Cybersecurity basis: de 10 fundamenten die elk bedrijf op orde moet hebben

TL;DR: De cybersecurity basis voor een Vlaamse KMO bestaat uit tien fundamenten: multi-factor authenticatie, patchmanagement, een 3-2-1 backupstrategie, security awareness, een actuele asset inventory, netwerksegmentatie, endpoint detection en response (EDR), een degelijk wachtwoordbeleid, een incident response plan op papier en een periodieke audit. Wie deze tien op orde heeft, voldoet aan de meeste basiseisen van NIS2, CyFun Basic en de meeste cyberverzekeraars. Voor de aanpak ervan kunnen Vlaamse KMO’s tot 50% subsidie krijgen via VLAIO.

Waarom deze tien fundamenten ertoe doen

Cybersecurity is in 2026 voor een Vlaamse KMO geen IT-discussie meer, maar een vraag die op de directietafel ligt. Het aantal aanvallen op Belgische KMO’s blijft hoog en de tijd tussen het bekend worden van een kwetsbaarheid en de eerste exploitatie is gekrompen tot enkele dagen. Tegelijk schrijft de Belgische NIS2-wet van 26 april 2024 expliciet voor welke maatregelen u minimaal moet hebben staan, en eisen cyberverzekeraars vandaag dezelfde basis als voorwaarde voor een betaalbare polis.

Goed nieuws: u hoeft geen volledig SOC of een team van vijf securityspecialisten in dienst te nemen. Wie de tien fundamenten in dit artikel structureel op orde brengt, dekt het overgrote deel van de aanvallen af waar Vlaamse KMO’s mee te maken krijgen. Dit artikel is bewust een hub: per fundament leggen we uit waarom het telt, wat de typische valkuil is, en waar u dieper kunt doorlezen als dat fundament voor uw bedrijf aandacht verdient.

De 10 cybersecurity-fundamenten in één oogopslag

1. Multi-factor authenticatie (MFA) op alles wat extern bereikbaar is

MFA is de meest impactvolle losse maatregel die een KMO kan nemen. Een aanvaller die uw wachtwoord uit een datalek heeft, komt zonder tweede factor niet binnen. Volgens Microsoft Security Intelligence stopt MFA meer dan 99% van de geautomatiseerde aanvallen op accounts.

De belangrijkste valkuil is dat veel Vlaamse KMO’s MFA wel op Microsoft 365 hebben staan, maar niet op de VPN voor externe techniekers, niet op de boekhoudsoftware, niet op de remote desktop voor thuiswerk en niet op de cloudaccounts van externe partners. Eén ongeschermde toegangspoort volstaat. Daarnaast is sms als tweede factor in 2026 onvoldoende: NIST classificeert sms-MFA als beperkt veilig wegens SIM-swapping en AI-gestuurde phishing. Voor accounts met administratierechten gebruikt u beter een authenticator-app of een hardware token. Lees meer over welk type MFA u vandaag nog kunt opzetten en waarom sms-MFA niet meer veilig is.

2. Patchmanagement en kwetsbaarhedenbeheer

Het tweede fundament zorgt ervoor dat de gaten in uw software gesloten zijn voordat een aanvaller ze gebruikt. De cijfers liegen er niet om: volgens onderzoek van Edgescan is de gemiddelde tijd om een kritieke kwetsbaarheid in netwerkapparatuur te dichten 39 dagen. Tegelijk daalde, volgens recente Belgische dreigingscijfers, de tijd tussen de bekendmaking van een kwetsbaarheid en de eerste exploitatie tot enkele dagen.

De typische valkuil bij Vlaamse KMO’s is angst voor downtime. U stelt een update uit omdat u vreest dat het ERP-systeem stilvalt, en daarmee staat uw productieomgeving wekenlang open. De oplossing is een gestructureerd proces: een test-omgeving, een vast onderhoudsvenster en een logboek dat aantoont welke updates wanneer zijn uitgevoerd. Dat laatste is direct bewijslast voor NIS2 en CyFun. Wilt u begrijpen welke kwetsbaarheden in 2026 het grootste risico vormen voor KMO’s? Lees onze gids over zero-day exploits en waarom uw KMO zich vooral om iets anders zorgen moet maken.

3. Backupstrategie volgens minstens de 3-2-1 regel

Een degelijke backup is uw verzekering tegen ransomware, hardwarefalen en menselijke fouten. De minimale norm is 3-2-1: drie kopieën van uw data, op twee verschillende media, waarvan één offsite. In 2026 voegen veel KMO’s een vierde element toe: minstens één backup moet immutable of air-gapped zijn, dus niet aanpasbaar door een aanvaller die uw netwerk binnenkomt.

