Cybersecurity statistieken Nederland 2026

Politie en OM zien in het Cybercrimebeeld Nederland 2026 dezelfde lijn: in 2025 werd 17% van de bevolking (ongeveer 2,5 miljoen mensen) slachtoffer van een vorm van online criminaliteit, tegen 16% in 2023 (Cybercrimebeeld Nederland, 2026). De stijging komt vooral door aankoopfraude. Werk je voor een securityvendor of MSP die zich in deze markt wil positioneren? Een gespecialiseerd B2B marketing bureau helpt je om complexe proposities om te zetten in leads via B2B leadgeneratie.

Slachtoffers van online criminaliteit in Nederland (15-plussers)

Het aandeel bedrijven met een incident door een aanval van buitenaf daalde van 11% in 2016 naar 4% in 2024, het aandeel met kosten van 6% naar 1%. Grote bedrijven werden niet weerbaarder: 16% van de bedrijven met 250+ werknemers had zowel in 2023 als in 2024 een incident. Zzp'ers kregen iets vaker phishing of spoofing (24%) dan bedrijven met 2 tot 10 werknemers (20%).

Cyberaanvallen per sector

Per sector hadden informatie en communicatie (7%) en financiële dienstverlening (6%) in 2024 het vaakst een incident door een externe aanval, gevolgd door de industrie (4%). Horeca en gezondheids- en welzijnszorg zaten het laagst met 2% (CBS, 2026).

Eurostat hanteert een bredere definitie, inclusief hardware- en softwarestoringen: 25,8% van de Nederlandse bedrijven met 10+ werknemers had in 2024 een ICT-veiligheidsincident, boven het EU-gemiddelde van 21,5% en lager dan 30,1% in 2022. Uitval van ICT-diensten door een aanval van buitenaf, zoals ransomware of DDoS, trof 5,1% van de Nederlandse bedrijven (EU 3,4%), en bij 3,3% lekte vertrouwelijke data uit door inbraak of phishing (EU 1,6%) (Eurostat, 2026).

Project Melissa bracht in 2025 vermoedelijk 92 unieke ransomware-incidenten in beeld: 40 incidenten waarbij incidentresponsbedrijven hielpen en 65 waarvan aangifte werd gedaan. Beide aantallen liggen lager dan in 2024. Omdat grote en middelgrote organisaties in ongeveer 40% van de gevallen en het mkb maar in 10 tot 15% in deze bronnen zichtbaar is, ligt het werkelijke aantal naar schatting 2 tot 3 keer hoger voor grote en middelgrote en tot 10 keer hoger voor kleine bedrijven (Jaarbeeld Ransomware 2025).

De eerste toegang kwam vooral via accountovername (55%) en misbruik van kwetsbaarheden (30%), vaak in systemen die direct vanaf internet bereikbaar waren. In totaal werden 39 ransomwarefamilies gezien; Akira, Qilin, PLAY, INCransom en versies van LockBit kwamen het meest voor.

Herstel na een ransomware-aanval (NL, 2025)

• 43% van de incidenten had een hersteltijd van meer dan 3 dagen, 15% herstelde na een week of later
• 41% van de slachtoffers was verzekerd
• 72% van de slachtoffers had een bruikbare back-up
• 33% van de slachtoffers deed aangifte

Datadiefstal zonder versleuteling neemt toe

Van de 136 ransomware-aanvallen in AP-meldingen in 2025 versleutelden en stalen aanvallers in 65 gevallen data, in 13 gevallen werd alleen versleuteld en in 26 gevallen was versleuteld maar onduidelijk of er ook gestolen was. In 32 gevallen werd alleen data gestolen, zonder versleuteling, tegen 15 keer in 2024 (NCTV, Cybersecuritybeeld Nederland 2026).

Onder Nederlandse bedrijven kreeg in 2024 2% van de bedrijven met 250+ werknemers ransomware, en 1% van de bedrijven met 10 tot 250 werknemers. Van de getroffen grote bedrijven betaalde 7% losgeld; kleine en microbedrijven betaalden niets (CBS, 2026).

