Vorige week verbood staatssecretaris Aerdts de overname van Solvinity — het bedrijf dat de digitale infrastructuur achter DigiD beheert — door het Amerikaanse Kyndryl. Te groot risico voor de nationale veiligheid, luidde het oordeel. Gevoelige persoonsgegevens van miljoenen Nederlanders mochten niet in Amerikaanse handen vallen.
Het nieuws haalde de voorpagina’s. Politici debatteerden. En de meeste MKB-ondernemers dachten: interessant, maar wat heeft dat met mij te maken?
Alles.
Want wat de overheid hier in het groot deed — bewust nadenken over wie toegang heeft tot kritische data, en welk risico dat oplevert — is precies wat elke ondernemer in het klein zou moeten doen. En bijna niemand doet het.
Het meest hardnekkige misverstand over digitale veiligheid is dat het een groot-bedrijven-probleem is. Dat hackers zich richten op multinationals, overheden en banken. Dat een installatiebedrijf in Zwolle of een accountantskantoor in Breda niet interessant genoeg is om aan te vallen.
De cijfers vertellen een ander verhaal.
Hackers richten zich juist op het MKB — niet ondanks de kleinere omvang, maar dankzij. Grote bedrijven hebben security-teams, protocollen en budgetten. Een MKB-bedrijf heeft een wachtwoord dat al drie jaar niet is veranderd en medewerkers die nog nooit een phishing-training hebben gehad. Dat is de makkelijkste route naar binnen.
Cybercriminelen bieden ransomware tegenwoordig aan als abonnementsdienst — Ransomware-as-a-Service. Je hoeft geen technische kennis te hebben om een aanval uit te voeren. Je huurt het gewoon in. Dat verlaagt de drempel dramatisch en vergroot het volume van aanvallen op kleine bedrijven.
Digitale weerbaarheid klinkt abstract. Maar de gevolgen zijn dat niet. Dit zijn situaties die dagelijks voorkomen bij Nederlandse MKB-bedrijven — misschien niet bij jou, maar wel bij je buurman, je leverancier of je klant.
Hoge impact
Hoge impact
Onderschat risico
Onderschat risico
Terug naar DigiD en Solvinity — want daar zit een les die verder gaat dan nationale veiligheid.
De reden dat de overheid die overname blokkeerde is de Amerikaanse Cloud Act. Die wet verplicht Amerikaanse bedrijven om data af te staan aan Amerikaanse autoriteiten als die erom vragen — ook als die data in Europa staat, ook als het een Europese klant betreft.
Dat klinkt ver van je bed. Maar jij gebruikt waarschijnlijk Microsoft, Google, Salesforce, Zoom, Slack of Dropbox. Allemaal Amerikaanse bedrijven. Allemaal onderworpen aan de Cloud Act.
Als jouw klantdata, offertes of bedrijfsinformatie in een Amerikaans cloudplatform staat, is het in theorie toegankelijk voor Amerikaanse autoriteiten. Of dat risico voor jouw bedrijf relevant is, hangt af van wat voor data je beheert en voor wie. Maar weten wat je gebruikt en welke data waar staat — dat is het minste wat je kunt doen.
Misschien heb je gehoord van NIS2 — de Europese richtlijn voor digitale veiligheid. Veel ondernemers denken dat dit alleen voor grote bedrijven geldt. Dat klopt deels — de directe verplichting geldt voor grotere organisaties in kritieke sectoren.
Maar hier zit de valkuil:
Dit artikel is niet bedoeld om je bang te maken. Het is bedoeld om je te laten nadenken. Want het goede nieuws is: de meeste risico’s zijn te beheersen met relatief eenvoudige maatregelen — als je weet waar je staat.
De eerste vraag is niet “hoe beveilig ik me?” maar “hoe kwetsbaar ben ik eigenlijk?” Dat zijn twee heel verschillende vragen. De eerste leidt tot het aanschaffen van producten. De tweede leidt tot inzicht op basis waarvan je gerichte keuzes kunt maken.
Bijna 1 op de 4 MKB-bedrijven ziet cybercrime als een groot risico. Maar het percentage dat daadwerkelijk actie onderneemt is nog een stuk kleiner. Weten waar je staat op het gebied van cloudafhankelijkheid, dataveiligheid, leveranciersrisico en NIS2-gereedheid — dat is de eerste stap.
De urgentie bepaal jij zelf. Maar je kunt hem niet bepalen als je het overzicht niet hebt.
De Digitale Grip pre-scan brengt in tien minuten in kaart hoe jouw bedrijf scoort op cloudafhankelijkheid, NIS2-risico, leveranciersrisico en digitale continuïteit. Geen registratie, geen verplichtingen — wel een eerlijk startpunt.
Op basis van jouw scanresultaten kun je vervolgens een uitgebreid Digitaal Weerbaarheidsrapport ontvangen met concrete actiepunten, benchmarkdata en aanbevelingen — zodat je goed voorbereid het gesprek met een expert ingaat.
Waarom het moment van beginnen alles bepaalt — voor EcoVadis, B-Corp en de MVO Prestatieladder.
In tien minuten een eerlijk beeld van jouw digitale kwetsbaarheid — geen registratie, geen verplichtingen.