Waarom is red teaming relevant voor grote organisaties?

Grote organisaties beschikken vaak over uitgebreide IT-omgevingen met meerdere locaties, applicaties, leveranciers en gebruikersaccounts. Hierdoor zijn er meer mogelijke toegangspunten die een aanvaller kan onderzoeken.

Ook zijn grote organisaties regelmatig afhankelijk van complexe bedrijfsprocessen. Een succesvolle aanval op een centraal systeem kan gevolgen hebben voor meerdere afdelingen, productielocaties of bedrijfsactiviteiten.

Volgens de Cybersecuritymonitor 2025 van het CBS had 16 procent van de Nederlandse bedrijven met 250 of meer werknemers in 2024 te maken met een cyberincident door een aanval van buitenaf. Bij alle onderzochte bedrijven met minimaal twee werknemers lag dat aandeel op 4 procent.

Het totale aandeel bedrijven met een dergelijk incident daalde van 11 procent in 2016 naar 4 procent in 2024. Bij grote bedrijven bleef het percentage ten opzichte van 2023 gelijk op 16 procent.

Ook het oefenen van cyberincidenten verschilt sterk per bedrijfsgrootte. In 2024 oefende 37 procent van de grote bedrijven een incident door een aanval van buitenaf. Bij bedrijven met twee tot tien werknemers was dat 2 procent.

Deze oefeningen zijn niet allemaal red teaming-tests. Ook andere vormen van incident- en crisisoefeningen kunnen hieronder vallen.

Voor grotere organisaties die hun technische beveiliging al regelmatig laten onderzoeken, kan red teaming een volgende stap zijn. Daarmee wordt getest of beveiligingsmaatregelen, medewerkers en incidentprocedures gezamenlijk een gerichte aanval kunnen herkennen en stoppen.

In welke sectoren is red teaming belangrijk?

De relevantie van red teaming verschilt per sector. Sommige organisaties verwerken grote hoeveelheden vertrouwelijke gegevens. Andere zijn vooral afhankelijk van de beschikbaarheid van digitale systemen of industriële processen.

CBS-cijfers over 2024 laten zien dat cyberincidenten door aanvallen van buitenaf niet in iedere bedrijfstak even vaak voorkwamen.

De percentages geven het aandeel bedrijven met minimaal één cyberincident door een aanval van buitenaf weer. Bron voor deze cijfers is de Cybersecuritymonitor 2025 van het CBS.

ICT-bedrijven en digitale dienstverleners

ICT-bedrijven en organisaties in de informatie- en communicatiesector beheren vaak systemen, gegevens en digitale diensten waarop andere organisaties vertrouwen.

Een succesvolle aanval kan daardoor gevolgen hebben voor de eigen bedrijfsvoering en voor klanten die afhankelijk zijn van deze dienstverlening.

Red teaming kan helpen onderzoeken of een aanvaller via externe diensten, gebruikersaccounts of gekoppelde systemen toegang kan verkrijgen tot kritieke onderdelen van de infrastructuur.

Financiële instellingen

Financiële instellingen verwerken gevoelige informatie en zijn sterk afhankelijk van de beschikbaarheid en betrouwbaarheid van digitale systemen.

Voor banken, verzekeraars en andere financiële organisaties kan red teaming inzicht geven in de effectiviteit van toegangsbeveiliging, monitoring en incidentrespons.

Voor een deel van de financiële sector gelden daarnaast wettelijke verplichtingen voor dreigingsgerichte beveiligingstesten onder DORA.

Productiebedrijven en maakindustrie

In de maakindustrie zijn IT-systemen steeds vaker verbonden met operationele technologie, OT. Denk aan productieapparatuur, industriële besturingssystemen en systemen voor planning en onderhoud.

Een cyberaanval kan daardoor niet alleen gevolgen hebben voor kantoorautomatisering, maar ook voor de beschikbaarheid van productieprocessen.

Red teaming kan onderzoeken of een aanvaller vanuit een reguliere IT-omgeving toegang kan krijgen tot systemen die de productie ondersteunen.

Bij het testen van OT-omgevingen zijn duidelijke veiligheidsafspraken belangrijk. De test moet aantonen welke risico's bestaan zonder productieprocessen of fysieke installaties onnodig te verstoren.

