2. Cybersecuritymaatregelen door bedrijven

In dit hoofdstuk wordt ingegaan op de maatregelen die bedrijven in Nederland nemen om zichzelf én hun website cyberweerbaar te maken. In paragraaf 2.1 wordt ingegaan op een breed scala aan maatregelen, zoals het gebruik van antivirussoftware of tweefactorauthenticatie. In paragraaf 2.2 wordt beschreven in hoeverre bedrijven (veilige) internetstandaarden op hun website gebruiken.

2.1 Maatregelen ter verhoging van de cyberweerbaarheid van bedrijven

De cijfers die in deze paragraaf worden getoond, zijn afkomstig uit het onderzoek ICT-gebruik bij bedrijven, oftewel de ‘ICT‐enquête’.

2.1.1 Genomen cybersecuritymaatregelen

De figuren 2.1.1 en 2.1.2 tonen het percentage van bedrijven dat verschillende cybersecuritymaatregelen toepast, naar respectievelijk bedrijfsgrootteklasse en bedrijfstak. De getoonde maatregelen zijn: het gebruik van antivirussoftware, het beschikken over methodes om de ICT-veiligheid in het bedrijf te beoordelen, de encryptie van data, het opslaan van logbestanden voor incidentanalyse, de beheer van toegangsrechten van gebruikers tot het (interne) bedrijfsnetwerk (network access control), de opslag van back-ups, het periodiek uitvoeren van risicoanalyses, het hebben van een beleid voor sterke wachtwoorden, het gebruik van tweefactorauthenticatie, en het gebruik van een VPN buiten het bedrijf. Voor zzp’ers zijn de gegevens pas beschikbaar vanaf 2021. Hoewel met deze maatregelen nooit een compleet beeld van het ICT-beveiligingsniveau van een bedrijf gegeven kan worden, ontstaat hierdoor wel een globale indruk, omdat elke extra maatregel een extra bijdrage levert aan de cyberweerbaarheid van een bedrijf.

Grotere bedrijven nemen vaker maatregelen tegen cyberdreigingen

Figuur 2.1.1 laat zien dat grotere bedrijven vaker cybersecuritymaatregelen nemen dan kleinere bedrijven. Voor sommige maatregelen is dit patroon sterker dan voor andere. Voor bijvoorbeeld een gangbare maatregel als het gebruik van antivirussoftware zijn de verschillen tussen grotere en kleinere bedrijven niet zo groot: meer dan 86 procent van alle bedrijven met meer dan 2 werkzame personen gebruikte in 2024 antivirussoftware, ongeacht de grootteklasse. Bij een moeilijker toe te passen maatregel, zoals de encryptie van data, zijn wel grotere verschillen te zien. In 2024 maakte bijvoorbeeld 33 procent van de microbedrijven (2 tot 10 werkzame personen) gebruik van de encryptie van data, tegenover 90 procent van de grote bedrijven (250 of meer werkzame personen). Het is begrijpelijk dat grote bedrijven meer maatregelen treffen, omdat zij vaak een grotere en complexere ICT-infrastructuur hebben dat een breder spectrum aan beveiligingsmaatregelen vereist. Over het algemeen worden cybersecuritymaatregelen het minst vaak genomen door zzp’ers.

Flinke toename van tweefactorauthenticatie

Figuur 2.1.1 laat zien dat vooral het gebruik van tweefactorauthenticatie sinds 2017 flink is toegenomen. Bij deze manier van inloggen moet naast een wachtwoord, ook een extra code ingevoerd worden die per inlogsessie verandert. Deze code wordt verkregen via een specifiek apparaatje of via een app op de smartphone. Dit maakt het inloggen een stuk veiliger, want zelfs als een wachtwoord onderschept wordt, biedt de vereiste extra code bescherming tegen inloggen door ongeautoriseerde gebruikers. Het gebruik van tweefactorauthenticatie komt vanaf 2017 in alle grootteklassen steeds vaker voor. Bij grote bedrijven (250 of meer werkzame personen) is dit bijvoorbeeld toegenomen van 71 procent in 2017 naar 97 procent in 2024. Bij bedrijven met 10 tot 50 werkzame personen is dit zelfs meer dan verdubbeld van 29 procent in 2017 naar 76 procent in 2024.

Bedrijfstakken met gevoelige (persoons)data nemen meer cybersecuritymaatregelen

Figuur 2.1.2 laat de genomen cybersecuritymaatregelen zien per bedrijfstak met 2 of meer werkzame personen. Bedrijfstakken die meer met ICT bezig zijn, of waarin met gevoelige (persoons)data wordt gewerkt, zoals de ICT-sector en de bedrijfstakken ‘Gezondheids- en welzijnszorg’ en ‘Financiële dienstverlening’, namen in 2024 vaker cybersecuritymaatregelen dan andere bedrijfstakken, zoals de horeca. Het ligt voor de hand dat er in de horeca minder cybersecuritymaatregelen worden genomen, omdat horecabedrijven voor hun werkzaamheden vaak minder afhankelijk zijn van ICT. Dit blijkt bijvoorbeeld uit eerdere cijfers over de mate van digitalisering van bedrijven.

