De 5 grootste cyberrisico’s voor het mkb volgens IPA: herken jij ze?

Maar hoe goed heb je deze risico’s eigenlijk in beeld? We vroegen onze partner IPA Bedrijfsmanagement naar de vijf grootste cyberrisico’s die zij bij mkb-organisaties zien. We nemen ze met je door en laten zien wat je kunt doen om ze te beperken.

1. Menselijke fouten en onvoldoende securitybewustzijn

Een medewerker ontvangt een e-mail die afkomstig lijkt van een bekende leverancier. Er staat een link in om een openstaande factuur te bekijken. Alles lijkt te kloppen, totdat blijkt dat het om phishing gaat. Cybercriminelen worden steeds slimmer in het misleiden van medewerkers. Zelfs iemand die goed oplet, kan een fout maken. Daarom is het belangrijk dat medewerkers verdachte situaties herkennen en weten wat ze moeten doen als ze twijfelen.

Dat vraagt om meer dan een jaarlijkse training. Met bijvoorbeeld security awareness-trainingen en phishing-simulaties kun je medewerkers regelmatig laten oefenen met situaties die ze in hun dagelijkse werk tegenkomen. Maar ook de directie heeft hierin een belangrijke rol. Welke risico’s loopt de organisatie en zijn de juiste maatregelen getroffen? Voor organisaties die onder de Cyberbeveiligingswet vallen, zijn deze bestuurlijke verantwoordelijkheden zelfs wettelijk vastgelegd.

Wat kun je doen? Maak cybersecurity bespreekbaar, train medewerkers regelmatig en zorg dat iedereen weet waar verdachte situaties gemeld kunnen worden. Betrek daarbij ook het management.

2. Onvoldoende inzicht in kwetsbaarheden en systemen

Een applicatie die al jaren wordt gebruikt, maar niet meer wordt bijgewerkt. Een server die buiten het reguliere beheer valt. Of een beveiligingsupdate die nog niet is uitgevoerd. Zolang alles werkt, vallen dit soort situaties misschien niet op. Toch kunnen verouderde systemen en ontbrekende updates een ingang vormen voor cybercriminelen.

Het begint daarom bij overzicht. Welke apparaten, applicaties en systemen gebruikt jouw organisatie? Zijn ze nog veilig en worden bekende kwetsbaarheden tijdig aangepakt? Met actief IT-beheer, monitoring en vulnerabilitymanagement kun je kwetsbaarheden eerder signaleren en gericht aanpakken. Ook een security audit kan helpen om beveiligingsrisico’s inzichtelijk te maken. Daarbij is niet iedere kwetsbaarheid even urgent. Vooral de mogelijke gevolgen voor jouw bedrijfsvoering bepalen welke maatregelen prioriteit krijgen.

Wat kun je doen? Zorg voor een actueel overzicht van je IT-omgeving. Controleer welke systemen updates nodig hebben en of er applicaties worden gebruikt die niet meer worden ondersteund.

3. Onvoldoende grip op leveranciers en ketenrisico’s

Van Microsoft 365 tot boekhoudsoftware en branchespecifieke applicaties: steeds meer bedrijfsprocessen zijn afhankelijk van externe leveranciers. Dat werkt prettig, totdat een belangrijke dienst niet beschikbaar is. Wat gebeurt er bijvoorbeeld wanneer je medewerkers niet meer bij klantgegevens kunnen? Of wanneer een softwareleverancier wordt getroffen door een cyberaanval?

Ook als je eigen IT-omgeving goed beveiligd is, kunnen problemen bij leveranciers gevolgen hebben voor jouw organisatie. Bovendien werken leveranciers vaak zelf weer samen met andere partijen. Daarom is het belangrijk om verder te kijken dan je eigen beveiliging. Welke leveranciers zijn essentieel voor je bedrijfsvoering? Welke beveiligingsafspraken zijn gemaakt en wie is waarvoor verantwoordelijk?

Wat kun je doen? Breng je belangrijkste IT-leveranciers in kaart. Controleer afspraken over beveiliging, beschikbaarheid en herstel. Kijk ook of je bij uitval van een belangrijke clouddienst tijdelijk op een andere manier kunt doorwerken.

