Derde partij risico crisisoefening: zo test u de keten

Uw crisisplan gaat er meestal van uit dat uw eigen organisatie geraakt wordt: een cyberaanval op uw systemen, een brand in uw pand, uitval van uw personeel. Maar de meeste grote verstoringen van de afgelopen jaren begonnen ergens anders – bij een clouddienst, een betaalprovider, een logistieke partner of een softwareleverancier waarvan u afhankelijk bent. Een derde partij risico crisisoefening is een gerichte oefening waarin u precies dat scenario naspeelt: niet uw eigen falen, maar de uitval van een kritieke leverancier of ketenpartner, en de vraag of uw organisatie dan nog kan doorwerken, communiceren en besluiten.

Het korte antwoord voor wie weinig tijd heeft: een organisatie is zelden zo weerbaar als haar zwakste kritieke leverancier. Zolang u die afhankelijkheid niet onder druk heeft getest, kent u uw werkelijke hersteltijd niet – u kent alleen de aanname die in het continuïteitsplan staat. Een oefening maakt het verschil tussen die aanname en de werkelijkheid zichtbaar, terwijl het nog niets kost.

Wat is een derde partij risico crisisoefening?

Een derde partij risico crisisoefening is een gestructureerde crisisoefening – meestal een tabletop-oefening of een uitgebreidere simulatie – waarin het startpunt de uitval of compromittering van een externe partij is. Denk aan een gijzelsoftware-incident bij uw IT-dienstverlener, een storing bij uw payrollprovider vlak voor de salarisrun, of een datalek bij een SaaS-leverancier die uw klantgegevens verwerkt. Het crisisteam werkt het scenario door in realtime: wie neemt de leiding, welke informatie ontbreekt, welke besluiten kunnen én mogen worden genomen, en hoe blijft de organisatie intern en extern communiceren terwijl de leverancier zelf misschien uren of dagen stil is.

Het doel is niet om af te vinken dat er een plan bestaat. Het doel is om te toetsen of het plan standhoudt op het moment dat u de telefoon van uw leverancier niet meer opneemt.

Een herkenbaar scenario

Een middelgrote verzekeraar (fictief, samengesteld voorbeeld) besteedt zijn polisadministratie uit aan een gespecialiseerde softwarepartij. Op een donderdagochtend meldt die partij een “beveiligingsincident” en zet uit voorzorg alle klantomgevingen offline. Geen tijdlijn, geen bevestiging of gegevens zijn buitgemaakt. Binnen een uur lopen de eerste vragen binnen: klanten die geen polis kunnen wijzigen, een toezichthouder die om duiding vraagt, medewerkers die niet weten wat ze mogen zeggen.

Het crisisplan van de verzekeraar bestaat en is netjes opgesteld. Maar het beschrijft vooral incidenten in de eigen systemen. Niemand had geoefend met de situatie waarin de organisatie volledig afhankelijk is van informatie die een derde partij niet geeft. De eerste twee uur gaan verloren aan interne discussie over wie eigenlijk mag beslissen. Precies die twee uur bepalen hoe klanten, media en toezichthouder de hele crisis later beoordelen.

Waarom de uitval van een ander uw crisis wordt

Bij een verstoring in de keten verliest u twee dingen tegelijk: de dienst zelf, en de controle over de informatie. U bent afhankelijk van de snelheid, eerlijkheid en communicatie van een partij die op dat moment eigen belangen, eigen juristen en eigen klanten heeft. Toch verwachten uw klanten, medewerkers en toezichthouders dat ú verantwoordelijkheid neemt. Juridisch en in de beleving van het publiek is de uitbestede taak nog steeds uw taak.

De gevolgen zijn zelden puur operationeel. Ze werken door op vier vlakken tegelijk: operationeel (processen die stilvallen), financieel (omzetderving, boetes, herstelkosten), reputationeel (het beeld dat u de regie kwijt bent) en bestuurlijk (directie en toezichthouders die verantwoording vragen die u nog niet kunt geven). Wie alleen op het operationele deel heeft geoefend, wordt door de andere drie overvallen.

