De categorie IPv6 geeft aan in hoeverre een mailserver bereikbaar is via een modern internetadres. Figuur 4.2.2(a). Gemiddeld slaagt 28,1 procent van de bedrijven met een website met 2 of meer werknemers voor de categorie IPv6. Opvallend is dat de score voor grotere bedrijfsgrootteklasses afneemt; zo slaagt van de bedrijven met 50 tot 250 werknemers nog maar 13,9 procent voor de categorie IPv6.

De uitsplitsing van de categorie IPv6 naar bedrijfstak, zoals weergegeven in figuur 4.2.2(b) laat zien dat Horeca de best scorende bedrijfstak is, met ruim 45 procent van de bedrijven die slagen voor deze categorie. Daarentegen presteert de Bouwnijverheid gemiddeld gezien aanzienlijk slechter op dit gebied, met slechts 9,2 procent van de bedrijven die slagen. In vergelijking met 2023 vertonen vrijwel alle bedrijfstakken in 2024 lagere scores, met uitzondering van de Financiële dienstverlening, die een stijging van bijna 19 procentpunten laat zien.

De categorie DNSSEC geeft aan of het e-maildomein met een geldige handtekening ondertekend is. Figuur 4.2.3(a) laat zien dat 27,9 procent van de kleine bedrijven met 2 tot 10 werkzame personen slaagt voor de categorie DNSSEC. Bedrijven met website met 50 tot 250 werknemers zitten daar behoorlijk onder: 8,8 procent van deze groep slaagt in 2024 voor de categorie DNSSEC.

De categorie wordt in het geval van DNSSEC bepaald door maar vier onderliggende testen: DNSSEC aanwezig voor het e-maildomein (figuur C.2.1), DNSSEC geldig voor e-maildomein (figuur C.2.2), DNSSEC aanwezig voor mailserver (figuur C.2.3) en DNSSEC geldig voor mailserver (figuur C.2.4). Aan de subtesten is te zien dat voornamelijk laag gescoord wordt op de aanwezigheid van DNSSEC voor de mailserver. Voor de bedrijfstakken (figuur C.2.4(b)) slagen bedrijven uit de sector ‘Gezondheid en zorg’ het meest voor deze test, met 55 procent geslaagde bedrijven.

Bij de categorie Authenticiteit wordt gekeken hoe goed bedrijven e-mailoplichting proberen te voorkomen door het toepassen van de juiste authenticatie mechanismes zoals DMARC, DKIM en SPF. Voor de categorie ‘Authenticiteit’, getoond in figuur 4.2.4, is het opvallend dat grote bedrijven een stuk beter scoren dan kleine bedrijven. Van alle bedrijven met website met 2 of meer werknemers slaagde 11,9 procent voor deze categorie. Dit lage percentage wordt voornamelijk veroorzaakt door de lage score voor kleine bedrijven. Zo slaagde slechts 10 procent van de bedrijven met website met 2 tot 10 werknemers voor de categorie ‘Authenticate’. Grote bedrijven score in dit geval een stuk beter: 38,6 procent van de bedrijven met website met 250 of meer werknemers slaagt voor de categorie ‘Authenticatie’. De slagingpercentages per bedrijfstak getoond in figuur 4.2.4(b) laat dezelfde omkering zien; zo scoort de bedrijfstak ‘Vervoer/Opslag’ voor de categorieën IPv6 en DNSSEC relatief slecht (ten op zicht van de andere bedrijftakken), terwijl het voor de categorie ‘Authenticatie’ met 24 procent geslaagde bedrijven de beste scorende bedrijfstak is.

De onderliggende subtesten van de categorie Authenticatie worden gegeven in de bijlage C sectie C.3. Per subtest wordt een stuk beter gescoord dan het resultaat van de hele categorie. Figuur C.3.1 en C.3.2 rapporteren hoeveel bedrijven DMARC (Domain-based Message Authentication, Reporting, and Conformance) toepassen. Met DMARC kunnen ontvangende e-mailsystemen mails vertrouwen die door het bedrijf verstuurd worden. Het is te zien dat 43,6 procent van de bedrijven met website met twee of meer werknemers DMARC heeft (figuur C.3.1), maar slecht 12,2 procent van de bedrijven met website met twee werknemers heeft DMARK met een voldoende strict beleid (figuur C.3.2). Grote bedrijven met 250 of meer werknemers hebben DMARC het best op orde, met 38,5 procent van de grote bedrijven met website die DMARC hebben met een voldoende strict beleid.

