In het ENISA Threat Landscape 2026 vergelijkt het Europese cyberagentschap zijn eigen waarnemingen met wat lidstaten onder die wetgeving hebben gemeld. Van januari 2025 tot 14 juli 2026 ging het om 1.954 meldingen van incidenten, dreigingen en bijna-incidenten. Bij 941 daarvan was sprake van kwaadwillend handelen, en bij ongeveer de helft van die gevallen is de grondoorzaak als onbekend opgegeven.
Wat betekent dit? Een melding zonder oorzaak laat zien dat detectie en vastlegging tekortschieten. Voor het bestuur betekent het dat achteraf niet vast te stellen is welke maatregel faalde, en dus ook niet of de zorgplicht is nagekomen. Een GRC-stelsel waarin per control de eigenaar, de werking en het bewijs zijn vastgelegd, maakt die analyse wél mogelijk, en daarmee ook de verantwoording tegenover toezichthouder en auditor.