ICT-gebruik bij kleine bedrijven; bedrijfstak en bedrijfsgrootte, 2025
Explanation of symbols
Table explanation
Deze tabel bevat cijfers over het gebruik van informatie- en communicatietechnologie (ICT) door bedrijven met 2 of meer werkzame personen. De gegevens kunnen worden uitgesplitst naar bedrijfsgrootte en bedrijfstak. De verslagperiode betreft het jaar 2025. Een aantal onderwerpen hebben echter betrekking op het jaar 2024. In die gevallen wordt dit vermeld in de toelichting bij het betreffende onderwerp.
Gegevens beschikbaar over 2025.
Status van de cijfers:
De cijfers in deze tabel zijn voorlopig.
Wijzigingen per 12 december 2025:
Geen, dit is een nieuwe tabel. Vanaf dit jaar is de wegingsmethode verbeterd, waardoor de cijfers licht kunnen verschillen ten opzichte van eerdere jaren. Cijfers met een lage betrouwbaarheid, door bijvoorbeeld een grote standaardfout of een laag aantal respondenten, zijn weggepunt. Verder zijn de omzetgerelateerde cijfers in de module ‘E-commerce’ verbeterd vanwege de toevoeging van een nieuwe bron.
Wanneer komen er nieuwe cijfers?
Cijfers over 2026 komen in december 2026 beschikbaar. Deze cijfers zullen worden gepubliceerd in een nieuwe tabel.
Description topics
- ICT-veiligheid
- Informatie over maatregelen, controles en procedures die een bedrijf toepast met betrekking tot ICT-systemen, met als doel de integriteit, authenticiteit, beschikbaarheid en vertrouwelijkheid van gegevens (data) en systemen te borgen.
- Gebruikte ICT-veiligheidsmaatregelen
- Maatregelen die bedrijven genomen hebben om hun cyberweerbaarheid te verhogen
- Antivirussoftware
- Het gebruik van antivirussoftware betreft zowel gratis als betaalde software.
- Beleid voor sterke wachtwoorden
- Wachtwoorden die ten minste acht gemengde karakters hebben, die veranderd moeten worden na een bepaalde periode en/of naar aanleiding van bijvoorbeeld een ICT-veiligheidsincident, en die versleuteld worden verstuurd en opgeslagen
- Biometrische methoden
- Identificatie en authenticatie van gebruikers worden via biometrische methoden vastgesteld, zoals een vingerafdruk, de stem of het gezicht.
- Multifactorauthenticatie
- Het gaat om identificatie en authenticatie van gebruikers via software of hardware-tokens om toegang te krijgen tot de ICT-systemen (oftewel twee- of multifactorauthenticatie), bijvoorbeeld via smartcards, USB-beveiligingssleutels of mobiele telefoons (eenmalige inlogcodes via SMS of app).
- Encryptie van data
- Het gaat om versleutelingstechnieken (encryptie) van data, documenten of e-mails. In 2017 werd encryptie nog opgedeeld in encryptie van opslagen en verstuurde data; vanaf 2018 is het samengevoegd.
- Gegevens op andere fysieke locatie
- Het gaat om het op een andere fysieke locatie bewaren van (reserve)gegevens (offsite data-backup). Opslag in de cloud telt ook mee.
- Network access control
- Alleen apparaten die voldoen aan bepaalde eisen krijgen toegang tot het bedrijfsnetwerk, bijvoorbeeld alleen apparaten die de laatste update van een besturingssysteem hebben geïnstalleerd.
- VPN-gebruik buiten het bedrijf
- Het gaat om het gebruik van een Virtual Private Network (VPN) bij internetgebruik buiten het eigen bedrijf. Een VPN zorgt ervoor dat alle internetverkeer tussen de gebruiker en de VPN-server wordt versleuteld. Daardoor kan het verkeer niet worden afgeluisterd, en kan de inhoud van bezochte websites niet worden gemanipuleerd door kwaadwillenden (bijvoorbeeld man-in-the-middle-aanvallen).
