Cybersecuritymonitor 2024

In de Cybersecuritymonitor rapporteert het CBS over de meest actuele stand van zaken rond de cyberweerbaarheid van bedrijven en personen in Nederland. Dat gebeurt hoofdzakelijk met CBS-cijfers over het aantal cybercrime-gerelateerde incidenten en -maatregelen die genomen worden om deze incidenten te voorkomen.

Hoofdstuk 2: Cybersecuritymaatregelen door bedrijven

• Grotere bedrijven nemen vaker cybersecuritymaatregelen dan kleinere bedrijven. Voor sommige maatregelen is dit patroon sterker dan voor andere. Voor bijvoorbeeld een gangbare maatregel, zoals het gebruik van antivirussoftware, zijn de verschillen tussen grote en kleine bedrijven niet zo groot. Bij een moeilijker toe te passen maatregel, zoals de encryptie van data, zijn wel grotere verschillen te zien.
• Vooral het gebruik van tweefactorauthenticatie is sinds 2017 flink toegenomen. Bij bedrijven met 10 tot 50 werkzame personen is dit zelfs ruim verdubbeld van 29 procent in 2017 naar 76 procent in 2024.
• ICT-veiligheidswerkzaamheden werden in 2023 het vaakst volledig uitbesteed door bedrijven met 10 tot 50 werkzame personen. Bij grote bedrijven (250 of meer werkzame personen) werden de ICT-veiligheidswerkzaamheden juist het vaakst deels uitbesteed en deels door het eigen personeel uitgevoerd. Bedrijven in de ICT-sector zijn het vaakst in staat om hun ICT-veiligheidswerkzaamheden zelf uit te voeren.
• Van alle bedrijven met 2 of meer werkzame personen was 17 procent in 2024 verzekerd voor cybersecurityincidenten. Grotere bedrijven waren vaker verzekerd dan kleinere bedrijven.
• Bedrijven gebruiken steeds vaker veilige internetstandaarden op hun website. Zo is de gemiddelde eindscore voor de uitgevoerde websitescan van alle bedrijven met een website (2 of meer werkzame personen) sinds 2020 met 7,6 procentpunt toegenomen: van 60,4 procent in 2020 naar 68,0 procent in januari 2025.

Hoofdstuk 3: Cybersecurityincidenten bij bedrijven

• Over de jaren heen hebben grote bedrijven consistent vaker cybersecurityincidenten dan kleine bedrijven. Dit geldt voor zowel interne incidenten als incidenten door een aanval van buitenaf. 
• Het aandeel van bedrijven van een cybersecurityincident met een interne oorzaak of een aanval van buitenaf is door de jaren wel afgenomen. In 2016 had bijvoorbeeld nog bijna 40 procent van de grootste bedrijven (250 of meer werkzame personen) een cybersecurityincident door een aanval van buitenaf, terwijl dit in 2023 nog maar 16 procent was. 
• Van alle cybersecurityincidenten kregen bedrijven het vaakst te maken met de uitval van een ICT-systeem met een interne oorzaak. In 2023 kreeg 9 procent van de bedrijven met 2 of meer werkzame personen hiermee te maken.
• Lang niet alle cybersecurityincidenten gaan ook gepaard met kosten. Het aandeel van bedrijven met kosten aan het cybersecurityincident neemt bovendien af met de tijd. In 2023 ging ongeveer een vijfde van de cybersecurityincidenten gepaard met kosten.
• Cybersecurityincidenten door een aanval van buitenaf kwamen in 2023 het vaakst voor in de ICT-sector (7 procent) en het minst vaak in de horeca (3 procent).
• Cybersecurityincidenten met een interne oorzaak kwamen in 2023 het vaakst voor in de bedrijfstakken ‘Energie, water en afvalbeheer’ (18 procent) en ‘Gezondheids- en welzijnszorg’ (17 procent), en het minst vaak in de bedrijfstak ‘Verhuur van en handel in onroerend goed’ en de horeca (6 procent).
• Grotere bedrijven worden percentueel gezien vaker slachtoffer van ransomware-aanval. Van alle bedrijven met 2 of meer werkzame personen kreeg 1 procent in 2023 te maken met een ransomware-aanval. Hoewel slechts 2 procent daarvan losgeld betaalde, kreeg ongeveer een derde wel te maken met andere kosten ten gevolge van de ransomware-aanval.  
• Bedrijven met een ransomware-aanval schakelden in 2023 vaker een cybersecuritybedrijf (39 procent) in dan de politie (14 procent). 
• In de eerste helft van 2024 kreeg de AP ruim 9,8 duizend keer een datalekmelding binnen. Hiermee ligt het aantal datalekmeldingen lager dan in de eerste helft van zowel 2023 als 2022 (beide 10,5 duizend). Meestal kwam de datalekmelding voort uit een incident met een brief of postpakket met persoonsgegevens. Bijna 70 procent van de datalekmeldingen werd gedaan door een groot bedrijf of grote organisatie (250 of meer werkzame personen).