Zorginstellingen

Zorgorganisaties zijn afhankelijk van de beschikbaarheid van medische informatie, patiëntdossiers en digitale ondersteuningssystemen.

Hoewel het CBS voor de gezondheids- en welzijnszorg een lager percentage incidenten door aanvallen van buitenaf rapporteert dan voor sommige andere sectoren, kunnen de gevolgen van een succesvolle aanval ernstig zijn.

Red teaming kan bijvoorbeeld onderzoeken of een aanvaller vertrouwelijke gegevens kan bereiken en of verdachte activiteiten tijdig worden herkend.

De keuze voor een test moet daarbij aansluiten op de continuïteit van de zorg en de veiligheid van patiënten.

Logistiek en andere essentiële diensten

Logistieke organisaties zijn afhankelijk van digitale planningssystemen, leveranciersverbindingen en de beschikbaarheid van operationele processen.

Een verstoring kan invloed hebben op transport, opslag, distributie en de dienstverlening aan klanten.

Ook organisaties in sectoren zoals energie, telecom en andere essentiële diensten kunnen baat hebben bij red teaming wanneer zij willen onderzoeken hoe weerbaar kritieke bedrijfsprocessen zijn tegen gerichte aanvallen.

Welke financiële instellingen zijn verplicht red teaming uit te voeren?

Voor bepaalde financiële instellingen is een dreigingsgerichte beveiligingstest wettelijk verplicht onder de Digital Operational Resilience Act, DORA.

DORA is sinds 17 januari 2025 van toepassing en stelt eisen aan de digitale operationele weerbaarheid van financiële instellingen.

Financiële instellingen die door de bevoegde toezichthouder worden aangewezen, moeten in beginsel minimaal iedere drie jaar een Threat-Led Penetration Test, TLPT, uitvoeren.

Bij een TLPT worden realistische cyberaanvallen gesimuleerd op kritieke of belangrijke bedrijfsfuncties en de systemen die deze ondersteunen.

De Nederlandsche Bank, DNB, bepaalt voor instellingen onder haar bevoegdheid welke organisaties op basis van de wettelijke criteria een TLPT moeten uitvoeren. Ook de Autoriteit Financiële Markten, AFM, heeft een rol bij dreigingsgerichte testen binnen haar toezichtgebied.

Voor de uitvoering wordt gebruikgemaakt van het Europese TIBER-EU-raamwerk. Dit beschrijft onder andere de voorbereiding, dreigingsanalyse, uitvoering en evaluatie van de test.

Niet iedere financiële instelling heeft automatisch een TLPT-verplichting. Of de verplichting geldt, hangt af van de toepasselijke criteria en aanwijzing door de bevoegde toezichthouder.

Financiële organisaties die niet zijn aangewezen, kunnen vrijwillig een dreigingsgerichte beveiligingstest uitvoeren. Naast TIBER bestaat het modulaire Advanced Red Teaming-raamwerk, ART, waarmee een test kan worden afgestemd op de schaal en het beveiligingsniveau van de organisatie.

Is red teaming verplicht onder NIS2 en de Cyberbeveiligingswet?

De Cyberbeveiligingswet, de Nederlandse implementatie van de Europese NIS2-richtlijn, is op 15 augustus 2026 in werking getreden.

Deze wet stelt aanvullende eisen aan de cyberbeveiliging van organisaties die als essentiële of belangrijke entiteit onder de regelgeving vallen.

Het gaat onder andere om organisaties in sectoren zoals energie, vervoer, gezondheidszorg, digitale infrastructuur, postdiensten, afvalbeheer en bepaalde industriële activiteiten.

Welke organisaties precies onder de Cyberbeveiligingswet vallen, hangt af van de sector, het type dienstverlening, de omvang van de organisatie en eventuele specifieke wettelijke aanwijzingen.

De wet stelt eisen aan risicobeheer, passende beveiligingsmaatregelen en de omgang met cybersecurityincidenten.

Een red teaming assessment kan bijvoorbeeld inzicht geven in de vraag of toegangsbeveiliging, netwerksegmentatie, monitoring en incidentrespons gezamenlijk effectief zijn tegen een realistische aanval.

