Awareways en Sopra Steria over mens en cyberweerbaarheid
Human resilience bepaalt in belangrijke mate of een organisatie tijdens een langdurige cybercrisis haar dienstverlening kan blijven uitvoeren. Niet alleen technologie, maar juist mensen, gedrag, cultuur en besluitvorming bepalen hoe veerkrachtig een organisatie werkelijk is.
Een cyberincident stopt niet zodra systemen uitvallen. Juist dan begint de vraag hoe een organisatie operationeel overeind blijft. Tijdens de European Resilience Summit in Den Haag lieten Eelco Stofbergen van Sopra Steria en Esther Schnepper van Awareways zien waarom organisaties verder moeten kijken dan technisch herstel. Hun boodschap is positief: mensen zijn geen zwakke schakel die organisaties moeten beheersen, maar een kracht die organisaties gericht kunnen ontwikkelen.
Human resilience versterkt cyberweerbaarheid
Veel organisaties richten crisismanagement primair op herstel. Hoe krijgen we systemen weer beschikbaar? Hoe herstellen we data? Hoe keren we terug naar de normale situatie? Volgens Eelco Stofbergen ontbreekt daarmee een cruciale fase: hoe blijft de organisatie functioneren zolang herstel nog niet mogelijk is?
Verstoring vraagt niet alleen om herstelplannen, maar ook om voorbereiding op continuïteit
“Als de digitale stekker eruit gaat, zijn het de mensen die ervoor moeten zorgen dat de organisatie blijft draaien”, stelde Stofbergen tijdens de sessie. Human resilience gaat volgens hem over het vermogen van mensen en organisaties om kerntaken op het verwachte kwaliteitsniveau te blijven uitvoeren terwijl de digitale infrastructuur is verslechterd.
Die benadering sluit aan bij het Nationaal Cyber Security Centrum. Het NCSC benadrukt dat een ernstige verstoring niet alleen vraagt om herstelplannen, maar ook om voorbereiding op continuïteit. Een bedrijfscontinuïteitsplan beschrijft hoe vitale processen en primaire bedrijfsprocessen tijdens en na een ernstige verstoring kunnen blijven functioneren.
Gedrag maakt weerbaarheid praktisch
Esther Schnepper [foto: Eventshoot]
Esther Schnepper plaatste het menselijke gedrag centraal. Goede intenties leiden namelijk niet automatisch tot veilig gedrag. Attitude, sociale normen en ervaren controle bepalen mede wat mensen willen doen. Kennis en de mogelijkheid om het gewenste gedrag daadwerkelijk uit te voeren zijn vervolgens minstens zo belangrijk.
“Alleen de intentie is niet genoeg”, benadrukte Schnepper. Een organisatie moet medewerkers dus niet alleen vertellen wat veilig gedrag is. Zij moet mensen ook de kennis, middelen en ruimte geven om dat gedrag daadwerkelijk te laten zien.
Daarmee verschuift cybersecurity van controle naar ondersteuning. Een veilige AI-oplossing verkleint bijvoorbeeld de kans dat medewerkers zelf onveilige alternatieven zoeken. Een realistische phishing-simulatie maakt gedrag zichtbaar zonder direct echte schade te veroorzaken. Training, communicatie en oefenen kunnen vervolgens aansluiten op wat medewerkers daadwerkelijk nodig hebben.
Ook ENISA benadrukt het belang van de menselijke factor binnen cybersecurity. Gedrag ontstaat niet los van de werkomgeving. Organisatiecultuur, leiderschap en de omstandigheden waarin medewerkers moeten handelen, beïnvloeden de manier waarop mensen met cybersecurity omgaan.
Organisatie ondersteunt menselijke veerkracht
Human resilience ontstaat volgens de sprekers pas wanneer mens en organisatie elkaar versterken. Dat vraagt om inzicht in kritieke processen, afhankelijkheden en minimale dienstverlening. Organisaties moeten vooraf bepalen welke taken altijd moeten doorgaan, welke alternatieven beschikbaar zijn en wie beslissingen mag nemen als reguliere systemen niet werken.
Houdt oefeningen waarin organisaties niet alleen herstel testen
Ook oefenen krijgt daardoor een andere betekenis. Niet alleen testen of een crisisprocedure technisch werkt, maar ervaren hoe teams functioneren wanneer systemen langere tijd wegvallen. Dat maakt zichtbaar waar besluitvorming stokt, waar medewerkers onvoldoende handelingsruimte hebben en waar cultuur het gewenste gedrag juist ondersteunt of belemmert. Stofbergen pleitte daarom voor oefeningen waarin organisaties niet alleen herstel testen. “Oefen niet alleen hoe je herstelt, maar oefen ook hoe je blijft functioneren wanneer systemen niet beschikbaar zijn.”
