Vorig jaar werd 77 procent van de Nederlandse MKB-bedrijven getroffen door een cyberaanval. Bijna acht op de tien. Dat cijfer was aanleiding voor staatssecretaris Aerdts om eerder dit jaar €5,3 miljoen vrij te maken voor digitale veiligheid in het midden- en kleinbedrijf. Niet voor grote multinationals of overheidsinstanties, maar specifiek voor kleine en middelgrote ondernemers.
Het geld gaat naar zogeheten cybersecurity learning communities: samenwerkingsverbanden tussen onderwijs, onderzoek en bedrijfsleven, waarbij ondernemers praktische hulp krijgen en tegelijk nieuw beveiligingstalent wordt opgeleid. Het signaal is duidelijk: de overheid vindt het probleem groot genoeg voor structureel ingrijpen. De vraag is of jij dat ook doet.
Waarom hackers het MKB in het vizier hebben
De aanname dat hackers alleen grote bedrijven aanvallen klopt al lang niet meer. Kleinere bedrijven zijn juist aantrekkelijk. Ze hebben minder beveiligingsexpertise in huis, draaien vaker op verouderde software en kunnen zelden een fulltime securityspecialist betalen. Maar ze beschikken wel over waardevolle data: klantengegevens, bankgegevens, betaalhistorie, contracten.
Bovendien is de kans groot dat een MKB-bedrijf onderdeel is van de keten van een groter bedrijf. Aanvallers weten dat en gebruiken kleinere leveranciers als een achterdeur naar hun eigenlijke doelwit. Cyberveiligheid is daarmee niet alleen een eigen belang, maar ook een verantwoordelijkheid naar klanten en partners toe.
De aanvallen die het vaakst voorkomen
Verreweg de meeste aanvallen beginnen met een phishingmail: een bericht dat eruitziet alsof het van de bank, een leverancier of zelfs een collega afkomstig is, maar in werkelijkheid bedoeld is om inloggegevens te stelen of malware te installeren. Phishing is goedkoop, schaalbaar en effectief.
Ransomware is de volgende stap. Criminelen versleutelen al je bedrijfsbestanden en eisen losgeld om ze terug te krijgen. Gemiddeld kost een ransomware-aanval een MKB-bedrijf tienduizenden euro's aan directe schade en herstelkosten, zelfs als je betaalt. En betalen garandeert niets.
Een derde variant die sterk opkomt is business email compromise: aanvallers nemen een e-mailaccount over of spoofen een adres van de directeur en sturen een instructie aan de financieel medewerker om snel een bedrag over te maken. Klein bedrijf, grote schade. Wil je weten welke risico's specifiek voor jouw branche het meest relevant zijn? Lees ook ons overzicht van verborgen beveiligingsrisico's voor bedrijven.
Wat de overheid nu aanpakt
Het project CYRCLE, dat €1 miljoen van het totale investeringspakket ontvangt, richt vier regionale clusters in rondom thema's als mensgerichte cyberveiligheid, security by design en de bescherming van operationele technologie. Daarmee wordt niet alleen kennis ontwikkeld, maar ook direct gedeeld met ondernemers in de regio.
Dat is goed nieuws, maar je hoeft niet te wachten op een learning community in jouw buurt. Het Digitaal Trustcenter van de overheid biedt nu al gratis checklists, adviezen en een cyberweerbaarheidstest voor MKB-bedrijven. In een uur weet je waar je staat.
Vijf maatregelen met de meeste impact
Cyberveiligheid klinkt als een groot project, maar de basis is met een paar uur werk te leggen. Dit zijn de vijf maatregelen met de meeste impact:
- Tweefactorauthenticatie (2FA) aanzetten. Doe dit voor je e-mail, je cloudopslag en je boekhoudpakket. Als een aanvaller je wachtwoord steelt, kan hij er zonder de tweede factor niets mee.
- Back-ups maken en testen. Volg de 3-2-1-regel: drie kopieën, op twee verschillende opslagmedia, waarvan één offsite of in de cloud. Test elk kwartaal of de back-up ook daadwerkelijk terugzetbaar is.
- Software bijhouden. Updates bevatten beveiligingspatches voor bekende lekken. Automatisch updaten is beter dan handmatig vergeten.
- Medewerkers alert maken. Phishing werkt alleen als iemand erop klikt. Een kwartier per kwartaal om een paar voorbeelden te bespreken verlaagt het risico aanzienlijk.
- Wachtwoordbeleid aanscherpen. Gebruik een wachtwoordmanager zoals Bitwarden of 1Password en ban wachtwoorden als "Welkom01" of de bedrijfsnaam. Zie ook onze praktische tips voor cyberveiligheid op de werkvloer.
Wacht niet tot het misgaat
Het is een cliché, maar de praktijk bewijst het keer op keer: de meeste ondernemers regelen pas iets na een incident. Een ransomware-aanval die een week productie kost. Een datalek waarbij klantengegevens op straat belanden. Een overboeking van €15.000 naar een rekening in het buitenland.
Dat de overheid nu structureel investeert in dit thema is geen politiek gebaar. Het is een erkenning dat de dreiging reëel is en dat kleine bedrijven er niet alleen voor staan. Maar de eerste stap moet jij zetten. Zet vandaag 2FA aan op je zakelijke e-mail. Dat kost vijf minuten en sluit een van de grootste deuren die aanvallers gebruiken.