Cybersecuritymonitor 2022

Over deze publicatie

De cybersecuritymonitor geeft een overzicht van de ICT-veiligheidsmaatregelen en –incidenten van Nederlandse bedrijven uitgesplitst naar bedrijfsgrootte en bedrijfstak op basis van diverse bronnen van binnen en buiten het CBS. De meeste cijfers gaan over 2022, maar voor sommige cijfers wordt een overzicht over de periode 2016-2022 gegeven.

1. Inleiding

Dit is het zesde jaar op rij dat het Centraal Bureau voor de Statistiek de Cybersecuritymonitor uitbrengt. Het doel van de monitor is het rapporteren over de meest actuele stand van zaken rond de cyberweerbaarheid van bedrijven en huishoudens in Nederland. Dat gebeurt hoofdzakelijk met CBS-cijfers over het aantal cybercrime gerelateerde incidenten en maatregelen die genomen worden om deze incidenten te voorkomen.

De cybersecuritymonitor wordt mede op verzoek van het ministerie van Economische Zaken en Klimaat (EZK) gemaakt. De eerdere edities zijn beschikbaar via (CBS, 2017a2018a2019a2020a2021a).

De structuur van de monitor is opgezet volgens dezelfde lijnen als in de voorgaande edities. In deze edities werd telkens aandacht besteed aan twee domeinen: de genomen maatregelen en de ICT-veiligheidsincidenten. Bij cybersecuritymaatregelen gaat het om het scala aan mogelijkheden om de veiligheid van computers, smartphones, laptops, servers en netwerken te verhogen. Bij cybersecurityincidenten gaat het juist om de gevolgen van acties of activiteiten die de veiligheid van deze digitale systemen ondermijnen. Cybersecurityincidenten hoeven niet altijd een gevolg van kwaadwillende acties te zijn. Ook een systeemfout waardoor gevoelige data naar buiten gebracht wordt of het verliezen van een onbeveiligde USB-stick in de trein kan als een cybersecurityincident gezien worden. Immers, ook bij dit soort incidenten wordt de digitale veiligheid ondermijnd. Het ontstaan van cybersecurityincidenten als gevolg van kwaadwillenden wordt ook wel aangeduid als cybercrime. Voor een uitgebreidere toelichting op het fenomeen cybersecurity en gerelateerd begrippen zoals door het CBS gehanteerd worden, verwijzen we naar de eerste Cybersecuritymonitor (CBS, 2017a).

Hoofdstuk 2 van dit rapport gaat in op de cybersecuritymaatregelen, dus op de maatregelen die door bedrijven nemen om meer cyberweerbaar te worden. Hoofdstuk 3 gaat in op alle cybersecurityincidenten bij Nederlandse bedrijven. Tot slot gaat hoofdstuk 4 in op de geregistreerde cybercrime, dus op de cybersecurityincidenten door kwaadwillenden die ook daadwerkelijk slachtoffers gemaakt hebben.

2. Cybersecuritymaatregelen

2.1 Bedrijven

Dit hoofdstuk gaat in op de maatregelen die bedrijven in Nederland nemen om zichzelf cyberweerbaar te maken. De cijfers komen uit de CBS-enquêtes ‘ICT-gebruik bij bedrijven 2017’  (CBS, 2017bdcef), ‘ICT-gebruik bij bedrijven 2018’  (CBS, 2018bdcef), ‘ICT-gebruik bij bedrijven 2019’  (CBS, 2019bdcef), ‘ICT-gebruik bij bedrijven 2020’  (CBS, 2020bdcef), ‘ICT-gebruik bij bedrijven 2021’  (CBS, 2021bdcef) en ‘ICT-gebruik bij bedrijven 2022’  (CBS, 2022bdcef).

De jaarlijkse enquête ‘ICT-gebruik bedrijven’ (of kortweg: de ICT-enquête) wordt in samenwerking met de andere EU-landen uitgevoerd onder leiding van Eurostat. Een deel van de uitvoeringskosten van de ICT-enquête wordt door Eurostat gefinancierd. Het ministerie van Economische Zaken en Klimaat financiert extra onderdelen van het onderzoek die niet verplicht zijn op basis van EU-regelgeving.

Via de ICT-enquête wordt jaarlijks het ICT-gebruik van bedrijven in Nederland in kaart gebracht. Dit levert ook cijfers op die iets zeggen over de cyberweerbaarheid van bedrijven: de mate waarin zij bedrijfsprocessen en waardevolle data beveiligen tegen cybercriminelen. In deze monitor besteden we afzonderlijk aandacht aan de maatregelen die door bedrijven worden genomen om het bedrijf te beveiligen tegen aanvallen van buitenaf en de ICT-veiligheidsincidenten. De maatregelen worden in dit hoofdstuk beschreven, terwijl de incidenten in het volgende hoofdstuk aan bod komen.

De ICT-enquête wordt gehouden onder ongeveer 20 duizend aselect getrokken Nederlandse bedrijven uit verschillende grootteklassen en bedrijfstakken. De afgelopen twee jaar werd ook een beknopte versie van de ICT-enquête naar zo’n 22 duizend Zelfstandigen Zonder Personeel (ZZP’ers) uitgestuurd. Deze beknopte versie bevat voornamelijk de ICT-veiligheidsvragen uit de enquête die naar de grote bedrijven gestuurd wordt. De resultaten van de ZZP’ers worden de afgelopen twee jaar in deze monitor meegenomen en vergeleken met die voor bedrijven met twee of meer werknemers te kunnen maken.

In de Appendix wordt in tabellen A.1.1 en A.1.2 een overzicht van respectievelijk alle grootteklassen en bedrijfstakken gegeven. In dit hoofdstuk worden de cijfers van vijf grootteklassen uitgelicht: ZZP’ers (1 werkzame persoon), bedrijven met 2 tot 10 werkzame personen, bedrijven met 10 tot 50 werkzame personen, bedrijven met 50 tot 250 werkzame personen en bedrijven met 250 of meer werkzame personen. Daarnaast laten we nog voor vijf bedrijfstakken de cijfers zien: 1) Gezondheid en welzijnszorg (Zorg), 2) Financiële dienstverlening (Finan.Dnst.), 3) Horeca, 4) ICT-sector en 5) Industrie. Deze bedrijfstakken zijn gekozen doordat de resultaten van de genomen ICT-veiligheidsmaatregelen en opgelopen ICT-veiligheidsincidenten het meest uiteenlopen. Bij de bespreking van de kosten laten we andere bedrijfstakken zien, namelijk de bedrijfstakken die de hoogste kosten van incidenten hebben gemeld. Een compleet overzicht van de cijfers voor alle grootteklassen en bedrijfstakken kan in dit rapport in bijlage A.2 en bijlage A.3 gevonden worden, of zijn online beschikbaar op Statline (CBS, 2022a).

2.1.1 Genomen ICT-veiligheidsmaatregelen per bedrijfsgrootteklasse over de periode 2016–2021

Genomen ICT-veiligheidsmaatregelen per bedrijfsgrootteklasse over de periode 2016–2021

Bron: CBS (2017f, 2018f, 2019f, 2020f, 2021f, 2022f)

 

2.1.2 Genomen ICT-veiligheidsmaatregelen per bedrijfstak met 2 of meer werkzame personen over de periode 2016–2021

Genomen ICT-veiligheidsmaatregelen per bedrijfstak met 2 of meer werkzame personen over de periode 2016–2021

Bron: CBS (2017f, 2018f, 2019f, 2020f, 2021f, 2022f) 

 

2.1.1 Maatregelen ter verbetering van de cyberweerbaarheid

Aan de bedrijven die aan de ICT-enquête hebben deelgenomen, zijn verschillende vragen voorgelegd die iets zeggen over hun cyberweerbaarheid. Zo is aan bedrijven gevraagd welke ICT-veiligheidsmaatregelen zijn getroffen. Ook is gevraagd wie de ICT-veiligheidsmaatregelen binnen het bedrijf uitvoert: het eigen personeel, een extern bedrijf, of een combinatie van beide.

Eerst wordt bekeken hoe vaak verschillende cybersecuritymaatregelen door bedrijven toegepast worden. Figuren 2.1.1(a–l) en 2.1.2(a–l) tonen het aandeel bedrijven dat in de periode 2016–2021 verschillende cybersecuritymaatregelen toegepast, naar grootteklasse en bedrijfstak [voetnoot: Let op dat data van een bepaald jaar vaak komt uit de ICT-enquête van het jaar daarna. Zo komt de data die betrekking heeft op 2021 uit de ICT-enquête van 2022 (CBS, 2022b)]. Voor de duidelijkheid worden slechts vier grootteklassen en vier bedrijfstakken uitgelicht. Het volledige overzicht wordt in tabellen A.2.1 en A.2.3 gegeven en is terug te vinden op StatLine (CBS, 2022a). Uiteraard kan met deze twaalf maatregelen nooit een compleet beeld van het ICT-beveiligingsniveau van bedrijven gegeven worden, maar er ontstaat wel een globale indruk, omdat elke extra maatregel die een bedrijf neemt een extra bijdrage levert aan de cyberweerbaarheid van het bedrijf.

Grote bedrijven nemen meer maatregelen tegen cyberdreigingen

In het algemeen kan gezegd worden dat het ICT-beveiligingsniveau van een bedrijf hoger is naarmate er meer maatregelen tegelijkertijd genomen worden. In figuur 2.1.1 is voor de jaren 2016–2021 te zien dat iedere maatregel vaker door grote dan door kleine bedrijven genomen wordt. Voor sommige maatregelen is dit patroon sterker dan voor andere.

Voor bijvoorbeeld een gangbare maatregel als het gebruik van antivirussoftware (figuur 2.1.1(a)) zijn de verschillen tussen grote en kleine bedrijven niet zo groot: meer dan 80 procent van alle bedrijven gebruikt antivirussoftware, ongeacht de grootteklasse. Bij een moeilijker toe te passen maatregel als het gebruik van een Virtual Private Netwerk (VPN) (figuur 2.1.1(l)) zijn wel grotere verschillen tussen kleine en grote bedrijven te zien. Minder dan 30 procent van de bedrijven met 2 tot 10 werknemers maakt gebruik van VPN tegen 84 procent van de bedrijven met 250 of meer werknemers in 2021. Dat grotere bedrijven meer maatregelen treffen is niet vreemd. Grotere bedrijven hebben immers vaker een grotere en meer complexe ICT-infrastructuur die daarom een breder spectrum aan beveiligingsmaatregelen vereist.

