Staat van e-mailbeveiliging in Nederland 2026

De NIS2-richtlijn (EU 2022/2555) verplicht organisaties in onder meer overheid, gezondheidszorg, bankwezen en energie tot passende maatregelen voor hun netwerk- en informatiesystemen. Artikel 21, lid 2 noemt tien maatregelen, van risicoanalyse en incidentafhandeling tot cryptografie en beveiligde communicatie. In Nederland wordt NIS2 uitgewerkt in de Cyberbeveiligingswet. Of een organisatie onder die wet valt, hangt af van sector en omvang; deze meting zegt daar niets over.

Phishing uit naam van een gemeente, ziekenhuis of bank werkt omdat de afzender echt lijkt. SPF en DKIM laten een ontvanger controleren of mail van een toegestane server komt en onderweg niet is veranderd. DMARC zegt wat er moet gebeuren als die controle faalt: alleen met p=quarantine of p=reject wordt vervalste mail daadwerkelijk tegengehouden, p=none meet alleen. DNSSEC beschermt de DNS-antwoorden waar die controles op leunen, en DANE of MTA-STS dwingen versleuteld transport tussen mailservers af.

In de NIS2-quickscan van IntoDNS.ai valt mailauthenticatie onder maatregel (g), basispraktijken voor cyberhygiëne, en vallen DNSSEC, DANE en MTA-STS onder (h), cryptografie en versleuteling. Dat is onze indeling van technisch bewijs, geen juridische toets.

Voor overheden staan SPF, DKIM, DMARC, DNSSEC en STARTTLS met DANE op de 'pas toe of leg uit'-lijst van het Forum Standaardisatie. MTA-STS staat er niet op; lees een lage MTA-STS-score bij overheden daarom naast de DANE-score.

Wie. Per sector komt de lijst uit een officiële bron (zie hieronder). Per organisatie scannen we één domein: het domein van de website die de bron noemt, als dat domein een MX-record heeft, en anders het domein van het algemene e-mailadres uit dezelfde bron. Ministeries delen de website rijksoverheid.nl; daar scannen we het eigen maildomein, zoals minbzk.nl. Domeinen van onderdelen, merken en dochters vallen buiten de meting.

Hoe. Elk domein ging door dezelfde publieke quickscan als op intodns.ai: deterministische controles op openbare DNS-gegevens en de openbare website, zonder inlog en zonder toegang tot interne systemen. Gescand tussen 10 november 2026 en 10 november 2026, methodeversie 1.0.

Tellen. Een maatregel telt als aanwezig wanneer de bijbehorende controle slaagt. Kon een controle niet worden beoordeeld (een time-out, of niet van toepassing), dan valt dat domein voor die maatregel uit de noemer; daarom staan bij elk percentage de aantallen. Alle domeinen gaven een bruikbaar scanresultaat.

• SPF: SPF-record aanwezig (controle spf_exists).
• DMARC: Precies één DMARC-record (controle dmarc_exists).
• DMARC quarantine of reject: DMARC-beleid p=quarantine of p=reject, rekening houdend met pct (controle dmarc_quarantine).
• DMARC reject: DMARC-beleid p=reject op alle mail (controle dmarc_reject).
• DKIM: DKIM-sleutel gevonden op een gangbare selector (controle dkim_found).
• DNSSEC: Domein is met DNSSEC ondertekend (controle dnssec_signed).
• MTA-STS: MTA-STS-record aanwezig (controle mta_sts_exists).
• DANE: TLSA-records voor alle MX-servers, met DNSSEC geauthenticeerd (controle has_tlsa).
• BIMI: BIMI-record aanwezig (controle bimi_exists).

Grenzen. Dit is een momentopname van waarneembare configuratie, geen audit en geen compliance-oordeel. DKIM is een ondergrens. De score weegt ook webbeveiliging mee; voor een domein dat vooral voor mail dient, zoals een ministerie-maildomein, zegt de adoptie per maatregel meer dan de score.

Per organisatie. Deze pagina toont alleen sectortotalen. De resultaten per domein zijn vastgelegd zodat de cijfers reproduceerbaar zijn; publicatie per organisatie is later mogelijk.