NCSC Annual Review 2026: AI creëert geen zwaktes, het onthult ze

Op 3 november 2026 publiceerde het Britse National Cyber Security Centre (NCSC) zijn tiende Annual Review, de staat van de cybernatie over de periode 1 september 2025 tot 31 augustus 2026. Het document is ongewoon eerlijk voor een nationaal beveiligingsagentschap. De openingszin van CEO Richard Horne stelt het probleem zonder omwegen: "The UK's cyber resilience is not yet where it should be. The cyber threat has increased faster than our defensive capabilities."

Deze review is geen marketingstuk. Het is een empirische afrekening op basis van 337 incidenten die het Incident Management-team dit jaar ondersteunde, en een strategische doctrine voor het komende decennium. Voor de Nederlandse publieke sector is het document om één reden van uitzonderlijk belang: het codificeert, met data, een inzicht dat direct raakt aan de Cyberbeveiligingswet, BIO2 en de EU AI Act.

De centrale these: AI creëert de cyber-zwaktes niet. Het onthult ze, en het industrialiseert de exploitatie ervan.

De formele definitie: continuïteit en verandering

De Annual Review bouwt zijn hele dreigingsanalyse op één conceptueel onderscheid dat scherper is dan de meeste beveiligingsliteratuur: de dreiging kent tegelijk continuïteit en verandering.

Continuïteit betekent dat de actoren en de technieken grotendeels dezelfde zijn als tien jaar geleden. De review opent bewust met een valstrik: het beschrijft Russische aanvallen op elektriciteitsopwekking, een massale datalek van overheidspersoneelsdossiers, een telecom-inbraak en ransomware tegen ziekenhuizen, en onthult dan dat dit niet 2026 is maar 2015, respectievelijk de Sandworm-aanval op het Oekraïense elektriciteitsnet, de OPM-breach, de TalkTalk-breach en aanvallen op Amerikaanse ziekenhuizen.

Verandering betekent dat de economie van aanvallen verschuift. Wat ooit tijd, expertise en middelen vergde, kan nu sneller, goedkoper en door een bredere groep actoren worden uitgevoerd.

De les is niet dat er niets verandert, en niet dat alles nieuw is. Het is dat beide tegelijk waar zijn, en dat wie zich alleen op de nieuwste AI-dreiging richt de bekende zwaktes negeert die nog steeds het meeste succes opleveren voor aanvallers.

Wat 337 incidenten onthullen

Het empirische hart van de review is een simpel getal. Voor grote organisaties kwam 88% van de incidenten uit slechts vier initiële toegangsvectoren:

1. Het exploiteren van externe, publiek toegankelijke applicaties
2. Phishing
3. Misbruik van geldige accounts
4. Het exploiteren van externe remote services

Geen van deze vier is nieuw. Geen van deze vier vereist AI. Alle vier zijn te mitigeren met fundamentele beveiligingsmaatregelen die al tien jaar bekend zijn.

De review distilleert hieruit zeven lessen, elk een afrekening met dezelfde misvatting dat geavanceerde dreigingen geavanceerde toegang vereisen:

1. Aanvallers exploiteren de basis: bekende kwetsbaarheden, slecht beveiligde systemen en internet-facing assets blijven de primaire toegangsroute.
2. Mensen blijven doelwit: social engineering, credential-diefstal en beveiligingscultuur doen ertoe.
3. Staats- en criminele actoren delen zwaktes: ze gebruiken dezelfde toegangsroutes, dezelfde kwetsbaarheidsexploitatie en dezelfde credential-abuse.
4. Ransomware blijft zeer disruptief: afpersing, datadiefstal, operationele verstoring en lange hersteltijden.
5. Voorbereiding bepaalt uitkomsten: logging, monitoring, incident response-planning en supply-chain-weerbaarheid.
6. Vroeg handelen vermindert impact: Early Warning-meldingen, snellere detectie en containment vóór escalatie.
7. Geavanceerde actoren hoeven niet geavanceerd te zijn om toegang te krijgen: de initiële toegang is simpel, de geavanceerdheid wordt pas zichtbaar ná binnenkomst.

