Toepassing van internetstandaarden voor websites van bedrijven, 2024

2.1 Statistische analyse van het gebruik van internetstandaarden voor websites van bedrijven

2.1.1 Enquête ’ICT-gebruik bij bedrijven’

De domeinnamen die in dit onderzoek gebruikt worden, zijn verkregen uit de enquête ‘ICT-gebruik bij bedrijven’ (kort: de ICT-enquête). In deze jaarlijkse enquête onderzoekt het CBS het gebruik van informatie- en communicatietechnologie (ICT) door bedrijven. Er wordt op verschillende aspecten van het ICT-gebruik ingegaan, zoals ICT-veiligheid, ICT en personeel, kunstmatige intelligentie (AI) en het gebruik van clouddiensten. De gegevens worden uiteindelijk uitgesplitst naar bedrijfsgrootteklasse en bedrijfstak gepubliceerd op Statline.

In de ICT-enquête wordt gevraagd of het bedrijf een website heeft. In figuur 2.1.1(a) is te zien dat in 2024 drie kwart van de bedrijven met 2 of meer werkzame personen deze vraag positief beantwoordt. Grote bedrijven hebben vaker een eigen website dan kleine bedrijven. Zo had 98 procent van de grote bedrijven (250 en meer werkzame personen) in 2024 een website, tegenover 71 procent van de kleine bedrijven (2 tot 10 werkzame personen). Sinds 2021 wordt de ICT-enquête ook aan zelfstandigen zonder personeel (zzp'ers) gestuurd. Een zzp'er is hierbij gedefinieerd als een persoon die voor eigen rekening of risico arbeid verricht in een eigen bedrijf of praktijk (zelfstandig ondernemer) en geen personeel in dienst heeft. Zzp’ers worden in dit onderzoek alleen bij de scans van 2023 en 2025 meegenomen. Omdat de vraag over websites in 2023 niet aan zzp’ers is gesteld, konden de zzp’ers in de scan van 2024 niet worden meegenomen.

Aan bedrijven die aangeven een website te hebben, wordt in de ICT-enquête om de URL (Uniform Resource Locator, oftewel het internetadres) van de website gevraagd. Als het bedrijf meerdere websites heeft, wordt de URL van de website met de meeste bezoekers gevraagd (de hoofdwebsite). De websites die op deze manier verkregen zijn, worden vervolgens gescand met de webtool Internet.nl van Platform Internetstandaarden.

2.1.2 Scans bij Internet.nl

De webtool Internet.nl van Platform Internetstandaarden voert verschillende subtesten uit op de websites die zijn verkregen uit de ICT-enquête (zie paragraaf 1.2). Per website wordt uiteindelijk een eindscore berekend. Omdat de websites via een statistisch representatieve steekproef verkregen zijn, kunnen landelijke gemiddelden van de uitkomsten per bedrijfsgrootteklasse en bedrijfstak worden berekend.

Het huidige rapport bevat scans die zijn uitgevoerd in de jaren 2020 en 2022 t/m 2025. De scan van 2020 is uitgevoerd op de steekproef van bedrijven uit hetzelfde jaar van de ICT-enquête (CBS, 2020). De scans van 2022 t/m 2025 zijn uitgevoerd op de steekproef van bedrijven uit de ICT-enquête van telkens een jaar eerder (CBS, 2021, 2022a, 2023b, 2024a). De details van de scandata zijn te vinden in tabel 2.1.2. Voor het jaar 2021 zijn ook scans uitgevoerd. De resultaten daarvan zijn opgenomen in het rapport ‘Toepassing van Internetstandaarden voor websites van bedrijven, 2023’ (CBS, 2024b).

In figuren 2.1.3(a) en 2.1.3(b) worden de verdelingen van de bedrijfsgrootteklassen en bedrijfstakken voor de genoemde jaren gegeven. Merk op dat in 2022 voor het eerst ook zzp’ers aan de enquête deelnamen. In dit rapport worden bij de verdeling over de bedrijfstakken echter alleen bedrijven met 2 of meer werkzame personen meegenomen. In dit rapport worden ook uitkomsten voor de ICT-sector gepresenteerd. Hierbij moet opgemerkt worden dat dit een samentelling is van verschillende bedrijfstakken (zie tabel A.1.3).

2.1.3 Ophoging van de eindscore

Zoals gezegd wordt per website een eindscore bepaald die weergeeft in welke mate veilige internetstandaarden worden toegepast. Deze eindscore wordt berekend op basis van verschillende subtesten (zie paragraaf 1.2). Omdat de websites via een representatie steekproef verkregen zijn, kunnen de gemiddelde scores per bedrijfsgrootteklasse en bedrijfstak worden berekend. Hiertoe wordt het gewogen gemiddelde met weegfactoren berekend, waarbij de weegfactor verkregen wordt door per bedrijfsgrootteklasse en bedrijfstak het aantal bedrijven in de populatie te delen door het aantal bedrijven in de steekproef. De uiteindelijke grootteklassen en bedrijfstakken die in dit rapport worden gebruikt, zijn opgenomen in tabel A.1.1 en tabel A.1.2.

2.2 Verdeling van de websites over de verschillende domeinextensies

In de figuren 2.2.1(a) en 2.2.1(b) wordt per bedrijfsgrootteklasse en bedrijfstak de verdeling getoond van de domeinextensies over de meeste voorkomende extensies: .nl, .com en .eu. De figuur is gebaseerd op de websites die zijn verkregen uit de ICT-enquête van het jaar 2024. Alle overige extensies zijn in één categorie overig samengenomen. Deze figuur geeft dus de verdeling van de domeinextensies van de hoofdwebsites van bedrijven.

De verdeling per bedrijfsgrootteklasse in figuur 2.2.1(a) toont aan dat .nl de meest voorkomende domeinextensie (of top level domain/tld) is. In 2024 had 82 procent van de bedrijven met een website (2 of meer werkzame personen) .nl als domeinextensie van de hoofdwebsite. Ook is te zien dat .nl vaker voorkomt bij kleinere bedrijven, terwijl grote bedrijven met vijftig werkzame personen of meer relatief wat vaker .com als domeinextensie opgeven. De domeinextensie .eu heeft als derde nog een klein aandeel. Tot slot zijn er nog veel domeinextensies (meer dan 70 verschillende) die bij elkaar niet meer dan 3 procent van het totaal uitmaken. Deze domeinextensies worden met de categorie overig aangeduid.

