2026: Onze 6 cybersecurity-voorspellingen

Issue #12 : 12 January 2026

Tijdens de kerstvakantie las ik een Forbes-artikel over voorspellingen voor 2026. Ik haalde er zes thema’s uit die volgens mij echt belangrijk zijn voor KMO’s, en geef hieronder mijn eigen kijk daarop.

Ransomware bereikt zijn meest agressieve fase

Wist je dat ransomware vandaag een businessmodel is, net als een restaurantketen of een verzekeringskantoor—maar dan minder legaal? Er zijn organisaties die vacatures uitschrijven, mensen aanwerven en heel veel geld verdienen door bedrijven te chanteren: betalen in ruil voor het teruggeven van gestolen data (of varianten daarop).

Die groepen zijn goed gestructureerd en gebruiken AI/GenAI. Met Large Language Models bouwen ze toolkits die hun operatie optimaliseren. Schrikwekkend? Ja. Daarom moet jouw IT mee kunnen met die snelheid: extreem snel patchen, wijzigingen doorvoeren en zoveel mogelijk aanvalspaden blokkeren. We moeten automatiseren, automatiseren, en tempo maken, zonder te panikeren, want dan gaat het mis.

Mijn overtuiging: zorg dat jouw omgeving beter beveiligd is dan die van je (virtuele) buren. Ransomwaregroepen scannen het internet op “easy targets” omgevingen waar ze vlot binnen raken. Zorg dus dat jij géén easy target bent.

Encryptie in een nieuw tijdperk van risico en heruitvinding

Er is steeds meer te lezen dat quantum computing dichterbij komt. In het Microsoft Digital Defense Report 2025 staat letterlijk:

“Prepare for a post-quantum cryptography (PQC) world by taking the time to inventory where encryption is used and create a plan to upgrade to modern standards as they evolve.”

In mijn hoofd was quantum computing lang iets van de verre toekomst-vliegende auto’s en teleportatie. Dat dacht ik ook ooit van GenAI, tot het plots overal was. Dus: als grote vendoren in een race zitten richting quantum, is het niet onredelijk om ons mentaal en technisch voor te bereiden.

Encryptie verbeteren is geen luxe. En ja: “Harvest Now, Decrypt Later” voelt akelig dichtbij. Er zijn tal van rapporten waarin state actors en andere groepen versleutelde data verzamelen en meenemen bij targets. Vandaag kunnen ze er weinig mee; morgen misschien alles ontcijferen zodra quantum het toelaat. Daarom: inventariseer waar encryptie draait, moderniseer sleutelbeheer en bouw crypto-agility in.

Identity Security wordt het centrale slagveld

Er zijn nog steeds bedrijven waar MFA niet verplicht is. Kan je je dat inbeelden? Of waar zwakke MFA gebruikt wordt (zoals SMS). Ik begrijp dat werknemers soms geen authenticator-app op hun privételefoon willen. En dat bedrijven het duur vinden om voor iedereen te investeren in toestellen of (goedkopere maar nog steeds kostelijke) FIDO2-tokens.

Maar eerlijk: dan speel je als bedrijf met vuur. MFA mag vandaag niet meer ter discussie staan. Als niet iedereen MFA gebruikt—liefst samen met goede Conditional Access-policies—dan wordt 2026 een moeilijk jaar. En zelfs mét MFA zien we sessietokens die gestolen worden. Ook daar moeten we vooruitgang boeken.

Mijn conclusie: phishing-resistente MFA is de enige juiste oplossing. Combineer dat met risk-based access, blokkeren van legacy-auth, en tijdelijke (JIT) adminrechten via PIM. Identiteit is de perimeter.

Security tool-sprawl stort in en maakt plaats voor AI-platformen

De grote spelers (Microsoft, CrowdStrike, …) hebben duidelijk een strategie: met hun eigen tools zoveel mogelijk domeinen in IT-security afdekken. Door acquisities en ontwikkeling dekken ze bijna het volledige spectrum. Voordeel: tools interfacen eenvoudig, genereren veel logs, en via AI ontdek je detecties die anders onzichtbaar blijven.

Vergelijk het met criminelen die zich door Europa verplaatsen—politie-districten werken niet altijd vlot over grenzen heen samen. Net zo nadelig is het om veel gespecialiseerde tools te hebben die niet samenwerken. Daarom lijkt het mij cruciaal om goede inzichten te verwerven via een unified security-platform in plaats van tool-sprawl.

Supply chain cyber risk versnelt in elke sector

Supply chain biedt criminelen twee grote voordelen. Enerzijds is het vaak de gemakkelijkere weg—the path of least resistance. Grote bedrijven hebben hun security redelijk op orde; klanten en leveranciers niet altijd. Anderzijds kan één supplier een ingang zijn naar tientallen of zelfs honderden bedrijven tegelijk (denk aan SaaS-leveranciers met cruciale diensten).

Vraag jezelf af: heb jij een overzicht van al je suppliers? Tegenwoordig zijn er fantastische SaaS-producten voor boekhouding, rekrutering, enzovoort. Het is belangrijk dat je die goed geindexeerd hebt, ze regelmatig uitdaagt op de laatste security-standaarden, en breach-meldingen niet mist. Wat is je plan van aanpak als een leverancier een incident meldt? Dat moet duidelijk en getest zijn.

Cyber resilience wordt een board-level metric

NIS2 maakt cybersecurity geen IT-feestje meer, maar een bestuurlijke verplichting. De wet legt directe en persoonlijke verantwoordelijkheid op de schouders van CEO’s en boards. Het bestuur moet maatregelen goedkeuren en overzien en kan persoonlijk aansprakelijk worden bij non-compliance. De CEO kan zelfs hoofdelijke aansprakelijkheid dragen bij gebrekkige security-maatregelen.

Omdat NIS2 verantwoordelijkheid op bestuursniveau legt, hoort cybersecurity niet onder de CIO—iemand die de CISO geacht wordt te controleren. De CIO is verantwoordelijk voor infrastructuur, systemen, implementatie; hij kan de security-functie niet objectief controleren. De CISO heeft een controlerende rol: risico’s identificeren, policies bepalen, incidentmelding borgen, effectiviteit van IT-maatregelen controleren.

Als de CISO rapporteert aan de CIO, controleert hij iemand die hiërarchisch boven hem staat—een klassiek conflict of interest. Veel governance-adviezen stellen dat security een tweede-lijnsfunctie moet zijn (zoals compliance en risk management), die rapporteert aan de hoogste leiding, niet aan het operationeel management.

Tot slot

2026 wordt geen jaar van totaal nieuwe dreigingen, maar van versnelde evolutie van wat we al kennen: ransomware-industrialisatie, identiteitsaanvallen, quantumdreiging, ketenrisico’s en een steeds strenger governance-kader. Wat wél verandert, is de schaal, de snelheid en de verwachting dat organisaties hun beveiliging niet alleen “op orde” hebben, maar ook aantoonbaar kunnen maken dat ze veerkrachtig zijn.

Cybersecurity verschuift steeds meer van een puur technische discipline naar een organisatiebrede verantwoordelijkheid, waarin bestuur, IT en leveranciers elk hun rol moeten opnemen. Als we vooruit willen, moeten we samen slimmer, sneller en bewuster handelen—met automatisatie, modernisering en duidelijke verantwoordelijkheden als fundament.