In vijf jaar kreeg Nederland 729 extra cybersecuritybedrijven

Het aantal cybersecuritybedrijven in Nederland is in vijf jaar fors gestegen. Dat blijkt uit een analyse die het ANP maakte van cijfers uit het Handelsregister. Begin oktober stonden 962 cybersecuritybedrijven ingeschreven bij de Kamer van Koophandel. In dezelfde periode in 2021 waren dat er nog 233.

Het Nationaal Cyber Security Centrum (NCSC) ziet meerdere mogelijke oorzaken van die groei, zegt de organisatie tegen NU.nl. Er is steeds meer aandacht voor digitale veiligheid en er zijn verschillende nieuwe wetten op dit gebied bij gekomen. Onlangs trad bijvoorbeeld de Cyberbeveiligingswet in werking. Volgens het NCSC speelt verder de opkomst van AI mee. AI kan kwetsbaarheden opsporen en misbruikt worden om systemen aan te vallen.

Hoewel er steeds meer cybersecuritybedrijven bij komen die organisaties kunnen ondersteunen bij dit vraagstuk, kunnen zij de verantwoordelijkheid voor de beveiliging niet volledig overnemen, benadrukt het NCSC. Organisaties blijven altijd zelf verantwoordelijk voor hun digitale beveiliging.

Bron: Tadamichi via Getty Images

Reacties (60)

[thekingis13]

Worden ZZPers hier als bedrijven gezien? Zijn er nu meer grotere organisaties die zich hier mee bezighouden, of zien professionals hun kans schoon om te gaan freelancen in deze krappe markt?

Of wellicht nog erger; verkoopt men zichzelf nu als security expert, zonder dat voorheen echt geweest te zijn. Flink tekort in deze sector en tarieven liggen hoog.

[beeldbuijs]

Wie bepaalt wanneer je jezelf beveiligingsexpert mag noemen, is daar een wettelijke norm voor? Zonder te zoeken, gok ik van niet.

We denken allemaal meteen aan het Albert Heijn incident van vorige week, maar anderzijds is er ook nog veel laaghangend fruit te vinden: bij het gemiddelde bedrijf klikken mensen nog steeds vrolijk op het eerste het beste zogenaamd interne mailtje, wat in werkelijkheid een phishingmailtje is, zelfs als ze een paar dagen eerder een voorlichtingsmiddag over phishing hebben uitgezeten. Dus wat mij betreft prima dat er op alle niveau’s aandacht voor is, want niet iedereen heeft de behoefte en het budget voor Fox-IT.

[Dutchzilla]

In Nederland kun je, op een aantal gereguleerde beroepen na, werkelijk met verbazingwekkend weinig kennis of aantoonbare vakbekwaamheid een bedrijf beginnen en jezelf vervolgens doodleuk professional of specialist noemen.

Kijk alleen al naar de wildgroei aan cybersecuritybedrijven. De ene na de andere schiet als paddenstoelen uit de grond. Zelfstandigen die ergens een cursus ethical hacking hebben gevolgd, bijvoorbeeld bij NOVI, en vervolgens denken dat ze de complete cybersecuritywereld begrijpen. Even een gelikte website met een mooie template in elkaar flansen, wat indrukwekkende vaktermen erop gooien en hoppa, we zijn cybersecurityspecialist!

En het beperkt zich echt niet tot de IT-sector. Kijk naar de enorme hoeveelheid voet- en handverzorgers, alternatieve behandelaars, chiropractors en allerlei andere zelfbenoemde specialisten. Voor sommige beroepen gelden duidelijke opleidingseisen en wettelijke beschermingen, terwijl bij andere vrijwel iedereen zich specialist kan noemen. Dat verschil is soms ronduit absurd.

Begrijp me niet verkeerd, er zitten absoluut uitstekende zelfstandigen tussen. Mensen met jarenlange ervaring, aantoonbare kennis en echte vakbekwaamheid. Maar die moeten dus concurreren met figuren die na een paar cursussen denken dat ze dezelfde expertise in huis hebben.

Een bedrijf starten in Nederland is kinderlijk eenvoudig. En dat is op zichzelf prima. Ondernemerschap moet toegankelijk blijven. Maar het gemak waarmee je jezelf vervolgens als deskundige kunt presenteren, zonder dat iemand ooit serieus heeft vastgesteld of je daadwerkelijk weet waar je het over hebt, vind ik behoorlijk zorgwekkend.

