Meer dan de helft van de Nederlandse bedrijven (59%) geeft aan behoefte te hebben aan informatie over IT-kwetsbaarheden. Dit blijkt uit een nieuw onderzoek van het Digital Trust Center, onderdeel van het ministerie van Economische Zaken, uitgevoerd door Motivaction. Bedrijven ontvangen dergelijke informatie bij voorkeur van hun IT-dienstverlener of een overheidsinstantie.

De behoefte richt zich vooral op duidelijke risicoschattingen en praktische adviezen om digitale kwetsbaarheden te verhelpen. Ondanks deze vraag ontvangt niet elk bedrijf op dit moment de benodigde informatie, terwijl de cyberdreigingen juist blijven toenemen. Vooral zzp’ers krijgen weinig tot geen informatie over kwetsbaarheden; 61% van hen ontvangt geen updates, tegenover 14% in het mkb en 4% bij grote bedrijven met meer dan 250 medewerkers.

De ontvangen informatie varieert van advisories (36%) en dreigingsbeelden (26%) tot CTI-rapportages, CVE, CVSS en IoC’s. Opvallend is dat een derde van de bedrijven niet weet welk type informatie zij ontvangen. De belangrijkste kanalen voor het ontvangen van kwetsbaarhedeninformatie zijn IT-dienstverleners (28%), eigen netwerken of platforms (21%) en overheidsinstanties (9%), waarbij het NCSC en DTC de grootste rol spelen.

Als het gaat om voorkeuren, geeft 43% van de bedrijven de voorkeur aan informatie van IT-dienstverleners, 30% kiest voor overheidsinstanties zoals het NCSC of DTC, en eveneens 30% voor eigen netwerken of cyberplatforms. Een CERT wordt door 14% als gewenste bron genoemd. Bedrijven willen vooral informatie over kwetsbaarheden die direct impact hebben op hun eigen systemen, gevolgd door algemene informatie over alle bekende kwetsbaarheden en informatie over kwetsbaarheden met een hoog risico op misbruik of schade.

De grootste behoefte bestaat uit concrete actiepunten: 47% wil een duidelijke beschrijving van de te nemen maatregelen om de kwetsbaarheid te verhelpen, 39% wil inzicht in het risico, en 37% wil weten welke factoren bepalen of een kwetsbaarheid relevant is voor de eigen organisatie. Daarnaast is er vraag naar informatie over de getroffen IT-systemen (32%) en een duiding van de situatie (29%). Automatische verwerkbaarheid van de informatie wordt door 20% gewaardeerd.

Wat betreft de frequentie van berichtgeving wil bijna de helft (45%) de informatie direct ontvangen zodra een dreiging bekend is, terwijl 44% de voorkeur geeft aan periodieke updates.