Je leest er regelmatig over: een bedrijf dat wordt gehackt, systemen die ineens niet meer bereikbaar zijn of gegevens die in verkeerde handen terechtkomen. Soms ligt een organisatie dagen stil en is er achter de schermen een enorme operatie nodig om alles weer veilig en werkend te krijgen. Het zijn berichten die we inmiddels bijna gewend zijn om te lezen. En toch blijft het makkelijk om te denken: dat zal ons niet zo snel gebeuren.
Totdat je het van dichtbij meemaakt.
Via klanten en de software die wij voor hen hebben gebouwd, hebben we inmiddels ervaren wat er gebeurt wanneer systemen daadwerkelijk worden aangevallen. Op zo'n moment is cybersecurity ineens geen abstract technisch onderwerp meer. Je ziet hoeveel impact een aanval kan hebben en vooral hoeveel organisaties tegenwoordig afhankelijk zijn van digitale systemen.
Die ervaringen hebben ervoor gezorgd dat we bij all-in-media nog bewuster zijn gaan kijken naar de manier waarop we websites en software ontwikkelen. Niet vanuit angst, maar vanuit het besef dat digitale veiligheid iets is waar je vanaf het begin rekening mee moet houden.
Wat je aan de buitenkant niet ziet
Als we voor een klant een nieuwe website bouwen, gaat de aandacht vanzelfsprekend eerst uit naar wat zichtbaar is. Het ontwerp moet kloppen, de website moet snel zijn en bezoekers moeten eenvoudig kunnen vinden wat ze zoeken. Uiteindelijk wil je iets neerzetten waar een klant jarenlang mee vooruit kan.
Maar achter die zichtbare website zit een hele technische wereld waar een bezoeker normaal gesproken niets van merkt. Welke techniek gebruiken we? Welke software en externe onderdelen zijn werkelijk nodig? Wie krijgt toegang tot welke systemen? Hoe zorgen we ervoor dat alles actueel blijft? En wat gebeurt er wanneer iemand probeert binnen te komen?
Juist doordat we aanvallen van dichtbij hebben meegemaakt, zijn dat voor ons geen vragen die pas aan het einde van een project aan bod komen. Ze horen bij de fundering van wat we bouwen. Een website kan er aan de voorkant fantastisch uitzien, maar als die technische fundering niet goed in elkaar zit, heb je daar uiteindelijk weinig aan.
Dat is ook waarom de nieuwe Cyberbeveiligingswet wat mij betreft een interessante ontwikkeling is.
De Cyberbeveiligingswet maakt het onderwerp urgenter
Sinds 15 augustus 2026 is in Nederland de Cyberbeveiligingswet van kracht. Misschien heb je de term NIS2 al eens voorbij zien komen. Deze Europese richtlijn vormt de basis voor de Nederlandse wet en heeft als doel organisaties weerbaarder te maken tegen digitale dreigingen.
Voor duizenden Nederlandse organisaties betekent dat dat cybersecurity niet langer alleen iets is waar ze verstandig aan doen, maar dat er ook concrete wettelijke verplichtingen gelden. Organisaties die onder de wet vallen, moeten hun risico's in kaart brengen, passende beveiligingsmaatregelen nemen en voorbereid zijn op mogelijke incidenten.
Toen ik me daarin verdiepte, dacht ik eigenlijk vooral: dit zijn onderwerpen waar veel meer organisaties bij stil zouden moeten staan, óók wanneer ze niet onder deze wet vallen.
Een hacker kijkt tenslotte niet eerst of jouw organisatie volgens de wet groot of belangrijk genoeg is. Als er ergens een interessante kwetsbaarheid zit, kan daar misbruik van worden gemaakt. En de gevolgen daarvan kunnen ook voor een relatief kleine organisatie groot zijn.
De wet zorgt er dus voor dat cybersecurity hoger op de agenda komt te staan. Dat is een goede ontwikkeling. Maar wat mij betreft begint goede beveiliging niet bij de vraag: wat zijn we wettelijk verplicht? Het begint bij de vraag: welke keuzes kunnen we vandaag maken om onze digitale omgeving zo veilig mogelijk in te richten?
Waarom wij bijvoorbeeld niet voor WordPress kiezen
Een van die keuzes zie je terug in de manier waarop wij websites bouwen. Bij all-in-media bouwen we bewust niet met WordPress.
