Nederland is te kwetsbaar voor cyberincidenten: 'Zijn met neus op feiten gedrukt'

De keerzijde van onze digitale samenleving werd deze week duidelijk na een cybersecurityincident bij Albert Heijn. Het doet de vraag rijzen of Nederlandse bedrijven niet te afhankelijk zijn van computersystemen. En of er plannen klaarliggen voor als de boel écht platligt.

Terwijl nog wordt uitgezocht wat er precies aan de hand was bij Albert Heijn, werden de gevolgen van een cyberincident direct zichtbaar voor klanten van de supermarkt. Ze troffen lege schappen en bij producten die er wel lagen, stonden soms prijzen die niet klopten. Bij de kassa liepen klanten hun persoonlijke korting mis.

"Ergens is het nog een geluk dat dit bij één supermarkt is gebeurd", zegt Dave Maasland, cybersecurityexpert bij ESET Nederland. Klanten konden nu nog uitwijken naar andere winkels. "Stel je voor dat meerdere ketens tegelijk waren getroffen."

IT-expert en oud-Tweede Kamerlid Kees Verhoeven pleit voor meer cyberweerbaarheid. Volgens hem zullen verstoringen vaker voorkomen en moet de samenleving daarop voorbereid zijn. "Je ziet hoe digitale incidenten kunnen leiden tot concrete problemen", zegt hij.

Cyberweerbaarheid betekent dat bedrijven niet alleen proberen aanvallen en storingen te voorkomen. Ook moeten ze zorgen dat ze na een incident snel weer door kunnen. Daarom moet altijd helder zijn wat er in een noodsituatie moet gebeuren.

Nadenken over (fysieke) back-ups

Rick van der Kleij, lector Cyberweerbare Organisaties bij Avans Hogeschool, denkt dat dat bij veel organisaties beter kan. "Het is duidelijk dat Nederlandse bedrijven onvoldoende zijn voorbereid op cyberincidenten."

Volgens Van der Kleij moeten we afstappen van een 'just in time'-mindset en gaan voor de 'just in case'-aanpak. Daarmee bedoelt hij dat Nederlandse bedrijven zijn ingericht op efficiëntie, terwijl ze zich beter moeten voorbereiden op het geval dat er iets gebeurt.

"Fysiek denken verdwijnt langzaam uit ons leven", vult Verhoeven aan. "Maar risico's zijn er altijd. Ik vind het wel logisch dat we nadenken over offline back-upplannen."

Het Nationaal Cyber Security Centrum (NCSC) noemt het belangrijk dat bedrijven weten wat hun kroonjuwelen zijn: de belangrijkste gegevens, producten, diensten en geheimen. "Zijn die afhankelijk van IT? En wat is een goede balans van risico's die beheerst moeten worden en risico's die we kunnen accepteren?", zegt een woordvoerder.

"Een analoog alternatief is een van de maatregelen die een organisatie kan overwegen. Of dit een passende maatregel is, moet binnen het bredere kader van risicomanagement worden beoordeeld. In sommige gevallen is een andere oplossing passender." De NCSC-woordvoerder benadrukt dat analoge alternatieven ook andere uitdagingen met zich meebrengen, bijvoorbeeld als een leverancier wél volledig digitaal werkt. "Dan kan het bedrijf die analoge bestelling alsnog niet plaatsen."

'Touwtje hangt op veel plekken nog uit brievenbus'

Alternatieve plannen klaarleggen en meer investeren in cyberweerbaarheid doen bedrijven ook niet graag, omdat dat geld kost. "Het voelt als investeren in iets wat zich mogelijk niet terugbetaalt", zegt Van der Kleij. "De maatschappij is in grote mate gedigitaliseerd en dat biedt veel voordelen. Maar het maakt bedrijven helaas ook kwetsbaar voor criminelen die een slag willen slaan."

Die kwetsbaarheid is nu eenmaal iets waar bedrijven tegenwoordig rekening mee moeten houden. Een situatie zoals die bij Albert Heijn zou andere organisaties moeten wakker schudden, vindt Maasland. "In Nederland is op digitaal gebied nog veel achterstallig onderhoud", zegt hij. "Op veel plekken hangt het touwtje nog uit de brievenbus. We worden nu met de neus op de feiten gedrukt dat dat écht niet meer kan."

Het incident bij Albert Heijn staat niet op zichzelf. Zo zorgde een storing in het Maasstad Ziekenhuis in Rotterdam er eerder dit jaar voor dat operaties niet konden doorgaan.

Na een hack op systemen van het Openbaar Ministerie liepen vorig jaar duizenden rechtszaken vertraging op. En toen in 2024 een storing de computers van Eindhoven Airport trof, was er een dag geen vliegverkeer mogelijk.

'Controleer elkaar op mogelijke zwaktes'

De deskundigen adviseren bedrijven en organisaties om veel vaker digitale brandoefeningen te doen. Door incidenten te simuleren in een veilige omgeving, wordt snel duidelijk waar de zwakke plekken in de keten zitten.

Het NCSC noemt het daarnaast essentieel om back-ups regelmatig te controleren en te testen. "Het monitoren en testen van back-ups zijn belangrijke aandachtspunten die soms pas aandacht krijgen op het moment dat herstel daadwerkelijk nodig is."

Een nieuwe Europese cyberbeveiligingswet (NIS2), die afgelopen augustus in werking trad, moet bijdragen aan verbetering. Die wet stelt eisen aan de digitale weerbaarheid van duizenden organisaties in Nederland.

Een van de onderdelen daarvan is dat bedrijven hun partners goed onder de loep nemen. "Breng in kaart welke leveranciers het belangrijkst zijn", zegt Maasland daarover. "Zodat je weet waar risico's kunnen ontstaan. Blijf elkaar ook controleren op mogelijke zwaktes."

Die samenwerking is heel belangrijk, vult Van der Kleij aan. "Je bent afhankelijk van elkaar. Vroeger werden cyberincidenten vaker onder de pet gehouden. Je ziet dat bedrijven daar nu meer openheid over geven. Dat is een heel goede ontwikkeling. Zo leert iedereen van elkaar."

Rutger schrijft over de impact van technologie. Hij focust op AI, digitale onafhankelijkheid en sociale media. Wekelijks verschijnt zijn blog Schermtijd. Mail je tips of vragen.