Cybersecuritymaand voorbij: hoe weerbaar is uw organisatie? 

Van terugkijken naar vooruitkijken

De onderwerpen van de afgelopen maand lijken verschillend, maar hebben één duidelijke gemene deler: cybersecurity is geen IT-vraagstuk dat u aan één afdeling kunt overlaten. Een incident bij een leverancier kan uw bedrijfsvoering raken, bestuurders hebben een eigen verantwoordelijkheid en medewerkers spelen iedere dag een rol in de beveiliging. De vraag is dus niet alleen wat u over cybersecurity weet, maar vooral wat uw organisatie ermee doet. Gebruik de onderstaande vragen als korte zelfscan.

1. Weet u wat de grootste risico’s zijn?

Breng de systemen, gegevens en processen in kaart die essentieel zijn om uw organisatie draaiende te houden. Bepaal vervolgens welke cyberrisico’s daarop de grootste impact hebben. Actie: kies uw vijf belangrijkste informatiebeveiligingsrisico’s, koppel daar een eigenaar aan en leg vast welke maatregelen al bestaan en welke nog ontbreken. Zorg ervoor dat verbetermaatregelen worden uitgevoerd en toets of deze maatregelen de risico’s voldoende mitigeren.

2. Weet u waar uw keten kwetsbaar is?

Uw organisatie kan de beveiliging intern goed hebben ingericht en toch afhankelijk zijn van een kwetsbare leverancier. Actie: identificeer uw kritieke leveranciers, bespreek beveiligingseisen en incidentmelding en controleer of afspraken niet alleen in het contract staan, maar ook aantoonbaar worden nageleefd.

3. Is cybersecurity ook echt een bestuursonderwerp?

Onder NIS2 en de Nederlandse Cyberbeveiligingswet krijgt bestuurlijke betrokkenheid nadrukkelijk aandacht. De reden waarom het bestuur meer betrokken moet worden bij informatiebeveiliging is dat informatiebeveiligingsrisico’s direct de continuïteit van de bedrijfsvoering kunnen raken. Actie: zet informatiebeveiligingsrisico’s periodiek op de bestuursagenda en spreek af welke informatie het bestuur nodig heeft om risico’s en maatregelen te kunnen beoordelen. Daarnaast is het belangrijk om te zorgen dat bestuurders over de juiste kennis beschikken om dit onderwerp te kunnen bespreken door bijvoorbeeld trainingen of kennissessies bij te wonen.

4. Weten medewerkers wat van hen wordt verwacht?

Een beleidsdocument voorkomt geen verkeerde klik. Medewerkers moeten verdachte situaties herkennen én weten waar zij deze melden. Actie: combineer terugkerende awareness trainingen met phishing-simulaties en bespreek de resultaten. Niet om medewerkers af te rekenen, maar om zichtbaar te maken waar extra aandacht nodig is.

5. Kunt u handelen als het morgen misgaat?

Een cyberincident is niet het moment om rollen, telefoonnummers en beslissingsbevoegdheden uit te zoeken. Actie: controleer uw incidentresponsplan en organiseer een tabletop-oefening. Leg een realistisch scenario op tafel, bijvoorbeeld ransomware of uitval van een kritieke leverancier, en test of escalatie, communicatie, melding en herstel daadwerkelijk werken.

6. Weet u welke eisen voor u gelden?

Wetgeving, klanten en ketenpartners stellen steeds nadrukkelijker eisen aan informatiebeveiliging. Actie: bepaal of en hoe de Cyberbeveiligingswet op uw organisatie van toepassing is, welke contractuele verplichtingen u heeft en welk bewijs klanten of toezichthouders van uw beheersmaatregelen kunnen vragen.

Hoeveel kunt u overtuigend afvinken?

Zes keer “ja”? Dan staat er al een stevig fundament. Toch blijft periodiek toetsen noodzakelijk, want uw organisatie, leveranciers en dreigingen veranderen voortdurend.

Nog niet alles afgevinkt? Zie dat niet als een eindbeoordeling, maar als uw eerstvolgende actielijst. Juist een openstaande vraag laat zien waar winst te behalen is. Misschien ontbreekt overzicht in de informatiebeveiligingsrisico’s binnen uw organisatie, zijn verantwoordelijkheden nog niet scherp of is uw incidentrespons nooit echt getest.

Wilt u meer informatie over het verhogen van de cyberweerbaarheid van uw organisatie? Of bent u benieuwd hoe Van Oers u hierbij kan ondersteunen? Neem dan contact op met één van onze specialisten via onderstaande button of per e-mail: digitalsolutions@vanoers.nl.