Wat een trage respons kost
Bij een incident bepaalt de tijd tussen het eerste signaal en de eerste gecoördineerde actie voor een groot deel hoeveel schade ontstaat. Officiële evaluaties van incidenten laten steeds dezelfde gaten zien: de juiste mensen worden te laat bereikt, informatie raakt versnipperd en het incidentproces groeit niet mee met de omvang van het incident. Op deze pagina leest u wat dat kost, wat wet- en regelgeving van uw organisatie vraag en wat vier recente evaluaties uit verschillende sectoren leren.
Waar het in de eerste minuten misgaat
In evaluaties van uiteenlopende incidenten keren drie patronen terug:
- Een signaal zonder geadresseerde. Een melding komt binnen, maar het is niet duidelijk wie hem oppakt en wanneer er wordt opgeschaald als niemand reageert.
- Versnipperde communicatie. Verschillende mensen bellen met verschillende partners. Er ontstaat geen gedeeld beeld en niemand weet zeker wie wat heeft ontvangen.
- Een proces dat niet meeschaalt. Een werkwijze die voldoet bij dagelijkse verstoringen, loopt vast als het incident groter, langer of complexer wordt. Rollen, back-ups en escalatielijnen blijken dan niet vooraf geregeld.
Daar komt een praktisch gegeven bij: veel incidenten beginnen ’s avonds, ’s nachts of in het weekend. Wie dan dienst heeft, wie de back-up is en hoe snel die persoon ter plaatse kan zijn, moet vooraf vastliggen.
Wat een trage respons kost
De kosten van een trage respons zijn zelden alleen financieel. De casussen laten vier soorten schade zien:
| Soort schade | Voorbeeld uit de evaluaties |
|---|---|
| Tijd | Bij de brand op de Fremantle Highway werd de meldkamer Noord-Nederland 49 minuten na de eerste melding bij het Kustwachtcentrum geïnformeerd. |
| Continuïteit | Bij Atlassian duurde de storing voor een deel van de 775 getroffen klanten tot 14 dagen. |
| Zorg en dienstverlening | Na de WannaCry-aanval op de Britse NHS werden naar schatting meer dan 19.000 afspraken geannuleerd. |
| Geld | De Britse overheid schatte de kosten van WannaCry voor de NHS op 92 miljoen pond. |
Daarnaast kost een trage of rommelige respons vertrouwen: van klanten, inwoners, toezichthouders en de eigen medewerkers.
Wat wet- en regelgeving vragen
Sinds 15 augustus 2026 gelden de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Beide vragen niet alleen om preventie, maar ook om een ingerichte respons: wie doet wat bij een incident, en hoe snel meldt u. Voor de industrie, veiligheidsregio’s en de zorg gelden daarnaast eigen kaders.
| Kader | Voor wie | Wat het vraagt over respons |
|---|---|---|
| Cyberbeveiligingswet (Cbw) | Organisaties in 18 sectoren, waaronder overheid, zorg, energie, drinkwater, digitale infrastructuur en chemie | Een bedrijfscontinuïteitsplan en een plan voor crisisbeheer met taken en bevoegdheden. Meldplicht: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindverslag binnen een maand. |
| Wet weerbaarheid kritieke entiteiten (Wwke) | Door de minister aangewezen kritieke entiteiten | Maatregelen voor incidentbestrijding, herstel en bedrijfscontinuïteit. Melding van een incident binnen 24 uur. |
| Seveso-regels in het Besluit activiteiten leefomgeving (voorheen BRZO) | Bedrijven die met grote hoeveelheden gevaarlijke stoffen werken | Een intern noodplan dat minimaal elke drie jaar wordt beoordeeld en beproefd. Ongewone voorvallen meteen melden aan het bevoegd gezag. |
| Wet veiligheidsregio’s | Veiligheidsregio’s, gemeenten, aangewezen bedrijven en zorginstellingen | Voorbereiding op rampen en crises, multidisciplinaire opschaling, bedrijfsbrandweer waar aangewezen. |
| ISO 22301:2019 | Elke organisatie (vrijwillig) | Eisen voor een managementsysteem voor bedrijfscontinuïteit, inclusief incidentrespons. |
| ISO 22320:2018 | Organisaties met een rol in incidentbestrijding (vrijwillig) | Richtlijnen voor incidentmanagement: commandostructuur, coördinatie en informatie-uitwisseling. |
| NEN 7510 | Zorgaanbieders | Informatiebeveiliging in de zorg, verplicht via de Wabvpz en de norm waarnaar de Cbw-regeling voor de zorg verwijst. |
Deze tabel is een samenvatting, geen juridisch advies. Raadpleeg de wettekst of uw toezichthouder voor wat precies voor uw organisatie geldt.