De kernconclusie van de review: "Most successful attacks continue to exploit familiar weaknesses. Improving cyber resilience fundamentals remains the most effective way to reduce both the likelihood and impact of cyber incidents."

Dit is geen advies, het is een observatie op basis van het volledige incidentbeeld van een nationaal agentschap over een jaar.

Het dreigingsmodel: vier trends

De review identificeert vier onderling verbonden trends die samen de dreigingsomgeving definiëren:

Trend	Kern	Consequentie voor Nederland
China verandert de schaal	Whole-of-state aanpak: wetgeving, private contractors en technologieontwikkeling gecombineerd	Data-acquisitie op schaal, verder dan traditionele spionage
Cyber als staatsmacht	Cyber-operaties naast diplomatie, economische druk en militaire macht	Commerciële cyber-intrusiecapaciteit verlaagt de drempel voor staten
Economische veiligheid	£14,7 miljard jaarlijkse kosten, JLR-incident drukte de BBP-groei naar 0,1% in Q3 2025	Cyber-espionage als grootste bedreiging voor langetermijngroei
Technologische acceleratie	AI, automatisering en rekenkracht veranderen het tempo	Tegen 2028 routinematige AI-cyber door China en Rusland

Het JLR-incident verdient aparte aandacht als economisch signaal: een cyberaanval die de productie van één van de grootste autofabrikanten verstoorde, kostte ~£196 miljoen aan directe cyber-gerelateerde kosten en drukte meetbaar de nationale BBP-groei. De review presenteert dit als bewijs dat cybersecurity niet langer een IT-kostenpost is maar een macro-economische variabele.

AI als force multiplier: de genuanceerde these

De AI-beoordeling van de review is technischer en eerlijker dan de meeste publieke discussie. De kernbeoordelingen:

• Het is bijna zeker dat AI als force multiplier werkt: bekwame actoren voeren operationele taken op grotere schaal, snelheid en efficiëntie uit.
• Het is zeer waarschijnlijk dat AI geïntegreerd blijft in bestaande aanvalsmethodologieën in plaats van autonome end-to-end aanvallen uit te voeren.
• Menselijke operatoren blijven essentieel voor het sturen, valideren en aanpassen van AI-gegenereerde output.
• De uplift is ongelijk verdeeld: hoe hoger de vaardigheid van de operator, hoe groter de efficiëntiewinst.
• Verlies van controle over agentic AI hindert aanvallers: dit onderstreept de noodzaak van effectief menselijk toezicht, ook aan de aanvallerskant.

De meest consequente observatie is deze: "The greatest impact of AI will be the acceleration and scaling of existing tactics, techniques and procedures, as opposed to generating new attack vectors." AI creëert geen nieuwe aanvalsklasse. Het maakt de bestaande aanvalsklassen sneller, goedkoper en schaalbaarder.

Dit is het tegenovergestelde van zowel AI-paniek als AI-complacency. De paniek dat AI een fundamenteel nieuwe dreiging creëert, is onjuist. De complacency dat AI dus niets verandert, is even fout: de acceleratie zelf is de dreiging, omdat beveiligingscontroles traditioneel zijn gebouwd rond menselijke beperkingen, en een agent kent die beperkingen niet.

Het defensieve antwoord: agentic cyber defence

De tweede helft van de review is gewijd aan het antwoord, en dat antwoord is verrassend concreet. De Britse overheid bouwt aan een agentic cyber defence-ecosysteem onder de noemer Cyber Shield, gezamenlijk geleverd door NCSC en DCMS. Het doel is een nationaal ecosysteem waarin defensieve AI-agents binnen Britse organisaties draaien, gevoed met NCSC-dreigingsdata en signalen terugleveren voor verrijkte nationale inzichten.

