Remco Geerts, Cegeka: “Veiligheid in de keten moet net zo vanzelfsprekend worden als een goede boekhouding”

Ransomware, dubbele afpersing, kwetsbare leveranciers en steeds strenger wordende regelgeving zoals NIS2 en DORA – digitale veiligheid is in 2025 geen luxe meer, maar een harde randvoorwaarde voor bedrijfscontinuïteit. Cybersecurity-redacteur Jan Meijroos interviewt Remco Geerts, Business Unit Manager Cyber Security & Networking bij Cegeka: “We helpen klanten niet alleen om zichzelf te beveiligen, maar ook om hun toeleveranciers mee te nemen in die verantwoordelijkheid.”

Van regionale speler naar globale IT-reus

Cegeka is voor sommige Nederlandse organisaties misschien nog een relatief onbekende naam, maar daar komt snel verandering in. De Belgische IT-dienstverlener telt inmiddels meer dan 9.000 medewerkers in 20 landen, en groeide de afgelopen jaren naar een omzet van 1,3 miljard euro. “In België is Cegeka een gevestigde naam, vergelijkbaar met hoe KPN hier in Nederland bekendstaat,” zegt Geerts. “In Nederland werken we met zo’n 1.200 medewerkers, verspreid over verschillende business lines.”

Geerts geeft leiding aan de tak Cyber Security & Networking, die in Nederland uit ongeveer 50 professionals bestaat. Wereldwijd zijn dat er ongeveer 250. “We bieden klanten end-to-end IT-oplossingen: van veilige digitale werkplekken tot netwerkarchitectuur, applicatieontwikkeling, cloud infrastructuur, ERP/CRM en datamanagement. Onze cybersecurity business unit biedt aanvullend consultancy-, security monitoring- en identity & access management diensten. Alles wat je nodig hebt om veilig digitaal te opereren.”

Alles secure by design

Die integrale benadering is essentieel, legt Geerts uit. “Als je thuis inlogt op je laptop en toegang krijgt tot een applicatie, gaat daar een hele keten aan vooraf: van identiteit en authenticatie, via netwerken en cloudomgevingen, tot aan de data zelf. Wij beveiligen die hele reis – van begin tot eind, en dat doen we secure by design.”

Veiligheid is dus niet iets wat achteraf toegevoegd wordt, maar een integraal onderdeel van elke laag in de IT-stack. “Of het nu gaat om digitale werkplekken, cloudplatforms, applicaties of data – bij ons is alles ‘gehardend’, goed geconfigureerd en afgestemd op veilige toegang.”

Maar Cegeka biedt niet alleen techniek. “We helpen klanten ook strategisch mee te bewegen met technologische ontwikkelingen. Als je als organisatie geen nieuwe businessmodellen ontwikkelt die ondersteund worden door moderne IT, verlies je op termijn je relevantie – en daarmee je bestaansrecht.”

Tussen preventie en detectie: waarom beide nodig zijn

Tijdens de RSA Conference in San Francisco – met 45.000 bezoekers de grootste securityconferentie ter wereld – zag Geerts een opvallende verschuiving. “Alles draaide om AI, automatisering en autonome systemen die zelf beveiligingsmaatregelen nemen. Preventie lijkt steeds meer een gegeven, de nadruk ligt op detectie en respons.”

Denk aan AI-agents die zelfstandig endpoints isoleren of gebruikers blokkeren. “Maar,” waarschuwt Geerts, “dat betekent niet dat preventie onbelangrijk is geworden. Sterker nog: de basismaatregelen blijven cruciaal.” Denk aan: veilige configuraties, multi-factor authenticatie (MFA), netwerksegmentatie, back-up- en recoverystrategieën, endpoint protection.

“Ook kleinere organisaties – met bijvoorbeeld 300 werkplekken – kunnen dit vandaag de dag prima inrichten. Het hoeft geen miljoenenproject te zijn.”

Wie zijn je kwetsbare schakels?

De dreiging beperkt zich allang niet meer tot de eigen IT-omgeving. Juist in sectoren als maakindustrie, voedselverwerking en publieke dienstverlening, waar Cegeka veel klanten heeft, zijn bedrijven afhankelijk van tientallen tot honderden leveranciers. “Van embedded software tot logistiek, van HR tot apparatuurbeheer – elk schakeltje kan een risico zijn,” aldus Geerts.