Hoofdstuk 4: Online criminaliteit bij personen

• In 2024 gaf 16 procent van de bevolking van 15 jaar of ouder aan in de afgelopen twaalf maanden slachtoffer te zijn geweest van een of meer vormen van online criminaliteit. De meesten werden slachtoffer van oplichting en fraude (9 procent). Meer mensen gaven in 2024 aan slachtoffer te zijn geweest van online criminaliteit dan in 2022 (toen 15 procent).
• Slachtofferschap van online criminaliteit verschilde in 2024 nauwelijks naar geslacht en onderwijsniveau. Wel werden jongeren vaker getroffen dan ouderen: 20 procent van de 15- tot 25-jarigen, tegenover 10 procent van de 65-plussers.
• In totaal heeft 48 procent van de slachtoffers van online criminaliteit in 2024 bij de politie of een andere instantie of persoon melding gemaakt.
• Bijna alle 15-plussers gaven in 2024 aan één of meer beschermingsmaatregelen te nemen om persoonlijke informatie op het internet te beschermen. Het beperken of weigeren van (online) locatiegegevens was hierbij de meest genomen maatregel. In 2024 was er in vergelijking met 2022 een toename in verschillende maatregelen die mensen treffen.
• De meest gebruikte maatregel om apparatuur en accounts te beveiligen was het vergrendelen van apparaten met een toegangscode, wachtwoord, vingerafdruk of Face ID: 80 procent van de 15-plussers gaf aan dit voor alle apparaten te doen.

Hoofdstuk 5: Opgelegde sancties voor computervredebreuk

• Het Openbaar Ministerie (OM) en de rechter kunnen sancties opleggen aan verdachten van computervredebreuk (hacken). Het totaal aantal keren dat het OM een beslissing nam bij computervredebreukzaken nam toe van 440 in de periode 2012—2017 tot 705 in de periode 2018—2023. Van de 705 door het OM genomen beslissingen werden er 131 afgehandeld met een transactie, strafbeschikking of voorwaardelijk beleidssepot. 
• In de periode 2018-2023 werden 132 computervredebreukzaken afgedaan door de rechter. Dit is bijna 55 procent meer dan in de periode 2012-2017. Bij 80 procent van de zaken deelde de rechter een straf uit.
• Bij 79 procent van de zaken waarbij door de rechter een straf werd opgelegd in 2018—2023 betrof dit een taakstraf. Dat is meer dan in 2012—2017, toen nog 61 procent werd afgedaan met een taakstraf. Het aandeel opgelegde gevangenisstraffen is daarentegen bijna verdubbeld (43 procent in de periode 2018-2023, tegenover 23 procent in 2012-2017).

Dit is het achtste jaar op rij dat het Centraal Bureau voor de Statistiek (CBS) op verzoek van het ministerie van Economische Zaken (EZ) de Cybersecuritymonitor uitbrengt.¹⁾ Het doel van deze monitor is om te rapporteren over de meest actuele stand van zaken rond de cyberweerbaarheid van bedrijven en personen in Nederland. Dit wordt hoofdzakelijk gedaan met CBS‐cijfers uit verschillende bronnen, waaronder het onderzoek ICT-gebruik bij bedrijven (CBS, 2025a), het rapport Toepassing van internetstandaarden voor websites van bedrijven, 2024 (CBS, 2025d), de monitor Online Veiligheid en Criminaliteit 2024 (CBS, 2025c), het onderzoek Strafrechtspraak (CBS, 2024d), en het onderzoek over datalekmeldingen bij de Autoriteit Persoonsgegevens, 1^e helft 2024 (CBS, 2024a). Voor een uitgebreidere toelichting op het fenomeen cybersecurity en de gerelateerde begrippen, zie de eerste Cybersecuritymonitor (CBS, 2017a). 