Figuur 2.1.1 toont ook het percentage ZZP’ers dat in 2020 en 2021 de maatregelen nam. Er kan geconstateerd worden dat bij alle ICT-veiligheidsmaatregelen het percentage ZZP’ers dat deze maatregelen neemt net iets lager is dan dat voor bedrijven in de bovenliggende grootteklasse van 2— 10 werknemers. Dit is consistent met de constatering dat kleine bedrijven minder ICT-veiligheidsmaatregelen nemen dan grote bedrijven.

Toename authenticatie met soft- of hardwaretoken

Het gebruik van een soft- of hardwaretoken voor het inloggen bij een bedrijf is vanaf 2016 flink toegenomen. Deze zogenaamde twee-staps authentificatie[voetnoot: Strikt genomen is er nog een onderscheid te maken tussen two-factor authenticatie en two-step authenticatie, maar dat laten we verder buiten beschouwing omdat beide vormen sowieso een extra beveiliging opleveren ten opzichte van het inloggen met enkel een wachtwoord.] vergroot de veiligheid omdat naast een wachtwoord een extra code ingevoerd moet worden die per inlogsessie verandert. Deze code wordt verkregen via een specifiek apparaatje of via een App op de smartphone zoals AuthyGoogle Authenticator of RSA SecureID. Op deze manier is inloggen een stuk veiliger, want zelfs als een wachtwoord onderschept wordt, biedt de vereiste extra code bescherming tegen inloggen door ongeautoriseerde gebruikers.

Onder grote bedrijven is het gebruik van soft- of hardwaretokens toegenomen van 71 procent in 2016 tot 93 procent in 2021 (figuur 2.1.1(j)). Voor alle grootteklassen is te zien dat deze manier van inloggen steeds vaker gebruikt wordt. Vooral de middelgrote bedrijven met 10 tot 50 werknemers maken een inhaalslag met een dekking die gestegen is van 29 procent in 2016 naar 62 procent in 2021. Onder kleine bedrijven (2 tot 10 werknemers) zien we een ontwikkeling van 23 procent in 2016 naar 41 procent in 2021 voor het gebruik van hardwaretokens, wat bijna een verdubbeling is. Overigens bieden steeds meer websites de mogelijkheid om twee-staps authentificatie te gebruiken. Het is daarom aannemelijk dat deze manier van inloggen in de toekomst nog meer zal toenemen.

ICT-veiligheidsmaatregelen per bedrijfstak

Figuur 2.1.2 laat het aantal maatregelen voor enkele bedrijfstakken met twee of meer werknemers zien (de ZZP’ers zijn hier dus niet in meegenomen). Te zien is dat bedrijven die meer met ICT bezig zijn (ICT‐sector) of bedrijven die een groot belang hebben bij het beveiligen van hun data (Gezondheidszorg) beter scoren dan andere sectoren waar cybersecurity iets minder belangrijke lijkt, zoals de horeca. Wel moet in het achterhoofd gehouden worden dat de horeca een relatief grote groep kleine bedrijven heeft, die over het algemeen minder geneigd zijn tot het nemen van cybersecuritymaatregelen. Daarnaast zijn horecabedrijven minder sterk aangewezen op het gebruik van ICT-systemen voor de uit te voeren werkzaamheden. Het ligt daarmee voor de hand dat er ook minder ICT-beveiligingsmaatregelen genomen worden.

Aantal genomen ICT-veiligheidsmaatregelen

Eerder bleek dat grote bedrijven vaker verschillende ICT-maatregelen nemen dan kleine bedrijven. Dit wordt weergegeven in figuren 2.1.3(a) en 2.1.3(b), waarbij we per bedrijfsgrootte en bedrijfstak het percentage bedrijven laten zien dat een zeker aantal maatregelen neemt. Kleine bedrijven scoren hoger op een kleiner aantal maatregelen, terwijl grote bedrijven juist vaker meerdere maatregelen tegelijk nemen (figuur2.1.3(a)). Van de bedrijven met 250 of meer werknemers neemt zelfs bijna de helft van de bedrijven alle tien de uitgevraagde maatregelen. [voetnoot: Van de twaalf maatregelen die in figuur 2.1.1 en figuur 2.1.2 getoond worden, nemen we er maar tien mee in figuur (a) en figuur (b) waar we het totaal aantal maatregelen tonen dat bedrijven nemen. Dit omdat de maatregelen ’ICT-cursus aan specialisten’ (d) en ’Updaten software’ (k) niet over alle jaren beschikbaar zijn. ] In figuur  2.1.3(b) is te zien dat ICT-bedrijven over het algemeen de meeste maatregelen nemen, terwijl in de horeca vaker minder maatregelen genomen worden.

2.1.3(a) Verdeling van het aantal cybersecuritymaatregelen per grootteklasse, 2021.
Aantal maatregelen1 werkzame persoon (ZZP'er) (% van bedrijven)2 tot 10 werkzame personen (% van bedrijven)10 tot 50 werkzame personen (% van bedrijven)50 tot 250 werkzame personen (% van bedrijven)250 of meer werkzame personen (% van bedrijven)
0611311
168300
21112610
31213710
41210720
5891041
6791073
76813104
837131711
936132023
1026163656
Bron: CBS, ICT-gebruik bij bedrijven; bedrijfstak en bedrijfsgrootte, 2022 (CBS, 2022e)

2.1.3(b) Verdeling van het aantal cybersecuritymaatregelen per bedrijfstak voor bedrijven met 2 of meer werknemers, 2021.
Aantal maatregelenGezondheids- en welzijnszorg (% van bedrijven)Financiële dienstverlening (% van bedrijven)ICT-sector (% van bedrijven)Industrie (% van bedrijven)Horeca (% van bedrijven)
03102623
1322614
26321217
36151016
4697108
5849104
61689105
71211983
81561292
913141494
1014322793
Bron: CBS, ICT-gebruik bij bedrijven; bedrijfstak, 2022 (CBS, 2022d)

2.1.4(a) Percentage van bedrijven die in 2021 minimaal vijf van de tien gevraagde cybersecuritymaatregelen namen per grootteklasse.
dim_gk2016 (% van bedrijven)2017 (% van bedrijven)2018 (% van bedrijven)2019 (% van bedrijven)2020 (% van bedrijven)2021 (% van bedrijven)
250 of meer werkzame personen949497989798
50 tot 250 werkzame personen828389899194
10 tot 50 werkzame personen546169657075
2 tot 10 werkzame personen323743444245
2 of meer werkzame personen374349494852
1 werkzame persoon (ZZP'er)3229
Bron: CBS, ICT-gebruik bij bedrijven; bedrijfsgrootte, 2022 (CBS, 2022b)

2.1.4(b) Percentage van bedrijven met 2 of meer werknemers die in 2021 minimaal vijf van de tien gevraagde cybersecuritymaatregelen namen per bedrijfstak.
dim_sbi2016 (% van bedrijven)2017 (% van bedrijven)2018 (% van bedrijven)2019 (% van bedrijven)2020 (% van bedrijven)2021 (% van bedrijven)
ICT-sector747376737380
Gezondheids- en welzijnszorg576674737278
Financiële dienstverlening597174708075
Industrie424753535155
Horeca201822212321
Bron: CBS, ICT-gebruik bij bedrijven; bedrijfstak, 2022 (CBS, 2022d)

Ruim de helft van de bedrijven met twee of meer werknemers nam in 2021 minstens vijf ICT-veiligheidsmaatregelen

Uit de verdelingen van het aantal maatregelen is af te leiden welk deel van de bedrijven minimaal de helft van de gevraagde maatregelen neemt. Dit wordt in figuur 2.1.4(a) en figuur 2.1.4(b) respectievelijk per grootteklasse en bedrijfstak getoond voor de jaren 2016 tot en met 2021. In figuur 2.1.4(a) is nu goed te zien dat het aantal bedrijven dat vijf of meer maatregelen neemt tot 2018 toegenomen is. In 2021 is het aantal bedrijven met twee of meer werknemers dat minimaal vijf maatregelen neemt na een jaar van stagnatie weer toegenomen tot 52 procent. Hoe groter de bedrijven, hoe meer maatregelen genomen worden. Grote bedrijven met 250 werknemers of meer nemen bijna allemaal minimaal vijf van de tien maatregelen. Tenslotte is te zien dat ongeveer één derde van de ZZP’ers vijf of meer van de gevraagde ICT-veiligheidsmaatregelen neemt.

Figuur 2.1.4(b) toont het aandeel bedrijven met twee of meer werknemers dat vijf of meer ICT-veiligheidsmaatregelen heeft getroffen, per bedrijfstak. Het is te zien dat in de ICT-sector, bij Financiële dienstverlening en in de Gezondheid een relatief grote groep bedrijven meer dan vijf maatregelen treft (in 2021 bijna 80 procent), terwijl dit voor de Horeca een stuk lager ligt met ongeveer 20 procent. Wel kunnen we zien dat ook per bedrijfstak de afgelopen zes jaar het aandeel bedrijven dat een groot aantal ICT-veiligheidsmaatregelen tegelijkertijd neemt, is toegenomen. In 2021 neemt het percentage bedrijven dat minstens vijf maatregelen neemt na twee jaar van stagnatie weer toe.

