Veel organisaties beschikken over incident response plannen, beveiligingstools en specialisten. Toch laat onderzoek zien dat een groot deel niet zeker is of die aanpak ook écht werkt wanneer een serieuze cyberaanval morgen toeslaat. De uitkomst is alarmerend: 73% van de bevraagde IT security decision makers verwacht niet “volledig gereed” te zijn op dat moment.
De kern van het probleem zit niet in het bestaan van losse onderdelen, maar in de samenhang: coördinatie, zicht op de situatie en duidelijke afstemming binnen de organisatie bepalen of teams onder druk snel en effectief kunnen handelen.
Waarom incident response gereedheid nog steeds tekortschiet
Incident response is ondertussen veel meer dan technisch ingrijpen en het incident “afsluiten”. Een volwassen aanpak vraagt om crisismanagement op directieniveau, juridische en compliance-coördinatie, communicatie met relevante stakeholders en een gedisciplineerde aanpak voor onderzoek, herstel en nazorg.
In het onderzoek, gebaseerd op een survey onder 600 senior IT security decision makers (januari en februari 2026), gaf minder dan 40% aan dat belangrijke incident response onderdelen “hoogst effectief” zijn. Het gaat dan bijvoorbeeld om gedocumenteerde plannen, tabletop-oefeningen, threat hunting, digitale forensics en 24/7 monitoring.
Belangrijk is dat de uitdaging verder gaat dan “wel of geen capabilities”. De echte vraag is of die elementen in een live situatie soepel samenwerken, zodat beslissingen niet stilvallen wanneer snelheid telt.
Coördinatieproblemen vertragen vaak de respons
Een van de meest opvallende bevindingen is hoe vaak interne frictie het tempo bepaalt. Maar liefst 90% van de organisaties verwacht moeite te hebben om stakeholders te coördineren tijdens een groot incident.
Dat wordt extra riskant als juridische, communicatie-, security-, IT- en executive teams niet vooraf op één lijn zitten. In het onderzoek zegt 75% dat vertraging of onzekerheid rond betrokkenheid van legal en communicatieteams de besluitvorming tijdens cyberincidenten vertraagt.
Bovendien noemt 89% beperkte betrokkenheid van executives of de raad van bestuur bij incident response gereedheid en besluitvorming als aandachtspunt. In een echte aanval leidt dat tot een vervelend patroon:
- Technische teams onderzoeken en proberen te bevatten
- Executives willen updates voordat grote acties worden goedgekeurd
- Legal en communicatie schuiven relatief laat in
- Beslissingen over disclosure, klantcommunicatie en escalatie lopen achter
- Respons-teams verliezen tijd precies op momenten waarop containment snel moet
Als eigenaarschap niet helder is, ontstaat in de praktijk een reactieve cyclus. Dan gaat cruciale tijd zitten in uitleg, afstemming over bevoegdheden en het wachten op goedkeuringen, in plaats van uitvoering van een geoefend plan.
Gebrek aan zicht vergroot de kans op herhaling
Naast coördinatie speelt zichtbaarheid een grote rol. Veel organisaties kunnen volgens het onderzoek niet volledig zien waar aanvallers zich bevinden of naartoe bewegen. 78% van de respondenten geeft aan dat “blind spots” in hun omgeving aanvallers toegang laten behouden en de kans op herhaalde incidenten vergroten.
Die blind spots kunnen voorkomen in diverse domeinen: on-premises omgevingen, public cloud, endpoints, SaaS-platformen, identiteitsystemen en waar relevant ook operational technology (OT) omgevingen.
Zonder betrouwbare zichtbaarheid wordt het lastiger om essentiële vragen te beantwoorden, zoals: waar is de aanvaller binnengekomen, welke systemen zijn geraakt, heeft laterale beweging plaatsgevonden, zijn privileged accounts gecompromitteerd, is malware of persistence verwijderd en kan de aanvaller na herstel terugkeren.
IT én OT: extra blootstelling voor bedrijven met kritieke processen
Het rapport toont ook dat veel organisaties zorgen hebben over aanvallen die vanuit corporate IT doorstomen naar OT of industriële besturing (ICS). 84% van de ondervraagden geeft aan die dreiging serieus te nemen.
Die zorg is extra relevant voor sectoren zoals productie, energie, zorg, transport en vitale infrastructuur. In zulke omgevingen kan een cyberincident verder reiken dan datadiefstal of verstoring van bedrijfsprocessen. Denk aan impact op productie, veiligheid, dienstverlening en hersteltermijnen.
Het onderzoek suggereert dat organisaties zich bewust zijn van die exposure, maar dat ze moeite hebben om een eenduidig overzicht te krijgen dat cross-omgeving beweging snel kan detecteren en stoppen.
