Agentic Security: de verdediging van de CISO tegen de complianceklok

Dit meldingsproces kan hen in contact brengen met wel vijf verschillende instanties, afhankelijk van het type aanval en de sector waarin het bedrijf actief is. Elke toezichthoudende autoriteit heeft zijn eigen rapportageprocessen om te volgen, vragen om te beantwoorden en deadlines om te behalen.

Het niet melden van een incident heeft ernstige gevolgen, waaronder hoge boetes, een breuk in het vertrouwen van klanten en in sommige gevallen zelfs persoonlijke aansprakelijkheid van leidinggevenden.

De NIS2-richtlijn schrijft onder andere voor dat middelgrote en grote organisaties in kritieke infrastructuur binnen zes uur na detectie een ‘vroegtijdige waarschuwing’ moeten indienen bij de bevoegde autoriteit van het betreffende land of het aangewezen CSIRT (Critical Security Incident Response Team). Gevolgd door een volledig rapport binnen 72 uur.

Binnen twee dagen

De Cyber Resilience Act volgt een vergelijkbare aanpak. En de AI-wet verplicht aanbieders van “risicovolle” AI-systemen om incidenten binnen twee dagen te melden wanneer er sprake is van een “grootschalige inbreuk“ of een ernstige en onomkeerbare verstoring van kritieke infrastructuur. Deze strengere rapportageverplichtingen worden ingevoerd op een moment waarop bedrijven in heel Europa ook worden geconfronteerd met een toenemende dreiging van cybercriminaliteit.

'Direct na een cyberaanval moeten beveiligingsteams zes acties uitvoeren'

In Nederland waarschuwt een recent rapport van de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) dat het digitale dreigingslandschap steeds diverser, onvoorspelbaarder en complexer wordt. In 2025 waren Nederlandse organisaties doelwit van cyberaanvallen door staatsactoren uit China, Rusland en Noord-Korea. Daarnaast hebben cybercriminelen persoonsgegevens gestolen van patiënten van het zorgbedrijf Eurofins Clinical Diagnostics en van passagiers van AirFranceKLM. Ook hebben ze de websites van verschillende gemeenten tijdelijk platgelegd.

Dat vormt een enorme uitdaging. Direct na een cyberaanval moeten beveiligingsteams – naar beste vermogen – zes acties uitvoeren: een incidentresponsteam samenstellen, mogelijke afwijkingen identificeren, de verspreiding van de dreiging beperken, kwaadaardige elementen verwijderen en getroffen systemen en data herstellen. Dat kost tijd, terwijl de rapportagetermijnen al beginnen te lopen voordat er volledige zekerheid is over de aard en omvang van het incident.

Omvang vaststellen

Hoewel de uitdaging enorm is, is ze niet onoverkomelijk. Organisaties die dit successvol aanpakken hebben één belangrijk kenmerk gemeen: ze brengen de omvang het incident snel in kaart.

Tijdens de identificatiefase van de Incident Response Lifecycle betekent dit dat waarschuwingen van endpoints, gecompromitteerde systemen, geraadpleegde gegevens en verstoorde bedrijfsprocessen met elkaar worden gecorreleerd. Alle beschikbare log-gegevens worden samengebracht voordat cruciale informatie verloren gaat.

Wanneer waarschuwingen verspreid zijn over tien verschillende beveiligingstools, moet het onderzoek al die systemen afgaan. Daardoor richten teams zich uiteindelijk vooral aan de rand van het incident in plaats van in de kern ervan, wat ten koste gaat van een goede inschatting van de omvang. Een onjuiste inschatting van de omvang leidt tot een onjuiste melding.

Nauwkeurig

Wat in plaats daarvan nodig is, is een uniforme databasis waarin alle waarschuwingen samenkomen voor correlatie en analyse. Nog beter is een platform dat een zekere mate van automatisering biedt en zelfstandig verbanden kan leggen tijdens een onderzoek, zonder dat IT-medewerkers eerst handmatig al het bewijsmateriaal hoeven te verzamelen en analyseren. 

Juist bij het optimaal benutten van de tijd en expertise van het securityteam laat AI zijn meerwaarde zien. Geautomatiseerde correlaties, bevindingen en suggesties die door machines worden gegenereerd, geven deze professionals de ruimte om te doen waar ze het beste in zijn: beoordelen, afwegen en hun eigen onderzoek versterken met inzichten die anders pas na uren aan het licht zouden komen.

In de meest effectieve omgevingen bepaalt een agentische workflow of en hoe waarschuwingen met elkaar samenhangen, identificeert de aanvalsketen en stelt vast welke systemen en netwerkonderdelen erbij betrokken zijn. Het resultaat is sneller, nauwkeuriger onderzoek en betere rapportages voor toezichthouders, waarin de omvang van het incident, de impact, de huidige status en de vervolgstappen helder worden beschreven.

Operationele weerbaarheid

De voordelen van deze technologie reiken natuurlijk veel verder dan het tijdig indienen van verplichte rapportages. Organisaties die beveiligingsincidenten sneller en nauwkeuriger analyseren, kunnen aanvallen beperken, schade verminderen en systemen sneller herstellen.

Met andere woorden: Agentic Security zou weleens de beste manier kunnen zijn om niet alleen aan toezichthouders te laten zien dat een organisatie IT-beveiligingsrisico’s serieus neemt, maar ook om huidige risico’s om te zetten in de weerbaarheid van morgen.