Op 15 augustus 2026 – over minder dan twee weken – treedt de Cyberbeveiligingswet (NIS2) in werking, samen met de Wet weerbaarheid kritieke entiteiten. Circa 8.000 organisaties in 18 sectoren moeten dan aantoonbaar voorbereid zijn op incidenten die de continuïteit bedreigen. Een crisisplan op papier is daarvoor niet genoeg: het verschil tussen een plan en echte handelingsbekwaamheid wordt zichtbaar in een crisissimulatie. Maar niet elke oefening verdient die naam. Dit artikel laat zien wat een crisissimulatie onderscheidt van een gewone doorloopoefening, uit welke vijf bouwstenen een realistische simulatie bestaat – en hoe u van een eerste tabletop toewerkt naar een simulatie die uw crisisteam werkelijk test.
Wat is een crisissimulatie – en wat is het niet?
Een crisissimulatie is een oefening waarin een crisisteam een realistisch scenario doorleeft alsof het echt gebeurt: met tijdsdruk, onvolledige informatie, tegenspel en escalaties die reageren op de beslissingen van het team. Daarmee verschilt de simulatie wezenlijk van een klassieke crisisoefening of tabletop, waarin deelnemers – veilig rond de tafel – bespreken wat ze zóuden doen. In een simulatie doen ze het ook: de woordvoerder staat echt voor een kritische journalist, het crisisteam krijgt echt tegenstrijdige berichten binnen en de klok tikt echt door.
Beide vormen hebben waarde. De tabletop is laagdrempelig en ideaal om rollen en plannen te verkennen; de simulatie legt bloot of die plannen onder druk standhouden. Wie alleen tabletops doet, oefent het gesprek over de crisis – niet de crisis zelf.
Waarom realisme het verschil maakt
Onder druk verandert gedrag. Besluitvorming versmalt, communicatielijnen raken overbelast en teams vallen terug op wat ze werkelijk beheersen – niet op wat er in het plan staat. Precies daarom stellen internationale normen als ISO 22301 (business continuity management) dat plannen periodiek getest en geoefend moeten worden onder realistische omstandigheden. Ook het Nationaal Cyber Security Centrum benadrukt op zijn oefenpagina dat voorbereiding op een cyberincident staat of valt met regelmatig en serieus oefenen, en organiseert daarvoor zelf de landelijke ISIDOOR-oefeningen met honderden organisaties tegelijk.
Realisme is dus geen luxe maar de kern van het leereffect: een crisissimulatie die niet schuurt, bevestigt vooral wat het team al dacht te weten.
De vijf bouwstenen van een realistische crisissimulatie
Wat maakt dat een crisissimulatie als echt voelt – en dus echt iets leert? In de praktijk zien wij vijf bouwstenen die het verschil maken.
1. Een scenario met diepgang
Een realistisch scenario is geen momentopname maar een verhaallijn die zich ontwikkelt: een ransomware-aanval die begint met één versleutelde server en uitgroeit tot een keten van uitval, mediadruk en juridische vragen. Vooraf uitgewerkte injects – berichten, telefoontjes, social-mediaposts – voeden het team op vaste en op reactieve momenten. Het scenario sluit aan op uw organisatie: uw systemen, uw leveranciers, uw klanten. Generieke scenario’s produceren generieke lessen.
2. Tegenspel dat reageert
Het onderscheidende element van een simulatie is tegenspel: rollenspelers die journalist, verontruste klant, toezichthouder of ketenpartner spelen en reageren op wat het team doet. Neemt het team een verkeerde afslag, dan voelt het daarvan de gevolgen – precies zoals in een echte crisis. Dit dwingt tot echte afwegingen in plaats van theoretische antwoorden.
3. Tijdsdruk en informatieschaarste
In een echte crisis is informatie schaars, tegenstrijdig en verouderd op het moment dat ze binnenkomt. Een goede crisissimulatie bootst dat na: het team moet beslissen terwijl het beeld onvolledig is, en leert omgaan met het ongemak dat daarbij hoort. Wie wacht op volledige informatie, besluit in de praktijk te laat – dat inzicht landt alleen door het te ervaren. Hoe teams dat trainen beschreven we eerder in ons artikel over besluitvorming onder druk.
4. Echte rollen, echte mandaten
Een simulatie test niet alleen personen maar ook de crisisorganisatie: klopt de samenstelling van het crisisteam, zijn plaatsvervangers ingewerkt, en heeft de voorzitter het mandaat om ingrijpende besluiten te nemen? Oefen daarom met de mensen die het in het echt moeten doen – inclusief directie. Een simulatie waarin de werkelijke beslissers ontbreken, oefent de verkeerde organisatie.
5. Observatie, evaluatie en opvolging
Het leereffect ontstaat na afloop. Getrainde observatoren leggen vast waar het team versnelde, aarzelde of vastliep; de evaluatie vertaalt dat naar concrete verbeterpunten voor plannen, rollen en vaardigheden. En minstens zo belangrijk: die punten krijgen een eigenaar en een deadline, zodat de volgende simulatie meetbaar beter verloopt.
Van tabletop naar volledige simulatie: bouw het op
Realistisch oefenen betekent niet dat elke oefening maximaal zwaar moet zijn. Een verstandige opbouw: start met een tabletop-oefening om rollen en plannen te verkennen, vervolg met een deeloefening – bijvoorbeeld alleen de communicatielijn of een wargame met de directie – en werk toe naar een volledige crisissimulatie met tegenspel en tijdsdruk. Zo groeit het team in vertrouwen én blijft elke stap uitdagend genoeg om van te leren.
