CCRC

"Wie houdt het logboek bij?" De vraag valt in een zaal met de hele organisatie van SIDN tijdens hun Kickstart, het jaarlijkse moment waarop alle collega's bij elkaar komen om vooruit te blikken op de strategie. 🔸 Wij namen het team mee in een security game met drie rondes. Realistisch scenario, gezonde tijdsdruk, een competitie-element. Teams moesten beslissen onder onzekerheid, communicatielijnen neerzetten en uitleggen waarom ze welke keuze maakten. En er werd gelachen. Veel. Wat eruit kwam, was niet alleen energie. Het waren concrete inzichten: vaste communicatiemomenten houden de chaos beheersbaar, loggen tijdens de crisis is geen administratieve bijzaak, en taakverdeling moet glashelder zijn voor er druk op komt te staan. 🔗 Lees de volledige klantcase via deze link: https://lnkd.in/dPQVf9PX

Als er geen wetgeving zou bestaan voor brandoefeningen, hoeveel organisaties zouden die dan nog jaarlijks organiseren? Ik denk: een stuk minder. Ondernemers moeten continu keuzes maken over tijd, geld en prioriteiten. Er zijn immers altijd investeringen die vandaag meer opleveren dan je voorbereiden op een crisis die zich misschien nooit voordoet. En eerlijk gezegd begrijp ik dat ook. Maar juist daarom moest ik laatst denken aan de verplichting om regelmatig een brandoefening te organiseren. 👉 Stel dat die verplichting morgen zou verdwijnen. Hoeveel organisaties zouden dan uit zichzelf blijven investeren in ontruimingsoefeningen, het trainen van BHV'ers en het regelmatig oefenen van crisissituaties? Met cybercrisissimulaties zitten we precies op dat punt. 💡 Wetgeving zoals NIS2 helpt organisaties om cyberweerbaarheid structureel op de agenda te zetten. En dat is een goede ontwikkeling. Toch zou ik liever zien dat organisaties investeren in cybercrisisoefeningen omdat ze overtuigd zijn van de waarde ervan. Niet alleen omdat de wet het voorschrijft. Anders gezegd: ik omarm NIS2, maar het is jammer dat het nodig is om die attentiewaarde te verkrijgen. Ik ben blij dat wetgeving zoals NIS2 organisaties stimuleert om o.a. te oefenen. Maar ik hoop dat we ooit op een punt komen waarop een cybercrisissimulatie net zo vanzelfsprekend is als een jaarlijkse brandoefening. Is NIS2 binnen jouw organisatie vooral een compliance-opgave? Of heeft het de manier waarop jullie naar cyberweerbaarheid én cybercrisisoefeningen kijken écht veranderd?

In de eerste uren van een ransomware-aanval kijkt iedereen naar de CISO. Een paar uur later kijkt iedereen naar HR (waar zijn onze mensen?), naar communicatie (wat zeggen we naar buiten?), naar legal (welke meldplicht?), naar finance (wat kost dit per uur stilstand?) en naar logistiek (hoe leveren we vandaag uit?). ➡️ Het is dezelfde crisis. Maar de bottleneck verschuift elk uur. En wie dat niet weet, blijft hangen in de eerste fase totdat het te laat is voor de andere fases. De vraag is niet alleen of IT klaar is. De vraag is of al die andere afdelingen weten dat zij straks aan de beurt zijn en hoe ze de vragen op gaan vangen.