De Cybersecuritymonitor is opgebouwd als volgt. In hoofdstuk 2 wordt ingegaan op het scala aan mogelijkheden die bedrijven nemen om de veiligheid van computers, smartphones, laptops, servers en netwerken te verhogen. In hoofdstuk 3 gaat het om het optreden van cybersecurityincidenten die de veiligheid van deze digitale systemen ondermijnen. Cybersecurityincidenten hoeven overigens niet altijd een gevolg van kwaadwillende acties te zijn, want ook een systeemfout waardoor gevoelige data naar buiten gebracht wordt of het verliezen van een onbeveiligde USB‐stick in de trein kan als een cybersecurityincident gezien worden. In hoofdstuk 4 wordt gekeken naar de strafbare feiten die zich voordoen bij personen, zoals incidenten in de sfeer van oplichting en fraude, computervredebreuk, en incidenten in de interpersoonlijke sfeer die niet altijd strafbaar zijn. In hoofdstuk 5 wordt tot slot ingegaan op de sancties die opgelegd zijn door het Openbaar Ministerie (OM) en de rechter aan verdachten van computervredebreuk.

In dit hoofdstuk wordt ingegaan op de maatregelen die bedrijven in Nederland nemen om zichzelf én hun website cyberweerbaar te maken. In paragraaf 2.1 wordt ingegaan op een breed scala aan maatregelen, zoals het gebruik van antivirussoftware of tweefactorauthenticatie. In paragraaf 2.2 wordt beschreven in hoeverre bedrijven (veilige) internetstandaarden op hun website gebruiken.

2.1 Maatregelen ter verhoging van de cyberweerbaarheid van bedrijven

De cijfers die in deze paragraaf worden getoond, zijn afkomstig uit het onderzoek ICT-gebruik bij bedrijven, oftewel de ‘ICT‐enquête’.

2.1.1 Genomen cybersecuritymaatregelen

De figuren 2.1.1 en 2.1.2 tonen het percentage van bedrijven dat verschillende cybersecuritymaatregelen toepast, naar respectievelijk bedrijfsgrootteklasse en bedrijfstak. De getoonde maatregelen zijn: het gebruik van antivirussoftware, het beschikken over methodes om de ICT-veiligheid in het bedrijf te beoordelen, de encryptie van data, het opslaan van logbestanden voor incidentanalyse, de beheer van toegangsrechten van gebruikers tot het (interne) bedrijfsnetwerk (network access control), de opslag van back-ups, het periodiek uitvoeren van risicoanalyses, het hebben van een beleid voor sterke wachtwoorden, het gebruik van tweefactorauthenticatie, en het gebruik van een VPN buiten het bedrijf. Voor zzp’ers zijn de gegevens pas beschikbaar vanaf 2021. Hoewel met deze maatregelen nooit een compleet beeld van het ICT-beveiligingsniveau van een bedrijf gegeven kan worden, ontstaat hierdoor wel een globale indruk, omdat elke extra maatregel een extra bijdrage levert aan de cyberweerbaarheid van een bedrijf.

Grotere bedrijven nemen vaker maatregelen tegen cyberdreigingen

Figuur 2.1.1 laat zien dat grotere bedrijven vaker cybersecuritymaatregelen nemen dan kleinere bedrijven. Voor sommige maatregelen is dit patroon sterker dan voor andere. Voor bijvoorbeeld een gangbare maatregel als het gebruik van antivirussoftware zijn de verschillen tussen grotere en kleinere bedrijven niet zo groot: meer dan 86 procent van alle bedrijven met meer dan 2 werkzame personen gebruikte in 2024 antivirussoftware, ongeacht de grootteklasse. Bij een moeilijker toe te passen maatregel, zoals de encryptie van data, zijn wel grotere verschillen te zien. In 2024 maakte bijvoorbeeld 33 procent van de microbedrijven (2 tot 10 werkzame personen) gebruik van de encryptie van data, tegenover 90 procent van de grote bedrijven (250 of meer werkzame personen). Het is begrijpelijk dat grote bedrijven meer maatregelen treffen, omdat zij vaak een grotere en complexere ICT-infrastructuur hebben dat een breder spectrum aan beveiligingsmaatregelen vereist. Over het algemeen worden cybersecuritymaatregelen het minst vaak genomen door zzp’ers.

Flinke toename van tweefactorauthenticatie

Figuur 2.1.1 laat zien dat vooral het gebruik van tweefactorauthenticatie sinds 2017 flink is toegenomen. Bij deze manier van inloggen moet naast een wachtwoord, ook een extra code ingevoerd worden die per inlogsessie verandert. Deze code wordt verkregen via een specifiek apparaatje of via een app op de smartphone. Dit maakt het inloggen een stuk veiliger, want zelfs als een wachtwoord onderschept wordt, biedt de vereiste extra code bescherming tegen inloggen door ongeautoriseerde gebruikers. Het gebruik van tweefactorauthenticatie komt vanaf 2017 in alle grootteklassen steeds vaker voor. Bij grote bedrijven (250 of meer werkzame personen) is dit bijvoorbeeld toegenomen van 71 procent in 2017 naar 97 procent in 2024. Bij bedrijven met 10 tot 50 werkzame personen is dit zelfs meer dan verdubbeld van 29 procent in 2017 naar 76 procent in 2024.

