Lupasafe is partner van het EU-programma Cyber Security for SME’s: CYSSME.eu. Als onderdeel van het MKB-beoordelingsprogramma biedt het toegang tot enterprise-grade beveiligingstools met deskundige MSSP-ondersteuning om de cybersecurity van uw bedrijf te verbeteren.
TL;DR: we onderzochten de cyber security risico data over de eerste 6 tot 12 maanden van een circa honderdtal EU mkb bedrijven die zich aanmeldden via CYSSME voor verbeteringstrajecten. We zagen initieel goede verbeteringen maar daarna zwakt het af. Dit laat duidelijk zien dat security een proces is, geen on-off en dat ondernemers geholpen zijn bij regelmatig aandacht voor het onderwerp (om die reden werkt Lupasafe aan LupaCoach – een platform dat nudges stuurt via Whatsapp of Telegram met relevante meldingen).
92 Europese MKB-bedrijven zijn onderzocht door CYSSME.eu gedurende 23 maanden. Hier zijn praktijkgegevens van MKB-bedrijven uit het EU-programma Cyber Security for SMEs (cyssme.eu) die een grote kloof onthullen in hoe MKB-bedrijven handelen als het gaat om hun eigen bescherming:
97% van de MKB-bedrijven nam website-beveiligingsscanning in gebruik
82% activeerde e-mailbeveiligingsmonitoring
3% integreerde Microsoft 365-beveiligingsmonitoring
Waarom slechts 3%? In Europa, waar Microsoft 365 het dominante productiviteitsplatform is voor MKB-bedrijven, zou je verwachten dat M365-beveiligingsmonitoring essentieel is. Het volgt kritieke configuraties zoals multi-factor authenticatie-status, beveiliging van beheerdersaccounts, gebruik van verouderde protocollen en beleid voor het voorkomen van gegevensverlies — precies de kwetsbaarheden die leiden tot accountcompromittering en datalekken.
Aangezien de meeste Europese MKB-bedrijven hun hele bedrijfsvoering op Microsoft 365 draaien (e-mail, bestandsopslag, samenwerking), zou het monitoren van de beveiligingsstatus vanzelfsprekend moeten zijn — geen uitzondering.
Toch zien we bij het vergelijken van de ingezette tools duidelijk dat hoe gemakkelijker een functie te implementeren is, hoe meer MKB-bedrijven deze gebruiken — gemak van implementatie wint het van beveiligingswaarde.
Dit is geen functieprobleem. Het is een frictieprobleem. Het verklaart veel over waarom cybersecurity bij MKB-bedrijven faalt — en waarom het CYSSME.eu-programma werkt om MKB-bedrijven te helpen deze problemen te overwinnen.
Wat 92 MKB-bedrijven daadwerkelijk implementeren en waarom er doorlopende actie nodig is, niet alleen eenmalige controles
Het CYSSME-programma biedt deelnemende MKB-bedrijven een uitgebreid beveiligingsoverzicht, inclusief websitescanning, e-mailbeveiliging, endpointmonitoring, phishingsimulaties, e-learningmodules en Microsoft 365-integratie. Elke functie is beschikbaar voor elke organisatie.
Dit zijn de tools, ondersteunende acties en adoptiegraad van de MKB-bedrijven:
HOGE IMPLEMENTATIE (75%+)
- Website Scanning: 97% → Zero-config, passieve monitoring
- E-mailbeveiliging: 82% → Eenmalige DNS-configuratie
GEMIDDELDE IMPLEMENTATIE (25-75%)
- Endpoint Monitoring: 25% → Agent-installatie per apparaat
LAGE IMPLEMENTATIE (<25%)
- E-Learning: 16% → Beheer van medewerker-e-mailadressen vereist
- Phishingsimulaties: 17% → Campagne-opzet en coördinatie
- Microsoft 365-integratie: 3% → OAuth-machtigingen en beheerderstoegang
Het patroon is duidelijk: adoptie correleert direct met implementatiefrictie, niet met beveiligingswaarde.