Vlaamse KMO’s denken vaak dat hun backup volstaat omdat hij elke nacht draait. De vraag die te weinig wordt gesteld: wanneer is voor het laatst getest of de backup ook daadwerkelijk hersteld kan worden, en hoe lang duurt dat herstel? Aanvalsgroepen weten dit en richten hun pijlen specifiek op uw backupinfrastructuur voordat ze de rest versleutelen. Wie zich daarop voorbereidt, beperkt de schade van een aanval tot dagen in plaats van weken. Lees in detail hoe ransomware-groepen uw back-ups specifiek viseren voordat ze toeslaan.

4. Security awareness en phishing training

Volgens het Verizon Data Breach Investigations Report bevat zes tot zeven op de tien succesvolle inbreuken een menselijke component. Geen technologie compenseert een medewerker die zonder na te denken op een AI-gegenereerde phishingmail klikt. AI-tools maken de inhoud van zo’n mail in 2026 grammaticaal foutloos en perfect afgestemd op uw bedrijf, leveranciers en agenda.

De typische valkuil is een eenmalige PowerPoint-sessie tijdens de onboarding, gevolgd door radiostilte. Effectieve awareness in 2026 is een doorlopend programma met maandelijkse korte modules, regelmatige phishingsimulaties en een no-blame cultuur waarin medewerkers durven melden dat ze op een verdachte link hebben geklikt. NIS2 (artikel 21) verplicht expliciet “cyberhygiëne en opleiding op het gebied van cyberbeveiliging” voor alle medewerkers, inclusief het bestuur. Verdiep u in onze gids over waarom security awareness training meer is dan een eenmalige sessie.

5. Asset inventory: weten wat u in huis heeft

U kunt niet beschermen wat u niet weet te bestaan. Het CyFun-framework van het CCB begint daarom met de “Identify”-functie: een actuele inventaris van hardware, software, datastromen en gebruikersaccounts. Voor een KMO met 50 tot 250 medewerkers betekent dat: een lijst van werkstations, servers, netwerkapparatuur, IoT-toestellen, OT in de productie, cloudaccounts en SaaS-applicaties.

De grootste valkuil is “shadow IT”: medewerkers die ongeautoriseerde tools en cloudopslag gebruiken om hun werk gedaan te krijgen. Tweede valkuil: u laat de inventaris bij uw IT-partner liggen zonder zelf eigenaar te blijven, en bij een incident blijkt het overzicht zes maanden achter te lopen. Een goede praktijk is een eigenaar binnen het bedrijf aanwijzen, een geautomatiseerde discovery-tool gebruiken en de inventaris jaarlijks valideren tijdens uw audit.

6. Netwerksegmentatie: beperk de schade als het toch fout gaat

Een platte netwerkstructuur waar elk toestel met elk ander toestel kan praten, is in 2026 niet meer verdedigbaar. Eén besmet werkstation volstaat dan om uw productienetwerk, uw boekhouding en uw backupserver tegelijk te bereiken. Netwerksegmentatie deelt uw netwerk op in zones: kantoor, servers, gasten-wifi, beheernetwerk, en (waar relevant) productie of OT. Een aanval blijft daarmee beperkt tot één segment.

Voor de meerderheid van de Vlaamse KMO’s is segmentatie nog steeds onvolledig of afwezig. Dat is begrijpelijk: het vergt planning en betrokkenheid van uw IT-partner. Maar het is ook een van de concrete maatregelen die het CyFun-framework expliciet eist. Onze praktische gids over netwerksegmentatie geeft u een stap-voor-stap aanpak voor een middelgroot bedrijf.

7. Endpoint Detection and Response (EDR)

Klassieke antivirus volstaat niet meer. Aanvallers gebruiken vandaag fileless malware, living-off-the-land technieken en legitieme tools om door uw netwerk te bewegen. EDR-oplossingen herkennen verdacht gedrag in plaats van enkel signatures, en stellen uw IT-team (of een externe security operations dienst) in staat om actief in te grijpen voor een aanvaller zijn doel bereikt.

De valkuil is een EDR-licentie aankopen en denken dat u klaar bent. Een EDR die niemand monitort, gedraagt zich als een rookmelder zonder brandweer. Voor KMO’s zonder eigen security operations is een Managed Detection and Response (MDR) dienst vaak realistischer: een externe partij bewaakt uw EDR-meldingen 24/7 en grijpt in. Cyberverzekeraars vragen in 2026 standaard naar de aanwezigheid van EDR voor een betaalbare polis.

8. Wachtwoordbeleid en password manager

Sterke authenticatie begint nog steeds bij een goed wachtwoord. De moderne richtlijnen, gebaseerd op NIST SP 800-63, zijn duidelijk: lengte boven complexiteit (minstens 15 tekens voor administratieve accounts), geen verplichte rotatie tenzij compromis vermoed wordt, en geen complexe regels die mensen aanzetten tot voorspelbare patronen zoals “Welkom2026!”.