Vier hardnekkige misvattingen

De eerste misvatting is dat een contract met een goede leverancier het risico afdekt. Een SLA regelt aansprakelijkheid en herstelinspanning, maar het herstelt uw dienstverlening niet en beschermt uw reputatie niet. De tweede is dat de IT-afdeling dit oplost. Uitval van een kritieke partner is een organisatiebrede kwestie waarin communicatie, juridische zaken, directie en klantcontact minstens zo bepalend zijn als techniek.

De derde misvatting is dat een businessimpactanalyse voldoende is. Een analyse laat zien welke afhankelijkheden ertoe doen; ze bewijst niet dat uw team onder druk de juiste besluiten neemt. De vierde is dat één oefening per jaar over “een cyberaanval” ook dit scenario dekt. Een generieke oefening waarin u zelf de getroffen partij bent, traint niet het gevoel van machteloosheid en informatiegebrek dat een ketenincident zo lastig maakt.

Waarschuwingssignalen dat uw keten ongetest is

• U kunt niet binnen vijf minuten benoemen welke drie leveranciers uw organisatie het snelst plat leggen.
• Uw continuïteitsplan noemt leveranciers wel, maar bevat geen scenario waarin er één uitvalt.
• Er is geen afspraak over wie extern woordvoert als de storing bij een partner ligt.
• Niemand weet of, en hoe snel, u kunt overstappen naar een alternatieve leverancier.
• De laatste keer dat directie en crisisteam samen onder tijdsdruk oefenden, is meer dan een jaar geleden – of is nooit gebeurd.

Herkent u drie of meer van deze signalen, dan test u op dit moment uw ketenweerbaarheid pas op het moment dat het echt misgaat. Dat is de duurste manier om erachter te komen.

Zo bouwt u een oefening die echt iets test: zes stappen

1. Kies een reële, pijnlijke afhankelijkheid. Neem geen willekeurige leverancier, maar de partij zonder wie een kernproces binnen 24 uur stilvalt. Baseer die keuze op uw businessimpactanalyse.
2. Bepaal het leerdoel vóór het scenario. Wilt u besluitvorming, mandaat, communicatie of het overstapproces testen? Een oefening die alles tegelijk wil, toetst niets scherp.
3. Bouw informatieschaarste in. De kern van een ketenincident is dat u niet weet wat er speelt. Geef het team bewust onvolledige en tegenstrijdige informatie, met updates die druppelsgewijs binnenkomen.
4. Betrek directie en woordvoering echt. Besluiten over klantcommunicatie, melding aan de toezichthouder en eventuele stillegging horen op directieniveau. Oefen die rol, niet alleen de operationele afhandeling.
5. Speel door tot na de eerste piek. Veel oefeningen stoppen bij de eerste beslissing. De echte lessen zitten in uur drie tot vijf: als de druk aanhoudt, informatie verandert en vermoeidheid intreedt.
6. Evalueer op capaciteit, niet op schuld. Leg vast welke aannames niet klopten, welke besluiten te lang duurden en welke afspraken ontbraken. Vertaal dat naar concrete aanpassingen in plan, mandaat en volgende oefening.

Plan versus capaciteit: waar het misgaat

Een goed plan beschrijft de bedoeling. Een oefening laat zien of de organisatie die bedoeling onder druk waar kan maken. Het verschil tussen die twee is precies het risico dat u loopt.

Waar professionele begeleiding waarde toevoegt

Veel organisaties oefenen intern, en dat is waardevol. De grens komt in zicht zodra de mensen die het plan schreven ook het scenario bedenken en de oefening beoordelen: dan bevestigt u vooral uw eigen aannames. Een onafhankelijke partij bouwt scenario’s die uw blinde vlekken opzoeken, houdt de druk realistisch vast en spiegelt directie en crisisteam zonder intern belang.

De Nederlandse Academie voor Crisismanagement ontwerpt en begeleidt zulke oefeningen op basis van ervaring in complexe omgevingen met hoge druk, onvolledige informatie en langdurige onzekerheid – omstandigheden waarin besluiten decentraal en snel moeten vallen. Die ervaring vertaalt de academie naar realistische oefenscenario’s en simulaties voor bestuurders en crisisteams, waarin ketenafhankelijkheid centraal staat in plaats van een bijzin te blijven.