Bij de Rabobank zag ik hoe een uitstekend voorbereide crisisorganisatie ineens onzeker werd zodra het woord *cyber* viel. Die reactie bleek achteraf volledig onterecht. Toen ik destijds betrokken was bij cybercrisisoefeningen, merkte ik iets opvallends. De bestaande crisisorganisatie was uitstekend voorbereid op "klassieke" crises. Maar een cybercrisis? Dan veranderde de sfeer. Ineens leek alles anders: complexer, technischer, "iets voor de IT-afdeling". Terwijl de werkelijkheid veel eenvoudiger bleek. 👉 Een cybercrisis is op strategisch en tactisch niveau helemaal niet zo anders dan iedere andere crisis. Sterker nog: cybercrisismanagement is veel minder bijzonder dan we vaak denken. Natuurlijk heeft een cyberincident zijn eigen kenmerken. Maar de vragen waar een crisisteam mee worstelt, zijn heel vergelijkbaar met andere typen incidenten. ▪️Wat is er aan de hand? ▪️Welke impact heeft dit op onze organisatie? ▪️Wie informeren we? ▪️Welke keuzes moeten we nú maken? ▪️Hoe houden we de regie? Bij de Rabobank hebben we daarom niet een compleet nieuwe crisisorganisatie gebouwd. We hebben de bestaande crisisorganisatie geholpen om cyber beter te begrijpen. De reactie toen dat eenmaal gerealiseerd was: "Het valt eigenlijk best mee." Dat klinkt misschien wat ongenuanceerd, maar er zit een belangrijke les in. 👉 Veel organisaties denken dat ze voor cyber helemaal opnieuw moeten beginnen. Mijn ervaring is juist dat de basis er vaak al is. Je hoeft die basis alleen uit te breiden met de specifieke dilemma's die een cybercrisis met zich meebrengt. Dat inzicht is uiteindelijk ook één van de belangrijkste redenen geweest om CCRC op te richten. We willen organisaties laten ervaren dat de stap naar cyberweerbaarheid vaak veel kleiner is dan ze vooraf denken. Ik ben benieuwd hoe dat binnen jouw organisatie is. Wordt een cybercrisis nog gezien als iets fundamenteel anders dan een "gewone" crisis? Of zijn die twee werelden inmiddels samengebracht?

We trainen elk jaar honderden bestuurders, CISO's en crisisteams. Van ziekenhuizen tot woningcorporaties, van brancheverenigingen tot universiteiten. ◾ Wat is het grootste probleem? Iemand moet beslissen, iemand moet bellen, iemand moet het naar buiten brengen. En precies dan kijkt iedereen aan tafel naar dezelfde drie mensen, en die drie mensen kijken naar elkaar. Dat is geen kennisprobleem en ook geen toolprobleem. Het is een rolprobleem en het lost zich niet op door er nóg een document aan toe te voegen. ✔️ Wat het wel doet: oefenen. Niet één keer, maar tot je team onder druk weet wat het moet doen zonder eerst rond te kijken. Daar zijn wij voor.

Hou je crisisteam klein, maar zorg dat communicatie vanaf minuut één aan tafel zit. Het klinkt als een detail. Maar mijn ervaring is dat het één van de belangrijkste succesfactoren is tijdens een crisis. Na honderden crisisoefeningen in verschillende sectoren zie ik telkens hetzelfde patroon. Zodra de druk toeneemt, groeit het crisisteam vanzelf. Er schuiven steeds meer mensen aan, omdat iedereen iets belangrijks wil inbrengen. Logisch. Maar niet verstandig. 👉 Een crisisteam is er niet om ieder inhoudelijk probleem op te lossen. Een crisisteam is er om besluiten te nemen. Daarom geloof ik in een klein, slagvaardig crisisteam. De inhoud organiseer je eromheen. Laat experts onderzoeken, analyseren en scenario's uitwerken. Maar houd de groep die de knopen doorhakt zo compact mogelijk. Er is echter één uitzondering: communicatie. Die moet vanaf het eerste moment aan tafel zitten. Nog te vaak zie ik dat communicatie pas wordt aangehaakt als er een persbericht, e-mail of klantupdate moet worden geschreven. Daarmee maak je de communicatieprofessional uitvoerder, terwijl die juist een strategische rol heeft. 💡 Een goede communicatieadviseur denkt niet alleen na over *wat* je communiceert, maar vooral over *wanneer*, *naar wie* en *welke impact* een boodschap heeft op klanten, medewerkers, leveranciers en de buitenwereld. Dat perspectief wil je niet pas achteraf toevoegen. Mijn stelling is daarom simpel: houd je crisisteam klein. Maar zorg dat communicatie vanaf minuut één een vaste stoel aan tafel heeft. Hoe is dat binnen jouw organisatie geregeld? Schuift communicatie direct aan bij een crisis, of pas wanneer de eerste boodschap de deur uit moet?