Over het algemeen kan gezegd worden dat het ICT-beveiligingsniveau van een bedrijf hoger is naarmate er meer maatregelen tegelijkertijd genomen worden. Figuur 2.1.1 laat zien dat elke maatregel vaker wordt genomen door grotere bedrijven dan door kleinere bedrijven. Voor sommige maatregelen is dit patroon sterker dan voor andere.

Voor bijvoorbeeld een gangbare maatregel als het gebruik van antivirussoftware zijn de verschillen tussen grotere en kleinere bedrijven niet zo groot: meer dan 80 procent van alle bedrijven met meer dan 2 werknemers gebruikt antivirussoftware, ongeacht de grootteklasse (figuur 2.1.1(a)). Bij een moeilijker toe te passen maatregel zoals het gebruik van een Virtual Private Netwerk (VPN) zijn er wel grotere verschillen te zien: 25 procent van de microbedrijven (2 tot 10 werknemers) maakte in 2022 gebruik van VPN, tegenover 81 procent van de grote bedrijven (250 of meer werknemers) (figuur 2.1.1(l)). Het is begrijpelijk dat grote bedrijven meer maatregelen treffen, omdat zij vaak een grotere en complexere ICT-infrastructuur hebben die een breder spectrum aan beveiligingsmaatregelen vereist.

Figuur 2.1.1 toont ook het percentage zzp’ers dat in 2020, 2021 en 2022 ICT-veiligheidsmaatregelen nam. Er kan geconcludeerd worden dat bij alle ICT-veiligheidsmaatregelen het percentage zzp’ers dat deze maatregelen neemt net iets lager is dan dat voor bedrijven in de bovenliggende grootteklasse van 2 tot 10 werknemers. Dit is consistent met de constatering dat kleinere bedrijven minder ICT-veiligheidsmaatregelen nemen dan grote bedrijven.

Figuur 2.1.1(j) laat zien dat het gebruik van een soft- of hardwaretoken voor het inloggen door een bedrijf sinds 2016 flink is toegenomen. Bij deze zogenaamde tweefactorauthenticatie[voetnoot: Strikt genomen is er nog een onderscheid te maken tussen tweefactorauthenticatie en tweestapsverificatie, maar dat laten we verder buiten beschouwing omdat beide vormen sowieso een extra beveiliging opleveren ten opzichte van het inloggen met enkel een wachtwoord.]moet naast een wachtwoord een extra code ingevoerd worden die per inlogsessie verandert. Deze code wordt verkregen via een specifiek apparaatje of via een app op de smartphone. Dit maakt inloggen een stuk veiliger, want zelfs als een wachtwoord onderschept wordt, biedt de vereiste extra code bescherming tegen inloggen door ongeautoriseerde gebruikers.

Het gebruik van soft- of hardwaretokens komt vanaf 2016 in alle grootteklassen steeds vaker voor. Bij grote bedrijven (250 of meer werknemers) is deze manier van inloggen bijvoorbeeld toegenomen van 71 procent in 2016 tot 91 procent in 2022. Bij microbedrijven (twee tot tien werknemers) is dit zelfs bijna verdubbeld van 23 procent in 2016 naar 45 procent in 2022.

Figuur 2.1.2 laat het aantal maatregelen voor enkele bedrijfstakken met twee of meer werknemers zien (de zzp’ers zijn hier dus niet in meegenomen). Bedrijven die meer met ICT bezig zijn of die een groot belang hebben bij het beveiligen van hun data, zoals respectievelijk de ICT-sector en de gezondheidszorg, scoren beter op het gebied van cybersecurity dan sectoren waar dit minder belangrijk lijkt, zoals de horeca. De horeca heeft wel relatief meer kleinere bedrijven, waarvan we eerder zagen dat deze minder cybersecuritymaatregelen nemen dan grote bedrijven. Maar het ligt ook voor dat hand de horeca minder cybersecuritymaatregelen neemt omdat ze voor hun werkzaamheden minder van ICT afhankelijk zijn. Dit blijkt bijvoorbeeld uit eerder op Statline gepubliceerde cijfers over de mate van digitalisering van bedrijven (CBS, 2021c).

Dat grote bedrijven vaker verschillende ICT-maatregelen nemen dan kleinere bedrijven komt nogmaals terug in figuren 2.1.3(a) en 2.1.3(b). In deze figuren wordt per bedrijfsgrootte en bedrijfstak het percentage bedrijven getoond dat een zeker aantal maatregelen neemt. De resultaten laten zien dat kleinere bedrijven hoger scoren op een kleiner aantal maatregelen, terwijl grotere bedrijven juist vaker meerdere maatregelen tegelijk nemen (figuur 2.1.3(a)). Van de grote bedrijven (250 of meer werknemers) neemt zelfs bijna 60 procent van de bedrijven alle tien de uitgevraagde maatregelen.[voetnoot: Van de twaalf maatregelen die in figuur 2.1.1 en figuur 2.1.2 getoond worden, nemen we er maar tien mee in figuur 3(a) en figuur 3(b) waar we het totaal aantal genomen maatregelen tonen. De reden hiervoor is dat de maatregelen ’ICT-cursus aan specialisten’ (d) en ’Updaten software’ (k) niet over alle jaren beschikbaar zijn.] In figuur 2.1.3(b) is te zien dat bedrijven in de ICT-sector over het algemeen de meeste maatregelen nemen, terwijl in de horeca vaker minder maatregelen genomen worden.

