Cyber crisis readiness draait volgens Martin Koopmans niet om gedetailleerde draaiboeken of theoretische scenario\u2019s, maar om iets veel praktischers: weten wat je moet doen als het misgaat en dat ook \u00e9cht hebben geoefend. \u201cGeen enkele crisis is hetzelfde. Maar als je oefent, weet je in ieder geval wie waarvoor verantwoordelijk is, hoe het proces op hoofdlijnen moet lopen en welk plan je daarbij helpt.\u201d<\/p>\n
Die visie is stevig geworteld in zijn loopbaan. Martin begon in de digitale opsporing bij de politie, waar hij zich vanaf het begin van de opkomst van internetcriminaliteit bezighield met cybercrime en digitale sporen in klassieke opsporingszaken. Daarna werkte hij binnen de landelijke eenheid en ontwikkelde hij lesmateriaal voor Europese politiediensten. Later maakte hij de overstap naar ING, waar hij hielp bij het opzetten van het Cyber Defense Center en zich vervolgens ook bezighield met red teaming, zoals TIBER vanuit de DNB. Via Waternet kwam hij uiteindelijk terecht bij Noordwest Ziekenhuisgroep, waar hij nu CISO is. Naast zijn rol als CISO zet Koopmans zich ook in als trainer voor CCRC. Daar richt hij zich vooral op oefeningen die nauw aansluiten bij de praktijk van een organisatie. Een goed scenario sluit volgens hem aan op het type organisatie en op de bestaande processen voor incidentmanagement, bedrijfscontinu\u00efteit en crisismanagement. <\/p>\n
Volgens Martin zit de waarde van zo\u2019n oefening niet alleen in het testen van kennis, maar vooral in het blootleggen van gedrag, besluitvorming en onduidelijkheden. En die komen er in de praktijk vaak sneller uit dan organisaties denken. Een veelvoorkomend probleem is dat niet helder is waar incidentmanagement ophoudt en crisismanagement begint. \u201cWat ik veel zie gebeuren, is dat niet goed duidelijk is: wat is risicomanagement, wat is business continuity management, wat is incidentmanagement en wanneer schaal je op naar crisis? Juist die onduidelijkheid kan ervoor zorgen dat organisaties te snel of juist te laat opschalen.\u201d<\/p>\n
Ook de rolverdeling blijkt in oefeningen vaak minder helder dan op papier. Zo ziet Koopmans regelmatig dat communicatie niet standaard in het crisismanagementteam zit. Dat vindt hij opvallend, omdat communicatie volgens hem juist cruciaal is om regie te houden op het verhaal naar buiten. <\/p>\n
\u201cAls jij niet goed communiceert, gaat de buitenwereld zelf een verhaal maken. En dat is voor organisaties heel lastig om later nog recht te draaien.\u201d<\/strong><\/p><\/blockquote>\n
Daarmee raakt hij ook aan een andere valkuil: organisaties die crisismanagement te gedetailleerd proberen uit te schrijven. Volgens Martin geeft dat een gevoel van controle, maar werkt het in de praktijk vaak averechts. \u201cSoms zie ik organisaties met een crisisdocument van tientallen pagina\u2019s. Dat gaat niemand doorlezen tijdens een crisis.\u201d Wat beter werkt, is een compact en praktisch plan, met heldere rollen, concrete houvast en een aanpak die voldoende bewegingsruimte laat op het moment dat de druk oploopt. Want hoe goed je je ook voorbereidt, zegt Martin: \u201cEr komen altijd bussen van links. Met andere woorden: er gebeurt altijd iets waar je vooraf niet precies rekening mee hebt gehouden.\u201d<\/p>\n
Een lerende organisatie wordt echt weerbaar<\/h2>\n