Bedrijfstakken met gevoelige (persoons)data nemen meer cybersecuritymaatregelen

Figuur 2.1.2 laat de genomen cybersecuritymaatregelen zien per bedrijfstak met 2 of meer werkzame personen. Bedrijfstakken die meer met ICT bezig zijn, of waarin met gevoelige (persoons)data wordt gewerkt, zoals de ICT-sector en de bedrijfstakken ‘Gezondheids- en welzijnszorg’ en ‘Financiële dienstverlening’, namen in 2024 vaker cybersecuritymaatregelen dan andere bedrijfstakken, zoals de horeca. Het ligt voor de hand dat er in de horeca minder cybersecuritymaatregelen worden genomen, omdat horecabedrijven voor hun werkzaamheden vaak minder afhankelijk zijn van ICT. Dit blijkt bijvoorbeeld uit eerdere cijfers over de mate van digitalisering van bedrijven.

Grotere bedrijven nemen een groter aantal cybersecuritymaatregelen tegelijk

Dat grote bedrijven vaker verschillende ICT-maatregelen nemen dan kleinere bedrijven, komt nogmaals terug in de figuren 2.1.3 en 2.1.4. In deze figuren wordt respectievelijk per bedrijfsgrootte en bedrijfstak het percentage bedrijven getoond dat een zeker aantal maatregelen neemt. De resultaten laten zien dat kleinere bedrijven vaak een kleiner aantal maatregelen nemen, terwijl grotere bedrijven juist vaker meerdere maatregelen tegelijk nemen. Van de grote bedrijven (250 of meer werkzame personen) nam in 2024 bijvoorbeeld 64 procent van de bedrijven alle tien de uitgevraagde maatregelen, tegenover 6 procent van de microbedrijven (2 tot 10 werkzame personen). In figuur 2.1.4 is te zien dat bedrijven in de ICT-sector over het algemeen de meeste maatregelen nemen, terwijl in de horeca minder maatregelen genomen worden. Merk op dat alleen een selectie van bedrijfstakken wordt getoond, namelijk de bedrijfstakken waar de genomen cybersecuritymaatregelen het meest uiteenlopen. Een overzicht van alle bedrijfstakken wordt getoond in tabel A.2.1.

2.1.2 Uitvoering ICT-veiligheidswerkzaamheden

In figuren 2.1.5 en 2.1.6 wordt de organisatie van de ICT-veiligheidswerkzaamheden onder de loep genomen. Per grootteklasse en bedrijfstak wordt gekeken wie de ICT-veiligheidswerkzaamheden binnen het bedrijf uitvoert: het eigen personeel, een extern bedrijf of een mix van beide. Met ICT-veiligheidswerkzaamheden wordt onder andere het uitvoeren van ICT-veiligheidstesten, het geven van ICT-veiligheidstrainingen of het oplossen van ICT-veiligheidsincidenten, bedoeld. Vanaf 2022 worden deze resultaten ook voor zzp'ers weergegeven. Merk op dat vanaf 2020 de vraagstelling wel is veranderd, door de optie ‘niet van toepassing' toe te voegen.

ICT-veiligheidswerkzaamheden het vaakst uitbesteed door kleine bedrijven

Figuur 2.1.5 laat zien dat de ICT-veiligheidswerkzaamheden in 2023 het vaakst volledig werden uitbesteed door kleine bedrijven (10 tot 50 werkzame personen). Bij grote bedrijven (250 of meer werkzame personen) werden de werkzaamheden juist het vaakst deels uitbesteed en deels door het eigen personeel uitgevoerd. Dit laatste is niet opmerkelijk, omdat een groot bedrijf meer personeel in dienst heeft en vaker over de middelen beschikt om complexere zaken uit te besteden. Bij zzp'ers en microbedrijven (2 tot 10 werkzame personen) kwam de optie ‘Niet van toepassing’ het vaakst voor. In alle grootteklassen lijkt de optie ‘Niet van toepassing’ door de tijd heen wel toe te nemen.

