Cyberweerbaarheid: het overbruggen van de perceptiekloof tussen CEO en CISO

Een bedrijf kan elke compliance-audit doorstaan, elke aanbevolen controle implementeren en toch zes maanden nodig hebben om te herstellen na een ernstig cyberincident. Dat is de ongemakkelijke conclusie uit het recent gepubliceerde onderzoek van Accenture naar cyberweerbaarheid, een wereldwijde pulse-enquête onder 1.000 C-level executives – 505 CEO’s en 495 CISO’s – uitgevoerd in 13 landen begin 2026. De kern is niet dat bedrijven onvoorbereid zijn. Het probleem is dat leiders denken dat ze het eens zijn over wat ‘voorbereid’ betekent, terwijl de data laat zien dat dit niet zo is.

Accenture noemt dit een valse consensus. CEO’s en CISO’s zitten samen in dezelfde stuurgroepvergaderingen, lezen dezelfde board decks en knikken instemmend bij dezelfde taal over weerbaarheid – maar ze werken vanuit onverenigbare aannames over wat het bedrijf beschermt als systemen uitvallen. Die mismatch is vandaag belangrijker dan twee jaar geleden. De dynamiek van verstoring is veranderd: geavanceerde AI-modellen slagen er nu in om bij de eerste poging kwetsbaarheden te vinden en te misbruiken in 83% van de gevallen, een percentage dat eerder vrijwel nul was, en aanvallers verspreiden zich gemiddeld binnen slechts 29 minuten verder dan het initiële toegangspunt.

Voor een Kiteworks secure data exchange platform, specifiek gebouwd om te reguleren hoe gevoelige content zich beweegt binnen en buiten organisaties, bevestigt dit onderzoek iets wat wij al jaren bepleiten: beveiliging die alleen gericht is op het voorkomen van aanvallen is iets anders dan een organisatie bouwen die kan blijven functioneren – en kan aantonen wat er met haar data gebeurt – tijdens een aanval. De rest van dit artikel laat zien hoe de waarnemingskloof eruitziet, waarom het oude ‘alleen beschermen’-model niet meer volstaat, en wat er nodig is om het gat te dichten tussen wat leiders geloven over weerbaarheid en wat daadwerkelijk bepaalt of een bedrijf verstoring ongeschonden overleeft.

Belangrijkste Bevindingen

1. Verstoring is nu de norm, niet de uitzondering. Uit het onderzoek van Accenture in 2026 blijkt dat 87% van de organisaties cyberverstoring als een terugkerende operationele realiteit ziet, en 72% gelooft niet langer dat alleen preventie dit kan stoppen.
2. CEO’s en CISO’s beantwoorden dezelfde enquête met verschillende aannames. CEO’s zijn 136% vaker dan CISO’s van mening dat naleving van regelgeving weerbaarheid garandeert, en die overtuigingskloof – niet een kenniskloof – vertraagt het herstel.
3. Herstelverwachtingen zitten er maanden naast, niet dagen. Bestuurders gaan ervan uit dat kritieke uitval maximaal 10 dagen duurt; Accenture’s data laat zien dat het daadwerkelijke herstel van ernstige incidenten gemiddeld drie tot zes maanden duurt.
4. Afhankelijkheid van derden is nu een weerbaarheidsprobleem, niet alleen een beveiligingsprobleem. 61% van de organisaties zegt dat hun vermogen om te blijven opereren afhankelijk is van externe partners, maar slechts 38% kan in kaart brengen welke van die afhankelijkheden het belangrijkst zijn.
5. Weerbaarheid is net zo goed een gegevensbeheerprobleem als een IT-probleem. De organisaties die het snelst herstellen, zijn diegenen die al weten waar gevoelige data zich bevindt, wie erbij kan, en hoe ze vertrouwde operaties eromheen kunnen heropbouwen voordat verstoring toeslaat.

Verstoring is Nu een Permanente Operationele Voorwaarde

De Accenture-enquête opent met een statistiek die elke directie anders zou moeten laten praten over cyberrisico: 87% van de organisaties ziet cyberverstoring nu als een terugkerende operationele realiteit in plaats van een zeldzaam, geïsoleerd incident. Bijna driekwart, 72%, gaat nog verder en stelt dat het voorkomen van alle verstoring simpelweg niet meer realistisch is gezien de complexiteit van hun technologische ecosystemen.

