Resilience is geen eindpunt, maar een keuze
European Resilience Summit Den Haag, 18 juni 2026
Van digitale soevereiniteit en cyberweerbaarheid tot AI, menselijk handelen en expliciete risicoacceptatie. Tijdens de European Resilience Summit in Den Haag werd resilience niet als een technisch vraagstuk behandeld, maar als een ontwerpkeuze voor organisaties, overheden en Europa. De rode draad: je kunt niet alle risico’s voorkomen. Je moet weten wat kritiek is, afhankelijkheden begrijpen, alternatieven organiseren en vooral zorgen dat je onder druk kunt blijven handelen.
TEKST: SANDER HULSMAN BEELD: EVENTSHOOT
Resilience is een woord dat gemakkelijk abstract wordt. Het klinkt als iets dat organisaties moeten hebben, naast cybersecurity, compliance en business continuity. Maar juist daar wilde de European Resilience Summit in Den Haag op 18 juni 2026 vanaf. De bijeenkomst bracht beleidsmakers, bestuurders, technologiebedrijven, onderzoekers en publieke organisaties samen rond de praktische vraag hoe we ervoor zorgen dat Europa en zijn organisaties blijven functioneren wanneer de omstandigheden fundamenteel veranderen.
De Haagse editie was onderdeel van een bredere Europese summitreeks, waarin digitale weerbaarheid, autonomie en veiligheid vanuit verschillende nationale en Europese perspectieven worden onderzocht. Den Haag koos daarbij nadrukkelijk voor de verbinding tussen beleid en praktijk. De agenda richtte zich onder meer op cybersecurity, cloudinfrastructuur, AI, betrouwbare data-infrastructuren, supply-chain governance en publiek-private samenwerking. Het uitgangspunt was dat resilience geen geïsoleerd technologisch probleem is, maar een vraagstuk dat meerdere lagen tegelijk raakt.
Dat perspectief kwam gedurende de dag steeds terug. Niet de vraag hoe je een incident voorkomt, maar wat er moet blijven werken, welke afhankelijkheden ik accepteer, welke keuzevrijheid ik heb en wie het besluit neemt als mijn aannames niet meer kloppen. Dat leverde gedurende de dag sessies op die ieder een andere laag van hetzelfde vraagstuk blootlegden.
Europa moet eigen veerkracht hervinden
De keynote van de Russische historicus en schrijver Sergei Medvedev vormde een bredere geopolitieke opening naar dat vraagstuk. In ‘Europe Quo Vadis: How Europe Must Adapt to America, China, and Russia in the Next 50 years’ schetste hij een Europa dat te lang kon rekenen op drie relatief goedkope zekerheden: energie uit Rusland, consumentengoederen uit China en veiligheid uit de Verenigde Staten. Die uitgangspositie is volgens Medvedev verdwenen. Europa bevindt zich daarmee in een geopolitieke omgeving waarin oude aannames niet langer vanzelfsprekend zijn.
Sergei Medvedev.
Hoe houd je handelingsruimte wanneer de omstandigheden veranderen?
Sergei Medvedev
Maar Medvedevs boodschap was niet dat Europa zich moet terugtrekken uit de wereld. Integendeel. Hij ziet juist veerkracht in wat Europa zelf heeft opgebouwd: diversiteit, subsidiariteit, internationale samenwerking, flexibiliteit, netwerken en human capital. Europa hoeft volgens hem niet simpelweg mee te bewegen met de modellen van de Verenigde Staten, China of Rusland, maar kan vanuit zijn eigen waarden een alternatief bieden.
Daarmee gaf Medvedev eigenlijk de geopolitieke versie van de vraag die gedurende de rest van de summit steeds terugkwam: hoe houd je handelingsruimte wanneer de omstandigheden veranderen? Niet door alle afhankelijkheden uit te bannen, maar door voldoende eigen capaciteit, alternatieven en samenwerking te organiseren om zelf keuzes te kunnen blijven maken.
Van compliance naar verantwoordelijkheid
Die verschuiving werd misschien wel het scherpst zichtbaar in de sessie ‘Digital Resilience: Theory meets Practice’, waarin Elly van den Heuvel, Director Cybersecurity bij Deloitte, met DSR-hoofdredacteur Sander Hulsman sprak over cybersecurity, NIS2 en digitale autonomie.
Van den Heuvel ziet één factor die organisaties structureel onderschatten: tijd. AI maakt het mogelijk om aanvallen sneller te ontwikkelen en uit te voeren, terwijl de tijd om kwetsbaarheden te patchen steeds korter wordt. Tegelijkertijd worden aanvallen complexer. Digitale verstoring, fysieke aanvallen en desinformatie kunnen onderdeel worden van dezelfde campagne.
