De klok loopt
de eerste 72 uur van een crisis
Wat gebeurt er als de stroom uitvalt, communicatie wegvalt en niemand weet wanneer het voorbij is? Tijdens de European Resilience Summit in Den Haag werd het publiek geen toeschouwer, maar crisisteam. In 72 uur verschoof de vraag van ‘wat is er aan de hand?’ naar ‘wat moeten we nu redden?’ De belangrijkste les: crisismanagement begint niet wanneer de crisis uitbreekt.
TEKST: SANDER HULSMAN BEELD: ENVATO / EVENTSHOOT
Het bericht is kort. “Nationale infrastructuur verstoord. Duur onbekend.” Geen waarschuwing. Geen tijdlijn. Geen zekerheid.
De stroomvoorziening valt uit. Communicatie hapert. Kritieke systemen komen onder druk te staan. Klanten willen antwoorden. Ondertussen bewegen dreigingsactoren al.
Op het podium kijkt Emiel Brok, co-founder van de Dutch Open Source Business Alliance (DOSBA), de zaal in. Hij maakt meteen duidelijk dat dit geen gewone paneldiscussie wordt. Iedereen pakt zijn telefoon. Een QR-code verschijnt op het scherm. De online tool Slido wordt het commandocentrum. “Er zijn vandaag geen toeschouwers. Iedereen in deze zaal maakt deel uit van het responsteam.”,
Niemand is toeschouwer, iedereen maakt deel uit van het responseteam
EMIEL BROK
Deelnemers paneldiscussie
- Markus Fath, Head of Trust & Enablement – QualityMinds
- Willemijn Rodenburg, Public Affairs Advisor – Sentyron
- Kelvin Rorive, Co-Founder & Managing Director – CCRC | CISO – ICT Group
- Bastiaan Walenkamp, Managing Director NL – Deloitte
- Emiel Brok, Co-founder – Dutch Open Source Business Alliance (DOSBA) (moderator)
De deelnemers krijgen ieder een rol in de crisis. Kelvin Rorive, co-founder & managing director van CCRC en CISO bij ICT Group, is de crisiscontroller: wat gebeurt er? Bastiaan Walenkamp, managing director Nederland bij Deloitte, kijkt als expert op operationele en maatschappelijke weerbaarheid naar de vraag: wat is hiermee verbonden? Willemijn Rodenburg, public affairs advisor bij Sentyron en expert op het gebied van hybride dreigingen, vraagt: wie maakt gebruik van de situatie? En Markus Fath, head of trust & enablement bij QualityMinds, neemt de rol van executive operator op zich: welke beslissing nemen we nu?
De zaal wordt daarmee onderdeel van het experiment. De keuzes die via Slido worden gemaakt, bepalen hoe het scenario zich ontvouwt.
De klok loopt.
Uur 1: de illusie van controle
De eerste klap komt hard. Het elektriciteitsnet valt niet simpelweg uit; de storing escaleert. Mobiele netwerken en betaalmogelijkheden beginnen te degraderen.
De eerste vraag aan de zaal is ogenschijnlijk eenvoudig: hoe zeker ben je dat jouw organisatie een grote, cascade-gewijze infrastructuurverstoring overleeft?
Het antwoord is ontnuchterend. 52 procent noemt zichzelf slechts gematigd zeker. De experts op het podium zijn nauwelijks optimistischer: zij komen eveneens rond een drie uit vijf uit.
Maar wat betekent ‘overleven’ eigenlijk?
Niet alleen incident overleven, maar ook herstellen en daarna weer continuïteit
WILLEMIJN RODENBURG
Voor Willemijn Rodenburg is het antwoord nadrukkelijk groter dan de eerste uren. “Het gaat niet alleen om het overleven van het incident, niet alleen om de eerste paar uur, maar ook om herstel en daarna weer continuïteit.”
Dat onderscheid blijkt cruciaal. Een organisatie die haar systemen na drie uur weer aan krijgt, heeft een storing doorstaan. Een organisatie die na 72 uur nog kan functioneren, heeft een crisis gemanaged.
Dan volgt de volgende keuze: wat valt als eerste uit? Communicatie, supply chain, personeel of klantoperatie?
Vrijwel iedereen kiest communicatie.
Markus Fath ziet daarin geen verrassing. “Communicatie is, zou ik zeggen, het meest vitale dat je hebt. En juist dat moet je in stand zien te houden, maar normaal gesproken is communicatie ook het eerste dat uitvalt.”
Het probleem is groter dan bereikbaarheid alleen. Zonder communicatie verdwijnt ook situational awareness. Je weet niet wat er gebeurt, welke informatie betrouwbaar is en welke beslissing nog verantwoord is.