Drie concrete programma's illustreren de richting:

Project DROMOS testte in 2026 of frontier AI-modellen software-kwetsbaarheden sneller en effectiever konden identificeren in overheidscode. De GOV.UK-case study rapporteert de concrete opbrengst: 407 bevindingen over negen overheidsorganisaties in één maand, voor £13.000 aan tokenkosten, met kritieke zwaktes die diensten blootstelden aan authenticatie-omzeiling, datalekken en remote code execution. Belangrijk is wat dit getal níet is: 407 bevindingen is geen bewezen telling van 407 unieke exploiteerbare kwetsbaarheden, en tokenkosten vertegenwoordigen niet de totale uitvoeringskosten. De case study is zelf expliciet dat de beste bevindingen nog altijd steunen op menselijke expertise en dat triage essentieel blijft, agents genereren kandidaten sneller dan mensen ze kunnen valideren.

De National Detect Strategy (NDS) richt zich op detectie en respons op bekende kwetsbaarheden en adversary TTP's op organisatie-, gemeenschaps- en nationaal niveau. De vier thema's: versterkte defender-communities, een National Cyber Coordination Function, verbeterde nationale observeerbaarheid, en partnerschappen met industrie en academie.

De principes-gebaseerde assurance verschuift van statische eenmalige compliance naar vertrouwen in beveiligingsuitkomsten: kan een product, systeem of dienst geloofwaardige beveiligingsclaims maken, die claims met bewijs ondersteunen, en dat vertrouwen behouden naarmate technologie en dreigingen veranderen.

De onderliggende logica is dat defensieve acties zelden zo goed schalen als offensieve. Aanvallers profiteren van automatisering; verdedigers moeten risico's individueel beoordelen, veranderingen coördineren en goedkeuring verkrijgen. Cyber Shield is een poging om die asymmetrie te doorbreken.

De Nederlandse wettelijke scope

De review is Brits, maar de doctrine raakt aan een Nederlands wettelijk kader dat sinds dit jaar concreet van kracht is. De Cyberbeveiligingswet geldt sinds 15 augustus 2026; artikel 35 van het Cyberbeveiligingsbesluit legt deze ingangsdatum vast.

De juridische categorie publieke sector is echter te breed voor één uniforme conclusie. Per entiteit en activiteit moet een CISO bepalen welke wettelijke categorie en sector van toepassing zijn, welke uitzonderingen of ontheffingen relevant zijn, welke toezichthouder en CSIRT bevoegd zijn, en welke sectorregeling de verplichtingen concretiseert. Voor toepasselijke overheidsentiteiten verwijst de Cyberbeveiligingsregeling sector overheid naar ISO 27001, ISO 27002 en relevante BIO2-maatregelen, met de eis van aantoonbare opzet, bestaan en werking van maatregelen. Waterschappen hebben een afzonderlijke uitwerking in de Cyberbeveiligingsregeling IenW.

De CSIRT-routes verschillen per sector en moeten zichtbaar zijn in draaiboeken: voor gemeenten en gemeenschappelijke regelingen blijft het NCSC de wettelijke CSIRT, met de IBD als schakelorganisatie; voor waterschappen is CERT-WM bij Het Waterschapshuis aangewezen.

Voor significante incidenten binnen de meldplicht geldt een tijdlijn zonder onnodige vertraging: een vroegtijdige waarschuwing uiterlijk 24 uur na kennisname, een incidentmelding uiterlijk 72 uur na kennisname, en een eindverslag uiterlijk één maand na die melding, met een vervolgregeling voor nog lopende incidenten. De AVG-beoordeling loopt hiernaast.

De praktische consequentie is dat een CISO naast beleid en verantwoordingsdocumenten ook operationeel bewijs nodig heeft: hercontroles van kwetsbaarheden, geteste toegangsbeëindiging, werkende detecties en geaccepteerde herstelresultaten.

Het kernadvies: organiseer rond de publieke dienst

De vertaling van de review naar een handelingskader begint met de juiste analyse-eenheid. Niet het systeem, niet de applicatie, maar de publieke dienst met haar volledige afhankelijkheden. Voor een uitkeringsproces, vergunningenportaal of waterbeheerfunctie moet duidelijk zijn welke identiteiten, gegevens, platformen, koppelingen, leveranciers en herstelvoorzieningen noodzakelijk zijn, welke verstoring aanvaardbaar is, en wie het herstel accepteert.