Elly van den Heuvel in gesprek met Sander Hulsman.
Welke processen zijn werkelijk kritiek voor de organisatie?
ELLY VAN DEN HEUVEL
Daarmee verandert ook de verantwoordelijkheid van bestuurders. NIS2 maakt cybersecurity en continuïteit nadrukkelijker tot een boardroomvraagstuk. Maar voldoen aan een norm is volgens Van den Heuvel niet hetzelfde als weerbaar zijn. Een organisatie die een programma afrondt, is niet klaar. Resilience vraagt voortdurende investeringen, innovatie en oefening.
De praktische vertaling begint volgens haar bij de crown jewels: welke processen zijn werkelijk kritiek voor de organisatie? Daar moet de prioriteit liggen. Vervolgens moeten bestuurders beschikken over informatie die tijdig, volledig en begrijpelijk genoeg is om beslissingen te nemen. Niet alleen weten hoeveel aanvallen zijn tegengehouden, maar ook begrijpen wat zich mogelijk al binnen de organisatie bevindt.
De boodschap is daarmee fundamenteel bestuurlijk, want cybersecurity is geen programma met een einddatum, maar een continu proces van risico’s begrijpen, prioriteiten stellen en handelen.
Soevereiniteit = mogelijkheid tot kiezen
Diezelfde gedachte kreeg in de keynote van Rob Elsinga, National Technology Officer van Microsoft Nederland, een bredere geopolitieke dimensie. Digitale soevereiniteit is volgens hem niet hetzelfde als autarkie, zo bleek in zijn keynote ‘Resilience in Action: Designing for Continuity in a Disrupted World’. Het gaat niet om alles zelf doen, maar om controle zonder isolatie.
Een organisatie moet volgens Elsinga kunnen bepalen wie toegang heeft tot kritieke data, wie de sleutels beheert, waar workloads kunnen draaien en, vooral, wat er gebeurt als de primaire omgeving niet meer beschikbaar is. Hybride infrastructuur, interoperabiliteit en portabiliteit zijn daarmee geen technische details, maar instrumenten om keuzevrijheid te behouden.
Rob Elsinga.
Plan B zorgt ervoor dat de meest kritieke applicaties kunnen blijven draaien
ROB ELSINGA
De voorbeelden uit Oekraïne, de Baltische staten en het Midden-Oosten maken duidelijk waarom dat belangrijk is. Een datacenter kan fysiek worden vernietigd. Een kabel kan worden doorgesneden. Een cloudomgeving kan door geopolitieke omstandigheden minder beschikbaar worden. Een wettelijke beperking kan veranderen. Wie alleen een primaire omgeving heeft, heeft op het moment van crisis geen strategie meer maar een probleem.
Elsinga noemt dat een plan B: een omgeving waar de meest kritieke applicaties kunnen blijven draaien wanneer de primaire omgeving wegvalt. Dat plan hoeft niet per definitie goedkoper of eenvoudiger te zijn. Enterprise risk management betekent juist dat bestuurders bepalen welke risico’s zij willen mitigeren, hoeveel dat kost en welk restrisico zij bewust accepteren.
De les uit de keynote is daarmee dezelfde als die uit de eerdere sovereignty-discussies in Den Haag: soevereiniteit zit niet in de vlag op het datacenter, maar in de mogelijkheid om zelf te blijven kiezen.
Digitale systeem valt uit, echte werk begint
Maar wat gebeurt er als die zorgvuldig ontworpen infrastructuur toch uitvalt? In de sessie ‘Human Resilience: When the digital plug is pulled, who keeps the operation running?’ verlegden Eelco Stofbergen, Director Cybersecurity & Compliance bij Sopra Steria, en Esther Schnepper, Legal & Learning Specialist bij Awareways, de aandacht naar een laag die in cybersecurity vaak wordt onderschat: de mens.
De klassieke formulering dat mensen de zwakste schakel zijn, vinden zij te beperkt. Mensen kunnen juist bijzonder veerkrachtig zijn. Het probleem is dat veerkracht onder langdurige druk iets anders vraagt dan een korte adrenalinepiek. Wanneer systemen dagen of weken niet beschikbaar zijn, moeten medewerkers weten wat ze kunnen doen, moeten zij daarvoor de middelen hebben en moet de organisatie hen daarin ondersteunen.
Eelco Stofbergen en Esther Schnepper.
De crisisorganisatie moet worden ontworpen rond mensen
Eelco Stofbergen
Dat vraagt meer dan awareness-training. Gedrag ontstaat volgens Schnepper uit een combinatie van attitude, sociale normen, ervaren controle, kennis en de mogelijkheid om daadwerkelijk het gewenste gedrag te vertonen. Een organisatie die van medewerkers verwacht dat ze veilig met AI omgaan, maar geen veilige AI-middelen beschikbaar stelt, organiseert zelf de kloof tussen beleid en gedrag.