Figuur 2.2.1(b) toont tenslotte de verdeling van domeinnaamextensies per bedrijfstak voor alle bedrijven met een website (2 of meer werkzame personen). Het gebruik van de domeinextensie .nl varieerde in 2024 in de meeste bedrijfstakken tussen de 67 en 91 procent. De bedrijfstak ‘Verhuur en handel van onroerend goed’ gebruikte .nl het vaakst, met 91 procent van de bedrijven. Daarentegen had de bedrijfstak ‘Informatie en communicatie’ met 67 procent het laagste gebruik van .nl. Deze bedrijfstak maakte echter weer het vaakst gebruik van .com.

2.3 Enkele internetstandaarden voor alle .nl-websites volgens SIDN

In dit rapport wordt het gebruik van (veilige) internetstandaarden bij websites van bedrijven in kaart gebracht. Hierbij wordt aan een bedrijf hooguit één website gekoppeld: de website met de meeste bezoekers volgens het bedrijf zelf. In dit rapport wordt ‘het bedrijf’ dus als statistische eenheid gebruikt.

Stichting Internet Domeinregistratie Nederland rapporteert ook tijdseries van een aantal internetstandaarden van alle websites met een .nl-domeinextensie (SIDN Lab, 2025a). In de rapportage van de SIDN is 'de website' de statistische eenheid. Door het verschil in statistische eenheid kunnen de cijfers in dit rapport niet direct vergeleken worden met de cijfers van SIDN. Toch is het zinnig om enkele kenmerken naast elkaar te leggen, zodat gekeken kan worden of de trends wel vergelijkbaar zijn.

Figuur 2.3.1 laat de ontwikkeling van vijf veiligheidskenmerken zien als percentage van alle websites met een .nl-domeinnaam zoals gemeten door SIDN. Het gaat om de volgende kenmerken:

• DNSSEC. Percentage van alle .nl-websites dat is beveiligd met DNSSEC.
• IPv6. Percentage van alle .nl-websites dat bereikbaar is via IPv6.
• TLS. Percentage van alle .nl-websites waarbij de verbinding tussen de webserver en gebruiker met TLS versleuteld is.
• HSTS. Percentage van alle .nl-websites met een HTTP Strict-Transport-Security HTTP-header (HSTS) waarmee de browser wordt geïnstrueerd dat de website alleen met HTTPS benaderd dient te worden.
• RPKI. Percentage van alle .nl-websites dat autorisatie voor routering gebruikt.

De cijfers van SIDN tonen aan dat een steeds groter wordend aandeel van de .nl-websites veilige internetstandaarden toepast. Voor de scans in dit rapport zijn echter alle domeinextensies meegenomen, dus niet alleen .nl-websites. Daarnaast wordt in dit rapport alleen de hoofdwebsite van een bedrijf meegenomen, terwijl bedrijven wel meerdere websites kunnen hebben. Tot slot worden bij SIDN alle .nl-websites meegenomen, inclusief websites die geen eigendom zijn van een bedrijf, maar van bijvoorbeeld particulieren of domain resellers. Direct vergelijken is dus niet mogelijk, maar trends kunnen wel naast elkaar worden gelegd.

3.1 Introductie

Met de websitescan van Internet.nl wordt getest of websites van bedrijven aan moderne internetstandaarden voldoen. In dit hoofdstuk worden de resultaten van de websitescan besproken om zo per bedrijfsgrootteklasse en bedrijfstak in kaart te brengen welk percentage bedrijven de juiste internetstandaarden toepast. De resultaten van de e-mailscan worden in het volgende hoofdstuk besproken.

De websitescan van Internet.nl bevat vijf categorieën:

1. IPv6: Bereikbaarheid via een modern internetadres.
2. DNSSEC: Gebruik van een ondertekende domeinnaam.
3. HTTPS: Gebruik van een beveiligde verbinding.
4. Beveiligingsopties: Gebruik van ingestelde Applicatie-beveiligingsopties.
5. RPKI: Autorisatie voor routering¹⁾

In de volgende paragraaf zullen deze categorieën in meer detail beschreven worden. De score per categorie wordt bepaald aan de hand van verschillende losse subtesten die binnen de categorie vallen. In dit hoofdstuk worden de resultaten per categorie gepresenteerd. In bijlage B worden de resultaten van alle onderliggende subtesten gegeven die per categorie uitgevoerd zijn. Een overzicht van de vijf categorieën met de bijbehorende subtesten kan in tabel A.2.1 tot en met A.2.5 gevonden worden.

In sectie 3.2 wordt eerst naar de gemiddelde Internet.nl-eindscores en de gemiddelde scores per categorie per bedrijfsgrootteklasse en bedrijfstak gekeken. Daarna wordt in paragraaf 3.3 de verdeling van alle eindscores laten zien.²⁾

3.2 Resultaten van Internet.nl per bedrijfsgrootteklasse en -tak

3.2.1 Eindscore niet afhankelijk van bedrijfsgrootte, wel van bedrijfstak

In figuren 3.2.1(a) en 3.2.1(b) wordt per bedrijfsgrootteklasse en bedrijfstak voor de jaren 2020, 2023, 2024 en 2025 de eindscores van de websites van bedrijven in Nederland getoond. De gemiddelde eindscore per bedrijfsgrootte is per jaar voor alle bedrijfsgrootteklassen ongeveer gelijk en neemt met de tijd gestaag toe. Zo is de gemiddelde Internet.nl-eindscore gestegen voor alle bedrijven met een website (2 of meer werkzame personen) van 60,4 procent in 2020 naar 68,0 procent in januari 2025. Voor grote bedrijven met een website (250 of meer werkzame personen) was de Internet.nl-eindscore in 2020 nog 59,2 procent, terwijl dat in januari 2025 tot 68,7 procent is toegenomen. Deze toename van de eindscore is in dezelfde mate te zien voor de andere bedrijfsgrootteklassen.

In de Cybersecuritymonitor (CBS, 2023a) wordt geconstateerd dat kleine bedrijven vaak minder maatregelen treffen dan grote bedrijven om hun ICT-systemen te beveiligen. Bij het toepassen van internetstandaarden valt het echter op dat kleine bedrijven het even goed, zo niet beter, doen dan grote bedrijven. Een verklaring zou kunnen zijn dat kleine bedrijven vaker ICT-specialisten inhuren om hun website te maken en dat hierbij nieuwere standaarden worden gebruikt. Grote bedrijven hebben mogelijk vaker een website die al wat langer geleden ontwikkeld is. Bij onderhoudswerkzaamheden zijn deze internetstandaarden later ook niet toegepast.

