Nederland telde begin dit kwartaal 962 bedrijven die zich bezighouden met cyberbeveiliging, meldt AG Connect op basis van cijfers uit het Handelsregister van de KVK die het ANP heeft geanalyseerd. In dezelfde periode van 2021 waren het er 233. Het aantal is daarmee in vijf jaar ruim verviervoudigd.
Achter dat cijfer zit meer dan een sector die het goed doet. Het laat zien hoe een markt kan ontstaan wanneer technologie, risico’s en regelgeving tegelijk in beweging komen. Voor ondernemers die een eigen bedrijf overwegen, en voor managers die IT-diensten inkopen, is het de moeite waard om te begrijpen wat die groei aandrijft.
Wat de groei aandrijft
Het Nationaal Cyber Security Centrum (NCSC) noemt tegenover AG Connect een paar verklaringen. Nieuwe wetgeving zoals de Cyberbeveiligingswet heeft waarschijnlijk een rol gespeeld. Ook krijgt cybersecurity meer aandacht en wordt binnen organisaties duidelijker wat de opkomst van AI betekent. Bedrijven zijn verder geautomatiseerd en daardoor afhankelijker van hun IT-systemen, terwijl AI het juist makkelijker kan maken om zwakke plekken in die systemen te vinden en te misbruiken. Volgens het NCSC zijn ongeveer 2,4 miljoen Nederlandse bedrijven en organisaties dagelijks afhankelijk van digitale systemen.
De risico’s zijn ook zichtbaar in de cijfers. Volgens AG Connect kreeg de Autoriteit Persoonsgegevens vorig jaar ruim 39.000 meldingen van datalekken, tegen bijna 24.000 in 2020.
Regelgeving maakt van een risico een concrete vraag
Interessant voor ondernemers is vooral de rol van wetgeving. Een risico waar bedrijven al jaren van weten, leidt niet vanzelf tot vraag naar diensten. Veel organisaties stellen investeringen in beveiliging uit zolang er niets misgaat. Een wet verandert dat. De Cyberbeveiligingswet, die sinds 15 augustus 2026 geldt, verplicht organisaties in achttien sectoren om risico’s in kaart te brengen, maatregelen te nemen en ernstige incidenten snel te melden. Het bestuur is daar eindverantwoordelijk voor.
Daarmee ontstaat vraag die je kunt benoemen: hulp bij risicoanalyses, het inrichten van een meldproces, het trainen van bestuurders en het beoordelen van leveranciers. Die laatste groep is extra interessant. Ook bedrijven die niet onder de wet vallen, kunnen er via hun klanten mee te maken krijgen, omdat organisaties die wel onder de wet vallen eisen mogen stellen aan hun leveranciers. Zo verspreidt de vraag zich door de hele keten.
Wat dit betekent voor starters
Een groeimarkt trekt nieuwe aanbieders aan, en dat zie je hier ook. Die verviervoudiging betekent dus niet alleen dat er meer klanten zijn, maar ook meer concurrenten. Wie nu begint, doet er goed aan om niet breed ‘cybersecurity’ aan te bieden, maar een duidelijke doelgroep en een duidelijk probleem te kiezen. Denk aan toeleveranciers in de voedselketen die vragen van hun afnemers moeten beantwoorden, of aan bestuurders die de verplichte kennis willen opdoen.
Een smalle start maakt het ook makkelijker om snel te leren wat klanten echt nodig hebben. De Lean Startup-methode is daar een bruikbare aanpak voor: begin klein, test je aanbod bij echte klanten en stel bij voordat je groot investeert. De vraag of je een echte market fit hebt, is in een markt met veel nieuwe spelers belangrijker dan de vraag of de markt groeit.
Een kanttekening hoort erbij. Een dienst in beveiliging valt of staat met vakkennis en vertrouwen. Zonder mensen die het werk echt kunnen, is een groeiende markt weinig waard.
Wat dit betekent voor inkopers
Voor managers die IT-diensten inkopen, betekent de groei meer keuze, maar ook meer moeite om kwaliteit te beoordelen. Het NCSC benadrukt dat bedrijven zelf verantwoordelijk blijven voor hun cybersecuritystrategie. Je kunt die niet volledig uitbesteden; gespecialiseerde bedrijven kunnen hooguit aanvullen. Dat vraagt van een opdrachtgever dat hij zelf weet wat hij wil bereiken, en dat hij afspraken maakt over wie wat doet als het misgaat.
Aansluitende managementmodellen
De PESTEL-analyse, in Nederland vaak als DESTEP-analyse gebruikt, brengt externe factoren in kaart. Deze markt is een schoolvoorbeeld: politieke en juridische factoren (de Cyberbeveiligingswet) en technologische factoren (AI en digitalisering) versterken elkaar en scheppen samen nieuwe vraag.
Het vijfkrachtenmodel van Michael Porter helpt om de aantrekkelijkheid van een bedrijfstak te beoordelen. Een snelle toename van het aantal aanbieders betekent lage toetredingsdrempels en meer onderlinge concurrentie, terwijl de schaarste aan specialisten de positie van een andere partij versterkt: het personeel dat de diensten levert.
De productlevenscyclus helpt om te bepalen in welke fase een markt zit. Snelle groei met veel nieuwe toetreders past bij de groeifase. Wie verder kijkt, weet dat in de volgende fase de groei afvlakt en vaak de grotere en beter onderscheidende aanbieders overblijven.
Aanleiding voor dit artikel is nieuws van AG Connect.