- Logbestanden voor analyse incidenten
- Logbestanden opslaan om incidenten achteraf te analyseren
- Methodes voor beoordelen ICT-veiligheid
- Het gaat om methodes om de ICT-veiligheid in het bedrijf te kunnen beoordelen, zoals de veiligheidsmaatregelen laten controleren door derden, of tests uitvoeren. Voorbeelden zijn: penetration testing (pen test), red teaming, ethisch hacken, back-up systemen testen of gesimuleerde ICT-veiligheidsincidenten zoals phishing-emails versturen. Dergelijke tests worden uitgevoerd om op een veilige manier kwetsbaarheden in ICT-systemen op te sporen.
- Risicoanalyses
- Periodiek beoordelen wat de kans is dat het bedrijf wordt getroffen door een incident, en wat daarvan de mogelijke gevolgen zouden zijn
- ICT-beveiligingsmonitoringsysteem
- Het gaat om het gebruik van een monitoringsysteem om verdachte activiteiten te detecteren (bijvoorbeeld inbraakdetectie‐ of preventiesystemen die het gedrag van gebruikers of apparaten, netwerkverkeer monitoren). Sluit antivirussoftware, standaard firewalloplossing opgenomen in het besturingssysteem van personal computers en routers uit.
- Training personeel ICT-veiligheid
- Het aanbieden van trainingen (al dan niet verplicht) aan het personeel als methode om het eigen personeel meer bewust te maken van hun verplichtingen ten opzichte van ICT-veiligheidszaken.
- Door vrijwillige training
- Vrijwillige training of het aanbieden van intern beschikbare informatie (bijvoorbeeld informatie op het intranet)
- Door verplichte training
- Verplichte trainingen of cursussen of het verplicht bekijken van documenten of instructiefilmpjes
- Met contract
- Met een contract (bijvoorbeeld een arbeidscontract)
- Cyberincident geoefend
- Het bedrijf heeft in 2024 één (of meer) cyberincident(en) door een aanval van buiten geoefend.
- Documentatie van ICT-veiligheid
- Welke ICT-veiligheidsgerelateerde zaken heeft het bedrijf gedocumenteerd en wanneer zijn deze voor het laatst gereviewd.
- ICT-veiligheidsdocumenten aanwezig
- Documenten over ICT-veiligheid en datavertrouwelijkheid hebben betrekking op training in ICT-gebruik, ICT-veiligheidsmaatregelen, de evaluatie van ICT-veiligheidsmaatregelen, schema’s om ICT-veiligheidsdocumenten te updaten, enz.
- Meest recente review
- Meeste recente review van bedrijfsdocumenten met maatregelen, praktijken of procedures van ICT-veiligheid
- 12 maanden of minder lang geleden
- Tussen de 12 en 24 maanden geleden
- Langer dan 24 maanden geleden
- Uitvoering ICT-veiligheidswerkzaamheden
- Uitvoerders van ICT-veiligheidsgerelateerde zaken in het bedrijf in 2024 (zoals veiligheidstesten, ICT-veiligheidstrainingen, oplossen van ICT-veiligheidsincidenten)
- Uitbesteed aan extern bedrijf
- Eigen personeel
- Eigen personeel en extern bedrijf
- Niet van toepassing
- Optreden van ICT-veiligheidsincidenten
- Soort van ICT-veiligheidsincidenten die bij bedrijven zijn voorgevallen in 2024, opgesplitst naar incidenten door een aanval van buitenaf en incidenten door systeemfouten of onbedoeld toedoen van eigen personeel.
- Type ICT-veiligheidsincidenten
- Type ICT-veiligheidsincidenten die in 2024 bij bedrijven zijn voorgevallen
- Phishing-aanval
- Phishing‐ of spoofing‐aanval (oplichting via link in e‐mail, telefoongesprek of sms)
- (D)DoS‐aanval
- (D)DoS‐aanval waarbij een website of server wordt overspoeld met een reeks bots, of een botnet waardoor de website of server overbelast en onbereikbaar wordt.
