Van 309 organisaties in België, Nederland en Luxemburg die e-mail ontvangen, dwingt 26,9 procent geen DMARC-beleid af. Dat blijkt uit de Barometer e-mailbeveiliging 2026 van CyberNovaLabs.io.
CyberNovaLabs.io publiceert de Barometer e-mailbeveiliging 2026 waarin de publieke e-mailbeveiliging van 333 organisaties met hoofdkantoor in België, Nederland en Luxemburg werd gecontroleerd. Hieruit blijkt dat van de organisaties die e-mail ontvangen, 26,9 procent geen DMARC-beleid handhaaft. Met als gevolg dat iedereen e-mails kan versturen in hun naam. “Organisaties met 50 tot 999 medewerkers zijn het kwetsbaarst (38,7%), precies de organisaties die NIS2 nu binnen het toepassingsgebied brengt”, aldus het bedrijf.
België scoort onder Nederland
Met een DMARC-beleid, een record in de DNS, vertelt een organisatie aan ontvangende mailservers wat ze moeten doen met berichten in haar naam die de controle via SPF en DKIM niet doorstaan (niets doen met p=none, in quarantaine plaatsen of weigeren).
In België is 29,1 procent van de 103 gecontroleerde organisaties nog te spoofen, een term die verwijst naar aanvallers die zich voordoen als een betrouwbare bron. In Nederland gaat het om 25 procent, in Luxemburg om 30 procent. Belgische organisaties blijven ook achter bij DNSSEC: 24,3 procent heeft een ondertekende zone, in Nederland is dat 44,9 procent.
Over de hele groep blokkeert 44 procent valse e-mails met de strengste instelling, p=reject. Amper 3,9 procent dwingt met MTA-STS versleutelde aflevering van inkomende e-mail af.
DMARC bij middelgrote organisaties
Bij organisaties met 50 tot 999 medewerkers is 38,7 procent na te bootsen. In de groep van 1.000 tot 9.999 medewerkers daalt dat naar 18,9 procent, bij organisaties met meer dan 10.000 medewerkers naar 14 procent. Van de kleinste groep dwingt 1,5 procent MTA-STS af.
Die middelgrote organisaties vallen nu als belangrijke entiteiten onder NIS2. CyberNovaLabs wijst erop dat beveiligde communicatie en basis-cyberhygiëne tot de minimummaatregelen van de richtlijn horen, en dat e-mailbescherming een van de eerste zaken is die auditors en klanten nakijken.
SPF, DKIM en DMARC zijn DNS-instellingen. Ze rechtzetten kost volgens CyberNovaLabs enkele uren werk, in stappen ingevoerd zodat geen legitieme e-mail geblokkeerd raakt. Het bedrijf maakt geen resultaten per organisatie bekend, dus wie wil weten waar zijn eigen domein staat, moet dat zelf nakijken.