Cyberaanvallen zijn al een terugkerend bedrijfsrisico
Dit gaat niet om theoretische risico’s. In de twaalf maanden vóór de survey rapporteerde 76% minstens één cyberaanval. Van die groep kreeg 32% zelfs te maken met meer dan één incident.
De gevolgen waren concreet: operationele shutdowns, dataverlies, reputatieschade, klantverlies, gemiste omzet en verstoring van de organisatieleiding. Ook per sector verschillen de impactpatronen. Retail rapporteerde relatief vaak shutdowns en omzetverlies, terwijl dataverlies vaker terugkomt bij bijvoorbeeld productie en financiële dienstverlening.
Daarnaast kwamen er verschillen naar regio. Noord-Amerika meldde de hoogste incidentfrequentie, terwijl respondenten uit APAC vaker dataverlies, reputatieschade en klantverlies rapporteerden. Europa kende minder incidenten, maar die incidenten leidden er volgens de respondenten relatief vaker tot gemiste omzet of winst.
Ransomware en cloudaanvallen blijven bovenaan staan
Als organisaties vooruitkijken naar wat hen het meest kan ontwrichten, komt ransomware als grootste zorg naar voren. Cloudaanvallen volgen kort daarachter.
Toch wijst het onderzoek erop dat er niet één dominante dreiging is. Organisaties bereiden zich voor op een druk bezet speelveld: misbruik van identiteit, aanvallen via third parties, dreigingen met AI-ondersteuning, ransomware en aanvallen die zich verplaatsen door hybride omgevingen.
Dat maakt incident response gereedheid lastig te definiëren: je moet niet alleen één scenario kunnen afhandelen, maar voorbereid zijn op meerdere aanvalspaden.
AI helpt, maar vervangt governance niet
Steeds meer organisaties zetten AI en machine learning in voor detectie en incident response. Bijna een derde geeft aan dat AI al breed wordt gebruikt binnen (bijna) alle detectie- en incident response-activiteiten. Ook verwacht men dat AI in 2027 verder is ingebed.
Het onderzoek suggereert dat organisaties met matig tot veel AI-gebruik incident response onderdelen vaker als effectiever beoordelen. Tegelijkertijd is de boodschap duidelijk: AI is geen vervanging voor governance, zicht en een strak uitgevoerde respons.
AI kan helpen bij triage, threat hunting en onderzoek, maar kan niet oplossen dat besluitrechten onduidelijk zijn, coördinatie gefragmenteerd is of zicht onvoldoende is.
Praktische stappen om de gereedheid te verbeteren
De belangrijkste les uit het onderzoek is dat readiness geen eenmalig document is, maar een doorlopend proces. Bedrijven die hun incident response gereedheid willen versterken, kunnen volgens de bevindingen focussen op concrete verbeteringen:
- Definieer besluitrechten vooraf. Maak duidelijk wie wat beslist, inclusief escalatiepaden, goedkeuringsdrempels en communicatieverantwoordelijkheden.
- Oefen cross-functionele coördinatie. Laat tabletop-oefeningen ook niet-technische stakeholders meenemen om vertraging en onduidelijk eigenaarschap te ontdekken.
- Test zichtbaarheid in kritieke omgevingen. Zorg dat je activiteiten kunt onderzoeken over endpoints, identiteit, cloud, SaaS, on-premises en waar relevant OT. Oefen dit met bijvoorbeeld threat hunting of (red/purple) team-achtige scenario’s.
- Gebruik AI als ondersteuning. Integreer automatisering in bestaande workflows met menselijke controle en geteste responsprocedures.
- Beoordeel interne en externe capaciteit. Leg vast wat intern gebeurt en waar externe ondersteuning nodig is, inclusief eisen aan snelheid, expertise, communicatie en cross-omgeving werking.
Conclusie: plannen alleen zijn niet genoeg
Het onderzoek schetst een duidelijke realiteit: veel organisaties worden geraakt, maar voelen onvoldoende vertrouwen dat hun incident response gereedheid standhoudt onder druk. De uitdaging zit daarmee minder in het “hebben” van plannen of tools, en meer in de koppeling daartussen: werkende processen, heldere bevoegdheden, consistente afstemming en zicht op de aanval.
Als aanvallers sneller bewegen door cloud, IT, identiteit, SaaS en OT, dan moet incident response gereedheid meegroeien. Wachten tot het live incident start, maakt het risico groter—niet alleen voor getroffen systemen, maar ook voor omzet, reputatie en vertrouwen.
Bron: https://thehackernews.com/2026/07/73-of-organizations-say-they-are-not.html
