Cybersecurity.

De kloof tussen bestuurskamer en serverruimte

Cybersecurity vraagt om mensen die met het bestuur over strategie spreken, met het operationeel management het werk organiseren en met engineers de techniek beoordelen. Weinig mensen combineren die drie niveaus. Het bredere beeld laat zien waarom dat ertoe doet:

• Vaardigheden zijn in het hele vak schaars: 43% van de organisaties in Europa en Centraal-Azië geeft aan cruciale mensen en vaardigheden te missen om de huidige cybersecuritydoelen te halen.¹ 59% van de cybersecurityprofessionals meldt kritieke of aanzienlijke tekorten aan vaardigheden in het eigen team, en 88% zegt dat hun organisatie door een tekort aan vaardigheden ten minste één aanzienlijk cybersecuritygevolg heeft ondervonden.²
• Wat er op het spel staat: de gemiddelde kosten van een datalek bedragen wereldwijd 4,99 miljoen dollar, het hoogste niveau tot nu toe. In de Benelux is het gemiddelde 6,35 miljoen euro.³
• Wat de wet van het bestuur verwacht: onder NIS2 keurt het bestuur van een organisatie die onder de richtlijn valt de maatregelen voor het beheer van cyberrisico’s goed, ziet het toe op de uitvoering en kan het aansprakelijk worden gesteld voor inbreuken.⁴

Pluor geeft strategisch advies en vormt de brug tussen die niveaus. Het NIST Cybersecurity Framework beschrijft hetzelfde model: de bestuurders bepalen prioriteiten, strategische richting en risicobereidheid, managers beheersen de risico’s die die prioriteiten kunnen raken, en specialisten voeren de techniek uit en rapporteren terug, met informatie die in beide richtingen stroomt.⁵

Een heldere, samenhangende cybersecuritypraktijk

Onze diensten zijn bewust met elkaar verbonden, maar elk heeft een eigen doel. Dat voorkomt het bekende probleem dat risicomanagement, compliance, securityarchitectuur en managementsysteemwerk samensmelten tot één breed securityprogramma zonder duidelijk eigenaarschap.

Wat de praktijk onderscheidt

• Strategisch, operationeel en technisch. Wij werken met het bestuur aan richting en risicobereidheid, met het operationeel management aan processen en continuïteit, en met technische teams aan architectuur en maatregelen, elk in de eigen taal.
• Vooraf helder. Voordat wij beginnen, kent u de scope, de aanpak en de prijs. Tijdens de opdracht zeggen wij wat wij zien, ook wanneer dat ongemakkelijk is.
• Continuïteit. U werkt met één team dat uw organisatie leert kennen en betrokken blijft. Anders dan bij een zelfstandige adviseur blijft die kennis behouden als prioriteiten verschuiven.
• Onafhankelijk. Wij verkopen of implementeren geen securityproducten en ons advies is aan geen leverancier of platform gebonden. Aanbevelingen gaan uit van de organisatie, haar risicobereidheid en haar operationele werkelijkheid.
• Proportioneel, binnen uw risicobereidheid. Niet elk risico hoeft te worden verkleind. Maatregelen volgen het risico dat de organisatie bereid is te aanvaarden; NIS2 vraagt zelf om passende en evenredige maatregelen, rekening houdend met de kosten van de uitvoering.⁴
• Praktisch als uitgangspunt. Wij stoppen niet bij beoordelingen. Wij vertalen bevindingen naar beleid, plannen, architectuurbesluiten, oefeningen, roadmaps en managementacties.
• Gebouwd voor gereguleerde omgevingen. Security, weerbaarheid en compliance hangen samen, maar zijn niet hetzelfde. Elk vraagt de juiste methode en de juiste eigenaar.

Gebaseerd op normen en onderzoek

Wij werken met internationaal erkende normen, niet met een eigen methode. Welke norm leidend is, hangt af van uw sector en uw verplichtingen.

Ook onderzoek ondersteunt een proportionele aanpak. In het economische model van Gordon en Loeb voor securityinvesteringen levert de meest kwetsbare informatie niet vanzelf het meeste op, omdat zij buitensporig duur kan zijn om te beschermen; de analyse suggereert dat een onderneming die het verwachte rendement wil maximaliseren, slechts een klein deel van het verwachte verlies door een inbreuk besteedt.⁶

Van inzicht naar actie

Onze opdrachten zijn ontworpen om besluiten en beweging op te leveren, niet alleen documenten. Afhankelijk van de behoefte combineren wij beoordeling, workshops, bestuurlijke rapportage, implementatie, testen en doorlopend advies. Het resultaat is een cybersecurityprogramma dat de leiding kan besturen, teams kunnen uitvoeren, auditors begrijpen en waarop de organisatie kan vertrouwen.

Bronnen

1. World Economic Forum, Global Cybersecurity Outlook 2026, januari 2026, figuur 44 (enquête onder 804 deelnemers in 92 landen). Oorspronkelijke formulering: “missing critical people and skills”. weforum.org (opent in een nieuw tabblad) ↩︎

2. ISC2, 2025 Cybersecurity Workforce Study, december 2025 (16.029 respondenten). isc2.org (opent in een nieuw tabblad) ↩︎

3. IBM en Ponemon Institute, Cost of a Data Breach Report 2026, juli 2026. Wereldwijd: ibm.com (opent in een nieuw tabblad). Benelux, op basis van een kleine steekproef van 34 organisaties: IBM Benelux (opent in een nieuw tabblad). ↩︎

4. Richtlijn (EU) 2022/2555 (NIS2), artikelen 20, lid 1, en 21, lid 1. eur-lex.europa.eu (opent in een nieuw tabblad) ↩︎ ↩︎

5. NIST, The NIST Cybersecurity Framework (CSF) 2.0, NIST CSWP 29, februari 2024, paragraaf 5.1. doi.org/10.6028/NIST.CSWP.29 (opent in een nieuw tabblad) ↩︎

6. Gordon, L.A. en Loeb, M.P. (2002), “The economics of information security investment”, ACM Transactions on Information and System Security 5(4), 438–457. doi.org/10.1145/581271.581274 (opent in een nieuw tabblad) ↩︎