Een KvK-inschrijving maakt je ondernemer. Geen expert.

Maar zolang je een goede babbel hebt, een gelikte website en jezelf overtuigend weet te verkopen, kom je in Nederland blijkbaar een heel eind. En de klant mag vervolgens zelf uitzoeken of hij met een echte vakman te maken heeft of met iemand die vooral heel goed is in doen alsof.

[PCR]

Oke maar waarom is dit nou volledig AI-geschreven? Dit leest als een draak.
- 'Begrijp me niet verkeerd',
- 'X maakt je Y. Geen Z.',
- Drieslag: 'Maar zolang je een goede babbel hebt (dat is 1), een gelikte website (dat is 2) en jezelf overtuigend weet te verkopen (en huppa, daar is 3), kom je in Nederland blijkbaar een heel eind.'
Maar goed, ik kan er naast zitten dus ook AI nog ff gevraagd natuurlijk, beetje ironie is mij ook niet vreemd:

Pangram zegt: 100% of this text is AI
GPTZero zegt: 98% chance this entire text is AI

Ik vind het verschrikkelijk

[Reactie gewijzigd door PCR op 19 oktober 2026 16:43]

[Firestorm666]

Er zijn ook mensen die gewoon zo schrijven hoor... het is niet omdat er AI kenmerken zijn, dat het ook noodzakelijk zo is. De tekst leest prima, ik heb hier op tweakers al veeeeeeeel erger voorbij zien komen.

Kan best dat AI het geschreven heeft, dat maakt de opmerking niet ineens ongeldig. Dat is al even irritant als de spellings nazi's die doen alsof een hele tekst onleesbaar is omdat er wat spelfouten in staan.

Tis maar een comment op tweakers, geen brief aan de koning .

Ik begrijp je heus wel hoor, vindt het zelf nogal zielig als iemand AI gaat gebruiken voor simpele opmerkingen... beetje zelf nadenken mag ook eens .

[cricque]

Zelde in België ... Meeste kennen er gewoon geen bal van, want bekwaamheid is dikwijls ver te zoeken.

[Firestorm666]

Dat heb je in elk land hoor. Als klant moet je altijd nagaan of de uitleg/offerte/... klopt als het over redelijke bedragen gaat.

[PdeBie]

En het beperkt zich echt niet tot de IT-sector.

Life coaches.... kuch

[Firestorm666]

En de klant mag vervolgens zelf uitzoeken of hij met een echte vakman te maken heeft of met iemand die vooral heel goed is in doen alsof.

Dat is al eeuwenoud, echt niks nieuws. Als je een overeenkomst maakt wat over belangrijke dingen gaat is het altijd aan te raden om een 2de of 3de opinie te vragen en zelf wat onderzoek te doen wat wel of niet klopt.

Je hoeft hiervoor zelf geen vakkenner te zijn. Mooipraters vallen nogal rap door de mand bij de 1ste beste kritische vraag.

[cyclone]

Vermoed dat jij nog nooit van Rianne van Rijnroek hebt gehoord ?

Google maar eens, onze nationale cyber charlatan geeft voldoende leesvoer om eens goed achter je oren te krabbelen.

En bewijst dat iedere koekwaus zichzelf cyber security expert kan noemen.

[curkey]

Zou onze Data Hari nog actief zijn? Inmiddels moet ze toch redelijk binnen zijn en haar blockchains op het droge hebben.

[Jerie]

Ze komt zelfs op Tweakers! Wel undercover, zeer geheim

[Jerie]

Wie bepaalt wanneer je jezelf beveiligingsexpert mag noemen, is daar een wettelijke norm voor? Zonder te zoeken, gok ik van niet.

Dat is geen beschermde titel, dus een ieder mag zich zo noemen. Ik had vorige week met spoed electricien nodig; zelfde probleem. Want via Google of een andere zoekmachine moet je oppassen voor oplichters en SEO.

'Expert', tja. Wie zegt wanneer jij expert bent. Certificaten zeggen dat. Wil je op safe spelen: geen OSCP -> no-go.