Dat vraagt om een bredere kijk op cyberweerbaarheid. Het NCSC adviseert organisaties om herstel vooraf in te richten, rollen en verantwoordelijkheden vast te leggen en herstelplannen regelmatig te oefenen en te testen. Daarbij benadrukt het NCSC ook het belang van het trainen van medewerkers en het leren van oefeningen en incidenten.
Human resilience bouwt vertrouwen
Eelco Stofbergen [foto: Eventshoot]
De grootste positieve impact van deze benadering ligt uiteindelijk bij continuïteit en vertrouwen. Een organisatie die tijdens digitale ontwrichting haar kerntaken kan blijven uitvoeren, beperkt niet alleen operationele schade. Zij laat medewerkers, klanten, inwoners en andere stakeholders zien dat zij voorbereid is op onzekerheid. Daarmee verandert de vraag van ‘Hoe herstellen we onze systemen?’ naar ‘Hoe blijven we waarde leveren terwijl herstel nog niet mogelijk is?’. Die verschuiving maakt cyberweerbaarheid concreter en menselijker.
Opvallend tijdens de sessie was ook de aandacht voor talent dat pas tijdens een crisis zichtbaar wordt. Schnepper wees erop dat medewerkers die in de dagelijkse organisatie minder opvallen, tijdens een crisis juist over vaardigheden kunnen beschikken die opeens cruciaal worden. “Misschien hadden ze vaardigheden die anderen niet hadden, en werden die vaardigheden pas urgent toen de crisis ontstond.”
Juist daarom zijn oefenen en observeren zo waardevol. Niet om individuele medewerkers af te rekenen, maar om te ontdekken welke kwaliteiten, gedragingen en structuren een organisatie tijdens een crisis sterker maken. Stofbergen vatte de kern uiteindelijk samen met een eenvoudige vraag: “Als de digitale stekker er morgen uitgaat en dat niet drie minuten of drie uur duurt, maar drie weken of zelfs langer, hoe ver komen we dan eigenlijk? En hoe ver komen onze medewerkers?”
Het antwoord hoeft niet direct geruststellend te zijn. Het moet vooral aanleiding geven om vandaag te oefenen. Want wie mensen, organisatie en technologie samen voorbereidt, vergroot niet alleen de kans op herstel, maar ook het vermogen om tijdens een crisis betrouwbaar te blijven functioneren.
Human resilience houdt organisatie operationeel
Awareways en Sopra Steria over mens en cyberweerbaarheid
Human resilience bepaalt in belangrijke mate of een organisatie tijdens een langdurige cybercrisis haar dienstverlening kan blijven uitvoeren. Niet alleen technologie, maar juist mensen, gedrag, cultuur en besluitvorming bepalen hoe veerkrachtig een organisatie werkelijk is.
Een cyberincident stopt niet zodra systemen uitvallen. Juist dan begint de vraag hoe een organisatie operationeel overeind blijft. Tijdens de European Resilience Summit in Den Haag lieten Eelco Stofbergen van Sopra Steria en Esther Schnepper van Awareways zien waarom organisaties verder moeten kijken dan technisch herstel. Hun boodschap is positief: mensen zijn geen zwakke schakel die organisaties moeten beheersen, maar een kracht die organisaties gericht kunnen ontwikkelen.
Human resilience versterkt cyberweerbaarheid
Veel organisaties richten crisismanagement primair op herstel. Hoe krijgen we systemen weer beschikbaar? Hoe herstellen we data? Hoe keren we terug naar de normale situatie? Volgens Eelco Stofbergen ontbreekt daarmee een cruciale fase: hoe blijft de organisatie functioneren zolang herstel nog niet mogelijk is?
Verstoring vraagt niet alleen om herstelplannen, maar ook om voorbereiding op continuïteit
“Als de digitale stekker eruit gaat, zijn het de mensen die ervoor moeten zorgen dat de organisatie blijft draaien”, stelde Stofbergen tijdens de sessie. Human resilience gaat volgens hem over het vermogen van mensen en organisaties om kerntaken op het verwachte kwaliteitsniveau te blijven uitvoeren terwijl de digitale infrastructuur is verslechterd.
Die benadering sluit aan bij het Nationaal Cyber Security Centrum. Het NCSC benadrukt dat een ernstige verstoring niet alleen vraagt om herstelplannen, maar ook om voorbereiding op continuïteit. Een bedrijfscontinuïteitsplan beschrijft hoe vitale processen en primaire bedrijfsprocessen tijdens en na een ernstige verstoring kunnen blijven functioneren.
