NCTV ziet AI in alle fasen van cyberaanvallen

Het Cybersecuritybeeld Nederland 2026 stelt dat aanvallers AI aantoonbaar in alle fasen van cyberaanvallen inzetten, terwijl Nederlandse organisaties hun digitale weerbaarheid niet even snel verhogen, concludeert de NCTV.

De NCTV schrijft dat de gemiddelde tijd tussen ontdekking en misbruik van een kwetsbaarheid in 2026 terugliep tot enkele uren. Dat verkleint de ruimte om updates te beoordelen, systemen bij te werken en herstel voor te bereiden voordat bedrijfsdata of dienstverlening wordt geraakt.

AI schuift op van hulp naar uitvoering

Het CSBN stelt voor het eerst vast dat cyberactoren AI aantoonbaar inzetten bij aanvallen. Meestal ondersteunt AI bestaande aanvalsstappen: aanvallers zoeken en misbruiken sneller kwetsbaarheden en gebruiken modellen om malware te schrijven of te verfijnen. De NCTV beschrijft ook malware die tijdens een aanval met een AI-model communiceert om nieuwe opdrachten te maken of code direct te herschrijven.

Een voorbeeld in het rapport is JadePuffer, een ransomwarecampagne die cloudbeveiligingsbedrijf Sysdig als volledig door een taalmodel aangestuurd beschrijft. Volgens Sysdig corrigeerde de agent een mislukte loginprocedure binnen 31 seconden. De NCTV neemt dit op als een claim van het bedrijf, niet als een meting van hoe vaak zulke aanvallen voorkomen. Hetzelfde rapport zegt dat AI-gebruik bij de meeste aanvallen nog ondersteunend is.

De waarnemingen komen uit een jaarbeeld over augustus 2025 tot en met augustus 2026. De NCTV selecteert daarin publiek bekende incidenten en zegt dat een deel van de aanvallen onzichtbaar blijft. Analisten bespraken hun inventarisatie in drie expertsessies; het NCSC, de AIVD en de MIVD toetsten mee en de tekst is daarna bij interne en externe partners gevalideerd. Het CSBN is daarmee een dreigingsbeeld, geen telling van alle aanvallen in Nederland of van het aandeel waarbij AI is gebruikt.

De bestuurlijke oproep loopt al langer. Op 24 september vroegen zeven Nederlandse diensten bestuurders om patchbeheer, logging en monitoring prioriteit te geven. Dezelfde gezamenlijke waarschuwing van AIVD, MIVD, NCSC, NCTV, OM, CIO Rijk en de politie koppelde AI aan sneller gevonden en misbruikte kwetsbaarheden.

Het patchvenster krimpt tot uren

De NCTV zet de versnelling in een tijdlijn: de gemiddelde periode tussen ontdekking en misbruik bedroeg in 2024 nog enkele maanden, in 2025 enkele weken en in 2026 enkele uren. Als die trend doorzet, waarschuwt het rapport, kan de tijd om een kwetsbaarheid te patchen uiteindelijk minuten bedragen. Dat is een voorwaardelijke verwachting, geen huidige norm voor elk beveiligingslek.

Voor een organisatie betekent dit dat patchbeheer begint met zicht op de eigen systemen: welke software draait waar, wie kan een update uitvoeren en welke diensten moeten na een incident als eerste terug? Zonder die gegevens kan een team niet vaststellen welke systemen kwetsbaar zijn of controleren of een herstelpoging is geslaagd. De NCTV roept daarom op de tijd tussen ontdekking en patchen drastisch te verkorten.

Ook het Britse NCSC wijst op een korter reactievenster. De dienst acht AI-malware in een ransomwareaanval op Britse vitale infrastructuur tegen 2028 zeer waarschijnlijk. Het gaat om een Britse inschatting die Nederlandse bedrijven geen deadline of verplichting oplegt.

Bestuurders moeten herstel laten werken

De NCTV noemt goed patchmanagement, back-ups en 24/7 logging, monitoring en detectie als vereiste basismaatregelen. Ook moet de bedrijfscontinuïteit worden getest. Daarmee verschuift het werk van een beveiligingsafdeling naar het hele bestuur: systemen moeten updates krijgen én na uitval aantoonbaar kunnen worden hersteld.

Voor organisaties die onder de Cyberbeveiligingswet vallen, legt de wet de verantwoordelijkheid voor cyberrisico’s nadrukkelijk bij bestuurders. De NCTV roept ook organisaties buiten die wettelijke groep op de basis op orde te brengen. Kleine bedrijven zijn volgens het CSBN extra kwetsbaar omdat kennis en middelen ontbreken; de overheid en leveranciers krijgen daarom ook een rol in hun ondersteuning.

Mkb-steun komt in stappen

Het kabinet koppelt het CSBN aan een actieprogramma tot eind 2027 met een laagdrempelig informatiepunt voor kleine bedrijven en onderzoek naar AI-kwetsbaarheden en de voorwaarden voor geautomatiseerd patchen. De NCTV kondigt ook een digitale wasstraat aan waar organisaties hun kwetsbaarheden kunnen laten doorlichten. De aankondiging geeft geen openingsdatum of voorwaarden voor deelname.

Een bestaande regeling biedt kleine bedrijven intussen al gedeeltelijke vergoeding. Via Mijn Cyberweerbare Zaak kunnen zelfstandigen en bedrijven met maximaal 50 medewerkers en hoogstens 10 miljoen euro jaaromzet tot en met 30 november subsidie aanvragen. De regeling vergoedt 50 procent van goedgekeurde maatregelen, tot maximaal 1.250 euro per aanvrager. Het budget van 1 miljoen euro wordt verdeeld op volgorde van binnenkomst en kan eerder opraken. De regeling omvat onder meer patchbeheer, multifactorauthenticatie, back-ups en trainingen. De subsidie opende op 7 september met hetzelfde plafond en budget.

De Nederlandse reactie krijgt daarmee twee tijdlijnen: de Cyberbeveiligingswet geldt al voor aangewezen organisaties, terwijl het actieprogramma doorloopt tot eind 2027. De bestaande subsidie sluit uiterlijk 30 november, of eerder wanneer het budget op is. Het CSBN beschrijft een exploitvenster van uren; bedrijfscontinuïteit hangt daardoor steeds meer af van hoe snel organisaties hun systemen kunnen vinden, bijwerken en herstellen.