Dan heb je ook nog binnen dit veld diverse expertises. Zoals ik ken iemand die is heel goed met SQL injections. Doet hij ook al kleine dertig jaar. Een groter bedrijf kan zo iemand op specifiek die taak zetten.

Maar hetzelfde qua beun de haas ben ik ook tegengekomen in restaurants. Zonder te melden soep met alcohol erin (wat je niet wilt als zwangere) en dan doodleuk zeggen dat je de alcohol eruit kookt. Terwijl ik toch echt de alcohol merk. Koken is scheikunde, en niet iedereen is daar even goed in zullen we maar zeggen.

Je zult dus altijd onderzoek moeten doen, en de prijs voor een goede pentester is er ook naar want de opdrachten liggen voor het oprapen. Qua kleine ondernemers met goede prijs/kwaliteit: ik raad ROS aan maar het haalt het niet bij de gerenommeerde grote jongens.

[Rutger Muller]

Klopt wat je zegt over phishing.

Huidige trainingen gericht op phishing-bewustwording werken in het algemeen niet. Zie bijv. dit onderzoek:

"Anti-Phishing Training Does Not Work: A Large-Scale Empirical Assessment of Multi-Modal Training Grounded in the NIST Phish Scale – Andrew T. Rozema (Purdue University), James C. Davis (Purdue University)" https://arxiv.org/html/2506.19899v1

Dus is het of betere trainingen (psychologisch, iemand ideeën?), of betere hard- en software oplossingen.

[Bender]

ZZPers zijn bedrijven, dus zullen als bedrijf worden gezien.

[SuperDre]

Ik denk vooral het laatste. Van die 729 bedrijven verwacht ik dat het grootste deel gewoon louche bedrijven zijn.

[question]

Nouja louche lijkt me wat vergezocht. Alleen al de nieuwe plicht om bestuurders te trainen op het gebied van CS zal genoeg zijn om de vraag naar trainers te doen vergroten. Is het dan meteen een louche partij? Mwah. Over de kwaliteit van de producten en diensten kun je wel kritisch zijn als er ineens zoveel bij komt.

[bzuidgeest]

Zolang er geen branche keurmerk is of zo kan iedere sukkel zich presenteren als een security bedrijf met een half bakken verhaaltje om de klant bang te maken en dan wat standaard inrichtingkjes verkopen die ze zelf nauwelijks begrijpen. De hele IT markt zit daar vol mee. Security is echt niet anders.

[Orangelights23]

Er zijn genoeg keurmerken hoor. Alleen is de toegevoegde waarde van een keurmerk praktisch nihil aangezien het vooral op basis van track record gaat.

[bzuidgeest]

Geen keurmerken met waarde dan. Zelfs de meeste iso certs zijn waardeloos. De gasten die komen controleren begrijpen nauwelijks waar ze naar kijken. Je kan ze alles wijs maken.

Het is niet als met advocaten waar je dat pas als beroep mag claimen als je aan vereisten voldoet, of notaris en andere "beschermde" beroepen.

[Cambionn]

Zelfs de meeste iso certs zijn waardeloos. De gasten die komen controleren begrijpen nauwelijks waar ze naar kijken. Je kan ze alles wijs maken.

Ligt heel erg aan je auditer, je hebt ook echt wel goede gelukkig. Maar helaas idd ook genoeg die zijn zoals jij beschrijft.

Helpt ook niet dat de helft van de mensen niet weet wát er nou gecertificeerd is. Het aantal mensen dat denkt dat het hebben van een ISO-27001 certificaat betekend dat je secure bent is echt belachelijk groot (en dan gaan we er ff vanuit dat hij verdiend is). Terwijl die norm enkel beoordeeld of je de juiste processen hebt om je security in kaart te stellen, te verbeteren, en anderzijds op te pakken. Het kan theoretisch prima zijn dat je security kut is, maar je dit risico weet (en eventueel zelfs expliciet accepteerd). Je moet officieel elk jaar verbeteren, maar als de lat laag ligt zegt een verbetering niet dat het daarna allemaal goed beveiligd is .

Om nog niet te spreken van bedrijven die claimen gecertificeerd te zijn, maar bij navraag blijkt bijv. hun datacenter gecertificeerd te zijn. Ja leuk, maar compleet nutteloos als ik met jou in zee wil; jij als tussenpersoon kan dus gewoon alles yolo'en. Om nog niet te beginnen over bedrijven die bijna alles "out of scope" zetten en hopen dat men niet verder kijkt dan een certificaat met hun naam...