Ook de crisisorganisatie moet daarom worden ontworpen rond mensen. Wat is de minimum viable organization? Welke processen moeten doorgaan? Welke beslissingen mogen medewerkers nemen als systemen niet beschikbaar zijn? Waar ligt het mandaat? En hoe ondersteun je mensen wanneer de normale routines verdwijnen?
De belangrijkste verschuiving is misschien wel dat resilience niet alleen het vermogen van een systeem is om terug te keren naar normaal, maar ook het vermogen van mensen en de organisatie om tijdens de verstoring waarde te blijven leveren.
Dat betekent ook dat oefeningen anders moeten worden ingericht. Niet alleen testen of het draaiboek werkt, maar observeren hoe teams zich gedragen wanneer het draaiboek niet meer toereikend is. Juist daar wordt zichtbaar welke mensen, structuren en culturen werkelijk bestand zijn tegen druk.
V.l.n.r.: Jeroen de Rooij, Lilian Knippenberg, Davina Cornelissen-Risseeuw, Sebastiaan Kister en Ronald de Jong.
De risico’s die je bewust laat liggen
Die gedachte kwam terug in het panel ‘The Risk You Chose Not to Mitigate: Accountability in an Age of Compound Threats’. Lilian Knippenberg, Davina Cornelissen-Risseeuw, Ronald de Jonge en Sebastian Kister bespraken onder leiding van Jeroen de Rooij een ongemakkelijke waarheid: geen enkele organisatie kan ieder risico mitigeren.
Deelnemers paneldiscussie
- Davina Cornelissen-Risseeuw, Head CISO Strategy, Resilience & Global Governance – ABN AMRO Bank
- Ronald de Jonge, Head of Public Sector and Defense & Security – Sopra Steria
- Sebastian Kister, Chief AI Architect – Volkswagen Group
- Lilian Knippenberg, CISO – gemeente Den Haag
- Jeroen de Rooij, interim CISO – Sound (moderator)
De vraag is dus niet alleen welke risico’s een organisatie heeft, maar ook welke risico’s zij bewust niet wegneemt. En vervolgens wie die keuze heeft gemaakt, of die keuze expliciet is vastgelegd en of de organisatie weet wat ze moet doen als het geaccepteerde risico werkelijkheid wordt.
Davina Cornelissen-Risseeuw bracht vanuit ABN AMRO een praktische benadering in. Daarbij verschuift de aandacht van afzonderlijke scenario’s naar de capaciteit om met meerdere scenario’s om te gaan. Het gaat dan niet om alles te voorspellen, maar zorgen dat kritieke processen verschillende verstoringen kunnen opvangen. Organisaties moeten niet proberen voor ieder mogelijk scenario een aparte oplossing te bouwen. Begin bij de meest kritieke bedrijfsprocessen en bepaal waar strategic optionality nodig is. Zij heeft het dan over zaken als alternatieven, redundantie en mogelijkheden om bij veranderende omstandigheden een andere route te kiezen.
Ook de andere panelleden waarschuwden voor een te mechanische benadering. Risicomodellen werken met aannames over waarschijnlijkheid en impact, terwijl compound threats juist kunnen ontstaan doordat meerdere op zichzelf beheersbare gebeurtenissen elkaar versterken. Lilian Knippenberg benadrukte daarom het belang van een all hazards-benadering: oefenen op scenario’s, maar vooral leren om niet vast te lopen wanneer de werkelijkheid afwijkt van het scenario.
Dat maakt accountability essentieel. Een framework kan helpen structureren, maar het neemt geen beslissing. Uiteindelijk moet iemand zeggen welk risico we nemen, welk risico we beperken en van welke we de consequenties accepteren. Juist die expliciete risicoacceptatie vormt een belangrijk verschil tussen compliance en resilience.
AI maakt resilience tot infrastructuurvraag
Ook de keynote van Emma Wehrwein, Senior Manager Innovation & Digital Ecosystems van de Duitse internetbranchevereniging eco, bracht een nieuwe afhankelijkheidslaag in beeld: AI. Europa praat veel over AI-modellen, investeringen en concurrentiekracht, maar volgens Wehrwein ligt een minstens zo belangrijke vraag daaronder. Maar kan Europa AI ook op grote schaal blijven inzetten wanneer de omstandigheden veranderen?
AI-systemen zijn afhankelijk van data, compute, connectiviteit, cloud- en edge-infrastructuur en samenwerking tussen organisaties. Hoe belangrijker AI wordt voor bedrijfsprocessen en kritieke diensten, hoe belangrijker de veerkracht van die onderliggende infrastructuur wordt.
