Cybersecurity bij Nederlandse mkb-bedrijven blijft achter

Van de ondervraagde mkb’ers staat 16 procent nog aan het begin van hun beveiligingsstrategie, terwijl 74 procent wel enkele maatregelen heeft genomen, maar onvoldoende scoort op belangrijke cyberbeveiligingsonderdelen. Slechts 10 procent presteert bovengemiddeld, tegenover 15 procent van de bedrijven met maximaal 1.000 werknemers. Opvallend is dat geen enkel Nederlands mkb-bedrijf volledig voorbereid is op cyberaanvallen, terwijl 5 procent van de grote bedrijven wel het hoogste niveau van cyberweerbaarheid heeft bereikt.

Grote verschillen in budget en modernisering

Een derde van de mkb-bedrijven gaf aan het afgelopen jaar slachtoffer te zijn geweest van een cyberaanval, vergeleken met 47 procent van de grote bedrijven. Toch verhoogde slechts 22 procent van het mkb de afgelopen twee jaar het budget voor cybersecurity, terwijl 7 procent het budget zelfs verlaagde. Bij grote bedrijven daalde het budget bij slechts 1 procent, en verhoogde 32 procent de uitgaven.

De kloof dreigt verder toe te nemen: slechts 35 procent van de mkb’ers plant de komende één tot twee jaar een grondige modernisering van de cyberinfrastructuur. Ondertussen geeft bijna de helft (46 procent) aan 11 tot 40 verschillende beveiligingsoplossingen te gebruiken, en 6 procent zelfs tot 60. Twee derde (67 procent) ziet deze complexiteit als een belemmering voor een effectieve verdediging.

Beperkte investeringen in automatisering en training

Slechts 14 procent van de mkb-bedrijven overweegt te investeren in automatisering, tegenover 46 procent van de grote bedrijven. Een derde (36 procent) plant uitgaven aan zichtbaarheid en analysemogelijkheden, vergeleken met 46 procent bij grote ondernemingen. Strategisch uitbesteden van beveiligingsfuncties aan managed services staat bij slechts 4 procent van het mkb op de agenda, tegenover 25 procent van de grote bedrijven.

Ondanks de relatief zwakke verdediging is 45 procent van de mkb’ers overtuigd dat hun huidige IT-infrastructuur toereikend is om toekomstige cyberaanvallen af te weren. Slechts 30 procent plant investeringen in training of nieuwe medewerkers, vergeleken met 40 procent van de grote bedrijven.

Het onderzoek benadrukt de noodzaak voor mkb-bedrijven om cybersecurity hoger op de prioriteitenlijst te plaatsen, gezien de groeiende complexiteit van bedreigingen en de beperkte voorbereiding op aanvallers.

'Niet immuun'

“Mkb-bedrijven zijn zeker niet immuun voor de toenemende phishing, ransomware of AI-gedreven aanvallen die wij zien op bedrijfsnetwerken, wel integendeel” waarschuwt Jan Heijdra, Field CTO Security bij Cisco Nederland. “Ze lopen vaak net extra risico omdat zij niet altijd over de middelen beschikken voor een uitgebreide IT-beveiliging. Ons rapport geeft aan dat Nederlandse mkb’ers de kans op een cyberaanval ook flink onderschatten: een derde van de ondervraagden acht het ‘onwaarschijnlijk’ dat ze binnen de twee jaar door een cyberaanval kunnen worden uitgeschakeld. Er is echter maar één zekerheid: cyberrisico’s gelden voor iedereen en dat bewustzijn is bij grote bedrijven aanzienlijk hoger.”

“Dit onderzoek weerspiegelt een vals gevoel van veiligheid bij Nederlandse mkb’ers. Velen onderschatten de snelheid en professionaliteit van hedendaagse cyberaanvallen. Die kunnen de bedrijfsvoering verstoren, klantvertrouwen ondermijnen, leiden tot juridische aansprakelijkheid en in het ergste geval een bedrijf tot faillissement dwingen. Mkb’ers doen er goed aan om hun verdediging op te krikken,” benadrukt Heijdra.

De Cybersecurity Readiness Index 2025 is hier te vinden.