2.1.2 Uitvoering ICT-veiligheidswerkzaamheden

2.1.5(a) Uitvoering ICT-veiligheidswerkzaamheden voor de periode 2018-2021 per grootteklasse
 JaarExtern (% van bedrijven)Zelf/eigen personeel (% van bedrijven)Extern en zelf/eigen personeel (% van bedrijven)N.v.t. (% van bedrijven)
1 (ZZP'ers)'18
1 (ZZP'ers)'19
1 (ZZP'ers)'201335349
1 (ZZP'ers)'213427336
2 - 10'183153160
2 - 10'19425170
2 - 10'202622646
2 - 10'212620648
10 - 50'184725280
10 - 50'195927140
10 - 50'2049171618
10 - 50'2148161917
50 - 250'183421450
50 - 250'194224340
50 - 250'203922336
50 - 250'213619396
250 -'181717660
250 -'192022580
250 -'201923553
250 -'211520632
Bron: CBS, ICT-gebruik bij bedrijven; bedrijfstak en bedrijfsgrootte, 2021 (CBS, 2019a, 2020b, 2021e, 2022b)

2.1.5(b) Uitvoering ICT-veiligheidswerkzaamheden voor bedrijven met 2 of meer werknemers voor de periode 2018-2021 per bedrijfstak
 JaarExtern (% van bedrijven)Zelf/eigen personeel (% van bedrijven)Extern en zelf/eigen personeel (% van bedrijven)N.v.t. (% van bedrijven)
Industrie'184039210
Industrie'195236120
Industrie'2036171136
Industrie'2135161237
ICT'181261270
ICT'191069210
ICT'209521920
ICT'217541920
Horeca'18207190
Horeca'19375940
Horeca'201620163
Horeca'212112364
Finan.Dnst.'184629250
Finan.Dnst.'194936150
Finan.Dnst.'2039291814
Finan.Dnst.'2136171928
Zorg'184429270
Zorg'195432140
Zorg'2045211123
Zorg'2143161625
Bron: CBS, ICT-gebruik bij bedrijven; bedrijfstak en bedrijfsgrootte, 2021 (CBS, 2019a, 2020b, 2021e, 2022b)

De organisatie van de ICT-beveiliging wordt in figuur 2.1.5(a) en figuur 2.1.5(b) onder de loep genomen. Er wordt per grootteklasse en bedrijfstak gekeken wie de ICT-veiligheidswerkzaamheden binnen het bedrijf uitvoert: het eigen personeel, een extern bedrijf of een mix van beide. Vanaf het jaar 2020 worden deze resultaten ook voor ZZP’ers weergegeven. De vraagstelling is in 2020 iets veranderd. Vanaf dat jaar is het mogelijk de optie ‘niet van toepassing’ te gebruiken. In de jaren daarvoor was deze mogelijkheid er niet en moesten bedrijven aangeven of de ICT-veiligheidswerkzaamheden werden uitgevoerd of werden uitbesteed (of een mix daarvan). De verandering is waarschijnlijk de oorzaak van de verschuiving die zichtbaar is in de resultaten vanaf 2020, vooral onder de kleine bedrijven. Daarom wordt vooral gekeken naar de ontwikkeling voor bedrijven die ICT-veiligheidswerkzaamheden geheel uitbesteden (categorie ‘Extern’). Deze groep lijkt redelijk constant gebleven te zijn over de overgelopen drie jaren. ZZP’ers besteden de ICT-veiligheidswerkzaamheden het minst vaak volledig uit. Het aandeel bedrijven dat deze vraag als ‘niet van toepassing’ aanduidt, is het grootst.

Bij grote bedrijven komt het vaker voor dat het eigen personeel in ieder geval een deel van de ICT-veiligheidsmaatregelen uitvoert. Bovendien komt ‘Niet van toepassing’ bij grote bedrijven nauwelijks voor. Dit is niet opmerkelijk omdat een groot bedrijf meer personeel beschikbaar heeft om standaard maatregelen zelf uit te voeren en daarnaast over de middelen beschikt om complexere zaken uit te besteden.

Als we in figuur 2.1.5(b) naar de uitvoering van ICT-veiligheidswerkzaamheden per bedrijfstak kijken, kunnen we zien dat ICT-bedrijven in de meeste gevallen prima in staat zijn alle ICT-beveiliging zelf te doen; zo’n 70 procent van de ICT-bedrijven doet de ICT-beveiliging volledig zelf. Ook dit is niet opmerkelijk omdat je kan verwachten dat bij bedrijven in de ICT-sector voldoende expertise voorhanden is om de ICT-beveiliging zelf te doen. In de Zorg en in de Industrie worden de ICT-beveiligingswerkzaamheden in de helft van de gevallen uitbesteed. De Horeca heeft het meest gebruik gemaakt van de nieuwe categorie ‘Niet van toepassing’: bijna twee derde van de horecabedrijven zegt dat ICT-beveiligingswerkzaamheden niet van toepassing. Dit hangt waarschijnlijk samen met het feit dat de Horeca relatief weinig ICT-maatregelen neemt, zodat ICT-veiligheidswerkzaamheden vaker niet aan de orde zijn.

2.2 Websites

Deze paragraaf beschrijft de maatregelen die bedrijven nemen om de beveiliging en betrouwbaarheid van hun websites te verhogen. Het gebruik van veilige en moderne internetstandaarden speelt hierbij een belangrijke rol.

2.2.1 Aandeel .nl-domeinnamen met DNSSEC-beveiliging stijgt

DNSSEC is een beveiligingssysteem voor DNS (het internet-telefoonboek dat zorgt voor de vertaling van domeinnamen naar IP-adressen). DNSSEC breidt DNS uit met een extra beveiliging. Met alleen DNS is de vertaling van een domeinnaam namelijk niet beveiligd. Hierdoor kan een kwaadwillende het internetverkeer van een gebruiker omleiden naar een vals IP-adres en vervolgens vertrouwelijke gegevens of zelfs geld ontfutselen. Met DNSSEC wordt bij de vertaling van domeinnaam naar IP-adres een digitale handtekening toegevoegd die een internetgebruiker automatisch kan laten controleren. Hierdoor wordt het omleiden naar een vals IP-adres voorkomen. DNSSEC is daarmee een belangrijk wapen in de strijd tegen phishing en pharming[voetnoot: Bij pharming probeert een cybercrimineel gegevens van gebruikers te verkrijgen door ze naar een nep-versie van een echte website te leiden. Bij phishing probeert een cybercrimineel op een meer directe manier gegevens van een gebruiker te verkrijgen door personen te benaderen met e-mails die lijken op de e-mail van een bank met een verzoek om inloggegevens te geven. ].De domeinregistratie en het bijhouden van het gebruik van DNSSEC in Nederland wordt uitgevoerd door de Stichting Internet Domeinregistratie Nederland (SIDN).

2.2.1 Percentage .nl-domeinnamen met DNSSEC
Jaar% van aantal .nl-domeinnamen (% van .nl-domeinnamen)
feb '1327,1
mrt '1327,5
apr '1327,6
mei '1328,5
jun '1328,6
jul '1328,8
aug '1328,8
sep '1330,2
okt '1330,3
nov '1331,1
dec '1331,1
jan '1431,2
feb '1431,2
mrt '1431,2
apr '1431,1
mei '1431,2
jun '1431,7
jul '1432,2
aug '1433,8
sep '1433,8
okt '1433,8
nov '1434,6
dec '1440,6
jan '1540,8
feb '1541,0
mrt '1543,2
apr '1543,7
mei '1543,6
jun '1543,6
jul '1543,6
aug '1543,8
sep '1543,6
okt '1544,0
nov '1543,9
dec '1544,3
jan '1644,3
feb '1644,0
mrt '1644,5
apr '1644,2
mei '1644,2
jun '1644,2
jul '1644,7
aug '1645,0
sep '1645,0
okt '1645,0
nov '1645,5
dec '1645,5
jan '1745,5
feb '1745,6
mrt '1745,7
apr '1746,0
mei '1746,4
jun '1747,2
jul '1747,7
aug '1748,5
sep '1748,8
okt '1749,0
nov '1749,2
dec '1749,3
jan '1849,3
feb '1849,4
mrt '1849,7
apr '1852,0
mei '1852,2
jun '1852,3
jul '1852,6
aug '1852,7
sep '1853,1
okt '1853,3
nov '1853,4
dec '1853,5
jan '1953,8
feb '1954,0
mrt '1954,2
apr '1954,3
mei '1954,5
jun '1954,4
jul '1954,4
aug '1954,5
sep '1954,6
okt '1954,6
nov '1954,7
dec '1954,8
jan '2054,9
feb '2055,0
mrt '2055,2
apr '2055,4
mei '2055,5
jun '2055,5
jul '2055,5
aug '2055,5
sep '2055,5
okt '2055,4
nov '2055,7
dec '2055,9
jan '2156,2
feb '2156,2
mrt '2156,4
apr '2156,2
mei '2156,1
jun '2156,0
jul '2156,6
aug '2157,0
sep '2157,1
okt '2157,1
nov '2157,0
dec '2157,1
jan '2257,3
feb '2257,3
mrt '2257,3
apr '2257,4
mei '2257,4
jun '2257,5
jul '2257,8
aug '2257,8
sep '2257,8
okt '2257,8
nov '2257,9
dec '2258,3
jan '2358,4
feb '2358,4
mrt '2358,3
apr '2358,3
mei '2358,4
jun '2359,2
Bron: SIDN, 2022
 

Tenslotte toont figuur 2.2.1 dat tussen eind april 2012 en eind juni 2023 is het percentage met DNSSEC-beveiligde .nl-websites continu toegenomen tot 59 procent. In de eerste jaren van deze periode was deze toename wel sneller dan in de latere jaren.

2.2.2 Gebruik van internetstandaarden bij websites van bedrijven in Nederland

In de publicatie CBS (2023) wordt een representatieve steekproef van websites van bedrijven met de webtool Internet.nl van Platform Internetstandaarden gescand om de mate van standaardisatie van websites van bedrijven in Nederland te bepalen. De mate van standaardisatie van websites wordt met de webtool Internet.nl van Platform Internetstandaarden de mate van standaardisatie uitgedrukt in een eindscore tussen de 0% en 100%, waarbij 100% betekent dat een website aan alle internetstandaarden volgens de norm van Platform internetstandaarden voldoet[voetnoot: Een score van 100 procent wil echter nog niet zeggen dat een online dienst per definitie veilig is; er zijn nog meer aspecten die een rol spelen. De Internet.nl-test is dus een test op het gebruik van de juiste internetstandaarden en geen veiligheidstest.]. Het toepassen van internetstandaarden is belangrijk omdat het de veiligheid, betrouwbaarheid en toegankelijkheid van het internet verhoogt.

