Deze cijfers tonen aan dat de cyberdreiging van schaal is veranderd: ze stopt niet langer aan de poort van het geviseerde bedrijf, maar strekt zich uit over het volledige ecosysteem.
Deze realiteit heeft rechtstreekse impact op de manier waarop technologische risico’s worden ingeschat bij fusies en overnames van softwareactiva. Overnemende partijen moeten cyberrisico voortaan holistisch beoordelen: niet enkel de blootstelling van het technologische actief zelf, maar ook die van al zijn afhankelijkheden.
Kernpunten over cybersecurityrisicoanalyse bij M&A
- Het misbruiken van softwarekwetsbaarheden is nu het belangrijkste toegangspunt voor cyberaanvallen.
- Het beoordelen van het cyberrisico van een techbedrijf vereist een allesomvattend beeld, met inbegrip van alle leveranciers en softwareafhankelijkheden.
- Voor investeerders bestaat de uitdaging erin technische bevindingen te vertalen naar concrete risico’s, vereiste investeringen en mogelijke impact op de groei.
- Een kwetsbaarheid is niet per definitie een dealbreaker: het belang ervan hangt volledig af van de context en de haalbaarheid van de remediëring.
Van compliancerisico naar economische impact
Bedrijven besteden al een aanzienlijk deel van hun IT-middelen aan beveiliging. Volgens de NIS Investments 2025-studie van ENISA, uitgevoerd bij 1.080 Europese professionals, vertegenwoordigt cybersecurity 9% van de IT-budgetten (4).
Regelgeving blijft de belangrijkste drijfveer voor deze investeringen: 70% van de bevraagde organisaties verwijst naar regelgevende conformiteit. Daarnaast noemt 42% ook de preventie van financiële of reputatierisico’s (4). Cybersecurity moet dus ook worden bekeken als een economisch risico dat impact kan hebben op klanten, bedrijfscontinuïteit, toekomstige kosten, groeicapaciteit en uiteindelijk de waardering.
Cyberrisico’s vertalen naar financiële risico’s
Bij een overname levert de loutere vaststelling dat een doelbedrijf veiligheidslekken vertoont, weinig waarde op zonder de juiste context.
Tijdens de audit- of due diligence fase wil een deal-team vooral begrijpen wat de impact van een cybersecuritykwetsbaarheid is op de groeiprojecties van het actief. Daarvoor structureren deze teams hun analyse rond drie kerndimensies:
- Het risico dat na closing wordt meegenomen. Kunnen specifieke kwetsbaarheden het product, de data, de klanten of de bedrijfscontinuïteit aantasten? Zijn de vastgestelde zwakheden geïsoleerde gevallen, of wijzen ze op een meer structureel probleem?
- De budgettaire impact (Capex/Opex). Remediëring kan tijd, nieuwe tools, bijkomende competenties of procesaanpassingen vereisen. Dit vertaalt zich in OPEX of CAPEX die moet worden opgenomen in het waardecreatieplan.
- Het vermogen om het businessplan te ondersteunen. Een architectuur en organisatie die geschikt zijn voor enkele tientallen klanten, voldoen niet noodzakelijk aan dezelfde veiligheidseisen wanneer een bedrijf uitbreidt naar honderden klanten, nieuwe markten, grote accounts of een build-up-strategie.
Hoe wordt cybersecurityrisico beoordeeld tijdens een due diligence?
Meestal wordt de cyberpostuur van het doelbedrijf beoordeeld door de overnemende onderneming via een grondige cybersecurity-audit, ook wel due diligence genoemd.
Het cyberluik wordt vaak zelfs opgenomen in een technologische due diligence, die het softwareactief in zijn geheel analyseert om niet alleen cybersecuritykwetsbaarheden te identificeren, maar ook risico’s op het vlak van intellectuele eigendom of de onderhoudbaarheid van het actief op lange termijn.
Deze due diligence brengt via verschillende grondige analysemethoden een aantal kwetsbaarheden aan het licht:
- codescan, een onmisbare feitelijke stap om gekende kwetsbaarheden te identificeren en open source-afhankelijkheden in kaart te brengen,
- network footprint, een niet-intrusieve methode die mogelijke eenvoudige toegangspunten tot een netwerk blootlegt,
- of zelfs een pen test, om de weerstand tegen een externe aanval te evalueren.
Zonder context kunnen de resultaten van deze analyses op zich een groot aantal kwetsbaarheden tonen, wat investeerders onnodig kan afschrikken.
De rol van een tech due diligence bestaat er precies in om deze resultaten in context te plaatsen: valse positieven worden uitgefilterd en de scanresultaten worden gekaderd binnen de roadmap, industriebenchmarks en governance van het bedrijf.
Conclusie
De cybersecurityanalyse van een softwareactief kan dieperliggende problemen blootleggen, zoals onveilige ontwikkelingsprocessen, een verouderde architectuur, oplopende technische schuld of gebrekkige governance. De veiligheidspostuur wordt zo een uitstekende indicator voor de algemene technologische maturiteit van het bedrijf. En dat is precies wat een toekomstige overnemer wil begrijpen.
Bronnen
- Verizon Business, 2024, 2025 et 2026 Data Breach Investigations Report.
- Verizon Business, 2026 Data Breach Investigations Report, 19e édition, 2026.
- Verizon Business, 2025 Data Breach Investigations Report, 2025.
- European Union Agency for Cybersecurity (ENISA), NIS Investments 2025, décembre 2025.
Auteur: Philippe Thomas, CEO van Vaultinum.
Philippe heeft meer dan 20 jaar ervaring in finance en technologie. Als CEO van Vaultinum deelt hij regelmatig zijn visie op technologie, AI en waardecreatie in Private Equity.