Samenvatting
Aan het begin van 2025, legden we een paar stevige voorspellingen op tafel. Geen vrijblijvende trends, maar concrete aannames die elke Threat Talks-aflevering kleurden.
- AI zou operationeel volwassen worden.
- Zero Trust zou eindelijk de keten in duiken.
- Het skills-tekort zou nijpender worden dan ooit.
- Regelgeving zou tempo verliezen.
- En het energieverbruik van AI zou doorschuiven van detail naar direct bedrijfsrisico.
Sommige ontwikkelingen gingen sneller dan verwacht. Andere brachten meer frictie mee dan organisaties wilden toegeven. En een paar trends verrasten zelfs de meest ervaren securityteams.
Deze terugblik is niet bedoeld om onszelf op de schouder te kloppen, al zaten we er regelmatig dichtbij. Het doel is jou een scherp beeld te geven van hoe het landschap écht verschoof, welke veranderingen de industrie hebben verrast en waar jouw securitystrategie mogelijk bijstelling nodig heeft.
En om het eerlijk te houden, beginnen we bij de punten waar we ernaast zaten.
Wat we misten
Zelfs stevige voorspellingen slaan soms de plank mis. Waar zaten we ernaast?
We onderschatten, net als veel anderen, hoe snel aanvallers hun eigen AI-kits zouden bouwen. Ze hadden geen researchlabs of grote budgetten nodig. Een open-source model en een Telegram-kanaal bleken voldoende. AI maakte de skillcurve vlak en gaf kleine criminelen mogelijkheden die tot voor kort waren voorbehouden aan grote, goed georganiseerde groepen.
In bredere zin bewogen aanvallers simpelweg sneller dan wie dan ook voorspelde. Dat snelheidsverschil is inmiddels één van de grootste risicofactoren.
En hoewel we goed zaten met onze verwachting dat deepfakes en AI-gestuurde impersonaties zouden doorbreken, hadden we de schaal en snelheid niet scherp genoeg. Wat begon als een opkomende dreiging werd in korte tijd een dagelijks wapen. Voice cloning ging van indrukwekkende demo naar kant-en-klare dienst. CFO’s kregen telefoontjes van een “CEO” die zó overtuigend klonk dat zelfs directe collega’s geen moment zouden twijfelen. De realiteit bewoog sneller dan de securitymaatregelen en dat gat werd direct zichtbaar.
Voordat we de voorspellingen induiken
We zaten er een paar keer naast, maar het grootste deel van onze voorspellingen hield stand. De trends die we signaleerden bepaalden vrijwel het hele jaar. AI, regelgeving en vertrouwen in de supply chain domineerden de headlines, de boardrooms en de slapeloze nachten.
Met dat op tafel lopen we door de voorspellingen heen: waar ze precies raak waren en waar de werkelijkheid net anders uitpakte.
Voorspelling 1: AI zou cybersecurity overnemen
Wat we zeiden
AI zou van hype naar realiteit gaan. Aanvallers zouden het gebruiken om slimmere aanvallen te bouwen. Securityteams zouden AI inzetten om het capaciteitstekort te dichten. Cybersecurity zou minder voelen als whack-a-mole en meer als een strategisch spel.
Wat er gebeurde
In 2025 werd AI onmogelijk om te negeren. Alles werd “AI-powered,” en aanvallers liepen voorop in het laten zien wat dat betekende. Phishingmails werden vrijwel foutloos. Reconnaissance ging sneller. Intrusies werden eenvoudiger.
Daarna kwam de volgende fase: AI-gestuurde malware. PromptLock zette de toon: malware die zich in realtime aan verdediging aanpaste en liet zien hoe snel offensieve AI kon evolueren.
Tegelijkertijd schoten AI model en appstores, als paddenstoelen uit de grond, vrijwel zonder veiligheidsmaatregelen. De toegankelijkheid was hoog; de risico’s nog hoger. Vergiftigde modellen en verborgen backdoors verspreidden zich voordat securityteams de dreiging herkenden.
Denk aan:
- de Postmark MCP-backdoor die e-mails kopieerde,
- Shadow Escape die data stal via een verborgen prompt,
- en kubectl-exploits die servers volledig omwierpen.
Securityteams reageerden met AI-copilots die triage en detectie versnelden, maar die brachten nieuwe problemen mee: hallucinaties in alerts, onduidelijke aanbevelingen en dashboards die meer ruis dan richting gaven.
Oordeel
We hadden de richting goed: AI veranderde cybersecurity ingrijpend.
Maar de impact was sneller, rommeliger en riskanter dan verwacht.
De belofte was echt, maar de pijn ook.
Voorspelling 2: Zero Trust zou zich uitstrekken tot in de supply chain
Wat we zeiden
Zero Trust zou loskomen van de klassieke netwerkperimeter en opschuiven richting vendors, productielijnen en nationale infrastructuur. De supply chain zou de nieuwe trustgrens worden: de “Zero Trust-supply chain”.