Gedrag maakt weerbaarheid praktisch
Esther Schnepper plaatste het menselijke gedrag centraal. Goede intenties leiden namelijk niet automatisch tot veilig gedrag. Attitude, sociale normen en ervaren controle bepalen mede wat mensen willen doen. Kennis en de mogelijkheid om het gewenste gedrag daadwerkelijk uit te voeren zijn vervolgens minstens zo belangrijk.
“Alleen de intentie is niet genoeg”, benadrukte Schnepper. Een organisatie moet medewerkers dus niet alleen vertellen wat veilig gedrag is. Zij moet mensen ook de kennis, middelen en ruimte geven om dat gedrag daadwerkelijk te laten zien.
Daarmee verschuift cybersecurity van controle naar ondersteuning. Een veilige AI-oplossing verkleint bijvoorbeeld de kans dat medewerkers zelf onveilige alternatieven zoeken. Een realistische phishing-simulatie maakt gedrag zichtbaar zonder direct echte schade te veroorzaken. Training, communicatie en oefenen kunnen vervolgens aansluiten op wat medewerkers daadwerkelijk nodig hebben.
Ook ENISA benadrukt het belang van de menselijke factor binnen cybersecurity. Gedrag ontstaat niet los van de werkomgeving. Organisatiecultuur, leiderschap en de omstandigheden waarin medewerkers moeten handelen, beïnvloeden de manier waarop mensen met cybersecurity omgaan.
Organisatie ondersteunt menselijke veerkracht
Human resilience ontstaat volgens de sprekers pas wanneer mens en organisatie elkaar versterken. Dat vraagt om inzicht in kritieke processen, afhankelijkheden en minimale dienstverlening. Organisaties moeten vooraf bepalen welke taken altijd moeten doorgaan, welke alternatieven beschikbaar zijn en wie beslissingen mag nemen als reguliere systemen niet werken.
Ook oefenen krijgt daardoor een andere betekenis. Niet alleen testen of een crisisprocedure technisch werkt, maar ervaren hoe teams functioneren wanneer systemen langere tijd wegvallen. Dat maakt zichtbaar waar besluitvorming stokt, waar medewerkers onvoldoende handelingsruimte hebben en waar cultuur het gewenste gedrag juist ondersteunt of belemmert. Stofbergen pleitte daarom voor oefeningen waarin organisaties niet alleen herstel testen. “Oefen niet alleen hoe je herstelt, maar oefen ook hoe je blijft functioneren wanneer systemen niet beschikbaar zijn.”
Dat vraagt om een bredere kijk op cyberweerbaarheid. Het NCSC adviseert organisaties om herstel vooraf in te richten, rollen en verantwoordelijkheden vast te leggen en herstelplannen regelmatig te oefenen en te testen. Daarbij benadrukt het NCSC ook het belang van het trainen van medewerkers en het leren van oefeningen en incidenten.
Human resilience bouwt vertrouwen
De grootste positieve impact van deze benadering ligt uiteindelijk bij continuïteit en vertrouwen. Een organisatie die tijdens digitale ontwrichting haar kerntaken kan blijven uitvoeren, beperkt niet alleen operationele schade. Zij laat medewerkers, klanten, inwoners en andere stakeholders zien dat zij voorbereid is op onzekerheid. Daarmee verandert de vraag van ‘Hoe herstellen we onze systemen?’ naar ‘Hoe blijven we waarde leveren terwijl herstel nog niet mogelijk is?’. Die verschuiving maakt cyberweerbaarheid concreter en menselijker.
Opvallend tijdens de sessie was ook de aandacht voor talent dat pas tijdens een crisis zichtbaar wordt. Schnepper wees erop dat medewerkers die in de dagelijkse organisatie minder opvallen, tijdens een crisis juist over vaardigheden kunnen beschikken die opeens cruciaal worden. “Misschien hadden ze vaardigheden die anderen niet hadden, en werden die vaardigheden pas urgent toen de crisis ontstond.”
Juist daarom zijn oefenen en observeren zo waardevol. Niet om individuele medewerkers af te rekenen, maar om te ontdekken welke kwaliteiten, gedragingen en structuren een organisatie tijdens een crisis sterker maken. Stofbergen vatte de kern uiteindelijk samen met een eenvoudige vraag: “Als de digitale stekker er morgen uitgaat en dat niet drie minuten of drie uur duurt, maar drie weken of zelfs langer, hoe ver komen we dan eigenlijk? En hoe ver komen onze medewerkers?”
Het antwoord hoeft niet direct geruststellend te zijn. Het moet vooral aanleiding geven om vandaag te oefenen. Want wie mensen, organisatie en technologie samen voorbereidt, vergroot niet alleen de kans op herstel, maar ook het vermogen om tijdens een crisis betrouwbaar te blijven functioneren.