Cyber crisis oefening: van IT-incident naar directiebesluit

Een cyberaanval raakt de omzet van Nederlandse bedrijven vaak al binnen 24 uur. Toch beschouwt volgens onderzoek 54 procent van de bestuurders cybersecurity nog altijd vooral als een technisch probleem in plaats van een verantwoordelijkheid van de directie. Precies daar wringt het: als de systemen platliggen, is de eerste vraag niet „hoe zijn ze binnengekomen?”, maar „wie beslist wat, en nu?”. Een cyber crisis oefening zet die vraag centraal — ze vertaalt een IT-incident naar een directiebesluit, onder tijdsdruk en met onvolledige informatie.

Wat is een cyber crisis oefening?

Een cyber crisis oefening is een gesimuleerde cyberincident waarin het crisisteam en de directie een realistisch scenario doorlopen — zonder dat er echte systemen worden aangetast. Anders dan een technische test (zoals een penetratietest) draait het niet om de techniek, maar om besluitvorming, communicatie en samenwerking: wie roept het crisisteam bijeen, wanneer worden klanten en toezichthouder geïnformeerd, wie besluit om systemen offline te halen, en hoe communiceert u als de e-mail zelf is uitgevallen?

De deelnemers komen uit alle relevante hoeken: directie, IT en security, juridische zaken en privacy, communicatie en — afhankelijk van het scenario — externe partijen zoals een incident-responsedienst of verzekeraar. Een oefenleider begeleidt het scenario, voegt gaandeweg nieuwe informatie toe en legt besluiten en openstaande punten vast. Aan het eind is er geen winst of verlies, maar een eerlijke nulmeting van uw paraatheid.

Waarom cyber een directiekwestie is

De tijd dat een cyberincident „iets voor IT” was, is voorbij. Het Cybersecuritybeeld Nederland 2025 spreekt van een riskante mix van dreigingen in een onvoorspelbare wereld, en de impact is allang niet meer alleen technisch: reputatie, continuïteit, juridische aansprakelijkheid en klantvertrouwen staan direct op het spel. Incidenten in 2025 lieten dat zien — van een cyberaanval die de systemen van de TU Eindhoven een week platlegde tot herhaalde DDoS-verstoringen bij onderwijsinstellingen en ziekenhuizen.

Ook de wetgeving verschuift de verantwoordelijkheid naar boven. Met de Cyberbeveiligingswet — de Nederlandse uitwerking van de Europese NIS2-richtlijn, die op 15 augustus 2026 in werking treedt — krijgt het bestuur expliciete plichten. De Rijksinspectie Digitale Infrastructuur vat het scherp samen: het bestuur moet de beveiligingsmaatregelen goedkeuren, toezien op de uitvoering én zelf verplichte training volgen. Belangrijk om te nuchter te duiden: NIS2 schrijft geen specifieke oefenvorm voor, maar vraagt wél om aantoonbaar en effectief risico- en crisismanagement — en een gedocumenteerde cyber crisis oefening is daarvan een solide bouwsteen.

Wie hoort er aan tafel?

De kwaliteit van een oefening valt of staat met de deelnemers. Een cyberincident is een organisatiebrede crisis, dus horen er meer dan alleen IT-mensen aan tafel. Beproefd is een kern van vijf perspectieven: de directie beslist over principiële vragen — zoals opschaling of een eventuele losgeldbetaling — en draagt de verantwoordelijkheid naar buiten. IT en security leveren het technische beeld en sturen het herstel. Juridische zaken en privacy wegen meld- en informatieplichten, bijvoorbeeld richting toezichthouder en betrokkenen. Communicatie stuurt de boodschappen aan klanten, medewerkers en pers. En afhankelijk van het scenario sluiten externe partijen aan: een incident-responsedienst, cyberverzekeraar of opsporingsinstantie.

Dat de eigenaarschap in veel organisaties versnipperd is, maakt oefenen extra waardevol: bij 30 procent van de organisaties ligt cyberveiligheid bij de CEO, bij 22 procent bij de CISO en bij 31 procent bij de CIO. Een oefening dwingt die rollen om vooraf helder te maken wie waarover beslist — in plaats van dat pas in de hitte van het incident uit te vechten.

Van IT-incident naar directiebesluit: de BOB-methodiek

Hoe komt u in een crisis van chaos naar een gedragen besluit? De Nederlandse crisispraktijk gebruikt daarvoor de BOB-methodiek: van Beeldvorming (wat weten we, wat is de situatie?) via Oordeelsvorming (wat betekent dit, welke opties hebben we?) naar Besluitvorming (wat besluiten we, wie voert uit?). Het crisisboekje van het Digital Trust Center adviseert deze structuur en het bijhouden van een logboek waarin besluiten en acties worden vastgelegd.

