ENISA telt 73% NIS2-entiteiten onder aangevallen organisaties

73% van de organisaties die in 2025 doelwit waren van een cyberincident, valt onder de NIS2-definitie van essentiële of belangrijke entiteit. Dat staat in de ENISA Threat Landscape 2026, die het EU-agentschap voor cyberbeveiliging op 22 september 2026 presenteerde. ENISA analyseerde daarvoor incidenten en gebeurtenissen van 1 januari tot en met 31 december 2025, uit open bronnen, uit geanonimiseerde informatie van lidstaten en via het ENISA Cyber Partnership Programme.

Openbaar bestuur blijft met 32% van de gevallen de vaakst getroffen sector. Daarna volgen zakelijke dienstverlening en transport met elk 8%, industrie met 7% en financiën en bankwezen met 6%. Bij openbaar bestuur bestaat het beeld vooral uit ideologisch gedreven DDoS-aanvallen, goed voor 82% van de vastgelegde gebeurtenissen.

Over de hele periode domineren DDoS-aanvallen met weinig impact het dreigingsbeeld, met 51% van de vastgelegde gevallen. Van de incidenten was 57% ideologisch gedreven en bijna 30% financieel gemotiveerd. Ransomware blijft volgens ENISA het incidenttype met de grootste impact op korte termijn. Hacktivisten eisten in de periode 4.709 aanvallen op EU-lidstaten op, waarvan ruim 89% DDoS-aanvallen.

Cybercrime besloeg 36% van alle gebeurtenissen. Bij de financieel gemotiveerde activiteiten ging het vooral om ransomware (40% van de geanalyseerde gebeurtenissen), datalekken (31%) en fraude en imitatie (19%). Waar ENISA bij ongeautoriseerde toegang de ingang kon vaststellen (5%), ging het in 60% van de gevallen om misbruik van een kwetsbaarheid.

ENISA ziet nog altijd aanvallen op digitale afhankelijkheden, waaronder aanvallen via de toeleveringsketen en via derde partijen. Zulke aanvallen leiden volgens het agentschap doorgaans tot grootschalige incidenten of incidenten met veel impact. In 2025 werden ruim 48.000 nieuwe kwetsbaarheden met een CVE-nummer gepubliceerd, 22% meer dan het jaar ervoor.

De bevindingen sluiten volgens ENISA aan bij het eerdere NIS360-rapport. Daarin kregen sectoren als gezondheidszorg, spoor, maritiem, beheer van ICT-diensten, ruimtevaart, openbaar bestuur en drinkwater en afvalwater een volwassenheid onder het gemiddelde, terwijl hun kritikaliteit hoger lag.