AI maakt cyberaanvallen sneller: wat de NCSC-oproep voor jou betekent
Op 24 september deden AIVD, MIVD, NCSC, NCTV, het Openbaar Ministerie, CIO Rijk en de politie samen een oproep aan bestuurders. AI versnelt cyberaanvallen en maakt ze voor meer mensen haalbaar, dus organisaties moeten nu hun beveiliging op orde brengen. Dat klinkt als iets voor ministeries en ziekenhuizen. Toch gaat het ook over jouw bedrijf, en over de AI-tools die je team zelf gebruikt.
Ik ben geen securityspecialist, en dat ga ik hier ook niet spelen. Waar ik me wel druk over maak, zijn de AI-fouten die je niet ziet: een zelfgebouwde tool die klantgegevens lekt, of collega's die met hun privé-account werken. Juist daar raakt deze oproep aan mijn werk. Hieronder lees je wat er is gezegd, wat het voor een mkb-bedrijf betekent en met welke vragen je vandaag naar je IT-partner kunt.
Wat de veiligheidsdiensten precies zeggen
Het statement heet "AI versnelt de dreiging: nu handelen is noodzakelijk" en is ondertekend door de leiding van alle zeven organisaties. De kern: kwetsbaarheden in software worden met AI sneller gevonden en sneller misbruikt, en problemen die al jaren bestaan worden daardoor uitvergroot. De oproep gaat nadrukkelijk naar publiek en privaat, dus ook naar bedrijven.
Bestuurders krijgen drie acties mee die ze volgens de diensten vandaag al kunnen nemen:
- De basis moet op orde. Verklein het aanvalsoppervlak, vervang systemen die geen beveiligingsupdates meer krijgen en investeer in bewustwording en training van medewerkers.
- Vraag je af of je beveiliging nog op een passend niveau is. Denk aan patchmanagement, en ga uit van het moment dat het toch misgaat: wie doet dan wat, en bij wie haal je hulp?
- Neem signalen serieus. Volg de ontwikkelingen en laat je adviseren door technische specialisten.
Over de snelheid waarmee updates nu moeten, is het statement kort en duidelijk: "Weken worden namelijk dagen en die dagen worden uren." De tijd tussen het verschijnen van een beveiligingsupdate en het misbruiken van het lek wordt dus steeds korter.
Waarom AI de drempel voor aanvallers verlaagt
Volgens het statement gebruiken kwaadwillenden AI vooral om bestaande aanvalstechnieken te automatiseren en te versnellen. Ze voeren aanvallen sneller uit, ontwikkelen makkelijker malware, schrijven betere phishingmails en kunnen desinformatie op grote schaal personaliseren. Daar hebben ze de allernieuwste modellen niet eens voor nodig; bestaande, makkelijk toegankelijke AI-modellen zijn al genoeg.
Het NCSC legde dat in juli al uit in de expertblog "AI legt de vinger op de kwetsbare plek", met de grafiek hieronder. Er komen meer aanvallers bij aan de onderkant: mensen met minder technische kennis die nu toch een aanval kunnen opzetten. Het NCSC zet daar wel een nuance bij die ik fijn vind: iemand zonder kennis is met een goed AI-model nog geen geavanceerde hacker. Er is nog steeds een bepaald kennisniveau nodig om die modellen goed aan te sturen.
Wat dit betekent voor een mkb-bedrijf
Het statement is geschreven voor bestuurders, maar de basisprincipes van het NCSC zijn uitdrukkelijk bedoeld voor iedere ondernemer, van zzp'er tot mkb. Drie dingen springen er voor een kleiner bedrijf uit.
Phishing ziet er steeds geloofwaardiger uit
Als aanvallers met AI betere phishingmails schrijven, is een rare zin of een spelfout geen betrouwbaar alarmsignaal meer. Train je team daarom op het verzoek zelf: een betaling die ineens naar een ander rekeningnummer moet, een inloglink die net anders oogt of haast die nergens op slaat. Bel bij twijfel even terug via een nummer dat je al kende.
Updates kunnen niet meer tot volgende maand wachten
Die laptop die al maanden "later opnieuw opstarten" zegt, of die oude server in de meterkast die geen updates meer krijgt, waren altijd al een risico. Als het misbruiken van een lek van weken naar uren gaat, wordt dat venster alleen kleiner. Vraag je IT-partner hoe snel beveiligingsupdates bij jullie binnen zijn en welke systemen geen updates meer krijgen.
