Terug naar Atos

Deel dit artikel:

26 sep 2025

|

Gesponsord

Cyberweerbaarheid begint met zelfinzicht

Binnen 24 uur kan een compleet bedrijf platliggen door een cyberaanval. Toch overschatten veel bestuurders hun weerbaarheid en schuiven ze de verantwoordelijkheid door naar de CISO. Experts die zich bewegen rond het thema van cybersecurity waarschuwen CFO’s en CEO’s: digitale risico’s zijn geen IT-probleem, maar een bestuursverantwoordelijkheid.

“Voorbereiden en inzicht krijgen is cruciaal”, zegt Quint Ketting, strategisch cybersecurity adviseur bij Atos. Samen met collega Menno van der Horst, head of cyber consulting, ziet hij bedrijven worstelen met de basis. Ketting en Van der Horst onderscheiden vijf cruciale stappen die de basis vormen voor werkelijke digitale weerbaarheid, die ook toekomstbestendig moet zijn. Vooruitkijken in plaats van blussen

Organisaties investeren massaal in nieuwe flitsende technologie, maar vergeten de belangrijkste vraag: wat willen we eigenlijk beschermen? “Wie niet begrijpt wie hij is, loopt grote risico’s”, aldus Ketting. “Zonder inzicht in je kernprocessen en kroonjuwelen zijn technische maatregelen vaak een pleister op de wond”, zegt Van der Horst.

Zelfinzicht boven compliance Cyberweerbaarheid begint bij zelfinzicht. Governance en bedrijfscultuur bepalen uiteindelijk hoe risico’s landen in de organisatie. Toch blijft de aanpak vaak hangen in vinkjes zetten voor compliance. Het gaat erom dat je vastlegt hoe je reageert en communiceert tijdens een crisis, inclusief alternatieve kanalen voor als primaire systemen uitvallen.

“Veel bedrijven zien het als een papieren werkelijkheid”, zegt Van der Horst. “Pas als de board écht eigenaarschap neemt, wordt weerbaarheid een strategisch thema in plaats van een IT-project.”

Digitale autonomie onder druk Geopolitiek schuift steeds nadrukkelijker de bestuurskamer binnen. Europese bedrijven leunen zwaar op Amerikaanse cloudpartijen, terwijl de roep om digitale soevereiniteit groeit. “Lokale controle is cruciaal in een geglobaliseerd dreigingslandschap”, stelt Ketting.

Dreigingsbegrip in plaats van dreigingsbeeld Het dreigingslandschap verandert radicaal door geopolitieke spanningen en kunstmatige intelligentie. “Generieke dreigingsinformatie is onvoldoende”, aldus Ketting. Sectorspecifieke intelligence en lessen uit incidenten bij collega’s zijn veel relevanter. Daarbij versnelt kunstmatige intelligentie aanvallen in ongekend tempo. “Wat vroeger weken duurde, kan nu binnen seconden”, zegt Van der Horst. “De situatie wordt steeds dreigender. We zien dreiging al lang, en het wordt alleen maar urgenter”, stelt Ketting.

De mens als hefboom Technologie is slechts één kant van het verhaal. Cultuur, leiderschap en communicatie blijken minstens zo belangrijk. “Een meldcultuur zonder schuldvraag is essentieel”, legt Van der Horst uit. “Als jij een fout hebt gemaakt door op een linkje te klikken, dan moet het gewoon veilig voelen om dat te kunnen melden. Een cultuur waarin dat gewoon kan, daarvan zie je ook meestal dat het awarenessniveau hoog is.” Tegelijkertijd moet je ook maatregelen nemen en “controls inregelen”, zodat het eerdergenoemde linkje ook onschadelijk wordt gemaakt.

Bestuurders moeten volgens hem zelf de crisisruimte instappen. “Als je continu moet vragen hoe het geregeld is, ben je niet in controle. Simulaties en scenariodenken horen thuis op bestuursniveau.” Cybercrime blijft financieel lucratief, en criminelen werken beter samen dan de bedrijven die zich moeten verdedigen. “Het is nog steeds de cybercrime business waar het meeste geld in omloopt. Volgens schattingen uit een rapport van Cybersecurity Ventures, bedraagt de schade door cybercrime wereldwijd ongeveer 10,5 biljoen dollar per jaar. Daarmee is het, na de VS en China, de op twee na grootste economie ter wereld”, stelt Ketting vast. Juist daarom komen er altijd weer nieuwe dreigingen, en moeten organisaties zich proactiever opstellen. “Je kunt veel dingen voorblijven als je er goed over nadenkt”, benadrukt hij.

Bestuurders moeten de regie terugpakken Weerbaarheid is geen IT-project maar een strategische opgave die leiderschap vergt, want het begint bij de top. Bestuurders moeten de juiste vragen stellen aan de CISO. “Een raad van bestuur die elke vraag over security doorschuift naar de CISO, heeft het niet begrepen. De CISO moet uitvoeren en faciliteren, maar de statutaire verantwoordelijkheid ligt bij de bestuurder. Die is verantwoordelijk”, stelt Ketting. NIS2-wetgeving maakt die verantwoordelijkheid expliciet, Ketting ziet echter nog veel misvattingen in bestuurskamers in het land. “Je moet aan de slag met een cultuur waarin digitale weerbaarheid niet als een probleem wordt gezien.”

Gesponsord