Cybersecurity voor het MKB
100 cybersecurityrisico’s: waar begint u als ondernemer?
Een brede risicolijst is geen ranglijst en geen veiligheidsbelofte. Zo kiest u een rustige, passende eerste stap voor uw bedrijf.
Een overzicht met honderd cybersecurityrisico’s kan nuttig zijn om het gesprek te openen. Het is alleen geen boodschappenlijst die ieder bedrijf volledig moet afwerken. Uw website, mailboxen, leveranciers, apparaten en manier van werken verschillen van die van een ander. Daarom begint digitale weerbaarheid niet bij het tellen van dreigingen, maar bij de vraag wat voor uw bedrijf belangrijk is en wat u al kunt aantonen.
Ook 100% cybersecurityveiligheid bestaat niet. Software verandert, toegang kan verkeerd worden gebruikt en mensen kunnen fouten maken. Een goede basis verkleint risico’s en helpt u sneller handelen als er iets misgaat. Dat is nuchterder én bruikbaarder dan een belofte dat alle risico’s zijn afgedekt.
Een brede lijst is geen ranglijst
De titel verwijst naar een brede, niet-geverifieerde taxonomie met honderd mogelijke risico’s. Die lijst is geen bewijs dat dit de honderd meest voorkomende of meest impactvolle risico’s van 2026 zijn. Zij zegt ook niet welk risico bij u als eerste speelt. Sommige onderwerpen overlappen: een misleidende e-mail kan bijvoorbeeld leiden tot accountmisbruik, dat weer gevolgen kan hebben voor uw website, cloudopslag of facturen.
Gebruik zo’n lijst daarom als kaart, niet als scorebord. Noteer wat herkenbaar is, welke systemen erbij horen en wie er iets over weet. Wat u niet kunt bevestigen, registreert u als onbekend. Onbekend is geen groen vinkje en ook geen reden voor paniek; het is een punt dat u later gericht kunt uitzoeken.
Begin bij de vijf basisprincipes
Het NCSC beschrijft vijf basisprincipes voor digitale weerbaarheid: Breng risico’s in kaart, Bevorder veilig gedrag, Bescherm systemen, applicaties en apparaten, Beheer de toegang en Bereid u voor op incidenten. Samen geven ze een praktische volgorde. Eerst zicht op wat u gebruikt en waarom het belangrijk is; daarna afspraken over mensen, techniek, toegang en herstel.
Voor een klein bedrijf hoeft dat geen dik handboek te zijn. Een kort overzicht met uw belangrijkste systemen, eigenaren, leveranciers en open vragen is al een begin. Leg er per onderwerp bewijs naast: een screenshot van MFA-instellingen, een bevestiging van de provider, een update-overzicht of een verslag van een herstelproef. Bewaar geen wachtwoorden, tokens, herstelcodes of persoonsgegevens in zo’n register.
Tien domeinen, compact bekeken
De brede lijst raakt tien domeinen: AI en gegevensgebruik; misleiding en identiteitsfraude; accounts en toegangsbeheer; malware en afpersing; leveranciers en softwareketens; cloud en hosting; netwerk en webapplicaties; apparaten en fysieke toegang; menselijke fouten en interne risico’s; en externe ontwikkelingen zoals regelgeving of geopolitiek. Niet elk domein hoort bij elk MKB-bedrijf. Een kantoor zonder productieomgeving beoordeelt industriële apparatuur anders dan een fabriek, en een bedrijf zonder eigen AI-toepassing begint vooral bij de gegevens die medewerkers in hulpmiddelen invoeren.
Behandel AI als gegevensverwerking, niet als code of als beslisser. Spreek af welke gegevens wel en niet in een AI-hulpmiddel mogen, controleer uitkomsten voordat ze worden gebruikt en houd menselijke verantwoordelijkheid bij betalingen, toegangsrechten en andere belangrijke besluiten. Zo voorkomt u dat een handige tool stilzwijgend een nieuwe plek wordt waar bedrijfsinformatie terechtkomt.
Waar u deze week mee kunt beginnen
Kies een klein aantal concrete controles. Werk per punt met een eigenaar, datum, bewijsbron en de status ‘bevestigd’, ‘te herstellen’ of ‘onbekend’. Daarmee ontstaat een risicoregister dat u kunt bijwerken, in plaats van een lijst die na één overleg in een map verdwijnt.
