De dreiging wordt concreter: van crisisplan naar crisisweerbaarheid

De vraag of organisaties voorbereid zijn op een ernstige crisis is allang niet meer theoretisch. Cyberaanvallen, sabotage, desinformatiecampagnes, uitval van vitale infrastructuur en andere verstoringen maken duidelijk dat organisaties moeten kunnen opereren in een omgeving waarin onzekerheid de norm is.

Miljoenen Nederlanders zijn door een aantal recente grote datalekken in hun veiligheid geraakt. Daarnaast zorgen een toename van fysieke sabotage en verschuiving van aanvallen op operationele systemen en menselijke fouten voor directe verstoring van vitale infrastructuur zoals het spoorwegnet, ziekenhuizen, waterzuiveringsinstallaties en datacenters.

Ook in politiek Den Haag is cyberveiligheid uitgegroeid van een technisch onderwerp tot een politieke topprioriteit. Toenemende geopolitieke spanningen, cyberaanvallen, desinformatie en de snelle opkomst van AI hebben de urgentie vergroot. De politieke aandacht richt zich daarom op investeringen in digitale weerbaarheid, de bescherming van vitale infrastructuur en de versterking van de cybercapaciteiten van overheid en veiligheidsdiensten.

Op 15 augustus 2026 is de Europese NIS2 Richtlijn in Nederland geimplementeerd. Daardoor geldt sindsdien strengere wetgeving voor organisaties in vitale sectoren (stroom, water, transport, telecom). Aangewezen organisaties zijn verplicht om zowel hun fysieke als digitale beveiliging drastisch op te schroeven om de continuïteit van de samenleving te garanderen. Het gaat daarbij om de weerbaarheid tegen uiteenlopende dreigingen en risico's, zoals natuurrampen, ongevallen, sabotage en terroristische misdrijven, die de levering van essentiële diensten aanzienlijk kunnen verstoren. Zij moeten onder meer een risicobeoordeling uitvoeren, passende weerbaarheids-maatregelen nemen, significante incidenten melden en -kort gezegd- zorgen voor waterdichte plannen om in noodsituaties paniek te voorkomen, schade te beperken en de continuïteit te waarborgen.

Voorbereid zijn is niet hetzelfde als weerbaar zijn

Tegen die achtergrond investeren veel organisaties in cybersecurity, continuïteitsmaatregelen en crisismanagement. Dit omvat technische redundantie, operationele noodprocedures (playbooks) en continuïteitsplanning, maar ook protocollen voor zorgvuldige interne en externe communicatie. Organisaties moeten immers incidenten melden aan de bevoegde autoriteit en aantonen dat zij maatregelen hebben getroffen om incidenten te voorkomen, beperken en ervan te herstellen. Personeel moet worden voorgelicht en bewust worden gemaakt van deze maatregelen. Meer algemeen vormt communicatie met stakeholders, afnemers, overheden, ketenpartners, hulpdiensten en media een cruciaal onderdeel van de zorgplicht en incidentafhandeling.

Rollen en verantwoordelijkheden worden vastgelegd, escalatieprocedures beschreven en crisisplannen opgesteld. Dat zijn belangrijke randvoorwaarden, maar ze bieden op zichzelf geen garantie dat een organisatie ook daadwerkelijk weerbaar is wanneer een crisis zich voordoet.

Een echte crisis volgt namelijk zelden het draaiboek.

In de praktijk is informatie onvolledig, veranderen omstandigheden voortdurend en verwachten verschillende stakeholders tegelijkertijd antwoorden. Terwijl operationele teams proberen vast te stellen wat er precies aan de hand is, moeten bestuurders besluiten nemen over continuïteit, prioriteiten en risico's.

Juist dan blijkt dat crisisweerbaarheid meer is dan een operationele uitdaging. Veel organisaties zijn voorbereid op het incident zelf, maar minder op de dynamiek tussen besluitvorming, informatievoorziening en stakeholderverwachtingen. Wie neemt welke beslissing? Wanneer wordt opgeschaald? Welke stakeholders moeten worden geïnformeerd, en wanneer?

Tegelijkertijd beperkt een moderne crisis zich zelden tot de organisatie zelf. Een relatief beperkt operationeel incident kan door media-aandacht, sociale media en reacties van stakeholders in korte tijd uitgroeien tot een reputatie-, bestuurlijk of politiek vraagstuk.