Een cyber crisis oefening traint precies deze overgang. De directie leert de vertaalslag te maken van een technisch beeld („een deel van onze servers is versleuteld”) naar een bestuurlijk besluit („we schalen op, informeren de toezichthouder binnen de meldtermijn en houden productie draaiend via het uitwijkscenario”). Die vertaalslag is geen vanzelfsprekendheid — het is een vaardigheid die u kunt oefenen.

Zo ziet een cyber crisis oefening eruit

1. Voorbereiding en doelbepaling

Voordat het scenario begint, bepaalt het oefenteam de doelen: test u het meldproces, de samenwerking tussen IT en directie, of de beslissing over losgeld? Ook deelnemers, rollen en spelregels worden vastgelegd. Een goed scenario sluit aan bij uw sector en is realistisch, maar niet overladen.

2. Het scenario en de injects

Het scenario start meestal met een eerste melding en wordt gaandeweg aangevuld met nieuwe informatie — de zogeheten injects: klantgegevens blijken gelekt, de pers belt, een tweede vestiging is geraakt. Deze injects dwingen de directie om onder onvolledige informatie te beslissen en prioriteiten opnieuw te wegen.

3. Uitvoering en vastlegging

Tijdens de twee tot vier uur durende oefening werkt het team het scenario af, met een notulist die besluiten, afwegingen en openstaande vragen vastlegt. Een open foutencultuur is cruciaal: de oefening is een veilige ruimte waarin onzekerheden zichtbaar mogen worden, zonder gevolgen voor individuen.

4. Evaluatie en verbeterplan

De echte waarde ontstaat in de nabespreking. Wat ging goed, waar liep het vast, welke documenten ontbraken? Uit de bevindingen volgt een concreet verbeterplan met verantwoordelijken en deadlines. Pas die stap maakt van een oefening een verbetering — en levert meteen het bewijs dat er geoefend is.

Tabletop of volledige oefening?

Een cyber crisis oefening kent verschillende vormen en laat zich goed opbouwen. De lichtste variant is de tabletop: discussiegericht, aan tafel, zonder technische infrastructuur en met beperkte inspanning te organiseren. Onze ransomware tabletop-oefening is daar een voorbeeld van. Daarop bouwen zwaardere formats voort die de reactie realistischer beproeven: een oefening met live-elementen betrekt echte communicatiekanalen en tijdsdruk, terwijl een volledige simulatie hele processen onder bijna-echte omstandigheden doorspeelt. Verstandig is een opbouwend oefenprogramma: eerst de basis aan tafel verstevigen, daarna de realiteitsgraad stap voor stap verhogen.

De rol van ISO 22301 en de Cyberbeveiligingswet

Oefenen is geen luxe, maar in veel kaders vastgelegd. ISO 22301, de internationale norm voor bedrijfscontinuïteitsmanagement, vraagt in hoofdstuk 8.5 expliciet om een oefen- en testprogramma: continuïteitsplannen moeten periodiek worden beproefd om hun werking aan te tonen. Een cyber crisis oefening is daarvoor een beproefd en toegankelijk format. In combinatie met de zorgplicht uit de Cyberbeveiligingswet ontstaat zo een aantoonbare, herhaalbare aanpak — geen los document, maar een werkend instrument.

Veelgemaakte fouten — en hoe u ze voorkomt

• Alleen IT oefent. Een cybercrisis is een organisatiecrisis. Zonder directie, juridische zaken en communicatie blijft de oefening onvolledig.
• Het scenario is te makkelijk. Zonder stevige injects — datalek, persvragen, tijdsdruk — bevestigt de oefening alleen wat u al wist.
• Geen nabespreking. Wie geen verbeterplan opstelt, laat de belangrijkste waarde liggen.
• Eenmalig in plaats van herhaald. Mensen en processen veranderen; een één keer beproefd plan veroudert snel. Oefen minimaal jaarlijks.

Lessen voor de directie

De cijfers laten weinig ruimte: cyberaanvallen raken continuïteit en omzet snel, en met de Cyberbeveiligingswet wordt het bestuur er expliciet op aangesproken. Een cyber crisis oefening is de goedkoopste manier om te toetsen of uw directie het aankan — vóórdat een aanvaller die toets afneemt. Ze schept duidelijkheid over rollen en escalatielijnen, legt hiaten in plannen en contactlijsten bloot en vertaalt een abstract risico naar concreet handelen.

Begin klein: een realistisch scenario, de juiste mensen aan tafel, een ervaren oefenleider en een eerlijke evaluatie. Wie regelmatig oefent, verandert een crisisplan in echte handelingsbekwaamheid — en juist dat bepaalt in de eerste uren van een aanval het verschil tussen schade en beheersbaarheid. Met realistische oefenscenario’s en simulaties zet u die stap gestructureerd en op maat van uw organisatie.