Een cloudleverancier heeft een storing, en tientallen klantbedrijven verliezen gedurende meerdere uren toegang tot hun zakelijke tools. Dit scenario, dat steeds vaker voorkomt, illustreert een belangrijke wending in de cybersécurity: de bedreiging komt niet langer alleen van een directe aanval, maar van de digitale afhankelijkheden tussen organisaties. De trends in cybersécurity voor 2026 bevestigen dat het beschermen van je eigen perimeter niet meer voldoende is.
Digitale afhankelijkheden en het domino-effect op de veerkracht van bedrijven
Het rapport Threat Landscape 2026 van ENISA, gepubliceerd op 22 september 2026, plaatst de onderlinge verbondenheid van diensten en leveranciers centraal in de risico’s. Een organisatie kan worden getroffen zonder direct te zijn doelwit, simpelweg omdat een leverancier of een kritieke platform is gecompromitteerd.
Concreet, stel je een bedrijf voor dat een facturatie-tool gebruikt die gehost wordt bij een cloudleverancier. Als deze leverancier wordt getroffen door ransomware, kan het bedrijf geen facturen meer uitbrengen, zelfs als de eigen systemen intact zijn. Een aanval op een schakel raakt de hele keten.
Deze realiteit verandert de manier waarop beveiligingsteams moeten werken. Het in kaart brengen van technische afhankelijkheden (wie host wat, wie heeft toegang tot wat) wordt net zo strategisch als het bijwerken van firewalls. Organisaties die de nieuws van de Cyber sPass-website volgen, vinden regelmatig dit soort analyses toegepast op actuele casussen.
ENISA bevestigt bovendien dat ransomware de grootste bedreiging op korte termijn blijft in Europa. De effectiviteit ervan berust juist op deze onderlinge afhankelijkheden: het versleutelen van de gegevens van een sleutel leverancier kan tientallen klanten stroomafwaarts verlammen.
Door AI ondersteunde manipulatiecampagnes: verder dan klassieke phishing
Wanneer we het hebben over AI en cybersécurity, komen phishing en deepfakes onmiddellijk in gedachten. Maar een minder belicht fenomeen krijgt een verontrustende omvang: buitenlandse manipulatie- en inmengcampagnes (aangeduid met de afkorting FIMI).
Volgens ENISA zijn de Europese campagnes van dit type, ondersteund door AI, in een jaar tijd gestegen van 41 naar 147, wat een stijging van 259 % van gemanipuleerde beïnvloedingsoperaties betekent. AI wordt hier niet gebruikt om een wachtwoord te stelen. Het genereert geloofwaardige inhoud op grote schaal om de publieke opinie te beïnvloeden, instellingen te destabiliseren of verwarring te zaaien rond gevoelige gebeurtenissen.
Waarom is dit een kwestie van cybersécurity en niet alleen van politiek? Omdat deze campagnes ook bedrijven targeten. Een valse persbericht, gegenereerd door AI en verspreid op sociale media, kan een aandelenkoers laten kelderen of paniek veroorzaken bij de klanten van een merk. De grens tussen desinformatie en cyberaanval vervaagt.
Phishing via autorisatieflows: een techniek die het wachtwoord omzeilt
Wat betreft directe aanvallen, evolueert phishing ook. De recente technieken van phishing via apparaat-autorisatieflows stellen aanvallers in staat om persistente toegangstokens te verkrijgen zonder ooit het wachtwoord van het slachtoffer te stelen.
Het principe: de gebruiker ontvangt een valse autorisatieaanvraag, vergelijkbaar met die van legitieme applicaties. Door deze aanvraag te valideren, verleent hij de aanvaller een token dat actief blijft, zelfs na een wachtwoordwijziging. De klassieke multi-factorauthenticatie blokkeert dit scenario niet, aangezien de aanvaller geen tweede factor nodig heeft.
Voor IT-teams betekent dit dat ze actieve tokens en de verleende autorisaties aan apparaten moeten monitoren, niet alleen verdachte inlogpogingen.
Regelgeving in Europa: NIS2 en DORA veranderen de verplichtingen
Twee Europese regelgeving wijzigen concreet wat bedrijven moeten doen op het gebied van informatieveiligheid:
- De NIS2-richtlijn breidt de reikwijdte uit van organisaties die onderworpen zijn aan cyberbeveiligingsverplichtingen. Sectoren zoals afvalbeheer, de voedingsmiddelenindustrie of postdiensten zijn nu gedekt, terwijl ze dat voorheen niet waren.
- De DORA-verordening legt financiële actoren (banken, verzekeraars, betalingsdienstverleners) specifieke eisen op voor digitale operationele veerkracht, inclusief regelmatige penetratietests en een formele risicobeheer van derde partijen.
- De EU AI Act voegt een extra laag toe voor AI-systemen die als hoog risico worden beschouwd, met verplichtingen voor documentatie, menselijke supervisie en incidentbeheer.
Compliance is niet langer een onderwerp dat alleen voor grote bedrijven is. Een MKB dat digitale diensten levert aan een financiële speler kan indirect onderworpen zijn aan de eisen van DORA via zijn dienstverleningsovereenkomst.
Concreet beschermingsmaatregelen voor organisaties in 2026
Geconfronteerd met deze evoluties, vallen bepaalde acties op door hun effectiviteit. Ze vereisen niet allemaal een aanzienlijk budget, maar ze vereisen wel een echte beslissing van het management.
Kaart je kritische afhankelijkheden in
Maak een lijst van elke leverancier, elke cloudservice, elke interconnectie met een partner. Evalueer voor elk wat er gebeurt als deze schakel wegvalt. Bedrijven die hun afhankelijkheden kennen, reageren sneller in geval van een incident.
Monitor de autorisaties en actieve tokens
Het wachtwoord alleen biedt niet meer bescherming. Het is noodzakelijk om regelmatig de actieve OAuth-tokens, de verleende autorisaties aan derde applicaties en de apparaten die zijn verbonden met zakelijke accounts te auditen. Een vergeten sessie op een niet-beheerd apparaat kan een stille toegangspoort worden.
Opleiden verder dan phishing via e-mail
Bewustwordingstrainingen moeten de nieuwe vormen van manipulatie integreren: valse autorisatieaanvragen, audio deepfakes tijdens telefoongesprekken, desinformatiecampagnes gericht op het bedrijf. Een gewaarschuwde medewerker herkent ook manipulaties die niet via een e-mail verlopen.
De cyberbeveiligingsbedreigingen van 2026 delen een gemeenschappelijk kenmerk: ze maken gebruik van vertrouwen. Vertrouwen in een leverancier, vertrouwen in een bekende stem aan de telefoon, vertrouwen in een schijnbaar legitieme autorisatieaanvraag. Het versterken van de gegevensbeveiliging en de veerkracht van organisaties vereist nu een systematische heroverweging van dit vertrouwen dat standaard wordt gegeven.