Die verschuiving is niet ontstaan doordat verdedigers slechter zijn geworden. Het komt doordat de economie van aanvallen is veranderd. Accenture verwijst naar CrowdStrike’s 2026 Global Threat Report, waarin een stijging van 89% in AI-gedreven cyberaanvallen wordt gemeld, en een aparte benchmark van CyberGym die laat zien dat geavanceerde AI-modellen nu bij de eerste poging in 83% van de gevallen kwetsbaarheden ontdekken en uitbuiten. De kosten om een zwakke plek te vinden zijn vrijwel tot nul gedaald, en het tijdsbestek tussen ontdekking, bewapening en uitbuiting is verkort van weken naar uren. Tel daarbij op dat aanvallers nu gemiddeld binnen 29 minuten verder komen dan het initiële toegangspunt, en de oude aanname – dat een securityteam tijd heeft om te detecteren, in te dammen en te reageren voordat echte schade ontstaat – geldt in de meeste omgevingen niet meer.

Dit is precies waarom organisaties zero trust-architectuur als fundamenteel ontwerpprincipe hanteren in plaats van als afvinklijstje. Als een uitbraak binnen minuten plaatsvindt, moet ‘detecteren en reageren’ worden gecombineerd met ‘uitgaan van een datalek en containment door ontwerp’ – gevoelige content segmenteren, least-privilege toegangscontroles afdwingen en zorgen dat één gecompromitteerde inlog of endpoint niet kan leiden tot een bedrijf-breed datalek. Een SIEM-platform dat realtime telemetrie verzamelt van alle contenttoegangskanalen is de detectielaag die een 29-minuten-uitbraakvenster omzet van een onoverkomelijk snelheidsnadeel in een gemarkeerd, alarmeerbaar event.

Groeiende Ecosysteemcomplexiteit Maakt Herstel Moeilijker te Isoleren

Het onderzoek van Accenture wijst ook op een tweede structurele verschuiving: het groeiende web van cloudservices, AI-tools, platforms en externe partners waar de meeste bedrijven nu van afhankelijk zijn. Negenenzestig procent van de organisaties zegt dat hun operaties steeds afhankelijker worden van complexe interne en externe digitale ecosystemen, en 61% stelt dat hun vermogen om kritieke bedrijfsprocessen te continueren direct wordt beïnvloed door afhankelijkheden buiten de eigen organisatie.

Die onderlinge afhankelijkheid werkt twee kanten op. Het is efficiënt als alles werkt, maar maakt verstoring lastig te beheersen als er iets misgaat. Eenentachtig procent van de leiders in de enquête zegt dat omgaan met cyberverstoring nu betekent opereren onder gedegradeerde systeemcondities – geen duidelijke ‘aan’ of ‘uit’, maar een rommelig midden waarbij sommige systemen werken, andere niet, en bedrijfsleiders realtime moeten beslissen wat prioriteit krijgt.

Dit is waar risicobeheer door derden en risicobeheer voor verkopers ophouden met inkoop-checklists te zijn en uitgroeien tot kern van weerbaarheidsinfrastructuur. Als een leverancier, advocatenkantoor, aannemer of SaaS-leverancier toegang heeft tot jouw gevoelige data, wordt hun operationele falen ook jouw probleem. Organisaties die een gereguleerd, controleerbaar overzicht bijhouden van welke externe partijen toegang hebben tot welke data – en die toegang direct kunnen intrekken – zijn degenen die een incident bij derden daadwerkelijk kunnen indammen in plaats van het ongecontroleerd door de waardeketen te laten verspreiden. Supply chain risk management-methodes die voor elke leverancier de toegang tot data afzetten tegen operationele kritiek, geven weerbaarheidsteams de geprioriteerde inventaris die nodig is om de belangrijkste afhankelijkheden te isoleren voordat verstoring die vraag afdwingt.

De Waarnemingskloof: Waarom Leiders Die Denken Weerbaarheid te Begrijpen Toch Fouten Maken

Hier wordt het onderzoek van Accenture ongemakkelijk. Vierenvijftig procent van de bestuurders gelooft dat sterke beschermingsmaatregelen voldoende zijn om bedrijfscontinuïteit na een aanval te waarborgen. Die overtuiging is niet gelijk verdeeld: CEO’s zijn 136% vaker dan CISO’s van mening dat alleen naleving van regelgeving cyberweerbaarheid garandeert. Met andere woorden: de mensen die uiteindelijk beslissen over investeringen in weerbaarheid zijn gemiddeld veel zekerder van hun zaak dan de securityleiders die aan hen rapporteren – en aanzienlijk minder accuraat.

