Veel retailers zijn slachtoffer geworden van een of andere vorm van cybercriminaliteit. Dit leidt tot hoge kosten en verstoringen van de operatie. Ondanks dat retailondernemers deze risico’s serieus nemen, is cyberweerbaarheid nog lang niet altijd tot een van de kernactiviteiten binnen de hele bedrijfsvoering uitgeroepen zoals blijkt uit onderzoek van ABN AMRO.
Uit het onderzoek komt naar voren dat de dreiging van cybercriminaliteit onder retailers als bekend wordt verondersteld, maar dat de voorbereiding vaak incidenteel blijft; bovendien blijkt dat het gebruik van AI binnen de organisatie sneller toeneemt dan het beleid voor een veilige toepassing. De grootste winst ligt daarom in eenvoudige, vaste routines, zoals zorgvuldig toegangsbeheer, geteste back-ups, een actueel responsplan en duidelijke afspraken met leveranciers.
Oktober is de maand van de Europese Cybersecuritymaand en deze sectoranalyse verdiept het ABN AMRO-rapport Mkb niet klaar voor nieuwe digitale risico’s voor de groot- en detailhandel. Marktonderzoeksbureau MWM2 voerde het onderzoek in maart 2026 uit onder 777 Nederlandse organisaties. De resultaten voor de sector retail zijn gebaseerd op 88 respondenten. De analyse laat zien waar retailers afwijken van de totale onderzoeksgroep en welke acties direct relevant zijn voor de sector.
De respondentengroep loopt uiteen van zelfstandigen en kleine winkels tot grotere handelsbedrijven. Besluiten over cybersecurity liggen vaak bij eigenaar, directie of algemeen management. Dat maakt snel handelen mogelijk, maar vergroot ook het risico dat aandacht pas ontstaat na een incident. Bij 41 procent ligt de eindverantwoordelijkheid bij bestuur of directie. Bij ongeveer een derde ligt die bij lagere managers. Iets meer dan 10 procent belegt de verantwoordelijkheid bij een interne of ingehuurde IT- of cyberveiligheidsspecialist.
Dreiging wordt herkend, maar leidt niet altijd tot actie
Retailers beoordelen cybercriminaliteit ongeveer hetzelfde als de totale onderzoeksgroep. Toch kan de operationele impact in retail snel groot zijn. Kassasystemen, betaalverkeer, webshops, klantaccounts en voorraad- en logistieke systemen grijpen direct in op de omzet en het vertrouwen bij klanten.
Van de retailers ervaart 38 procent veel of heel veel risico, 45 procent ziet enig risico en 16 procent weinig of heel weinig risico. In de totale onderzoeksgroep ervaart 37 procent veel of heel veel risico.
Cybercriminelen vormen volgens 53 procent van de retailers de grootste bedreiging. Bijna een kwart noemt individuele hackers en opportunisten. Verder wijst 16 procent wijst op risico’s door eigen medewerkers, bijvoorbeeld door onoplettendheid, gebrekkige discipline of kwaadwillend handelen.
Klantgegevens staan bovenaan de lijst met aantrekkelijke informatie voor aanvallers. De helft van de retailers noemt deze gegevens het meest interessant. Daarna volgen financiële informatie met 40 procent, inloggegevens en toegangsrechten met 34 procent, bedrijfsgevoelige informatie met 33 procent en persoonsgegevens van medewerkers met 27 procent.
Retailtoets
Kan de organisatie verkopen, leveren en klanten informeren als het primaire IT-platform of de betaaloplossing uitvalt?
Een cyberincident is meer dan een IT-storing
Phishing is de meest zichtbare aanvalsvorm. Van de ondervraagde retailers heeft 64 procent ermee te maken gehad, tegenover 53 procent van de totale groep. Factuurfraude komt in retail eveneens vaker voor: 34 procent tegenover 23 procent. Retailers ervaren minder vaak een datalek, maar vaker CEO-fraude. In totaal heeft 86 procent van de retailers ervaring met minstens één vorm van cybercriminaliteit.
In de twaalf maanden voor het onderzoek kreeg twee derde van de retailers te maken met cybercriminaliteit. Phishing kwam het vaakst voor. Bijna een kwart van de retailers leed in die periode daadwerkelijk schade en dit uit zich niet uitsluitend in directe financiële verliezen. Operationele stilstand, gegevensverlies, herstelkosten en reputatieschade kunnen gezamenlijk zwaarder wegen dan het oorspronkelijke incident.
Retailtoets
De webshop en het kassasysteem vallen op vrijdagmiddag uit. Klantgegevens zijn mogelijk buitgemaakt en de logistieke partner ontvangt geen orders. Wie beslist, wie communiceert en welke verkoopkanalen blijven open?
AI groeit sneller dan de spelregels
AI helpt retailers bij procesverbetering, kostenbeheersing, prognoses, marketing en assortimentsplanning. Tegelijk ontstaan met de inzet van AI nieuwe risico’s. Vier op de tien retailers gebruiken AI op beperkte schaal of in enkele teams. Een op de tien past AI structureel toe in meerdere processen. En 28 procent verkent toepassingen via pilots of experimenten.