Dat leidt tot zes technische prioriteiten, elk met een bewijs dat de maatregel werkt:

Prioriteit	Technische ingreep	Bewijs dat het werkt
Internetblootstelling	Externe inventaris koppelen aan runtimegegevens, eigenaar en procesimpact	Onafhankelijke hercontrole van bereikbaarheid en kwetsbare toestand
Beheeridentiteiten	Phishingbestendige toegang, tijdelijke privileges en gescheiden beheerrollen	Intrekking daadwerkelijk getest op kritieke resources
Detectie	Identiteit, endpoint, netwerk, cloudbeheer en softwarelevering correleren	Gecontroleerd scenario levert tijdig een bruikbare melding op
Softwarelevering	Builds isoleren, herkomst controleren en toelatingsbeleid afdwingen	Een ongeautoriseerd artifact wordt geweigerd
Herstel	Herstelbeheer en vertrouwensankers voldoende onafhankelijk organiseren	Een volledige dienst werkt zonder de normale productie-identiteit
Leveranciers	Toegang, incidentgegevens, herstelmedewerking en exit concreet afspreken	Gezamenlijke oefening met verstoorde beheer- of communicatiekanalen

De kern is de tijd tot geverifieerde beheersing: hoeveel tijd krijgt een aanvaller tussen relevante blootstelling en effectieve beheersing? Voor een afgebakende categorie actief misbruikte, kritisch blootgestelde systemen is een interne startnorm bruikbaar: binnen vier uur een mitigatiebesluit en binnen 24 uur aantoonbare beheersing, zo snel als de situatie vereist. Dit is een voorgestelde operationele norm, geen wettelijke termijn. Voor OT en veiligheidskritieke processen moeten de toegestane handelingen vooraf met de procesverantwoordelijke zijn vastgesteld.

Een update beëindigt niet vanzelf een reeds bestaand compromis. Bij aanwijzingen voor eerdere compromittering moet het team ook persistentie, gestolen credentials en vervolgtoegang onderzoeken. Het NCSC behandelt dit expliciet in zijn guidance voor actieve exploitatie.

AI in het SOC: scheid analyse, autorisatie en uitvoering

De AI-vertaling van de review is geen oproep om het SOC te automatiseren, maar een architectuurprincipe: scheid de drie functies die AI kan vervullen.

Telemetrie en dienstcontext
        |
        v
Analyse en voorstel ---------------→ Audit en escalatie
        |
        v
Beleid en mandaat  ←---  Menselijke goedkeuring waar vereist
        |
   +----+----+
   |         |
Toegestaan  Geweigerd
   |         |
   v         v
Beperkte     Audit en escalatie
uitvoeringsdienst
   |
   v
Effect en dienstniveau controleren
   |
   +---------→ terug naar telemetrie

De scheiding is: modeloutput vormt een voorstel, een afzonderlijke beleidscomponent bepaalt welke handeling is toegestaan, en de uitvoeringsdienst beschikt uitsluitend over de daarvoor noodzakelijke rechten. Dit past de expliciete toegangsbeslissingen uit Zero Trust toe op securityautomatisering, en is relevant voor agentrisico's zoals misleiding via aangeleverde inhoud, verkeerd toolgebruik en misbruik van bevoegdheden.

Bevoegdheden bouwen op per handeling, van laag naar hoog:

Gebruik	Aanbevolen startpositie
Samenvatten, verrijken en onderzoeksvragen voorstellen	Leesrechten, bronverwijzingen en controle van onderbouwing
Kwetsbaarheidsbevindingen analyseren	Menselijke validatie van bereikbaarheid, impact en bestaande mitigaties
Sessies beëindigen of endpoints isoleren	Expliciete doelresource, beperkt mandaat en controle achteraf
Identiteiten, netwerkbeleid of herstelmiddelen wijzigen	Zwaardere goedkeuring, functiescheiding en geteste herstelprocedure

Onvertrouwde inhoud uit tickets, repositories, logs of documenten mag geen zelfstandige bevoegdheid krijgen om beleid te wijzigen. Dit sluit aan op de kill-switch-vereiste die het NCSC eerder dit jaar als interim guidance publiceerde voor agentic AI.

