De recente Voice of the CISO-bevindingen over 2026 wijzen op een belangrijk verschuivingspunt: het cyberrisico beweegt richting de cyberrisico in de workflow. Niet alleen omdat aanvallen veranderen, maar vooral omdat de kwetsbaarheden dichterbij het echte werk komen—bij identiteiten, samenwerkingsomgevingen, SaaS-applicaties en steeds vaker ook bij AI-gestuurde processen.
Waar security teams eerder vooral de vraag stelden “wat gaat ons de komende tijd treffen?”, groeit de noodzaak om te bepalen waar kritisch werk plaatsvindt, wie of wat er toegang toe heeft en hoe gevoelige data wordt beschermd wanneer die door mensen en tools stroomt.
Geen rechte lijn: vijf jaar risico in een wervelende context
Kijk je alleen naar de vergelijking tussen 2025 en 2026, dan lijkt het alsof er vooruitgang is: minder CISOs verwachten een materiële cyberaanval en minder respondenten melden materieel dataverlies. Toch vertelt een breder perspectief—over vijf jaar—een complexer verhaal.
De trend is wisselend. Verwachtingen over aanvallen koelen in 2026, maar liggen nog wel hoger dan in 2022. Dataverlies daalt wel ten opzichte van 2025, maar blijft voor een grote groep organisaties een feit en de voorbereidingen veranderen nauwelijks. Ondertussen schommelt ook de afstemming met de raad van bestuur: die herstelt in 2026 naar een hoog niveau, terwijl tegelijkertijd de verwachtingen weer toenemen.
AI verplaatst het gesprek van bescherming naar governance
AI is volgens de CISO-data het duidelijkste voorbeeld van hoe snel de werkcontext is veranderd. In 2024 ziet 54% van de CISOs GenAI als een securityrisico. Dat stijgt naar 60% in 2025 en naar 78% in 2026. In dezelfde periode verschuift de bedrijfspraktijk van experimenteren naar ingebedde inzet: assistenten, copilots, automatisering en agentic workflows worden onderdeel van dagelijkse taken.
Het is begrijpelijk dat organisaties het gebruik van GenAI willen beperken. In 2026 zegt 78% van de CISOs dat hun organisatie toegang tot GenAI-tools blokkeert of beperkt (tegenover 59% in 2025). Maar beperking is volgens de cijfers niet hetzelfde als governance.
De kernvraag wordt: kunnen organisaties AI in context besturen? Bijvoorbeeld:
- Welke data mag een gebruiker zien of gebruiken?
- Welke acties mag een AI-tool uitvoeren, of alleen samenvatten en genereren?
- Wat gebeurt er als een assistent of agent niet enkel antwoord geeft, maar ook besluitvorming beïnvloedt of acties triggert?
Daarmee wordt AI-risico in feite een data security en besluitcontrole-vraag. Het gaat niet alleen om prompts, modellen of hallucinaties, maar ook om gevoelige informatie, identiteit, machtigingen, intentie en de manier waarop controle wordt georganiseerd binnen de workflow.
Opvallend is bovendien de capaciteitsdruk: 79% van de CISOs geeft aan dat ze AI-gerelateerde risico’s moeten beheren zonder dat er een evenredige toename komt in middelen of expertise. Het probleem is dus minder “bewustwording”, en meer “operationele capaciteit”.
Menselijk risico blijft het hardnekkige startpunt
Door de jaren heen komt menselijk risico steeds terug in de onderzoeksresultaten. De formulering verandert—van “human error” naar “human risk”—maar de richting blijft. In 2022 noemt 56% dit als grootste kwetsbaarheid. Dat loopt op naar 60% in 2023, 74% in 2024, 66% in 2025 en bereikt 79% in 2026.
Het gaat daarmee minder om een simpele training-campagne. In organisaties die materieel dataverlies rapporteerden, geeft 93% aan dat vertrekkende medewerkers een rol speelden. Als belangrijkste oorzaken worden genoemd: kwaadwillige of criminele insiders, slordige insiders, gecompromitteerde insiders, misbruik of verkeerde configuratie van AI-tools, externe aanvallen en compromittering via derde partijen.
Met andere woorden: dataverlies ontstaat steeds vaker op het snijvlak van gedrag, identiteit, toegang, permissies, tooling en intentie. Dat maakt “menselijk risico” bij uitstek een systeemvraag met een menselijke interface.
Een medewerker kan bijvoorbeeld gemotiveerd zijn, onzorgvuldig handelen, gecompromitteerd zijn of te ruime rechten hebben gekregen. Ook kan het proces zelf te veel toegang toestaan—waardoor risico en productiviteit in dezelfde workflow samenkomen. Awareness-training heeft dus nog steeds waarde, maar alleen is het niet genoeg.
Wat nodig is, is context: wie gebruikt het systeem, welke data wordt aangeraakt, of toegang klopt, of een actie afwijkend is, en of er veranderingen zijn in rol, dienstverband of intentie. Pas dan wordt menselijk risico beheersbaar binnen de dagelijkse flow van werk.