ICT-veiligheidswerkzaamheden het vaakst uitgevoerd door eigen personeel in de ICT-sector

Figuur 2.1.6 toont aan dat bedrijven in de ICT-sector vaker in staat zijn om hun ICT-veiligheidswerkzaamheden zelf uit te voeren. In 2023 deed 48 procent dit volledig zelf. Dit is niet opmerkelijk, omdat het te verwachten is dat bij deze bedrijven voldoende expertise voorhanden is om de ICT-beveiliging zelf uit te voeren. In de bedrijfstakken ‘Gezondheids- en welzijnszorg’ en ‘Industrie’ werden de ICT-veiligheidswerkzaamheden in 2023 bij respectievelijk 39 procent en 35 procent van de bedrijven volledig uitbesteed. Bijna drie kwart van de horecabedrijven gaf daarentegen aan dat ICT-veiligheidswerkzaamheden in 2023 niet van toepassing waren. Dit hangt waarschijnlijk samen met het feit dat er in de horeca relatief weinig cybersecuritymaatregelen genomen worden, waardoor ICT-veiligheidswerkzaamheden vaker niet aan de orde zijn. Merk op dat slechts een selectie van bedrijfstakken wordt getoond, namelijk de bedrijfstakken waar de genomen cybersecuritymaatregelen het meest uiteenlopen. Een overzicht van alle bedrijfstakken is te vinden in tabel A.2.2.

2.1.3 Verzekering voor cybersecurityincidenten

Grote bedrijven vaker verzekerd voor cybersecurityincidenten

Figuren 2.1.7 en 2.1.8 laten zien welk percentage van bedrijven per grootteklasse en bedrijfstak een verzekering voor cybersecurityincidenten afgesloten heeft. Van alle bedrijven met 2 of meer werkzame personen was 17 procent in 2024 verzekerd voor cybersecurityincidenten (figuur 2.1.7). Grotere bedrijven waren vaker verzekerd dan kleinere bedrijven. Van de zzp’ers was bijvoorbeeld slechts 6 procent verzekerd, terwijl van de bedrijven met 250 of meer werkzame personen zo’n 44 procent verzekerd was. Uit figuur 2.1.8 blijkt dat in 2024 de hoogste percentages van verzekerde bedrijven te vinden waren in de ICT-sector, en de bedrijfstakken ‘Financiële dienstverlening’, ‘Informatie en communicatie’, en ‘Gezondheids- en welzijnszorg’.

2.2 Maatregelen ter beveiliging van de websites van bedrijven

In deze paragraaf wordt in kaart gebracht in hoeverre bedrijven (veilige) internetstandaarden gebruiken op hun website. Het CBS heeft hiervoor meer dan 16 000 websites van bedrijven met de webtool Internet.nl van Platform Internetstandaarden getest op het gebruik van bijna veertig internetstandaarden. Het toepassen van internetstandaarden verhoogt de veiligheid, betrouwbaarheid en toegankelijkheid van het internet. Voor meer achtergrondinformatie, zie het onderzoek Toepassing van internetstandaarden voor websites van bedrijven, 2024 (CBS, 2025d).

Steeds vaker veilige internetstandaarden op websites van bedrijven

Met de webtool Internet.nl zijn de websites van bedrijven getest op het gebruik van bijna veertig internetstandaarden. Op basis van de veertig onderliggende testen is aan elke website een eindscore tussen de 0 en 100 procent toegekend. Een website met een eindscore van 100 procent voldoet aan alle eisen om de website zo veilig, betrouwbaar en toegankelijk mogelijk te maken.

Figuur 2.2.1 toont de gemiddelde eindscore per bedrijfsgrootteklasse. Het is te zien dat deze eindscore voor alle bedrijfsgrootteklassen ongeveer gelijk is, en per jaar gestaag toeneemt. Zo is de gemiddelde Internet.nl-eindscore voor alle bedrijven met een website met 2 of meer werkzame personen gestegen van 60,4 procent in 2020 naar 68,0 procent in januari 2025. In figuur 2.2.2 wordt ook de gemiddelde eindscore per bedrijfstak getoond. In januari 2025 varieerde de gemiddelde eindscore van 66,1 procent voor de bedrijfstak ‘Vervoer en opslag’ tot 72,2 procent voor de bedrijfstak ‘Gezondheids- en welzijnszorg’. Vergeleken met een jaar eerder lijkt vooral de bedrijfstak ‘Financiële dienstverlening’ in het afgelopen jaar relatief veel aandacht besteed te hebben aan het implementeren van veilige internetstandaarden voor hun website.

