Security in 2026: regie is geen IT-vraagstuk meer

Voor IT-beslissers, CISO’s en bestuurders die cyberweerbaarheid bestuurbaar én aantoonbaar moeten organiseren richting klanten, toezichthouders en de eigen organisatie.

In 2026 draait security niet meer alleen om technologie. Met de komst van de Cyberbeveiligingswet en NIS2 verschuift cyberweerbaarheid steeds nadrukkelijker naar de bestuurskamer. Organisaties moeten niet alleen hun eigen beveiliging op orde hebben, maar ook grip houden op risico’s binnen de keten, leveranciers en cloudomgevingen.

Dat werd zichtbaar toen een leverancier van elektronische patiëntendossiers, actief bij een groot deel van de Nederlandse ziekenhuizen, werd geraakt door een ransomware-aanval. Niet één organisatie, maar een volledige digitale keten werd geraakt. Daarmee groeit ook de vraag die veel bestuurders stellen: hoe organiseer je aantoonbare cyberweerbaarheid zonder dat security versnipperd raakt over losse tools, leveranciers en processen?

Wat de Cyberbeveiligingswet écht verandert voor het bestuur?

De Cyberbeveiligingswet maakt cyberweerbaarheid een bestuurlijke verantwoordelijkheid. Organisaties moeten kunnen aantonen:

• Hoe risico’s worden beheerst.
• Wie verantwoordelijk is voor besluitvorming.
• Hoe incidentrespons is ingericht.
• En hoe snel de organisatie kan handelen bij dreigingen of verstoringen.

Voor bestuurders verschuift de focus daarmee van beleid naar bewijsbaarheid. Niet alleen wát er is ingericht, maar ook hoe dat in de praktijk werkt.

Drie patronen die we in de markt zien 

In gesprekken met IT-directeuren en CISO’s zien we grofweg drie manieren waarop organisaties hun cyberweerbaarheid organiseren. Elk model kan logisch zijn vanuit de fase waarin een organisatie zich bevindt. Tegelijkertijd heeft ieder model consequenties voor grip, bewijsbaarheid en snelheid van handelen. 

1. Strategisch advies zonder operationele slagkracht 
Organisaties beschikken over roadmaps, risicoanalyses en governance-modellen, maar missen een partij die ook daadwerkelijk kan ingrijpen wanneer het spannend wordt. Daardoor ontstaat een kwetsbare kloof tussen beleid en praktijk. Op papier is veel geregeld, maar bij een incident blijkt de uitvoering onvoldoende ingericht. 

2. Operationele monitoring zonder strategische verankering 
Er is 24/7 monitoring, tooling en alerting, maar de verbinding met governance, compliance en architectuurkeuzes ontbreekt. De organisatie ziet veel signalen, maar kan die niet altijd vertalen naar bestuurlijke stuurinformatie of aantoonbare verbeteracties. Daarmee blijft security vooral reactief. 

3. Strategie en operatie onder één regie 
Wanneer risico’s, beleid, monitoring en incidentrespons in samenhang worden georganiseerd, ontstaat meer voorspelbaarheid. Eigenaarschap is duidelijker belegd, responstijden worden meetbaar en besluitvorming wordt beter onderbouwd. Dat helpt niet alleen in de dagelijkse operatie, maar ook in de verantwoording richting directie en toezichthouders. 

Wat het kost als de keten breekt?

Het incident bij de leverancier van het elektronisch patiëntendossier laat zien waar de werkelijke impact van cyberincidenten in 2026 ontstaat. Niet alleen binnen één organisatie, maar juist in de keten. Wanneer een leverancier uitvalt, raken ook portalen, processen, gegevensstromen en afhankelijkheden bij tientallen of zelfs honderden andere organisaties verstoord. 

Wie alleen naar de eigen omgeving kijkt, mist daardoor een belangrijk deel van het risico. De aanvalsoppervlakte bestaat ook uit leveranciers, koppelvlakken, gedeelde identiteiten en systemen waarop kritieke processen vertrouwen. 

Zonder strategische verankering blijft security vooral reactief. Zonder operationele slagkracht blijft weerbaarheid vooral een beleidsvoornemen. Pas wanneer strategie en operatie samenkomen, ontstaat grip: ketenrisico’s worden zichtbaar, incidenten worden sneller beheersbaar en het bestuur beschikt over de informatie die nodig is om keuzes uit te leggen en te verantwoorden. 

Hoe Wortell regie organiseert: van governance tot 24/7 respons 

Wortell helpt organisaties om cyberweerbaarheid bestuurbaar én uitvoerbaar te maken. We verbinden strategisch securityadvies met operationele uitvoering binnen één samenhangende aanpak. Wet- en regelgeving, zoals NIS2 en de Cyberbeveiligingswet, vertalen we naar duidelijke keuzes over beleid, eigenaarschap, risicoacceptatie en besluitvorming. 

Die keuzes blijven niet op papier staan. Via Managed eXtended Detection & Response, geleverd vanuit het Wortell Cyber Defense Center, zorgen we voor continue detectie, opvolging en respons. Zo ontstaat een directe verbinding tussen wat bestuurlijk is afgesproken en wat operationeel gebeurt wanneer dreigingen zich voordoen. 

Op strategisch niveau brengen we governance, compliance en architectuurkeuzes bij elkaar in een verhaal dat uitlegbaar is voor directie en toezichthouders. Op operationeel niveau zorgen we voor 24/7 monitoring, snelle respons en transparante rapportage. Sectorgerichte dreigingsinformatie verrijken we via relevante samenwerkingen, waaronder die met Z-CERT, het sectorale CERT voor de Nederlandse zorg. En dat alles vanuit een AI-first securitystrategie: met slimme automatisering, snellere duiding van signalen en betere ondersteuning van analisten, zodat organisaties sneller kunnen reageren én gerichter kunnen sturen. 

Vragen die bestuurlijke regie zichtbaar maken

• Wie is binnen onze organisatie eigenaar van zowel securitybeleid als de uitvoering ervan?  

• Hoe maken we compliance richting toezichthouders vandaag al navolgbaar?  

• Wat zijn onze feitelijke detectie- en responstijden bij een incident en waarop baseren we die?  

• Hebben we zicht op ons volledige aanvalsoppervlak, inclusief cloudomgevingen, identiteiten en kritieke leveranciers?  

• Waar sturen we actief op risico, kosten en continuïteit, voordat een incident ons daartoe dwingt?  

Organisaties die deze vragen niet scherp kunnen beantwoorden, hebben meestal geen gebrek aan securitymiddelen. Ze missen vooral samenhangende regie. 

Van inzicht naar bestuurbare cyberweerbaarheid 

De Security aanpak van Wortell helpt bestuurders en CISO’s om strategie, governance, monitoring en incidentrespons in samenhang te organiseren. Niet als losse securitydienst, maar als onderdeel van de bedrijfsvoering én de bestuurlijke verantwoording. 

Wie wil weten waar de organisatie staat, begint bij feitelijk inzicht: hoe risico’s worden bestuurd, hoe snel incidenten worden herkend en opgevolgd, en waar afhankelijkheden in de keten invloed hebben op continuïteit. Vanuit dat inzicht worden de keuzes zichtbaar die de komende achttien maanden het verschil maken.