De snelle ontwikkeling van AI en quantumtechnologie in combinatie met toenemende geopolitieke spanningen zorgt wereldwijd voor grote veranderingen in cyberwet- en regelgeving. Overheden kiezen steeds vaker hun eigen aanpak voor nationale cyberverdediging. Dit blijkt uit de zesde editie van het Global Cyber Policy Radar-rapportvan NCC Group, het moederbedrijf van Fox-IT.

Technologische ontwikkelingen en geopolitieke onzekerheid maken het noodzakelijk om verder te kijken dan de eigen digitale beveiliging. Samenwerking tussen overheden en het bedrijfsleven wordt daarbij steeds belangrijker om zowel de weerbaarheid van organisaties als de nationale digitale veiligheid te versterken.

AI verandert cyberdreigingen en wereldwijde verdedigingsstrategieën

Overheden zetten AI steeds vaker in als onderdeel van hun nationale cyberverdediging. Doordat landen hierin verschillende benaderingen hanteren, ontstaan voor organisaties nieuwe vragen over vertrouwen, toegang tot technologie en digitale soevereiniteit. Bedrijven moeten daarom onderzoeken in hoeverre zij klaar zijn om betrouwbare AI-ondersteunde beveiligingsoplossingen in te zetten en hoe deze nationale verschillen hun bedrijfsvoering kunnen beïnvloeden.

Het Verenigd Koninkrijk ontwikkelt de National Cyber Shield en zo integreren ook Singapore en Australië AI in hun cyberstrategieën. Binnen Europa werkt de EU aan een ‘Grand Challenge on AI for Cyber Security’, gericht op de ontwikkeling van AI-oplossingen voor cyberverdediging. Nederland speelt hierin een actieve rol: de Cyber Security Raad pleit voor een gezamenlijke Europese aanpak om kennis en expertise op het gebied van AI en cybersecurity te versterken.

Voor Nederlandse organisaties betekent dit dat zij moeten onderzoeken hoe AI hun digitale verdediging kan versterken en welke technologieën zij kunnen vertrouwen.

Van tijdelijke aandacht naar structurele cyberweerbaarheid

Volgens het rapport leidt de snelle ontwikkeling van generatieve en geavanceerde AI-modellen inmiddels tot een meer aanhoudende focus op digitale veiligheid. Dit staat in contrast met de publieke belangstelling die na grote cyberincidenten sterk toeneemt, maar vervolgens doorgaans weer terugvalt naar het eerdere niveau. De gevolgen voor wetgeving, toezicht en organisaties kunnen ondertussen veel langer doorwerken.

De uitdaging voor organisaties is om deze aandacht om te zetten in structurele inzet voor cybersecurity. Bestuurders moeten blijven investeren in cybersecurity, hun risicobeheer versterken en regelmatig testen of incidentrespons- en herstelplannen daadwerkelijk werken. Zo voorkomen zij dat digitale veiligheid weer naar de achtergrond verdwijnt zodra grote cyberincidenten uit het nieuws verdwijnen.

Voorbereiden op het quantumtijdperk

De snelle ontwikkeling van AI laat zien hoe een nieuwe technologie in korte tijd het cyberdreigingsbeeld kan veranderen, overheden tot actie kan aanzetten en nieuwe verwachtingen voor organisaties kan creëren. Het rapport laat een vergelijkbare verschuiving zien op het gebied van quantumtechnologie. Waar overheden zich eerder vooral richtten op de ontwikkeling van richtlijnen voor post-quantumcryptografie (PQC), verschuift de aandacht volgens het rapport steeds meer naar de daadwerkelijke implementatie ervan.

Ook binnen Europa wordt deze ontwikkeling zichtbaar. In voorgestelde aanpassingen van de NIS2-richtlijn wordt onder meer aandacht besteed aan de verplichting voor lidstaten om beleid voor de overstap naar post-quantumcryptografie op te nemen in hun nationale cybersecuritystrategie. Daarnaast heeft de Franse cybersecurityautoriteit ANSSI aangekondigd dat beveiligingsproducten zonder quantumresistente versleuteling vanaf 2027 niet langer worden gecertificeerd.