Wat professionele begeleiding concreet oplevert: scherpere leerdoelen, scenario’s die uw aannames toetsen in plaats van bevestigen, meer rolduidelijkheid tussen directie en crisisteam, snellere besluitvorming onder druk, en zichtbaar gemaakte afhankelijkheden die u daarna gericht kunt afdekken. Geen enkele oefening voorkomt elke crisis – maar ze verkort de tijd tussen verrassing en handelen, en dat is vaak het verschil dat telt.

Wilt u weten of uw organisatie een uitval bij een kritieke leverancier zou doorstaan? Een gerichte oefening maakt dat binnen een dagdeel zichtbaar.

Wat een goede oefening in ieder geval bevat

• Een scenario dat is gebouwd rond uw eigen kritieke afhankelijkheden, niet een generiek voorbeeld.
• Realistische informatieschaarste en tegenstrijdige signalen, zoals in een echt ketenincident.
• Actieve deelname van directie of bestuur, niet alleen het operationele team.
• Expliciete aandacht voor mandaat: wie mag wat beslissen als sleutelpersonen er niet zijn.
• Een communicatiespoor: interne boodschap, klantcommunicatie, woordvoering en melding aan toezichthouders.
• Een evaluatie die aannames en hersteltijden toetst en leidt tot concrete verbeteringen.

Wat wet- en regelgeving nu al van u verwacht

Ketenweerbaarheid is niet langer alleen een kwestie van goed bestuur; ze wordt steeds vaker verankerd in regelgeving. Voor financiële instellingen geldt sinds 17 januari 2025 de Europese verordening DORA, die eist dat organisaties het risico van ICT-dienstverleners beheersen, uitstapscenario’s vastleggen en hun digitale weerbaarheid testen (bron: ESMA/Europese Commissie). Testen en oefenen zijn daarin geen bijzaak maar een verplichting.

Breder geldt vanaf 15 augustus 2026 in Nederland de Cyberbeveiligingswet, die de Europese NIS2-richtlijn implementeert, samen met de Wet weerbaarheid kritieke entiteiten. De Eerste Kamer stemde op 7 juli 2026 met beide wetten in (bron: Rijksoverheid en NCSC). De Cyberbeveiligingswet legt onder meer een zorgplicht op waarin de beveiliging van de toeleveringsketen uitdrukkelijk wordt genoemd, en raakt naar schatting ruim 8.000 organisaties. Voor wie continuïteit systematisch aanpakt, biedt de norm ISO 22301 een kader dat afhankelijkheden van leveranciers meeneemt en het testen van continuïteitsplannen voorschrijft.

De precieze verplichtingen verschillen per sector en organisatie. Controleer uw eigen situatie bij het NCSC en de voor u geldende toezichthouder; regelgeving is hier het uitgangspunt, geen sluitende checklist. De rode draad is wel duidelijk: aantoonbaar oefenen met verstoringen – ook die bij derden – wordt van serieuze organisaties verwacht.

Veelgehoorde bezwaren

“We hebben er geen tijd voor.” Een gerichte tabletop-oefening kost een dagdeel. Een ongeoefend ketenincident kost dagen aan improvisatie en soms maanden aan reputatieherstel. “Onze leveranciers zijn betrouwbaar.” Betrouwbaarheid verkleint de kans, niet het gevolg – en juist bij betrouwbare partijen is uw eigen voorbereiding het dunst. “We hebben vorig jaar al geoefend.” De vraag is niet of u oefende, maar wat u oefende: als u zelf de getroffen partij was, staat het ketenscenario nog open.

Conclusie

Uw weerbaarheid stopt niet bij uw eigen voordeur. Ze loopt door tot in de systemen, planning en communicatie van iedere partij waarvan uw kernprocessen afhankelijk zijn. Een derde partij risico crisisoefening is de meest directe manier om te ontdekken of die afhankelijkheid houdbaar is voordat een echte storing het antwoord geeft. U vertaalt een plan dat er goed uitziet naar een organisatie die onder druk daadwerkelijk kan handelen – en dat is, drie weken voordat nieuwe wetgeving hogere eisen stelt, geen luxe maar basishygiëne.

