Drie jaar na de eerste Cyber Security Scan onderzoekt DEN opnieuw hoe weerbaar culturele organisaties zijn in een tijd waarin AI, cloudplatformen en digitale afhankelijkheid het speelveld ingrijpend hebben veranderd.
Drie jaar is in de digitale wereld een eeuwigheid. Toen DEN in 2023 de eerste Cyber Security Scan voor de cultuursector publiceerde, stond kunstmatige intelligentie nog aan het begin van haar doorbraak. ChatGPT was vooral een veelbesproken experiment, cyberaanvallen werden nog vaak gezien als een probleem van grote bedrijven en de meeste culturele organisaties waren vooral bezig met digitalisering als middel om hun publiek beter te bereiken. Inmiddels ziet de werkelijkheid er anders uit. Vrijwel iedere instelling werkt dagelijks met cloudplatforms, online ticketing, digitale collecties, externe softwareleveranciers en in toenemende mate ook met AI. Daarmee is ook de vraag veranderd. Niet langer óf digitale veiligheid belangrijk is, maar hoe afhankelijk organisaties inmiddels zijn geworden van digitale systemen waarover zij vaak nog maar beperkt de regie voeren.
Daarom is het goed dat DEN opnieuw een Cybersecurity Scan organiseert. Omdat de wereld sindsdien zo snel is veranderd dat een nieuwe nulmeting eigenlijk onmisbaar is geworden. Bestuurders, toezichthouders en beleidsmakers hebben behoefte aan een actueel beeld van de digitale weerbaarheid van de cultuursector. Niet gebaseerd op incidenten die het nieuws halen, maar op de dagelijkse praktijk van collega organisaties uit de culturele sector.
De digitale werkelijkheid van 2026
De eerste scan uit 2023 liet een aantal opmerkelijke zaken zien. Bij bijna drie op de tien culturele organisaties had zich in de voorgaande drie jaar een cyberincident voorgedaan waarbij systemen bewust werden ontregeld of gegevens werden buitgemaakt. Nog opvallender was dat de omvang van een organisatie daarbij nauwelijks verschil maakte. Grote instellingen bleken niet wezenlijk veiliger dan kleinere organisaties. Tegelijkertijd beschikte 65 procent van de respondenten niet over een specifiek budget voor cybersecurity, had geen cyber verzekering en gaf een groot deel aan dat een samenhangend beleid voor digitale veiligheid ontbrak. Losse maatregelen waren er vaak wel, maar een overkoepelende aanpak veel minder.
Dat beeld is interessant omdat het iets laat zien wat veel verder gaat dan techniek. De meeste organisaties weten inmiddels heel goed dat sterke wachtwoorden belangrijk zijn, dat antivirussoftware moet worden bijgehouden en dat phishing een risico vormt. Toch blijkt uit dezelfde scan dat kennisdeling, duidelijke afspraken en bestuurlijke verankering vaak nog ontbreken. Digitale veiligheid is daarmee geen verzameling technische maatregelen, maar vooral een organisatievraagstuk. Wie is verantwoordelijk? Welke risico’s accepteren we? Welke leveranciers vertrouwen we? En wat gebeurt er wanneer een essentieel systeem morgen niet meer beschikbaar is? Ook dat komt uit het onderzoek naar voren. Bijna de helft van de organisaties verwacht dat een langdurige uitval van digitale systemen zeer hinderlijk tot zelfs ingrijpend zou zijn voor de dagelijkse bedrijfsvoering.
Dat veranderende risicobeeld is ook zichtbaar op een andere plek: de verzekeringsmarkt. Waar een cyberverzekering enkele jaren geleden nog vooral werd gezien als een extra voorziening, stellen verzekeraars tegenwoordig steeds vaker eisen aan de digitale basis van een organisatie. Zaken als multifactorauthenticatie, goede back-ups, patchbeheer en een helder incidentproces zijn steeds vaker voorwaarden om überhaupt voor dekking in aanmerking te komen. Een cyberverzekering is daarmee niet alleen een financieel vangnet wanneer het misgaat, maar ook een graadmeter voor de digitale volwassenheid van een organisatie. Gelukkig komen er gespecialiseerde cyberverzekeringspartijen die niet alleen kennis van cyber, maar ook van de culturele sector hebben.