Figuur 3.2.1(b) toont de gemiddelde eindscore per bedrijfstak voor de jaren 2020, 2023, 2024 en 2025. In januari 2025 varieerde de gemiddelde eindscore van 66,1 procent voor de bedrijfstak ‘Vervoer en opslag’ tot 72,2 procent voor de bedrijfstak ‘Gezondheids- en welzijnszorg’. Daarnaast is te zien dat de totale eindscore voor alle bedrijfstakken tussen 2020 en januari 2025 gestegen is, met stijgingen van een paar procentpunten voor bijvoorbeeld de ICT-sector, tot ruim 14 procentpunten voor de bedrijfstak ‘Financiële dienstverlening’. De bedrijfstak ‘Financiële dienstverlening’ is dus blijkbaar in de afgelopen jaren het meest intensief bezig geweest met het implementeren van veilige internetstandaarden op hun website.

3.2.2 Uitkomsten Internet.nl-websitescan per categorie

De eindscore per categorie wordt samengesteld uit de onderliggende testen, zoals in tabel A.2.1 gegeven is. Deze testen zijn opgedeeld in vijf categorieën: IPv6, DNSSEC, HTTPS, Beveiligingsopties en RPKI. Als een bedrijf binnen een categorie aan voldoende testen voldoet, zal de categorie door de Internet.nl-scan met ‘geslaagd’ aangeduid worden. In de figuren 3.2.2 tot en met 3.2.6 wordt voor de vijf categorieën het percentage van geslaagde bedrijven per bedrijfsgrootteklasse en bedrijfstak getoond. Hoewel de eindscores weinig per bedrijfsgrootteklasse en bedrijfstak variëren, is nu te zien dat er wel aanzienlijke verschillen per categorie zijn. Deze verschillen worden hieronder besproken.

De uitkomsten van alle onderliggende testen worden in bijlage B in de figuren B.1.1 tot en met B.5.4 gegeven. In deze figuren is terug te vinden voor welke testen de verschillen tussen de verschillende bedrijfsgrootteklassen ontstaan. Hieronder worden de resultaten per categorie besproken en waar nodig naar de belangrijkste subtesten verwezen.

Categorie IPv6

De categorie IPv6 geeft aan in hoeverre een website bereikbaar is via een Internet Protocol (IP)-adres van het type IPv6. Elk apparaat dat verbinding maakt met het internet (zoals computers, printers etc.) heeft een uniek adres, oftewel een IP-adres. Dit IP-adres is een nummer dat het apparaat herkenbaar maakt voor andere apparaten. Vroeger werden vooral IP-adressen van het type IP versie 4 (IPv4) gebruikt, maar omdat deze inmiddels opraken, worden er tegenwoordig ook steeds meer IP-adressen van het type ‘IP versie 6’ (IPv6) gebruikt. Een groot voordeel van het type IPv6 is dat deze adressen langer zijn, waardoor er veel meer combinaties te maken zijn.

Figuur 3.2.2(a) laat zien dat kleine bedrijven met een website (2 tot 10 werkzame personen) in januari 2025 vaker slaagden voor de categorie IPv6 dan grote bedrijven (250 of meer werkzame personen): respectievelijk 36,5 en 27,8 procent. Voor zzp’ers met een website is te zien dat zij nog beter scoren: 45,4 procent slaagde in januari 2025 voor de categorie IPv6.

Dat kleine bedrijven vaker voor de categorie IPv6 slagen dan grote bedrijven komt wellicht doordat kleine bedrijven hun website vaker hosten bij externe providers met moderne netwerkinstellingen. Grote bedrijven draaien hun website mogelijk vaker op eigen servers die minder up-to-date zijn. Het ontbreken van ondersteuning van IPv6 brengt niet direct een veiligheidsrisico met zich mee, dus voor veel grote bedrijven is er ook minder aanleiding om hun servers aan te passen om IPv6 te gaan ondersteunen.

De uitsplitsing van de categorie IPv6 naar bedrijfstak getoond in figuur 3.2.2(b) laat zien dat de bedrijfstakken ‘Bouwnijverheid’, ’Handel’ en ’Gezondheids- en welzijnszorg’ de ondersteuning van IPv6 het beste op orde hebben. Vergeleken met 2020 zijn de scores echter in alle bedrijfstakken gestegen. Deze stijgende trend komt overeen met de resultaten van SIDN Lab (2025a), zoals getoond in paragraaf 2.3.

Categorie DNSSEC

De categorie DNSSEC geeft aan in hoeverre een website beveiligd is met Domain Name System Security Extensions (DNSSEC). DNSSEC is een beveiligingssysteem voor het Domain Name System (DNS), het internettelefoonboek dat zorgt voor de vertaling van domeinnamen naar IP‐adressen. Met alleen DNS is de vertaling van een domeinnaam namelijk niet beveiligd. Een kwaadwillende zou een gebruiker alsnog kunnen omleiden naar een vals IP‐adres, waar vervolgens vertrouwelijke gegevens of zelfs geld ontfutseld zou kunnen worden door middel van phishing en pharming³⁾. Met DNSSEC wordt bij de vertaling van domeinnaam naar IP‐adres daarom altijd een digitale handtekening toegevoegd die automatisch kan worden gecontroleerd.

Figuur 3.2.3(a) laat zien dat 54,1 procent van de bedrijven met een website (2 of meer werkzame personen) in januari 2025 een geldige handtekening had. Ten opzichte van 2020 zijn de resultaten in alle bedrijfsgrootteklassen aanzienlijk verbeterd. Opvallend is wel dat in 2020 kleine bedrijven met een website nog het best scoorden, terwijl grote bedrijven in 2025 beter zijn gaan scoren. Zo slaagde 55,8 procent van de grote bedrijven met een website (250 of meer werkzame personen) in januari 2025 voor de categorie DNSSEC, tegenover 38,2 procent in 2020. Kleine bedrijven met een website (2 tot 10 werkzame personen) scoorden in 2025 nu het op één na hoogst op deze categorie: bijna 55 procent had in januari 2025 een website met een geldige handtekening.

Figuur 3.2.3(b) laat zien dat de bedrijfstak ‘Gezondheids- en welzijnszorg’ in 2025 het vaakst slaagde (64,9 procent), gevolgd door de bedrijfstak ‘Financiële dienstverlening’ (63,8 procent). De bedrijfstak ‘Vervoer en opslag’ slaagde ditmaal het minst vaak (47,3 procent).