En daarmee ontstaat de eerste paradox van een crisis: juist datgene wat je nodig hebt om je plan uit te voeren, kan als eerste wegvallen.
Communicatie is het meest vitale dat je hebt, en valt als eerste uit
MARKUS FATH
Verborgen afhankelijkheden
De volgende Slido-vraag legt een ander zwak punt bloot: welke verborgen afhankelijkheid zou je organisatie het hardst raken?
Cloud. Telecom. Energie.
Maar ook payroll.
En informatie.
Dat laatste klinkt minder spectaculair dan een datacenter dat uitvalt, maar is minstens zo fundamenteel. Rodenburg wijst erop dat organisaties afhankelijk zijn van correcte informatie om beslissingen te nemen, terwijl een tegenstander juist probeert verwarring en desinformatie te creëren.
Een crisis maakt verborgen afhankelijkheden zichtbaar. Wat normaal voelt als een vanzelfsprekende voorziening, blijkt opeens een keten van andere voorzieningen te zijn.
Dat geldt ook voor technologie. Een cloudomgeving kan afhankelijk zijn van andere cloudservices. Een digitale dienst kan afhankelijk zijn van telecom. Een organisatie die denkt redundant te zijn, ontdekt misschien pas tijdens de storing dat haar fallback dezelfde afhankelijkheid heeft als het primaire systeem.
De crisis begint daarmee langzaam van karakter te veranderen. Het is niet langer alleen een technisch probleem. Het is een probleem van afhankelijkheden, informatie en besluitvorming.
Uur 24: wanneer de organisatie verandert
Na 24 uur vallen de eerste zekerheden weg.
Generatoren beginnen te falen. Medewerkers komen niet meer opdagen. Digitale desinformatie neemt toe. En dan stelt Brok een nieuwe vraag: wie is nu de belangrijkste leider van de organisatie?
De zaal kiest massaal voor de CEO.
Bastiaan Walenkamp herkent dat mechanisme. Op het moment dat de crisis toeslaat, wordt het een zaak van de top. In zijn woorden: “Het wordt wat we noemen, denk ik, Chefsachen.” De CEO moet uiteindelijk bepalen welke bedrijfssystemen werkelijk kritiek zijn.
Maar Fath plaatst daar direct een belangrijke kanttekening bij. Een CEO moet niet noodzakelijk degene zijn die de operationele crisis aanstuurt. Daarvoor is volgens hem een crisismanager nodig met voldoende mandaat en vooral de juiste competenties. “Het moet een persoon zijn met goede capaciteiten. En dat is het enige dat telt,” zegt hij.
Daarmee komt een essentieel onderscheid op tafel: wie is de leider van de organisatie en wie leidt de crisisrespons? Dat zijn niet automatisch dezelfde personen. Een effectieve crisisorganisatie heeft dus niet alleen een draaiboek nodig, maar ook vooraf vastgelegde rollen, mandaten en besluitvormingsstructuren. Want wanneer iedereen naar elkaar kijkt, loopt de klok gewoon door.
De CEO moet uiteindelijk bepalen welke bedrijfssystemen werkelijk kritiek zijn
BASTIAAN WALENKAMP
Uur 48: geen technische crisis meer
Na 48 uur verandert het speelveld opnieuw.
Cyberaanvallers benutten kwetsbaarheden. De media-aandacht neemt toe. Toezichthouders staan voor de deur.
De vraag is nu niet meer welk systeem het eerst uitvalt. De vraag is: wat bepaalt of de organisatie overleeft?
De zaal kiest: mensen.
Walenkamp scherpt dat antwoord aan. “Op dit punt wordt het geen technische crisis meer, maar draait het allemaal om je onderlinge afhankelijkheid.” De crisis heeft zich inmiddels ontwikkeld tot een ecosysteemcrisis. Het gaat niet meer alleen om de vraag of jouw organisatie overeind blijft, maar ook om de vraag hoe goed je verbonden bent met leveranciers, partners en de rest van het ecosysteem.
Rodenburg zet data vrijwel naast mensen. Niet omdat data belangrijker is, maar omdat data-integriteit bepaalt of je nog kunt aantonen wat er werkelijk is gebeurd. Logs, bewijsvoering en betrouwbare informatie worden noodzakelijk richting toezichthouders, medewerkers en media.
En dan komt een ongemakkelijke tegenstem uit de zaal: cash.
Want mensen moeten worden betaald. Leveranciers moeten worden betaald. En als klanten verdwijnen, kan een organisatie financieel sneller bezwijken dan technisch.
