Cyberdreigingsbeeld 2026: drie adviezen om privacyrisico's te beperken

Het jaarlijkse Cyberdreigingsbeeld van SURF helpt securityteams om prioriteiten te stellen bij de informatiebeveiliging van hun organisatie. Maar hoe vertalen deze dreigingen zich door naar risico's op het gebied van privacy? In dit artikel lees je meer over de privacyaspecten bij drie relevante dreigingen en wat je kunt doen om de risico's te beperken.

In het Cyberdreigingsbeeld 2026 beschrijft SURF zes belangrijke ontwikkelingen op het gebied van cybersecurity. Drie daarvan lichten we vanuit privacyperspectief uit:

• De voorbereiding op quantumtechnologie blijft achter;
• Niet-Europese technologie vergroot de kwetsbaarheid;
• Cyber-fysieke systemen zijn onvoldoende in beeld. 

Quantumtechnologie: risico's voor later

Het Cyberdreigingsbeeld laat zien dat aanvallers nu al versleutelde gegevens stelen om die in de toekomst met quantumtechnologie te kunnen ontsleutelen. Dat betekent dat systemen met gevoelige gegevens nu al risico lopen. Of het lekken van die gegevens over tien of twintig jaar nog schadelijk is, hangt af van de aard van de gegevens, maar bijvoorbeeld medische gegevens en bepaalde onderzoeksgegevens kunnen in de toekomst nog steeds gevoelig zijn.

Advies

Breng in kaart welke systemen persoonsgegevens bevatten die langdurig vertrouwelijk moeten blijven. Geef deze systemen prioriteit bij de overstap naar post-quantumcryptografie. Lees ook (vers van de pers in oktober van de Autoriteit Persoonsgegevens): Quantumtechnologie en persoonsgegevens.

Geopolitiek: grip op persoonsgegevens

Europese organisaties zijn sterk afhankelijk van technologie van buiten de Europese Economische Ruimte (EER). Zodra je persoonsgegevens verwerkt met niet-Europese systemen, brengt dat niet alleen risico's met zich mee voor de continuïteit van de dienstverlening, maar ook voor de bescherming van persoonsgegevens. Het risico bestaat dat de toegang tot systemen worden geblokkeerd, waardoor persoonsgegevens niet meer beschikbaar zijn of bepaalde diensten niet meer gebruikt kunnen worden. Ook kunnen buitenlandse overheidsinstanties toegang krijgen tot persoonsgegevens.

Dit gebeurt ook daadwerkelijk. De Amerikaanse sancties tegen het Internationaal Strafhof (ICC) laten zien hoe geopolitieke ontwikkelingen de toegang tot digitale diensten onder druk kunnen zetten: de hoofdaanklager van het ICC verloor de toegang tot zijn Microsoft-e-mailaccount. Of meer recent: een server van een Italiaanse activistische organisatie die in Nederland stond, is op verzoek van de VS door de Nederlandse politie in beslag genomen.

Advies

Investeer in alternatieve technische oplossingen die je minder afhankelijk maken van niet-Europese technologie. Breng in kaart welke systemen je gebruikt om persoonsgegevens te verwerken en bij welke systemen de afhankelijkheid zo groot is dat afsluiting enorme gevolgen zou hebben voor de continuïteit van je organisatie. Maak een plan om zulke systemen te vervangen door robuuste Europese alternatieven. Zo versterk je je digitale autonomie. Kijk bijvoorbeeld op de website European Alternatives of doe mee met Nextcloud-pilot van SURF.

OT-systemen: verborgen privacyrisico's

Systemen die draaien op Operationele Technologie (OT) sturen fysieke processen aan, zoals toegangsdeuren. Zulke systemen verzamelen vaak persoonsgegevens zonder dat je je daarvan bewust bent.

Denk bijvoorbeeld aan een toegangscontrolesysteem. Elke keer dat iemand een pasje scant, kan in een logboek worden vastgelegd wie waar en wanneer toegang krijgt. Als zo'n systeem wordt gehackt, bestaat de kans op misbruik: iemand kan een toegangspas kopiëren of het logboek vervalsen, waardoor het lijkt alsof iemand niet aanwezig was. Dat kan bijvoorbeeld forensisch onderzoek belemmeren.

Ook kluisjessystemen, medicijnkluizen en parkeersystemen met kentekenherkenning zijn voorbeelden van OT-systemen waarin persoonsgegevens worden verwerkt. Het is goed om je ervan bewust te zijn dat persoonsgegevens in OT-systemen ook onder het inzagerecht vallen.

Advies

Controleer of je systeem is ontworpen volgens de principes van Privacy by Design. Daarmee verklein je de impact als er iets misgaat. Bij kentekenherkenning kun je gegevens bijvoorbeeld door middel van hashing pseudonimiseren.

Van cyberdreiging naar privacymaatregel

Het Cyberdreigingsbeeld maakt duidelijk dat cyberveiligheid en privacy nauw met elkaar verbonden zijn. Door bij de beoordeling van cyberdreigingen ook de gevolgen voor persoonsgegevens mee te nemen, kun je gerichter maatregelen treffen. Niet alleen om systemen te beschermen, maar vooral ook om persoonsgegevens veilig te houden.