In oktober was het weer Cybersecuritymaand. Een maand vol waarschuwingen, checklists, webinars en nieuwe oplossingen. Allemaal nuttig. Maar als we één ding uit deze maand willen meenemen, dan is het dat digitale weerbaarheid niet begint met de vraag welke tool je nog mist.

Toch merken we dat veel organisaties precies daar naar een snelle oplossing zoeken. Welke checklist moeten we doorlopen? Welke maatregelen moeten we nemen om compliant te zijn? Welke software moeten we aanschaffen? Begrijpelijke vragen, maar niet de beste manier om mee te beginnen. Want je kunt een lange lijst afvinken (denk aan de Annex A van de ISO 27001) en nog steeds onvoldoende voorbereid zijn op de risico’s die voor jouw organisatie echt belangrijk zijn.

Begin niet bij de maatregel, maar bij het risico

Een beter gesprek begint met andere vragen. Welke processen moeten altijd kunnen doorgaan? Van welke informatie, systemen, medewerkers en leveranciers zijn die processen afhankelijk? Wat kan er misgaan, wat is daarvan de impact en welk risico willen we wel of niet accepteren? Dat noemen we risicomanagement. Dat klinkt al snel als iets voor grote ondernemingen, dikke rapporten en gespecialiseerde afdelingen. In de praktijk kan het juist heel nuchter en overzichtelijk zijn.

In deze cybersecuritymaand werkten we tijdens een workshop met een brancheorganisatie niet vanuit een vooraf ingevulde beveiligingschecklist. We begonnen bij de belangrijkste processen en afhankelijkheden. Een aantal afhankelijkheden waren helemaal niet technisch. En de oplossing dus ook niet.  Een van de deelnemers vroeg dan ook terecht: “wat heeft dit nou met cybersecurity te maken?” En dat was eigenlijk precies het punt wat ik wilde maken die middag: cybersecurity staat ten dienste van informatiebeveiliging en bedrijfscontinuïteit, niet andersom.

Wat heeft dit nou met cybersecurity te maken?

Vervolgens onderzochten we welke verstoringen daar kunnen optreden en wat de gevolgen voor de organisatie zouden zijn. Pas daarna kwamen mogelijke maatregelen aan bod. Niet omdat een norm zegt dat iets moet, maar omdat de organisatie bewust kiest hoe zij met een risico wil omgaan. Soms wil je een risico verkleinen. Soms kun je het overdragen of vermijden. En soms accepteer je het, omdat aanvullende maatregelen niet in verhouding staan tot de mogelijke schade. Ook dát is risicomanagement.

Je hebt geen ISO-certificaat nodig om structureel te verbeteren

Wie de digitale weerbaarheid wil verhogen, hoeft niet direct een ISO 27001-certificeringstraject te starten. Liever niet. Want hoewel zo’n certificering kan zijn, is dat echt niet voor iedere organisatie meteen nodig of passend. Je kunt ook prima zonder externe audit beginnen met een praktisch systeem voor informatiebeveiliging. Noem het een veiligheidsaanpak, een verbetercyclus of simpelweg vaste afspraken om digitale risico’s te beheersen. De naam is minder belangrijk dan de werkwijze.

Die werkwijze kan best overzichtelijk zijn. Bijvoorbeeld:

  1. Begrijp de organisatie en haar omgeving.
  2. Bepaal welke processen, informatie en bedrijfsmiddelen belangrijk zijn.
  3. Breng kwetsbaarheden en risico’s in beeld.
  4. Kies passende maatregelen.
  5. Voer ze uit en controleer of ze werken.
  6. Verbeter waar dat nodig is.

Daarmee breng je de bekende Plan-Do-Check-Act-cyclus (PDCA) op gang, zonder dat certificering het doel hoeft te zijn. Het doel is namelijk dat je bewustere keuzes maakt, maatregelen toetst en blijft leren.

Digitale verstoringen raken de gewone bedrijfsvoering

Deze oktober 2026 maakte opnieuw duidelijk dat digitale risico’s niet alleen een onderwerp voor grote technologiebedrijven zijn. De kritieke kwetsbaarheden in PHP hadden mogelijk gevolgen voor een enorme variatie aan websites, webwinkels, applicaties en apparaten. Daarmee kwam hetzelfde vraagstuk terecht bij grote overheidsorganisaties én bij kleinere ondernemingen met een website of webshop.

Ook het cybersecurity-incident bij Albert Heijn liet zien hoe een digitale verstoring doorwerkt in de bedrijfsvoering. Winkels en onderdelen van de bevoorrading konden doorgaan, maar online bestellen, thuisbezorging, klantenservice en logistieke processen werden wel geraakt. Eén verstoring raakt daardoor niet één systeem, maar een keten van processen, leveranciers, medewerkers en klanten.

Dat soort incidenten kunnen we niet volledig voorkomen. We kunnen ons er wel veel beter op voorbereiden.

Digitale BHV moet net zo normaal worden als gewone BHV

Bij brand wachten we niet tot de rook door het gebouw trekt voordat we bespreken waar de nooduitgang is. We wijzen BHV’ers aan, maken afspraken en oefenen scenario’s. Voor digitale incidenten zou dat niet anders moeten zijn. Digitale BHV betekent niet dat iedereen een technisch beveiligingsexpert moet worden. Dat is namelijk ook niet het geval bij een “gewone” BHV’er. Het betekent dat je vooraf samen nadenkt over scenario’s die bij je eigen organisatie passen.

Je werkt mogelijke scenario’s uit en je gaat elkaar vragen stellen. Wie neemt de leiding als systemen uitvallen? Wie mag besluiten om een omgeving uit te schakelen? Hoe bereiken we elkaar als Microsoft 365 niet beschikbaar is? Wanneer informeren we medewerkers, klanten, leveranciers of toezichthouders? Wie bepaalt wat we communiceren? En welke werkzaamheden moeten, eventueel handmatig, kunnen doorgaan?

Door zulke vragen vooraf te bespreken en scenario’s te oefenen, voorkom je niet dat een incident chaotisch wordt. Je verkleint wel de kans op onnodige fouten, onduidelijke communicatie en besluiten die onder druk slecht uitpakken. Bovendien ontstaat er sneller ruimte om weer helder na te denken en afgewogen keuzes te maken.

Van moeten naar willen, behalve bij voorbereid zijn

Bij risicomanagement gaat het wat ons betreft vooral over willen. En in de basis niet om moeten vanuit een norm. Welke risico’s wíl je accepteren? Welke wíl je verkleinen? En hoeveel tijd, geld en werkbaarheid wíl je daarvoor inzetten?

Maar voorbereid zijn op een digitaal incident hoort eigenlijk niet meer vrijblijvend te zijn. Digitale afhankelijkheden zijn inmiddels zo verweven met de dagelijkse bedrijfsvoering dat ze een vaste plek verdienen in de risico-inventarisatie en in het oefenen van noodscenario’s.

Want de vraag is meestal niet óf een organisatie ooit met een digitale verstoring te maken krijgt. De vraag is wanneer, wat er dan wordt geraakt en of mensen weten wat ze moeten doen.

Cybersecuritymaand is voorbij. De verantwoordelijkheid niet. Begin daarom niet met een nieuwe tool of een algemene checklist. Kies met elkaar eens één belangrijk proces, onderzoek waarvan het afhankelijk is en bespreek één realistisch uitvalscenario met elkaar. En doe dat daarna stap voor stap ook voor de rest van je organisatie. Dat is misschien geen quick fix, maar wel een concrete eerste stap naar echte digitale weerbaarheid.