Uit het 2026-onderzoek blijkt dat cyberrisico’s steeds meer binnen werkprocessen optreden, met AI-governance en menselijk risico als centrale thema’s.
De nieuwste bevindingen van 2026 laten zien dat cyberrisico’s zich steeds meer binnen de werkprocessen van organisaties manifesteren. Waar het verhaal over cybersecurity lange tijd ging over een toenemende lijn van aanvallen, dataverlies en urgentie, toont het vijfjarige onderzoek van Voice of the CISO een complexer beeld. De rol van de CISO wordt niet alleen zwaarder omdat alle risico’s toenemen, maar vooral omdat het middelpunt van het risico is verschoven naar de systemen waar het werk daadwerkelijk plaatsvindt.
Hoewel minder CISOs in 2026 een materiële cyberaanval of dataverlies verwachten dan in 2025, blijft het risico onvoorspelbaar. Over de afgelopen vijf jaar zijn de verwachtingen rondom aanvallen gestegen, gedaald en weer gestegen. De afstemming met de raad van bestuur wisselt sterk, terwijl menselijk risico een constante factor blijft. Tegelijkertijd is AI geëvolueerd van een opkomende zorg naar een bepalend onderwerp binnen het mandaat van de CISO. Dit betekent dat de focus niet langer alleen ligt op welke dreiging er volgt, maar vooral op waar het kritieke werk plaatsvindt, wie of wat toegang heeft en hoe gevoelige data beschermd kan worden tijdens het gebruik van cloudplatforms, samenwerkingsmiddelen, SaaS-applicaties en AI-gestuurde workflows.
De vijfjarige trend laat geen lineaire ontwikkeling zien, maar een sector die steeds nieuwe veranderingen moet absorberen. Hoewel de verwachtingen voor aanvallen in 2026 iets zijn gedaald ten opzichte van 2025, liggen ze nog altijd hoger dan in 2022. Het gemelde dataverlies is afgenomen, maar meer dan de helft van de CISOs rapporteert nog steeds materieel verlies en de paraatheid is nauwelijks verbeterd. De afstemming met de raad van bestuur is op het hoogste niveau sinds het begin van de serie, maar tegelijkertijd zijn de verwachtingen ook toegenomen. Dit wijst op een beveiligingsfunctie die meer zichtbaarheid en steun krijgt, maar ook een veel breder werkgebied moet beheren.
AI is het duidelijkste voorbeeld van de snelle veranderingen in het werkgebied van de CISO. Waar in 2024 nog 54% van de CISOs AI als een beveiligingsrisico zag, steeg dit naar 60% in 2025 en 78% in 2026. Tegelijkertijd is AI van experiment naar geïntegreerd onderdeel van het werk gegaan, met assistenten, copilots, automatisering en agent-achtige workflows die dagelijks worden ingezet. Hoewel veel organisaties het gebruik van generatieve AI-tools beperken of blokkeren, is restrictie niet hetzelfde als governance. Naarmate AI dieper wordt geïntegreerd in productiviteitssuites, samenwerkingsplatforms en zakelijke workflows, wordt een simpel toestaan-of-blokkeren-model onvoldoende. De vraag is hoe organisaties AI in context kunnen beheren: welke data mag een gebruiker benaderen, wat mag de AI genereren of samenvatten, en wat gebeurt er als een AI-assistent beslissingen beïnvloedt of acties triggert? Dit maakt AI-risico’s tot een kernonderdeel van databeveiliging.