De categorie DNSSEC wordt bepaald door maar twee onderliggende testen: DNSSEC aanwezig (figuur B.2.1) en DNSSEC geldig (figuur B.2.2). Het is dan ook te zien dat de scoreverdeling van de categorie DNSSEC bijna identiek is aan de onderliggende testen. Volgens SIDN Lab (2025a) had in het begin van 2025 ongeveer 62 procent van alle .nl-websites een geldige DNSSEC handtekening (zie figuur 2.3.1). In 2020 was dit nog ongeveer 55 procent. Hoewel het gemiddelde van alle bedrijven met een website onder deze waarde ligt, komt de stijgende trend tussen beide cijfers wel overeen.

Categorie HTTPS

De categorie HTTPS geeft aan of een website bereikbaar is via een beveiligde verbinding. Met Hypertext Transfer Protocol Secure (HTTPS) worden alle gegevens die op een website ingevoerd en verstuurd worden, versleuteld. Vertrouwelijke informatie, zoals wachtwoorden, creditcard- of bankgegevens, of andere (persoons)gegevens, kunnen hierdoor niet zomaar onderschept of afgeluisterd worden.

Ditmaal is in figuur 3.2.4(a) te zien dat grote bedrijven aanzienlijk beter scoren voor de categorie HTTPS dan kleine bedrijven. Opvallend is wel dat het slagingspercentage voor deze categorie vrij laag is. Slechts 8,5 procent van alle bedrijven met een website (2 of meer werkzame personen) had in 2025 een positieve uitslag voor de categorie HTTPS. Dit lage slagingspercentage wordt veroorzaakt door het groot aantal subtesten dat gebruikt wordt om de categorie HTTPS te doen slagen. Als één van de subtesten niet slaagt, zal hiermee ook de totale categorie HTTPS niet slagen. Ondanks dat niet veel bedrijven slagen voor de gehele categorie HTTPS, is in figuur B.3.1(a) wel te zien dat bijna 95 procent van alle bedrijven met een website (2 of meer werkzame personen) HTTPS beschikbaar heeft. Figuur B.3.1(b) toont dat dit min of meer gelijkmatig over de bedrijfstakken verdeeld is.

Figuur 3.2.4(b) toont aan dat de bedrijfstak ‘Verhuur en handel van onroerend goed’ in 2025 het beste scoorde voor de categorie HTTPS. Opvallend genoeg is er voor deze bedrijfstak juist wel een kleine daling van 2,3 procent te zien ten opzichte van 2020. In de bedrijfstak ’Vervoer en opslag’ is het percentage dat slaagde juist het sterkst toegenomen, met bijna 8 procent.

Één van de testen binnen de categorie HTTPS waar bedrijven slecht op scoren, is het gebruik van HSTS, zoals in figuur B.3.4 te zien is. HSTS staat voor HTTP Strict-Transport-Security HTTP-header, en laat browsers weten dat een website alleen met HTTPS benaderd moet worden. Dit betekent dat alle toekomstige verzoeken met HTTP automatisch moeten worden omgezet in verzoeken met HTTPS. Door de lage score op deze subtest, valt ook de score op de totale categorie HTTPS laag uit. Van alle bedrijven met een website (2 of meer werkzame personen) slaagde in januari 2025 maar 16,1 procent voor deze test (zie figuur B.3.4(a)). Het is waarschijnlijk deze test die de uitkomst voor de totale categorie HTTPS bepaalt, omdat de verdeling van de slagingspercentages sterk overeenkomt met die voor de hele categorie HTTPS. De lage score op HSTS komt overeen de meting van SIDN Lab (2025a). In figuur 2.3.1 is te zien dat in begin 2025 maar 12 procent van alle .nl-websites slaagde voor deze test.

Categorie Beveiligingsopties

Met de categorie Beveiligingsopties wordt bepaald of een website de juiste ‘security headers’ heeft ingesteld om bezoekers te beschermen tegen cyberaanvallen. Met een security header kan een website bepalen hoe een browser waarmee de website bezocht wordt, zich moet gedragen. Zo kan de security header Content Security Policy (CSP) bepalen welke bronnen (zoals scripts, afbeeldingen etc.) geladen mogen worden. Op deze manier worden bezoekers beschermd tegen aanvallen met bijvoorbeeld cross-site scripting (XSS) of framing.

Figuur 3.2.5(a) toont aan dat in 2020 nog ruim 10 procent van de grote bedrijven met een website (250 of meer werkzame personen) voor deze categorie slaagde. Van alle bedrijven met een website (2 of meer werkzame personen) slaagde 2,7 procent. Vanaf 2021 slaagde echter vrijwel geen van bedrijven voor deze categorie, waardoor de licht- en donkerblauwe staafjes niet meer zichtbaar zijn. Dat vrijwel geen van de bedrijven vanaf 2021 slaagde, komt doordat geen van de bedrijven slaagde voor één onderliggende subtest, namelijk de subtest ‘Content security policy’, zoals te zien in figuur B.4.3. Deze test is op 21 maart 2021 strenger geworden. Waar het niveau van vereiste vóór deze datum nog optioneel was, is dat na deze datum verhoogd tot ‘Aanbevolen’ (Platform Internetstandaarden, 2021). Blijkbaar zijn er nog nauwelijks bedrijven die de subtest ‘Content security policy’ volgens de laatste eisen voor hun website uitvoeren, waardoor ook de hele categorie Beveiligingsopties geen succesvolle resultaten oplevert. Ook voor de subtest ‘security.txt’ slaagt vrijwel geen van de bedrijven.⁴⁾

De andere onderliggende subtesten van deze categorie vertonen nog wel een positieve trend over de jaren heen. Zo slagen door de jaren heen steeds meer bedrijven met een website voor de subtest ‘X-frame-options’, zoals getoond in figuur B.4.1. Voor alle bedrijven met een website (2 of meer werkzame personen) is een stijging te zien van 11,9 procent in 2020 naar 14,8 procent in 2025. Grote bedrijven slagen daarbij vaker voor deze test dan kleine bedrijven. Van de grote bedrijven met een website (250 of meer werkzame personen) slaagde 25,1 procent in 2025, tegenover 13,7 procent van de kleine bedrijven met een website (2 tot 10 werkzame personen).

