Digitale weerbaarheid meten is niet optioneel meer: Management, bestuurders en CISO’s hebben behoefte aan inzicht in de digitale weerbaarheid van de organisatie om te meten of de organisatie op de juiste weg is of dat zij moeten bijsturen. Met de Cyberbeveiligingswet die op 15 augustus 2026 in werking treedt, moet je organisatie kunnen aantonen dat je risico’s bewust beheerst. Maar veel organisaties zien de bomen door het bos niet: ze laden data in spreadsheets, genereren rapporten, en weten nog steeds niet hoe veilig ze werkelijk zijn. Dit artikel helpt je inzicht te krijgen in de metrics die werkelijk materie zijn en die direct aansluiten op je risicoprofiel.
Kort samengevat: digitale weerbaarheid meten in 3 stappen
- Kies KPI’s die aansluiten op je cybersecuritystrategie: KPI’s verschillen per organisatie, omdat ze samenhangen met je cybersecuritystrategie en het is dus essentieel om zelf als organisatie de juiste KPI’s te identificeren.
- Onderscheid KRI’s (leading indicators) van KPI’s (lagging indicators): KRI’s focussen op risicoexpositie en helpen potentiële kwetsbaarheden aan te duiden voordat ze succesvol worden; monitoren van KRI’s stelt je in staat snel herstelmaatregelen in te stellen.
- Meet technische én strategische indicatoren: Essentiële KPI’s omvatten technische metrics zoals incidentresponstijd en beveiligingsincidenten per maand, plus strategische indicatoren zoals voltooiing van awareness-trainingen en tijd voor het oplossen van kwetsbaarheden.
Waarom veel organisaties blind zijn voor hun werkelijke risico
Een hard gegeven: PWC rapporteert dat slechts 22% van CEO’s erop vertrouwen dat hun risicogegevens uitgebreid genoeg zijn voor goed beleid. En nog harder: slechts 15% van organisaties is ervan overtuigd dat hun infosec-rapportage volledig aan hun verwachtingen voldoet. Waarom? Omdat veel organisaties metrics meten die niets zeggen. Ze tellen kwetsbaarheden die al een half jaar op de backlog liggen, rapporteren op beveiligingstrainingen die niet echt wat uitmaken, of focussen op technische details die management niet begrijpt.
Je risicoprofiel is anders dan die van het bedrijf naast je. Een zorginstellig met 5.000 patiënten heeft een heel ander risico dan een retailbedrijf met dezelfde omvang. Een onderneming die leverancier is aan kritieke infrastructuur valt onder andere vereisten dan een zelfstandig bedrijf. Daarom moet je zelf bepalen welke metrics relevant zijn—en welke ruis zijn.
KRI’s en KPI’s: wat is het verschil en waarom doet het ertoe?
De oplossing is het werken met meetbare Key Risk Indicatoren (KRI’s) en Key Prestatie Indicatoren (KPI’s), waarbij je organisatie vanuit beschikbare data de prestaties meet en de threshold vaststelt. Dat klinkt abstract, dus hier het verschil in de praktijk:
- KRI’s (Key Risk Indicators) = het alarm VOOR de brand: Aantal gedetecteerde onbekende assets, percentage kritieke kwetsbaarheden dat niet binnen SLA-tijd is beoordeeld, aantal mislukte inlogpogingen op kritieke systemen, tijd sinds laatste security patch op essentiële apparaten. Dit zijn de waarschuwingstekens dat iets uit de hand begint te lopen.
- KPI’s (Key Performance Indicators) = hoe goed je de brand bestrijdt: Gemiddelde incidentresponstijd, percentage afgehandelde security awareness trainingen, tijd om een kwetsbaarheid op te lossen, beschikbaarheid van je backup- en disaster recovery-plans.
KRI’s helpen je problemen voorkomen. KPI’s helpen je te zien of je al die maatregelen die je treft werkelijk werken. Je hebt beide nodig: KRI’s focussen op risicoexpositie en helpen potentiële kwetsbaarheden aan te duiden voordat ze succesvol worden; monitoren van KRI’s stelt je in staat snel herstelmaatregelen in te stellen.
