MKB-voorzitter herkent waarschuwing NCTV over cyberveiligheid kleine bedrijven: 'Er wordt met hagel geschoten'

Kleine bedrijven zijn steeds aantrekkelijkere doelwitten voor cybercriminelen. Ondernemers denken soms dat ze niet interessant genoeg zijn voor hackers, maar die gedachte is gevaarlijk. Door de opkomst van AI kunnen aanvallers op grote schaal toeslaan, ook bij bedrijven zonder eigen beveiligingsafdeling. Bovendien kunnen gehackte mkb-bedrijven een toegangspoort vormen tot grotere netwerken.

De Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) maakt zich grote zorgen over de digitale weerbaarheid van het Nederlandse midden- en kleinbedrijf. Waar grote ondernemingen vaak eigen afdelingen hebben om cyberaanvallen te voorkomen, ontbreekt die expertise bij kleinere bedrijven. Juist daardoor zijn ze kwetsbaar. "Mijn grote zorg overigens zit niet alleen bij de grote jongens. Het zit vooral ook bij het midden- en kleinbedrijf", waarschuwde NCTV-topman Marc Kuipers vrijdagavond in Café Kockelmann.

Ook Marijke Vuik, voorzitter van MKB-Nederland, herkent die zorgen. Grote bedrijven hebben doorgaans mensen in dienst die zich bezighouden met hun digitale veiligheid. "Dat heeft een mkb-bedrijf natuurlijk niet. Maar wat het mkb wel kan, is gewoon leren van elkaar. Ik denk dat dat het belangrijkste is. Dat we gaan focussen op hoe je ervoor kunt zorgen dat het minder makkelijk wordt", vertelt ze in Goedemorgen Nederland op NPO 1.

De dreiging neemt ondertussen toe door de mogelijkheden van kunstmatige intelligentie (AI). "In een tijd waarin AI door iedereen gebruikt wordt, ook door mensen die kwaad willen, wordt het risico wel steeds groter."

Met hagel schieten

Een veelgehoorde gedachte onder ondernemers is dat hun bedrijf niet interessant genoeg is voor hackers. Waarom zouden Russische aanvallers bijvoorbeeld een glazenwasser in Budel als doelwit kiezen? Volgens de MKB-voorzitter is dat een misvatting. "Wat we vaak zien, is dat er echt met hagel geschoten wordt. Dus dan is het gewoon degene die het minst goed beveiligd is."

Daarbij hoeven aanvallers zich niet rechtstreeks op een bedrijf te richten. Ook externe systemen waarmee ondernemers werken, kunnen een kwetsbaarheid vormen. "Als je als bedrijf met heel veel externe systemen werkt en zo'n extern systeem wordt gehackt, dan kan dat echt hele grote gevolgen hebben", waarschuwt Vuik. Haar advies is dan ook duidelijk: "Ik denk dat het belangrijkste is dat je gewoon je eigen risico's in kaart hebt en zeker niet denkt dat je niet interessant genoeg bent."

Het bewustzijn onder ondernemers groeit volgens haar wel. Vooral de grote cyberaanvallen die het nieuws halen, maken duidelijk wat de gevolgen kunnen zijn. Bij kleinere bedrijven blijft een hack vaak buiten beeld. "Maar ik denk wel dat het helpt aan de bewustwording. Dat we zien dat het ook daar dus niet altijd goed gaat. En dat we daarvan kunnen leren."

'Er is elke dag digitale oorlog'

Ook Eppo van Nispen, directeur van Beeld & Geluid en lid van de Cyber Security Raad, benadrukt dat juist kleinere bedrijven hun digitale beveiliging serieus moeten nemen. Hij wijst erop dat iedere ondernemer daarin verantwoordelijkheid heeft. "Hoe organiseer je het? Ga je je updates draaien? Ben je ermee bezig? Iedereen moet dat doen."

Volgens Van Nispen hoeft een cyberaanval bovendien niet afkomstig te zijn van een grote buitenlandse mogendheid. "Er is elke dag digitale oorlog. Elke dag is iemand bezig. En dat hoeft niet zozeer Rusland of China te zijn. Nee, dat kan ook gewoon een klein mensje zijn dat AI inzet."

Die ontwikkeling maakt de dreiging volgens hem extra groot. Met behulp van AI kunnen aanvallers op grote schaal toeslaan. "Want dat maakt het interessant. In een hele grote golf. En daar moeten we ons bewust van zijn." Ook voor de glazenwasser in Budel, benadrukt hij: "We moeten ons sterk maken op die cybersecurity. Dat is echt heel, heel, heel, en ik herhaal, heel belangrijk."

Toegangspoort tot grotere netwerken

De risico's beperken zich niet tot de ondernemers zelf. Volgens oorlogscorrespondent Rudi Vranckx kunnen minder goed beveiligde mkb-bedrijven ook een toegangspoort vormen tot grotere netwerken. Daarmee worden ze interessant voor landen die de Nederlandse samenleving willen ontregelen. "Ze kunnen ook gewoon chaos creëren. Wat is hybride oorlogsvoering? Dat is chaos creëren in een samenleving die je wilt destabiliseren", legt Vranckx uit.

Daarvoor hoeft een aanvaller niet rechtstreeks een overheidsinstelling of het ministerie van Defensie aan te vallen. Ook de supermarkt of een verzameling kleinere bedrijven kan daarvoor worden gebruikt. "Je kunt zoveel onzekerheid creëren in een maatschappij dat die maatschappij langzaamaan verkruimelt. En dat is het doel van cyberwar natuurlijk."

Daarnaast wijst de oorlogscorrespondent op de afhankelijkheid van Nederland van Amerikaanse technologie en beveiligingssystemen. Die afhankelijkheid kan volgens hem een groot risico vormen. "Als ergens in Amerika plotseling, ik denk maar aan Trump, iemand beslist: 'We gaan de knop omzetten', dan zijn we onze data kwijt."

Bewustwording moet omhoog

Volgens Vuik wordt er al langer gewerkt aan oplossingen. De waarschuwing van de NCTV-topman komt dan ook niet uit de lucht vallen. "Gelukkig hebben we het hier al langer over. Dat is ook de reden waarom we samen Digitaal Veilig gestart zijn."

Via brancheverenigingen wordt geprobeerd ondernemers te bereiken en hen bewuster te maken van de digitale risico's. Dat is volgens de MKB-voorzitter de belangrijkste eerste stap. Daarnaast moeten bedrijven weten wat ze moeten doen als ze daadwerkelijk slachtoffer worden van een cyberaanval. "Juist die bewustwording, dat is echt het allerbelangrijkste. En aan de andere kant gewoon echt een heel simpel stappenplan: wat moet je doen als het je overkomt? Maar ook: wat zijn nou tips om je bedrijf beter te beveiligen?"