Internationale vergelijking

Wereldwijd zat ransomware in 44% van de datalekken in het Verizon DBIR 2025 (+37%), en in 88% van de datalekken bij mkb-organisaties. Het mediane betaalde losgeld daalde naar 115.000 dollar en 64% van de slachtoffers betaalde niet, tegen 50% twee jaar eerder (Verizon, 2025). Sophos vond een mediane betaling van 1 miljoen dollar bij bedrijven met 100 tot 5.000 werknemers in 17 landen, de helft van de 2 miljoen in 2024; de gemiddelde herstelkosten daalden van 2,73 naar 1,53 miljoen dollar (Sophos, 2025).

Phishing groeit mee met de bedrijfsgrootte: in 2024 kreeg 59% van de bedrijven met 250+ werknemers te maken met phishing of spoofing, tegen 44% bij 50 tot 250, 29% bij 10 tot 50 en 20% bij 2 tot 10 werknemers. Grote bedrijven meldden daarnaast datalekken of datamanipulatie (14%), BEC-fraude (11%) en (D)DoS-aanvallen (10%) (CBS, 2026).

Bij personen was 0,9% van de 15-plussers in 2025 slachtoffer van phishing. Zij doen relatief vaak aangifte: 34,8%, tegen 15,1% bij online criminaliteit als geheel (CBS, 2026).

Fraudehelpdesk en bankfraude

• De Fraudehelpdesk kreeg in 2025 101.734 meldingen (2024: 63.469, +60%), met 15.116 financieel gedupeerden (+65%) en €68,5 miljoen gemelde schade (+30%) (Fraudehelpdesk via Dutch IT Channel, 2026)
• Meldingen van creditcardphishing stegen van 500 in 2024 naar meer dan 2.000 in 2025 (Fraudehelpdesk, 2026)
• In de eerste helft van 2026 steeg het aandeel e-mail in phishingmeldingen van 30% naar 59%, en phishing rond boekingsplatforms van 108 naar 1.072 meldingen (Fraudehelpdesk, 2026)
• Betaalfraude in Nederland steeg in 2025 naar ongeveer 658.000 frauduleuze transacties (+30%) en €198 miljoen (+22%), 7 op de 100.000 betalingen; fraude met overboekingen steeg 55% naar 129.000 gevallen en ongeveer €148 miljoen (DNB, 2026)

In de AP-datalekmeldingen stegen geslaagde accountovernames van 607 naar 1.742, vooral door phishingcampagnes (Clyde & Co over het AP-rapport, 2026). In EMEA ging volgens Verizon 19% van de datalekken gepaard met phishing (Verizon, 2025).

Meetbare Nederlandse schade komt vooral uit fraude: de Fraudehelpdesk registreerde in 2025 €68,5 miljoen gemelde schade (Fraudehelpdesk, 2026), en banken registreerden €198 miljoen aan betaalfraude (inclusief later terugbetaalde bedragen), waarvan ongeveer €148 miljoen bij overboekingen en €41 miljoen bij kaartbetalingen (DNB, 2026).

Buiten Nederland laten zaken zien hoe hoog de rekening kan worden: de afpersing van Marks & Spencer in 2025 veroorzaakte volgens Politie en OM €348 miljoen schade (Cybercrimebeeld Nederland, 2026).

In het IBM-onderzoek koos 63% van de organisaties ervoor geen losgeld te betalen (een jaar eerder 59%). Minder organisaties investeren na een datalek in security: 49%, tegen 63% in 2024. Bedrijven die AI succesvol implementeren in hun operaties, nemen dat het best mee in hun beveiliging: 13% van de organisaties meldde een inbreuk op AI-modellen of -toepassingen, en 97% daarvan had geen goede toegangscontrole voor AI (IBM, 2025).

Ook bedrijven in informatie en communicatie zijn vaak verzekerd (35%). Het laagst, 12%, zijn de bouw, vervoer en opslag, en de horeca (CBS, 2026).

Eurostat mat cyberverzekering bij bedrijven met 10+ werknemers in 2019 en 2022: in Nederland steeg het aandeel van 25,6% naar 30,5%, tegen 19,8% en 25,0% in de EU (Eurostat, 2026). Het verschil met het CBS komt door populatie en jaar: het CBS telt ook bedrijven met 2 tot 9 werknemers mee, die minder vaak verzekerd zijn.

Het landelijke ransomwarebeeld benadrukt dat back-ups en verzekeringen schade niet voorkomen: 43% van de incidenten had toch een hersteltijd van meer dan drie dagen, terwijl 41% van de slachtoffers verzekerd was en 72% een bruikbare back-up had (NCSC e.a., 2026).