Categorie Autorisatie voor Routering (RPKI)

Resource Public Key Infrastructure (RPKI) is een techniek die kan worden gezien als een aanvulling op het eerdergenoemde DNSSEC. Hoewel DNSSEC zorgt voor de juiste vertaling van domeinnamen naar IP-adressen, zorgt RPKI er ook daadwerkelijk voor dat het verkeer naar die IP-adressen op de juiste plek belandt. Met RPKI kan dus worden voorkomen dat internetverkeer wordt omgeleid naar de systemen van een ongeautoriseerd netwerk. Deze categorie is pas in 2022 aan de webitescan toegevoegd.

Figuur 3.2.6(a) laat een grote stijging van de uitkomsten tussen 2023 en 2024 zien voor alle bedrijfsgrootteklassen. De scan van 2025 laat daarnaast weer een kleine stijging zien. Van alle bedrijven met een website (2 of meer werkzame personen) slaagde 81,2 procent in 2025. Geen van de onderliggende bedrijfsgrootteklassen had een score lager dan 78,3 procent. Figuur 3.2.6(b) toont aan dat de bedrijfstak ‘Bouwnijverheid’ met 87,0 procent het hoogste scoorde. Geen enkele bedrijfstak had een slagingspercentage onder de 72 procent.

In bijlage B.5.1 tot en met B.5.4 worden de resultaten van de onderliggende subtesten getoond. Deze waardes liggen allemaal boven de waarde voor de totale categorie. Dit komt doordat een website pas voor de hele categorie slaagt, als zowel de website zelf als de nameserver een valide RPKI hebben. Het komt echter regelmatig voor dat alleen RPKI op de website geldig is, maar niet op de nameserver, en vice versa. Hierdoor slagen bedrijven minder vaak voor de categorie RPKI dan voor de onderliggende subtesten.

Als alleen naar de uitslag van een valide RPKI op de website gekeken wordt (figuur B.5.2), dan is te zien dat bijna 83,5 procent van de bedrijven met een website (2 of meer werkzame personen) een geldige RPKI op de website had in 2025. In figuur 2.3.1 kan teruggevonden worden dat volgens SIDN Lab (2025a) op 8 januari 2025 zo’n 88 procent van alle .nl-websites een valide RPKI op de website had voor alle .nl-websites. De Internet.nl-scan was in januari 2025 uitgevoerd; de resultaten voor RPKI op de website komen dus goed overeen.

3.3 Verdelingen van de eindscores van de websitescans

Hoewel de gemiddelde score van alle bedrijven met een website (2 of meer werkzame personen) in 2025 rond de 68 procent lag, is hierboven al geconstateerd dat de uitslag voor de verschillende categorieën wel per bedrijfsgrootteklasse en bedrijfstak varieert. In deze paragraaf wordt gekeken naar de spreiding van de eindscores voor alle bedrijven.

3.3.1 Verdeling van de websitescan Internet.nl-score in januari 2025

De verdeling van de eindscore voor alle bedrijven in Nederland is voor januari 2025 te zien in figuur 3.3.1.⁵⁾ De verdeling vertoont pieken rond de 50, 70 en 80 procent. In figuur 3.3.1 zijn daarnaast drie kwartielen (Q1, Q2, en Q3) weergegeven. De verdeling van de overige jaren wordt in bijlage B.6.1 gegeven. In de verdeling van 2025 geeft het eerste kwartiel (Q1) aan dat 25 procent van de bedrijven een eindscore lager dan 50 procent behaalde. Het tweede kwartiel (Q2, de mediaan) geeft aan dat de helft van alle bedrijven een score hoger dan 71 procent behaalde. Het derde kwartiel (Q3) geeft ten slotte aan dat 25 procent van de bedrijven een score hoger dan 81 procent behaalde.

In een voorgaand rapport (CBS, 2022b) werd aangetoond dat de pieken in de verdeling min of meer overeenkomen met het aantal categorieën waarvoor een website slaagt. De spreiding rondom een piek wordt veroorzaakt door spreiding van het aantal geslaagde onderliggende subtesten. De scorebepaling is echter dynamisch en past zich aan de veiligheidseisen aan. Hierdoor is te zien dat de verdeling van de scores over de jaren verandert. Meer bedrijven schuiven richting de 100 procentscore op, waardoor de piek rond de 100 procent is toegenomen.

Tabel 3.3.2 geeft de waardes voor de percentielen die in de figuren gevisualiseerd zijn. Inderdaad is te zien dat het derde kwartiel langzaam hoger wordt. De waarde van dit kwartiel geeft aan dat 75 procent van de bedrijven een score gelijk of lager dan dit percentiel heeft, of anders gezegd, dat 25 procent van de bedrijven een score hoger dan deze waarde heeft. Zo had in 2020 een kwart van de bedrijven een score hoger dan 76, terwijl in 2025 een kwart van de bedrijven een score had die hoger dan 81 was.

3.4 Welke bedrijven hebben de hoogste en laagste score voor de websitescan?

In figuur 3.4.1 en figuur 3.4.2 worden de bedrijven met de hoogste scores voor de websitescan weergegeven per bedrijfsgrootteklasse en bedrijfstak. Als gekeken wordt naar het percentage van bedrijven dat per bedrijfsgrootteklasse een eindscore van 90 procent of meer haalt, dan is een duidelijke trend te zien. Kleine bedrijven met een website halen vaker een eindscore van 90 procent of meer dan grote bedrijven (figuur 3.4.1(a)). Daarnaast kan geconcludeerd worden dat het aantal bedrijven met een website (2 of meer werkzame personen) dat eindscore van 90 procent haalt in 2025 is toegenomen. In 2020 haalde maar 13,8 procent van de bedrijven een score van 90 of meer, terwijl dat in 2025 ondertussen al 22,1 procent was: een relatieve toename van ruim 60 procent in vijf jaar.

De verdeling van bedrijven met een eindscore van 90 procent of meer naar bedrijfstak laat zien dat de bedrijfstak ’Gezondheids- en welzijnszorg’ in 2025 de best scorende bedrijfstak was (figuur 3.4.1(b)). In 2025 had bijna 36 procent van de bedrijven in deze sector een website met een eindscore van 90 procent of meer.