Voor organisaties die onder de Cyberbeveiligingswet vallen, kan red teaming daarom onderdeel zijn van een bredere aanpak om cyberrisico's te beheersen en de digitale weerbaarheid te verbeteren.

Wanneer is een organisatie klaar voor red teaming?

De omvang of sector van een organisatie bepaalt niet automatisch of red teaming de juiste test is. Ook het bestaande beveiligingsniveau speelt een belangrijke rol.

Red teaming levert vooral nieuwe inzichten op wanneer de belangrijkste technische kwetsbaarheden bekend zijn en de organisatie over processen beschikt om verdachte activiteiten te detecteren en op te volgen.

Een organisatie die regelmatig pentesten laat uitvoeren, beschikt over actieve monitoring en duidelijke incidentresponsprocedures heeft bijvoorbeeld een goede basis voor een red teaming assessment.

Tijdens de test wordt onderzocht of deze onderdelen daadwerkelijk samenwerken wanneer een aanvaller probeert kritieke bedrijfsprocessen te bereiken.

Herken je deze onderdelen, dan kan red teaming helpen om de effectiviteit van de bestaande beveiliging onder realistische omstandigheden te toetsen.

Is red teaming ook geschikt voor kleinere bedrijven?

Red teaming is niet uitsluitend bedoeld voor grote ondernemingen. Ook kleinere organisaties kunnen belangrijke doelwitten zijn, bijvoorbeeld wanneer zij gevoelige informatie verwerken of kritieke diensten leveren.

Toch is een volledige red teaming-test voor kleinere bedrijven niet altijd de meest effectieve eerste investering.

Wanneer er nog onvoldoende inzicht bestaat in kwetsbaarheden, systemen of toegangsrechten, kan een penetratietest of baseline assessment meer directe verbeterpunten opleveren.

Ook een phishingsimulatie kan geschikt zijn wanneer je vooral wilt onderzoeken hoe medewerkers omgaan met verdachte berichten en pogingen tot misleiding.

Ontbreekt structurele monitoring, dan is het verstandig om eerst vast te stellen hoe verdachte activiteiten worden gedetecteerd en opgevolgd.

Wanneer deze basis voldoende is ingericht, kan een kleiner en gericht red teaming assessment een passende vervolgstap zijn. De noodzaak hangt dus meer af van de risico's en de beveiligingsvolwassenheid dan van het aantal medewerkers alleen.

Hoe bepaal je of jouw organisatie red teaming nodig heeft?

De keuze voor red teaming begint met het beoordelen van de cyberrisico's en de gevolgen die een succesvolle aanval voor je organisatie kan hebben.

Bepaal eerst welke bedrijfsprocessen essentieel zijn. Denk aan productie, patiëntenzorg, financiële transacties, logistieke planning of digitale dienstverlening.

Onderzoek vervolgens welke beveiligingsmaatregelen deze processen beschermen en of je organisatie verdachte activiteiten tijdig kan herkennen en opvolgen.

Wanneer de belangrijkste kwetsbaarheden al worden aangepakt en er een werkend proces voor incidentrespons bestaat, wordt het relevant om te onderzoeken hoe de verdediging reageert op een gerichte aanval.

Ook de mogelijke impact moet worden meegenomen. Een organisatie met relatief weinig medewerkers kan grote gevolgen ondervinden van een cyberaanval wanneer zij afhankelijk is van één kritisch systeem of onderdeel is van een belangrijke toeleveringsketen.

De combinatie van risico's, impact, wettelijke verplichtingen en beveiligingsniveau bepaalt of red teaming de juiste vervolgstap is.

Welke cybersecuritytest past bij jouw organisatie?

Niet iedere organisatie heeft dezelfde beveiligingsbehoefte. Wanneer je nog onvoldoende inzicht hebt in technische kwetsbaarheden, kan een pentest of security assessment de juiste eerste stap zijn.

Heb je al actieve beveiligingsmonitoring en incidentrespons ingericht, dan kan red teaming helpen om te beoordelen hoe effectief deze maatregelen samenwerken.

Defenced ondersteunt organisaties bij het inzichtelijk maken van cyberrisico's, het testen van beveiligingsmaatregelen en het verbeteren van digitale weerbaarheid.