- Datalek of datamanipulatie
- Datalek of datamanipulatie (gegevens liggen op straat)
- Gehackt socialemedia-account
- Gehackt socialemedia-account (accounts zijn gecompromitteerd)
- BEC-fraude
- BEC‐fraude (Business E‐mail Compromise). Een vorm van phishing waarbij een gehackt email adres wordt gebruikt om om geld of gevoelige bedrijfsinformatie te bemachtigen.
- Andere (cyber)incidenten
- Andere (cyber)incidenten
- Incident met interne oorzaak gehad
- Het gaat om bedrijven waarbij één of meerdere onbedoelde ICT-veiligheidsincidenten zijn voorgevallen in 2024, zoals incidenten door onopzettelijk toedoen van eigen personeel of incidenten door een hardware of systeemfout.
- Incident door aanval van buiten gehad
- Bedrijven waarbij in 2024 één of meerdere ICT-veiligheidsincidenten veroorzaakt door een aanval van buitenaf zijn voorgevallen
- Soort incident met interne oorzaak
- Soorten ICT-veiligheidsincidenten met een interne oorzaak die in 2024 bij bedrijven zijn voorgevallen. Interne oorzaken zijn systeemfouten of onbedoelde acties van eigen personeel.
- Uitval ICT-dienst door interne oorzaak
- Het gaat om bedrijven waarbij één of meerdere ICT-veiligheidsincidenten zoals een storing in hardware of software zijn opgetreden in 2024. Een aanval door kwaadwillenden valt hier niet onder.
- Vernietiging data door interne oorzaak
- Vernietiging of verminking van data als gevolg van ICT-gerelateerde veiligheidsincidenten (bijv. een storing in hardware of software)
- Onthulling gegevens door interne oorzaak
- Onthulling van vertrouwelijke digitale gegevens door onopzettelijk toedoen van eigen personeel
- Soort incident met externe oorzaak
- Soorten ICT-veiligheidsincidenten met een externe oorzaak die in 2024 bij bedrijven zijn voorgevallen. Met externe oorzaak wordt een aanval van buitenaf bedoeld, zoals een DDOS-aanval, infectie met kwaadaardige software, of een ICT-inbraak.
- Uitval ICT-dienst door aanval buitenaf
- Uitval van ICT-diensten als gevolg van een aanval van buitenaf, bijvoorbeeld DoS (Denial of Service) of ransomware-aanvallen
- Vernietiging data aanval buitenaf
- Vernietiging of verminking van data als gevolg van infectie met kwaadaardige software of ongeoorloofde elektronische toegang
- Onthulling gegevens door ICT-inbraak
- Onthulling vertrouwelijke digitale gegevens door inbraak, pharming of phishing
- Kosten ICT-veiligheidsincidenten
- Kosten die bedrijven in 2024 hebben gehad als gevolg van ICT-veiligheidsincidenten door een aanval van buitenaf of een interne oorzaak
- Kosten incident interne oorzaak gehad
- Bedrijven die kosten hebben gehad voor één of meerdere ICT-veiligheidsincidenten in 2024 veroorzaakt door onopzettelijk toedoen van eigen personeel.
- Kosten incident aanval buitenaf gehad
- Bedrijven die in 2024 kosten hebben gehad door één of meerdere ICT-veiligheidsincidenten veroorzaakt door een aanval van buitenaf
- Kosten gehad naar soort intern incident
- Kosten gehad in 2024 naar soorten ICT-veiligheidsincidenten met een interne oorzaak
- Uitval ICT-dienst door interne oorzaak
- Kosten door uitval van ICT-diensten als gevolg van ICT-gerelateerde veiligheidsincidenten, zoals een storing in hardware of software
- Vernietiging data door interne oorzaak
- Kosten door vernietiging of verminking van data als gevolg van ICT-gerelateerde veiligheidsincidenten, zoals een storing in hardware of software storing in hardware of software
- Onthulling gegevens door interne oorzaak
- Kosten door onthulling van vertrouwelijke digitale gegevens door onopzettelijk toedoen van eigen personeel.
