Cyberaanvallen in de cultuursector in Nederland: wat instellingen moeten weten

Bekende cyberincidenten in Nederland en internationaal 

Enkele publiek bekende voorbeelden laten zien hoe groot het probleem is: 

• Pathé (Nederland, 2018) – CEO-fraude: Nederlandse directie maakte ruim €19 miljoen over naar criminelen die zich voordeden als het Franse hoofdkantoor. 
  Bron: NOS 
• Utrechts Archief (Nederland, 2021) – ransomware: server met zo'n 7 miljoen digitale erfgoedbestanden tijdelijk niet beschikbaar. Schade door de hack bedraagt tienduizenden euro's. Bron: AD 
• British Library (Verenigd Koninkrijk, 2023) – ransomware-aanval door hackersgroep Rhysida: 20 bitcoin losgeld geëist (ongeveer £600.000 destijds). De bibliotheek weigerde te betalen, waarna de hackersgroep 600 GB aan data lekte en systemen maandenlang plat lagen. Bron: InnovationNewsNetwork  
• Gallery Systems (internationaal, 2023) – softwareleverancier voor musea getroffen, honderden culturele organisaties wereldwijd geraakt. 
  Bron: PCMag, The New York Times 
• Ticketmaster (internationaal, 2024) – gegevens van honderden miljoenen gebruikers buitgemaakt. 
  Bron: NOS 
• Museum Uffizi (Florence, Italië, 2026) – Hackers dringen computernetwerk van museum binnen en krijgen toegang tot toegangscodes, wachtwoorden, alarmsystemen en plattegronden. Ook stalen ze het online archief, waardoor collecties deels verloren gingen. Bron: NU 

Deze incidenten laten zien dat Nederlandse instellingen onderdeel zijn van een wereldwijd patroon van cyberaanvallen. Ze komen vooral voor via phishing, ransomware of datalekken, soms via leveranciers of softwarepartners. 

Het probleem dat we niet zien 

Veel cyberaanvallen blijven onbekend. Organisaties delen deze incidenten vaak niet, uit angst voor reputatieschade, juridische gevolgen of verlies van vertrouwen. Daardoor lijkt het alsof het probleem klein is. In werkelijkheid gebeurt er veel meer. 

Teams weten vaak dat er risico’s zijn, maar durven die niet altijd te bespreken of te melden. Medewerkers zijn soms bang om fouten te maken of om daarop afgerekend te worden. Daardoor blijven problemen onzichtbaar en wordt het lastiger om ervan te leren. 

Een open meldcultuur binnen organisaties is daarom belangrijk. Medewerkers moeten erop kunnen vertrouwen dat ze niet worden afgestraft als ze een incident of fout melden. Juist door dit wel te doen, kunnen organisaties sneller reageren en schade beperken. 

Ook openheid binnen de sector is belangrijk. Door ervaringen te delen, kunnen organisaties van elkaar leren en sterker worden. 

Cybersecurity als financieel en strategisch vraagstuk 

Voor bestuurders is het belangrijk om te weten dat cyberaanvallen grote kosten met zich meebrengen: 

• De British Library gaf £6–7 miljoen uit aan herstel. Bron: InnovationNewsNetwork 
• Wereldwijd betaalden organisaties in 2023 meer dan $1,1 miljard aan ransomware-losgeld Bron: Chainalysis. 
• Indirecte kosten zijn stilgelegde diensten, extra werk en reputatieschade. 

Investeren in cybersecurity voorkomt vaak veel grotere schade. Het is dus geen IT-kostenpost, maar een strategisch middel om continuïteit en financiële schade te beschermen. 

Cybersecurity raakt de hele organisatie 

Cyberaanvallen beïnvloeden meer dan IT. Ze raken ticketverkoop, websites, collecties, onderzoek en dagelijkse werkprocessen. Daarom moet cybersecurity besproken worden op alle niveaus, van medewerkers tot bestuurders. 

Een open cultuur, training en duidelijke processen helpen teams om risico’s te herkennen en actie te ondernemen zonder angst voor fouten. 

Praktische stappen voor culturele instellingen 

Nederlandse musea, theaters, festivals, producenten, bibliotheken en archieven kunnen hun digitale veiligheid verbeteren door: 

1. Risico’s concreet maken: gebruik voorbeelden zoals Pathé en British Library, inclusief kosten en verstoringen. 
2. Open cultuur creëren: medewerkers moeten vragen durven stellen en fouten melden. 
3. Begin bij de basis: sterke wachtwoorden, updates en back-ups. 
4. Scenario’s oefenen: wat gebeurt er bij systeemuitval of datalek? 
5. Betrek bestuurders: leg uit dat investeren in cybersecurity schade en geldverlies kan voorkomen. 

Van onzichtbaar probleem naar gezamenlijke aanpak 

De cultuursector digitaliseert snel. Dat biedt kansen, maar vergroot ook de kwetsbaarheid. 

Bekende incidenten laten zien wat er mis kan gaan. Maar het grootste risico is wat we niet zien. Cybersecurity is geen extra IT-kostenpost, maar een gezamenlijke verantwoordelijkheid om Nederlandse, archieven, theaters (pop)podia en festivals, bibliotheken en erfgoedinstellingen veilig en toekomstbestendig te houden.