Van cybersecurity naar goed bestuur
Sinds 2023 is er nog een dimensie bij gekomen. Kunstmatige intelligentie verandert niet alleen de manier waarop culturele organisaties werken, maar ook de manier waarop cybercriminelen opereren. Phishingmails zijn overtuigender geworden, neptelefoontjes klinken geloofwaardiger en informatie waarmee vroeger uren onderzoek gemoeid was, kan tegenwoordig in enkele minuten worden verzameld en verwerkt. Tegelijkertijd gebruiken organisaties zelf steeds vaker AI bij communicatie, onderzoek, publieksbereik en bedrijfsvoering. Daarmee groeit niet alleen de productiviteit, maar ook de afhankelijkheid van externe technologiebedrijven en digitale diensten.
Die ontwikkeling raakt vrijwel iedere culturele organisatie, ook wanneer zij zichzelf niet als bijzonder digitaal beschouwt. Een museum beheert digitale collecties, een theater verkoopt kaarten via online platforms, een archief werkt met cloudopslag en vrijwel iedere instelling verwerkt persoonsgegevens van bezoekers, medewerkers, vrijwilligers of donateurs. De vraag is daardoor niet langer welke computer beschermd moet worden, maar hoe robuust het geheel van systemen, leveranciers en processen eigenlijk is geworden.
Tijdens het schrijven van mijn boek Digitaal Afhankelijk, dat dit najaar verschijnt bij Van Duuren Media, kwam ik diezelfde ontwikkeling steeds opnieuw tegen. Cyberveiligheid bleek zelden een op zichzelf staand onderwerp. Vrijwel altijd bleek het onderdeel van een veel bredere afhankelijkheid van technologie, data en leveranciers. Dat maakt digitale veiligheid steeds minder een onderwerp voor de ICT-afdeling alleen. Het raakt bestuurders die besluiten nemen over investeringen, toezichthouders die verantwoordelijk zijn voor continuïteit en reputatie, medewerkers die dagelijks met digitale systemen werken en uiteindelijk ook het publiek dat erop vertrouwt dat culturele organisaties zorgvuldig omgaan met hun gegevens en hun digitale erfgoed.
Misschien is dat wel de belangrijkste verandering van de afgelopen drie jaar. Digitale veiligheid is verschoven van een technisch vraagstuk naar een governancevraagstuk. Niet omdat bestuurders allemaal cybersecurityspecialisten moeten worden, maar omdat zij verantwoordelijk zijn voor de voorwaarden waaronder een organisatie veilig kan functioneren. Net zoals financiële continuïteit, integriteit of goed werkgeverschap bestuurlijke onderwerpen zijn, geldt dat inmiddels ook voor digitale weerbaarheid.
Een nieuwe nulmeting voor de sector
Daarom is het verstandig dat DEN opnieuw een breed beeld wil krijgen van de sector. De eerste scan liet niet alleen zien waar kwetsbaarheden zaten, maar ook dat organisaties behoefte hadden aan kennisdeling, praktische ondersteuning, gezamenlijke voorzieningen en een onafhankelijke partij die de sector helpt om zich verder te ontwikkelen. Die behoefte zal eerder zijn toegenomen dan afgenomen
Wie in de cultuursector werkt, hoeft daarvoor geen ICT-specialist te zijn. Integendeel. Juist de ervaringen van bestuurders, toezichthouders, directeuren, medewerkers en vrijwilligers samen laten zien hoe digitaal weerbaar een organisatie werkelijk is. Daarom is het belangrijk dat zoveel mogelijk organisaties deelnemen aan de Cybersecurity Scan 2026. Hoe groter de deelname, hoe betrouwbaarder het beeld dat ontstaat van de digitale weerbaarheid van de Nederlandse cultuursector. Dat helpt niet alleen individuele organisaties om betere keuzes te maken, maar geeft ook financiers, beleidsmakers, verzekeraars en de sector zelf een realistischer beeld van de uitdagingen die de komende jaren voor ons liggen.
Omdat de sector de afgelopen drie jaar zo sterk is veranderd, is een vergelijking met de eerste meting extra waardevol. Alleen met een brede deelname ontstaat een betrouwbaar beeld van waar de cultuursector vandaag staat. Deelname kost weinig tijd, maar levert waardevolle kennis op voor de hele sector. Doe daarom mee voor 20 september aan de Cybersecurity Scan 2026 van DEN en deel de oproep ook binnen je eigen netwerk. Een sector die steeds digitaler wordt, heeft belang bij een zo compleet mogelijk beeld van haar digitale weerbaarheid.
Nederlands 
English (UK) 
Français 