Grotere bedrijven nemen een groter aantal cybersecuritymaatregelen tegelijk

Dat grote bedrijven vaker verschillende ICT-maatregelen nemen dan kleinere bedrijven, komt nogmaals terug in de figuren 2.1.3 en 2.1.4. In deze figuren wordt respectievelijk per bedrijfsgrootte en bedrijfstak het percentage bedrijven getoond dat een zeker aantal maatregelen neemt. De resultaten laten zien dat kleinere bedrijven vaak een kleiner aantal maatregelen nemen, terwijl grotere bedrijven juist vaker meerdere maatregelen tegelijk nemen. Van de grote bedrijven (250 of meer werkzame personen) nam in 2024 bijvoorbeeld 64 procent van de bedrijven alle tien de uitgevraagde maatregelen, tegenover 6 procent van de microbedrijven (2 tot 10 werkzame personen). In figuur 2.1.4 is te zien dat bedrijven in de ICT-sector over het algemeen de meeste maatregelen nemen, terwijl in de horeca minder maatregelen genomen worden. Merk op dat alleen een selectie van bedrijfstakken wordt getoond, namelijk de bedrijfstakken waar de genomen cybersecuritymaatregelen het meest uiteenlopen. Een overzicht van alle bedrijfstakken wordt getoond in tabel A.2.1.

2.1.2 Uitvoering ICT-veiligheidswerkzaamheden

In figuren 2.1.5 en 2.1.6 wordt de organisatie van de ICT-veiligheidswerkzaamheden onder de loep genomen. Per grootteklasse en bedrijfstak wordt gekeken wie de ICT-veiligheidswerkzaamheden binnen het bedrijf uitvoert: het eigen personeel, een extern bedrijf of een mix van beide. Met ICT-veiligheidswerkzaamheden wordt onder andere het uitvoeren van ICT-veiligheidstesten, het geven van ICT-veiligheidstrainingen of het oplossen van ICT-veiligheidsincidenten, bedoeld. Vanaf 2022 worden deze resultaten ook voor zzp'ers weergegeven. Merk op dat vanaf 2020 de vraagstelling wel is veranderd, door de optie ‘niet van toepassing' toe te voegen.

ICT-veiligheidswerkzaamheden het vaakst uitbesteed door kleine bedrijven

Figuur 2.1.5 laat zien dat de ICT-veiligheidswerkzaamheden in 2023 het vaakst volledig werden uitbesteed door kleine bedrijven (10 tot 50 werkzame personen). Bij grote bedrijven (250 of meer werkzame personen) werden de werkzaamheden juist het vaakst deels uitbesteed en deels door het eigen personeel uitgevoerd. Dit laatste is niet opmerkelijk, omdat een groot bedrijf meer personeel in dienst heeft en vaker over de middelen beschikt om complexere zaken uit te besteden. Bij zzp'ers en microbedrijven (2 tot 10 werkzame personen) kwam de optie ‘Niet van toepassing’ het vaakst voor. In alle grootteklassen lijkt de optie ‘Niet van toepassing’ door de tijd heen wel toe te nemen.

ICT-veiligheidswerkzaamheden het vaakst uitgevoerd door eigen personeel in de ICT-sector

Figuur 2.1.6 toont aan dat bedrijven in de ICT-sector vaker in staat zijn om hun ICT-veiligheidswerkzaamheden zelf uit te voeren. In 2023 deed 48 procent dit volledig zelf. Dit is niet opmerkelijk, omdat het te verwachten is dat bij deze bedrijven voldoende expertise voorhanden is om de ICT-beveiliging zelf uit te voeren. In de bedrijfstakken ‘Gezondheids- en welzijnszorg’ en ‘Industrie’ werden de ICT-veiligheidswerkzaamheden in 2023 bij respectievelijk 39 procent en 35 procent van de bedrijven volledig uitbesteed. Bijna drie kwart van de horecabedrijven gaf daarentegen aan dat ICT-veiligheidswerkzaamheden in 2023 niet van toepassing waren. Dit hangt waarschijnlijk samen met het feit dat er in de horeca relatief weinig cybersecuritymaatregelen genomen worden, waardoor ICT-veiligheidswerkzaamheden vaker niet aan de orde zijn. Merk op dat slechts een selectie van bedrijfstakken wordt getoond, namelijk de bedrijfstakken waar de genomen cybersecuritymaatregelen het meest uiteenlopen. Een overzicht van alle bedrijfstakken is te vinden in tabel A.2.2.