Uit de verdeling van het aantal maatregelen is af te leiden welk deel van de bedrijven minimaal de helft van de gevraagde maatregelen neemt. Figuren 2.1.4(a) en 2.1.4(b) tonen per grootteklasse (a) en per bedrijfstak (b) het aandeel van bedrijven dat minstens vijf van de tien uitgevraagde ICT-veiligheidsmaatregelen neemt. Figuur 2.1.4(a) laat zien dat het aantal bedrijven dat vijf of meer maatregelen neemt tot 2021 is toegenomen. In 2022 is het aandeel van bedrijven met twee of meer werknemers dat minimaal vijf maatregelen neemt echter licht gedaald. Toch neemt in 2022 nog steeds 93 procent van de grote bedrijven (250 of meer werknemers) minimaal vijf van de tien maatregelen. Van de zzp’ers neemt 29 procent in 2022 vijf of meer van de gevraagde ICT-veiligheidsmaatregelen.

In figuur 2.1.4(b) is te zien dat in de bedrijfstakken ‘ICT-sector’, ‘Financiële dienstverlening’ en ‘Gezondheids- en welzijnszorg’ een relatief grote groep bedrijven meer dan vijf maatregelen treft (in 2022 ruim 70 procent), terwijl dit percentage voor de horeca een stuk lager ligt met ongeveer 25 procent. We kunnen echter zien dat, vergeleken met 2016, het aandeel bedrijven dat een groot aantal ICT-veiligheidsmaatregelen neemt, in alle bedrijfstakken is toegenomen. In 2022 neemt de toename van het percentage bedrijven dat minstens vijf maatregelen treft ten opzichte van 2021 wel iets af, behalve bij de horeca.

De gemiddelde Internet.nl-eindscore per bedrijfsgrootte is per jaar voor alle bedrijfsgrootteklassen ongeveer gelijk en neemt per jaar gestaag toe (zie figuur 2.2.2). Zo is de gemiddelde Internet.nl-eindscore voor alle bedrijven met een website met twee of meer werknemers gestegen van 60,3 procent in 2020 naar 65,5 procent in april 2024. Dit laat zien dat bedrijven in Nederland steeds beter de juiste internetstandaarden voor hun website toepassen.

Ook de Internet.nl-eindscore per bedrijfstak is gestegen sinds 2020, zoals weergegeven in figuur 2.2.3. Met name de bedrijfstak ‘Financiële dienstverlening’ heeft het afgelopen jaar relatief veel aandacht besteed aan het implementeren van veiligheidsstandaarden voor hun website. Opvallend is wel dat de eindscore van de ICT‐sector in april 2024 is gedaald ten opzichte van april 2023: van 72,2 procent naar 66,5 procent. Ook enkele andere sectoren vertonen tussen april en december 2023 een daling in de eindscore. Deze dalingen komen met name door een daling van het aantal bedrijven dat slaagt voor de categorie IPv6, de moderne standaard voor het IP-adres. Zie voor meer informatie hierover de publicatie ‘Toepassing van Internetstandaarden voor websites van bedrijven’ (CBS, 2024).

Alhoewel de eindscore vrij gelijkmatig over de verschillende bedrijfsgrootteklassen verdeeld is, vertonen de onderliggende subtesten waarop de eindscore gebaseerd is wel duidelijke verschillen afhankelijk van de bedrijfsgrootteklasse. Kleinere bedrijven hebben bijvoorbeeld vaker een website die bereikbaar is via een modern IPv6 internetadres (Figuur 2.2.4) (36 procent). IPv6 is de opvolger van IPv4, dat tegen zijn tijd aanloopt wat betreft het aantal beschikbare adressen dat dit internetprotocol aanbiedt. Ondersteunen van IPv6 is belangrijk om het internet ook in de toekomst toegankelijk te houden. Dat grote bedrijven nog niet zo hoog scoren (26 procent) komt waarschijnlijk omdat de website van grote bedrijven vaak op eigen, misschien al wat oudere servers draait. Ondersteunen van IPv6 vereist dus een behoorlijke investering terwijl het niet direct op korte termijn veel voordeel oplevert: het raakt niet aan de veiligheid van de website, alleen aan de toegankelijkheid in de toekomst.

Aan de andere kant is te zien dat grote bedrijven juist weer goed scoren op het ondersteunen van HSTS, oftewel HTTPS Strict Transport Security (Figuur 2.2.5). Websites met HSTS vereisen dat de webbrowser de website alleen via het beveiligde HTTPS kunnen benaderen en niet via het onveilige HTTP-protocol. Dat grote bedrijven hier weer hoger op scoren komt waarschijnlijk omdat deze instelling met de juiste kennis op netwerk niveau ingesteld kan worden en het direct de veiligheid van de website te goede komt. Bij IPv6 wordt gebruikgemaakt van de hardware van de webserver, terwijl ondersteuning van HSTS vereist dat op netwerkniveau een IT-specialist de juiste instellingen gekozen heeft. Uit eerder gepubliceerde cijfers op statline blijkt dat grote bedrijven vaker ICT-specialisten in dienst hebben (CBS, 2021c). Zie voor een volledig overzicht van alle internetstandaarden de publicatie Toepassing van Internetstandaarden voor websites van bedrijven (CBS, 2024).