Europese samenwerking: weerbaarheid begint op het terrein

Een cybercrisis houdt zelden halt aan de grenzen van een organisatie. Software die door meerdere gemeenten wordt gebruikt, wordt gecompromitteerd, een IT-dienstverlener verliest zijn toegang, een ziekenhuis kan een dienst die in het buitenland wordt gehost niet meer raadplegen: binnen enkele minuten wordt een lokaal incident een regionaal, nationaal of Europees probleem.

Er wordt veel over samenwerking gesproken. In de praktijk begint ze met heel gewone dingen: een nummer dat ’s nachts opneemt, een gedeelde woordenschat, een kanaal dat werkt wanneer de gewone e-mail uitvalt en mensen die al vóór de crisis met elkaar hebben gesproken.

Het eerste signaal komt vaak van het terrein

Een kleine organisatie ziet de symptomen vóór de autoriteiten: accounts worden vergrendeld, bestanden krijgen een onbekende extensie, een leverancier meldt een vreemde vertraging of klanten ontvangen valse berichten.

Die organisatie weet niet altijd hoe ze de gebeurtenis moet duiden. Is het een storing, fraude, een aanval of een interne fout? Ze aarzelt om te melden, uit angst zich te vergissen, verantwoordelijk te worden gesteld of een zwakte bloot te geven.

Nuttige samenwerking moet het eerste contact eenvoudig maken. Wie meldt, zou niet meteen een perfect technisch rapport moeten hoeven af te leveren. Die persoon moet weten wie hij moet bellen, welk bewijs hij moet bewaren en welke handelingen hij moet vermijden.

Een vroege maar onvolledige melding is vaak meer waard dan een onberispelijke melding die drie dagen later wordt verstuurd.

NIS2 creëert een gemeenschappelijke taal

De NIS2-richtlijn breidt de verplichtingen inzake risicobeheer en melding uit voor essentiële en belangrijke sectoren. In België dwingt ze de betrokken organisaties ertoe verantwoordelijken aan te wijzen, hun afhankelijkheden te documenteren en hun respons te organiseren.

Haar meest blijvende bijdrage is misschien cultureel. Ze verplicht de directies om cyberbeveiliging te zien als een kwestie van continuïteit, niet alleen als een IT-probleem.

Maar collectieve weerbaarheid mag geen twee werelden creëren: grote gereguleerde entiteiten die oefenen en kleine organisaties die aan hun lot worden overgelaten. De sjablonen voor plannen, de opleidingen en de scenario's die voor NIS2 worden ontwikkeld, moeten worden aangepast voor de gemeenten, verenigingen, scholen en kmo's die in dezelfde afhankelijkheidsketens zitten.

Snel delen betekent niet alles delen

Bij een incident is sommige informatie meteen nuttig voor anderen: een frauduleus domein, een bestandshash, een uitbuitingsmethode of een waargenomen gedrag.

Andere elementen vereisen een beperkter circuit: persoonsgegevens, interne architectuur, een niet-gepatchte kwetsbaarheid, informatie die onder een onderzoek valt of bedrijfsgeheimen.

Matuur samenwerken betekent dat vóór de crisis meerdere verspreidingsniveaus worden bepaald. Er wordt vastgelegd wie wat mag ontvangen, hoelang en onder wiens verantwoordelijkheid. Zo vermijd je twee uitersten: niets doorgeven uit angst te veel te zeggen, of een gevoelig dossier naar een volledige lijst partners verspreiden.

Het nationale plan moet de lokale realiteit ontmoeten

België heeft in 2026 zijn nationaal plan voor de respons op cybercrisissen herzien. Dat kader organiseert de nationale coördinatie en de aansluiting op de Europese mechanismen.

Voor een lokale actor heeft een nationaal plan alleen waarde als het zich vertaalt in concrete handelingen:

• een gekend contactpunt;
• een procedure die past bij de werkelijke werkuren van de organisatie;
• hulp om het incident te duiden;
• een veilige manier om bewijs door te geven;
• een terugkoppeling over wat er met de melding gebeurt.

Lokale verantwoordelijken mogen het bestaan van het systeem niet ontdekken wanneer hun servers al onbeschikbaar zijn.

