Beveiliging in 2026: controle is geen IT-kwestie meer

Beveiliging in 2026: controle is geen IT-kwestie meer 

Voor IT-beslissers, CISO's en directeuren die cyberbestendigheid op een beheersbare en aantoonbare manier moeten organiseren richting klanten, toezichthouders en hun eigen organisatie.

In 2026 zal veiligheid niet langer alleen over technologie draaien. Met de komst van de Cybersecurity Act en NIS2 verschuift cyberveerkracht steeds meer naar de bestuurskamer. Organisaties moeten niet alleen hun eigen beveiliging op orde hebben, maar ook risico's binnen de keten, leveranciers en cloudomgevingen onder controle houden.

Dit werd zichtbaar toen een leverancier van elektronische patiëntendossiers, actief in een groot aantal Nederlandse ziekenhuizen, werd getroffen door een ransomware-aanval. Niet één organisatie, maar een hele digitale keten werd getroffen. Dit roept ook de vraag op die veel directeuren stellen: hoe organiseer je aantoonbare cyberveerkracht zonder dat beveiliging gefragmenteerd raakt over afzonderlijke tools, leveranciers en processen?

Wat verandert de Cybersecurity Act echt voor de raad?

De Cybersecurity Act maakt cyberveerkracht tot een administratieve verantwoordelijkheid. Organisaties moeten kunnen aantonen:

• Hoe risico's worden beheerd.
• Wie verantwoordelijk is voor het nemen van beslissingen.
• Hoe incidentrespons is opgezet.
• En hoe snel de organisatie kan handelen bij dreigingen of verstoringen.

Voor beheerders verschuift de focus van beleid naar bewijsbaarheid. Niet alleen wat er is opgezet, maar ook hoe het in de praktijk werkt.

Drie patronen die we in de markt zien. 

In gesprekken met IT-directeuren en CISO's zien we ongeveer drie manieren waarop organisaties hun cyberbestendigheid organiseren. Elk model kan logisch zijn vanuit het stadium waarin een organisatie zich bevindt. Tegelijkertijd heeft elk model gevolgen voor grip, bewijsbaarheid en actiesnelheid. 

1. Strategisch advies zonder operationele invloed 
Organisaties hebben routekaarten, risicoanalyses en bestuursmodellen, maar missen een partij die daadwerkelijk kan ingrijpen als het gespannen wordt. Dit creëert een kwetsbare kloof tussen beleid en praktijk. Er is veel op papier geregeld, maar in het geval van een incident lijkt de uitvoering onvoldoende georganiseerd. 

2. Operationele monitoring zonder strategische ankering 
Er is 24/7 monitoring, tooling en alerting, maar de verbinding met governance, compliance en architectuurkeuzes ontbreekt. De organisatie ziet veel signalen, maar kan deze niet altijd vertalen naar administratieve managementinformatie of aantoonbare verbeteringsmaatregelen. Dit betekent dat beveiliging voornamelijk reactief blijft. 

3. Strategie en operaties onder één richting 
Wanneer risico's, beleid, monitoring en incidentrespons samenvallen, ontstaat er meer voorspelbaarheid. Het eigendom wordt duidelijker toegewezen, reactietijden worden meetbaar en besluitvorming wordt beter onderbouwd. Dit helpt niet alleen bij de dagelijkse bedrijfsvoering, maar ook bij de verantwoording tegenover het management en de leidinggevenden. 

Wat kost het als de ketting breekt?

Het incident bij de leverancier van het elektronische patiëntendossier laat zien waar de werkelijke impact van cyberincidenten in 2026 zal ontstaan. Niet alleen binnen één organisatie, maar vooral binnen de keten. Wanneer een leverancier faalt, worden portalen, processen, datastromen en afhankelijkheden bij tientallen of zelfs honderden andere organisaties verstoord. 

Degenen die alleen naar hun eigen omgeving kijken, missen daardoor een belangrijk deel van het risico. Het aanvalsoppervlak omvat ook leveranciers, interfaces, gedeelde identiteiten en systemen waarop kritieke processen vertrouwen. 

Zonder strategische ankering blijft de beveiliging voornamelijk reactief. Zonder operationele kracht blijft veerkracht primair een beleidsintentie. Pas wanneer strategie en operaties samenkomen, ontstaat grip: ketenrisico's worden zichtbaar, incidenten worden sneller beheersbaar en de raad heeft de informatie die nodig is om keuzes uit te leggen en te rechtvaardigen. 

Hoe Wortell het management organiseert: van bestuur tot 24/7 respons 

Wortell helpt organisaties om cyberbestendigheid beheersbaar en haalbaar te maken. We verbinden strategisch beveiligingsadvies met operationele uitvoering binnen één samenhangende aanpak. Wij vertalen wetten en regels, zoals NIS2 en de Cybersecurity Act, naar duidelijke keuzes over beleid, eigendom, risicoacceptatie en besluitvorming. 

Die keuzes blijven niet op papier staan. Via Managed eXtended Detection & Response , geleverd vanuit het Wortell Cyber Defense Center, zorgen wij voor continue detectie, opvolging en respons. Dit creëert een directe verbinding tussen wat administratief is afgesproken en wat er operationeel gebeurt wanneer dreigingen zich voordoen. 

Op strategisch niveau brengen we governance, compliance en architecturale keuzes samen in een verhaal dat kan worden uitgelegd aan management en supervisors. Op operationeel niveau zorgen we voor 24/7 monitoring, snelle respons en transparante rapportage. We verrijken sectorspecifieke dreigingsinformatie via relevante samenwerkingen, waaronder die met Z-CERT, het sectorale CERT voor de Nederlandse gezondheidszorg. En dit alles vanuit een AI-first beveiligingsstrategie: met slimme automatisering, snellere interpretatie van signalen en betere ondersteuning voor analisten, zodat organisaties sneller kunnen reageren en gerichter kunnen beheren. 

Vragen die administratieve controle zichtbaar maken

• Wie is verantwoordelijk voor zowel het beveiligingsbeleid als de implementatie daarvan binnen onze organisatie?  

• Hoe maken we naleving van toezichthouders vandaag de dag traceerbaar?  

• Wat zijn onze daadwerkelijke detectie- en reactietijden bij een incident en waarop baseren we die?  

• Hebben we inzicht in ons gehele aanvalsoppervlak, inclusief cloudomgevingen, identiteiten en kritieke leveranciers?  

• Waar beheren we actief risico, kosten en continuïteit voordat een incident ons daartoe dwingt?  

Organisaties die deze vragen niet duidelijk kunnen beantwoorden, hebben meestal geen gebrek aan beveiligingsmiddelen. Bovenal ontbreekt het ze aan samenhangende richting. 

Van inzicht tot beheersbare cyberveerkracht 

De beveiligingsaanpak van  Wortell helpt directeuren en CISO's om strategie, governance, monitoring en incidentrespons op een coherente manier te organiseren . Niet als aparte beveiligingsdienst, maar als onderdeel van bedrijfsvoering en administratieve verantwoordelijkheid. 

Als je wilt weten waar de organisatie staat, begin je met feitelijke inzichten: hoe risico's worden beheerd, hoe snel incidenten worden herkend en opgevolgd, en waar afhankelijkheden in de keten de continuïteit beïnvloeden. Uit dat inzicht worden de keuzes zichtbaar die de komende achttien maanden verschil zullen maken.