De blinde vlek in Europese cyberrapportage: we sturen op de verkeerde KPI’s 📊

In Nederland meten en weten we veel.

• In 2024 werden bijna 40.000 datalekken gemeld.
• In 2025 werd van 65 ransomware-aanvallen officieel aangifte gedaan bij de politie.

Het werkelijke aantal ligt waarschijnlijk hoger.

Wat we niet meten, is hoeveel bedrijven eraan ten onder gaan.

📝 Faillissementen worden geregistreerd als:

• Liquiditeitsproblemen
• Omzetverlies
• Schuldenpositie
  
  

Terwijl dit net zo goed het gevolg kan zijn van een datalek of ransomware-incident.

Internationaal zien we de impact wél terug in individuele casussen:

• Jaguar Land Rover (UK) zag de productie langdurig stilvallen, met grote impact op toeleveranciers en aanzienlijke financiële druk
• Fasana (DE) moest na een ransomware-aanval de productie stilleggen, met grote dagelijkse verliezen en uiteindelijk faillissement tot gevolg
• Stoli Group (VS) kwam in financiële problemen na cyberincidenten en operationele verstoring, wat bijdroeg aan het faillissement
• KNP Logistics (UK) ging failliet na een ransomware-aanval die de IT-systemen volledig platlegde
  
  

Dit zijn geen incidenten.
Dit zijn continuïteitsrisico’s.

Zolang we die link niet leggen, onderschatten we structureel de impact van cyberincidenten en beschouwen we het als een IT-probleem.
Terwijl het in werkelijkheid een bestaansrisico is –

en dus thuishoort op de bestuurstafel, niet alleen bij IT.

De belangrijkste KPI is niet:
“Hoeveel incidenten hebben we gehad?”

Maar:
“Hoeveel van deze incidenten hadden ons bedrijf kunnen laten omvallen?”