De kloof wordt nog duidelijker bij verwachtingen over hersteltijd. Accenture ontdekte dat 81% van de bestuurders denkt dat kritieke IT-uitval maximaal 10 dagen duurt bij een ernstig incident. De werkelijke gemiddelde hersteltijd die Accenture documenteerde: drie tot zes maanden. Dat is geen afrondingsfout, maar een misrekening van een orde van grootte die alles beïnvloedt: van cyberverzekeringen tot budgetten voor bedrijfscontinuïteit en wat het bestuur mag verwachten als verstoring toeslaat. Vierenzestig procent van de respondenten zegt technologie te ontwerpen, beheren en meten met de aanname dat systemen doorgaans stabiel en volledig beschikbaar zijn – terwijl acht op de tien van diezelfde respondenten gedegradeerde operaties verwachten bij verstoring. Leiders plannen dus feitelijk voor een wereld waarvan ze al weten dat die niet bestaat.

Accenture ziet dit als een structurele misalignment in plaats van een simpele kenniskloof: leiders denken het eens te zijn over prioriteiten rond weerbaarheid, maar handelen op basis van onverenigbare aannames, tot aan de vraag wie het probleem eigenlijk bezit. Uit de enquête blijkt dat de verantwoordelijkheid voor cyberweerbaarheid onevenredig bij de CISO ligt, met gefragmenteerd, overlappend eigenaarschap in de rest van de C-suite. Die fragmentatie creëert blinde vlekken die een technisch incident kunnen laten uitgroeien tot een langdurige, bedrijfsbrede verstoring – omdat niemand duidelijk de bevoegdheid heeft om de volgorde en afwegingen te bepalen die herstel onder druk vereist. Een gedocumenteerd incident response plan dat die beslissingsrechten expliciet vooraf toewijst – wie een incident uitroept, wie welke herstelstroom bezit, wat executive escalatie triggert – is het governance-instrument dat gefragmenteerde verantwoordelijkheid omzet in gecoördineerde actie bij verstoring.

Zes Mythen Die Tussen Organisaties en Echte Weerbaarheid Staan

Het rapport van Accenture noemt zes specifieke overtuigingen die leiders met veel vertrouwen aanhangen, maar die volgens de data onjuist zijn. Drie daarvan zijn direct relevant voor hoe organisaties gevoelige data beheren en verplaatsen, en verdienen nadere aandacht.

“We zijn compliant, dus we zijn beschermd.” Zevenentachtig procent van de respondenten gelooft dat naleving van regelgeving cyberweerbaarheid garandeert, maar slechts 35% test die weerbaarheid regelmatig via echte herstel- en continuïteitsoefeningen in plaats van te vertrouwen op audits. Naleving van regelgeving bewijst dat een organisatie zich op een bepaald moment aan vastgestelde regels houdt. Het bewijst niet dat de organisatie gevoelige content kan blijven leveren aan de juiste mensen, onder de juiste controles, als systemen gedegradeerd zijn. Een SOC2 Type II-certificering of een schone ISO 27001-audit is een momentopname, geen garantie voor operationele continuïteit. Een formele risicobeoordeling die herstelvermogen test onder gesimuleerde gedegradeerde omstandigheden – niet alleen de status van compliance-controls – is de operationele aanvulling die auditbewijzen omzet in echte weerbaarheidszekerheid.

“Derden zijn zelf verantwoordelijk voor hun beveiliging.” Eenenzestig procent van de organisaties zegt dat hun vermogen om kritieke operaties te continueren afhankelijk is van externe partners, maar slechts 38% heeft een duidelijk beeld van hun waardeketen en de belangrijkste afhankelijkheden. Contracten kunnen achteraf aansprakelijkheid toewijzen. Ze kunnen niet in realtime een gedeeld operationeel resultaat herstellen. Weerbaarheid uitbreiden over de hele waardeketen – niet alleen binnen de eigen organisatie – betekent precies weten welke leveranciers, aannemers en partners gereguleerde of gevoelige intellectuele eigendom aanraken, en governance hebben om die toegang direct te isoleren of intrekken als er iets misgaat.