Kleinere bedrijven lopen voorop met IPv6, grote bedrijven met HSTS

Hoewel de eindscore vrij gelijkmatig over de verschillende bedrijfsgrootteklassen verdeeld is, laten de onderliggende subtesten wel duidelijke verschillen zien per bedrijfsgrootteklasse. Elk apparaat dat verbinding maakt met het internet heeft bijvoorbeeld een uniek IP-adres. Vroeger werden vooral IP-adressen van het type IP versie 4 (IPv4) gebruikt, maar omdat deze op dreigen te raken, worden er tegenwoordig ook steeds meer IP-adressen van het type ‘IP versie 6’ (IPv6) gebruikt. Het ondersteunen van IPv6 is belangrijk om het internet ook in de toekomst toegankelijk te houden. In figuur 2.2.3 is te zien dat kleinere bedrijven vaker een website hebben die bereikbaar is via een modern IPv6-adres. Dat kleine bedrijven vaker slagen dan grote bedrijven, komt wellicht doordat kleine bedrijven hun website vaker hosten bij externe providers, terwijl grote bedrijven hun website mogelijk vaker draaien op eigen servers die minder up-to-date zijn.

Aan de andere kant toont figuur 2.2.5 dat grotere bedrijven juist weer beter scoren op het ondersteunen van HSTS, oftewel HTTPS Strict Transport Security. Websites met HSTS vereisen dat de webbrowser de website alleen via het beveiligde HTTPS kunnen benaderen en niet via het onveilige HTTP-protocol. Dat grote bedrijven hier weer hoger op scoren, komt waarschijnlijk omdat deze instelling met de juiste kennis op netwerkniveau ingesteld kan worden. Waar bij IPv6 gebruik wordt gemaakt van de hardware van de webserver, vereist de ondersteuning van HSTS dat op netwerkniveau een IT-specialist de juiste instellingen gekozen heeft. Uit eerder gepubliceerde cijfers op Statline blijkt dan ook dat grote bedrijven vaker ICT-specialisten in dienst hebben.

In het voorgaande hoofdstuk werd gekeken naar de maatregelen die bedrijven nemen om meer cyberweerbaar te worden. In dit hoofdstuk wordt ingegaan op de cybersecurityincidenten die plaatsvinden, ondanks de genomen maatregelen. Hierbij wordt allereerst gekeken naar interne incidenten, die door onopzettelijk of eigen toedoen ontstaan, en incidenten die ontstaan ten gevolge van een aanval van buitenaf (paragraaf 3.1). In de rest van het hoofdstuk wordt daarna specifiek ingegaan op ransomware-aanvallen (paragraaf 3.2) en datalekmeldingen bij de Autoriteit Persoonsgegevens (paragraaf 3.3).

3.1 Cybersecurityincidenten door eigen toedoen of een aanval van buitenaf

In de ICT‐enquête (zie paragraaf 2.1) worden twee soorten cybersecurityincidenten onderscheiden: incidenten met een interne oorzaak en incidenten door een aanval van buitenaf. Voor beide soorten incidenten worden drie varianten onderscheiden.

3.1.1 Cybersecurityincidenten per bedrijfsgrootteklasse

In de ICT‐enquête wordt aan bedrijven gevraagd hoe vaak ze te maken hebben gehad met de eerder genoemde cybersecurityincidenten in het jaar daarvoor. Ook wordt gevraagd of er kosten werden gemaakt ten gevolge van de cybersecurityincidenten.³⁾ Deze vragen zijn inmiddels acht opeenvolgende jaren voorgelegd. In het volgende deel worden de resultaten eerst per bedrijfsgrootteklasse besproken. Daarna wordt gekeken naar de ontwikkeling per bedrijfstak.

Cybersecurityincidenten komen vaker voor bij grote bedrijven

In figuren 3.1.1 en 3.1.2 wordt het percentage van bedrijven getoond naar bedrijfsgrootteklasse dat minstens één cybersecurityincident heeft gehad als gevolg van een aanval van buitenaf (figuur 3.1.1) of een interne oorzaak (figuur 3.1.2). Het linkerdeel van de staafjes geeft het percentage van bedrijven weer dat aangeeft dat er kosten met het incident gemoeid waren.

Over de jaren heen blijken grote bedrijven consistent vaker cybersecurityincidenten te hebben dan kleine bedrijven. Dit geldt voor zowel interne incidenten als incidenten door een aanval van buitenaf. Voor dit patroon kunnen meerdere oorzaken zijn. Zo kan bij interne incidenten, zoals uitval van ICT-systemen door hardware of software storingen, meespelen dat grote bedrijven vaker een grotere en complexere ICT-infrastructuur hebben. Een groter aantal computers of meer hardware binnen een bedrijf gaat immers gepaard met een grotere kans dat er schade aan één van de systemen optreedt. Bij incidenten door een aanval van buitenaf is het daarnaast aannemelijk dat grote bedrijven interessanter zijn voor cybercriminelen. Bij grote bedrijven valt immers meer te halen en daar is de (publiciteits)schade groter. Tot slot kan meespelen dat grote bedrijven vaak meer ICT-specialisten in dienst hebben. Hierdoor kan de kans op detectie van ICT‐veiligheidsincidenten groter zijn.