- Kosten gehad naar soort extern incident
- Kosten gehad in 2024 naar soorten ICT-veiligheidsincidenten door een aanval van buitenaf
- Uitval ICT-dienst door aanval buitenaf
- Kosten door uitval van ICT-diensten als gevolg van een aanval van buitenaf, bijvoorbeeld DoS (Denial of Service) of ransomware-aanvallen
- Vernietiging data aanval buitenaf
- Kosten door vernietiging of verminking van data als gevolg van infectie met kwaadaardige software of door ongeoorloofde elektronische toegang
- Onthulling gegevens door ICT-inbraak
- Kosten door onthulling van vertrouwelijke digitale gegevens door inbraak, pharming of phishing
- Ransomware-aanval door cybercriminelen
- Bedrijf heeft in 2024 een ransomware-aanval gehad. Cybercriminelen blokkeerden hun ICT-systemen en/of data en dreigden deze alleen weer vrij te geven of zelfs openbaar te maken na betaling van losgeld.
- Ransomware-aanval gehad
- Bedrijf heeft in 2024 een ransomware-aanval gehad.
- Soort ransomware-aanval gehad
- Bedrijf heeft in 2024 één van de volgende typen ransomware-aanval gehad: (a) Ransomware-aanval waarbij bestanden of ICT-systemen van het bedrijf door cybercriminelen door middel van encryptie geblokkeerd zijn om alleen na betaling van losgeld weer vrij te geven; (b) Ransomware-aanval waarbij bestanden met informatie gestolen zijn met als doel het bedrijf te dwingen een afpersbedrag te betalen om te voorkomen dat de informatie openbaar gemaakt wordt. De bestanden kunnen zowel bedrijfsinformatie als klant- of personeelsgegevens bevatten.
- Bestanden of ICT-systemen versleuteld
- Ransomware-aanval waarbij bestanden of ICT‐systemen van het bedrijf door cybercriminelen door middel van encryptie geblokkeerd zijn om alleen na betaling van losgeld weer vrij te geven
- Afpersing openbaarmaking informatie
- Ransomware-aanval waarbij bestanden met informatie (bedrijfsinformatie, klanten- of personeelsgegeven) gestolen zijn met als doel het bedrijf te dwingen een afpersbedrag te betalen om te voorkomen dat de informatie openbaar gemaakt wordt.
- Verzekering ICT-veiligheidsincidenten
- Bedrijf verzekerd voor ICT-veiligheidsincidenten
- Informatiebronnen cyberdreiging
- Welke informatiebronnen worden gebruikt om op de hoogte te blijven van cyberdreigingen?
- Digital Trust Center
- Het Digital Trust Center (DTC) is een overheidsorganisatie met als missie het weerbaar maken van bedrijven in Nederland tegen cyberdreigingen door middel van informatieverschaffing en het stimuleren van samenwerkingsverbanden op regionaal- en brancheniveau tussen bedrijven op het gebied van ICT-veiligheid.
- Bekend met DTC
- Bedrijven die bekend zijn met het Digital Trust Center (DTC) en/of één van de daaraan verbonden samenwerkingsverbanden op het gebied van cyberweerbaarheid
- DTC-website als bron gebruikt
- Bedrijven die bekend zijn met het DTC en de DTC-website als bron van informatie gebruiken om het bedrijf meer cyberweerbaar te maken
- Gezocht naar meldingen cyberdreigingen
- Bedrijven die actief op zoek zijn naar meldingen over cyberdreigingen