Toch keert het gesprek steeds terug naar mensen.
Rorive benoemt wat hij een verborgen kracht noemt: de loyaliteit van medewerkers. In eerdere cybercrises zag hij hoe medewerkers spontaan extra energie en inzet leverden om hun organisatie weer op de been te krijgen. Maar die veerkracht ontstaat niet vanzelf.
“Daar moet je in investeren,” stelt hij.
Crisismanagement blijkt daarmee uiteindelijk geen systeemvraagstuk. Het is een mensenvraagstuk.
Maandagochtend
Dan is het voorbij.
De oplossing is gevonden. De organisatie is weer operationeel. De zaal mag één ding kiezen dat maandagmorgen als eerste moet gebeuren.
Fath kiest voor leiderschap: een team dat onmiddellijk de lessen uit de crisis vertaalt naar verbetering. Niet opnieuw beginnen, maar verdergaan met ervaring.
Rorive kijkt naar de mensen. Na een crisis komt niet iedereen simpelweg weer terug in de normale stand. Medewerkers hebben ruimte nodig om hun ervaringen te verwerken; om te praten, te huilen, te schreeuwen, als dat nodig is.
Walenkamp kijkt naar buiten. Hoe goed zijn de relaties met leveranciers en partners? Welke afhankelijkheden zijn er? Waar zitten de fallback-mogelijkheden? “Je organisatie is niet in splendid isolation,” zegt hij. Veerkracht vraagt dus ook om relaties die al vóór de crisis zijn opgebouwd.
En Rodenburg maakt het nog urgenter: samenwerking kan niet wachten tot maandag. Praat met branchegenoten. Praat met de overheid. Maak afspraken over het delen van informatie en dreigingsanalyses. Want, zegt zij: “Een incident gebeurt bijna nooit bij één organisatie.”
“Je moet investeren in veerkracht
KELVIN RORIVE
Echte oefening begint vóór crisis
Aan het einde van de sessie wordt de vraag gesteld die misschien wel het meest ongemakkelijk is: wat ontbreekt er?
Het antwoord van Fath is eenvoudig: trainen. Niet één keer. Niet wanneer het crisisplan net is bijgewerkt. Maar steeds opnieuw. “Hoe goed je plan ook is, wanneer je in actie komt en de crisis begint, zul je falen,” zegt hij. “Maar met iedere training maak je minder fouten.”
Rorive trekt die gedachte door naar het crisisteam zelf. Ook dat team moet een soort ‘spiergeheugen’ ontwikkelen: procedures kennen, rollen begrijpen, onder druk kunnen handelen en voorbereid zijn op de afhankelijkheden die tijdens een crisis zichtbaar worden. “Oefenen maakt je crisismanagementteam veerkrachtig.”
Dat is uiteindelijk waar de simulatie in Den Haag om draaide.
Niet om het voorspellen van de volgende crisis. Niet om het schrijven van het perfecte draaiboek. En zelfs niet om het bedenken van de perfecte technische fallback.
Maar om oefenen met het moment waarop niets meer volgens plan verloopt.
Want in het eerste uur denk je dat je nog controle hebt.
Na 24 uur ontdek je welke aannames niet kloppen.
Na 48 uur blijkt dat je organisatie onderdeel is van een veel groter systeem.
En na 72 uur resteert de vraag die je niet meer tijdens de crisis kunt beantwoorden:
Heb je vóór de crisis genoeg geoefend om onder druk nog goede beslissingen te kunnen nemen?
De klok stopt nooit omdat je organisatie daar nog niet klaar voor is.
Hij loopt.
En de echte voorbereiding begint wanneer alles nog gewoon werkt. 
Niemand is toeschouwer, iedereen maakt deel uit van het responseteam
EMIEL BROK
Deelnemers paneldiscussie
- Markus Fath, Head of Trust & Enablement – QualityMinds
- Willemijn Rodenburg, Public Affairs Advisor – Sentyron
- Kelvin Rorive, Co-Founder & Managing Director – CCRC | CISO – ICT Group
- Bastiaan Walenkamp, Managing Director NL – Deloitte
- Emiel Brok, Co-founder – Dutch Open Source Business Alliance (DOSBA) (moderator)
Niet alleen incident overleven, maar ook herstellen en daarna weer continuïteit
WILLEMIJN RODENBURG
Communicatie is het meest vitale dat je hebt, en valt als eerste uit
MARKUS FATH
De CEO moet uiteindelijk bepalen welke bedrijfssystemen werkelijk kritiek zijn
BASTIAAN WALENKAMP
“Je moet investeren in veerkracht
KELVIN RORIVE