Meet de volledige opbrengst van AI-ondersteuning, niet alleen het aantal bevindingen. Een bruikbare Nederlandse pilot meet gevalideerde bruikbare uitkomsten, gemiste relevante gevallen, foutpositieven en benodigde analistentijd, totale kosten van integratie en beheer, en de gevolgen van onjuiste uitvoeringsacties. Begin met een herkenbaar casustype en vergelijk met het bestaande proces.

Twee concrete technische urgenties

Naast de strategische doctrine bevat de review twee technische urgenties die Nederlandse CISO's nu moeten plannen.

De patch wave. De review introduceert het begrip patch wave: een te verwachten golf van software-updates wanneer AI-geassisteerde kwetsbaarheidsontdekking op schaal begint te werken. Organisaties moeten plannen maken om beveiligingsupdates sneller, frequenter en op schaal te implementeren, ook door de supply chain heen. Het Britse bewijs voor de effectiviteit van sneller patchen is meetbaar: het Government Cyber Action Plan reduceerde de mediane tijd om domeingerelateerde kwetsbaarheden te repareren van 50 dagen naar 8 dagen.

De post-quantum-transitie. De review stelt een harde tijdlijn: discovery en migratieplanning in 2028, prioriteitsmigratie in 2031, volledige migratie naar post-quantumcryptografie (PQC) in 2035. Voor Nederlandse organisaties met langlevende of hoogwaardige data is dit geen verre toekomst: harvest-now-decrypt-later betekent dat data die vandaag wordt onderschept, al kwetsbaar is voordat de organisatie migreert. Voor de Nederlandse aanpak biedt het AIVD PQC-migratiehandboek een concreet vertrekpunt.

Een uitvoeringsplan voor negentig dagen

De operationele vertaling van dit alles is een plan dat binnen negentig dagen aantoonbare beheersing oplevert:

Periode	Resultaat	Vereist bewijs
Dag 1 tot 15	Kritieke diensten, eigenaren, afhankelijkheden en juridische scope vastgesteld	Dienstkaarten, scopebesluit en eerste risicoregister
Dag 16 tot 30	Internetblootstelling en beheeridentiteiten onder expliciete controle	Externe hercontroles, uitzonderingen met eigenaar en tests van toegangsintrekking
Dag 31 tot 60	Detectie, incidentmandaten en herstelroute getest	Werkende logketen, gevalideerde detecties en oefenverslag
Dag 61 tot 90	Eén volledige dienstketen hersteld en één begrensde AI-werkstroom beoordeeld	Acceptatie door de proceseigenaar en gemeten AI-prestaties

De scope past bij de uitvoeringscapaciteit: een kleinere organisatie selecteert enkele diensten en deelt specialistische capaciteit, een grote uitvoerder organiseert meerdere werkstromen parallel.

Stuur op zes indicatoren die tot een besluit leiden: dekking van kritieke diensten, duur van kritieke blootstelling, tijd tot effectieve containment, intrekbaarheid van toegang, werkelijke herstelprestatie, en effect van AI-ondersteuning. Vermeld bij elke indicator de scope, het meetbeginpunt en het aantal waarnemingen. Bij weinig incidenten leveren afzonderlijke casussen en oefeningen meer inzicht dan een gemiddelde.

Wat de review niet test

Een document als dit is een strategische doctrine, geen empirisch onderzoek. De beperkingen moeten expliciet zijn, precies zoals de review zelf eerlijk is over wat niet openbaar kan worden gemaakt:

• Geen Nederlandse data. De 88%-statistiek en de 337 incidenten zijn Brits. Nederland heeft geen equivalent openbaar cijfer. De Nederlandse publieke sector moet de Britse cijfers lezen als indicatief patroon, niet als Nederlandse meting.
• Attributie is partieel. Als onderdeel van een nationale veiligheidsdienst kan niet al het werk openbaar worden gemaakt. De review zegt dit zelf: de beschrijving is gebaseerd op inzichten van binnen en buiten, maar is onvolledig per ontwerp.
• Geen kwetsbaarheidsinventaris. De review benoemt dat het moeilijk blijft om een autoritatief beeld te krijgen van significante intrusies en kwetsbaarheden, en dat dit juist een doel van de NDS is. De nationale observeerbaarheid is nog in ontwikkeling.
• De AI-beoordelingen zijn judgements, geen metingen. Termen als "highly likely" en "almost certain" zijn analytische waarschijnlijkheidsoordelen van de NCSC, geen empirisch gekwantificeerde waarschijnlijkheden met een meetfout.
• Collectieve en agentische verdediging vragen nog om bewijs. De NDS wordt als pilot ontwikkeld; Cyber Shield is een meerjarig programma met open vragen over veilige herstelacties. Deze programma's bieden bruikbare ontwerpprincipes, maar bewijzen nog geen volledig autonome, breed inzetbare securityoperatie.
• De DROMOS-cijfers zijn geen kwetsbaarheidsinventaris. 407 bevindingen is geen bewezen telling van unieke exploiteerbare kwetsbaarheden; tokenkosten zijn niet de totale uitvoeringskosten.
• Geen falsificatie van de centrale these. De review stelt dat AI geen nieuwe aanvalsklasse creëert, maar toetst deze these niet systematisch tegen het incidentbeeld. Wie de 88%-statistiek als algemeen cijfer overneemt zonder de Britse context, overclaimt.

Deze beperkingen ondermijnen de kernboodschap niet. Ze begrenzen haar reikwijdte, en dat is precies wat een zorgvuldige lezer nodig heeft om de review correct te gebruiken.

Wat dit voor de Nederlandse CISO betekent

De Annual Review levert, vertaald, een operationele prioriteitenlijst voor de Nederlandse publieke-sector CISO:

1. Sluit de basis voordat je over AI praat. De 88%-les is de prioriteit: kwetsbaarheidsmanagement, credential-hygiëne en toegangsbeheer zijn de effectiefste risicoreductie. De Cyberbeveiligingswet en BIO2 geven het kader, de review geeft het bewijs.
2. Plan de patch wave. Bouw capaciteit om beveiligingsupdates sneller en op schaal te implementeren, ook door de supply chain. De 50-naar-8-dagen-verbetering is het bewijs dat dit haalbaar is.
3. Begin de PQC-inventarisatie nu. Weet waar cryptografie wordt gebruikt in kritieke systemen en supply chains. De 2028-deadline voor discovery is dichterbij dan de meeste organisaties denken.
4. Beheers agentic AI als governance-issue. Scheid analyse, autorisatie en uitvoering, en begrijp welke data een model kan benaderen, welke tools een agent kan aanroepen en hoe acties worden geobserveerd en begrensd.
5. Investeer in detectie boven perfectie. De review is expliciet dat detectie en vroege respons de meeste impact hebben. Monitoring, logging en incident response-planning zijn de maatregelen die uitkomsten bepalen.

De kernzin voor de boardroom is simpel: de dreiging die je organisatie het meest waarschijnlijk treft, is niet de geavanceerde AI-aanval. Het is de bekende kwetsbaarheid die je niet hebt gepatcht, en AI maakt het alleen maar waarschijnlijker dat een aanvaller die vindt.

De beslissende toets voor het programma is daarmee concreet: kan de organisatie aantonen dat zij een aanvalspad tijdig begrenst en een kritieke publieke dienst betrouwbaar herstelt, ook wanneer normale toegang, leveranciers of beheerkanalen zijn uitgevallen?

Zie ook

• NCSC kill-switch: de noodzaak van een interruptiemechanisme voor agentic AI
• Agentic AI cybersecurity: autonome aanvalsketens ontleed
• PQC-migratie onder NIS2: een AI-ondersteunde aanpak

Bronnen

1. NCSC Annual Review 2026 (PDF), National Cyber Security Centre, 3 november 2026
2. When AI Leaves the Lab: Testing Frontier Models in Government Cyber Defence, GOV.UK, 12 juni 2026
3. Cyberbeveiligingsbesluit, artikel 35 (inwerkingtreding), wetten.overheid.nl
4. Het PQC-migratiehandboek, AIVD, 3 december 2024
5. Responding to active exploitation, National Cyber Security Centre
6. Zero Trust Architecture, NIST SP 800-207, NIST