Geleerde lessen
Neem endpoint monitoring — wellicht de meest waardevolle functie in het platform. Het detecteert kwetsbare software, ontbrekende patches en risicovolle configuraties op de apparaten waar inbreuken daadwerkelijk ontstaan. Slechts 25% nam het in gebruik.
Ondertussen vereist websitescanning geen installatie, geen verstoring van medewerkers en geen IT-betrokkenheid. Adoptiegraad: 97%.
De les voor MKB-bedrijven: Kies bij het selecteren van cybersecurityoplossingen voor platforms die beveiligingsfuncties “gewoon laten werken” vanaf dag één en die uw team kan ondersteunen en waarmee het kan werken. De beste beveiligingstool is degene die u daadwerkelijk gebruikt.
Belangrijkste bevindingen voor MKB-bedrijven en MSSP’s
Bevinding #1: Beveiliging verslechtert zonder actief beheer
We veronderstelden dat zodra websites werden gescand en problemen geïdentificeerd, de beveiligingsstatus zou stabiliseren of verbeteren na verloop van tijd. Maar voor MKB-bedrijven zijn risico zien en ernaar handelen twee verschillende dingen.
Onder 72 MKB-bedrijven die 6+ maanden werden gevolgd met websitemonitoring:
- ✅ Verminderde problemen: 10% van de MKB-bedrijven
- 📈 Toegenomen problemen: 36% van de MKB-bedrijven
- ➡️ Geen verandering: 53% van de MKB-bedrijven
Gemiddelde verandering: +0,7 hoog-risico problemen per MKB-bedrijf (slechter, niet beter)
De technologie identificeerde succesvol problemen — SSL-certificaatproblemen, verouderde plugins, kwetsbare configuraties. Maar identificatie alleen lost niets op. Zonder duidelijke herstelworkflows verslechterde de beveiligingsstatus na verloop van tijd. Dit laat duidelijk zien dat security een proces is en geen on-off!
Vergelijk dat nu met e-mailbeveiliging, waar herstel eenvoudiger is en minder gevoelig voor nieuwe kwetsbaarheden:
- ✅ Verbeterd: 40% van de MKB-bedrijven
- Gemiddelde verbetering: +18 procentpunten
- Beste verbetering: Eén MKB-bedrijf ging van 0% naar 67% e-mailbeveiligingsscore
Het verschil? E-mailbeveiliging heeft duidelijke, uitvoerbare oplossingen: configureer DMARC- en DKIM-records, werk DNS-instellingen bij. Websitebeveiliging omvat codewijzigingen, plugin-updates, SSL-verlengingen — allemaal technische expertise of ontwikkelaarsbetrokkenheid vereisend.
De les voor MKB-bedrijven: Plan voor doorlopend beveiligingsbeheer, niet alleen voor de initiële opzet. De monitoringtool is slechts de eerste stap. U heeft ofwel interne capaciteit ofwel MSSP-ondersteuning nodig om daadwerkelijk te herstellen wat wordt gedetecteerd. De consultants van CYSSME kunnen u hiermee van dienst zijn.
Bevinding #2: Microsoft 365 is uitdagend voor MKB-bedrijven maar mag niet worden genegeerd
Slechts 3 van de 92 MKB-bedrijven integreerden Microsoft 365 Secure Score-monitoring — ondanks dat M365 de dominante productiviteitssuite is onder Europese MKB-bedrijven.
Dit is belangrijk omdat Microsoft 365 Secure Score kritieke beveiligingsconfiguraties volgt:
- Multi-factor authenticatie (MFA) status
- Gebruik van verouderde protocollen (IMAP, POP3)
- Beveiliging van beheerdersaccounts
- Beleid voor het voorkomen van gegevensverlies
- Voorwaardelijke toegangsregels
Dit is laaghangend fruit voor meetbare beveiligingsverbeteringen. De drie MKB-bedrijven die het wél inschakelden, toonden baseline Secure Scores rond de 45% — volop ruimte voor verbetering.
