Waarom een plan nodig is
Een incident gebeurt vaak op een ongelegen moment en onder tijdsdruk. Zonder plan gaat kostbare tijd verloren aan de vraag wie beslist, wie de ICT-partner belt en of er gemeld moet worden. Met de meldplicht van 24 uur uit de Cyberbeveiligingswet is die tijd er niet. ISO 27001 vraagt ook expliciet om een voorbereide aanpak voor incidenten.
Wat staat er in het plan?
Een bruikbaar plan is kort en praktisch. Medewerkers moeten het kunnen gebruiken als de normale systemen niet werken.
- Wat een incident is en hoe medewerkers het melden.
- Het incidentteam, met rollen: wie leidt, wie beslist en wie communiceert.
- Contactgegevens van ICT-partner, hostingprovider, verzekeraar, juridisch adviseur en incidentresponsspecialist.
- Criteria voor het opschalen naar directie en voor meldingen aan NCSC, toezichthouder en Autoriteit Persoonsgegevens.
- Scenario’s met concrete stappen, bijvoorbeeld voor ransomware, een gehackte mailbox en een datalek.
- Afspraken over communicatie met medewerkers, klanten en pers.
Zorg dat het plan bereikbaar is
Bewaar het plan niet alleen op het netwerk dat bij een aanval onbereikbaar kan zijn. Zorg voor een afgedrukte versie of een kopie buiten de eigen omgeving, met de belangrijkste telefoonnummers. Spreek een alternatief communicatiekanaal af voor als e-mail en Teams niet te vertrouwen zijn.
Oefen met een scenario
Een tafeloefening is een effectieve manier om het plan te testen. Het team bespreekt aan de hand van een realistisch scenario wat het zou doen, met tussentijdse ontwikkelingen. Dat kost een paar uur en laat snel zien waar het plan tekortschiet: een ontbrekend telefoonnummer, onduidelijkheid over wie beslist of een back-up waarvan niemand weet hoe lang herstel duurt.
Leer van elk incident
Evalueer na elk incident en elke oefening wat goed ging en wat beter kan. Werk het plan bij en leg verbeteracties vast met een eigenaar. Controleer daarnaast minimaal jaarlijks of contactgegevens en rollen nog kloppen. Het plan is pas waardevol als het actueel is op het moment dat u het nodig hebt.