De meeste datalekken bij de AP zijn geen hacks: bijna driekwart ging over brieven en e-mails die bij de verkeerde persoon terechtkwamen. Slechts 5% kwam door een cyberaanval (Binnenlands Bestuur over het AP-jaarverslag, 2026). Die 5% waren wel 2.428 meldingen, tegen 1.537 in 2024 (NCTV, 2026).

Melden en aangifte doen

• Van de slachtoffers van online criminaliteit meldde 51,8% het ergens en deed 15,1% aangifte; bij hacken was dat 38,5% en 9,3% (CBS, 2026)
• Van de bedrijven (2+ werknemers) die in 2023 getroffen werden, deed volgens Politie en OM slechts 14% aangifte (Cybercrimebeeld Nederland, 2026)
• 33% van de ransomwareslachtoffers in 2025 deed aangifte; 52 incidenten waren alleen bij de politie bekend, 27 alleen bij incidentresponsbedrijven en 13 bij beide (NCSC e.a., 2026)

Waar NCTV en NCSC voor waarschuwen

Het Cybersecuritybeeld Nederland 2026 heeft als titel "AI versnelt, verdiept en verbreedt de dreiging". De NCTV schrijft dat de tijd tussen ontdekking en misbruik van een kwetsbaarheid daalde van enkele maanden in 2024 naar enkele weken in 2025 en nog maar enkele uren in 2026, en dat het NCSC ziet dat organisaties actief misbruikte kwetsbaarheden nog steeds te laat patchen (NCTV, CSBN 2026).

Acties van Politie en OM laten de schaal zien: samen met het NCSC haalden ze een residential proxy-netwerk van minstens 17 miljoen besmette apparaten offline, aangestuurd door minstens 200 Nederlandse servers (Politie en OM, 2026).

Bewustwording is een van de weinige maatregelen waarop Nederland onder het EU-gemiddelde zit: in 2024 maakte 49,99% van de Nederlandse bedrijven met 10+ werknemers medewerkers helemaal niet bewust van hun ICT-veiligheidsplichten, tegen 38,1% in de EU. 41,5% had gedocumenteerde beveiligingsmaatregelen (EU 35,5%) en 32,2% had het ICT-veiligheidsbeleid in de afgelopen 12 maanden opgesteld of herzien (EU 21,8%) (Eurostat, 2026).

Volgens het KPN-onderzoek 'Cyberweerbaar Nederland', aangehaald door de NCTV, geven organisaties hun eigen digitale weerbaarheid gemiddeld een 7,1, terwijl 33% geen of slechts zeer basale detectie heeft en maar 5% prioriteit geeft aan patching, endpointbeveiliging en incidentrespons (NCTV, CSBN 2026).

Burgers en apparaten thuis

• 83% van de Nederlanders acht cyberdreigingen (zeer) waarschijnlijk, het hoogst van alle onderzochte dreigingen; 51% maakt zich het meest zorgen over cyberdreigingen (NCTV Risico- en Crisisbarometer, najaar 2026)
• 67% van de Nederlanders maakt zich zorgen over cyberaanvallen vanuit niet-EU-landen (Eurobarometer Europees Parlement, najaar 2025)
• 89% van de Nederlanders heeft Internet of Things-apparatuur op het thuisnetwerk, en een derde voert beveiligingsupdates voor slimme apparaten niet of niet tijdig uit

Alle drie de cijfers komen uit het Cybersecuritybeeld Nederland 2026.

Onder securityprofessionals wereldwijd zag 40% het afgelopen jaar door AI geoptimaliseerde social engineering (ISC2, 2025).

Uitbesteden is de norm: in 2022 liet 67,4% van de Nederlandse bedrijven met 10+ werknemers ICT-veiligheidswerk (deels) door externe leveranciers doen en 40,4% (deels) door eigen medewerkers (Eurostat, 2026).

In de WBSO groeide het aantal projecten waarin cybersecurity voorkomt met 49% in vijf jaar, wat RVO ziet als groeiende aandacht voor digitale beveiliging en weerbaarheid (RVO, WBSO-jaarverslag 2025). De Cyber Security Raad waarschuwde begin 2026 opnieuw dat Nederland structureel te weinig investeert in digitale veiligheid (NCTV, 2026).