Ook DKIM (DomainKeys Identified Mail) wordt gebruikt om e-mails te authenticeren. Figuur C.3.3(a) laat zien dat 78,3 procent van de bedrijven met website met 2 of meer werknemers DKIM op hun mailserver heeft. Verder is te zien dat de verschillen tussen grote en kleine bedrijven klein zijn: Figuur C.3.3(b) laat zien dat de ‘ICT-sector’ voorop loopt met het gebruik van DKIM, alhoewel de verschillen per bedrijftak verder ook bijna niet groot zijn.

Ten slotte laten figur C.3.4 en C.3.5 zien welke bedrijven SPF gebruiken. SPF (Sender Policy Framework) wordt gebruikt om te valideren of uitgaande e-mails die vanaf het aangepaste domein verzonden worden, daadwerkelijk afkomstig zijn van de persoon die het zegt te zijn. Deze test valt ook in de categorie authenticatie. Van de bedrijven met website met 2 of meer werknemers heeft 85,4 procent SPF op de server (figuur C.3.4(a)). De verschillen tussen de bedrijfsgrootteklassen zijn weer niet groot: van de kleine bedrijven slaagt 83,5 procent voor deze test, terwijl dat voor de grote bedrijven (250 of meer werknemers) 97,8 procent is. Figuur C.3.4(b) laat zien dat de sector ‘Energie/water/afval’ weer het meest van SPF gebruik maakt, met alle bedrijven met website die SPF gebruiken.

Figuur C.3.5 geeft weer aan welke deel van de bedrijven SPF ook met een voldoende strict beleid gebruiken. Het gaat om dit geval om 78,5 procent van de bedrijven met website met 2 of meer werknemers die hier aan voldoet.

Dat grote bedrijven beter scoren op de categorie beveiligde e-mailtransport is goed te begrijpen, omdat e-mailspoofing[voetnoot: E-mailspoofing is een techniek gebruikt voor spammail en phishing-aanvallen om de email van de verzender te vervalsen, zodat het lijkt alsof de mail door een ander bedrijf verstuurd is.] van grote bedrijven aantrekkelijker is voor cybercriminelen. Ze kunnen zich bijvoorbeeld per mail voordoen als een bank om het slachtoffer te overtuigen geld over te maken. Bovendien kan het voor grote bedrijven ook meer imageschade tot gevolg hebben, dus er is veel aan gelegen om zich hier zo goed mogelijk tegen te beschermen.

Bij de categorie ‘Beveiligde e-mailtransport’ wordt gekeken in hoeverre verzendende mailservers die versleutelde e-mails versturen ook een beveiligde connectie met de mailserver van het bedrijf kunnen maken. STARTTLS voorkomt dat passieve aanvallers mails kunnen lezen terwijl de naar de mailserver onderweg is. Met DANE wordt bescherming tegen actieve aanvallers die proberen de STARTTLS te omzeilen door het e-mailverkeer te manipuleren. Figuur 4.2.5 toont per grootteklasse en bedrijftak het percentage bedrijven dat slaagt voor deze categorie. In figuur 4.2.5(a) is te zien dat de van de bedrijven met website met 2 of meer werknemers 14,1 procent slaagt voor de categorie ‘Beveiligde e-mailtransport’. Dit keer zijn de kleine bedrijven weer beste scorende bedrijfsgrootteklasse: 15,7 procent van de bedrijven met website met 2 tot 10 werknemers slaagt voor deze test. Van de grote bedrijven met website met 50 tot 250 werknemers slaagt slechts 2,9 procent van de bedrijven.

De onderliggende subtesten van deze categorie worden in bijlage C.4 gegeven. Zoals hiervoor bepaalt de slechts scorende subtest weer de uitslag van de categorie zelf. De testen die samenhangen met STARTTLS zijn niet beperkend: in figuur C.4.1 is bijvoorbeeld te zien dat rond de 91 procent slaagt voor de test ‘STARTTLS beschikbaar voor de ontvangende mailserver’. De beperking wordt door de testen op DANE opgelegd. Figuur C.4.13 laat bijvoorbeeld zien dat maar 16 procent van de bedrijven met website met 2 of meer werknemers slaagt voor de STARTTLS test ‘DANE bestaat’ en dat dit voor bedrijven met 50 tot 250 werknemers zelfs slechts 4,7 procent is.

Als laatste wordt naar de categorie RPKI gekeken in figuur 4.2.6. Deze categorie test of een website een route-aankondiging heeft die kan worden gematcht aan de gepubliceerde route-autorisatie (RPKI). Van alle bedrijven met website met 2 of meer werknemers slaagt 77,7 procent voor deze categorie (zie figuur 4.2.6(a)). Figuur 4.2.6(b) laat zien dat de ’Vervoer/Opslag’ met 86,4 procent het meeste voor deze categorie slaagt. Geen van de bedrijfstakken komt onder de 60 procent, op de sector ‘Verhuur/handel onroerend goed’ na.