Eigenlijk gaat het op elke laag vaak genoeg mis, niet enkel bij auditors en geaccridenteerde instanties. Terwijl wanneer gebruikt zoals bedoeld de normen enorm nuttig zijn, ook voor jou als bedrijf. Zelfs de externe audit is dan een mooie check omdat een buitenstaander toch altijd net andere dingen ziet. Zou mooi zijn als men daar netjes mee omging. Maar helaas komen we dan ook weer op het feit dat security voor velen vooral als kostenpost en last wordt gezien (iig tot het mis gaat en de gevolgen zichtbaar worden, daarna is er meestal, al dan niet tijdelijk, aandacht voor). Ze willen het kunnen verkopen dat ze het doen maar er niet te veel in investeren .

[Reactie gewijzigd door Cambionn op 19 oktober 2026 14:25]

[bzuidgeest]

Terwijl die norm enkel beoordeeld of je de juiste processen hebt om je security in kaart te stellen, te verbeteren, en anderzijds op te pakken. Het kan theoretisch prima zijn dat je security kut is, maar je dit risico weet (en eventueel zelfs expliciet accepteerd

Uitstekend voorbeeld van waarom ik "certificering" als waardeloos zie (in veel gevallen).

Aantonen dat je weet dat het kut is en je "werkt" eraan kan je een certificering geven..... juist ja.

[Cambionn]

Nee, dat certificaat geeft niet aan "dat je weet dat het kut is en er aan werkt". Het geeft aan dat je de juiste processen op orde hebt hebt om alles rondom informatiesecurity in je bedrijf te kunnen inzien, waarborgen en verbeteren. Dat is het punt, het is géén certificeren over of je wel en niet secure bent. Daar is het ook helemaal niet voor bedoeld.

Het is, in zichzelf, ook echt helemaal geen slechte norm noch een slecht certificaat. Het is juist zeer goed om dit op orde te hebben, want hoewel het niet direct zegt dat je beveiliging tiptop is, is dit op orde hebben is wél een belangrijke stap om informatiebeveiliging überhaupt op orde te kunnen hebben. Maar het is een processnorm voor informatiebeveiliginggerelateerde processen, geen beveiligingscheck. Dat men dat vaak foutief denkt is 1 van de problemen, en ligt bij hoe men het certificaat (en de waarde ervan) interpreteerd (en dan heb ik het zowel over marketeers die het verkeerd promoten als klanten die het blind als gepaseerde beveiligingscheck zien).

[bzzzt]

https://www.ncsc.nl/nieuws/keurmerk-digitale-basisveiligheid-mkb-gelanceerd

[bzuidgeest]

Dat moet nog komen en of het audit enige inhoudelijke waarde heeft moet nog blijken. Grote kans dat het de zoveelste wassen neus is. Met auditors die nauwelijks hun computer aan kunnen krijgen.

[bzzzt]

Punt is dat er dus wel degelijk tot actie wordt overgegaan.

Niet alle beveiligingsproblemen hebben elite hackers nodig. Juist voor het invoeren van 'best practices' is het belangrijk dat een zo breed mogelijke groep mensen hier kennis van neemt.

[bzuidgeest]

"Best practice" is context afhankelijk. Als je IT voor geestelijk gehandicapte mensen doet.... Kan je leuk met lange wachtwoorden of tokens of wat voor zooi aan komen sjouwen. Maar voor die mensen gaat het niet best aanvoelen.

Er is geen "one and only", "best practice" en dat betekend dat je een enorme hoeveelheid sector kennis nodig hebt en die ontbreekt op veel te veel plekken. Hele volkstammen zijn bezig om een proces om processen te maken in "beheer" te houden.

[Reactie gewijzigd door bzuidgeest op 19 oktober 2026 16:37]

[Skywalker27]

Precies er is een te kort aan Infosec mensen, de meeste bedrijven blijven haken op awareness en het simpele verhaal van unieke wachtwoorden, niet klikken ophangen bel je bank enz.

[Mathijs Kok]

Dat 'simpele' verhaal is voor veel kleine bedrijven al een enorme stap voorwaarts. En inderdaad hoef je daarvoor geen diepe kennis van IT-beveiliging te hebben, wat maakt dat nu uit?