Juist daarom ziet hij oefenen als onderdeel van een bredere leercyclus. Organisaties worden pas \u00e9cht weerbaarder als ze lessen uit oefeningen terugbrengen in hun processen en plannen, en daarna opnieuw toetsen. Dat is volgens hem niet anders dan in sectoren waar oefenen al heel normaal is. <\/p>\n
\u201cDe brandweer en de luchtvaart zijn bij uitstek lerende organisaties, die noodsituaties trainen met realistische scenario\u2019s om onder hoge druk rustig te blijven.\u201d<\/strong><\/p><\/blockquote>\n
Die discipline ontbreekt in veel organisaties nog, terwijl juist herhaling het verschil maakt tussen een plan op papier en een team dat onder druk kan handelen. Dat betekent overigens niet dat oefenen altijd groot en zwaar hoeft te zijn. Volgens Koopmans kun je ook veel leren door actuele incidenten te gebruiken als uitgangspunt voor een gesprek. \u201cStel dat iets vergelijkbaars morgen bij jouw organisatie gebeurt; wat doe je dan? Wie schuift aan? Welke keuzes maak je? Ook dat soort sessies helpen om crisismanagement levend te houden.\u201d<\/p>\n
In de zorg draait continu\u00efteit direct om mensen<\/h2>\n
In zijn huidige werk in de zorg ziet hij bovendien hoe belangrijk het is om crisismanagement te verbinden aan business continuity. De principes van crisisbeheersing zijn volgens hem in elke sector vergelijkbaar, maar de impact van verstoring verschilt sterk. In een ziekenhuis kun je sommige processen uitstellen, maar andere absoluut niet. Een poliklinische afspraak kan later plaatsvinden, maar een intensive care of complexe bevalling niet. Daarom moet vooraf duidelijk zijn welke processen minimaal overeind moeten blijven. \u201cBij ons wil je v\u00f3\u00f3r een crisis al maatregelen hebben ge\u00efmplementeerd die de continu\u00efteit op een vooraf afgesproken minimumniveau waarborgen.\u201d<\/p>\n
Dat raakt aan een punt dat volgens hem nog te vaak onderbelicht blijft: als incidentmanagement en business continuity goed op orde zijn, hoeft een verstoring niet automatisch uit te groeien tot een crisis. Hij gebruikt daarvoor de metafoor van een reserveband. Zolang je die hebt en weet hoe je hem gebruikt, kun je verder. Pas als die reserve ontbreekt, ontstaat echt een crisissituatie. <\/p>\n
\u201cAls je incidentmanagement en business continuity management goed op orde hebt, hoef je ook veel minder vaak op te schalen naar crisismanagement.\u201d<\/strong><\/p><\/blockquote>\n
Als er \u00e9\u00e9n denkkader is dat volgens Martin helpt om ook onder druk grip te houden, dan is het beeldvorming, oordeelsvorming en besluitvorming. Eerst vaststellen wat er feitelijk aan de hand is, dan bepalen wat dat betekent, en pas daarna besluiten wat er moet gebeuren. \u201cEven pas op de plaats: wat is er nu, wat betekent dat, en wat besluiten we daarop? Juist die structuur voorkomt dat organisaties in de hectiek te snel in de actiestand schieten zonder gedeeld beeld.\u201d<\/p>\n
Waar bestuurders morgen mee kunnen beginnen<\/h2>\n
Zijn belangrijkste advies aan bestuurders is helder: breng eerst in kaart waar de grootste impact zit als het misgaat. Welke processen zijn kritiek? Wat mag absoluut niet uitvallen? En wat betekent dat voor klanten, burgers, pati\u00ebnten of ketenpartners? \u201cAls je niet weet waar de grootste impact zit, kun je het ook niet beschermen.\u201d<\/p>\n
Daarna volgt de stap die volgens hem nog te vaak wordt overgeslagen: oefenen. Want cyber crisis readiness begint niet bij een document, maar bij het vermogen van een organisatie om onder druk samen te werken, keuzes te maken en koers te houden.<\/p>\n