In figuur 3.4.2 wordt gekeken naar het percentage van bedrijven met een website dat een eindscore van 100 procent haalt. Waar in figuur 3.4.1(a) duidelijk te zien was dat grote bedrijven relatief minder vaak een score van 90 procent of meer halen ten opzichte van kleine bedrijven, is in figuur 3.4.2(a) te zien dat deze trend voor bedrijven met een eindscore van 100 procent precies andersom is. Van de grote bedrijven met een website (250 of meer werkzame personen) haalde in 2025 6,2 procent een score van 100 procent. Dus hoewel kleine bedrijven wel vaker goed scoren (met een score van 90 procent of meer), is te concluderen dat als grote bedrijven boven de 90 procent scoren, ze relatief vaker ook direct een 100 procentscore halen. Een verklaring zit hem misschien in het feit dat grote bedrijven hun website op hun eigen server hosten, terwijl kleine bedrijven hun website vaker hosten bij een externe serviceprovider. Van een aantal internetstandaarden is bekend dat bedrijven deze - vanwege afhankelijkheden van de netwerkinstellingen van de server - in dat geval niet helemaal in eigen hand hebben. Wellicht verklaart dit dat het voor grote bedrijven beter mogelijk is om die 100 procentscore te halen.

Figuur 3.4.2(b) laat de verdeling over de bedrijfstakken zien van de bedrijven met een website die een eindscore van 100 procent halen. Waar bij de groep met een score van 90 procent of meer vooral bedrijven uit de bedrijfstakken ‘Gezondheids- en welzijnszorg’ en ’Bouwnijverheid’ goed vertegenwoordigd waren in 2025, domineerden bij de 100 procentgroep juist bedrijven uit de sectoren ’Financiële dienstverlening’ en ’Vervoer en opslag’.

Tot nu toe is aangetoond dat kleine bedrijven relatief vaker een score van 90 procent of meer halen dan grote bedrijven. Toch was eerder in figuur 3.2.1 geconstateerd dat de gemiddelde eindscore over alle bedrijfsgrootteklassen niet veel varieerde, met gemiddelde eindscores voor alle bedrijfsgrootteklassen van rond de 68 procent. Dit impliceert dat kleine bedrijven ook vaker juiste een lagere score halen, waardoor de gemiddelde eindscore voor grote en kleine bedrijven ongeveer gelijk is. In figuur 3.4.3(a) is te zien dat dit inderdaad het geval is: kleine bedrijven halen relatief vaker een eindscore van 40 procent of minder dan grote bedrijven. In 2025 had 14,3 procent van de kleine bedrijven met een website (2 tot 10 werkzame personen) een score onder de 40 procent, tegenover 7,7 procent van de grote bedrijven met een website (250 of meer werkzame personen). In deze figuur is ook te zien dat voor bijna alle bedrijfsgrootteklassen het percentage bedrijven dat een score onder de 40 haalt, zo goed als over de tijd afneemt. In ieder geval kan geconcludeerd worden dat de spreiding van de scores (figuur 3.3.1) voor kleine bedrijven groter is dan voor grote bedrijven: kleine bedrijven hebben websites met zowel de laagste als de hoogste scores.

In figuur 3.4.3(b) is te zien dat de bedrijfstak ‘Bouwnijverheid‘ in 2025 bij de groep met de hoogste eindscores van 90 procent of meer hoorde, maar ook sterk vertegenwoordigd was in de groep met de laagste eindscores 40 procent of minder. Voor de bedrijfstakken ‘Verhuur en overige zakelijke dienstverlening’, ’Financiële dienstverlening’ en ’Vervoer en opslag’ blijkt dat deze in januari 2025 bij de bestscorende bedrijfstakken behoorden én tegelijkertijd minder vertegenwoordigd waren in de groep van laagscorende bedrijfstakken. Minder dan 12 procent van de bedrijven met een website uit deze bedrijfstakken had een eindscore van 40 procent of minder. Dit toont aan dat de spreiding van eindscores voor deze bedrijfstakken klein is. Bedrijven uit deze sectoren voldoen dus over het algemeen beter aan de normen voor internetstandaarden dan bedrijven uit andere bedrijfstakken.

4.1 Introductie

De scan van Internet.nl test of websites en e-mailservers aan moderne internetstandaarden voldoen. In het vorige hoofdstuk zijn de resultaten van de websitescans besproken. In dit hoofdstuk komen de resultaten van de e-mailscans aan bod. Hiervoor zijn drie scans uitgevoerd: voor 2023, 2024 en januari 2025.

De e-mailanalyse van Internet.nl bevat vijf categorieën:

• IPv6: Bereikbaarheid via een modern internetadres.
• DNSSEC: Gebruik van een ondertekende domeinnaam.
• Authenticiteit: Protectie tegen e-mailphishing.
• STARTTLS en DANE: Beveiligde e-mailtransport.
• RPKI: Autorisatie voor routering.⁶⁾

In de volgende paragraaf zullen deze categorieën in meer detail beschreven worden. De score per categorie wordt bepaald aan de hand van verschillende losse subtesten die binnen de categorie vallen. In dit hoofdstuk worden de resultaten per categorie gepresenteerd. In bijlage C worden de resultaten van alle onderliggende testen gegeven die per categorie uitgevoerd zijn. Een overzicht van de vijf categorieën met de bijbehorende subtesten kan in tabel A.3.1 tot en met A.3.5 gevonden worden.

In sectie 4.2 wordt eerst naar de gemiddelde Internet.nl-eindscores en de gemiddelde scores per categorie per bedrijfsgrootteklasse en bedrijfstak gekeken. Daarna wordt in paragraaf 4.3 de verdeling van alle eindscores laten zien. ⁷⁾

4.2 Resultaten van Internet.nl per bedrijfsgrootteklasse en -tak

4.2.1 Eindscore niet afhankelijk van bedrijfsgrootte, wel van bedrijfstak

In figuren 4.2.1(a) en 4.2.1(b) wordt per bedrijfsgrootteklasse en bedrijfstak voor de jaren 2023 tot en met 2025 de verdeling van de eindscores getoond. De gemiddelde eindscore voor alle bedrijven met een website (2 of meer werkzame personen in 2025) is gestegen van 58,9 procent in 2023 naar 65,7 procent in 2025 (zie figuur 4.2.1(a)). In alle jaren is de gemiddelde eindscore per bedrijfsgrootte relatief constant gebleven binnen de verschillende bedrijfsgrootteklassen. Figuur 4.2.1(b) toont de gemiddelde eindscore per bedrijfstak. De gemiddelde eindscore varieerde in 2025 van 62,9 procent voor de bedrijfstak ‘Energie, water, afvalbeheer’ tot 71,2 procent voor de bedrijfstak ‘Gezondheids- en welzijnszorg’. Voor alle bedrijfstakken was de eindscore in 2025 hoger dan in 2024. Hierbij was de grootste stijging te zien voor de bedrijfstak ‘Gezondheids- en welzijnszorg’.

