Cyberbeveiliging is geen IT-dossier meer

Het is maandagochtend, 08.43 uur. Medewerkers kunnen niet meer inloggen, de dienstverlening valt stil en op beeldschermen verschijnt een losgeldbericht. IT-specialisten onderzoeken de aanval, maar de organisatie kijkt naar het bestuur. Welke diensten krijgen prioriteit? Wie informeert klanten en medewerkers? Wanneer kunnen systemen weer veilig worden gebruikt?

Dit scenario laat zien waarom wij cyberbeveiliging als een bestuurlijk vraagstuk benaderen. De beslissingen gaan over continuïteit, communicatie, financiën en maatschappelijke belangen. Als bestuurder moet je richting geven, terwijl de informatie nog onvolledig is.

De Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn, maakt die verantwoordelijkheid expliciet. Voor ons is de belangrijkste boodschap: zorg dat je begrijpt welke digitale risico’s je organisatie loopt en welke keuzes daarbij van jou worden gevraagd.

Digitale afhankelijkheid vraagt om bestuurlijke aandacht

Digitale processen zijn verweven met vrijwel alles wat organisaties doen. Zorgverleners hebben patiëntendossiers nodig, gemeenten gebruiken gekoppelde informatiesystemen en productiebedrijven draaien op geautomatiseerde processen. Daardoor kan een storing bij één leverancier een hele keten raken. Een gestolen account kan toegang geven tot vertrouwelijke informatie. De gevolgen beperken zich zelden tot systemen: ook dienstverlening en vertrouwen staan op het spel.

Vanuit onze verschillende vakgebieden, cybersecurity en gedragswetenschap, kijken wij naar dezelfde opgave. Hoe verbind je technologie, processen en menselijk gedrag zo dat een organisatie weerbaarder wordt? Dat vraagt om samenhang en om een bestuur dat betrokken blijft.

Begrijpen waarvoor je verantwoordelijk bent

De Cyberbeveiligingswet brengt voor organisaties onder meer een registratieplicht, zorgplicht en meldplicht mee. Zij moeten cyberrisico’s beoordelen, passende maatregelen treffen en significante incidenten melden. 

Bestuurders moeten maatregelen goedkeuren en toezien op de uitvoering. Voor uitvoerende bestuurders geldt daarnaast een trainingsplicht, zodat zij voldoende kennis en vaardigheden ontwikkelen om cyberrisico’s en beveiligingsmaatregelen te begrijpen en beoordelen. Je hoeft daarvoor geen technisch specialist te worden. Wel moet je kunnen doorvragen. Welke processen mogen niet langdurig uitvallen? Van welke leveranciers zijn we afhankelijk? Welke risico’s accepteren we, en waarom? Wie beslist tijdens een crisis?

Dat zijn vragen die je samen met je CIO, CISO en andere deskundigen bespreekt. Hun expertise is onmisbaar, maar neemt jouw bestuurlijke verantwoordelijkheid niet over.

Een groen dashboard vertelt niet het hele verhaal

Rapportages kunnen helpen, maar cijfers krijgen pas betekenis als je ze verbindt aan de organisatie. Stel dat vrijwel alle kritieke updates zijn uitgevoerd. Dat klinkt geruststellend. Maar hoort die ene ontbrekende update bij een systeem waarvan de hele dienstverlening afhankelijk is? Hetzelfde geldt voor trainingen. Dat medewerkers een bewustwordingsmodule hebben afgerond, betekent nog niet dat zij tijdens een aanval veilig handelen.

Wij vinden daarom dat een bestuursrapportage vooral het gesprek moet ondersteunen. Welk risico wordt daadwerkelijk kleiner? Waar blijven kwetsbaarheden bestaan? Welke onzekerheden vragen om een besluit? Daarbij moet slecht nieuws welkom zijn. Als medewerkers fouten of kwetsbaarheden niet durven melden, krijgt het bestuur een onvolledig beeld. Openheid is daarmee een voorwaarde voor digitale weerbaarheid.

Maak veilig gedrag mogelijk

Bij cyberincidenten krijgt de medewerker die op een verkeerde link klikt vaak veel aandacht. Wij vinden dat een te beperkte blik. Aanvallers spelen gericht in op tijdsdruk, vertrouwen en gezagsverhoudingen. Bovendien beïnvloedt de werkomgeving hoe mensen handelen.

Als procedures onduidelijk zijn, beveiliging het werk belemmert of verdachte situaties moeilijk te melden zijn, helpt een extra training maar beperkt. De vraag is daarom ook: maakt de organisatie veilig gedrag voldoende mogelijk? Als bestuurder kun je daarop sturen. Vraag of procedures werkbaar zijn, hoe medewerkers ondersteuning krijgen en of wordt onderzocht welke maatregelen effect hebben. Een interventie die logisch klinkt, werkt niet automatisch in de praktijk.

Technische beveiliging en aandacht voor gedrag moeten elkaar versterken. Juist op het raakvlak ontstaan vragen die bestuurlijke aandacht verdienen.

Oefen voordat de druk oploopt

Tijdens een cybercrisis botsen belangen. Technische teams willen zorgvuldig onderzoeken, terwijl de organisatie snel verder wil. Ondertussen verwachten medewerkers, klanten en partners duidelijkheid. 

Een crisisplan helpt, maar op papier wordt niet zichtbaar hoe je onder druk samenwerkt. Daarom hechten wij veel waarde aan oefenen. In een simulatie ervaar je wat onvolledige informatie en tegenstrijdige adviezen met besluitvorming doen. Wanneer hervat je de dienstverlening? Welke risico’s zijn daarbij aanvaardbaar? Wat communiceer je als je nog niet weet hoe groot de schade is?

Door zulke dilemma’s vooraf te bespreken, ontdek je waar verantwoordelijkheden onduidelijk zijn en afspraken ontbreken. Dat levert aanknopingspunten op om de voorbereiding te verbeteren.

Van verplichting naar bewuste keuzes

De wet kan aanleiding zijn om documenten bij te werken en trainingen te organiseren. Wij hopen vooral dat zij het bestuurlijke gesprek over cyberrisico’s verdiept.

Begin met drie vragen: welke digitale risico’s bedreigen onze belangrijkste diensten, hoe weten we dat onze maatregelen werken en zijn we voorbereid om tijdens een crisis richting te geven?

Je hoeft niet overal direct een sluitend antwoord op te hebben. Wel moet je bereid zijn onzekerheden te onderzoeken en keuzes te maken. Absolute veiligheid bestaat niet. Goed bestuur betekent dat je risico’s bewust afweegt en je organisatie voorbereidt op verstoring en herstel.

Dat is ook ons uitgangspunt in de tweedaagse Masterclass Cyberbeveiligingswet voor Bestuurders aan de Universiteit Twente. We verbinden cyberdreigingen, gedrag, governance en crisisbesluitvorming met de eigen organisatie van deelnemers. Met een cybercrisissimulatie en een bestuurlijk actieplan vertalen we kennis naar concrete stappen.

Want digitale weerbaarheid begint voor ons bij bestuurders die hun verantwoordelijkheid begrijpen en daar dagelijks naar handelen.

Auteurs kennisbijdrage: Jeroen van der Ham-de Vos en Jan-Willem Bullee.