Standaardisatie van websites van bedrijven neemt gestaag toe

De gemiddelde Internet.nl-eindscore per bedrijfsgrootte is per jaar voor alle bedrijfsgrootteklassen ongeveer even hoog en neemt per jaar gestaag toe (Figuur 2.2.2). De gemiddelde Internet.nl-eindscore voor alle bedrijven met website met 2 of meer werknemers is gestegen van 60,3% in 2020 naar 65,8% in 2023. Dit toont aan dat bedrijven in Nederland steeds beter de juiste internetstandaarden voor hun website toepassen.

De Internet.nl eindscore per bedrijfstak vertoont ook een stijging over de periode tussen 2020 en 2023 (Figuur 2.2.3). Met name in de ICT-sector is relatief een grote stijging te zien, met een gemiddelde Internet.nl-eindscore van 61,4% in 2020 naar score van 72,2% in 2023. Ook de Horeca en Industrie vertonen een opvallende toename over deze periode.

2.2.2 Gemiddelde totaalscore Internet.nl per bedrijfsgrootteklasse.
 2023202220212020
2 of meer werkzame personen65,164,36360,3
250 of meer werkzame personen63,965,663,959,2
50 tot 250 werkzame personen63,363,461,657,9
10 tot 50 werkzame personen64,763,962,859,2
2 tot 10 werkzame personen65,364,463,160,8
ZZP`ers66,566

2.2.3 Gemiddelde totaalscore Internet.nl per bedrijfstak met 2 of meer werknemers.
 2023202220212020
ICT-Sector72,267,464,561,4
Gezondheid en welzijnszorg63,264,765,662,8
Verhuur/overige zakelijke dnst.68,765,266,662,8
Special. zakelijke dienstver.66,268,267,660,9
Verhuur/handel onr.goed62,363,559,658,8
Financiële dienstverlening60,86761,157,5
Informatie/Communicatie70,46864,861,4
Horeca71,162,86063,3
Vervoer/Opslag6562,865,357
Handel6463,163,559,3
Bouwnijverheid64,964,464,757,4
Energie/water/afval57,261,56257
Industrie63,962,96257,4

Kleine bedrijven lopen voorop met IPv6, grote bedrijven met HSTS

Alhoewel de eindscore vrij gelijkmatig over de verschillende bedrijfsgrootteklassen verdeeld is, vertonen de onderliggende subtesten waarop de eindscore gebaseerd is wel duidelijke verschillen afhankelijk van de bedrijfsgrootteklasse. Kleine bedrijven hebben bijvoorbeeld vaker een website die bereikbaar via een modern internetadres IPv6 (Figuur 2.2.4). IPv6 is de opvolger van IPv4, dat tegen zijn tijd aanloopt wat betreft het aantal beschikbare adressen dat dit internetprotocol aanbiedt. Ondersteunen van IPv6 is belangrijk om het internet ook in de toekomst toegankelijk te houden. Dat grote bedrijven nog niet zo hoog scoren komt waarschijnlijk omdat de website van grote bedrijven vaak op eigen, misschien al wat oudere servers draait. Ondersteunen van IPv6 vereist dus een behoorlijke investering terwijl het niet direct op korte termijn veel voordeel oplevert: het raakt niet aan de veiligheid van de website, alleen aan de toegankelijkheid in de toekomst. Kleine bedrijven hosten hun website vaak op externe service providers die vaak wel vaak hun servers met de meest moderne protocollen ingericht hebben.

2.2.4 Percentage van bedrijven met een website bereikbaar via een modern internetadres (IPv6) per bedrijfsgrootteklasse.
 2023202220212020
2 of meer werkzame personen38,435,733,628,7
250 of meer werkzame personen20,123,821,914,6
50 tot 250 werkzame personen24,126,723,118,1
10 tot 50 werkzame personen29,329,52922,6
2 tot 10 werkzame personen40,937,835,531,5
ZZP`ers48,145,6

Aan de andere kant is te zien dat grote bedrijven juist weer goed scoren op het ondersteunen van HSTS, oftewel HTTPS Strict Transport Security (Figuur 2.2.5). Websites met HSTS vereisen dat de webbrowser de website alleen via het beveiligde HTTPS kunnen benaderen en niet via het onveilige HTTP-protocol. Dat grote bedrijven hier weer goed op score komt waarschijnlijk omdat deze instelling met de juiste kennis op netwerk niveau ingesteld kan worden en het direct de veiligheid van de website te goede komt. Bij IPv6 maak je gebruik van de hardware van de webserver, terwijl ondersteuning van HSTS vereist dat op netwerkniveau een IT-specialist de juiste instellingen gekozen heeft.

2.2.5 Percentage van bedrijven met website die HSTS-policy aanbieden per bedrijfsgrootteklasse.
 2023202220212020
2 of meer werkzame personen12,312,41212,5
250 of meer werkzame personen3037,736,835
50 tot 250 werkzame personen22,726,524,322
10 tot 50 werkzame personen15,116,715,613,9
2 tot 10 werkzame personen11,210,310,110,9
ZZP`ers4,77,2

Zie voor een volledig overzicht van alle internetstandaarden de publicatie Toepassing van Internetstandaarden voor websites van bedrijven (CBS, 2023).

3. Cybersecurityincidenten

In het voorgaande hoofdstuk werd gekeken naar de maatregelen die bedrijven en personen nemen om meer cyberweerbaar te worden. In dit hoofdstuk wordt ingegaan op de ICT-veiligheidsincidenten die plaatsvinden, ondanks de genomen maatregelen. Hierbij wordt onderscheid gemaakt tussen gewone incidenten, die door onopzettelijk of eigen toedoen ontstaan, en incidenten ten gevolge van een aanval van buitenaf. Bij het laatste type incident wordt ook wel gesproken van ’cybercrime’. Cybercrime kan worden omschreven als ’alle delicten die gepleegd worden met behulp van ICT’ (CBS, 2017a). We praten dus over strafbare feiten gepleegd door cybercriminelen. Denk hierbij bijvoorbeeld aan aan online fraude, DDoS aanvallen en inbraak in computers.

3.1 Bedrijven

3.1.1 Type ICT-veiligheidsincidenten

In de ICT-enquête onderscheiden we twee soorten ICT-veiligheidsincidenten: incidenten door eigen toedoen en incidenten als gevolg van een aanval van buitenaf. Voor beide soorten incidenten onderscheiden we drie varianten: uitval van een ICT-systeem, datavernietiging (vernietiging of verminking van elektronische gegevens) en dataonthulling (onthulling van vertrouwelijke elektronische gegevens). Hiermee komen we op zes typen ICT-veiligheidsincidenten in totaal.

Intermezzo: Overzicht ICT-veiligheidsincidenten De drie ICT-veiligheidsincidenten met een interne oorzaak zijn: Uitval van ICT-systeem als gevolg van een ICT-gerelateerd veiligheidsincident, zoals een hardware- of softwarestoring. Datavernietiging of dataverminking als gevolg van een ICT-gerelateerd veiligheidsincident, zoals een hardware- of softwarestoring. Dataonthulling door onopzettelijk toedoen van eigen personeel. De drie ICT-veiligheidsincidenten door een aanval van buitenaf zijn: Uitval van ICT-systeem ten gevolge van een aanval van buitenaf, zoals een DDoS of Ransomware-aanval waarbij ICT-systemen niet meer gebruikt kunnen worden. Datavernietiging of dataverminking ten gevolge van een infectie met kwaadaardige software of door ongeoorloofde elektronische toegang. Dataonthulling door cyberinbraak, phishing of pharming. [voetnoot: Zie voetnoot paragraaf 2.2.1 in hoofdstuk 2 voor een toelichting van phishing en pharming. ]

3.1.1 ICT-veiligheidsincidenten met een interne oorzaak (a) of een aanval van buitenaf (b) per grootteklasse

ICT-veiligheidsincidenten met een interne oorzaak (a) of een aanval van buitenaf (b) per grootteklasse

Bron: CBS (2017f, 2018f, 2019f, 2020f, 2021f, 2022f)

 

3.1.2 Cybersecurityincidenten per grootteklasse

In de ICT-enquête wordt aan een representatieve steekproef van bedrijven gevraagd hoe vaak ze te maken hebben gehad met elk van de eerder genoemde ICT-veiligheidsincidenten. Ook wordt gevraagd of er kosten werden gemaakt ten gevolge van de ICT-veiligheidsincidenten. Deze vragen zijn inmiddels zes opeenvolgende jaren voorgelegd. We kijken nu eerst naar de In het volgende deel worden eerst de resultaten per grootteklasse besproken. Daarna wordt gekeken naar de ontwikkeling van ICT-veiligheidsincidenten per bedrijfstak.

Grote bedrijven hebben vaker incidenten dan kleine bedrijven

In figuren 3.1.1(a) en 3.1.1(b) wordt voor de periode 2016–2021 per grootteklasse het percentage van bedrijven getoond dat minstens één ICT-veiligheidsincident heeft gehad als gevolg van respectievelijk een interne oorzaak of een aanval van buitenaf. Voor beide figuren worden dus de hiervoor genoemde type incidenten (uitval ICT-systeem, datavernietiging en dataonthulling) samengenomen. Het lichtgekleurde deel van de staafdiagrammen geeft het percentage bedrijven dat aangeeft dat er kosten met het ICT-incident gemoeid waren.

Grote bedrijven hebben over de jaren heen consistent meer incidenten dan kleine bedrijven. Dit geldt voor zowel interne incidenten als incidenten door een aanval van buitenaf. Dit patroon kan meerdere oorzaken hebben. Bij de interne incidenten, zoals uitval van ICT-systemen door hardware of software storingen, speelt mee dat grote bedrijven vaker een grote, meer complexe ICT-infrastructuur hebben. Een groter aantal computers of meer hardware binnen het bedrijf gaat gepaard met een grotere kans op schade aan één van de systemen. Wat betreft de incidenten door een aanval van buitenaf lijkt het aannemelijk dat grote bedrijven een grotere interesse hebben van cybercriminelen omdat er meer te halen valt of de (publiciteits) schade groter is. Wat verder een rol kan spelen, is dat grote bedrijven vaak meer ICT-specialisten in dienst hebben, waardoor de kans op detectie van ICT-veiligheidsincidenten waarschijnlijk groter is.

