Volgens de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) is op 16 oktober 2026 de Rijksbrede Risicoanalyse 2026 verschenen, opgesteld door het Analistennetwerk Nationale Veiligheid. Dat netwerk bestaat uit onder meer RIVM, TNO, Clingendael, SEO, de AIVD en de MIVD. De analyse verschijnt eens per vier jaar en komt tot een stevige conclusie: de veiligheidsomgeving van het Koninkrijk is de afgelopen jaren fundamenteel veranderd. Geopolitieke, economische en digitale dreigingen nemen toe, en ze hangen steeds meer met elkaar samen. Daarnaast blijven grote niet-opzettelijke risico’s bestaan, zoals pandemieën, overstromingen en extreme hitte, die elkaar sneller kunnen opvolgen.
Opvallend voor bestuurders is het gewicht dat de analyse toekent aan afhankelijkheden. Economische, technologische en politieke afhankelijkheden kunnen volgens het netwerk worden gebruikt als drukmiddel. Cyberdreiging staat in de analyse als apart thema naast onder meer ongewenste inmenging, internationale militaire dreigingen en economische dreigingen. De onderliggende deelrapporten over cyber heb ik niet gelezen, dus daar doe ik hier geen uitspraken over. De boodschap op de nieuwspagina zelf is duidelijk genoeg: risicovolle afhankelijkheden moeten kleiner worden, en het uitstellen of ontlopen van strategische keuzes tast de weerbaarheid, en daarmee de nationale veiligheid, aan. De analyse dient als belangrijke input voor de tussentijdse herziening van de Veiligheidsstrategie 2023-2029 in het voorjaar van 2027.
Wat betekent dit? Voor een bestuur is dit geen verre beleidsstudie, maar een ijkpunt voor de eigen risicobeoordeling. Wie onder de Cyberbeveiligingswet of de Wet weerbaarheid kritieke entiteiten valt, moet kunnen laten zien dat de eigen risicoanalyse aansluit bij het actuele dreigingsbeeld. Dat beeld is nu zichtbaar scherper geworden, en toezichthouders zullen het gebruiken als referentie. De vragen die een bestuurder zich kan stellen zijn eenvoudig te formuleren en lastig te beantwoorden. Welke afhankelijkheden van een enkele leverancier, dienst of land kunnen onze continuïteit raken? Weet het bestuur dat zeker, of wordt het aangenomen? En is vastgelegd welke risico’s we bewust accepteren, binnen een risicoappetijt die het bestuur zelf heeft vastgesteld en niet pas na een incident? Bestuurlijke verantwoording begint bij het kunnen aantonen van die keuzes.
Er is ook een valkuil. Een landelijke analyse beschrijft scenario’s op nationaal niveau, en organisaties lezen daar graag in dat het hun eigen zaak niet is. In de praktijk werken nationale dreigingen juist door via gewone organisaties: een verstoring bij één dienstverlener raakt tientallen afnemers tegelijk. Wie de analyse leest als context voor de eigen governance, en niet als iets dat voorbijgaat aan de eigen organisatie, haalt er het meeste uit.
Tech Compliance ondersteunt bestuurders en CISO’s bij het inrichten van risicomanagement & GRC: wij helpen uw dreigingsbeeld, risicoappetijt en bestuurlijke verantwoording zo te verbinden dat u kunt uitleggen waarom uw keuzes passen bij de dreiging van nu. Meer over deze dienst staat op https://techcompliance.nl/expertises/#grc-governance-risicomanagement. Lees het volledige bericht bij de NCTV: https://www.nctv.nl/actueel/nieuws/2026/10/16/steeds-grotere-bedreiging-nationale-veiligheid-maakt-strategische-keuzes-noodzakelijk