Emma Wehrwein.
AI inzetten zonder dat nieuwe strategische afhankelijkheden ontstaan
EMMA WEHRWEIN
Uit een door Wehrwein aangehaalde enquête onder 800 Europese industriële en manufacturing-SME’s blijkt dat de ambitie er al is, want 88 procent heeft een digitale strategie, 80 procent een AI-strategie en 92 procent verwacht nieuwe digitale businessmodellen te ontwikkelen. De problemen zitten vooral in de uitvoering, zoals security, regelgeving, dataprotectie, vaardigheden en legacy.
Daarmee ontstaat volgens Wehrwein een risico op AI-eilanden. Dit zijn afzonderlijke nationale of organisatorische omgevingen die onvoldoende met elkaar kunnen samenwerken. Voor een technologie die juist sterk afhankelijk is van schaal is dat een probleem.
Haar oplossing is geïnspireerd op een systeem dat we al decennialang kennen: het internet. Geen centraal gecontroleerd netwerk, maar een federatie van onafhankelijke partijen die dankzij gedeelde standaarden en protocollen met elkaar kunnen samenwerken. Wehrwein vertaalt dat principe naar AI en cloud met het idee van cloud roaming: workloads en AI-diensten moeten zich, wanneer nodig, tussen infrastructuren en providers kunnen bewegen. Ook hier is interoperabiliteit dus geen technische luxe. Het wordt een resilience-eis.
De uitdaging voor Europa is volgens Wehrwein dan ook niet alleen om AI te ontwikkelen, maar om een betrouwbaar, interoperabel ecosysteem te bouwen waarin AI op schaal kan worden ingezet zonder dat nieuwe strategische afhankelijkheden ontstaan.
Bredere definitie van resilience
De sessies verschillen sterk in onderwerp, maar vertellen uiteindelijk hetzelfde verhaal. Medvedev plaatst resilience in een geopolitieke context en benadrukt het belang van Europese eigenheid en handelingsruimte. Van den Heuvel laat zien dat cybersecurity een verantwoordelijkheid van het bestuur is. Elsinga maakt duidelijk dat soevereiniteit vooral keuzevrijheid betekent. Stofbergen en Schnepper laten zien dat technologie niets waard is als mensen niet kunnen blijven handelen. Het panel over compound threats maakt duidelijk dat iedere keuze een restrisico achterlaat. En Wehrwein laat zien dat AI nieuwe afhankelijkheden creëert die we nu al moeten meenemen in het ontwerp van onze digitale infrastructuur.
Digitale resilience als een gedeelde Europese praktijk waarin mensen, organisaties, industrie en samenleving samenkomen
Daarmee ontstaat een bredere definitie van resilience. Het gaat niet om een organisatie die alles onder controle heeft. Het gaat om een organisatie die weet wat ze niet onder controle heeft, en daar rekening mee heeft gehouden. Dat betekent dus het kennen van je kritieke processen. Afhankelijkheden zichtbaar maken. Alternatieven ontwerpen. Mensen voorbereiden. Besluitvorming organiseren. Oefenen. En expliciet bepalen welke risico’s je accepteert.
De European Resilience Summit positioneert die manier van denken nadrukkelijk als een Europese opgave. De summit laat zien dat resilience niet alleen draait om digitale veiligheid, maar om de vraag hoe Europa, organisaties en samenleving hun handelingsruimte behouden in een wereld van geopolitieke onzekerheid, technologische afhankelijkheden en steeds complexere risico’s.
Andere perspectieven op resilience
De sessies in dit artikel staan niet op zichzelf. Verspreid door dit magazine worden verschillende onderdelen van diezelfde resilience-opgave verder uitgediept. Zo gaat ‘The Sovereignty Dial’ dieper in op de vraag hoeveel digitale autonomie organisaties en overheden werkelijk nodig hebben. ‘The Domino Problem’ verlegt de blik naar afhankelijkheden tussen organisaties en infrastructuren, terwijl ‘The Weakest Link You’ve Never Met’ nog verder de extended supply chain in gaat.
Ook de interactieve 72-uurscrisis ‘The First 72 Hours’ maakte die gedachte concreet. Daar werd zichtbaar hoe snel een technische verstoring verandert in een probleem van communicatie, mensen, besluitvorming, financiën en maatschappelijke afhankelijkheden. Want dat is uiteindelijk ook de belangrijkste conclusie van de European Resilience Summit: weerbaarheid is geen toestand die je bereikt. Het is het vermogen om steeds opnieuw goede keuzes te maken wanneer de omstandigheden veranderen. 