Aantal bedrijven met ICT-veiligheidsincidenten neemt af

Figuren 3.1.1(a) en 3.1.1(b) laten een afname zien van het totaal aantal ICT-veiligheidsincidenten met zowel een interne oorzaak als door een aanval van buitenaf. Deze daling was zichtbaar onder bedrijven in alle grootteklassen. Voor de incidenten met een interne oorzaak is dit niet overal duidelijk, zeker niet voor de grootste bedrijven: bij deze groep zien we een toename over de jaren 2017–2019, gevolgd door weer een afname voor de jaren 2020–2021. Dit zou te maken kunnen hebben met het feit dat interne incidenten niet per se te voorkomen zijn: een kapot hardware onderdeel is iets wat nu eenmaal kan ontstaan.

Ook valt voor een deel deze daling te verklaren door de iets nauwere formulering van de categorie ‘dataonthulling door eigen personeel’. Vanaf 2020 is daar duidelijk bij vermeld dat het uitdrukkelijk gaat om onopzettelijke dataonthulling door eigen personeel, en niet om opzettelijk toedoen. In dat laatste geval valt het incident onder dataonthulling als gevolg van een aanval van buitenaf, omdat het hoort bij de categorie cybercrime. Door de duidelijkere omschrijving dat het gaat om onopzettelijke handelingen van eigen personeel, is het mogelijk dat dit heeft geleid tot een afname van incidenten in deze categorie

Voor de ICT-veiligheidsincidenten door een aanval van buitenaf is de afname voor alle grootteklassen over de periode 2016–2019 waar te nemen. In het jaar 2020 is juist weer een lichte toename van ICT-veiligheidsincidenten door een aanval van buiten te zien, wat in het laatste jaar 2021 weer iets daalt. Zo is te zien dat in 2016 bijna 40 procent van de grote bedrijven (250 of meer werknemers) met een ICT-veiligheidsincident door een aanval van buitenaf te maken heeft gehad, terwijl dat in 2019 was afgenomen tot 19 procent. In 2020 steeg het aantal grote bedrijven dat een ICT-veiligheidsincident door een aanval van buitenaf meldde tot 22 procent, maar in 2021 daalde dit weer tot 20 procent.

De helft van de ICT-veiligheidsincidenten gaat gepaard met kosten

Wat figuren 3.1.1(a) en 3.1.1(b) ook laten zien is dat lang niet alle ICT-veiligheidsincidenten met kosten gepaard gaan. Ongeveer de helft van de bedrijven die ICT-veiligheidsincidenten hadden, ging dat gepaard met kosten. Voor 2020 en 2021 is het aandeel bedrijven met kosten zelfs nog wat gedaald vergeleken met het jaar daarvoor. In 2020 en 2021 gaat nog maar ongeveer een derde van de ICT-veiligheidsincidenten gepaard met kosten.

Ook als alleen naar de incidenten met kosten gekeken wordt, is te zien dat het aantal meldingen gehalveerd is: in 2016 gaf 19 procent van de grote bedrijven aan een ICT-veiligheidsincident met kosten gehad te hebben, terwijl dat in 2020 nog maar 9 procent was. In 2021 is dit nog wat verder afgenomen: bij 8 procent van de grote bedrijven vond een ICT-veiligheidsincident door een aanval van buitenaf plaats dat met kosten gepaard ging. Deze afname van het aantal ICT-veiligheidsincidenten door een aanval van buitenaf is waarneembaar voor alle grootteklassen. Toch zal verderop aangetoond worden dat deze afname wel iets genuanceerder bekeken moet worden, omdat het beeld is samengesteld uit drie verschillende soorten incidenten en de ontwikkelingen per type incident verschillen.

Het is dus vaak het geval dat er wel sprake was van een ICT-veiligheidsincident, maar dat dit niet direct heeft geleid tot kosten. Dit geldt voor zowel incidenten met een interne oorzaak als incidenten als gevolg van een aanval van buitenaf. Vanaf 2020 wordt aan bedrijven ook gevraagd hoe hoog de kosten waren als percentage van de omzet; deze resultaten worden later in dit hoofdstuk besproken.

3.1.2 ICT-veiligheidsincidenten met een interne oorzaak (a) of door een aanval van buitenaf (b) per bedrijfstak voor bedrijven met 2 of meer werknemers

ICT-veiligheidsincidenten met een interne oorzaak (a) of door een aanval van buitenaf (b) per bedrijfstak voor bedrijven met 2 of meer werknemers Bron: CBS (2017f, 2018f, 2019f, 2020f, 2021f, 2022f)

 

3.1.3 Cybersecurityincidenten per bedrijfstak

In figuren 3.1.2(a) en 3.1.2(b) wordt voor de periode 2016–2021 de aantallen ICT-veiligheidsincidenten met een interne oorzaak of door een aanval van buitenaf per bedrijfstak gespecificeerd voor bedrijven met twee of meer werknemers. Het lichtgekleurde deel van de staafdiagrammen geeft het percentage van bedrijven weer dat aangeeft dat er ook kosten aan de ICT-veiligheidsincidenten verbonden waren.

Het aandeel bedrijven met een intern ICT-veiligheidsincident is in 2020 en 2021 behoorlijk afgenomen ten opzicht van 2019. Ook hier wordt de trend mogelijk deels verklaard door kleine aanpassing in de vraagstelling. Voor de bedrijfstakken ‘Gezondheids- en welzijnszorg’ en ´Financiële dienstverlening’ is in figuur 3.1.2(a) te zien dat in 2020 en 2021 ruim 20 procent van de bedrijven een intern incident heeft gemeld, waarvan weer ongeveer de een derde kosten met zich meebracht. De Industrie en ICT-sector zitten juist iets onder die 20 procent interne ICT-veiligheidsincidenten, opnieuw met ongeveer een derde van die incidenten die ook met kosten gepaard gaan. Alleen de horeca had aanzienlijk minder interne incidenten: in 2020 had 13 procent van de horecabedrijven een ICT-veiligheidsincident met interne oorzaak, wat in 2021 nog verder afgenomen is naar 6 procent. De interne incidenten met kosten zijn daar wederom ongeveer een derde van. Op zich is dit niet vreemd omdat in de horeca waarschijnlijk minder met een computer gewerkt wordt, zodat de kans op uitval door een hardware- of softwarestoring ook kleiner is.

Opnieuw zien we bij de industrie dat het percentage van bedrijven dat een incident door een aanval van buitenaf meldt over de laatste zes jaar afgenomen is. Bij de ICT-bedrijven is er in 2020 een kleine toename te zien ten opzicht van 2019 van het aantal bedrijven dat een ICT-veiligheidsincidenten door een aanval van buiten meldt, maar in 2021 is neemt het percentage bedrijven dat een ICT-veiligheidsincident door een aanval van buiten meldt weer af. Ook het aandeel ICT-veiligheidsincidenten gepaard met kosten neemt af, ook relatief ten opzichte van het totaal aantal ICT-veiligheidsincidenten.

Voor incidenten door een aanval van buitenaf (figuur 3.1.2(b)), vinden we vooral lage percentages bedrijven die hier melding van maken: voor bedrijven uit de Financiële dienstverlening ging het in 2021 om 3 procent van de bedrijven; voor bedrijven uit de ICT-sector, de Industrie en de Gezondheids- en welzijnssector was het 2 procent van de bedrijven; en bedrijven uit de Horeca melden helemaal geen ICT-veiligheidsincidenten waaraan kosten verbonden waren.

3.1.3 ICT-veiligheidsincidenten per categorie per grootteklasse

ICT-veiligheidsincidenten per categorie per grootteklasse

Bron: CBS (2017f, 2018f, 2019f, 2020f, 2021f, 2022f)

 

3.1.4 ICT-veiligheidsincidenten per categorie per bedrijfstak

ICT-veiligheidsincidenten per categorie per bedrijfstak

Bron: CBS (2017f, 2018f, 2019f, 2020f, 2021f, 2022f)

 

3.1.4 Cybersecurityincidenten per type incident

In dit deel wordt nagegaan wat de bijdragen van de drie afzonderlijke type incidenten zijn: uitval, datavernietiging en dataonthulling.

Cybersecurityincidenten per type incident per grootteklasse

In figuren 3.1.3(a1–c1) toont de linker kolom de interne ICT-veiligheidsincidenten voor respectievelijk uitval van ICT-systemen, datavernietiging en dataonthulling per grootteklasse. Figuren 3.1.3(a2–c2) geven de incidenten door een aanval van buitenaf voor dezelfde drie typen incidenten per grootteklasse.

Voor de interne incidenten zijn de eerder gevonden daling in het aandeel bedrijven met een intern ICT-incident ook terug te zien in de onderliggende specifiekere categoriëen van incidenten. Er was eerder al geconcludeerd dat het aandeel bedrijven met een interne incidenten toeneemt met de bedrijfsgrootte. Als we naar de drie typen interne incidenten kijken dan zien we dat deze toename voornamelijk toe te schrijven is aan de uitval van ICT-systemen door een hardware- of softwarestoring, zoals te zien is in figuur 3.1.3(a1): ongeveer 9 procent van de kleine bedrijven had in 2021 een uitval door een storing, terwijl dit voor grote bedrijven zo’n 42 procent was. Beide percentages zijn een stuk lager dan de in 2019 gemeten percentages (respectievelijk 24 en 56 procent).

Datavernietiging door een hardwarestoring komt bij minder dan 10 procent van de bedrijven voor; bovendien is de samenhang met de grootte van het bedrijf minder sterk aanwezig. Wel is te zien dat ook dataonthulling vaker bij grote dan bij kleine bedrijven voorkomt, maar omdat het aantal bedrijven met dergelijke incidenten gering is, draagt deze categorie een stuk minder bij aan het totaal van interne incidenten. De ontwikkeling over de tijd is voor de interne incidenten minder eenduidig en varieert naar categorie. Voor dataonthulling door een intern incident, getoond in figuur 3.1.3(c1), is tot voor 2020 een toename over de tijd te zien voor de grote bedrijven van 250 of meer werknemers, terwijl vanaf 2020 weer afneemt. Dit is anders dan de ontwikkeling voor het totaal aan interne incidenten. De ontwikkelingen variëren dus sterk naar type incident.

