Veel organisaties hebben beleid, tooling, leveranciers, rapportages en periodieke controles. Op papier lijkt er veel geregeld. Toch blijft vaak onduidelijk of de belangrijkste maatregelen ook werken wanneer het erop aankomt.
Dat is geen detail. Als werking onvoldoende aantoonbaar is, rust cyberweerbaarheid op aannames. Dan wordt het lastig om te sturen, bij te sturen of verantwoordelijkheid te nemen bij een incident, klantvraag, auditbevinding of bestuursvraag.
Waarom dit bestuurlijk relevant is
Cyberrisico wordt bestuurlijk relevant zodra het raakt aan continuïteit, klantvertrouwen, wettelijke verplichtingen, contractuele afspraken of operationele stilstand.
Voor directie, bestuur en ondernemers is de kernvraag niet of er maatregelen bestaan. De kernvraag is of de organisatie kan uitleggen en onderbouwen dat de juiste maatregelen bestaan, worden uitgevoerd en werken zoals bedoeld.
Dat vraagt meer dan een lijst met controls, een securityrapportage of een verklaring van een leverancier. Het vraagt samenhang tussen wat kritiek is, waarvan dat afhankelijk is, wat kan misgaan, wie aanspreekbaar is en welk bewijs beschikbaar is.
Zonder die samenhang ontstaat een bekend patroon: er is veel geregeld, maar niemand kan scherp aangeven waarop de organisatie werkelijk vertrouwt.
Wat we typisch zien
In organisaties waar de werking onvoldoende aantoonbaar is, zijn vaak wel maatregelen aanwezig. Het probleem zit meestal niet in totale afwezigheid, maar in versnippering.
Typische signalen zijn:
- beleid bestaat, maar is beperkt verbonden met kritieke processen
- maatregelen zijn ingericht, maar de werking wordt niet periodiek getoetst
- rapportages zijn technisch, maar geven weinig bestuurlijk inzicht
- leveranciers leveren informatie, maar niet altijd bewijs dat aansluit op het eigen risico
- incidentrespons is beschreven, maar niet realistisch getest
- kwetsbaarheden worden gevonden, maar opvolging en acceptatie zijn niet duidelijk belegd
- logging en monitoring bestaan, maar het is onduidelijk welke signalen werkelijk worden gezien
- uitzonderingen worden toegestaan, maar niet zichtbaar beheerd
- verantwoordelijkheden staan op papier, maar zijn bij incidenten of audits niet scherp genoeg.
Het gevolg is dat zekerheid gefragmenteerd blijft. Ieder onderdeel lijkt verdedigbaar, maar het totaalbeeld is niet bestuurbaar.
Welke vragen dit oproept
Een bestuurder hoeft niet elk technisch detail te kennen. Wel moet helder zijn welke zekerheden nodig zijn en waarop besluiten worden gebaseerd.
Relevante vragen zijn:
- Welke processen, diensten of informatie mogen niet stilvallen?
- Van welke systemen, leveranciers, rechten en maatregelen zijn die afhankelijk?
- Welke cybergebeurtenissen zouden daar zakelijk echt pijn doen?
- Wie is aanspreekbaar op werking, opvolging en acceptatie van risico?
- Waaruit blijkt dat de belangrijkste maatregelen bestaan en worden uitgevoerd?
- Waaruit blijkt dat die maatregelen ook werken onder druk?
- Welke aannames worden nu als zekerheid behandeld?
- Welke besluiten zijn nodig wanneer bewijs ontbreekt of onvoldoende is?
Deze vragen brengen cyber terug naar bestuurlijke besluitvorming. Niet als technisch onderwerp, maar als vraag over continuïteit, verantwoordelijkheid en bewijs.
Wat een Reality Check hier oplevert
Een Reality Check onderzoekt niet of de organisatie “voldoet” aan een volledige norm of standaard. De Reality Check kijkt naar één concrete bestuurlijke vraag en maakt zichtbaar wat onderbouwd is, wat op aannames rust en waar besluitvorming nodig is.
Bij dit onderwerp levert dat bijvoorbeeld op:
- scherp beeld van de kritieke processen of diensten waarop de vraag betrekking heeft
- overzicht van de belangrijkste cyberafhankelijkheden onder die processen
- zicht op maatregelen waarvan de werking relevant is voor continuïteit of verantwoordelijkheid
- onderscheid tussen bestaand beleid, uitgevoerde activiteiten en werkelijk bewijs
- overzicht van ontbrekend of versnipperd bewijs
- expliciete besluitpunten voor directie, bestuur of ondernemer
- duidelijker eigenaarschap voor opvolging, acceptatie en verantwoording.
De waarde zit niet in meer documentatie. De waarde zit in het zichtbaar maken van het verschil tussen aanwezigheid en werking.
Kern
Cyberweerbaarheid is niet aantoonbaar omdat er maatregelen bestaan. Cyberweerbaarheid is aantoonbaar wanneer duidelijk is welke maatregelen kritiek zijn, wie ervoor aanspreekbaar is en welk bewijs laat zien dat ze werken zoals bedoeld.
Zonder dat bewijs blijft cyberweerbaarheid een aanname.