[Skywalker27]

Ik verwacht als je jezelf een cybersecurity bedrijf noemt (alleen die term is al fout, maar ja.. niets meer aan te doen). Dat je wel meer kan. Net zo als een IT bedrijf, security in het diensten portfolio heeft (daar vind ik ook wat van. Andere tak van sport andere uitgangspunten

[litebyte]

Het zijn geen kapper- of belwinkels

[Kobboi]

"Russische codes!"

[Dark Angel 58]

Worden ZZPers hier als bedrijven gezien?

Zolang ze bedrijfsnamen hebben.... ja.

[Polderviking]

De vraag is nu natuurlijk wel of het zin heeft jezelf hier op toe te leggen of niet.
Security is veel gedocumenteerde theorie, verwacht ik dat AI hier ook nogal snel gaat domineren.

[SuperDre]

Maar juist daarom is het nu nog interessant om snel te cashen. Cybersecurity is natuurlijk wel een vak apart dat je niet ff erbij doet (wil je het goed doen).

[iAR]

Rian van Rijbroek enters the chat…

[cyclone]

Geen idee wie jou downmod maar niet mensen die snappen wie deze dame is en waarom jouw opmerking volkomen on topic is.

Sonde, lieve mensen :

Wikipedia: Rian van Rijbroek

[iAR]

Imfameus, en bizar. Maar goed, de youth. Die kent haar blijkbaar niet meer…

[cyclone]

Sonde tis toch echt een klassieker iedereen die een beetje verstand heeft van security kent dit verhaal toch. Die boeken hebben inmiddels een prachtige cult status! (En zijn dus amper meer te vinden)

[Mit-46]

Dat er in 2021 maar 233 Nederlandse bedrijven op dit gebied waren vind ik nog het opvallends aan dit verhaal.

[LootersV]

Ik verwacht over 5 jaar meer dan het omgekeerde, ‘dankzij’ AI

[Blokker_1999]

Ik zie niet in hoe AI cybersecurity specialisten ineens overbodig maakt. AI heeft zijn nut, maar is niet de manier om een goed en correct beveiligingsbeleid te voeren. Het is een kluwen van regels en altijd op zoek gaan naar een goed compromis. Dat kan een machine niet zomaar doen.

[LootersV]

Niemand heeft het over overbodig, ik geef alleen aan dat ik minder bedrijven verwacht

[Mathijs Kok]

. Het is een kluwen van regels en altijd op zoek gaan naar een goed compromis. Dat kan een machine niet zomaar doen.

Mmmm dat is nu juist een van de sterke punten van AI. Ik kreeg recentelijk een vraag van een vriend om zijn IT-beveiliging eens met andere (verse) ogen te bekijken, maar had geen tijd. ChatGPT heeft dat toen gedaan en enkele behoorlijk zware problemen gevonden. De aanbevelingen waren van prima kwaliteit. De trainingsdocumenten die Chat maakte waren fantastisch.

[Bl@ckbird]

Ook AI heeft guardrails nodig.

[Orangelights23]

Ik ken genoeg bedrijven die guardrails maken met behulp van AI, en het ook nog zó goed werkt dat zij hun ISAE/SOC 2 Type II trajecten grotendeels geautomatiseerd hebben.

[Mit-46]

Ik denk dat het er alleen maar meer worden dank zij AI.

AI wordt gebruikt door hackers en door cybersecurity specialisten (die vaak ook "hackers" zijn).

Het vervangt geen van beide.

[litebyte]

Laten we hopen dat het woord 'cyber' dan ook verleden tijd is. noem het gewoon digitale beveiligingsbedrijven, klinkt wel minder spannend.

[MneoreJ]

Het AI mes snijdt twee kanten op. Dikke kans dat een zeer groot aantal van deze nieuwe experts in cybersecurity gewoon hun eigen modelletjes aanzwengelen voor de audits, in de veronderstelling dat niemand anders deze geniale tactiek kan vermarkten. Plus natuurlijk het groepje dat hier juist naar wijst en zegt "die gast vraagt het gewoon aan Claude, kom naar mij, want ik heb ook nog wel eens een college gevolgd".

