Over vertrouwen zijn IT-partners en klanten het eens. Over bewijs niet.

IT-dienstverleners en hun klanten zijn het grotendeels eens over hoe hun samenwerking eruitziet. Tot het concreet wordt. Op de vraag of het draaiboek voor een cyberincident regelmatig samen getest of geoefend wordt, zegt 69% van de IT-dienstverleners ja. Van de IT-afnemers zegt 43% ja.

Dat verschil van 26 procentpunten komt uit onderzoek van het Digital Trust Center uit 2025. Het is niet het enige verschil in dat onderzoek, maar wel het grootste. En het zit precies op de plek waar het ertoe doet: bij de vraag of je bij een hack weet wat je moet doen.

Ik schrijf hier over omdat ik dit patroon herken. Niet als verwijt aan IT-partners, maar als iets wat ontstaat zodra je IT uitbesteedt. In deze blog laat ik zien wat het onderzoek meet, waarom dit verschil ontstaat en welke vragen je als directeur kunt stellen om het kleiner te maken.

Wat het onderzoek vroeg

Motivaction onderzocht in opdracht van het Digital Trust Center (ministerie van Economische Zaken) hoe IT-afnemers en IT-dienstverleners naar cybersecurity in hun samenwerking kijken. Via een online vragenlijst deden 278 IT-dienstverleners en 420 IT-afnemers uit het Nederlandse bedrijfsleven mee. Het veldwerk liep van 20 februari tot 10 maart 2025.

Beide groepen kregen dezelfde stellingen. Afnemers beantwoordden ze over hun eigen bedrijf in relatie tot hun IT-dienstverleners. Dienstverleners beantwoordden ze over hun klanten. De percentages hieronder zijn telkens het aandeel dat het eens of zeer eens was.

Hoe concreter, hoe groter het verschil

Zet je de stellingen onder elkaar, dan zie je een patroon.

Over vertrouwen zijn beide kanten het bijna eens. Hoe concreter en controleerbaarder de afspraak wordt, hoe verder de antwoorden uit elkaar lopen. Het grootste verschil zit bij het testen van het draaiboek. Dat is de enige stelling in dit rijtje die over bewijs gaat: heb je het ooit gedaan, of ga je ervan uit dat het werkt?

Niemand liegt

Het is verleidelijk om hier een schuldige in te zoeken. De IT-partner die het mooier voorstelt dan het is. Of de klant die niet oplet. Ik denk dat beide te makkelijk is.

Wat ik zie, is dat twee partijen naar dezelfde afspraak kijken en er iets anders in lezen. De IT-partner heeft een herstelprocedure doorlopen en noemt dat testen. De directeur heeft nooit zelf aan tafel gezeten bij een oefening en weet het dus niet. Allebei hebben ze vanuit hun eigen positie gelijk.

Dat is schijnzekerheid. Je hoort dat iets geregeld is en vult zelf in wat dat betekent. Zolang er niets gebeurt, merkt niemand het verschil. Het wordt pas zichtbaar op de dag dat je het draaiboek nodig hebt.

Die verwarring heeft een logische oorzaak. Je besteedt IT uit omdat je de tijd of de kennis niet hebt. Maar diezelfde kennis heb je nodig om te beoordelen of het goed geregeld is. In de economie heet dat informatieasymmetrie: de leverancier weet meer over wat hij levert dan de afnemer.

Uitbesteden verschuift het gevoel, niet de verantwoordelijkheid

Wie IT uitbesteedt, voelt zich minder verantwoordelijk voor de beveiliging. Dat is geen aanname. TNO onderzocht in 2024 voor het Digital Trust Center hoe bedrijven met digitale veiligheid omgaan en onderscheidt een groep die het noemt: de uitbesteders. Die groep besteedt cybersecurity grotendeels uit en scoort het laagst op het gevoel van eigen verantwoordelijkheid en op prioriteit.

Maar het gevoel verschuift, de verantwoordelijkheid niet. Dat blijkt ook uit de rechtspraak. In een zaak bij het Gerechtshof Arnhem-Leeuwarden (ECLI:NL:GHARL:2025:8556) werd een autobedrijf voor de helft aansprakelijk gehouden voor de schade die een klant leed na een gehackte mailbox. Het bedrijf had zijn IT uitbesteed, maar kon niet onderbouwen hoe de beveiliging geregeld was.

Sinds 15 augustus 2026 geldt bovendien de Cyberbeveiligingswet. Bestuurders van organisaties die eronder vallen, moeten aantoonbaar kennis hebben van cybersecurity. Valt jouw bedrijf er zelf niet onder, dan kan het via een klant die er wel onder valt toch met die eisen te maken krijgen.

IT voert uit. De directie stelt prioriteiten, accepteert restrisico's en houdt toezicht. Dat laatste kun je niet uitbesteden.

Vijf vragen voor het gesprek met je IT-partner

Het doel is niet om je IT-partner te controleren. Het doel is dat jullie hetzelfde bedoelen als jullie zeggen dat iets geregeld is. Deze vragen helpen daarbij.

1. Wanneer hebben we voor het laatst samen geoefend wat we doen bij een hack, en wat hebben we daarvan geleerd? Niet alleen de techniek, ook wie wie belt en wie besluit.
2. Hoeveel dagen kan ons bedrijf stilliggen voordat het echt pijn doet? En past ons herstelplan bij dat antwoord?
3. Welke drie risico's zijn voor ons bedrijf het grootst? Noemen jullie allebei dezelfde drie, dan heb je ze samen vastgesteld.
4. Is op papier vastgelegd wat jij doet, wat wij doen en wie de leiding heeft bij een ernstig incident?
5. Welke risico's hebben we bewust geaccepteerd, en wie heeft dat besloten? Een advies dat je niet hebt opgevolgd, is ook een besluit.

Kun je een vraag niet beantwoorden zonder je IT-partner te bellen, dan weet je waar het gesprek moet beginnen.

Kanttekeningen bij het onderzoek

Ik wil eerlijk zijn over wat dit onderzoek wel en niet laat zien.

• De dienstverleners en afnemers zijn verschillende organisaties, geen klant-leverancierparen. Het verschil is een signaal, geen meting per samenwerking.
• Het is een online panelonderzoek, geen aselecte steekproef. Het beoogde aantal respondenten is niet gehaald.
• Het onderzoek splitst niet uit naar bedrijfsgrootte. Het gaat over IT-afnemers in het algemeen, niet specifiek over het mkb.
• De antwoorden zijn zelfrapportage. Of er werkelijk geoefend is, is niet gecontroleerd.
• Dienstverleners beantwoordden de vragen over hun klanten in het algemeen. Mogelijk dachten ze daarbij vooral aan hun best georganiseerde klanten.

Dat maakt het patroon niet minder interessant. Ook als je deze kanttekeningen meeweegt, kijken de twee kanten verschillend naar hetzelfde. En dat verschil wordt groter naarmate de vraag concreter wordt.

Plan een kennismaking. Een gesprek over je bedrijf, je ICT en wat je wilt bereiken. Je bepaalt zelf of er een vervolg komt.

Bronnen

• Digital Trust Center / Motivaction (2025), Cybersecurity verwachtingen onder IT-afnemers en IT-dienstverleners, p. 4, 10, 18 en 42
• Tabellen bij het DTC-onderzoek (xlsx)
• TNO (2024), Veilig digitaal ondernemen, in opdracht van het Digital Trust Center
• Dutch IT Channel (9 februari 2026), Hof: autobedrijf deels aansprakelijk voor schade door gehackte mail
• Securitymanagement.nl, Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten