonderdeel van cybersecurity’, zegt Frison (Ictivity). ‘Dat vraagt om inzicht in het beveiligingsniveau van leveranciers, duidelijke afspraken over meldplicht en herstel, en voortdurende monitoring van risico’s buiten je eigen domein. Een keten is immers maar zo sterk als de zwakste schakel.’
Wat zijn dan zoal de concrete risico’s waar ketens mee te maken kunnen krijgen? ‘Bijvoorbeeld Advanced Persistent Threats (APT’s) in de software-supply chain en OT-omgevingen’, zegt Bruinsma (Conclusion Mission Critical). ‘De grenzen tussen IT en OT vervagen, met een groter aanvalsoppervlak als gevolg. APT’s richten zich vaak op langdurige infiltratie, waarbij ze maandenlang onopgemerkt blijven. In 2026 verwachten we dat deze aanvallen zich vooral zullen richten op de software-supply chain en op OT-omgevingen.’
De Jong (Tesorion) ziet ook een concrete dreiging voor specifiek DevOps-ketens opkomen. ‘Aanvallers infiltreren in DevOps-ketens via externe packages en libraries. Eén besmet pakket kan de hele keten beïnvloeden, zowel organisaties als klanten. De verspreiding van zulke ‘worm’-achtige aanvallen kan steeds slimmer en minder zichtbaar worden, waardoor detectie moeilijk is.’ Juist daarom moeten organisaties hun ontwikkelketens net zo streng beveiligen als hun productieomgevingen, zodat cyberdreigingen zich niet ongestoord door de keten kunnen verspreiden.
Meer dan een vinkje
Cyberweerbaarheid draait niet langer om het voldoen aan regels of het implementeren van losse tools, maar om het bouwen van een organisatie die wendbaar en bewust reageert op digitale dreigingen. AI verandert het speelveld, ketens worden complexer, wetgeving wordt scherper en de vraag naar digitale soevereiniteit wordt groter. Juist daarom is een cultuur van continu leren, samenwerken en anticiperen essentieel. Wie inzet op zero trust als norm, samenwerkt met betrouwbare partners en investeert in de menselijke laag, maakt van cybersecurity geen project, maar een organisatieprincipe. Zo wordt cyberweerbaarheid geen vinkje op een checklist, maar echt onderdeel van je bedrijfscultuur.
Drie best practices voor 2026
Weten wat er speelt, is niet genoeg. Het gaat erom wat je daar vervolgens mee doet. Trends vragen om actie. Drie best practices om in 2026 op te pakken.
1. Zero trust als organisatienorm
Als resultaat van ketenkwetsbaarheid wordt zero trust steeds belangrijker: vertrouw niets, verifieer alles. Frison (Ictivity) legt uit: ‘Mensen, apparaten en informatie zijn continu met elkaar verbonden. En daardoor is het klassieke beveiligingsmodel waarin iedereen binnen het netwerk automatisch wordt vertrouwd, niet langer houdbaar. Elke gebruiker, elk apparaat en elke verbinding moet voortdurend gevalideerd worden. Segmentatie en least-privilege-toegang, waarbij gebruikers alleen de rechten krijgen die ze echt nodig hebben, beperken de kans op onbevoegde toegang tot systemen. Waar zero trust ooit vooral een technisch concept of een marketingterm was, wordt het richting 2026 daarom een norm voor digitale omgevingen. Daarmee verschuift zero trust van technologie naar cultuur: een nieuwe manier van denken over toegang, risico en verantwoordelijkheid.’
Engels (Proximus NXT) is het hiermee eens. ‘Een heldere cybersecuritystrategie, met focus op protection, compliance, enforcement en resilience, vormt de basis. Door deze thema’s te verankeren in beleid en uitvoering ontstaat een stevig fundament voor effectieve toepassing van control-, architecture- en governance-frameworks, zoals zero trust en purdue.’
Er is brede keuze aan processen die een zero trust-beleid ondersteunen. Van den Brink (Strict) noemt er een aantal op. ‘Een belangrijk onderdeel van zero trust is Identity & Access Management-governance (IAM), wat bepaalt wie waar toegang toe krijgt en waarom. Ook Role-Based Access Control (RBAC), waarbij rechten zijn gekoppeld aan functies in plaats van personen, en just-in-time provisioning, waarbij tijdelijke toegangsrechten automatisch weer vervallen, zijn heel effectieve bouwstenen.’ Deze maatregelen bieden niet alleen sterke beveiliging, maar helpen organisaties ook aantoonbaar grip te houden op hun toegangsbeleid, wat vereist wordt onder NIS2 en DORA.
2. Samen paraat
Hoewel zero trust waardevol is om risico’s te minimaliseren, kun je niet alles voorkomen, benadrukt Frison (Ictivity). ‘Alle incidenten voorkomen, is een utopie. In de realiteit ligt de waarde in hoe snel je herstelt.’ Maar snel herstellen is geen koud kunstje. Kremer (ilionx) vertelt hierover: ‘Aanvallen zijn geavanceerder dan ooit en kunnen tegenwoordig binnen enkele minuten schade veroorzaken. En ze stoppen niet na 17.00 uur. Daarom is 24/7 monitoring cruciaal om snel in te grijpen bij een cyberincident, maar dat is makkelijker gezegd dan gedaan. Veel organisaties hebben te weinig securityspecialisten om zelf een bewakingsteam op te zetten.’ De oplossing? Slimme samenwerking met een externe partner die bijvoorbeeld 24/7 Security Operations Center-dienstverlening (SOC) aanbiedt. De Jong (Tesorion) is het daarmee eens. ‘Security is specialistisch. Een externe partij weet als geen ander hoe die organisaties het beste kan beveiligen.’
3. Menselijke laag en fundament eerst
Als laatste is naast externe samenwerking ook interne samenwerking cruciaal. Gloudemans (Conclusion) vertelt hierover: ‘Cyberweerbaarheid begint bij mensen. Het is tegenwoordig essentieel dat alle personeelsleden de juiste vragen kunnen stellen en bevoegd zijn om te handelen.’ Dat vraagt om taakgerichte trainingen die, naast bewustzijn, zich ook richten op proactief handelen.
‘Medewerkers moeten continu getraind worden op security-awareness en phishing-resistent gedrag’, zegt London (Proximus NXT). ‘Niet jaarlijks of periodiek, maar écht doorlopend.’ Ook moeten medewerkers overzicht hebben, zodat zij dat wat ze geleerd hebben in hun training, daadwerkelijk kunnen toepassen.
Volgens Van den Brink (Strict) begint dat bij de bedrijfskritische processen. ‘Welke technologieën ondersteunen deze processen, en sluiten de contracten met leveranciers hierop aan? Pas wanneer deze basis op orde is, krijgt de organisatie grip op haar digitale weerbaarheid, en wordt de gewenste cultuur meer dan alleen een poster aan de muur, maar echt een gedragen praktijk.’ En Gloudemans (Conclusion) komt met het laatste ingrediënt: vertrouwen. ‘Bedrijven moeten hun medewerkers vertrouwen en vrijlaten, zodat zij ook daadwerkelijk de bevoegdheid hebben om wat te kunnen doen op het moment dat ze geconfronteerd worden met een ongewenst risico of incident.’
Cyberweerbaarheid vraagt dus om een personeelsbestand dat getraind is, overzicht heeft en bevoegd is om te handelen.
Volg Security Management op LinkedIn
