AI versnelt cyberaanvallen. Maar wie bewaakt onze digitale vrijheid?

De waarschuwing is helder. In het Cybersecuritybeeld Nederland 2026 stelt de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) dat cybercriminelen en statelijke actoren steeds meer mogelijkheden krijgen, terwijl de digitale weerbaarheid van Nederlandse organisaties achterblijft. Kunstmatige intelligentie versnelt en vergroot die dreiging. Dat is geen abstract toekomstscenario: aanvallers gebruiken AI inmiddels in alle fasen van cyberaanvallen.

AI helpt bij het voorbereiden van aanvallen, het opsporen van kwetsbaarheden en het op grotere schaal uitvoeren van aanvallen. Ook phishing wordt overtuigender en makkelijker te personaliseren. De drempel voor cybercriminaliteit daalt daardoor. Waar voorheen specialistische kennis nodig was, kunnen bestaande, breed toegankelijke AI-modellen nu al een deel van het werk uit handen nemen.

Een ontwikkeling springt eruit: de tijd tussen het bekend worden van een kwetsbaarheid en het misbruik ervan is volgens het cybersecuritybeeld teruggelopen van dagen naar soms slechts enkele uren. Organisaties hebben daardoor steeds minder tijd om systemen te beveiligen. Tegelijkertijd blijven basale maatregelen achter. Back-ups, tijdig patchen, monitoring en het oefenen van herstelprocedures zijn nog lang niet overal vanzelfsprekend.

Een samenleving die steeds afhankelijker wordt van digitale systemen, kan digitale veiligheid niet behandelen als een technisch bijzaakje. Wie de digitale infrastructuur beheert, draagt verantwoordelijkheid voor de vrijheid en veiligheid van iedereen die ervan afhankelijk is.

Veiligheid begint bij verantwoordelijkheid

De NCTV legt nadrukkelijk de verantwoordelijkheid bij bestuurders. Dat is terecht. Cybersecurity is niet alleen een taak voor de IT-afdeling of een externe leverancier. Bestuurders moeten zorgen voor voldoende kennis, mensen en middelen. Ook kleinere organisaties en het midden- en kleinbedrijf hebben ondersteuning nodig; zij kunnen de groeiende dreiging niet altijd zelfstandig bijbenen.

De overheid kondigt aanvullende maatregelen aan en wijst op de Cyberbeveiligingswet, die organisaties onder meer verplicht cyberrisico’s te beheersen. Wetgeving kan helpen om verantwoordelijkheid af te dwingen. Maar regels op papier maken een organisatie nog niet weerbaar. Het gaat om aantoonbare beveiliging, realistische oefeningen, snelle updates en de bereidheid om kwetsbaarheden serieus te nemen voordat er schade ontstaat.

Maak van cyberdreiging geen vrijbrief voor controle

Er is nog een andere kant van deze ontwikkeling. Naarmate digitale dreigingen toenemen, groeit ook de verleiding om meer gegevens te verzamelen, meer communicatie te controleren en steeds verdergaande monitoring als vanzelfsprekend te presenteren. Veiligheid wordt dan een argument dat vrijwel iedere uitbreiding van toezicht moet rechtvaardigen.

Dat zou een verkeerde reactie zijn. Het beveiligen van systemen vraagt om deskundig beheer, goede toegangsbeveiliging, tijdige updates en gerichte detectie van aanvallen. Het vraagt niet automatisch om het permanent volgen van burgers, het verzwakken van encryptie of het verzamelen van zoveel mogelijk persoonsgegevens. Zulke maatregelen kunnen bovendien nieuwe kwetsbaarheden en machtsconcentraties creëren.

Digitale weerbaarheid en burgerlijke vrijheid zijn geen tegenpolen. Integendeel: een veilige digitale samenleving beschermt niet alleen systemen en bedrijfsprocessen, maar ook de persoonlijke levenssfeer, de vertrouwelijkheid van communicatie en de mogelijkheid om vrij te handelen. Juist daarom moet iedere veiligheidsmaatregel noodzakelijk, doelgericht en controleerbaar zijn.

De echte achterstand is bestuurlijk

AI maakt cyberaanvallen sneller en toegankelijker, maar de kwetsbaarheden zijn vaak al aanwezig. Verouderde systemen, gebrekkig patchbeheer, onvoldoende back-ups en onduidelijke verantwoordelijkheden worden niet door AI veroorzaakt. De technologie vergroot vooral de gevolgen van nalatigheid die al langer bestaat.

De boodschap uit het cybersecuritybeeld verdient daarom meer dan een nieuwe beleidsaankondiging. Organisaties moeten hun basis aantoonbaar op orde brengen en bestuurders moeten daarop aanspreekbaar zijn. Tegelijk moet de overheid voorkomen dat een terechte waarschuwing over cybercriminaliteit wordt aangegrepen om de digitale vrijheid van burgers verder in te perken. Bescherming van de samenleving betekent ook bescherming van de rechten die haar de moeite waard maken.