De realiteit in veel KMO’s is dat medewerkers hetzelfde wachtwoord op tien verschillende plaatsen gebruiken, of hun wachtwoorden in een Excel-bestand op het bureaublad bewaren. Eén lek in een externe dienst maakt al uw zakelijke accounts kwetsbaar via credential stuffing. De oplossing is een centraal beheerde password manager die elke medewerker een uniek wachtwoord per dienst genereert en bewaart, zonder dat ze er één hoeven te onthouden. Een uitgewerkte gids over wachtwoordbeleid voor bedrijven en de basis die veel KMO’s missen bekijkt dit fundament in detail.

9. Incident response plan op papier (en geoefend)

Op het moment dat een aanval bezig is, is het te laat om te beslissen wie wat doet. Een incident response plan beschrijft op voorhand: wie de incident response coördinator is, welke externe partners (uw IT-partner, juridisch advies, communicatie) gecontacteerd worden, hoe u backups veilig herstelt, hoe u meldt aan het CCB (verplicht binnen 24 uur voor essentiële en belangrijke entiteiten onder NIS2) en de Gegevensbeschermingsautoriteit (binnen 72 uur bij persoonsgegevens), en hoe u communiceert met klanten.

De Vlaamse valkuil is een document dat één keer is opgesteld, in een mapje is opgeborgen en nooit meer is bekeken. Een incident response plan dat niet jaarlijks wordt getest in een tabletop-oefening, faalt op het moment dat het ertoe doet. Bekijk onze concrete handleiding incident response plan opstellen in zes stappen voor Vlaamse KMO’s.

10. Periodieke audit of risicoanalyse

Het sluitstuk: een externe audit die structureel valideert dat uw negen andere fundamenten op orde zijn én blijven. Een goede cybersecurity audit kijkt zowel naar uw technische configuratie (firewalls, MFA, patchstatus) als naar uw organisatorische processen (beleid, awareness, incident response). U krijgt een prioriteitenlijst die uw IT-roadmap voor het volgende jaar voedt.

De fout die we te vaak zien: een audit laten uitvoeren omdat het “moet” voor de verzekering of voor een grote klant, en het rapport vervolgens niet doorvertalen naar concrete actiepunten. Een audit die u niet opvolgt, is verloren geld. Begin daarom met de vraag: wat gaan we de eerste drie maanden na het rapport doen, en wie is daarvoor verantwoordelijk? Wilt u weten wat een audit concreet kost en oplevert? Lees onze gids over de cybersecurity audit.

Wat NIS2 minimaal verwacht van uw cybersecurity basis

Voor wie onder de Belgische NIS2-wet valt als essentiële of belangrijke entiteit, lopen deze tien fundamenten exact gelijk met de eisen uit artikel 21. Concreet vraagt NIS2 onder meer: risicoanalyse en informatieveiligheidsbeleid (fundament 5 en 10), incidentbehandeling (fundament 9), bedrijfscontinuïteit en backupbeheer (fundament 3), beveiliging van de toeleveringsketen, beveiliging bij verwerving en ontwikkeling, beleid en procedures om de doeltreffendheid van maatregelen te beoordelen, basis cyberhygiëne en opleiding (fundament 4), beleid voor cryptografie, personeelsbeveiliging en toegangscontrole (fundament 1 en 8), en multi-factor authenticatie. Wie dit lijstje naast de tien fundamenten legt, ziet hoe nauw ze op elkaar aansluiten.

Het Belgische CyberFundamentals-framework van het CCB vertaalt deze NIS2-eisen naar concrete, meetbare maatregelen op vier niveaus. CyFun Basic dekt voor de meeste KMO’s de minimumlat. Een complete uitleg vindt u in onze NIS2-gids voor Vlaamse bedrijven.

VLAIO-subsidies maken de basis betaalbaar

Goed nieuws voor wie deze fundamenten met externe expertise wil aanpakken: u staat er financieel niet alleen voor. Via de KMO-portefeuille krijgen kleine ondernemingen 45% en middelgrote ondernemingen 35% subsidie op cybersecurity-advies en opleidingen, met een maximum van 7.500 euro per jaar. Sinds februari 2026 is cybersecurity het enige adviesthema dat nog via de KMO-portefeuille gesubsidieerd wordt.

Daarbovenop biedt VLAIO de cybersecurity verbetertrajecten aan, met 50% subsidie op begeleide implementatietrajecten tussen 7.100 en 39.900 euro. Dat dekt typisch een traject waarin u meerdere fundamenten tegelijk aanpakt: van audit tot awareness tot technische verbeteringen. Een uitgewerkte gids over hoe u tot 50% subsidie haalt via het VLAIO Verbetertraject helpt u op weg.

