De sterktes en zwaktes van de Nederlandse cybersecuritysector

In het onderzoek van Dialogic naar economische kansen van de Nederlandse cybersecuritysector (2023) is een duidelijke groei van de (geschatte) omzet en het aantal werknemers te zien. In 2021 kent de Nederlandse cybersecuritysector een geschatte omzet van circa €16 miljard en een werknemersaantal van circa 94.600. De toegevoegde waarde ligt rond de € 7,5 miljard, wat overeenkomt met 0,94% van het bruto binnenlands product (BBP). De onderstaande tabel geeft een kwantitatieve inschatting van de omvang en groei van de cybersecuritysector weer.

Naast de groeiende cybersecuritysector is er in Nederland een sterke kennisbasis in cybersecuritytechnologieën. Nederlandse kennisinstellingen en innovatieve bedrijven richten zich op veel aspecten van cybersecurity, maar staan in het bijzonder bekend om de ontwikkeling van cryptografie. Nederland heeft binnen de EU en NAVO als een van de weinige landen de status van cryptoproducing nation. 23 Doordat Nederland zelf in staat is om cryptografische producten te produceren, is Nederland niet afhankelijk van andere landen als het gaat om het beschermen van staatsgeheimen. Deze autonome positie staat echter onder druk vanwege een beperkte marktomvang en de sterke internationale concurrentie. Dit wordt echter, zoals aangegeven in de Nederlandse Cybersecuritystrategie 2022-2028, door implementatie van de Nationale Cryptostrategie (NCS) geadresseerd. De NCS stimuleert de overheid bij de ontwikkeling van cryptografische producten voor staatsgeheimen en is het doel om bedrijven in deze nichemarkt te laten floreren. Dit moet op termijn ook zorgen voor spin-off producten die voor minder zware toepassingen geschikt zijn, zoals in de netwerken van vitale organisaties.

Ondanks de sterke kennisbasis loopt Nederland relatief achter als het gaat om investeringen in innovatieve cybersecuritytechnologieën. De terughoudendheid van investeerders en bedrijven om te investeren in cybersecurity verzwakt de Nederlandse cybersecuritymarkt, en versterkt de afhankelijkheid van buitenlandse producenten van cybersecurityproducten. Ook wordt er weinig Research & Development (R&D) op het gebied van cybersecurity uitgevoerd door bedrijven: de uitgaven van Nederlandse bedrijven aan R&D in het algemeen liggen relatief laag: met circa 1,4% van het BBP ten opzichte van bijvoorbeeld Duitsland (2,2%), VS (2,0%) en Zuid-Korea (3,5%).

Via het programma Cybersecurity voor Nederland (CS4NL), uitgevoerd onder regie van het samenwerkingsplatform dcypher in samenwerking met Topsector ICT, wordt gewerkt aan meer cybersecurityinnovatie door het versterken van de samenwerking tussen het bedrijfsleven (o.a. topsectoren) en kennisinstellingen. Dit gebeurt door het uitzetten van onderzoeksubsidies op cybersecurityinnovatie-thema’s waarop consortia kunnen inschrijven. Deze subsidies worden ontwikkeld in samenwerking met de Nederlandse Organisatie voor Wetenschappelijk Onderzoek (NWO) en Topconsortium voor Kennis en Innovatie (TKI).

Uit het Cybersecuritybeeld Nederland (CSBN) 2023 25 blijkt dat de cybersecuritydreiging voor Nederland onverminderd groot blijft en voortdurend groeit. De geopolitieke spanningen nemen toe onder andere vanwege de Russische oorlog tegen Oekraïne. Deze oorlog heeft geleid tot een opleving van op ontwrichting gerichte cyberaanvallen. Deze digitale dreiging kan abrupt veranderen, bijvoorbeeld bij verdere escalatie van de oorlog, en Nederlandse belangen kunnen worden geraakt.

Het CSBN 2023 benadrukt daarnaast de voortdurende uitdagingen op het gebied van risicobeheersing. Nieuwe Europese wetgeving legt extra eisen op voor digitale veiligheid, terwijl de verzekerbaarheid van digitale risico's onder druk staat, vanwege de toename van digitale risico’s en de mogelijkheid van cyberincidenten om uit te groeien tot een systemische crisis. Daarnaast benadrukken de onderlinge verwevenheid binnen het bredere ecosysteem en de gelegenheidsstructuur voor cyberaanvallen de complexiteit van de digitale dreiging.

Het verkleinen van de scheefgroei tussen digitale dreiging en weerbaarheid blijft een grote uitdaging. Deze spanning is nadrukkelijk aanwezig op het gebied van OT. OT is een kwetsbare bouwsteen voor vitale processen, doordat deze een centrale rol speelt in het aansturen, monitoren en beheren van fysieke processen van organisaties. Daarmee fungeert OT als motor van vitale sectoren en vereist voortdurende aandacht voor cybersecurity. Tot slot vragen de bijzondere kenmerken van digitale risico's om een bredere benadering van risicobeheersing, waarbij digitale risico's worden beschouwd als integraal onderdeel van de nationale veiligheid, zoals ook aangegeven in de recent gepubliceerde ‘Cybercheck: ook jij hebt supply chain risico’s’.

Voor de Nederlandse cybersecuritymarkt houdt dit in dat verdere investeringen, innovaties en absorptiecapaciteit van cruciaal belang zijn om de onverminderd hoge cyberdreiging het hoofd te kunnen bieden. Integratie van andere technologieën zoals AI kunnen daar een impuls aan geven en de Nederlandse cybersecuritymarkt onderscheiden van het buitenland. Te grote afhankelijkheid van cybersecuritybedrijven uit andere landen kan namelijk op termijn een zorg zijn, bijvoorbeeld in het kader van vendor lock-in. Daarnaast is het tekort aan cybersecuritypersoneel een punt van zorg: zonder de beschikbaarheid van voldoende talent zullen organisaties in Nederland (van grote bedrijven en overheidsorganisaties tot het mkb) onvoldoende hun digitale weerbaarheid op orde kunnen krijgen.

De Nederlandse cybersecuritysector vertoont een aantal sterke kanten met in 2020 een omzet van €16 miljard. De sector voldoet goed aan de binnenlandse vraag naar diensten en heeft vooralsnog een solide kennisbasis in cryptografisch onderzoek. Echter, er is een gebrek aan cybersecurity R&D-activiteiten en beperkte opschaal- en exportmogelijkheden van diensten wat leidt tot meer afhankelijkheid van buitenlandse leveranciers, wat de slagkracht van Nederlandse bedrijven beperkt. Kansen voor de Nederlandse cybersecuritysector omvatten een diepere integratie van wetenschappelijke en toegepaste kennis in bedrijfs-R&D, zoals over toepassing van AI voor cybersecurity en PQC. Uitdagingen waar bedrijven rekening mee moeten houden zijn bijvoorbeeld het tekort aan cybersecuritytalent, een beperkte bewustwording van het belang van cybersecurity bij afnemende partijen, belemmeringen op de Europese interne markt, overnames van innovatieve midden en kleinbedrijven (mkb) door buitenlandse partijen en gebrek aan durfkapitaal en overheidsinvesteringen.