Dus waarom slechts 3% adoptie?
Integratie vereist OAuth-toestemmingsstromen, beheerdersmachtigingen en bekendheid met de Microsoft Graph API. Het is aanzienlijk complexer dan passieve websitescanning of eenmalige DNS-configuratie voor e-mailbeveiliging.
De les voor MKB-bedrijven: De platforms die Microsoft 365-integratie vereenvoudigen — van een 30 minuten durende beheertaak naar een one-click toestemmingsstroom — zullen enorme beveiligingsverbeteringen ontsluiten voor organisaties die al M365 gebruiken.
Bevinding #3: Wanneer MKB-bedrijven training activeren, doen medewerkers daadwerkelijk mee
Hier is een bemoedigende ontdekking verborgen in de data:
- E-learning adoptie: 17% van de MKB-bedrijven
- E-learning voltooiingspercentage onder gebruikers: 35%
Dat voltooiingspercentage van 345% komt overeen met branchebenchmarks voor verplichte bedrijfstrainingen. Vertaling: wanneer MKB-bedrijven security awareness-training activeren, doen hun medewerkers er daadwerkelijk aan mee.
Het probleem is niet onverschilligheid van medewerkers. Het is de activatiefrictie. Het opzetten van e-learning vereist het handmatig beheren van e-mailijsten van medewerkers, het coördineren van inschrijvingen en doorlopend beheer. Vergelijk dat met websitescanning (voer gewoon uw domein in) of e-mailbeveiliging (werk twee DNS-records bij). Overigens integreert Lupasafe hiermee met Microsoft en Google zodat de enige terugkerende taak het geven van consent is.
Maar dit is wat de data bewijst: als u medewerkers heeft, werkt awareness-training wanneer u het daadwerkelijk implementeert. Het voltooiingspercentage van 35% onder adopterende organisaties toont aan dat de menselijke firewall levensvatbaar is — u moet hem alleen bouwen.
Bevinding #4: Zzp’ers vs. teams hebben verschillende oplossingen nodig
De data onthulde een fundamentele tweedeling in het MKB-landschap:
63% van de organisaties had nul medewerkers geregistreerd in het platform — zzp’ers, freelancers en micro-bedrijven. Voor hen betekent cybersecurity het beschermen van infrastructuur (websites, e-maildomeinen). Trainingsprogramma’s zijn niet relevant. Succes ziet eruit als geautomatiseerde monitoring met waarschuwingen.
36% van de organisaties waren daadwerkelijke teams met gemiddeld 18,5 medewerkers. Voor hen betekent cybersecurity het beschermen van zowel mensen als infrastructuur. Trainingsprogramma’s werden met 34% voltooiingspercentage afgerond. Succes ziet eruit als meetbare gedragsverandering plus technische monitoring.
Het CYSSME-programma toonde aan dat effectieve cybersecuritypartnerschappen ondersteuningsmodellen afstemmen op de organisatorische realiteit. Zzp’ers hebben set-and-forget automatisering nodig. Teams met 10-50 medewerkers hebben uitgebreide beveiligingspartners nodig die zowel technische implementatie als menselijke bewustwording kunnen begeleiden.
De les voor MKB-bedrijven: Probeer uw bedrijf van 3 personen niet in een enterprise-beveiligingsraamwerk te persen. Kies oplossingen en partners die zijn ontworpen voor uw daadwerkelijke teamstructuur.
Wat dit betekent voor uw MKB-organisatie
Na 23 maanden het volgen van 92 echte Europese MKB-bedrijven, dit is wat de data ons leert:
1. Kies beveiligingsoplossingen met lage frictie De beste beveiligingstool is degene die u daadwerkelijk activeert. Geef prioriteit aan platforms met zero-config standaardinstellingen, geautomatiseerde monitoring en duidelijke herstelrichtlijnen boven complexe suites die uitgebreide configuratie vereisen.