De board kijkt dichterbij, maar niet per se lichter
De afstemming met de raad van bestuur volgt geen rechte lijn. In 2022 zegt 51% van de CISOs dat hun board het cybersecurity-thema deelt. Dat stijgt naar 62% in 2023 en naar 84% in 2024, zakt naar 64% in 2025 en komt in 2026 weer uit op 85%.
Die volatiliteit is belangrijk: cybersecurity staat nadrukkelijker op de agenda, maar alignment hangt sterk af van hoe CISOs technische risico’s vertalen naar zakelijke consequenties. In de perceptie van CISOs gaat het bestuur bovendien vooral om onderwerpen als bedrijfswaardering, downtime, reputatieschade, verlies van gevoelige informatie, verstoring van de operatie, verlies van bestaande klanten en daling van inkomsten.
Dat maakt de uitdaging concreet: het gesprek verschuift richting “enterprise risk”. Tegelijk neemt de druk toe. In 2026 zegt 77% van de CISOs dat er buitensporige verwachtingen bij de CISO/CSO liggen, vergeleken met 66% in 2025 en 49% in 2022. Met andere woorden: meer zichtbaarheid betekent ook meer verantwoordelijkheid—voor risico dat nu over mensen, data, identiteit, AI, regelgeving en business continuity heen loopt.
Waar werk gebeurt, ontstaat het nieuwe control-domein
De belangrijkste praktische boodschap uit de CISO-data is niet dat het dreigingslandschap “minder gevaarlijk” wordt. Het gevaar raakt meer en meer ingebed in de manier waarop werk feitelijk plaatsvindt. Daarom moet strategie aansluiten op de plekken waar gegevens bewegen en waar beslissingen tot stand komen.
Dat betekent dat security niet alleen gezien mag worden als controles rond de edge. In plaats daarvan moet je de risk fabric benaderen als één samenhangend geheel, met aandacht voor:
- identiteit en toegangsbeheer
- samenwerkingsplatformen en endpoints
- SaaS-applicaties en cloudopslag
- API’s, automatisering en orkestratie
- AI-systemen en beslissingsondersteuning
In deze benadering wordt governance een doorlopend onderwerp: wie mag wat doen, met welke data, onder welke voorwaarden, en hoe meet je of controls werken op het moment dat mensen en systemen hun werk doen?
Als je zoekt naar voorbeelden van hoe AI- en workflow-gerelateerde risico’s kunnen worden uitgelokt door misleiding, dan sluiten artikelen over bijvoorbeeld fake AI-adportalen die credentials en MFA raken inhoudelijk aan. Zulke scenario’s maken zichtbaar waarom restrictie alleen niet voldoende is: gebruikers, identiteiten en permissies blijven de spil.
Wat CISOs nu als prioriteit zien
Op basis van de onderzoeksrichting volgen enkele duidelijke prioriteiten voor organisaties die het cyberrisico in de workflow willen terugdringen.
AI-governance koppelen aan data en besluitcontrole
Beschouw AI-governance niet alleen als een acceptabel-gebruikbeleid. Ontwerp governance rond gegevensstromen: van wie data komt, waar die heen gaat, welke AI-acties zijn toegestaan en hoe intent en output worden gevalideerd.
Menselijk risico beheren door de hele levenscyclus
Richt je op momenten waarop rechten veranderen en risico verschuift: bij rolwijzigingen, het uitbreiden van privileges, toegang voor contractors en vooral bij vertrek. De CISO-data benadrukt dat incidenten rond vertrekkende medewerkers een rol spelen bij materieel dataverlies.
Board reporting verschuiven naar business impact
Rapporteer niet alleen over volume van dreigingen of technische dashboards. Help bestuurders te begrijpen hoe cyber exposure doorwerkt in waardering, downtime, vertrouwen van klanten, wettelijke impact en veerkracht.
Control effectiviteit meten op de werkplek
Meet niet uitsluitend waar je traditionele security tooling van nature actief is. Meet effectiviteit op de plekken waar gegevens, identiteiten en applicaties elkaar in de workflow ontmoeten—incl. SaaS, cloud repositories, endpoint-activiteiten en AI-ondersteunde processen.
Conclusie: van perimeter naar workflow
De kern van de CISO-data over 2026 en de vijfjarige lijn ernaartoe is helder: het zwaartepunt van cybersecurity verplaatst zich. Waar eerder de nadruk lag op het stoppen van aanvallen aan de rand, draait het nu om het veilig begrijpen van interacties binnen de dagelijkse workflow—tussen mensen, data, identiteit, applicaties en intelligente systemen.
Voor CISOs is dit de opdracht van nu: niet alleen voorkomen dat er “weer een incident” komt, maar het bedrijf helpen werken op plekken waar risico en productiviteit niet langer te scheiden zijn.
Bron: https://thehackernews.com/2026/10/the-sixth-voice-of-ciso-data-shows.html