4. Onvoldoende voorbereid op cyberincidenten en uitval

Het is maandagochtend en medewerkers kunnen niet meer inloggen. Belangrijke bestanden zijn onbereikbaar en het werk komt stil te liggen. Wie schakel je in? Welke systemen moeten als eerste worden hersteld? En hoe lang kan jouw organisatie eigenlijk zonder deze systemen?

Een goede beveiliging verkleint de kans op incidenten, maar kan ze nooit volledig voorkomen. Daarom is het minstens zo belangrijk om voorbereid te zijn op situaties waarin het misgaat. Denk aan een incidentresponsplan waarin staat wie welke verantwoordelijkheid heeft. Maar ook aan betrouwbare back-ups en herstelprocedures die daadwerkelijk zijn getest. Want dat er iedere dag een back-up wordt gemaakt, betekent nog niet automatisch dat je snel weer verder kunt werken. Met monitoring, back-up en disaster recovery en passende beveiligingsoplossingen kun je de gevolgen van een incident beperken en het herstel ondersteunen.

Wat kun je doen? Bepaal welke systemen essentieel zijn voor jouw bedrijfsvoering. Leg vast wie wat doet bij een incident en test regelmatig of je belangrijke gegevens en systemen kunt herstellen.

5. Onvoldoende grip op toegangsbeveiliging

Een medewerker verandert van functie, maar behoudt toegang tot systemen die hij niet meer gebruikt. Of een oud-medewerker heeft nog een actief account binnen Microsoft 365. Het zijn situaties die ongemerkt kunnen ontstaan. Maar wanneer een account wordt misbruikt, kan onnodige toegang tot systemen en bedrijfsinformatie grote gevolgen hebben. Daarom is het belangrijk dat medewerkers alleen toegang hebben tot wat ze daadwerkelijk nodig hebben voor hun werkzaamheden.

Binnen Microsoft 365 kun je dit bijvoorbeeld regelen met zorgvuldig ingerichte toegangsrechten, multifactorauthenticatie (MFA) en Conditional Access. Daarmee kun je onder andere aanvullende voorwaarden stellen aan inlogpogingen. Minstens zo belangrijk is dat toegangsrechten worden aangepast wanneer medewerkers van functie veranderen of uit dienst gaan.

Wat kun je doen? Controleer regelmatig wie toegang heeft tot welke systemen. Trek onnodige rechten in en zorg dat de manier van inloggen past bij het risico van het betreffende account.

Hoe goed heb jij deze risico’s in beeld?

De vijf risico’s laten zien dat goede cybersecurity verder gaat dan alleen technische beveiliging. Ook medewerkers, leveranciers, duidelijke afspraken en verantwoordelijkheden spelen een belangrijke rol. Dat betekent niet dat je alles tegelijk moet aanpakken. Begin met inzicht in de risico’s binnen jouw organisatie. Wat is al goed geregeld en waar liggen de belangrijkste verbeterpunten?

Als IT-partner helpt Connectworks je om de technische kant van cybersecurity en IT-beveiliging inzichtelijk te maken en passende maatregelen te treffen. Voor de organisatorische kant werken we samen met IPA Bedrijfsmanagement. Zo vullen technische beveiliging en organisatorische afspraken elkaar aan.

Webinar: van NIS2 naar uitvoering

De Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, is sinds 15 augustus 2026 van kracht. Niet iedere mkb-organisatie valt rechtstreeks onder deze wet, maar de genoemde risico’s zijn voor veel organisaties herkenbaar. Wil je weten of deze wet op jouw organisatie van toepassing is? Lees dan ook ons artikel Ben jij NIS2-plichtig? Dit betekent de Cyberbeveiligingswet voor je IT.

Wil je weten wat de Cyberbeveiligingswet voor jouw organisatie betekent en hoe je de juiste maatregelen neemt?

Op donderdag 10 december, van 11.00 tot 11.45 uur, organiseren Connectworks en IPA het gratis webinar Van NIS2 naar uitvoering. Tijdens dit webinar bespreken we de belangrijkste verplichtingen en vertalen we deze naar praktische organisatorische en technische maatregelen.

Bekijk het webinar en meld je gratis aan