In de afgelopen maanden zijn Odido, Ben en Booking.com getroffen door cyberaanvallen, waarbij bij alle drie de bedrijven op grote schaal gevoelige klantgegevens zijn buitgemaakt. Daarom zijn de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten op 15 augustus 2026 in werking getreden. De wetten moeten organisaties beter beschermen tegen digitale en fysieke dreigingen en ervoor zorgen dat essentiële diensten kunnen blijven functioneren. Maar betekent dit dat we onze privacy moeten opgeven om onze gegevens beter te beschermen? Wouter Jong, universitair docent crisisbeheersing aan de Universiteit Leiden, beweert in zijn opiniestuk in de Volkskrant het volgende: ‘Effectieve bescherming tegen cyberaanvallen kan vragen om het in ruime mate verzamelen en analyseren van (persoonlijke) gegevens.’ Maar klopt dit wel?

Cyberaanvallen nemen toe in frequentie en verfijning, wat aanzienlijke uitdagingen vormt voor organisaties die hun gegevens en systemen moeten beschermen tegen bekwame dreigingen. Gezien de risico’s die deze bedreigingen met zich meebrengen, is het steeds belangrijker dat organisaties informatie over cyberdreigingen delen en deze gebruiken om hun beveiligingsniveau te verbeteren.

Uit de onderzoeksagenda van het onderzoeksteam van het NCSC blijkt dat de ervaring leert dat het belangrijk is om zo snel mogelijk informatie rondom kwetsbaarheden te verkrijgen, te duiden en uit te wisselen. Dit zorgt voor betere besluitvorming, informatiedeling en risicoanalyse binnen cybersecurity. Met informatie bedoelen zij niet (persoonlijke) gegevens, maar informatie over kwetsbaarheden.

Ook onderzocht TNO (Toegepast Natuurwetenschappelijk Onderzoek) hoe organisaties en bedrijven cybersecuritygegevens met elkaar kunnen delen zonder dat gevoelige informatie en privacy in gevaar komen. TNO laat zien dat je daarvoor niet noodzakelijkerwijs alle gevoelige of persoonlijke gegevens hoeft vrij te geven. Met Secure Multi-Party Computation (MPC) kunnen organisaties gezamenlijk gegevens analyseren, terwijl ze elkaars oorspronkelijke gegevens niet kunnen inzien.

Zo vertelt dr. Jaap-Henk Hoepman , Universitair hoofddocent – Digital Security en
Universitair hoofddocent – Interdisciplinary Hub for Digitalization and Society aan de Radboud Universiteit, dat persoonsgegevens wel verzameld kunnen worden, maar alleen onder de verplichtingen van de AVG. ‘Die zegt: als het noodzakelijk is voor het kunnen uitvoeren van je dienst. En eigenlijk ook als je kijkt naar de AVG, die zegt dat je de nodige maatregelen moet treffen om je systemen te beveiligen als je persoonsgegevens verwerkt, zou dat daar gewoon onder vallen. Het is iets anders als je heel veel van die gegevens met allemaal andere partijen gaat delen. Daar zul je dan wel iets voor moeten doen.

Maar er zijn allerlei systemen, organisaties en ook protocollen om gegevens over bepaald verdacht gedrag binnen één netwerk te kunnen delen met andere netwerken’, legt Hoepman uit.

Het verzamelen en analyseren van cybersecuritygegevens uit verschillende organisaties helpt om cybersecurity te verbeteren. Maar de overheid, organisaties en bedrijven moeten zich aan de AVG (Algemene verordening gegevensbescherming) houden. Ze moeten steeds kunnen onderbouwen waarom ze bepaalde gegevens nodig hebben, welke wettelijke basis daarvoor bestaat en hoe ze de privacy van burgers beschermen. Dat is extra belangrijk omdat gegevensuitwisseling bij de aanpak van ondermijning grote gevolgen kan hebben voor mensen.

Volgens Hoepman gaat het vooral om de patronen waarmee de cyberaanvallen zijn binnengekomen. ‘Welke manier van binnenkomen hebben we gezien en die informatie wil je delen met anderen. Er hoeven geen persoonsgegevens in te zitten. Behalve als je ziet dat het van bepaalde computers komt of van bepaalde accounts afkomt. Nou, dan moet je die accountgegevens of die IP-adressen delen. Maar dat is niet hetzelfde als zeggen: we gaan alle IP-adressen van alles wat we zien met iedereen delen. Dat is niet helemaal hoe het werkt.’

De Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten geven ook duidelijk aan dat de organisaties die onder de wetten vallen vooral cyberrisico’s moeten beheersen, beveiligingsmaatregelen moeten nemen en incidenten moeten melden. De Rijksoverheid stelt dus niet dat daarvoor grote hoeveelheden persoonsgegevens nodig zijn. Hier wordt dus niets vermeld over het in ruime mate moeten verzamelen van gegevens.

De bewering is gedeeltelijk onwaar. Effectieve bescherming tegen cyberaanvallen kan vragen om het verzamelen en analyseren van gegevens, maar niet noodzakelijk om grote hoeveelheden persoonsgegevens. Vaak gaat het om informatie over kwetsbaarheden, verdachte patronen en cyberdreigingen. Wanneer persoonsgegevens wel nodig zijn, moeten organisaties zich houden aan de AVG. Grootschalige verzameling en analyse van persoonsgegevens is daarom geen algemene voorwaarde voor effectieve bescherming tegen cyberaanvallen.