Zet de volgende stap

Wilt u toetsen of uw crisisteam en directie een uitval bij een kritieke leverancier aankunnen? De Nederlandse Academie voor Crisismanagement ontwerpt oefenscenario’s en simulaties op maat van uw keten. Neem contact op voor een verkennend gesprek over een oefening die uw werkelijke ketenweerbaarheid zichtbaar maakt.

Knop: Plan een verkennend gesprek

Veelgestelde vragen

Wat is een derde partij risico crisisoefening precies?

Het is een crisisoefening waarin het startpunt niet uw eigen falen is, maar de uitval of compromittering van een externe partij waarvan u afhankelijk bent, zoals een IT-leverancier, cloudprovider of logistieke partner. Uw crisisteam werkt het scenario in realtime door en test of de organisatie kan doorwerken, besluiten en communiceren terwijl die derde partij niet levert en vaak ook geen informatie geeft.

Waarom is dit iets anders dan een gewone crisisoefening?

Een reguliere oefening gaat er meestal van uit dat uw eigen systemen of mensen geraakt zijn. Bij een ketenscenario verliest u de dienst én de controle over de informatie: u bent afhankelijk van een partij met eigen belangen en tempo. Dat traint andere vaardigheden – omgaan met machteloosheid, informatieschaarste en de vraag wie mag beslissen als u zelf geen zicht op de oorzaak heeft.

Hoe vaak moeten we zo’n oefening doen?

Er is geen wettelijk vast interval dat voor iedereen geldt. Een bruikbare vuistregel is minimaal jaarlijks oefenen met uw belangrijkste afhankelijkheden, en vaker wanneer uw leverancierslandschap, uw kernprocessen of de regelgeving verandert. Belangrijker dan frequentie is dat u varieert in scenario’s, zodat u niet elk jaar hetzelfde incident oefent.

Wie moet er meedoen aan de oefening?

In elk geval het crisisteam, maar de meerwaarde ontstaat pas als directie of bestuur echt meedoet. Besluiten over externe communicatie, melding aan toezichthouders en eventuele stillegging horen op dat niveau. Betrek daarnaast communicatie, juridische zaken, IT en klantcontact, want een ketenincident raakt de hele organisatie en niet alleen de techniek.

Wat kost een derde partij risico crisisoefening?

De kosten hangen af van de vorm en omvang: een tabletop-oefening van een dagdeel is aanzienlijk lichter dan een meerdaagse simulatie met meerdere teams. Bepalende factoren zijn het aantal deelnemers, de mate van maatwerk in het scenario en of u directie en meerdere afdelingen betrekt. Vraag een aanbieder om de kostenopbouw toe te lichten in plaats van alleen een prijs; zo ziet u wat u werkelijk test.

Verplicht de wet ons om ketenscenario’s te oefenen?

Voor financiële instellingen stelt DORA sinds 17 januari 2025 het beheersen en testen van ICT-risico bij derden verplicht. Vanaf 15 augustus 2026 legt de Nederlandse Cyberbeveiligingswet (implementatie van NIS2) een zorgplicht op die ook de toeleveringsketen omvat. De precieze eisen verschillen per sector; controleer uw situatie bij het NCSC en uw toezichthouder. De richting is duidelijk: aantoonbaar oefenen met ketenverstoringen wordt verwacht.

Kunnen we dit niet gewoon zelf organiseren?

Deels wel, en intern oefenen is waardevol. De beperking is dat dezelfde mensen die het plan schreven ook het scenario bedenken en beoordelen, waardoor u vooral eigen aannames bevestigt. Een onafhankelijke begeleider bouwt scenario’s rond uw blinde vlekken, houdt de druk realistisch en geeft directie en crisisteam een eerlijke spiegel zonder intern belang.

Wat levert zo’n oefening concreet op?

U krijgt zicht op uw werkelijke hersteltijd in plaats van de aanname in het plan, meer rolduidelijkheid tussen directie en crisisteam, snellere besluitvorming onder druk en een lijst met afhankelijkheden die u gericht kunt afdekken. Geen oefening voorkomt elke crisis, maar ze verkort de tijd tussen verrassing en handelen – en dat bepaalt vaak hoe een incident afloopt.