Aandeel bedrijven met cybersecurityincidenten neemt af

Het aandeel van bedrijven met ten minste één cybersecurityincident met een interne oorzaak (figuur 3.1.2) of een aanval van buitenaf (figuur 3.1.1) neemt door de jaren heen af. Deze daling is zichtbaar voor alle bedrijfsgrootteklassen. In 2016 had bijvoorbeeld nog bijna 40 procent van de grootste bedrijven (250 of meer werkzame personen) een cybersecurityincident door een aanval van buitenaf, terwijl dit in 2023 nog maar 16 procent was.

De daling van het aantal incidenten met een interne oorzaak schommelt over de tijd. Voor de grootste bedrijven (250 of meer werkzame personen) zien we bijvoorbeeld een toename voor jaren 2016-2019, gevolgd door een afname in de jaren daarna. Dit kan te maken hebben met het feit dat interne incidenten niet per se te voorkomen zijn; een hardwareonderdeel kan nu eenmaal kapotgaan. De afname na 2019 is daarnaast mogelijk deels te verklaren doordat de uitleg van de categorie ‘dataonthulling door eigen personeel’ is gewijzigd. Vanaf 2020 is hier uitdrukkelijk bij vermeld dat het gaat om onopzettelijke dataonthulling door eigen personeel, en niet om opzettelijk toedoen. Dit kan hebben geleid tot een afname van het aantal incidenten met een interne oorzaak.

Uitval ICT-systeem vaakst voorkomende type incident

Van alle cybersecurityincidenten kregen bedrijven het vaakst te maken met de uitval van een ICT-systeem met een interne oorzaak (figuur 3.1.2). Zo kreeg 9 procent van de bedrijven met 2 of meer werkzame personen in 2023 te maken met dit type incident. Een kleiner deel (3 procent) kreeg te maken met de uitval van een ICT-systeem door een aanval van buitenaf (figuur 3.1.1). De overige type incidenten (vernietiging of onthulling van data) deden zich voor bij 1 procent van de bedrijven. Dit geldt voor zowel de incidenten door een aanval van buitenaf als door een interne oorzaak.

Een vijfde van de cybersecurityincidenten gaat gepaard met kosten

Ten slotte laten figuren 3.1.1 en 3.1.2 zien dat lang niet alle cybersecurityincidenten ook gepaard gaan met kosten. Het aandeel van bedrijven met kosten aan het cybersecurityincident neemt daarnaast af met de tijd. Zo had in 2016 nog bijna 41 procent van de bedrijven met ten minste één cybersecurityincident met een interne oorzaak (2 of meer werkzame personen) ook daadwerkelijk kosten aan het incident, terwijl dit in 2023 nog maar 20 procent was. Van de bedrijven met ten minste één cybersecurityincident door een aanval van buitenaf (2 of meer werkzame personen) had in 2016 nog bijna 55 procent kosten aan het incident, terwijl dit in 2023 nog maar 20 procent was.

3.1.2 Cybersecurityincidenten per bedrijfstak

Figuren 3.1.3 en 3.1.4 tonen het aandeel van bedrijven met ten minste één cybersecurityincident met een interne oorzaak (figuur 3.1.3) of door een aanval van buitenaf (figuur 3.1.4) per bedrijfstak (2 of meer werkzame personen). Merk op dat alleen een selectie van bedrijfstakken wordt getoond, namelijk de bedrijfstakken waar de cybersecurityincidenten het meest uiteenlopen. Een overzicht van alle bedrijfstakken wordt getoond in tabel A.3.1 t/m A.3.8.

Cybersecurityincidenten het meest voorkomend in de ICT-sector

Cybersecurityincidenten door een aanval van buitenaf kwamen in 2023 het vaakst voor in de ICT-sector (7 procent), en het minst vaak in de horeca (3 procent) (figuur 3.1.3). Voor de horeca is dit niet vreemd, omdat de mate van digitalisering daar vaak lager is dan in andere bedrijfstakken, waardoor de kans op uitval door een hardware‐ of softwarestoring ook kleiner is. Cybersecurityincidenten met een interne oorzaak kwamen in 2023 het vaakst voor in de bedrijfstakken ‘Energie, water en afvalbeheer’ (18 procent) en ‘Gezondheids- en welzijnszorg’ (17 procent). In deze bedrijfstak gingen de cybersecurityincidenten ook redelijk vaak gepaard met kosten. In de bedrijfstak ‘Verhuur van en handel in onroerend goed’ en de horeca kwamen cybersecurityincidenten met een interne oorzaak het minst vaak voor (6 procent).