Vier op de tien retailers hebben geen beleid of richtlijnen voor externe AI-tools, tegenover 24 procent van de totale groep. Een vijfde werkt aan beleid. Nog eens een vijfde heeft praktische afspraken, maar legde die niet formeel vast. Tot slot heeft 14 procent van de retailers het gebruik van externe AI-tools opgenomen in beleid en risicobeheer.
De meest genoemde AI-risico’s zijn méér cyberdreiging door bijvoorbeeld AI-phishing of deepfakes, het onbedoeld delen van vertrouwelijke informatie en foutieve uitkomsten die tot verkeerde beslissingen leiden. Retailers noemen ook het risico dat zij achterblijven in AI-adoptie ten opzichte van concurrenten, prijsdruk ervaren of onderscheidend vermogen verliezen door toenemende AI-gedreven concurrentie.
Retailtoets
Voer geen klant-, betaal-, personeels-, contract- of niet-openbare prijsgegevens in publieke AI-tools in. Laat uitkomsten met commerciële of juridische gevolgen altijd door een medewerker controleren.
Maak afhankelijkheid van cloud- en AI-diensten bestuurbaar
Door geopolitieke spanningen en verschuivingen is het gebruik van Amerikaanse aanbieders van AI-en clouddiensten niet geheel zonder risico als door plotseling overheidsbesluit diensten worden stopgezet. Een kwart van de retailers zegt geen Amerikaanse cloud- of AI-diensten te gebruiken. Van de respondenten ervaart 6 procent een zeer grote afhankelijkheid. Een kwart noemt de afhankelijkheid gedeeltelijk, 19 procent beperkt en 16 procent groot.
Ruim de helft ziet ten minste enig risico in deze afhankelijkheid. Bijna een kwart noemt het risico groot of heel groot. Een derde heeft het onderwerp nog niet actief opgepakt. Een kwart onderzoekt Europese alternatieven, 12 procent is al deels overgestapt op Europese aanbieders of oplossingen en bijna een vijfde brengt de belangrijkste afhankelijkheden en risico’s in kaart. Andere bedrijven gebruiken meerdere leveranciers of clouds.
Retailtoets
Leg goed vast welke processen aan één aanbieder zijn gekoppeld, welke gegevens overdraagbaar zijn, hoe lang de organisatie zonder de dienst kan functioneren en welke tijdelijke alternatieve werkwijze beschikbaar is.
Van losse maatregelen naar een vaste structuur van cyberweerbaarheid
Nieuwe dreigingen volgen elkaar snel op. Dat is voor ongeveer een derde van de retailers de grootste uitdaging om cybersecurity goed op orde te houden. Ook de discipline van medewerkers en onvoldoende zicht op risico’s en kwetsbaarheden worden door bijna een op de drie genoemd.
Slechts 21 procent heeft een responsplan met duidelijke taken en verantwoordelijkheden bij een cyberaanval. In de totale groep is dat 34 procent. Een kwart stelt een plan op en een op de vijf wil dat in 2026 doen. Een even grote groep heeft op korte termijn geen plannen; 11 procent weet het niet.
Belangrijk is in ieder geval dat medewerkers weten wat ze moeten doen, waar ze op moeten letten en dat ze daar op getraind worden. Een derde heeft medewerkers nog nooit getraind, 16 procent traint eenmaal per jaar, een op de vijf tweemaal per jaar en 15 procent elk kwartaal of vaker. Ook testen blijft achter. Minder dan een derde voerde in 2025 een risicoscan uit om kwetsbaarheden in de organisatie in kaart te brengen. Een op de vijf zegt dit nog nooit te hebben gedaan en een op de tien weet het niet. Ook het oefenen van een cyberaanval is matig: in 2025 heeft een kwart van de retailers dit gedaan maar de helft heeft nog nooit een cyberaanval geoefend of weet niet wat hen te doen staat.
Tenslotte komen cyberrisico’s niet alleen voort uit interne gebreken, maar kunnen deze ook veroorzaakt worden door kwetsbaarheden bij leveranciers. De helft van de retailers heeft geen concrete plannen voor afspraken over cyberrisico’s. Minder dan een op de tien heeft afspraken met de meeste of alle ketenpartners. Bijna 20 procent heeft afspraken met een deel van de partners en een vergelijkbare groep wil dit op korte termijn doen.
Retailtoets
Maak cyberweerbaarheid onderdeel van het bedrijfsritme; ieder kwartaal een korte bewustwordingsactie, jaarlijks een risicoscan, halfjaarlijkse controle van back-ups en toegangsrechten, en minimaal jaarlijks een crisisoefening.
Investeer vanuit het verlies dat voorkomen kan worden.
De Cyberbeveiligingswet (CBW) is sinds 15 augustus 2026 van kracht in Nederland en het zet de Europese NIS2-richtlijn om in Nederlandse regels. NIS2 is een Europese richtlijn die organisaties in essentiële en belangrijke sectoren verplicht hun digitale weerbaarheid te versterken en ernstige cyberincidenten snel te melden.