De grootste uitdaging zit vaak tussen de teams

De uitdaging zit daarbij vaak niet in het ontbreken van procedures, maar in de samenwerking tussen teams. Veel kwetsbaarheden ontstaan juist op de momenten waarop informatie en verantwoordelijkheden tussen functies worden overgedragen. Terwijl specialisten werken aan het incident, moeten bestuurders besluiten nemen, juridische en complianceverplichtingen worden beoordeeld en verwachten medewerkers, klanten, toezichthouders en andere stakeholders duidelijkheid over de situatie.

Op papier kunnen verantwoordelijkheden helder lijken, maar onder tijdsdruk worden verschillen in interpretatie, mandaat en prioriteit vaak pas zichtbaar. Hoe worden besluiten genomen wanneer informatie nog onvolledig is? Welke informatie wordt gedeeld, met wie en op welk moment? En hoe zorg je ervoor dat verschillende onderdelen van de organisatie vanuit hetzelfde beeld van de situatie handelen?

Effectieve crisisbeheersing vraagt daarom niet alleen om het oplossen van het incident, maar ook om het vermogen om onder druk gezamenlijk te blijven functioneren. Juist de afstemming tussen besluitvorming, informatievoorziening, stakeholdermanagement en communicatie bepaalt hoe weerbaar een organisatie daadwerkelijk is.

Van crisisplan naar daadwerkelijke weerbaarheid

Organisaties moeten daarom niet alleen voorbereid zijn op het incident zelf, maar ook op de bestuurlijke, operationele en reputatiedynamiek die daarop volgt.

Burson helpt organisaties bij het versterken van die weerbaarheid door crisisbeheersing te benaderen als een geïntegreerd proces van governance, besluitvorming, stakeholdermanagement en informatievoorziening. Daarbij kijken we niet alleen naar formele rollen, procedures en escalatielijnen, maar juist naar de manier waarop deze in de praktijk samenkomen wanneer de druk oploopt.

Onze aanpak bestaat uit een weerbaarheids opbouwprogramma dat bestaat uit drie samenhangende onderdelen:

• Readiness Review: inzicht verkrijgen in kwetsbaarheden, governance, stakeholderdynamiek en bestaande crisisstructuren en -plannen, zodat vaststeld kan wordenwaar de organisatie vandaag staat en welke versterkingen nodig zijn om effectief te kunnen reageren op complexe incidenten.
• Readiness Testing: versterken van processen, rollen, besluitvorming en crisisparaatheid, onder meer door middel van een interactieve table top exercise. Daarin lopen management en kernteams gezamenlijk door een realistisch sectorspecificiek scenario heen en worden keuzes, processen en verantwoordelijkheden getoetst. [Ook kan een mini-simulatie worden ingezet waarin deelnemers onder tijdsdruk moeten reageren op nieuwsberichten, stakeholdervragen, interne escalaties en mediaverzoeken.]
• Readiness Simulation: trainen en toetsen van de crisisorganisatie in realistische scenario's waarin operationele, bestuurlijke en reputatierisico's samenkomen, door middel van Burson Flight School.

Flight School is Bursons eigen online platform voor digitale crisissimulaties. In een meeslepende workshop van een dagdeel (4 uur) worden leiderschaps-, juridische, communicatie- en operationele teams in een realistische crisisscenario met hoge tijdsdruk geplaatst. Anders dan bij een traditionele tabletop-oefening moeten deelnemers realtime reageren op steeds nieuwe incidenten, veranderende omstandigheden, telefonische vragen van journalisten, social media posts en mails van stakeholders.

De simulatie maakt zichtbaar hoe besluitvorming, informatievoorziening en stakeholdermanagement daadwerkelijk functioneren wanneer tijdsdruk, onzekerheid en tegengestelde belangen een rol spelen. De inzichten uit de simulatie laten zien waar processen, verantwoordelijkheden en samenwerking onder druk komen te staan en bieden organisaties concrete handvatten om hun crisisweerbaarheid gericht verder te ontwikkelen. Burson zorgt voor het platform, de scenario's, de inputs en de begeleiding.

Na afloop volgt een uitgebreide evaluatie met concrete aanbevelingen en prioriteiten voor verdere versterking van de crisisparaatheid van de organisatie.