Nederland telt inmiddels 962 cybersecuritybedrijven. Dat zijn er ruim vier keer zoveel als in 2021, blijkt uit een ANP-analyse van het Handelsregister. Volgens het NCSC spelen nieuwe wetgeving en AI een rol in die groei. Toch blijven organisaties zelf verantwoordelijk voor hun beveiliging.
Begin oktober stonden 962 cybersecuritybedrijven ingeschreven bij de Kamer van Koophandel. Een jaar of vijf geleden lag dat aantal stukken lager. In dezelfde periode van 2021 ging het om 233 bedrijven. Begin 2020 waren het er zelfs nog maar iets meer dan honderd. Het ANP analyseerde de cijfers uit het Handelsregister.
Het gaat om bedrijven die andere organisaties helpen hun systemen en gegevens te beschermen. Dat doen ze bijvoorbeeld door advies te geven over online veiligheid, systemen te beheren of medewerkers te leren hoe ze digitale dreigingen herkennen. Volgens het Nationaal Cyber Security Centrum (NCSC) zijn in Nederland zo’n 2,4 miljoen bedrijven en organisaties dagelijks afhankelijk van digitale systemen.
Iedereen kan zich expert noemen
De explosieve stijging roept tegelijkertijd vragen op over wat zo’n registratie nu echt zegt. Wie morgen besluit een cybersecuritybureau te starten, kan zich simpelweg inschrijven bij de Kamer van Koophandel. Termen als ‘cybersecuritybedrijf’, ‘beveiligingsexpert’ of ‘securityconsultant’ zijn in Nederland namelijk niet wettelijk beschermd. Er geldt, anders dan in de fysieke beveiliging, geen verplichte vergunning vanuit Justitie, geen diploma-eis en geen verplicht kwaliteitskeurmerk.
Dat betekent dat het Handelsregister geen onderscheid maakt tussen een ervaren specialist met gecertificeerde ethische hackers en een handige IT-dienstverlener die sinds kort virusscanners doorverkoopt en adviesgesprekken aanbiedt. Voor afnemers maakt die lage toetredingsdrempel het lastig om kaf van koren te scheiden. Een officiële inschrijving zegt immers wat over iemands intentie om diensten te verkopen, maar niets over aantoonbare kennis of operationele slagkracht.
Wetgeving en AI als aanjagers
Het NCSC noemt meerdere mogelijke verklaringen voor de toegenomen vraag en het groeiende aanbod. Zo is er steeds meer aandacht voor digitale veiligheid en is er nieuwe wetgeving bijgekomen. Zo trad onlangs de Cyberbeveiligingswet in werking, de Nederlandse uitwerking van de Europese NIS2-richtlijn.
Die wet heeft gevolgen voor veel organisaties. Naar verwachting moeten ongeveer 8.000 organisaties extra beveiligingsmaatregelen nemen. Ook bestuurders zijn aan zet. Zij krijgen expliciet de verantwoordelijkheid voor cyberbeveiliging, waaronder het goedkeuren van en toezicht houden op maatregelen. Bovendien moeten ernstige incidenten snel worden gemeld: een eerste waarschuwing binnen 24 uur en een uitgebreidere melding binnen 72 uur. Eerder schreven we al dat een kloof tussen IT en business NIS2-compliance in de weg zit.
Daarnaast speelt kunstmatige intelligentie mee, zegt het NCSC. Met die technologie zijn kwetsbaarheden op te sporen, maar kwaadwillenden kunnen AI juist ook misbruiken om systemen aan te vallen.
Meer bedrijven, te weinig mensen
Opvallend genoeg groeit de arbeidsmarkt niet mee. Volgens schattingen staan dit jaar zo’n 13.800 cybersecurityvacatures open. Het vervullen van zo’n vacature duurt gemiddeld 127 dagen, tegenover 82 dagen voor een gemiddelde IT-functie. Ook de vraag naar Nederlandstalige specialisten en de beperkingen bij het inhuren van zzp’ers maken het aanbod kleiner.
Er komen dus op papier steeds meer partijen bij die organisaties kunnen helpen, maar ze kunnen de eindverantwoordelijkheid nooit overnemen, benadrukt het NCSC. Organisaties blijven altijd zelf verantwoordelijk voor hun digitale beveiliging. Daar komt bij dat de impact van een incident zelden beperkt blijft tot één partij. Een verstoring werkt direct door naar ketenpartners en vitale processen, zoals het transport of de energievoorziening, iets wat we bijvoorbeeld zagen bij het recente datalek bij CEVA Logistics.