Welke concrete metrics moet je in 2026 meten? Een framework per risicocategorie
Dit is waar veel organisaties vastlopen: welke metrics kiezen? Er is geen vaste lijst van cybersecurity metrics en KPI’s die alle bedrijven moeten volgen; de metrics die je kiest hangen grotendeels af van je organisatie’s behoeften en risicobereidheid. Toch zijn er domeinen waar bijna elke organisatie op moet sturen:
1. Asset Management & Inventory (Wat heb je eigenlijk?)
- Aantal gedetecteerde onbekende assets (niet geregistreerd in je Configuration Management Database)
- Percentage assets met een vastgestelde eigenaar
- Gemiddelde tijd om een eigenaar vast te stellen bij nieuwe assets
- Aantal verouderde besturingssystemen/software in productie
2. Vulnerability & Patch Management (Wat kan er misgaan?)
- Percentage kritieke en hoge kwetsbaarheden dat is beoordeeld binnen vastgestelde SLA-tijden
- Percentage kritieke systemen dat is gepatched binnen SLA-tijden
- Vulnerability Exposure Time (hoe lang een kritieke fout onopgelost blijft)
- Percentage van je supply chain dat security scanresultaten rapporteert
3. Incident Response & Detection (Hoe snel reageer je?)
- Gemiddelde incidentresponstijd (van detectie tot containment)
- Percentage incidenten dat binnen 24 uur aan de toezichthouder is gemeld (NIS2-verplichting)
- Mean Time to Recovery (MTTR): hoe lang duurt het totdat je systemen weer operationeel zijn
- Percentage incidenten dat voorkomen had kunnen worden met bestaande maatregelen
4. Security Awareness & Human Risk (Hoe ‘veilig’ zijn je medewerkers?)
- Percentage afgehandelde security awareness trainingen en phishing simulations
- Phishing click rate (hoeveel procent klikt op verdachte links)
- Tijd om verdachte e-mails te rapporteren
- Percentage gebruikers met Multi-Factor Authentication ingeschakeld
5. Third-Party & Supply Chain Risk (Wie zijn je zwakke schakels?)
- Aantal leveranciers met vastgestelde security baseline (bijvoorbeeld SC10-certificering)
- Percentage leveranciers dat jaarlijks beveiligingsaudit ondergaat
- Percentage kritieke leveranciers met incident notification SLA < 24 uur
Hoe koppel je metrics direct aan je risicoprofiel?
Een concrete cybersecuritystrategie beschrijft de richting van inspanningen op de middellange tot lange termijn, hoe je beveiligingsorganisatie de bedrijfsstrategie zal ondersteunen en het helpt de organisatie ook bij budgettering en documentering van de onderbouwing van strategische beslissingen. Concreet betekent dit:
- Begin met je strategie, niet met tools: Wat zijn de drie kernrisico’s voor jouw organisatie? Ransomware-aanvallen? Datalekken? Verlies van beschikbaarheid? Eenmaal duidelijk, bepaal je welke metrics relevant zijn.
- Stel thresholds SMART vast: Waarbij je organisatie vanuit beschikbare data de prestaties meet en de threshold vaststelt. ‘Lage kwetsbaarheidtijd’ betekent niets; ‘95% van alle kritieke kwetsbaarheden is binnen 14 dagen opgelost’ wel.
- Rapporteer op bestuursniveau: Kies KPI’s die duidelijk zijn voor iedereen die ernaar kijkt, ook non-technische stakeholders; je collega’s op het bedrijfsniveau moeten ze kunnen begrijpen zonder je te moeten bellen.
- Cyclus van meten-sturen-verbeteren: Door te sturen op de juiste KPI’s ondersteun je verbetering in een continue cyclus.
Praktijkvoorbeeld: NIS2-compliance via metrics
De Cyberbeveiligingswet treedt op 15 augustus 2026 in werking. Als jij eronder valt, moet je aantoonbaar laten zien dat je passende maatregelen hebt genomen. Dit doe je niet met mooie documenten, maar met metrics. Een paar voorbeelden:
- Zorgplicht (10 verplichte maatregelen): Track voor elke maatregel of deze is geïmplementeerd en functioneert. Bijvoorbeeld: MFA-adoptie, backup-immutability, incident response plan test execution frequency.