Voor Nederlandse organisaties betekent dit dat zij nu al moeten inventariseren welke systemen en processen afhankelijk zijn van bestaande cryptografische technieken. Ook moeten zij beoordelen hoe snel zij kunnen overstappen op quantumveilige alternatieven. Bedrijven die wachten op definitieve regelgeving of een ingrijpende technologische doorbraak lopen het risico onvoldoende tijd over te houden om hun beveiliging aan te passen.

Afhankelijkheid van leveranciers vergroot cyberrisico’s

Geopolitieke spanningen vergroten ook de aandacht voor de supply chain security. Overheden stellen steeds vaker eisen aan leveranciers, zowel binnen als buiten de kritieke infrastructuur. De Europese Commissie heeft met haar ‘Technology Sovereignty Package’ de ambitie uitgesproken om strategische afhankelijkheden binnen de Europese technologiesector te verkleinen. Daarnaast richt de voorgestelde Cybersecurity Act 2.0 zich onder meer op risico’s in ICT-toeleveringsketens, waaronder buitenlandse beïnvloeding en de zeggenschap over technologiebedrijven. Ook de NIS2-richtlijn breidt cybersecurityverplichtingen uit naar onder meer datacenters, cloudaanbieders en managed service providers.

Geopolitieke dreigingen vragen om blijvende voorbereiding

Organisaties hebben steeds vaker te maken met geopolitieke verstoringen. Bestuurders moeten deze risico’s daarom meenemen in hun dagelijkse besluitvorming. Organisaties moeten rekening houden met mogelijke cyberactiviteiten die verband houden met statelijke actoren, bepalen welke bedrijfsprocessen onder alle omstandigheden moeten blijven functioneren en hun herstelplannen testen voordat deze nodig zijn.

Leeftijdsverificatie vraagt om veilige omgang met persoonsgegevens

Een ander onderwerp in het rapport is leeftijdsverificatie bij digitale diensten. Overheden zoeken naar manieren om minderjarigen online beter te beschermen, terwijl tegelijkertijd de privacy van gebruikers gewaarborgd moet blijven. Een voorbeeld hiervan is de Europese KIDS Act, waarin een minimumleeftijd van 15 jaar voor het openen van een account op sociale mediaplatforms wordt genoemd. Daarnaast wordt binnen Europa gewerkt aan oplossingen waarmee gebruikers hun leeftijd kunnen aantonen zonder onnodig persoonlijke gegevens te delen.

Privacyverhogende technologieën, ook wel privacy-enhancing technologies (PETs) genoemd, kunnen hierbij helpen. Met technieken zoals zero-knowledge proofs kan bijvoorbeeld worden bevestigd dat iemand een bepaalde leeftijd heeft bereikt, zonder dat een platform de exacte geboortedatum hoeft te ontvangen. Het beperken van de hoeveelheid verzamelde persoonsgegevens en het gebruik van privacyverhogende technologieën maken een systeem volgens de onderzoekers echter niet automatisch betrouwbaar. Ook een veilige technische architectuur rondom deze technologieën blijft noodzakelijk om vertrouwen in digitale systemen te waarborgen.

Katharina Sommer, Director of Government Affairs bij NCC Group, zegt: “Cyberbeleid heeft nooit een eenvoudig of voorspelbaar verloop gekend. Door de snelle technologische ontwikkelingen en toenemende geopolitieke fragmentatie moeten organisaties tegenwoordig beslissingen nemen terwijl nog niet duidelijk is hoe wet- en regelgeving zich precies zal ontwikkelen. Die onzekerheid mag geen reden zijn om investeringen in digitale weerbaarheid uit te stellen of te wachten op verdere richtlijnen.”

“Organisaties moeten vooruitdenken over de gevolgen van ontwikkelingen op het gebied van nationale cyberverdediging, AI en geopolitieke instabiliteit op hun bedrijfsvoering. Inzicht in strategische afhankelijkheden en voorbereiding op mogelijke verstoringen moeten een vast onderdeel worden van goed bestuur en niet pas tijdens een crisis aandacht krijgen.”

Het volledige Global Cyber Policy Radar – Edition 6 rapport (november 2026) is hier te vinden: https://​insights​.nccgroup​.com/GlobalCyberPolicyRadarEdition6NCCGroupFoxIT