Nederlands mkb investeert het minst in cyberweerbaarheid

Nederlandse mkb-bedrijven investeren gemiddeld 23.210 euro per jaar in cyberweerbaarheid, terwijl 14 procent niets investeert, meldt Emerce op basis van het tiende Hiscox Cyber Readiness Report.

Voor een Nederlands bedrijf dat AI inzet in software, administratie of klantwerk, verandert daarmee de rekensom van digitale groei. De systemen die werk versnellen, brengen ook nieuwe toegangspunten mee: AI-tools, trainingsdata en leveranciersketens vallen nu binnen hetzelfde cyberrisico. De inzet zit dus niet alleen in het bedrag op de beveiligingsbegroting, maar ook in hoeveel digitale toegang zichtbaar en beheersbaar is.

Risicobesef groeit sneller dan budget

De afstand tot andere markten is groot. Het Hiscox-rapport zet de Nederlandse cyberweerbaarheidsinvestering op 26.400 dollar per jaar, tegenover 51.000 dollar gemiddeld in de tien onderzochte markten. Wakefield Research voerde de meting uit van 5 tot en met 17 juni 2026, onder 6.800 cyberbeslissers bij organisaties met minder dan 250 werknemers in de Verenigde Staten, het Verenigd Koninkrijk en acht landen op het Europese vasteland.

De zorgen gaan vooral over concrete manieren waarop AI in bedrijfsprocessen terechtkomt. In de internationale steekproef noemt 48 procent vervuiling van AI-data een topzorg voor de komende vijf jaar, gevolgd door minder menselijk toezicht door overmatig vertrouwen in AI (43 procent), kwetsbaarheden in AI-tools van derden (43 procent) en AI-malware of phishing (41 procent). Zeventien procent ziet AI-tools en software al als toegangspunt voor succesvolle cyberaanvallen.

Het Nederlandse risicobesef loopt wel op. Uit de lokale uitwerking blijkt dat 39 procent AI-risico’s in de top drie van zorgen zet en 25 procent minstens één succesvolle cyberaanval rapporteert. Het gaat volgens de rapportage om onder meer deepfakes, geautomatiseerde phishing en zelflerende malware. Dat past bij het eerdere patroon waarin minder gemelde aanvallen samengaan met bijna verdrievoudigde accountovernames.

De gevolgen stoppen niet bij IT. In de internationale steekproef meldt 29 procent minstens één succesvolle aanval in de afgelopen twaalf maanden; getroffen organisaties rapporteren gemiddeld 32,8 uur stilstand en ongeveer 52.602 dollar aan jaarlijkse incidentkosten. Van die getroffen organisaties zegt 32 procent dat groei of nieuwe initiatieven vertragen en 29 procent zakelijke kansen of partnerschappen verliezen.

Geld gaat vooral naar kennis

De voorgenomen investeringen voor de komende drie jaar liggen vooral binnen de organisatie zelf. Nederlandse bedrijven noemen softwareontwikkeling voor AI als prioriteit (36 procent), gevolgd door trainingen en awareness-sessies (34 procent), het aannemen van AI-vaardig personeel (33 procent) en het bijscholen van bestaand personeel (32 procent). Het controleren van dekking en polisvoorwaarden noemt 30 procent.

Daar zit een tweede blinde vlek. Van de Nederlandse bedrijven met een cyberverzekering denkt 78 procent dat de polis AI-gerelateerde risico’s dekt. Dat is een inschatting van ondernemers, geen controle van de polisvoorwaarden. Tegelijk heeft slechts 58 procent van het Nederlandse mkb überhaupt een cyberverzekering.

De nieuwe cijfers leggen daarmee een timingprobleem bloot: de opbrengst van AI wordt direct zichtbaar in uren en capaciteit, terwijl het risico zich pas meldt bij een incident of via een leverancier. AI-adoptie en cyberweerbaarheid raken zo verstrengeld in dezelfde bedrijfsbeslissing. Voor het Nederlandse mkb verschuift cyberveiligheid van een aparte IT-post naar een voorwaarde voor elk proces dat AI toegang geeft tot data of systemen.