Het Financieele Dagblad schreef deze week over de opmars van red teaming in Nederland. Beveiligingsbedrijven zien de vraag naar deze testen in twee jaar tijd met 25 tot 100 procent stijgen. De reden is simpel: de dreiging is realistischer geworden, en dus moet de test dat ook zijn.
Waarom nu
Onrust op het wereldtoneel speelt een grote rol. De AIVD noemde het dreigingsbeeld in het jaarverslag van 2025 het grootste tot nu toe, met specifieke waarschuwingen voor cyberaanvallen vanuit Rusland en China. Daarnaast verplicht nieuwe wetgeving, de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten, kritieke bedrijven om hun weerbaarheid aantoonbaar te maken. Hoe ze dat doen staat vrij. Red teaming is een van de erkende routes.
De test wordt zwaarder
Wat opvalt in het artikel: de scenario’s worden intensiever. Bedrijven geven red teams meer ruimte om schade toe te brengen en stoppen niet meer bij de eerste beveiligingslaag. Tim Gerding van Cocoon zegt daarover: “We mogen bijvoorbeeld meer schade toebrengen.” De reden is dat de dreiging zelf ook verschoven is: van diefstal naar sabotage, van een geïsoleerd incident naar een poging om kritieke processen stil te leggen.
Dat vraagt om een breder team dan alleen IT-specialisten. Cocoon zet voor dit soort trajecten onder meer dronespecialisten, duikers, acteurs en mensen met een politie- of inlichtingenachtergrond in, afgestemd op het risicoprofiel van de opdrachtgever.
De mens blijft de zwakste schakel
Het artikel bevestigt iets dat we bij Cocoon al langer benadrukken: techniek kan nog zo goed getest zijn, als medewerkers op een verdachte link klikken of een onbekende monteur binnenlaten, is de beveiliging alsnog lek. Daarom werken red teams zonder dat het personeel weet dat het een test is. Alleen zo meet je de echte respons van een organisatie.
Dat vraagt ook om zorgvuldige nazorg. Testen zijn confronterend voor de mensen die er middenin staan. Een goed traject sluit dan ook altijd af met de boodschap dat het een leermoment is, geen afrekening.
Wat dit betekent
Red teaming groeit van een instrument voor de financiële sector naar een bredere praktijk in kritieke sectoren zoals energie. Voor organisaties die onder de nieuwe wetgeving vallen, is het geen vraag meer óf ze hun weerbaarheid moeten testen, maar hoe grondig.
Bron: FD, “Bedrijven laten zichzelf steeds harder aanvallen”