Daarmee wil ik overigens niet zeggen dat iedere WordPress-website per definitie onveilig is. Dat zou te kort door de bocht zijn. WordPress is een enorm populair platform en kan prima worden beveiligd wanneer het goed wordt ingericht en onderhouden. Die populariteit heeft alleen ook een keerzijde: het platform is een interessant doelwit en websites worden in de praktijk vaak uitgebreid met thema's en plugins van allerlei verschillende ontwikkelaars.
Met iedere toevoeging ontstaat een nieuwe afhankelijkheid. Een plugin moet onderhouden worden, updates moeten worden uitgevoerd en je bent afhankelijk van de partij die het betreffende onderdeel heeft ontwikkeld. Wordt een plugin niet langer ondersteund, blijft een belangrijke update liggen of wordt ergens een kwetsbaarheid ontdekt, dan kan dat gevolgen hebben voor de veiligheid van de hele website.
Wij hebben er daarom voor gekozen om anders te werken. We willen zoveel mogelijk controle houden over de techniek die we gebruiken en kritisch kijken naar wat we daadwerkelijk nodig hebben. Niet zomaar functionaliteit toevoegen omdat het kan, maar ons steeds afvragen wat een onderdeel toevoegt en welke afhankelijkheid we daarmee introduceren.
Dat betekent absoluut niet dat onze websites of systemen daardoor onhackbaar zijn. Onhackbaar bestaat niet. Wie dat wel belooft, schept wat mij betreft een verwachting die simpelweg niet realistisch is.
Wat we wél kunnen doen, is het aanvalsoppervlak zo klein mogelijk proberen te houden. Weten welke techniek we gebruiken, waarom we die gebruiken en hoe we die onderhouden. Juist die controle vinden wij belangrijk.
Veiligheid zit voor een groot deel in wat je niet ziet
Het interessante is dat onze klanten daar aan de voorkant waarschijnlijk weinig van merken. Wanneer we een nieuwe website presenteren, gaat het gesprek natuurlijk eerder over het ontwerp, de foto's, de inhoud en hoe prettig alles werkt dan over gebruikersrechten, updates, back-ups of technische afhankelijkheden.
En dat is ook logisch. Een goede website moet er mooi uitzien, prettig werken en resultaat opleveren.
Maar voor ons bestaat een goede website uit meer dan wat je op het scherm ziet. De techniek erachter moet net zo goed doordacht zijn. Juist de keuzes die voor een bezoeker onzichtbaar blijven, kunnen op de lange termijn ontzettend belangrijk zijn.
Cybersecurity is daarbij bovendien niet iets wat je één keer kunt regelen en vervolgens kunt afvinken. Techniek verandert voortdurend. Er worden nieuwe kwetsbaarheden ontdekt, hackers ontwikkelen nieuwe methodes en software wordt aangepast. Dat betekent dat veiligheid continu aandacht nodig heeft.
Je kunt nooit garanderen dat er niets zal gebeuren. Je kunt er wel voor zorgen dat je bewust met risico's omgaat. Door niet meer onderdelen te gebruiken dan nodig is, toegang goed te regelen, systemen actueel te houden, goede back-ups te maken en vooraf na te denken over wat je doet wanneer er tóch iets misgaat.
De belangrijkste les?
Misschien is dat uiteindelijk wel wat onze eigen ervaringen ons vooral hebben geleerd: veiligheid moet je niet pas belangrijk gaan vinden nadat het misgaat.
Je kunt cybersecurity heel lang zien als een technisch onderwerp voor systeembeheerders of als iets waar je later nog eens goed naar moet kijken. Maar zodra je van dichtbij ziet wat een aanval betekent, verandert dat perspectief.
Voor mij betekent het dat ik bij wat we ontwikkelen niet alleen meer kijk naar de vraag: kan dit? Ik wil ook weten: hebben we dit echt nodig, welke afhankelijkheid voegen we hiermee toe en welk risico halen we mogelijk binnen?
De Cyberbeveiligingswet zorgt ervoor dat steeds meer organisaties zichzelf die vragen zullen moeten stellen. Wat mij betreft is dat alleen maar positief. Niet omdat we allemaal bang moeten worden voor hackers, maar omdat onze afhankelijkheid van digitale systemen steeds groter wordt en we daar verstandig mee moeten omgaan.
Je hoeft wat ons betreft dan ook niet te wachten tot een wet je verplicht om over digitale veiligheid na te denken.
Wij hebben inmiddels van dichtbij gezien waarom.
Dani