Budgetdruk bij securityteams (wereldwijd)

• 36% van de securityprofessionals meldde in 2025 bezuinigingen (2024: 37%), 24% ontslagen en 39% een vacaturestop (ISC2, 2025)
• 33% zegt dat de organisatie geen budget heeft om teams te bemensen (ISC2, 2025)
• 49% van de getroffen organisaties wil na een datalek in security investeren, tegen 63% een jaar eerder (IBM, 2025)

AI als wapen voor aanvallers

• De tijd tussen ontdekking en misbruik van een kwetsbaarheid daalde van enkele maanden (2024) via enkele weken (2025) naar enkele uren (2026) (NCTV, 2026)
• Bij een door Anthropic in 2025 gemelde spionagecampagne voerde AI zelfstandig 80 tot 90% van de aanval uit (Politie en OM, 2026)
• Begin 2025 was door AI ondersteunde phishing naar verluidt goed voor meer dan 80% van de waargenomen social engineering wereldwijd (ENISA, 2025)
• 13% van de organisaties meldde een inbreuk op AI-modellen of -toepassingen, en een op de vijf een datalek door shadow AI (IBM, 2025)

AI als hulpmiddel voor verdedigers

Organisaties die security-AI en automatisering intensief inzetten, besparen gemiddeld 1,9 miljoen dollar per datalek en verkorten de levenscyclus van een lek met 80 dagen (IBM, 2025). Microsoft zet AI in om kwetsbaarheden te vinden: op Patch Tuesday verhielp het bedrijf 137 kwetsbaarheden in mei 2026, 206 in juni, 622 in juli, 421 in augustus en een record van 972 in september (NCTV, 2026).

Onder securityprofessionals heeft 28% AI-tools geïntegreerd en test 19% ze nog (ISC2, 2025). In het Nederlandse mkb gebruikt 78% in enige mate AI, maar heeft slechts 9% formeel AI-beleid (ABN AMRO via NCTV, 2026).

1. Patchen in uren in plaats van weken

Omdat AI misbruik versnelt, past uitstel van dagen of weken volgens de NCTV niet meer bij de dreiging. De tijd van ontdekking tot misbruik daalde in 2026 naar enkele uren (NCTV, 2026).

2. Afpersing zonder versleuteling

Criminelen stelen steeds vaker alleen data: de AP zag in 2025 32 van zulke ransomwarezaken, tegen 15 in 2024 (NCTV, 2026). Begin 2026 stalen criminelen gegevens van meer dan 6 miljoen klanten van Odido en eisten losgeld, waar Odido niet op inging (Politie en OM, 2026).

3. Accountovername als belangrijkste ingang

55% van de Nederlandse ransomware-incidenten in 2025 begon met een accountovername (NCSC e.a., 2026), en geslaagde accountovernames in AP-meldingen stegen van 607 naar 1.742 (Clyde & Co, 2026). Wereldwijd is misbruik van inloggegevens met 22% de belangrijkste eerste ingang en verdubbelde de rol van derde partijen naar 30% (Verizon, 2025).

4. Quantumveiligheid blijft achter

In een SURF-peiling van april 2026 onder 50 onderwijs- en onderzoeksinstellingen was 69% niet actief bezig met quantumveiligheid (NCTV, 2026).

5. Meer regelgeving met vaste data

• DORA voor de financiële sector is van toepassing sinds 17 januari 2025 (EIOPA)
• AI-verordening: in werking sinds 1 augustus 2024 en van toepassing sinds 2 augustus 2026; regels voor hoog-risicosystemen volgen op 2 december 2027 en 2 augustus 2028 (Europese Commissie)
• Cyber Resilience Act: meldplichten sinds 11 september 2026, hoofdverplichtingen vanaf 11 december 2027 (Europese Commissie)
• EU Digital Identity Wallet: lidstaten moeten die eind 2026 aan burgers aanbieden (Europese Commissie)
• Cyberbeveiligingswet (NIS2) sinds 15 augustus 2026 (Rijksoverheid)

6. Criminele geldstromen groeien

De wereldwijde waarde van onrechtmatige cryptotransacties wordt voor 2025 geschat op minstens 154 miljard dollar, een verdriedubbeling ten opzichte van de jaren ervoor (Politie en OM, 2026). Voor bedrijven die digitaal opereren, is cybersecurity geen optie meer maar een basisvereiste.