[Dark Angel 58]

Dat is overdreven veel... en dat zal vast in de toekomst veel problemen opleveren, omdat daardoor veel personeel tekorten zal krijgen.
Mijn suggestie... vermijd versplintering en start met fusies of overnames, hoe minder hoe beter, dan zijn er beste keuzes.

Als een directeur een cybersecuritybedrijf wil gebruiken, dan zoekt hij op internet naar een lijst. what the fuck 962?? Dat is overdreven veel!!! Dat geeft hem keuze stress. Daarom bad idea! thumb down!

[Orangelights23]

Natuurlijk niet. Dat gaat via zijn of haar netwerk. Ik heb toevallig een eigen consultancy bureau (ik hoor bij de old school 233 bedrijven ) en alles komt via via binnen. Ook bij onze concurrenten en samenwerkingspartners.

[Polderviking]

Ja, macht concentreren bij een klein aantal bedrijven werkt nu ook al zo gunstig voor iedereen, moeten we meer van willen.

[Mit-46]

Er zijn in Nederland 2.5 miljoen bedrijven volgens het CBS. Op een uitzondering na heeft elk bedrijf te maken met de digitale wereld. Al is het "maar" een website.

962 is weinig en geeft vooral aan hoe slecht het gesteld is met cybersecurity in het algemeen.
Cybersecurity is ook maar een verzamelnaam voor verschillende vormen van beveiliging. Doe je Cisco/Fortigate? Microsoft? Netwerken? Apple? Web apps? Doe je cloud of on-prem?

Genoeg "cyber" om te beveiligen denk ik.

Verder denk ik ook niet dat een "directeur" zelf naar zo'n bedrijf op zoek gaat tenzij we het hebben over super kleine bedrijven met max tientallen werknemers, maar anders zal er al gauw een IT afdeling aan te pas komen die dit op zich neemt (en hun huiswerk daarom gewoon mag doen, want daar worden ze immers voor betaald).

[Reactie gewijzigd door Mit-46 op 19 oktober 2026 14:04]

[Honytawk]

laat die vrije markt zichzelf eens reguleren.

Of jij het veel vind of niet maakt niet uit.
Dat die directeur dan maar eens iets van werk verzet en onderzoekt welk bedrijf het beste zou zijn voor zen situatie. Dat is namelijk zen job waar die voor betaald wordt.

[sdziscool]

Probleem bij security is dat de markt zichzelf niet kan reguleren, hoe kan een persoon het verschil zien tussen oplichtbedrijf A en echt bedrijf B? Van allebei krijgt de persoon een rapport waar ze dan weinig tot niets mee doen en een leuke sticker voor op de website. Pas als het fout gaat zou iemand door de mand vallen, maar dat gaat jaren duren, ondertussen kan bedrijf A miljoenen verdienen.

[craymour]

Ik ken genoeg kleine MKB bedrijfjes die ook security aanbieden. Ik moet er meestal een beetje om gniffelen wat ze kunnen en waar ze wel of niet aan denken. Uiteraard wil ik de goeden onder dezen niet te kort doen.

[litebyte]

Excuus, verkeerde topic...[knip]

[Reactie gewijzigd door litebyte op 19 oktober 2026 14:50]

[FGras]

Zijn er toevallig ook verschillende subsidies en financiële prikkels in Nederland die relevant kunnen zijn bij het starten van een cybersecuritybedrijf?

[sdziscool]

Ja de NOS schrijft om de 2 weken een nieuw artikel over een incident, geweldige prikkel van de overheid!

[sdziscool]

Als iemand die in een relevant vakgebied werkt, kan ik vertellen dat we waarschijnlijk zo’n 200 echte experts in Nederland hebben (ik ben er geen van) waarvan er ~150 bij grote bedrijven bezig zijn en de overige 50 voor groot geld contractwerk doet bij banken etc.

Er zijn wel een paar duizend mensen die goed beveiliging van ICT kunnen opzetten, maar dat is anders dan live monitoren etc.

deze cybersecurity bedrijven verkopen voornamelijk een goed onderbuikgevoel en iemand om naar te wijzen als het fout gaat “uh wij hebben alles laten checken door experts XYZ, meer konden we niet doen”.

En die bedrijfjes lachen zich natuurlijk slap zolang het goed gaat, want security kun je de wereld voor vragen.