- Leveranciersgovernance: Jij bent verantwoordelijk voor de beveiliging van je leveranciers. Maak een KPI: ‘X% van kritieke leveranciers heeft minimaal SC10-niveau of een vergelijkbare baseline.’ Dit kun je meten en rapporteren.
- Incidentmeldingsplicht (24 uur): Hoe meet je of je dit haalt? Track de tijd tussen incident discovery en melding aan NCSC.
Een goede partner helpt je hierbij. Een pentest geeft je inzicht in hoe je verdedigingen werkelijk presteren. En kennis van NIS2 helpt je begrijpen welke metrics echt materie zijn voor compliance.
Veelgestelde vragen over digitale weerbaarheid meten
Hoeveel KPI’s moet ik meten?
KPI’s gericht op het borgen van digitale weerbaarheid bieden grote toegevoegde waarde, maar KPI’s zijn alleen nuttig als je de juiste hanteert. Een goed uitgangspunt: 5-7 kernmetrics per domein (asset management, vulnerability, incident response, awareness, supply chain). Meer dan 15 totaal leidt tot ‘metric overload’ waar niemand nog naar kijkt.
Welke tools moet ik gebruiken om dit in te meten?
Je hoeft niet altijd ingewikkelde tools aan te schaffen. Begin eenvoudig: Excel met data uit je bestaande systemen (SIEM, vulnerability scanner, identity provider). Naarmate je groeit, kan je dit stroomlijnen met dashboards. Het gaat om de discipline van meten, niet om de tool.
Hoe zet ik dit op bestuursniveau neer?
Management, bestuurders en CISO’s hebben behoefte aan inzicht in digitale weerbaarheid; als zij beschikken over de juiste informatie kunnen zij daar adequater op sturen. Maak een maandelijks ‘cyber risk dashboard’ met 3-4 top-level KPI’s: status zorgplicht, leveranciersgovernance, incidenttrends, en awareness. Gebruik rood-oranje-groen kleuren; bestuurders volgen kleuren sneller dan tabellen.
Hoe verschilt dit van een compliance-audit?
Compliance-audits (ISO 27001, NIS2) controleren of je processen op papier kloppen. Metrics geven je real-time inzicht of die processen werkelijk werken en risico’s daadwerkelijk dalen. Je wilt allebei, maar metrics zijn voortdurend; audits jaarlijks.
Wat als ik veel rode getallen zie?
Dat is niet per se slecht. Eerste keer meten geeft vaak een soep. Het gaat erom dat je nu weet waar je staat en kan plannen hoe je vooruit gaat. Stel realistische verbetertrajecten in (bijvoorbeeld: ‘3 maanden om kwetsbaarheidsresponstijd naar 14 dagen te brengen’) en report voortgang maandelijks.
Tot slot: metrics als bewijs van weerbaarheid
Met de Cyberbeveiligingswet die nu werking krijgt, realiseren veel organisaties zich dat ‘we hebben ISO 27001′ niet meer volstaat. ISO 27001-certificering is niet vereist voor DORA-compliance, ISO 27001-controles lijnen goed aan met DORA’s ICT-risicobeheer, en ISO 27001-certificering vormt geen DORA-compliance, maar instellingen met een volwassen ISO 27001-programma hebben een aanzienlijke implementatiestart. Metrics die je zelf meet en rapporteert zijn sterker dan certificaten—ze tonen dat je niet alleen het spel speelt, maar werkelijk beheerst.
Klaar om je organisatie digitaal weerbaar te maken? Begin met twee vragen: Wat zijn mijn drie grootste risico’s? En welke drie metrics zou ik elke maand moeten meten om ze te tracken? Vandaar gaat de reis van meten naar sturen naar verbeteren.
BOEM Cybersecurity helpt organisaties hun digitale weerbaarheid niet alleen in kaart te brengen, maar ook bewust in te stellen via NIS2 en ISO 27001 implementaties met duidelijke metrics als anker. Wil je weten waar je organisatie echt staat en welke metrics voor jou relevant zijn? Neem contact op voor een risicoanalyse of GA naar onze gids voor weerbaarheid zonder papieren tijgers.