De volgorde waarin u de fundamenten aanpakt

Heeft u geen 12-maanden plan klaarliggen en geen oneindig budget? Pak de fundamenten dan in deze volgorde aan, op basis van impact-versus-inspanning:

1. Eerst MFA op alle externe toegangen (fundament 1). Hoogste impact, laagste kost, in dagen geregeld.
2. Backups testen op herstel (fundament 3). Niet de techniek, maar de daadwerkelijke restore-oefening. U weet dan wat er gebeurt op de slechtste dag.
3. Awareness en phishingsimulatie als nulmeting (fundament 4). Geeft direct inzicht in waar uw zwakste schakel zit.
4. Cybersecurity audit (fundament 10) om de overige zes fundamenten in beeld te brengen, te prioriteren en te koppelen aan een meerjarenplan.
5. Vervolgens systematisch werken aan asset inventory, patchmanagement, segmentatie, EDR, wachtwoordbeleid en incident response plan op basis van de auditresultaten.

Deze volgorde levert u in drie tot vier maanden de grootste risicoreductie op, zonder dat u alle tien fundamenten tegelijk hoeft op te starten.

Veelgestelde vragen over de cybersecurity basis

Wat zijn de cybersecurity-fundamenten voor een KMO?

De cybersecurity-fundamenten voor een KMO zijn multi-factor authenticatie, patchmanagement, een 3-2-1 backupstrategie, security awareness, asset inventory, netwerksegmentatie, endpoint detection and response, een wachtwoordbeleid met password manager, een geoefend incident response plan en een periodieke audit. Samen dekken ze het overgrote deel van de aanvallen waar KMO’s mee te maken krijgen.

Voldoe ik aan NIS2 als ik deze tien fundamenten heb?

De tien fundamenten lopen sterk gelijk met artikel 21 van de Belgische NIS2-wet en met CyFun Basic. Voor de meeste KMO’s vormen ze het technisch-organisatorische fundament voor compliance. Een formele NIS2-conformiteitsbeoordeling vereist daarbovenop documentatie, governance en eventueel externe verificatie door een geaccrediteerde CAB.

Hoeveel kost het om deze tien fundamenten op orde te brengen?

De kost varieert sterk per bedrijf. MFA en wachtwoordbeleid zijn vaak inbegrepen in bestaande Microsoft 365- of Google Workspace-licenties. Awareness, audit en incident response planning kosten typisch enkele duizenden tot meer dan tien duizend euro extern, afhankelijk van scope. Via VLAIO kunt u 35% tot 50% terugvorderen.

Welk fundament moet ik als eerste aanpakken?

MFA op alle externe toegangen levert de grootste risicoreductie tegen de laagste kost en is meestal in enkele dagen ingericht. Direct daarna komt het testen van uw backuphersteltijd, gevolgd door een phishingsimulatie als nulmeting voor uw awareness.

Heb ik een audit nodig als ik geen NIS2-plicht heb?

Ja. Ook zonder NIS2-plicht hebben uw klanten, verzekeraars en partners steeds vaker bewijs nodig dat uw cybersecurity op orde is. Een periodieke audit (jaarlijks of tweejaarlijks) geeft u dat bewijs en houdt uw fundament structureel scherp.

Volstaat een goede antivirus en firewall?

Nee. Antivirus en firewall zijn nodig, maar niet voldoende. Aanvallers omzeilen klassieke antivirus met fileless technieken, en de meeste succesvolle aanvallen beginnen met phishing of misbruik van legitieme toegang. Pas een gelaagde aanpak met de tien fundamenten geeft daadwerkelijke weerbaarheid.

Wat is het verschil tussen deze tien fundamenten en het CyFun-framework?

CyFun is het volledige Belgische compliance-kader van het CCB met meer dan honderd controles op vier niveaus (Small, Basic, Important, Essential). De tien fundamenten in dit artikel zijn de praktische instaplaag die overlappen met CyFun Basic. Wie de tien fundamenten op orde heeft, heeft het overgrote deel van CyFun Basic gedekt.

Klaar om uw cybersecurity basis op orde te brengen?

De tien fundamenten klinken eenvoudiger dan ze in de praktijk zijn. Het verschil tussen “we hebben MFA” en “MFA is op alle externe toegangen actief en getoetst” zit in de detailuitvoering. Een cybersecurity audit door een externe partij is de snelste manier om te weten waar uw bedrijf vandaag staat ten opzichte van de tien fundamenten, en welke prioriteiten uw budget de komende twaalf maanden moet sturen.

Wilt u weten welke fundamenten bij u nog ontbreken en hoe u via VLAIO tot 50% subsidie haalt? Boek een vrijblijvende kennismaking en we brengen samen in kaart wat uw bedrijf nodig heeft.