Figuur 3.1.3(a2–c2) laat zien dat alle typen incidenten als gevolg van een aanval van buitenaf vaker voorkomen bij grote bedrijven. Dit komt overeen met het eerder beschreven patroon voor het totaal van incidenten door een aanval van buitenaf. Dit is alleen toe te schrijven aan de afname van uitval van ICT-systemen en vernietiging van data door een aanval van buitenaf. Het aantal bedrijven dat dataonthulling als gevolg van een cyberinbraak meldt, is echter weer toegenomen over de afgelopen vier jaar, vooral als er naar de grote bedrijven gekeken wordt. Er kan dus geconcludeerd worden dat alleen kijkend naar de cijfers voor dataonthulling, we een toename van het aantal incidenten zien. Dit neemt echter niet weg dat als we de incidenten van datavernietiging en uitval van ICT-systemen meenemen, het aantal incidenten over de jaren afgenomen is.

Cybersecurityincidenten per type incident per bedrijfstak

Figuren 3.1.4(a1–c1) toont de linker kolom de interne ICT-veiligheidsincidenten voor respectievelijk uitval van ICT-systemen, datavernietiging en dataonthulling per bedrijfstak. Figuren 3.1.4(a2–c2) geven de incidenten door een aanval van buitenaf voor dezelfde drie typen ICT-veiligheidsincidenten per bedrijfstak. Net als we bij afname van ICT-veiligheidsincidenten per grootteklasse zien we dat voor de meeste bedrijfstakken een afname van het percentage van bedrijven per bedrijfstak dat een ICT-veiligheidsincident met een interne oorzaak en door een aanval van buiten meldt. Voor grote bedrijven zien we een stijging in het percentage bedrijven binnen de categorie ‘Onthulling door cyberinbraak’. Deze toename is alleen zichtbaar binnen de Financiële dienstverlening.

3.1.5 Kostenverdeling van de ICT-veiligheidsincidenten

Kostenverdeling van ICT-veiligheidsincidenten met interne oorzaak

3.1.5(a) Percentage van bedrijven per grootteklasse die kosten hadden na een intern ICT-veiligheidsincident, uitgesplitst naar de hoogte van de kosten als percentage van de omzet.
% van bedrijven met intern ict-veiligheidsincidentJaar< 1% van de totale omzet (% van bedrijven met intern ict-veiligheidsincident)1 tot 2% van de totale omzet (% van bedrijven met intern ict-veiligheidsincident)2 tot 5% van de totale omzet (% van bedrijven met intern ict-veiligheidsincident)5 tot 10% van de totale omzet (% van bedrijven met intern ict-veiligheidsincident)10 tot 50% van de totale omzet (% van bedrijven met intern ict-veiligheidsincident)>= 50% van de totale omzet (% van bedrijven met intern ict-veiligheidsincident)
1 (ZZP'ers)'201,30,20,10,100
1 (ZZP'ers)'210,700,20,100
2 - (Totaal)'203,40,50,20,100
2 - (Totaal)'212,20,40,200,10
2 - 9'202,60,40,10,100
2 - 9'211,40,40,200,10
10 - 49'206,10,90,3000
10 - 49'215,40,60,4000
50 - 249'209,90,70,10,100
50 - 249'218,60,60,20,100
250 -'2012,80,90,5000
250 -'21150,70,3000

3.1.5(b) Percentage van bedrijven per bedrijfstak met 2 of meer werknemers die kosten hadden na een intern ICT-veiligheidsincident, uitgesplitst naar de hoogte van de kosten als percentage van de omzet.
% van bedrijven met intern ict-veiligheidsincidentJaar< 1% van de totale omzet (% van bedrijven met intern ict-veiligheidsincident)1 tot 2% van de totale omzet (% van bedrijven met intern ict-veiligheidsincident)2 tot 5% van de totale omzet (% van bedrijven met intern ict-veiligheidsincident)5 tot 10% van de totale omzet (% van bedrijven met intern ict-veiligheidsincident)10 tot 50% van de totale omzet (% van bedrijven met intern ict-veiligheidsincident)>= 50% van de totale omzet (% van bedrijven met intern ict-veiligheidsincident)
Financ. dnstverl.'205,82,10,5000
Financ. dnstverl.'216,20,20,6000
Spc.Zakelk. dnstverl.'204,410,3000
Spc.Zakelk. dnstverl.'2130,60,4000
Industrie'204,30,40,4000
Industrie'213,70,50,2000
Vervoer/ opslag '204,60,30,10,600
Vervoer/ opslag '212,50,100,100
Energie water/afval'203,90,90000
Energie water/afval'21300000
Horeca'202,50,20,2000
Horeca'210,60,70,100,50
Gezondheid/ welzijnsz.'205,21,10,2000
Gezondheid/ welzijnsz.'2130,40000

Tenslotte wordt gekeken naar de hoogte van de kosten van de ICT-veiligheidsincidenten als percentage van de omzet. Figuren 3.1.5(a) en 3.1.5(b) tonen de hoogte van de kosten van de interne ICT-veiligheidsincidenten per grootteklasse en bedrijfstak voor de laatste referentiejaren 2020 en 2021. De hoogte van de samengestelde staafjes geeft het percentage bedrijven weer met kosten die volgden uit een intern ICT-veiligheidsincident en komen dus overeen met de hoogte van de lichtgekleurde delen van de staafjes die in de grafieken 3.1.1(a) en 3.1.2(a) te zien waren. Dit keer wordt met kleur aangegeven hoe hoog deze kosten waren als percentage van de omzet van het bedrijf opgedeeld in 6 categorieën: ‘minder dan 1 %’, ‘1 tot 2 %’, ‘2 tot 5 %’, ‘5 tot 10 %’, ‘10 tot 50 %’ en ‘50 % of meer’ van de totale omzet. In de meeste gevallen waren de kosten minder dan 1 procent van de bedrijfsomzet: voor 3 op de 4 bedrijven met 2 of meer werknemers die een ICT-veiligheidsincident met kosten hadden. Daarnaast waren de kosten vaak tussen de 1 en 2 procent of tussen de 2 en 5 procent van de omzet. Voor grote bedrijven gaat hier dan, gezien de hogere omzet, om grote bedragen. In 2022 meldt 3 procent van de kleine bedrijven met 2 tot 10 werknemers die een ICT-veiligheidsincident gehad hebben, dat de kosten tussen 10 tot 50 % van de omzet waren. Dit impliceert dat het incident een behoorlijke grote impact op het bedrijf heeft gehad.

Figuur 3.1.5(b) laat dezelfde kostenverdeling voor interne ICT-veiligheidsincidenten per bedrijfstak zien. Hierbij worden alle bedrijven met 2 of meer werknemers meegenomen (ZZP dus niet). Meest opvallend is dat er relatief veel interne ICT-veiligheidsincidenten in de Financiële sector zijn, met ook relatief veel incidenten met kosten hoger dan 1 procent van de omzet. De Horeca heeft in 2021 te maken met de hoogste kosten bij interne ICT-incidenten: bij 1 op de 4 Horeca bedrijven die een intern ICT-veiligheidsincident met kosten hadden, waren de kosten tussen 10 en 50% van de totale omzet. Dit hangt samen met het feit dat de horeca veel kleine bedrijven bevat met een relatief lage omzet, zodat de kosten van ICT-veiligheidsincidenten eerder een groter percentage van de omzet omvat.

Kostenverdeling van ICT-veiligheidsincidenten door aanval van buitenaf

3.1.6(a) Percentage van bedrijven per grootteklasse die kosten hadden na een ICT-veiligheidsincident door een aanval van buitenaf, uitgesplitst naar de hoogte van de kosten als percentage van de omzet.
% van bedrijven met ict-veiligheidsincident door aanvalJaar< 1% van de totale omzet (% van bedrijven met ict-veiligheidsincident door aanval)1 tot 2% van de totale omzet (% van bedrijven met ict-veiligheidsincident door aanval)2 tot 5% van de totale omzet (% van bedrijven met ict-veiligheidsincident door aanval)5 tot 10% van de totale omzet (% van bedrijven met ict-veiligheidsincident door aanval)10 tot 50% van de totale omzet (% van bedrijven met ict-veiligheidsincident door aanval)>= 50% van de totale omzet (% van bedrijven met ict-veiligheidsincident door aanval)
1 (ZZP'ers)'200,50,10,100,10
1 (ZZP'ers)'210,30,30,1000
2 - (Totaal)'201,60,40,10,100
2 - (Totaal)'211,20,20,2000
2 - 9'201,30,30,10,100
2 - 9'210,90,20,2000
10 - 49'202,70,40,3000
10 - 49'212,40,30,30,100
50 - 249'204,10,70,30,100
50 - 249'212,80,30,7000
250 -'2070,50,50,10,10
250 -'215,710,50,100

3.1.6(b) Percentage van bedrijven per bedrijfstak met 2 of meer werknemers die kosten hadden na een ICT-veiligheidsincident door een aanval van buitenaf, uitgesplitst naar de hoogte van de kosten als percentage van de omzet.
% van bedrijven met ict-veiligheidsincident door aanvalJaar< 1% van de totale omzet (% van bedrijven met ict-veiligheidsincident door aanval)1 tot 2% van de totale omzet (% van bedrijven met ict-veiligheidsincident door aanval)2 tot 5% van de totale omzet (% van bedrijven met ict-veiligheidsincident door aanval)5 tot 10% van de totale omzet (% van bedrijven met ict-veiligheidsincident door aanval)10 tot 50% van de totale omzet (% van bedrijven met ict-veiligheidsincident door aanval)>= 50% van de totale omzet (% van bedrijven met ict-veiligheidsincident door aanval)
Financ. dnstverl.'201,90,3000,10
Financ. dnstverl.'211,61,20,6000
Spc.Zakelk. dnstverl.'2010,60,30,10,10,1
Spc.Zakelk. dnstverl.'211,30,20,50,200
Industrie'202,10,30,3000
Industrie'211,60,20,20,100
Vervoer/ opslag '201,90,30,10,600
Vervoer/ opslag '211,80,200,100
Energie water/afval'201,600000
Energie water/afval'211,200000
Horeca'201,80,10000
Horeca'210,10,20000
Gezondheid/ welzijnsz.'200,40,300,300
Gezondheid/ welzijnsz.'211,500000
 