“Cyberverzekering dekt de impact.” Zestig procent van de organisaties vertrouwt op cyberverzekering als vervanging voor weerbaarheid in plaats van als financiële vangnet, terwijl de totale verstoringskosten – omzetverlies, downtime en reputatieschade samen – tot tien keer hoger kunnen zijn dan wat een verzekering uitkeert. Verzekering kan een deel van het financiële verlies compenseren. Ze kan geen klantvertrouwen herstellen, een beschadigd merk repareren of kritieke operaties weer online brengen. Dat lukt alleen door herstel vooraf te plannen en te oefenen.

De andere drie mythen die Accenture noemt – dat bescherming herstel garandeert, dat incident response gelijkstaat aan weerbaarheid, en dat weerbaarheid alleen de verantwoordelijkheid is van het securityteam – onderstrepen hetzelfde punt: denken vanuit preventie beantwoordt een andere vraag dan die welke bepaalt of een bedrijf verstoring overleeft.

Het Verschil Tussen Bescherming en Weerbaarheid

Accenture trekt een duidelijke lijn tussen beide concepten, en het is belangrijk die helder te benoemen omdat veel verwarring in de enquête terug te voeren is op leiders die ze verwarren. Bescherming verlaagt de kans dat verstoring überhaupt plaatsvindt. Cyberweerbaarheid is het vermogen om kritieke operaties te continueren en snel te herstellen tijdens verstoring, om bedrijfswaarde te beschermen – ongeacht of bescherming werkte.

Bescherming blijft noodzakelijk. Detectie en reactie van eindpuntbedreigingen, multi-factor authentication en sterke preventie van gegevensverlies verlagen allemaal de kans op een succesvolle aanval. Maar uit Accenture’s data blijkt dat slechts 11% van de leiders het er sterk mee eens is dat voorspellende en controlerende beveiliging minder effectief wordt in complexe systemen – wat betekent dat de overgrote meerderheid nog steeds ontwerpt alsof controles standhouden, terwijl dezelfde enquête laat zien dat uitbraken binnen 30 minuten plaatsvinden en AI-gedreven uitbuiting ongekende successen boekt. Ontwerpen op overleving betekent aannemen dat controles uiteindelijk falen, en de operationele en data-infrastructuur bouwen waarmee het bedrijf kan blijven functioneren – en kan aantonen wat er is gebeurd – als dat gebeurt. Dataminimalisatie toegepast op toegangsscope en dataretentie – het verminderen van de hoeveelheid gevoelige content die één account of systeem kan bereiken – beperkt direct de impact als beschermende controles falen.

Vijf Prioritaire Acties – en Waar Gegevensbeheer Past

Accenture benoemt vijf prioritaire acties voor leiders die het gat tussen veronderstelde en daadwerkelijke weerbaarheid willen dichten: identificeer de belangrijkste functies en breng hun afhankelijkheden in de waardeketen in kaart; definieer herstelbeslissingen – volgorde, bevoegdheid, triggers en afwegingen – vooraf, niet pas tijdens verstoring; bouw een herstelomgeving die onder vijandige omstandigheden kan functioneren en gevuld is met de artefacten die nodig zijn om te herstellen; automatiseer het herstelproces om de hersteltijd van weken naar uren terug te brengen; en test continu tegen realistische scenario’s naarmate het bedrijf evolueert.

Kijk goed naar de derde en vierde actie, en het gegevensbeheerprobleem wordt duidelijk. Een “herstelomgeving gevuld met essentiële artefacten” werkt alleen als een organisatie daadwerkelijk weet waar haar kritieke content zich bevindt, wie er legitiem toegang toe heeft, en of die content en de toegangsgeschiedenis betrouwbaar genoeg zijn om operaties op te heropbouwen. Dat is precies de discipline achter gegevensbeheer en data-classificatie: weten welke data het belangrijkst is, die correct labelen, en een volledige audittrail bijhouden van elke toegang, overdracht en wijziging, zodat als snel herstel nodig is, dat kan gebeuren op een basis die vertrouwd is – niet een die opnieuw geverifieerd moet worden. Op attributen gebaseerde toegangscontrole (ABAC: Attribute Based Access Control) toegepast op de herstelomgeving – beperken welke rollen toegang hebben tot welke herstelartefacten onder welke omstandigheden – voorkomt dat een aanvaller het herstelproces zelf als extra aanvalsvector gebruikt.

