Een bedrijf ligt plat, een overheidsdienst is onbereikbaar, persoonsgegevens zijn gestolen. Het volgende bericht over een cyberaanval voelt inmiddels nauwelijks nog als nieuws. We lezen het, denken even aan onze eigen gegevens en gaan verder. Maar achter die gewenning schuilt een ongemakkelijke vraag: hoeveel digitale kwetsbaarheid kan een samenleving verdragen?

Het verontrustende is niet alleen dat aanvallers ergens binnenkomen. Het is vooral dat steeds meer systemen met elkaar verbonden zijn. Volgens de Europese cybersecurityorganisatie ENISA kan een verstoring bij één partij doorwerken in een hele keten van bedrijven en diensten. Onze digitale verwevenheid maakt het leven gemakkelijk, maar vergroot ook de mogelijke schade van een aanval.

Een onbereikbare website betekent niet automatisch dat hackers toegang hebben gekregen tot de achterliggende systemen. Bij een DDoS-aanval wordt een dienst overspoeld met verkeer, waardoor gewone bezoekers er niet meer bij kunnen. Dat is iets anders dan het stelen van dossiers of het versleutelen van een bedrijfsnetwerk.

In het Europese dreigingsbeeld over 2025 waren DDoS-aanvallen verreweg het meest voorkomende type incident, terwijl ransomware als de meest ingrijpende dreiging werd aangemerkt.

Die verschillen verdwijnen gemakkelijk in de stroom alarmerende berichten. Toch doen ze ertoe. Een website die tijdelijk uitvalt, een gestolen klantenbestand en een organisatie die haar administratie niet meer kan gebruiken, zijn geen gelijksoortige rampen.

Dat maakt de situatie niet geruststellend. Het betekent vooral dat we minder moeten kijken naar het aantal schreeuwende koppen en meer naar de werkelijke gevolgen.

Je kunt als bedrijf je beveiliging op orde hebben en toch worden geraakt via een leverancier. Juist die afhankelijkheden krijgen nadrukkelijk aandacht van aanvallers. ENISA beschrijft hoe cybercriminelen digitale dienstverleners en andere knooppunten gebruiken om de impact van hun aanvallen te vergroten.

Het Nederlandse NCSC waarschuwt eveneens voor ketenschade: bij incidenten bij leveranciers worden ook hun klanten geraakt.

Een concreet voorbeeld staat in het Europese dreigingsrapport over 2025. Na een datadiefstal bij een externe dienstverlener werd de toegang tot een Italiaans vervoersplatform tijdelijk beperkt. Het kaartverkoopsysteem van vervoerder Mobilità di Marca lag daardoor twee dagen stil, met gevolgen voor duizenden reizigers.

Een incident bij één partij werd zo een probleem voor mensen die met die leverancier zelf niets te maken hadden. Daar zit de kern van de zorg. We hebben niet alleen afzonderlijke digitale voordeuren gebouwd, maar ook talloze verbindingsgangen aangelegd. Hoe goed weten we eigenlijk waar die naartoe leiden?

Het beeld van de eenzame hacker die vanuit een zolderkamer geld probeert te verdienen, schiet tekort. Het Europese dreigingsbeeld beschrijft een combinatie van cybercriminaliteit, ideologisch gemotiveerde aanvallen en digitale spionage door groepen die aan staten zijn verbonden.

Die laatste richten zich onder meer op telecom, logistiek en industrie. Hun doel is niet noodzakelijk een zichtbare storing, maar kan ook langdurige toegang tot gevoelige informatie zijn.

Daarmee krijgt digitale veiligheid verschillende gezichten. De ene aanvaller wil betaling afdwingen, de andere wil aandacht trekken en een derde wil juist onopgemerkt blijven.

De aanval waarover we lezen, is dus niet per definitie de gevaarlijkste. Soms maakt een aanval veel lawaai. Soms is stilte precies de bedoeling.

Bij cyberaanvallen denken we graag aan uitzonderlijk slimme technieken waartegen bijna niemand zich kan verdedigen. Maar volgens het NCSC vinden veel digitale incidenten hun oorsprong nog steeds in gebrekkige digitale basishygiëne.

Ook wijst de organisatie erop dat niet elke grote verstoring een aanval is: softwarefouten kunnen eveneens systemen en bedrijfsprocessen laten uitvallen.

Dat is misschien wel het ongemakkelijkste inzicht. We zijn voor belangrijke processen afhankelijk geworden van digitale systemen, terwijl de basisbeveiliging en de onderlinge afhankelijkheden niet overal voldoende op orde zijn.

Het zou te gemakkelijk zijn om de verantwoordelijkheid vooral bij de burger neer te leggen. Natuurlijk moet iedereen zorgvuldig omgaan met accounts en verdachte berichten. Maar een klant kan niet controleren hoe een bedrijf zijn netwerk heeft ingericht of welke toegang een externe leverancier heeft.

Wie gegevens verzamelt en diensten digitaliseert, draagt verantwoordelijkheid voor de risico’s die daarmee ontstaan. Digitale veiligheid hoort daarom geen sluitpost te zijn, maar een wezenlijk onderdeel van de dienstverlening.

Volledige onkwetsbaarheid is geen geloofwaardig uitgangspunt. De bestuurlijke vraag zou daarom niet alleen moeten zijn hoe een organisatie een aanval voorkomt, maar ook hoe zij doorgaat wanneer er toch iets misgaat.

Kan een instelling haar belangrijkste taken nog uitvoeren? Is duidelijk welke leveranciers onmisbaar zijn? Is er een werkbaar alternatief als een digitaal systeem uitvalt? En is dat alternatief werkelijk geoefend, of bestaat het alleen op papier?

Dat zijn geen vragen die uitsluitend bij de IT-afdeling thuishoren. Ze gaan over continuïteit, publieke dienstverlening en de verantwoordelijkheid van bestuurders. Het NCSC onderstreept juist het belang van inzicht in afhankelijkheden en een brede, proactieve aanpak van digitale weerbaarheid.

“Dit kan niet goed aflopen” is een begrijpelijke reactie op de eindeloze berichtenstroom. Toch staat een allesomvattende digitale ramp niet vast. Wat wél zichtbaar is, is een samenleving waarin aanvallers misbruik maken van de verbindingen waarop onze dagelijkse dienstverlening rust.

Daarom is berusting zo gevaarlijk. Zodra een hack wordt behandeld als gewoon weer een vervelend incident, verdwijnt de vraag of de schade voorkomen of beperkt had kunnen worden.