Figuren 3.1.6(a) en 3.1.6(b) geven de kostenverdeling van de ICT-veiligheidsincidenten door een aanval van buitenaf per grootteklasse en bedrijfstak weer. De hoogte van de samengestelde staafjes geeft dit keer het percentage bedrijven weer met kosten die volgden uit ICT-veiligheidsincident door een aanval van buiten en komen dus overeen met de hoogte van de lichtgekleurde delen van de staafjes in de grafieken 3.1.1(b) en 3.1.2(b). Zoals we al eerder gezien hebben, is het percentage van bedrijven met een ICT-veiligheidsincident ten gevolge van een aanval van buitenaf over het algemeen kleiner dan het percentage van bedrijven met een incident met interne oorzaak. Figuur 3.1.6(a) laat zien dat grote bedrijven vaker kosten hebben ten gevolge van een ICT-veiligheidsincident door een aanval dan kleine bedrijven. In 2021 meldde iets minder bedrijven kosten te hebben dan in 2020. In de meeste gevallen van de incidenten bedragen de kosten minder dan 1 procent van de omzet van het bedrijf. Opvallend is dat vooral in 2020 er bedrijven waren met kosten ten gevolge van een ICT-veiligheidsincident door een aanval van buitenaf die tussen de 10 en 50 procent van de bedrijfsomzet lagen, zelfs voor de grote bedrijven van 250 of meer werknemers. Dit soort ICT-veiligheidsincidenten moeten dus een behoorlijke impact op de bedrijven hebben. In 2021 komen dit soort aanvallen niet meer voor.

De kostenverdeling van ICT-veiligheidsincidenten door een aanval van buiten per bedrijfstak wordt getoond in figuur 3.1.6(b). Deze figuur laat zien dat de Financiële dienstverlening relatief vaak dit soort incidenten heeft, ook met hoge kosten tot gevolg. Ook worden in 2021 in deze sector beduidend meer incidenten gemeld dan in 2020, met een stijging van 2,2 naar 3,4 procent van de bedrijven die kosten had door een ICT-veiligheidsincident door een aanval van buiten. Ook bedroegen de kosten in 2021 relatief vaker meer dan 1 procent van de omzet, alhoewel het in 2020 vaker voorkwam dat de kosten tussen de 10 en 50 procent van de omzet lagen.

3.1.6 Ransomware-aanvallen

3.1.7 Aantal bedrijven per grootteklasse die in 2021 een ransomware-aanval gehad hebben.
populatieRansomware-aanval gehad (Aantal bedrijven)
1 (ZZP'ers)4034
2 - 91444
10 - 49567
50 - 249233
250 -99

In de ‘ICT-gebruik bij bedrijven’-enquête is het afgelopen jaar ook specifiek naar ransomware-aanvallen gevraagd (CBS, 2022f). Bij een ransomware-aanval worden de ICT-systemen van een bedrijf of particulier door middel van malware geblokkeerd, om zo het slachtoffer te chanteren om losgeld (ransom) te betalen om de systemen weer vrij te geven. Ransomware wordt door de Nationaal Coördinator Terrorismebestrijding en Veiligheid als een belangrijk risico voor de nationale veiligheid gezien (NCTV, 2023), en daarom is het belangrijk te monitoren hoe vaak dit voorkomt bij bedrijven in Nederland.

Aantal ransomware-aanvallen

Figuur 3.1.7 laat zien dat in 2021 in totaal 6 300 ransomware-aanvallen bij bedrijven zijn geweest, waarvan 4 000 bij ZZP’ers en 2 300 bij bedrijven met 2 of meer personen. In dit figuur wordt het aantal unieke bedrijven aangegeven dat aangeeft een Ransomware-aanval te hebben gehad, om de omvang van het probleem goed weer te geven. Tabel 3.1.8 geeft naast de absolute getallen ook het percentage van bedrijven per grootteklasse weer dat meldt een ransomware-aanval gehad te hebben.

Hieruit blijkt procentueel gezien grote bedrijven meer last hebben van ransomware-aanvallen dan kleine bedrijven. Ransomware-aanvallen hebben zich bij 0,3 procent van de ZZP’ers in Nederland voorgedaan, terwijl 4 procentvan de bedrijven met 250 of meer werknemers zegt een Ransomware-aanval gehad te hebben.

3.1.8 Aantal ransomware-aanvallen in 2021 per grootteklasse en het percentage per groep.
BedrijfsgrootteRansomware-aanval gehad/AantalRansomware-aanval gehad/Percentage
1 werkzame persoon (ZZP'er)4 0000,3
Totaal (2 of meer werkzame personen)2 3000,7
Grote bedrijven (10 of meer werkzame personen)9001,5
2 tot 10 werkzame personen1 4000,5
10 tot 50 werkzame personen5701,2
50 tot 250 werkzame personen2302,3
250 of meer werkzame personen1004,0

3.1.9 Percentage van bedrijven per bedrijfstak met 2 of meer werknemers die in 2021 een ransomware-aanval gehad hebben.
populatieRansomware-aanval gehad (% van bedrijven)
Totaal (2 -)0,7
Verhuur/handel onroerend goed1,5
Industrie1,2
Handel0,8
Spec. zakelijke diensten0,8
ICT-sector1,3

Figuur 3.1.9 toont de percentages van bedrijven die een ransomware-aanval gehad per bedrijfstak voor bedrijven met 2 of meer werknemers. De bedrijfstak ‘Verhuur en handel onroerend goed’ is de bedrijfstak die het meest door ransomware getroffen is: 1,5 procent van de bedrijven uit deze sector melden een ransomware-aanval gehad te hebben. Ook de ICT-sector scoort relatief hoog. Een overzicht van alle cijfers is op Statline terug te vinden.

Bedrijven betalen meestal geen losgeld

3.1.10 Percentage van de bedrijven met een ransomware-aanval die losgeld betaald hebben en die losgeld betaald hebben waarbij het losgeld niet geleid heeft tot het (deels) ontsleutelen van de ICT-systemen van het bedrijf.
BedrijfsgrootteLosgeld betaald/Totaal [%]Losgeld betaald/Zonder resultaat [%]
1 werkzame persoon (ZZP'er)0,10,0
Totaal (2 of meer werkzame personen)115,8
2 tot 10 werkzame personen149,1
10 tot 50 werkzame personen5,10,7
50 tot 250 werkzame personen5,20,6
250 of meer werkzame personen4,10,0

In tabel 3.1.10 wordt per grootteklasse weergegeven hoeveel bedrijven losgeld betaald hebben. Van alle bedrijven met 2 of meer werknemers betaalt gemiddeld 11 procentvan de bedrijven losgeld. Dit komt met name door het hoge percentage van 14 procent van de kleine bedrijven met 2 tot 10 werknemers die toch besluiten losgeld te betalen. Maar ook bij de grote bedrijven van 250 of meer werknemers betaalt nog steeds 4,1 procent van de bedrijven losgeld. Alleen bij ZZP’ers lijkt het bijna niet voor te komen dat er losgeld betaald wordt. Belangrijk is ook te constateren dat voor ruim de helft van de gevallen waarbij losgeld betaald wordt, dit niet leidt tot het (deels) ontsleutelen van de ICT-systemen, omdat 5,8 procent van de bedrijven met 2 of meer werknemers die een ransomware-aanval hebben gehad zeggen na betaling niet de ICT-system ontsleuteld gekregen te hebben.

Kostenverdeling van het losgeld en andere kosten

In figuren 3.1.11(a) en 3.1.11(b) wordt per grootteklasse en bedrijfstak de verdeling van de hoogte van het losgeld gegeven als percentage van de omzet van het bedrijf. Gemiddeld voor alle bedrijven met 2 of meer werknemers betaalt 11 procent van de bedrijven losgeld. In ongeveer de helft van de gevallen bedraagt het losgeld meer dan 50 procent van de omzet. Het is te zien dat dit voornamelijk komt door de kleine bedrijven met 2 tot 10 werknemers waarbij de omzet in het algemeen lager is. De impact voor het bedrijf dat zo’n hoog percentage van de omzet aan losgeld betaalt is groot, vooral als je mee neemt dat in een groot aantal gevallen het betalen van losgeld niet leidt tot het ontsleutelen van de data van het bedrijf. Van grote bedrijven met 250 of meer werknemers betaalt ongeveer een kwart van de bedrijven die losgeld betalen een bedrag tussen 1 en 2 procent van de totale omzet. De schade voor het bedrijf kan dus behoorlijk zijn.

In figuur 3.1.11(b) is het met name opvallend dat in de ‘Handel’ relatief veel bedrijven losgeld betalen en dat het betaalde bedrag ook hoog is: in 70 procentvan de gevallen wordt meer dan 50 procent van de omzet betaald. Dit duidt erop dat voornamelijk kleine bedrijven in de handel getroffen zijn. Inderdaad zijn het alleen de kleine Handels bedrijven met 2 tot 10 werknemers die 50 procent of meer van de omzet betalen.