Het automatiseren van herstel – de vierde actie van Accenture – steunt op dezelfde basis. Je kunt het herstel van vertrouwde operaties niet automatiseren rond data die je niet kunt lokaliseren, classificeren of waarvan je de integriteit niet kunt bewijzen. Organisaties die governance van gevoelige content centraliseren via een CISO Dashboard met realtime inzicht in wie wat benadert, en die rolgebaseerde toegangscontrole consequent afdwingen bij interne gebruikers en externe partners, hebben een veel korter hersteltraject dan organisaties die dat beeld na een incident stukje bij beetje moeten samenstellen.

Waarom CEO en CISO Vooraf Moeten Afstemmen, Niet Tijdens Verstoring

De ongemakkelijke kern van het Accenture-onderzoek is dat misalignment onzichtbaar blijft tot het getest wordt. CEO’s en CISO’s kunnen beiden veel vertrouwen hebben in de weerbaarheid van hun organisatie en toch dezelfde dingen verkeerd inschatten – hoe lang herstel echt duurt, wie welke beslissing neemt, en hoe diep afhankelijkheden van derden werkelijk gaan. De oplossing die Accenture voorstelt begint met één, ogenschijnlijk simpele beslissing vooraf: wat is het kleinste aantal operaties dat het bedrijf moet beschermen en als eerste herstellen om tijdens verstoring te kunnen blijven draaien?

Het beantwoorden van die vraag dwingt tot een gesprek dat de meeste organisaties, volgens deze data, nog niet hebben gevoerd – niet omdat ze het hebben vermeden, maar omdat ze aannamen dat de ander het al eens was. CEO’s en CISO’s letterlijk samenbrengen, met dezelfde data over waar gevoelige informatie zich bevindt, wie ervan afhankelijk is en hoe snel het realistisch hersteld kan worden, vervangt valse consensus door een daadwerkelijk gedeeld plan. Dat is het werk van weerbaarheid opbouwen vóór een incident het gesprek onder druk afdwingt. Een unified Private Data Network dat een volledig, continu bijgewerkt overzicht bijhoudt van elke stroom gevoelige content – via e-mail, bestandsoverdracht, MFT en webformulieren – geeft zowel de CEO als de CISO hetzelfde realtime databeeld om dat gedeelde plan op te baseren.

Het Zakelijke Voordeel van Dit Goed Doen

Het rapport van Accenture sluit af met een punt dat serieus genomen moet worden: organisaties met volwassen weerbaarheidsmogelijkheden vermijden niet alleen de slechtste scenario’s, ze behalen aantoonbaar betere financiële en operationele resultaten. Het rapport noemt geoptimaliseerde uitgaven door investeringen te balanceren tussen beschermende en weerbaarheidsmaatregelen, juiste cyberinvesteringen op basis van een helder beeld van wat het belangrijkst is, en lagere compliancekosten door duidelijk eigenaarschap en minder dubbele controles. Weerbaarheid, goed uitgevoerd, is geen kostenpost die aan het beveiligingsbudget wordt geplakt. Het is een operationele discipline die zichzelf terugverdient in efficiëntie, nog voordat het volgende incident zich aandient.

Voor organisaties die heroverwegen hoe ze gevoelige data-uitwisseling beheren als onderdeel van die weerbaarheidsdiscipline, centraliseert Kiteworks secure data exchange het inzicht, toegangsbeheer en audittrail over elk kanaal waar gevoelige content doorheen gaat – e-mail, bestandsoverdracht, beheerde bestandsoverdracht en webformulieren – zodat het “kleinste aantal operaties dat beschermd en als eerste hersteld moet worden” iets is dat een organisatie daadwerkelijk kan benoemen, niet alleen aannemen.

Meer weten over het beheren van gevoelige data-uitwisseling als onderdeel van de cyberweerbaarheidsstrategie van jouw organisatie? Plan vandaag nog een demo op maat.

Aanvullende Bronnen

• Blog Post Zero Trust-architectuur: nooit vertrouwen, altijd verifiëren
• Video Microsoft GCC High: Nadelen die defensie-aannemers richting slimmere voordelen sturen
• Blog Post Hoe je geclassificeerde data beveiligt zodra DSPM het markeert
• Blog Post Vertrouwen opbouwen in generatieve AI met een Zero Trust-aanpak
• Video De definitieve gids voor het veilig opslaan van gevoelige data voor IT-leiders