2. E-mailbeveiliging levert de hoogste ROI 40% van de gevolgde MKB-bedrijven verbeterde de e-mailbeveiliging met gemiddeld +18 punten. DMARC- en DKIM-configuratie kost minder dan een uur en beschermt voor onbepaalde tijd. Begin hier.
3. Budget voor herstel, niet alleen voor detectie 36% van de MKB-bedrijven zag toenemende websitebeveiligingsproblemen na verloop van tijd ondanks actieve monitoring. Technologie identificeert problemen — mensen moeten ze nog steeds oplossen. Plan voor doorlopend beheer.
4. Als u medewerkers heeft, investeer in awareness-training Voltooiingspercentages van 34% bewijzen dat medewerkers meedoen wanneer training wordt geïmplementeerd. De menselijke firewall is goedkoper en effectiever dan de meeste technische controles — maar alleen als u hem daadwerkelijk bouwt.
5. Stem uw MSSP af op uw organisatorische realiteit Zzp’er? U heeft geautomatiseerde monitoring nodig met minimale contactmomenten. Team van 5-20? U heeft een uitgebreide beveiligingspartner nodig. Kies dienovereenkomstig.
Sluit u aan bij het EU-programma Cyber Security for SME’s (CYSSME.eu) om deze uitdagingen aan te pakken
Het CYSSME.eu-programma is specifiek ontworpen om de frictiebarrières te overwinnen die in dit onderzoek zijn blootgelegd. Via CYSSME ontvangen Europese MKB-bedrijven:
- Vooraf geconfigureerde beveiligingsmonitoring voor websites en e-mail (de hoog-adoptie, lage-frictie functies die werken)
- Toegewijde MSSP-partnerondersteuning voor herstelworkflows (het oplossen van het “detectie zonder actie”-probleem)
- Begeleide onboarding afgestemd op uw teamstructuur (zzp’er vs. gevestigd team)
- Door de EU gefinancierde toegang tot enterprise-grade beveiligingstools die normaal buiten bereik zijn voor kleine organisaties
Het programma verbindt MKB-bedrijven met ervaren managed security service providers die begrijpen dat frictie adoptie doodt — en die hun servicemodellen hebben gebouwd rondom het daadwerkelijk bruikbaar maken van beveiliging voor kleine bedrijven.
Over het onderzoek
Deze analyse is gebaseerd op het CYSSME.eu-project, een door de EU gefinancierd initiatief dat Europese kleine bedrijven verbindt met managed security service providers via het Lupasafe-platform. Van maart 2024 tot januari 2026 genereerden 92 MKB-bedrijven in West- en Noord-Europa 788 maandelijkse datapunten over websitescanning, e-mailbeveiliging, endpointmonitoring, phishingsimulaties, e-learning en Microsoft 365-integratie.
- Dataperiode: 23 maanden (maart 2024 – januari 2026)
- Gevolgde organisaties: 92 MKB-bedrijven
- Maandelijkse datapunten: 788
- Geografische dekking: Nederland, België, Spanje, Duitsland
Alle statistieken zijn afgeleid van geaggregeerde, geanonimiseerde data. Er worden geen individuele MKB-gegevens onthuld. Percentages en gemiddelden zijn berekend op basis van de 788 maandelijkse records van 92 unieke organisaties.
Partners van www.cyssme.eu voor dit onderzoek zijn onder andere: Lupasafe, https://www.l3ce.eu/, https://www.toreon.com, https://leadersinsecurity.org, https://ba.be/en/
Wilt u weten hoe CYSSME uw organisatie kan helpen beveiligen? Bezoek cyssme.eu om partnerschapsmogelijkheden met ervaren Europese MSSP’s te verkennen.
Vragen over dit onderzoek? Neem contact op met het Lupasafe-team via hello@lupasafe.com
Over de auteur: Deze analyse is opgesteld door het Lupasafe-team van Skopos Security Labs B.V. op basis van data uit het CYSSME.eu-project. Voor vragen over de onderzoeksmethodologie of partnerschapsmogelijkheden, neem contact op met Han (CEO) via han at lupasafe dotcom.