3.1.11(a) Percentage van bedrijven met ransomware-aanval die losgeld betaald hebben per grootteklasse. De percentages zijn opgesplitst naar de hoogte van het losgeld als percentage van de totale omzet.
Labels< 1% van de totale omzet (% van bedrijven met ransomware-aanval)1 tot 2% van de totale omzet (% van bedrijven met ransomware-aanval)2 tot 5% van de totale omzet (% van bedrijven met ransomware-aanval)5 tot 10% van de totale omzet (% van bedrijven met ransomware-aanval)10 tot 50% van de totale omzet (% van bedrijven met ransomware-aanval)>= 50% van de totale omzet (% van bedrijven met ransomware-aanval)
1 (ZZP'ers)0,100000
2 - (Totaal)1,730,30,105,6
2 - 91,43,80009,1
10 - 492,12,20,60,200
50 - 2492,41,21,20,600
250 -3,110000

3.1.11(b) Percentage van bedrijven met ransomware-aanval die losgeld betaald hebben per bedrijfstak met 2 of meer werknemers. De percentages zijn opgesplitst naar de hoogte van het losgeld als percentage van de totale omzet.
Labels< 1% van de totale omzet (% van bedrijven met ransomware-aanval)1 tot 2% van de totale omzet (% van bedrijven met ransomware-aanval)2 tot 5% van de totale omzet (% van bedrijven met ransomware-aanval)5 tot 10% van de totale omzet (% van bedrijven met ransomware-aanval)10 tot 50% van de totale omzet (% van bedrijven met ransomware-aanval)>= 50% van de totale omzet (% van bedrijven met ransomware-aanval)
Spc.Zakelijke dienstverl.4,32,60,8000
Industrie5,43,100,500
Vervoer/ opslag 0,900100
Handel0,56,40,20016,9
Bouwnijv.002,8000
Gezondheid/ welzijnsz.010000

Naast losgeld kan een bedrijf natuurlijk ook andere kosten aan een ransomware-aanval overhouden, zoals bijvoorbeeld het vervangen van getroffen ICT-systemen, het inhuren van ICT-specialisten om de schade te beperken, maar ook het eventuele productieverlies ten gevolge van de ransomware-aanval. Figuren 3.1.12(a) en 3.1.12(b) geven per grootteklasse en bedrijfstak de verdeling van de overige kosten weer als gevolg van de ransomware-aanval. Het is meteen duidelijk dat bedrijven met een ransomware-aanval vaker kosten hebben aan overige zaken dan aan de betaling van losgeld. Zo is in figuur 3.1.12(a) te zien dat voor alle bedrijven met 2 of meer werknemers die een ransomware-aanval gehad hebben bijna de helft (48 procent) meldt dat ze andere kosten dan losgeld aan de aanval hebben gehad. Weer zijn deze kosten uitgesplitst naar percentages van de omzet. In de meeste gevallen blijven de kosten onder de 1 procent van de omzet, maar te zien is dat voor kleine percentages bedrijven de overige kosten behoorlijk op kunnen lopen: zo meldt bijvoorbeeld 5 procent van de bedrijven met 50 tot 250 werknemers dat de overige kosten tussen de 10 en 50 procent van de omzet van het bedrijf liggen. Als per bedrijfstak in figuur 3.1.12(b) gekeken wordt, valt op dat met name de Industrie veel andere kosten heeft aan een ransomware-aanval. Maar ook de ‘Handel’, ‘Bouwnijverheid’ en ‘Speciale zakelijk dienstverlening’ scoren relatief hoog.

3.1.12(a) Percentage van bedrijven met ransomware-aanval die andere kosten gehad hebben (anders dan losgeld) per grootteklasse. De percentages zijn opgesplitst naar de hoogte van de kosten als percentage van de totale omzet.
Labels< 1% van de totale omzet (% van bedrijven met ransomware-aanval)1 tot 2% van de totale omzet (% van bedrijven met ransomware-aanval)2 tot 5% van de totale omzet (% van bedrijven met ransomware-aanval)5 tot 10% van de totale omzet (% van bedrijven met ransomware-aanval)10 tot 50% van de totale omzet (% van bedrijven met ransomware-aanval)>= 50% van de totale omzet (% van bedrijven met ransomware-aanval)
1 (ZZP'ers)1,61,20,2000
2 - (Totaal)247,152,10,20
2 - 914,710,60,93,300
10 - 493908,600,60
50 - 24943,11,72100,70
250 -29,69,36,71,400

3.1.12(b) Percentage van bedrijven met ransomware-aanval die andere kosten gehad hebben (anders dan losgeld) per bedrijfstak met 2 of meer werknemers. De percentages zijn opgesplitst naar de hoogte van de kosten als percentage van de totale omzet.
Labels< 1% van de totale omzet (% van bedrijven met ransomware-aanval)1 tot 2% van de totale omzet (% van bedrijven met ransomware-aanval)2 tot 5% van de totale omzet (% van bedrijven met ransomware-aanval)5 tot 10% van de totale omzet (% van bedrijven met ransomware-aanval)10 tot 50% van de totale omzet (% van bedrijven met ransomware-aanval)>= 50% van de totale omzet (% van bedrijven met ransomware-aanval)
Spc.Zakelijke dienstverl.28,76,61,900,80
Industrie28,72,219,10,50,50
Vervoer/ opslag 15,407000
Handel32,96,83,96,100
Bouwnijv.42,100000
Gezondheid/ welzijnsz.2,51,31000

Hulp vraag bij politie en cybersecuritybedrijven

3.1.13(a) Percentage van bedrijven met ransomware-aanval die de hulp hebben in geschakeld van bij politie of bij een cybersecuritybedrijf per grootteklasse.
populatieHulp politie (% van bedrijven met ransomware-aanval)Hulp cybersecuritybedrijf (% van bedrijven met ransomware-aanval)
1 (ZZP'ers)20,6
2 - (Totaal)13,439
2 - 95,433,1
10 - 4921,344
50 - 24934,755,9
250 -34,555,9

3.1.13(b) Percentage van bedrijven met ransomware-aanval die de hulp hebben in geschakeld van bij politie of bij een cybersecuritybedrijf per bedrijfstak met 2 of meer werknemers.
populatieHulp politie (% van bedrijven met ransomware-aanval)Hulp cybersecuritybedrijf (% van bedrijven met ransomware-aanval)
Financ. dnstverl.06,1
Spc.Zakelk. dnstverl.13,647,8
Industrie30,353,4
Vervoer/ opslag 4,528,3
Energie water/afval23,223,2
Horeca047,5
Gezondheid/ welzijnsz.3,813,3

Figuur 3.1.13 toont het percentage van de bedrijven die een ransomware-aanval gehad hebben en hulp vragen bij de politie of een cybersecuritybedrijf. Van alle bedrijven met 2 of meer werknemers die een ransomware-aanval gehad hebben schakelt 39 procent de hulp in van een cybersecuritybedrijf en 13 procent stapt naar de politie. Uiteraard kan een bedrijf ook zowel naar de politie stappen als een cybersecuritybedrijf inschakelen. Het is wel opvallend dat met name kleine bedrijven minder vaak naar de politie stappen, zo’n 5 procent van de bedrijven met 2 tot 10 werknemers die een ransomware-aanval gehad hebben, tegen 33 procent die naar een cybersecuritybedrijf stapt. Bij grote bedrijven wordt nog steeds meestal de hulp van een cybersecuritybedrijf ingeroepen, maar gaat ook een groot percentage alsnog naar de politie. De verdeling per bedrijfstak zoals in figuur 3.1.13(b) getoond laat ook zien dat bedrijfstakken andere strategieën gebruiken: in de ‘Energie water/afval’ wordt even vaak naar de politie gegaan als dat er een cybersecuritybedrijf ingeschakeld wordt, terwijl in de horeca en financiële dienstverlening bijna nooit naar de politie gegaan wordt.

Grote bedrijven zijn vaker verzekerd tegen ICT-veiligheidsincidenten

3.1.14(a) Percentage van bedrijven met die een verzekering voor ICT-veiligheidsincidenten hebben per grootteklasse.
populatieBedrijf verzekerd voor ICT-veiligheidsincidenten (% van bedrijven)
1 (ZZP'ers)4,8
2 - (Totaal)16,7
2 - 913,6
10 - 4929,1
50 - 24937,3
250 -44,2

3.1.14(b) Percentage van bedrijven die een verzekering voor ICT-veiligheidsincidenten hebben per bedrijfstak met 2 of meer werknemers.
populatieBedrijf verzekerd voor ICT-veiligheidsincidenten (% van bedrijven)
Financ. dnstverl.40,8
Spc.Zakelk. dnstverl.22,8
Industrie16,6
Vervoer/ opslag 12,9
Energie water/afval13,6
Horeca4,9
Gezondheid/ welzijnsz.29,8

Ten slotte zien we in figuren 3.1.14(a) en 3.1.14(b) hoeveel bedrijven per grootteklasse en bedrijfstak een verzekering tegen ICT-veiligheidsincidenten afgesloten hebben. Van alle bedrijven met 2 of meer werknemers heeft 17 procent van de bedrijven een verzekering afgesloten tegen ICT-veiligheidsincidenten. Hoe groter het bedrijf is, hoe groter dit percentage is: slechts 5 procent van de ZZP’ers is verzekerd, terwijl van de bedrijven met 250 of meer werknemers 44 procent een verzekering tegen ICT-veiligheidsincidenten afgesloten heeft. Van de bedrijfstakken in figuur 3.1.14(b) is te zien dat voornamelijk de financiële sector met 41 procent van de bedrijven met een verzekering goed verzekerd is.

3.1.7 Meldingen datalekken bij Autoriteit Persoonsgegevens

Uit het voorgaande is gebleken dat met name grotere bedrijven melden dat ze ICT-veiligheidsincidenten meemaakten in de vorm van dataonthullingen, zowel door eigen toedoen (bijvoorbeeld door het verliezen van een USB-stick) als door cybercrime. In Nederland zijn bedrijven verplicht melding te doen van onthulling van persoonsgegevens bij de Autoriteit Persoonsgegevens (AP).

De meldplicht van datalekken geldt in Nederland sinds 2016 en is in EU-verband verder geformaliseerd en gepreciseerd door de Algemene Verordening Gegevensbescherming (AVG) die sinds 25 mei 2018 van toepassing is. Van een datalek is sprake als privacygevoelige gegevens mogelijk in handen van derden zijn gevallen of waar derden toegang tot hebben gehad. Ook hierbij geldt dat de oorzaak van dit soort datalekken soms onbedoeld en terug te voeren is op slordige omgang door de houder van de gegevens. Echter, aan de andere kant van het spectrum staat het moedwillig hacken van dit soort gegevens om te illustreren hoe slecht deze gegevens beveiligd zijn, of om er daadwerkelijk iets mee te gaan doen, bijvoorbeeld te verkopen.

Ruim 20 duizend meldingen van datalekken in 2022