AI-risico krijgt eindelijk een eigen budgetregel

Er is een bepaald soort organisatorisch vertrouwen dat voortkomt uit niet weten wat je niet weet. In cyberbeveiliging is dat vertrouwen kostbaar. Het 2026 Thales Data Threat Report—gebaseerd op een enquête onder 3.120 respondenten uit 20 landen—doet het ongemakkelijke werk om precies te laten zien hoeveel er nog in het duister blijft.

Belangrijkste inzichten

1. AI-beveiliging krijgt eindelijk een eigen budget. Uit het 2026 Thales Data Threat Report blijkt dat 30% van de organisaties nu een specifiek AI-beveiligingsbudget heeft, tegenover 20% het jaar ervoor. Die verschuiving is belangrijk omdat 59% van diezelfde organisaties te maken kreeg met deepfake-aanvallen en 48% reputatieschade leed door AI-gegenereerde desinformatie. AI-risico’s financieren vanuit algemene beveiligingsbudgetten laat organisaties zonder de toegewijde middelen of duidelijke eigenaarschap die nodig zijn om te reageren wanneer AI-specifieke incidenten zich voordoen.
2. Cloud is niet alleen onderdeel van het aanvalsoppervlak—het ís het aanvalsoppervlak. Volgens het Thales-rapport staan cloudopslag, cloudapplicaties en cloudbeheerinfrastructuur bovenaan de lijst van gemelde aanvalstargets met respectievelijk 35%, 34% en 32%. De gemiddelde organisatie werkt met 2,26 cloudproviders en 89 SaaS-applicaties. Die voetafdruk wordt niet kleiner. Ook het aantal inloggegevens, integraties en toegangswegen dat aanvallers kunnen misbruiken, groeit mee.
3. Encryptiedekking beweegt de verkeerde kant op. Het Thales-rapport toont aan dat slechts 47% van de gevoelige cloudgegevens in 2026 versleuteld was, tegenover 51% het jaar ervoor. Naarmate cloudomgevingen groeien, blijft encryptiebeheer achter. De kloof tussen wat gevoelig is en wat daadwerkelijk beschermd wordt, wordt groter—stilletjes, en zonder dat de meeste organisaties het merken totdat er iets misgaat.
4. Toolsprawl is de vijand van zichtbaarheid. Volgens het Thales-rapport gebruikt 77% van de organisaties vijf of meer dataprotectiontools. Bijna de helft werkt met vijf of meer key management-systemen. Het resultaat is gefragmenteerde telemetrie, inconsistente beleidsafdwinging en een omgeving waarin verkeerde configuratie—de belangrijkste oorzaak van datalekken met 28%—structureel waarschijnlijker wordt. Meer tools betekent niet betere beveiliging. Het betekent vaak meer gaten waar niemand verantwoordelijk voor is.
5. De quantumklok tikt al. Het Thales-rapport laat zien dat 61% van de respondenten ‘harvest now, decrypt later’ als hun grootste quantum-gerelateerde zorg noemt—en terecht. Tegenstanders verzamelen nu al versleutelde data met de bedoeling deze te ontsleutelen zodra quantumcapaciteiten volwassen zijn. Organisaties die nog niet zijn begonnen met het evalueren van post-quantum cryptografische algoritmen, lopen niet voor op dit probleem. Ze lopen juist al achter.

De afgelopen jaren was AI-beveiliging een passagier in andermans auto. Organisaties financierden AI-initiatieven vanuit bestaande beveiligingsbudgetten, waardoor risicobeheer werd gekoppeld aan de prioriteiten die het budget al bepaalden. Dat begint te veranderen. Dertig procent van de respondenten heeft nu een specifiek AI-beveiligingsbudget, tegenover 20% het jaar ervoor. Die stijging van tien procentpunten is niet zomaar een verschuiving op de begroting. Het geeft aan dat het leiderschap AI-risico’s begint te behandelen als een aparte discipline in plaats van een voetnoot binnen het bredere cyberprogramma.

De druk achter die verschuiving is reëel. Negenenvijftig procent van de respondenten meldt deepfake-aanvallen te hebben meegemaakt. Bijna de helft—48%—heeft reputatieschade ondervonden door AI-gegenereerde desinformatie. Dit zijn geen theoretische scenario’s die getest worden in simulaties. Ze gebeuren bij echte organisaties, raken echte reputaties en zorgen voor echte juridische risico’s.

De overige 70% van de organisaties die AI-risico’s nog steeds financieren vanuit algemene beveiligingsbudgetten, hebben een structureel nadeel: wanneer AI-gerelateerde incidenten zich voordoen, is er geen toegewijde basis aan middelen, geen duidelijk eigenaarschap en geen budgetflexibiliteit die niet al elders is geclaimd. De organisaties die nu specifieke AI-beveiligingsprogramma’s opzetten, zijn ook degenen die meer gestructureerde benaderingen hebben voor de integriteit van datapijplijnen, toegangscontrole tot modellen en de authenticatiekaders die bepalen wie met die systemen mag werken.