Crisissimulatie en de Cyberbeveiligingswet
De Cyberbeveiligingswet verplicht organisaties onder meer tot maatregelen voor bedrijfscontinuïteit en incidentrespons. Een letterlijke oefenplicht voor elk bedrijf staat er niet in – maar wie zijn continuïteitsplannen nooit test, kan moeilijk aantonen dat ze werken. Toezichthouders en auditors kijken in de praktijk naar precies dat bewijs: geteste plannen, geoefende teams, gedocumenteerde evaluaties. Een periodieke crisissimulatie is daarmee de meest overtuigende manier om de zorgplicht aantoonbaar in te vullen – en levert tegelijk een crisisteam op dat ook bij niet-digitale crises overeind blijft.
Hoe vaak oefenen – en met wie?
Een bruikbare vuistregel: minimaal jaarlijks een serieuze oefening voor het kerncrisisteam, aangevuld met kortere sessies wanneer het team wisselt, het plan wijzigt of een echt incident nieuwe lessen oplevert. Betrek daarbij periodiek ook ketenpartners en leveranciers – veel continuïteitsrisico’s liggen tegenwoordig buiten de eigen muren. En wissel scenario’s af: wie alleen cyber oefent, wordt verrast door een brand, een stroomuitval of een reputatiecrisis.
Lessen voor de praktijk
Een crisissimulatie is geen examen maar een spiegel: ze laat zien waar uw crisisorganisatie werkelijk staat. Begin klein, bouw op, en zorg dat elke oefening realistischer is dan de vorige – met scenario-diepte, tegenspel en echte tijdsdruk. Bij de Nederlandse Academie voor Crisismanagement ontwikkelen we realistische oefenscenario’s en simulaties op maat van uw organisatie, van eerste tabletop tot volledige simulatie met tegenspel. Wilt u eerst weten waar u staat? Een crisisgereedheid-audit brengt uw uitgangspositie in kaart, en onze crisismanagement training bereidt uw team voor op de volgende stap. Want de eerste keer dat uw crisisteam onder echte druk staat, mag niet de eerste echte crisis zijn.
In het kort
- Een crisissimulatie onderscheidt zich van een tabletop of gewone crisisoefening door realisme: tijdsdruk, tegenspel en een scenario dat reageert op de besluiten van het team.
- De vijf bouwstenen van realistisch oefenen: scenario-diepte, reagerend tegenspel, informatieschaarste, echte rollen en mandaten, en een scherpe evaluatie met opvolging.
- Bouw op van tabletop via deeloefeningen naar een volledige crisissimulatie – elke stap uitdagend, geen stap te groot.
- De Cyberbeveiligingswet (vanaf 15 augustus 2026) kent geen letterlijke oefenplicht, maar aantoonbaar geteste continuïteitsplannen zijn in de praktijk de norm.
- Oefen minimaal jaarlijks met het kernteam, wissel scenario’s af en betrek periodiek directie en ketenpartners.
Veelgestelde vragen over crisissimulaties
Wat is het verschil tussen een tabletop oefening en een crisissimulatie?
In een tabletop oefening bespreekt het crisisteam rond de tafel wat het zou doen in een scenario. In een crisissimulatie doorleeft het team het scenario echt: met tijdsdruk, tegenspel van rollenspelers en injects die reageren op de genomen besluiten. De tabletop verkent het plan; de simulatie test of het plan onder druk standhoudt.
Hoe vaak moet een crisisteam oefenen?
Een goede vuistregel is minimaal één serieuze oefening per jaar voor het kerncrisisteam, aangevuld met kortere sessies bij teamwisselingen, planwijzigingen of na een echt incident. Normen als ISO 22301 vragen om periodiek testen en oefenen van continuïteitsplannen, zonder een vaste frequentie voor te schrijven.
Is een crisisoefening verplicht onder de Cyberbeveiligingswet (NIS2)?
De Cyberbeveiligingswet, die op 15 augustus 2026 in werking treedt, bevat geen letterlijke oefenplicht, maar verplicht wel tot maatregelen voor bedrijfscontinuïteit en incidentrespons. In de praktijk verwachten toezichthouders en auditors bewijs dat plannen getest zijn – en dat bewijs levert u het overtuigendst met geoefende teams en gedocumenteerde evaluaties van crisissimulaties.
Hoe selecteert u een goed crisissimulatiebureau?
Let op scenario’s die op maat van uw organisatie worden ontwikkeld in plaats van generieke draaiboeken, ervaren rollenspelers voor realistisch tegenspel, getrainde observatoren, een gestructureerde evaluatie met concrete verbeterpunten – en een opbouwpad van tabletop naar volledige simulatie in plaats van een eenmalig event.
Wat kost een crisissimulatie?
De kosten hangen af van de scenario-ontwikkeling op maat, het aantal deelnemers en rollenspelers, de duur van de oefening en de diepgang van observatie en evaluatie. Een compacte tabletop vraagt een beperkte investering; een volledige simulatie met tegenspel en ketenpartners is een groter traject. Serieuze aanbieders maken de opbouw van de kosten vooraf transparant.