Wat er gebeurde
Die verschuiving kwam precies zo uit. Overheden verboden risicovolle hardware. Vendors werden niet langer automatisch vertrouwd, maar gezien als potentiële risico’s. Elke externe afhankelijkheid veranderde in een nieuw aanvalsvlak. IoT-systemen en operationele technologie bleven hardnekkige zwakke plekken waar aanvallers voortdurend op drukten.
Zelfs grote enterpriseplatforms bleken kwetsbaar. De breach bij Salesloft, liet opnieuw zien hoe één externe tool een goed beveiligde organisatie kan openbreken.
Oordeel
Deze voorspelling raakte de kern. Vertrouwen in de supply chain verschoof van een technisch gesprek naar een structurele boardroomprioriteit.
Voorspelling 3: het tekort aan cybervaardigheden zou groter worden
Wat we zeiden
Het gat tussen wat organisaties nodig hebben en wat teams kunnen leveren zou blijven groeien. Technologie ontwikkelt zich simpelweg sneller dan mensen kunnen bijleren.The skill gap would keep growing. Technology moves faster than people can learn.
Wat er gebeurde
Het gat groeide sneller dan verwacht.
AI nam weliswaar veel herhaalwerk over, maar het verminderde de behoefte aan sterke securityprofessionals niet, het verscherpte die juist. Organisaties hadden analisten nodig die AI-output konden interpreteren, context konden duiden en beslissingen konden nemen die geen enkel geautomatiseerd systeem durfde te maken.
Teams begonnen zelfs time to competency te meten als kernmetric, precies zoals Peter voorspelde. De opkomst van agentic AI maakte de kloof alleen maar duidelijker. Deze systemen beloofden autonomie en snelheid, maar introduceerden tegelijk nieuwe risico’s. Zonder stevig toezicht konden ze acties uitvoeren die meer schade aanrichtten dan ze oplosten.
Oordeel
Drie van de drie. Het tekort aan securitymensen werd niet kleiner. Het veranderde in een complexer, strategischer probleem.
Voorspelling 4: AI-regelgeving zou alles vertragen
Wat we zeiden
De AI Act van de EU zou wrijving veroorzaken. De VS zouden sneller bewegen. Europa zou vastlopen in compliance terwijl de rest van de wereld zou blijven sprinten.
Wat er gebeurde
Precies dit scenario ontvouwde zich. De AI Act ging van kracht en zorgde meteen voor brede verwarring. Organisaties pauzeerden uitrolplannen. Juridische teams kwamen onder zware druk te staan. Zelfs Apple schakelde functies uit in Europa, een signaal dat wereldwijd werd opgepikt.
Grensoverschrijdende implementatie veranderde van een technische uitdaging in een compliance-puzzel. Regelgeving bracht duidelijke kaders en meer veiligheid, maar verlaagde ook het innovatietempo en maakte wereldwijde uitrol complexer dan ooit. De spanning tussen snelheid en governance werd zichtbaar in vrijwel elke boardroom.
Bedrijven moesten ineens uitzoeken hoe ze AI veilig konden inzetten zonder stil te vallen.
Oordeel
Schot in de roos. Governance verhoogde de security, maar verlaagde de snelheid.
Voorspelling 5: het stroomverbruik van AI zou een echt probleem worden
Wat we zeiden
Het draaien van grote AI-modellen zou enorme hoeveelheden energie verbruiken. Energie zou een cybersecurityvraagstuk worden, niet alleen een taak voor de nutsbedrijven.Running giant AI models would guzzle power. Energy would become a cyber issue, not just a utilities problem.
Wat er gebeurde
Voltreffer.
Datacenters verbruikten meer stroom dan ooit. Hyperscalers versnelden hun duurzaamheidsinitiatieven. Toezichthouders wilden harde garanties dat digitale groei het elektriciteitsnet niet richting een extreem dure stresstest zou duwen.
AI verschoof achtereenvolgens van een technologisch vraagstuk naar een energieprobleem, daarna naar een klimaatdebat en uiteindelijk naar een politiek dossier. Het is nu onmogelijk om cybersecurity te bespreken zonder ook het energieverbruik mee te nemen.
Oordeel
Bullseye. Energie is nu een vast onderdeel van elk strategisch cybersecuritygesprek.
Conclusie
Terugkijkend klopten veel van onze voorspellingen, maar dat is niet waar de waarde zit. De waarde zit in begrijpen hoe deze verschuivingen het jaar voor securityteams écht hebben gevormd. AI, regelgeving, supply-chainrisico’s en het aanhoudende tekort aan securitymensen veranderden hoe organisaties plannen, besluiten en hun omgeving verdedigen.
Het echte verhaal van 2025 was tempo.
AI versnelde alles: aanvallen, besluitvorming, innovatie én compliance-druk. Storingen kwamen harder aan. Teams die hun strategie in real time konden bijsturen bleven overeind; teams die wachtten op stabiliteit liepen achter de feiten aan.
Daarom zijn deze terugblikken relevant. Ze laten zien waar de industrie naartoe bewoog, waar verwachtingen botsten met de realiteit en waar organisaties hun securityhouding moeten aanscherpen richting het komende jaar.
De vraag voor 2026 is net zo simpel als urgent:
Wie beweegt sneller, de aanvallers, of de teams die hen moeten stoppen?