4.2.2 Uitkomsten van de e-mailscan per categorie

De eindscore die nu bekeken wordt, is samengesteld aan de hand van de onderliggende testen zoals in tabel A.3.1 gegeven worden. Deze testen zijn in vijf categorieën opgedeeld: IPv6, DNSSEC, STARTTLS, Authenticiteit, en RPKI. Als een bedrijf slaagt voor voldoende testen binnen een categorie, zal de categorie van de e-mailscan door Internet.nl met ‘geslaagd’ aangeduid worden. In de figuren 4.2.2 tot en met 4.2.6 wordt voor de vijf categorieën het percentage van geslaagde bedrijven met een website per bedrijfsgrootteklasse en bedrijfstak getoond. Hoewel de eindscores weinig per bedrijfsgrootteklasse en bedrijfstak variëren, is nu te zien dat er wel aanzienlijke verschillen per categorie zijn. Deze verschillen worden hieronder besproken.

De uitslag van een categorie wordt bepaald aan de hand van de onderliggende testen. De uitkomsten van alle onderliggende testen worden in bijlage C.1.1 tot en met C.5.4 gegeven. In deze figuren is terug te vinden voor welke testen de verschillen tussen de verschillende bedrijfsgrootteklassen ontstaan. Hieronder worden de resultaten per categorie besproken en waar nodig naar de belangrijkste subtesten verwezen.

Categorie IPv6

De categorie IPv6 geeft aan in hoeverre een e-mailserver bereikbaar is via een modern internetadres (zie ook paragraaf 3.2.2). Figuur 4.2.2(a) laat zien dat zzp’ers met een website het beste scoren voor de categorie IPv6. Waar 54,2 procent van alle bedrijven met een website (2 of meer werkzame personen) in 2025 slaagde voor de categorie IPv6, was dit 59,1 procent voor zzp’ers. Opvallend is dat kleinere bedrijven beter scoren dan grotere bedrijven. Zo slaagde 54,6 procent van de kleine bedrijven met een website (2 tot 10 werkzame personen) in 2025, terwijl dit voor grote bedrijven met een website (250 of meer werkzame personen) slechts 45,2 procent was.

De uitsplitsing van de categorie IPv6 naar bedrijfstak, zoals weergegeven in figuur 4.2.2(b), laat zien dat de bedrijfstak ‘Bouwnijverheid’ in 2025 de best scorende bedrijfstak was, met 62,1 procent dat voor deze categorie slaagde. Daarentegen presteerde de bedrijfstak ’Energie, water en afvalbeheer’ met 44,4 procent gemiddeld gezien slechter op dit gebied. In vergelijking met 2023 behaalden alle bedrijfstakken in 2025 een hogere score.

Categorie DNSSEC

De categorie DNSSEC geeft aan of het e-maildomein met een geldige handtekening ondertekend is (zie ook paragraaf 3.2.2). Figuur 4.2.3(a) laat zien dat zzp’ers met een website in 2025 met 42,7 procent het vaakst slaagden voor deze categorie, gevolgd door kleine bedrijven met een website (2 tot 10 werkzame personen) (27,9 procent). Middelgrote bedrijven met een website (50 tot 250 werkzame personen) zaten daar behoorlijk onder: 8,0 procent van deze groep slaagde in 2025 voor de categorie DNSSEC.

De categorie DNSSEC wordt bepaald door maar vier onderliggende testen: DNSSEC-aanwezigheid voor het e-maildomein (figuur C.2.1), DNSSEC-geldigheid voor het e-maildomein (figuur C.2.2), DNSSEC-aanwezigheid voor de e-mailserver (figuur C.2.3) en DNSSEC-geldigheid voor de e-mailserver (figuur C.2.4). Aan de subtesten is te zien dat er voornamelijk laag gescoord wordt op de aanwezigheid en geldigheid van DNSSEC voor de e-mailserver. Van de verschillende bedrijfsgrootteklassen slaagden zzp’ers het vaakst voor deze twee subtesten (47,2 procent) in 2025. De uitsplitsingen naar bedrijfstakken in figuren C.2.3(b) en  C.2.4(b)) laten zien dat bedrijven uit de sector ‘Gezondheids- en welzijnszorg’ het vaakst slaagden voor deze subtesten (51,3 procent).

Categorie Authenticiteit

Bij de categorie Authenticiteit wordt gekeken in hoeverre bedrijven de juiste authenticatiemechanismes toepassen, zoals DMARC (Domain-based Message Authentication, Reporting & Conformance), DKIM (DomainKeys Identified Mail) en SPF (Sender Policy Framework). Deze protocollen gaan phishing, spam, virussen en andere malware tegen door de authenticiteit van een e-mailbericht te waarborgen (SIDN, 2025). Zo voorziet DKIM elk uitgaand bericht van een digitale handtekening. De publieke sleutel wordt via DNS gepubliceerd (zie ook paragraaf 3.2.2), zodat een ontvanger de digitale handtekening kan verifiëren. Op deze manier wordt voorkomen dat kwaadwillenden een bericht namens een ander kunnen verzenden of de inhoud van een bericht onderweg kunnen veranderen.

Voor de categorie Authenticiteit, getoond in figuur 4.2.4(a), is het opvallend dat grote bedrijven een stuk beter scoren dan kleine bedrijven. Van alle bedrijven met een website (2 of meer werkzame personen) slaagde 17,4 procent voor deze categorie in 2025. Dit lage percentage wordt voornamelijk veroorzaakt door de lage score voor kleine bedrijven. Zo slaagde slechts 14,8 procent van de kleine bedrijven met een website (2 tot 10 werkzame personen). Grote bedrijven scoorden in dit geval een stuk beter: 53,8 procent van de grote bedrijven met een website (250 of meer werkzame personen) slaagde voor de categorie Authenticiteit. De slagingspercentages per bedrijfstak getoond in figuur 4.2.4(b) laten dezelfde omkering zien. Zo scoorde de bedrijfstak ‘Financiële dienstverlening’ voor de categorieën IPv6 en DNSSEC relatief slecht (ten opzichte van de andere bedrijfstakken), terwijl het voor de categorie Authenticiteit met 19,9 procent de beste scorende bedrijfstak was.