Cloud is het aanvalsoppervlak. De cijfers zijn duidelijk.

Cloudbeveiliging wordt vaak besproken in termen van verkeerde configuratie en rechtenbeheer. Dat zijn terechte zorgen. Maar het 2026 Thales-rapport plaatst ze in een bredere context: cloudassets zijn niet alleen een risicofactor—ze vormen het primaire aanvalsoppervlak. Cloudopslag staat bovenaan de lijst van gemelde aanvalstargets met 35%. Cloudapplicaties volgen met 34%. Cloudbeheerinfrastructuur—het controlevlak dat toegang tot alles regelt—staat op 32%. Deze drie categorieën bezetten de top drie posities. On-premises infrastructuur komt pas verderop in de lijst voor.

De aanvalstechnieken gericht op cloudbeheerinfrastructuur zijn veelzeggend. Aanvallen door diefstal van inloggegevens en misbruik van geheimen worden door 67% van de respondenten genoemd als belangrijkste techniek. Kwetsbaarheden bij derden en API-exposures volgen daarna. Het patroon is duidelijk: aanvallers forceren zich niet met brute kracht toegang tot cloudomgevingen. Ze lopen binnen via legitieme toegangswegen, met inloggegevens die slecht zijn beheerd, te ruim zijn toegekend of nooit zijn vervangen.

Dit is belangrijk omdat de gemiddelde organisatie werkt met 2,26 cloudproviders en 89 SaaS-applicaties. Elke applicatie is een identiteitsoppervlak. Elke integratie is een potentieel blootstellingspunt. Het aanvalsoppervlak is geen enkele perimeter om te verdedigen—het is een verspreid, voortdurend groeiend netwerk van interfaces, inloggegevens en datastromen dat voortdurende zichtbaarheid en governance vereist.

En dan het encryptiebeeld. Zevenenveertig procent van de gevoelige clouddata is versleuteld in 2026, tegenover 51% in 2025. Die daling van vier procentpunten is op zichzelf niet dramatisch. Maar de richting is belangrijk. Naarmate cloudomgevingen groeien en gevoelige data naar meer omgevingen verhuist, beweegt de encryptiedekking de verkeerde kant op. De kloof tussen wat gevoelig is en wat beschermd wordt, wordt groter in plaats van kleiner.

Te veel tools, te weinig zichtbaarheid

Er is een versie van gegevensbescherming die er van buitenaf uitziet als een volwassen programma. Meerdere platforms, gelaagde controles, een lijst van beveiligingsleveranciers. Het 2026 Thales-rapport kijkt dieper en ziet iets minder geruststellends. Zevenenzeventig procent van de respondenten gebruikt vijf of meer dataprotectiontools. Bijna de helft gebruikt vijf of meer key management-systemen. Dit zijn geen indicatoren van een robuuste beveiligingsstatus. Het zijn signalen van opgestapelde point solutions—elk lost een specifiek probleem op, geen enkele biedt een geïntegreerd overzicht van de omgeving.

De gevolgen van toolsprawl zijn voorspelbaar. Beleidsafdwinging wordt inconsistent omdat verschillende tools verschillende regels toepassen op verschillende omgevingen. Telemetrie is gefragmenteerd, waardoor securityteams geen samenhangend beeld kunnen vormen van wat er in het hele landschap gebeurt. Incidentrespons vertraagt omdat analisten signalen uit meerdere losstaande systemen moeten combineren in plaats van te werken vanuit één bron van waarheid.

Zichtbaarheid van de locatie van data verergert het probleem. Slechts 34% van de respondenten zegt volledig te weten waar hun data is opgeslagen. Zesenzestig procent werkt met onvolledige inventarissen, ongelijke classificatie en aanzienlijke gaten in hun inzicht waar gevoelige informatie daadwerkelijk staat. Je kunt niet beschermen wat je niet ziet. Je kunt niet classificeren wat je niet hebt gevonden. En verkeerde configuratie—de belangrijkste oorzaak van datalekken met 28%—wordt structureel waarschijnlijker wanneer governance is verspreid over tientallen losstaande tools, elk met een eigen configuratiemodel en toegangscontrole.

Bestuurders zien een ander dataleklandschap dan de rest

Het 2026 Thales-rapport laat een kloof zien met directe gevolgen voor hoe organisaties investeringen prioriteren en risico’s communiceren: bestuurders en de bredere organisatie delen niet hetzelfde inzicht in de datalekgeschiedenis van hun organisatie. Achtenzeventig procent van de CEO’s, presidenten en directeuren meldt geen ervaring met een on-premises datalek. In de bredere onderzoeksgroep daalt dat cijfer naar 58%. Voor cloud-datalekken meldt 62% van de bestuurders geen eerdere incidenten, tegenover 54% in totaal.