3.2 Ransomware-aanvallen

Sinds 2021 wordt er in de ICT‐enquête ook specifiek gevraagd naar ransomware-aanvallen. Bij een ransomware-aanval worden de ICT‐systemen van een bedrijf of particulier door middel van malware geblokkeerd, om zo het slachtoffer te chanteren om losgeld (‘ransom’) te betalen om de systemen weer vrij te geven. Ransomware wordt door de Nationaal Coördinator Terrorismebestrijding en Veiligheid als een belangrijk risico voor de nationale veiligheid gezien (NCTV, 2023).

Grotere bedrijven percentueel gezien vaker slachtoffer van ransomware-aanval

Figuren 3.2.1 en 3.2.2 tonen respectievelijk de percentages van bedrijven met een ransomware-aanval per grootteklasse en bedrijfstak in 2023.⁴⁾ Figuur 3.2.1 laat zien dat grotere bedrijven in 2023 percentueel gezien iets vaker te maken kregen met een ransomware-aanval dan kleine bedrijven. Zo kreeg 2 procent van de bedrijven met 50 of meer werkzame personen in 2023 te maken met een ransomware-aanval, tegenover 1 procent bij de bedrijven met minder dan 50 werkzame personen. Figuur 3.2.2 laat zien dat bedrijven in de ICT‐sector het vaakst werden getroffen door een ransomware-aanval (2 procent). In de bedrijfstakken ‘Bouwnijverheid’ en ‘Financiële dienstverlening’ was het aandeel van bedrijven met een ransomware-aanval het laagst (0 procent).

In het komende deel van deze paragraaf wordt ingezoomd op de bedrijven die in 2023 te maken kregen met een ransomware-aanval. Vanwege het beperkte aantal bedrijven dat deze vragen te zien heeft gekregen, is ervoor gekozen om deze resultaten alleen uit te splitsen naar bedrijfsgrootte.

Sinds 2024 wordt er in de ICT‐enquête een onderscheid gemaakt tussen twee soorten ransomware-aanvallen: (1) ransomware-aanvallen waarbij bestanden of ICT‐systemen versleuteld worden om alleen na betaling van losgeld weer vrij te geven, en (2) ransomware-aanvallen waarbij bestanden gestolen worden en gedreigd wordt dat de informatie openbaar gemaakt wordt. Figuur 3.2.3 laat zien hoe vaak beide typen ransomware-aanvallen in 2023 voorkwamen per grootteklasse. Het blijkt dat bijna de helft van de bedrijven met een ransomware-aanval (2 of meer werkzame personen) aangaf met beide typen ransomware-aanvallen te maken te hebben gehad (47 procent). Overigens hoeft dit niet te betekenen dat er sprake was van tweevoudige afpersing.⁵⁾ Beide typen aanvallen konden zich immers ook los van elkaar voordoen. Een groot deel van de bedrijven gaf aan alleen een ransomware-aanval te hebben gehad waarbij bestanden of ICT‐systemen versleuteld waren (44 procent). Het overige deel gaf aan alleen een ransomware-aanval te hebben gehad waarbij bestanden gestolen waren en gedreigd werd deze openbaar te maken (9 procent).

Slechts 2 procent van bedrijven met ransomware-aanval betaalt losgeld

Figuur 3.2.4 geeft het percentage weer van bedrijven met een ransomware-aanval dat losgeld betaald heeft. Van alle bedrijven met een ransomware-aanval met 2 of meer werkzame personen betaalde 2 procent in 2023 losgeld. Dit lage percentage komt voornamelijk door het grote aantal kleine bedrijven (2 tot 10 werkzame personen) dat aangaf geen losgeld te betalen. Door grotere bedrijven werd wel vaker losgeld betaald. Zo betaalde 10 procent van de bedrijven met 50 tot 250 werkzame personen met een ransomware-aanval in 2023 losgeld.

Naast losgeld kunnen bedrijven ook andere kosten hebben ten gevolge van een ransomware-aanval, zoals het vervangen van getroffen ICT-systemen, het inhuren van ICT-specialisten om de schade te beperken, of het eventuele productieverlies ten gevolge van de ransomware-aanval. Figuur 3.2.5 geeft weer welk percentage van bedrijven met een ransomware-aanval, aangeeft andere kosten te hebben gehad. Uit deze figuur blijkt dat ongeveer een derde van de bedrijven met een ransomware-aanval in 2023 andere kosten had ten gevolge van de ransomware-aanval. Grotere bedrijven hadden vaker andere kosten dan kleinere bedrijven.