De onderliggende subtesten van de categorie Authenticiteit worden gegeven in bijlage C.3. Per subtest wordt een stuk beter gescoord dan voor de hele categorie. Figuur C.3.1 en C.3.2 laten zien hoeveel bedrijven DMARC toepassen. Met DMARC wordt er bepaald hoe om te gaan met inkomende berichten waarvoor DKIM of SPF geen geldige validatie oplevert (SIDN, 2025). Deze kunnen bijvoorbeeld weggegooid worden of in quarantaine worden gezet. Voor 2025 is te zien dat 58,0 procent van de bedrijven met een website (2 of meer werkzame personen) DMARC had (figuur C.3.1). Daarentegen had slechts 17,2 procent DMARC met een voldoende strikt beleid (figuur C.3.2). Grote bedrijven met een website (250 of meer werkzame personen) hadden DMARC het best op orde: 53,0 procent had DMARC met een voldoende strikt beleid.

Ook DKIM wordt gebruikt om e-mails te authenticeren. Figuur C.3.3(a) laat zien dat 81,7 procent van de bedrijven met een website (2 of meer werkzame personen) DKIM had in 2025. De verschillen tussen grote en kleine bedrijven zijn klein: Figuur C.3.3(b) laat zien dat de bedrijfstak ‘Bouwnijverheid’ vooroploopt met het gebruik van DKIM, alhoewel de verschillen per bedrijfstak niet groot zijn.

Tenslotte laten de figuren  C.3.4 en C.3.5 zien welke bedrijven SPF gebruiken. SPF voorkomt dat servers e-mailberichten accepteren van ongeautoriseerde servers (SIDN, 2025). Hiervoor wordt een lijst van geldige adressen via het DNS gebruikt. Van de bedrijven met een website (2 of meer werkzame personen) had 89,5 procent SPF in 2025 (figuur C.3.4(a)). De verschillen tussen de bedrijfsgrootteklassen waren weer niet groot. Van de kleine bedrijven met een website (2 tot 10 werkzame personen) slaagde 87,6 procent voor deze test, terwijl dat voor de grote bedrijven (250 of meer werkzame personen) 97,5 procent was. Figuur C.3.4(b) laat zien dat de bedrijfstak ‘Vervoer en opslag’ het meest van SPF gebruikmaakte. Figuur C.3.5 geeft aan welk deel van de bedrijven SPF ook met een voldoende strikt beleid gebruiken. Het is te zien dat 82,4 procent van de bedrijven met een website (2 of meer werkzame personen) in 2025 hieraan voldeed.

Dat grote bedrijven beter scoren op de categorie Authenticiteit is goed te begrijpen, omdat e-mailspoofing⁸⁾ van grote bedrijven aantrekkelijker is voor cybercriminelen. Ze kunnen zich bijvoorbeeld per mail voordoen als een bank om het slachtoffer te overtuigen geld over te maken. Bovendien kan het voor grote bedrijven meer imagoschade tot gevolg hebben, dus is er veel aan gelegen om zich hier zo goed mogelijk tegen te beschermen.

Categorie Beveiligde e-mailtransport

Bij de categorie Beveiligde e-mailtransport wordt gekeken in hoeverre de e-mailserver een beveiligde connectie maakt met de e-mailserver van een andere partij. Zo voorkomt STARTTLS dat aanvallers mogelijk e-mails kunnen onderscheppen door het gebruik van TLS-encyptie tijdens het transport af te dwingen (SIDN, 2025). Met DANE (DNS-based Authentication of Named Entities) wordt daarnaast bescherming geboden tegen aanvallers die proberen STARTTLS te omzeilen door het e-mailverkeer te manipuleren. Figuur 4.2.5 toont per grootteklasse en bedrijfstak het percentage van bedrijven dat slaagt voor deze categorie. In figuur 4.2.5(a) is te zien dat van alle bedrijven met een website (2 of meer werkzame personen) 15,5 procent slaagde in 2025. Dit keer waren de kleine bedrijven weer de beste scorende bedrijfsgrootteklasse: 18,2 procent van de kleine bedrijven met een website (2 tot 10 werkzame personen) slaagde voor deze test. Van de middelgrote bedrijven met een website (50 tot 250 werkzame personen) slaagde slechts 3,8 procent van de bedrijven.

De onderliggende subtesten van deze categorie worden in bijlage C.4 gegeven. Zoals hiervoor bepaalt de slechtst scorende subtest weer de uitslag van de categorie zelf. De testen die samenhangen met STARTTLS zijn niet beperkend. In figuur C.4.1 is bijvoorbeeld te zien dat rond de 91 procent van alle bedrijven met een website (2 of meer werkzame personen) slaagde voor de test ‘STARTTLS beschikbaar voor de ontvangende e-mailserver’. De lage scores worden veroorzaakt door de testen op DANE. Figuur C.4.13 laat bijvoorbeeld zien dat maar 16,0 procent van de bedrijven met een website slaagde voor de test ‘DANE bestaat’. Voor bedrijven met 50 tot 250 werkzame personen was dit zelfs slechts 4,2 procent.

Categorie Autorisatie voor Routering (RPKI)

Als laatste wordt naar de categorie RPKI gekeken in figuur 4.2.6. Deze categorie onderzoekt of een website een route-aankondiging heeft die kan worden gematcht aan de gepubliceerde route-autorisatie (RPKI) (zie ook paragraaf 3.2.2). Van alle bedrijven met een website (2 of meer werkzame personen) slaagde 83,8 procent in 2025 (zie figuur 4.2.6(a)). Figuur 4.2.6(b) laat zien dat de bedrijfstak ‘Financiële dienstverlening’ met 87,4 procent het vaakst voor deze categorie slaagde. Geen van de bedrijfstakken kwam onder de 65 procent.

4.3 Verdelingen van de eindscores van de e-mailscans

4.3.1 Verdeling van de eindscores van de e-mailscan voor bedrijven met een website (2 of meer werkzame personen), januari 2025

Hoewel de gemiddelde score van alle bedrijven met een website (2 of meer werkzame personen) in 2025 rond de 66 procent lag, is hierboven al geconstateerd dat de uitslag voor de verschillende categorieën wel per bedrijfsgrootteklasse en bedrijfstak varieert. In deze paragraaf wordt gekeken naar de spreiding van de eindscores voor alle bedrijven.

De verdeling van de eindscores van de e-mailscan in januari 2025 wordt voor alle bedrijven in Nederland in figuur 4.3.1 getoond In figuur 4.3.1 zijn daarnaast nog drie kwartielen (Q1, Q2, en Q3) weergegeven. De verdeling van de overige jaren wordt in bijlage C.6 gegeven.

4.4 Welke bedrijven hebben de hoogste en laagste score voor de e-mailscan?