Een oefening onthult wat een document verbergt

Op papier weet iedereen wie hij moet bellen. Tijdens een oefening blijkt het nummer van iemand met verlof te zijn, staat het document op de server die als onbereikbaar wordt gesimuleerd en is de leverancier niet bij de zaak betrokken.

De nuttigste oefeningen willen niet imponeren. Ze testen gewone beslissingen onder druk:

1. kunnen we samenkomen als e-mail en de adressenlijst zijn uitgevallen?
2. wie beslist om een dienst stil te leggen?
3. hoe waarschuwen we het publiek zonder een onzekere hypothese te bevestigen?
4. hebben we het contractuele recht om snel de logs van de leverancier te krijgen?
5. welke dienst moet als eerste terugkomen?

Een korte simulatie van twee uur kan meer opleveren dan een plan van vijftig pagina's dat nooit wordt geopend.

De leverancier maakt deel uit van het crisisteam

Organisaties besteden hosting, e-mail, back-ups en soms het volledige IT-beheer uit. De verantwoordelijkheid besteden ze minder makkelijk uit.

Het contract zou de meldingstermijnen, de toegang tot logs, de deelname aan oefeningen, het bewaren van bewijs en de exitprocedure moeten regelen. Je moet ook de eigen onderaannemers van de leverancier kennen: een onzichtbare keten wordt snel een onbeheersbare keten.

Tijdens de crisis moet de dienstverlener weten wie bevoegd is om een afsluiting of een herstel te vragen. De organisatie moet hem kunnen contacteren via een kanaal dat niet afhangt van de uitgevallen dienst.

Communicatie is een operationele functie

Laattijdige communicatie laat geruchten de leegte vullen. Te stellige communicatie kan een fout verspreiden of het onderzoek bemoeilijken.

Een goede boodschap maakt onderscheid tussen:

• wat wordt waargenomen;
• wat bevestigd is;
• wat nog wordt geanalyseerd;
• wat gebruikers nu moeten doen;
• wanneer nieuwe informatie wordt gepubliceerd.

Die structuur werkt in een gemeente net zo goed als op Europees niveau. Ze laat meerdere instellingen samenhangend communiceren zonder te beweren dat ze alle antwoorden hebben.

Brussel verbindt meerdere responsniveaus

België huisvest Europese instellingen, diplomatieke netwerken en een groot aantal leveranciers die in meerdere landen actief zijn. Het is dus tegelijk doelwit, begunstigde en bijdrager van de Europese weerbaarheid.

De nationale CSIRT's, ENISA en de Europese mechanismen maken het mogelijk indicatoren te delen en grensoverschrijdende crisissen te coördineren. De waarde van die netwerken hangt echter af van de kwaliteit van de informatie die van het terrein komt.

De stroom moet in twee richtingen werken: Europese waarschuwingen naar lokale actoren, maar ook lokale waarnemingen naar wie hetzelfde fenomeen in meerdere landen kan zien.

Een voorbereidingsmodel voor een kleine organisatie

Een gemeente, een vzw of een kmo kan beginnen zonder complex platform:

• een verantwoordelijke en een vervanger aanwijzen;
• een pagina met crisiscontacten afdrukken;
• de dienstverlener om zijn noodnummer en zijn engagementen vragen;
• de lijst van prioritaire diensten offline bewaren;
• één keer per jaar een herstel en een crisisoproep testen;
• vooraf noteren wat bij een incident moet worden bewaard.

Daarna kan de organisatie deelnemen aan een sectorale of regionale oefening. Het doel is niet om foutloos te slagen, maar om de knelpunten te ontdekken zolang ze nog zonder gevolgen zijn.

Lessen omzetten in beslissingen

Na een oefening of incident komen vaak dezelfde vaststellingen terug: te ruime toegang, afhankelijkheid van één persoon, een vaag contract, een niet-geteste back-up. Een evaluatie heeft alleen waarde als elke vaststelling een verantwoordelijke, een termijn en een budget krijgt.

Een geanonimiseerde versie van die lessen delen, helpt andere organisaties. Samenwerking wordt dan cumulatief: elk vermeden of beter beheerd incident vergroot de gemeenschappelijke capaciteit.

Officiële bronnen

• CCB — België keurt een nieuw nationaal plan voor cybercrisisrespons goed (EN)
• Europese Commissie — NIS2-richtlijn
• CCB — tien jaar opbouw van de digitale weerbaarheid van België (EN)