Vier evaluaties, vier sectoren
Overheid en veiligheidsregio’s: Fremantle Highway (2023). Bij de brand op het autoschip voor de kust van Ameland communiceerden meerdere medewerkers van het Kustwachtcentrum parallel met de meldkamer. Volgens de Onderzoeksraad voor Veiligheid raakte informatie daardoor versnipperd en ontstond geen gedeeld beeld. Lees de casus Fremantle Highway
Industrie en Seveso-bedrijven: Indorama Europoort (2022). Bij een chemiebedrijf in de Rotterdamse haven kwam ruim 2,5 ton azijnzuur als dampwolk vrij. Tussen het eerste signaal en de melding aan de brandweer zat 36 minuten. Lees de casus Indorama
IT en dienstverlening: Atlassian (2022). Een onderhoudsscript verwijderde 883 cloudomgevingen van 775 klanten. Atlassian concludeerde zelf dat het incidentproces niet was ontworpen voor een incident van deze omvang. Lees de casus Atlassian
Zorg: WannaCry bij de NHS (2017). Ransomware trof minstens 80 Britse ziekenhuisorganisaties. Er was een responsplan, maar het was lokaal niet getest, en in het begin was niet duidelijk wie de respons leidde. Lees de casus WannaCry
Wat een goed ingericht responsproces regelt
De evaluaties wijzen in dezelfde richting. Een responsproces dat werkt als het erop aankomt, regelt vooraf:
- Wie dienst heeft, en wie de back-up is. Per rol, ook buiten kantoortijd, en zichtbaar voor iedereen die moet opschalen.
- Alarmeren in één handeling. De juiste groep wordt tegelijk bereikt, met bevestiging wie heeft gereageerd en automatische escalatie als een reactie uitblijft.
- Scenario’s met handelingsperspectief. Bij welk signaal wordt wie gealarmeerd, met welke instructie.
- Een kanaal dat los staat van het incident. Als e-mail of het netwerk uitvalt, moet alarmering blijven werken.
- Vastlegging. Wie is wanneer gealarmeerd en wie heeft gereageerd: nodig voor regie tijdens het incident en voor verantwoording achteraf.
OrcaGroup ondersteunt dit met DutyFlow, voor piket- en bereikbaarheidsplanning, en iTelAlert, voor alarmering, opschaling en crisiscommunicatie. Meldkamers, veiligheidsregio’s, gemeenten en bedrijven in de vitale infrastructuur gebruiken deze oplossingen.
Meest gestelde vragen
Een melding is een signaal dat ergens binnenkomt, bijvoorbeeld een e-mail of een systeemmelding. Een alarmering bereikt een specifieke persoon of groep, vraagt om bevestiging en schaalt op als die uitblijft.
Ja. De uitwerking van de zorgplicht in het Cyberbeveiligingsbesluit vraagt om een bedrijfscontinuïteitsplan en een plan voor crisisbeheer met taken, verantwoordelijkheden en bevoegdheden.
Onder de Cbw geeft u binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een melding en binnen een maand een eindverslag. Onder de Wwke meldt u een incident binnen 24 uur.
De oorzaak van een incident verschilt per geval. De manier waarop organisaties reageren, laat juist terugkerende patronen zien. Daar kunt u van leren, ongeacht uw sector.
Hoe responsklaar is uw organisatie?
Doe de Response Readiness Tool en ontdek in een paar minuten waar uw responsproces sterk is en waar het kwetsbaar is.