Je eigen AI-gebruik hoort er ook bij
Dit is het stuk dat veel mensen overslaan. Het statement zegt dat organisaties de risico's van AI in hun beveiligingsbeleid moeten opnemen, en dat geldt ook voor het gebruik van AI binnen je eigen organisatie. Het NCSC noemt "misbruik van onveilige AI-modellen binnen organisaties" als een van de dingen die aanvallers meer gelegenheid geven.
In de praktijk gaat het dan om vragen als: welke AI-tools gebruikt je team, via zakelijke of privé-accounts? Welke klantgegevens gaan erin? En die handige tool die een collega in een middag heeft gebouwd met AI, wie heeft gekeken waar de gegevens daarvan staan? Zichtbare AI-fouten zijn meestal de onschuldige. De dure fouten zitten achter de schermen.
| Oproep | Wat het in een klein bedrijf betekent | Eerste vraag voor je IT-partner |
|---|---|---|
| Basis op orde | Oude systemen vervangen, zo min mogelijk open staan naar internet, team trainen | Welke apparaten of systemen krijgen geen beveiligingsupdates meer? |
| Passend niveau | Updates snel installeren en een plan hebben voor als het misgaat | Hoe snel staan kritieke updates bij ons, en wie bellen we bij een incident? |
| Signalen serieus | Ontwikkelingen volgen en advies vragen aan een specialist | Welke waarschuwingen van het NCSC gelden voor onze systemen? |
| Eigen AI-gebruik | Overzicht van AI-tools, accounts en welke gegevens erin gaan | Welke AI-tools zijn goedgekeurd, en welke gegevens mogen daar wel of niet in? |
De vijf basisprincipes van het NCSC
Het NCSC verwijst bij de oproep naar de basisprincipes van digitale weerbaarheid: vijf principes die voor ondernemers zijn opgesteld. Ik heb er per principe bij gezet waar AI-gebruik in je team raakt.
Zet ook de AI-tools die je team gebruikt op het lijstje, inclusief de gratis varianten en losse abonnementen.
Spreek af welke informatie wel en niet in een AI-tool mag, en leg uit waarom. Een regel die niemand snapt, wordt omzeild.
Updates op tijd, en ook zelfgebouwde AI-tooltjes horen bij je applicaties.
Zakelijke accounts met sterke inlog, en weten wie bij welke AI-omgeving en gedeelde projecten kan.
Weet wie je belt als het misgaat en wat je dan als eerste doet. Het statement raadt ook aan om aangifte te doen bij incidenten.
Wil je snel weten waar je staat? Het NCSC heeft een gratis CyberVeilig Check voor zzp en mkb. Volgens het NCSC weet je binnen vijf minuten wat je vandaag zelf kunt doen, en je krijgt er een eigen actielijst bij.
Mijn advies: begin bij één gesprek
Ik ben groot fan van AI in je werk, en daar verandert deze oproep niets aan. AI kan ook de verdediging helpen: het NCSC noemt het zelfs een optie om je eigen code met AI te laten analyseren, zodat je lekken vindt voordat een aanvaller dat doet. Zie het als een speeltuin met hekken. Je team mag lekker spelen, zolang de hekken er staan.
Mijn advies is om deze maand één gesprek te plannen met degene die jullie beveiliging beheert, intern of extern. Neem de tabel hierboven mee en pak één werkproces erbij, bijvoorbeeld hoe je team offertes of klantdocumenten met AI maakt. Welke informatie gaat naar welke tool, wie heeft daar toegang toe en welke afspraken moeten anders? Laat de technische beoordeling bij de mensen die daarvoor verantwoordelijk zijn, en leg vast wie het vervolg oppakt. "Dat ligt bij IT" is pas een antwoord als duidelijk is wie er mee aan de slag gaat.
Bronnen: NCSC-nieuwsbericht en statement van 24 september 2026, NCSC-expertblog "AI legt de vinger op de kwetsbare plek" en de vijf basisprincipes van het NCSC. Gecontroleerd op 25 september 2026.
AI gebruiken met duidelijke afspraken?
In een training loop ik met je team langs welke AI-tools jullie gebruiken en welke informatie daar wel en niet in mag.