2.1.3 Verzekering voor cybersecurityincidenten

Grote bedrijven vaker verzekerd voor cybersecurityincidenten

Figuren 2.1.7 en 2.1.8 laten zien welk percentage van bedrijven per grootteklasse en bedrijfstak een verzekering voor cybersecurityincidenten afgesloten heeft. Van alle bedrijven met 2 of meer werkzame personen was 17 procent in 2024 verzekerd voor cybersecurityincidenten (figuur 2.1.7). Grotere bedrijven waren vaker verzekerd dan kleinere bedrijven. Van de zzp’ers was bijvoorbeeld slechts 6 procent verzekerd, terwijl van de bedrijven met 250 of meer werkzame personen zo’n 44 procent verzekerd was. Uit figuur 2.1.8 blijkt dat in 2024 de hoogste percentages van verzekerde bedrijven te vinden waren in de ICT-sector, en de bedrijfstakken ‘Financiële dienstverlening’, ‘Informatie en communicatie’, en ‘Gezondheids- en welzijnszorg’.

2.2 Maatregelen ter beveiliging van de websites van bedrijven

In deze paragraaf wordt in kaart gebracht in hoeverre bedrijven (veilige) internetstandaarden gebruiken op hun website. Het CBS heeft hiervoor meer dan 16 000 websites van bedrijven met de webtool Internet.nl van Platform Internetstandaarden getest op het gebruik van bijna veertig internetstandaarden. Het toepassen van internetstandaarden verhoogt de veiligheid, betrouwbaarheid en toegankelijkheid van het internet. Voor meer achtergrondinformatie, zie het onderzoek Toepassing van internetstandaarden voor websites van bedrijven, 2024 (CBS, 2025d).

Steeds vaker veilige internetstandaarden op websites van bedrijven

Met de webtool Internet.nl zijn de websites van bedrijven getest op het gebruik van bijna veertig internetstandaarden. Op basis van de veertig onderliggende testen is aan elke website een eindscore tussen de 0 en 100 procent toegekend. Een website met een eindscore van 100 procent voldoet aan alle eisen om de website zo veilig, betrouwbaar en toegankelijk mogelijk te maken.

Figuur 2.2.1 toont de gemiddelde eindscore per bedrijfsgrootteklasse. Het is te zien dat deze eindscore voor alle bedrijfsgrootteklassen ongeveer gelijk is, en per jaar gestaag toeneemt. Zo is de gemiddelde Internet.nl-eindscore voor alle bedrijven met een website met 2 of meer werkzame personen gestegen van 60,4 procent in 2020 naar 68,0 procent in januari 2025. In figuur 2.2.2 wordt ook de gemiddelde eindscore per bedrijfstak getoond. In januari 2025 varieerde de gemiddelde eindscore van 66,1 procent voor de bedrijfstak ‘Vervoer en opslag’ tot 72,2 procent voor de bedrijfstak ‘Gezondheids- en welzijnszorg’. Vergeleken met een jaar eerder lijkt vooral de bedrijfstak ‘Financiële dienstverlening’ in het afgelopen jaar relatief veel aandacht besteed te hebben aan het implementeren van veilige internetstandaarden voor hun website.

Kleinere bedrijven lopen voorop met IPv6, grote bedrijven met HSTS

Hoewel de eindscore vrij gelijkmatig over de verschillende bedrijfsgrootteklassen verdeeld is, laten de onderliggende subtesten wel duidelijke verschillen zien per bedrijfsgrootteklasse. Elk apparaat dat verbinding maakt met het internet heeft bijvoorbeeld een uniek IP-adres. Vroeger werden vooral IP-adressen van het type IP versie 4 (IPv4) gebruikt, maar omdat deze op dreigen te raken, worden er tegenwoordig ook steeds meer IP-adressen van het type ‘IP versie 6’ (IPv6) gebruikt. Het ondersteunen van IPv6 is belangrijk om het internet ook in de toekomst toegankelijk te houden. In figuur 2.2.3 is te zien dat kleinere bedrijven vaker een website hebben die bereikbaar is via een modern IPv6-adres. Dat kleine bedrijven vaker slagen dan grote bedrijven, komt wellicht doordat kleine bedrijven hun website vaker hosten bij externe providers, terwijl grote bedrijven hun website mogelijk vaker draaien op eigen servers die minder up-to-date zijn.

Aan de andere kant toont figuur 2.2.5 dat grotere bedrijven juist weer beter scoren op het ondersteunen van HSTS, oftewel HTTPS Strict Transport Security. Websites met HSTS vereisen dat de webbrowser de website alleen via het beveiligde HTTPS kunnen benaderen en niet via het onveilige HTTP-protocol. Dat grote bedrijven hier weer hoger op scoren, komt waarschijnlijk omdat deze instelling met de juiste kennis op netwerkniveau ingesteld kan worden. Waar bij IPv6 gebruik wordt gemaakt van de hardware van de webserver, vereist de ondersteuning van HSTS dat op netwerkniveau een IT-specialist de juiste instellingen gekozen heeft. Uit eerder gepubliceerde cijfers op Statline blijkt dan ook dat grote bedrijven vaker ICT-specialisten in dienst hebben.