De weerbaarheidsparadox: wanen organisaties zich onterecht veilig?
Wie voor een Nederlandse organisatie van enig formaat werkt, maakt het ongetwijfeld regelmatig mee: de periodieke brandoefening. Dat is ook niet zo gek, want die oefening is wettelijk verplicht. Je kan de mooiste sprinklers installeren, overal blussers en blusdekens ophangen en de hele organisatie BHV-certificeren – één keer per jaar zul je toch echt de knop moeten indrukken voor de brandoefening. Logisch: je wilt weten of de ontruiming die je op papier hebt bedacht, in de praktijk ook zo vlekkeloos verloopt.
Branden in grote bedrijfspanden zijn gelukkig tamelijk zeldzaam. Cyberdreigingen zijn dat niet. Toch oefent 22 procent van de voor
Paraatheid is óók oefendiscipline
Het verschil tussen het aantal organisaties dat zich voorbereid voelt en het aantal organisaties dat het met testresultaten kan aantonen, is wat experts inmiddels de weerbaarheidsparadox noemen. Die paradox bestaat eruit dat het gevoel van digitale paraatheid vele malen groter is dan de oefendiscipline. Dat terwijl het oefenen van je incidentrespons nu juist deel uitmaakt van die paraatheid.
“We willen eigenlijk heel Nederland aan het oefenen krijgen”, zegt cyberweerbaarheidsexpert Kelvin Rorive over het belang van oefenen. Met zijn stichting CCRC verzorgt hij cybercrisissimulaties bij overheden en bedrijven, zodat zij kunnen testen of de door hen gepercipieerde paraatheid ook daadwerkelijk standhoudt onder druk. “Iedereen zegt: onze back-ups zijn op orde. Tot ze tijdens een simulatie merken dat ook die back-ups besmet zijn. Dat moment van besef, dat is goud waard.”
‘Oefenen maakt het onzichtbare zichtbaar’
Simulaties en oefeningen leggen op die manier knelpunten en problemen bloot die vooraf niet zijn voorzien. Dat is geen onkunde van de CISO of het security-team, maar simpelweg de realiteit waarmee je als organisatie te maken hebt. Zoals een loodgieter pas zeker weet dat alle leidingen correct zijn aangesloten nadat hij het water erop zet, weet je als organisatie pas zeker dat je goed bent voorbereid nadat je het een keer hebt doorleefd.
“Je wilt niet tijdens een incident ontdekken dat processen niet goed op elkaar aansluiten”, zegt Michel Gulpen, CISO bij het Zuyderland ziekenhuis over zijn ervaringen met crisissimulaties. “Als er een cybercrisis is en we liggen plat, dan geeft dat een zorginfarct in de regio. We hebben een verzorgingsgebied van ongeveer 500.000 inwoners. Als wij eruit liggen, is het volgende station Venlo of Maastricht.” Afwachten tot er daadwerkelijk een incident plaatsvindt en dán pas voor het eerst je crisismanagement testen, dat is dus geen optie. De potentiële schade – niet alleen voor het ziekenhuis, maar in de gehele lokale samenleving – is simpelweg te groot. Michel: “Oefenen maakt zichtbaar wat in de dagelijkse praktijk onzichtbaar blijft.”
De kloof dichten: investeringen in incidentrespons
Het belang van crisissimulatie groeit gelukkig, constateert Kelvin bij CCRC, maar is nog lang niet waar het zou moeten zijn. Dat blijkt ook wel uit de cijfers. Het verschilt wat per sector, maar in de meeste branches scoren crisismanagement en incidentrespons relatief laag als investeringsgebied. Alleen in de zorgsector staat het in de top-5 investeringen. Saillant detail is dat ook bij organisaties die zelf het belang van crisisoefeningen onderschrijven, daadwerkelijke investeringen in het professionaliseren en borgen ervan achterblijven.
Dat voor goede oefeningen en simulaties investeringen en voorbereiding nodig zijn, komt doordat een cyberincident zelden binnen de muren van één organisatie blijft. Binnen zo’n simulatie wil je dus eigenlijk ook de ketenimpact meenemen. Om terug te komen op de vergelijking met de brandoefening: die heeft pas zin als je ‘m in je hele pand uitvoert, in plaats van op één afdeling.
Gaten in de weerbaarheid
Zo’n ketenbrede simulatie heeft zin, al vanaf de allereerste keer, zeggen organisaties die ermee werken. Zo ontdekten de meeste organisaties die structureel oefenen met cyberincidenten al bij het eerste scenario gaten in hun weerbaarheid: besmette back-ups, escalatielijnen die niet of onvolledig werden opgevolgd of leveranciers die niet wisten hoe ze moesten reageren. Soms zijn die gaten verrassend praktisch van aard: een prio 1 die bij bedrijf A het hoogste niveau betekent, maar bij bedrijf B juist het laagste niveau. Zulke spraakverwarringen kunnen tijdens een echt incident tot onnodige vertraging en onduidelijkheid leiden, maar komen direct aan de oppervlakte tijdens een serieuze test.
Mischa van Geelen, die onder meer de beruchte cyberincidenten bij gemeenten Hof van Twente en Lochem onderzocht, ziet in de praktijk dikwijls dat zulke praktische zaken bloot komen te liggen tijdens simulaties. “Ik heb situaties meegemaakt waarin een bedrijf 24/7 monitoring heeft ingekocht, maar na 17.00 uur neemt niemand meer op”, vertelt de cybersecurity-expert. “De telefoon staat roodgloeiend, er zijn allemaal meldingen, maar niemand kan acteren.” Je kan je dan veilig wanen omdat je op papier 24/7 monitoring hebt, maar als het in de praktijk anders uitpakt dan op papier, is dat veilige gevoel onterecht.
Vals veiligheidsgevoel voorkomen
Het valse gevoel van veiligheid is helaas een hardnekkig fenomeen, zo blijkt wel uit de onderzoeksresultaten van Cyberweerbaar Nederland 2026. Het merendeel van de organisaties voelt zich veilig, maar gecombineerd met de constatering dat de meeste organisaties niet structureel oefenen – en deel significant deel zelfs nooit oefent – moet de kille conclusie luiden dat die zelfverzekerdheid bij de meeste organisaties ongetoetst is.
Je krijgt pas je diploma als je de toets hebt doorstaan, je bent pas officieel brandveilig als je je brandoefening hebt uitgevoerd, en je bent pas cyberweerbaar als je je incidentrespons gedegen hebt getest. Althans, zo zou het volgens security-experts moeten zijn. Voor een beter cyberweerbaar Nederland moet de kloof tussen gepercipieerde en aantoonbare paraatheid dicht en moet de weerbaarheidsparadox uit de wereld worden geholpen. Daarvoor moeten organisaties serieus investeren in crisissimulaties en beleidsoefeningen, liefst ketenoverstijgend. Want je weet pas hoe goed je ergens in bent als je het een keer hebt gedaan.