Er zijn een paar manieren om deze verschillen te verklaren. Mogelijk worden bestuurders afgeschermd van meldingen van datalekken—dat incidenten op operationeel niveau worden afgehandeld zonder de directie te bereiken. Of bestuurders hanteren een andere definitie van wat een datalek is. Wat de oorzaak ook is, de uitkomst is duidelijk: als het leiderschap niet hetzelfde dreigingsbeeld deelt als de securityteams die dagelijks verdedigen, zijn gesprekken over investeringen, risicobereidheid en incidentrespons niet op elkaar afgestemd. Die misalignment heeft gevolgen—in budgetcycli, in responstijden en in de organisatorische slagkracht van securityteams wanneer incidenten zich voordoen.

Deze kloof dichten vraagt meer dan betere rapportage. Het vereist een gedeelde risicotaal—een die technische blootstelling vertaalt naar zakelijke consequenties, en bestuurders de context biedt die ze nodig hebben om beslissingen te nemen die passen bij het dreigingslandschap waarmee hun organisatie daadwerkelijk te maken heeft.

Soevereiniteit en de quantumklok

Datasoevereiniteit is niet langer een abstracte regelgevingskwestie. Het is een architectonische beperking die bepaalt hoe organisaties nadenken over waar hun data staat, wie er controle over heeft en wat ze doen als het regelgevingslandschap verandert. Vijfenveertig procent van de respondenten noemt portabiliteit als de belangrijkste drijfveer voor hun soevereiniteitsinitiatieven. Vierendertig procent wil volledige controle over software en data. En 49% geeft aan dat de fysieke locatie van cloudinfrastructuur belangrijk is voor sommige of alle workloads. Dit zijn geen vinkjes voor compliance. Ze weerspiegelen echte strategische druk om controle over data te houden naarmate regelgeving verandert en geopolitieke factoren invloed hebben op technologie-inkoop.

Naast soevereiniteit verschuift quantumrisico van een theoretische zorg naar actief programmabeheer. Eenenzestig procent van de respondenten noemt ‘harvest now, decrypt later’ als hun grootste quantum-gerelateerde zorg. Dit is geen toekomstige dreiging. Het is een actuele. Tegenstanders verzamelen nu versleutelde data om die te ontsleutelen zodra quantumcomputers voldoende schaal bereiken. De data die nu wordt buitgemaakt, kan over jaren nog steeds gevoelig zijn. Organisaties die werken met gereguleerde, langlevende of strategisch gevoelige data kunnen dit niet als een toekomstig probleem zien.

Negenenvijftig procent van de respondenten meldt dat ze post-quantum cryptografische algoritmen aan het testen en evalueren zijn. Dat is bemoedigend als signaal van bewustzijn, maar het betekent ook dat ongeveer 40% van de organisaties nog niet is begonnen met het beoordelen wat een cryptografische overstap vereist. Het venster voor een ordentelijke migratie is beperkt. Cryptografische wendbaarheid—de mogelijkheid om encryptiemechanismen te updaten zonder grootschalige infrastructuurvervanging—wordt steeds belangrijker voor volwassen securityprogramma’s. Organisaties die daar nu op inzetten, hebben straks opties die laatstarters niet hebben.

Wat betekent dit voor uw programma?

Het 2026 Thales Data Threat Report beschrijft geen nieuw dreigingslandschap. Het beschrijft hetzelfde landschap—cloudsprawl, misbruik van inloggegevens, gefragmenteerde tooling, regelgevingsdruk—maar dan op een hoger niveau van complexiteit. De organisaties die hiermee worstelen zijn niet degenen zonder securityprogramma. Het zijn de organisaties waarvan het programma niet is opgeschaald met de groei van hun infrastructuur.

De kloof tussen hoe organisaties denken dat ze data beheren en hoe ze dat daadwerkelijk doen, wordt niet vanzelf kleiner. Dat vraagt om bewuste inspanning: betere dataclassificatie, strakker identity governance, geconsolideerde tooling en zichtbaarheid op directieniveau in het werkelijke dataleklandschap. Het vraagt om cryptografische planning als een actueel project in plaats van een toekomstig aandachtspunt. En het vraagt om een eerlijke inventarisatie van waar encryptie gevoelige data daadwerkelijk beschermt—en waar niet.

De organisaties die die kloof in 2026 weten te dichten, zijn niet alleen veiliger. Ze zijn beter gepositioneerd om te opereren binnen de regelgevingsomgevingen, cloudarchitecturen en dreigingscondities die de komende jaren enterprisebeveiliging bepalen. De organisaties die dat niet doen, blijven die gaten op de harde manier ontdekken—incident na incident.