Hij wijst op het beruchte NotPetya-incident bij Maersk: via een Oekraïense softwareleverancier besmette malware het wereldwijde netwerk van het containerbedrijf. “Maersk lag stil, maar ook hun klanten werden geraakt – fabrieken konden niets meer afleveren, de schade liep in de honderden miljoenen. En dat door één zwakke schakel.”

Ketenbewustzijn begint met zicht op je risico’s

In het kader van de aankomende NIS2-wetgeving worden organisaties nadrukkelijk verantwoordelijk voor hun digitale ketenverantwoordelijkheid. Cegeka helpt klanten allereerst om te begrijpen wie hun kritieke partners zijn. “Veel organisaties hebben dat simpelweg nog niet op orde,” zegt Geerts.

Traditioneel gebeurt die beoordeling via vragenlijsten. “Maar dat is vaak subjectief: de leverancier vult iets in, en je moet maar aannemen dat het klopt. Daarom werken wij ook met risk management tooling waarmee we vanuit slechts een domeinnaam een security rating genereren, op basis van publieke, commerciële en eigen data. Je krijgt dan een objectief risicoprofiel van je ketenpartner op basis van continue gescande beveiligingsindicatoren die je kan correleren met bijvoorbeeld een questionnaire.”

NIS2 Quality Mark: praktisch en haalbaar voor de keten

Voor leveranciers die niet direct onder NIS2 vallen – vaak MKB’ers – maar wel samenwerken met NIS2-plichtige bedrijven, biedt het NIS2 Quality Mark uitkomst. Geerts: “ISO 27001 is voor veel mkb-bedrijven te zwaar, te complex en te duur. Maar de noodzaak om iets te doen is er wél. Met het Quality Mark heb je een laagdrempelige en schaalbare oplossing.”

Het keurmerk is beschikbaar in drie niveaus: QM10, QM20 en QM30, afhankelijk van de risico- en volwassenheidsgraad. “Er zijn zo’n 10.000 tot 12.000 NIS2-plichtige bedrijven in Nederland, maar achter hen zitten tienduizenden partners die óók geraakt worden. Die kun je niet allemaal ISO-certificering opleggen – het Quality Mark biedt een realistisch alternatief.”

Van adviserend kader naar actiegerichte begeleiding

Binnen Cegeka is het Quality Mark geen losstaand product, maar geïntegreerd in het eigen Continuous Security Advisory Framework. “Dat is onze aanpak om klanten te begeleiden op strategisch niveau, ook als ze geen eigen CISO hebben. We brengen risico’s in kaart, maken roadmaps, geven prioriteit aan verbeteracties – en zetten normenkaders zoals ISO, BIO, NIST en nu ook het Quality Mark in.”

Daarnaast wijst Geerts op de workshops die binnenkort worden georganiseerd door Samen Digitaal Veilig – een initiatief waarbij Cegeka actief betrokken is. “We hebben dit direct uitgezet in onze salesorganisatie. Zo kunnen we klanten helpen én via hun netwerk ook weer andere organisaties bereiken.”

Partnerschap boven alles

Geerts is eerlijk over het zakelijke voordeel: “Als wij klanten helpen om hun security te verbeteren, blijven ze langer klant. En hun leveranciers kunnen weer onze klanten worden. Zo werkt het ecosysteem nu eenmaal.”

Maar commercie is niet de drijfveer. “We zijn geen charitatieve instelling, maar we wíllen vooral bedrijven helpen met kennis, ervaring en praktische oplossingen. Zodat digitale veiligheid – ook in de keten – net zo vanzelfsprekend wordt als een goede boekhouding.”

Over Cegeka

Cegeka is een Europese aanbieder van IT-oplossingen, gespecialiseerd in digitale transformatie, cloud, applicatieontwikkeling en cybersecurity. Het bedrijf is opgericht in 1992 en heeft zijn hoofdkantoor in Hasselt, België. Met meer dan 9000 medewerkers in 20 landen bedient Cegeka meer dan 2500 klanten wereldwijd. Het bedrijf biedt end-to-end IT-diensten aan, waaronder infrastructuurbeheer, softwareontwikkeling, datamanagement en IT-consultancy.