Retail valt niet automatisch onder NIS2. De wet geldt in beginsel wel voor retailbedrijven met minimaal vijftig medewerkers en meer dan 10 miljoen euro jaaromzet of balanstotaal en als zij actief zijn in een aangewezen sector of kritieke dienst. Controleer de toepasselijkheid van NIS2 op de onderneming.
Respondenten die met NIS2 bezig zijn, geven vooral prioriteit aan training en bewustwording, en aan beveiliging van netwerk- en informatiesystemen. Beide worden door 37 procent genoemd. Bedrijfscontinuïteit en crisismanagement volgen met 32 procent. Een kwart noemt beveiliging van de toeleveringsketen als prioriteit. Onder de respondenten loopt de investeringsbereidheid in cybersecurity uiteen. Van de retailers wil 13 procent niets investeren, 1 procent wil meer dan 5 procent van de omzet besteden en 18 procent weet niet welk budget maximaal beschikbaar is.
Ondernemers doen er goed aan om cyberrisico te behandelen als een regulier bedrijfsrisico, nadrukkelijk naast debiteuren-, leveranciers- en voorraadrisico. Een betere benadering is investeren vanuit bedrijfscontinuïteit: wat kost één dag zonder webshop, winkelbetaling of voorraadsturing? Welke contractuele en reputatierisico’s ontstaan bij verlies aan klantdata? Koppel maatregelen aan concrete processen en begin met toegangsbeveiliging, actualiseren van software, back-ups maken, detectie en respons. Voeg vervolgens leveranciersrisico, netwerksegmentatie en continuïteitsscenario’s toe. De ontwikkelingen gaan zo snel dat dit continue aandacht in de bedrijfsvoering verdient en dat duidelijk wordt gemaakt wie welke verantwoordelijkheid hebben.
Retailtoets
Bepaal welke processen binnen vier uur, één dag en drie dagen hersteld moeten zijn. Dit betreft kernactiviteiten als betalen, bestellen, uitleveren, retourneren en klantenservice. Breng vervolgens de data en leveranciers in kaart die daarvoor nodig zijn.
Cyberveiliger in drie stappen
Steeds meer organisaties worden slachtoffer van cybercriminaliteit. Criminelen hebben maar een kleine ingang nodig en worden steeds professioneler en handiger met behulp van AI. Daarom is het belangrijk om passende maatregelen op het gebied van cyberveiligheid te nemen. Hieronder zetten we verschillende oplossingen en enkele hulpmiddelen naar externe bronnen op een rij.
Verhoog de cyberveiligheid in drie stappen
1. Maak een risicoanalyse
Breng de bedrijfskritische assets en kritieke retailprocessen in kaart. Welke zaken zijn cruciaal voor het bedrijf? Denk aan klantgegevens, intellectueel eigendom, kassasystemen of de supply chain. Bepaal per proces de risico’s, het gevolg van de risico’s, de maximale uitvaltijd, de waarschijnlijkheid en de cruciale leveranciers.
2. Neem passende maatregelen
De risicoanalyse bepaalt welke maatregelen de juiste zijn. De basismaatregelen van het Nationaal Cyber Security Centrum en de basisprincipes van het Digital Trust Center vormen een goed startpunt; Daarnaast kunnen retailers:
- Veilig gedrag van medewerkers stimuleren door trainingen;
- Bepalen en vastleggen wie de eigenaar van bepaalde gegevens is en toegangsbeheer in te richten;
- Systemen actualiseren en back-ups testen;
- Risico’s met partners zoals betaal-, cloud-, software en logistieke leveranciers bespreken en met hen afspraken maken over het voorkomen van cybercriminaliteit;
- Een cybersecurity-specialist inschakelen om te helpen bij het nemen van de juiste maatregelen.
3. Stel een Cyber Response Plan op
Leg rollen, telefoonnummers, besluitvorming en communicatieprotocols vast indien cyberincidenten zich voordoen. Oefen periodiek een realistisch impactscenario en verwerk de lessen direct in het plan.
Handige hulpmiddelen
- Basisprincipes van digitale weerbaarheid: houd medewerkers scherp en maak de organisatie bewust van de risico’s van cybercrime.
- Stappenplan weerbaar op cybergebied: maak een stappenplan om de basis op orde te brengen.
- Cyber Response Plan: voor het opsporen en afhandelen van cybercrime-incidenten en het herstellen van eventuele schade. Dit bereidt de volledige organisatie voor op een cyberaanval.
- Basisscan Cyberweerbaarheid: ontvang op basis van stellingen een rapport en advies over de digitale weerbaarheid.
Lees verder in de retailsector
De winkel van vandaag is meer dan alleen een voorraadkast. Het biedt klanten advies en inspiratie en is de plek om in contact te zijn met klanten. Door de Oekraïne crisis en forse inflatie is het consumentenvertrouwen sterk gedaald en dit beïnvloedt het consumentengedrag. Retailers kampen daarnaast met forse kostenstijgingen op het gebied van inkoop, huur, personeelskosten, covid herstelbetalingen en energie. De omstandigheden blijven ook na covid voor veel retailers uitdagend.
