Cor Verhoeven blijft cybercriminelen liefst twee stappen voor

Als innovatieve startup heeft Offensys een vliegende start gemaakt. Cor en zijn compagnons Sander Maas en Cas van Cooten richtten in april 2025 officieel hun BV op. Vlak voor kerst gingen ze met de eerste klanten in zee en sinds april 2026 werken ze fulltime aan hun bedrijf. Sinds kort vanuit het pand van Jheronimus Academy of Data Science, kortweg JADS, in ’s-Hertogenbosch. De verhuisdozen staan nog opgestapeld, maar de computers draaien al op volle toeren. Hier, in de kelder van het voormalige klooster wordt gewerkt aan een van de meest actuele vraagstukken van deze tijd: hoe beschermen we bedrijven en organisaties tegen steeds slimmere cyberaanvallen?

Niet veilig

Het zaadje voor de startup werd geplant tijdens een biertje na het werk. Cor had destijds een leidinggevende functie bij een van de grootste webwinkels van Nederland. Sander en Cas werkten als ethisch hackers in het cybersecurityteam van een grote bank. “Tijdens dat biertje vroeg ik waar ze wakker van lagen als het om hun werk ging”, vertelt Cor. “Het antwoord: ondanks de duurste beveiligingssoftware, de meest geavanceerde waarschuwingssystemen en de beste specialisten bleven ze met de vraag zitten of ze voldoende waren voorbereid op een gerichte aanval.”

Continu proces

Het drietal constateerde dat bedrijven en organisaties vaak maar één keer per jaar controleren of hun beveiliging nog wel werkt. Maar de digitale wereld verandert elke dag. Cor: “Er komen constant software-updates en nieuwe aanvalsmethoden, en de hackers worden steeds inventiever. Dan is één controle per jaar schijnveiligheid. In softwareontwikkeling is het heel normaal om na elke wijziging te testen of alles nog goed functioneert. In cybersecurity gebeurt dat nog nauwelijks. Nieuwe dreigingen worden pas getest nádat er ergens een cyberaanval is geweest. En dat testen gebeurt dan vaak handmatig, wat heel tijdrovend is. Dat moest volgens ons anders kunnen. Naast ons werk zijn we gaan onderzoeken of we van cyberveiligheid een continu proces konden maken.” 

‘De kracht van ons platform is dat het ‘t gedrag van echte hackers simuleert’

Legosteentjes

Twee jaar lang bouwden ze aan een innovatief platform. Een hightech tool waarmee bedrijven en organisaties continu kunnen controleren of hun digitale verdediging nog op orde is. “De kracht van ons platform is dat het voortdurend realistische cyberaanvallen simuleert”, legt Cor uit. “Niet door bekende virussen na te bootsen, maar door het gedrag van echte hackers te simuleren. Zie het als een grote bak met Legosteentjes. Elk steentje is een stap die een hacker kan zetten. Daarmee kunnen we steeds nieuwe aanvalsscenario’s samenstellen die lijken op wat er in de praktijk gebeurt. Onze klanten kunnen daardoor op elk gewenst moment zien waar hun kwetsbaarheden zitten en of eerdere beveiligingsmaatregelen nog werken.” 

Toenemende dreiging

Dat is essentieel, want de dreiging op ontwrichtende cyberaanvallen neemt alleen maar toe. Ook door AI. “Kunstmatige intelligentie maakt het voor cybercriminelen makkelijker om sneller en op grotere schaal aanvallen uit te voeren”, zegt Cor. “Tegelijkertijd helpt AI ons om óók sneller te werken en organisaties beter te beschermen. Maar onze aanvalssimulaties moeten voor onze klanten honderd procent betrouwbaar en uitlegbaar zijn. Daarom blijft de expertise van onze ethisch hackers onmisbaar en zijn we nadrukkelijk géén AI-platform.”

Meteen internationaal

Die klanten variëren van banken en netbeheerders tot overheden en grote bedrijven. “Met onze eerste klanten in Zwitserland en Duitsland zijn we meteen internationaal gegaan”, aldus Cor. De internationale ambitie van Offensys kreeg de afgelopen maanden een extra impuls door deelname aan het YES!Delft Accelerator & Cyber Security Program. Een initiatief van incubator YES!Delft, gemeente Den Haag en regionale ontwikkelingsmaatschappij InnovationQuarter. Het programma ging over technologie, ondernemerschap, groei, teamontwikkeling en financiering. Cor: “Het traject heeft ons enorm geholpen, ook in het vertrouwen dat we iets moois aan het bouwen zijn.”

‘We willen dat organisaties niet alleen een vinkje kunnen zetten’

Digitale weerbaarheid

Op dit moment is het platform van Offensys nog niet geschikt voor het mkb. “Onze huidige klanten hebben eigen cybersecurityteams. Daardoor is de basis van hun cybersecurity al op orde”, verklaart Cor. “Wij helpen hen dus niet met de beveiliging zelf, maar geven inzicht in hun digitale weerbaarheid: zijn ze bestand tegen de nieuwste cyberaanvallen? Veel mkb’ers zijn nog niet zo ver. Ze hebben niet de middelen om zelf hun digitale beveiliging te monitoren. Vaak besteden ze die dan uit aan ICT-dienstverleners. Met deze partijen zijn we in gesprek om te bekijken wat we voor hen kunnen betekenen. We willen dat organisaties niet alleen een vinkje kunnen zetten omdat ze aan de regels voldoen, maar vooral dat ze écht weten hoe veilig ze zijn. Die weerbaarheid vergroten zie ik als onze maatschappelijke bijdrage.”

Bewuster maken

Een netwerk als AgriFood Capital – dat met Elevate-X startups in alle sectoren steunt – kan daar volgens Cor een waardevolle rol in spelen. “Wij kunnen organisaties bewuster maken van de risico’s van cybercriminaliteit en de mogelijkheden om hun digitale weerbaarheid te vergroten. Tegelijkertijd leren wij van bedrijven uit andere sectoren. Dat helpt ons om ons platform verder te ontwikkelen.”

Daarbij draait het uiteindelijk niet om techniek, maar om vertrouwen, zegt Cor. “Klanten geven ons inzicht in de kwetsbaarste plekken van hun organisatie. Dan moeten de inzichten die wij teruggeven volledig betrouwbaar zijn. Een goede relatie en de betrouwbaarheid van ons platform zijn daarom extreem belangrijk.”

Veiligere samenleving

Cors drijfveer om zich hard te maken voor een digitaal weerbare samenleving gaat verder dan ondernemen alleen. “Ik heb twee jonge kinderen. En ik hoop dat zij kunnen opgroeien in een samenleving die net zo veilig is als die waarin ikzelf ben grootgebracht. Als wij daar een bijdrage aan kunnen leveren, hoe klein ook, is dat voor mij heel waardevol."

Cors tip

“Een start-up draait niet om zo snel mogelijk bouwen, maar om zo snel mogelijk leren. Durf je belangrijkste aannames als eerste te testen. Hoe eerder je ontdekt dat je ongelijk hebt, hoe sneller je iets bouwt dat klanten écht willen.”