- Website: noteer uw hoofddomein, hostingpartij, publieke formulieren en wie wijzigingen mag laten uitvoeren. Controleer of de afgesproken openbare pagina’s via HTTPS werken en leg vast wat u daadwerkelijk hebt bekeken.
- Accounts: maak een overzicht van beheeraccounts, mailboxbeheerders en belangrijke SaaS-diensten. Verwijder geen accounts op goed geluk, maar controleer eerst wie ze nodig heeft en of MFA voor de afgesproken beheeraccounts aanstaat.
- E-mail: spreek een tweede controle af voor wijzigingen in rekeningnummers, betaalverzoeken en verzoeken om toegang. Een plausibele naam of stem is op zichzelf geen verificatie.
- Back-ups: leg vast waar de back-upinformatie staat, wie eigenaar is en welk bewijs er is van een herstelproef. Een beschikbare back-up is niet automatisch bewezen herstel.
- Updates: noteer welke partij verantwoordelijk is voor CMS, plug-ins, thema’s, hosting en apparaten. Als die verantwoordelijkheid niet duidelijk is, zet dat als open risico in plaats van aan te nemen dat iemand het doet.
Zo gebruikt u bewijs zonder schijnzekerheid
Een risicoregister hoeft geen technisch dossier te worden. Schrijf bijvoorbeeld: ‘MFA voor beheeraccount: bevestiging van beheerder op 22 oktober; screenshot opgeslagen in interne map; herbeoordelen bij personeelswijziging.’ Schrijf ook eerlijk op wanneer u iets niet weet: ‘Back-upaanbieder bekend, herstelproef niet bevestigd.’ Dat maakt vervolgwerk bespreekbaar en voorkomt dat een ontbrekend bewijsstuk als veilig wordt gelezen.
De lijst vervangt geen incidentplan. Zet daarom ook een bereikbaar aanspreekpunt, de contactgegevens van uw hoster of IT-partner en de eerste stappen bij verlies van toegang op één plek. Een oefening of echte herstelactie vraagt een passende, afzonderlijke afspraak; doe geen ingrijpende tests op een live omgeving zonder toestemming en voorbereiding.
Waar de CyberCheck wel en niet past
Bij UurVonk is de CyberCheck na vrijgave voor Start, Groei en Conversie steeds dezelfde beperkte oplevercontrole voor één eenvoudige bedrijfswebsite, met een rapport en één beperkte hertoets. De uitvoering is nog niet vrijgegeven. Het is dus geen service die nu wordt uitgevoerd of apart besteld kan worden. Websitezorg blijft een afzonderlijke, ongewijzigde afspraak.
De scope wordt vooraf schriftelijk begrensd: één benoemd hoofddomein, afgesproken openbare routes en normale GET-verzoeken in de browser. Bron-, beheer- of providerinformatie bekijken we alleen wanneer die afzonderlijk is geautoriseerd. We registreren MFA-bewijs voor afgesproken beheeraccounts en beschikbaar back-up- en herstelbewijs, zonder codes te vragen. Ontbrekend bewijs of een onderwerp buiten scope blijft ‘niet onderzocht’ of ‘onbekend’ — nooit ‘veilig’.
De CyberCheck is geen pentest, 24/7-monitoring, certificering, cryptobeoordeling of garantie tegen incidenten. Voor portalen, webshops, complexe koppelingen, herstelwerk of specialistisch onderzoek is een aparte scope nodig. Bekijk de voorwaarden op de pagina over websitebeveiliging en de pakketafspraken op de prijzenpagina voordat u conclusies trekt over wat in een opdracht past.
Rustig verder
Kies één eigenaar voor het register en plan een kort moment om open punten door te nemen. Begin met wat toegang geeft tot veel gegevens of veel werk stilzet: beheeraccounts, e-mail, de website, belangrijke leveranciers en de mogelijkheid om terug te vallen op een bruikbare back-up. Daarna kunt u verdiepen waar uw eigen werkzaamheden dat vragen.
Zo verandert een lange lijst niet in alarmmarketing, maar in een gesprek over uw bedrijf. U hoeft niet alles tegelijk te weten. Wel helpt het om te benoemen wat bevestigd is, wat aandacht vraagt en wat nog onbekend is.