Cyberweerbaarheid begint waar de back-up eindigt

Met de Cyberbeveiligingswet zijn de Europese NIS2-eisen onderdeel van de Nederlandse wetgeving. Besturen van duizenden organisaties hebben een expliciete verantwoordelijkheid voor cyberrisicobeheersing, continuïteit en herstelvermogen. Daarnaast is sinds 5 maart 2026 BIO2 versie 1.3 van kracht, waarmee het normenkader voor informatiebeveiliging is aangepast en in lijn gebracht met de Cyberbeveiligingswet.

Het principe 'Assume Breach'

Cybercriminelen maken steeds vaker gebruik van AI, geavanceerde malware en aanvallen via leveranciersketens. Tegelijkertijd verplaatsen organisaties steeds meer kritieke processen naar cloud- en SaaS-platformen. Hierdoor vervaagt de traditionele grens van de ‘veilige omgeving’. Cybersecurity blijft noodzakelijk, alleen is het onvoldoende om uitsluitend te investeren in preventie en detectie. Peter Gommers, senior consultant bij PQR, ziet in de praktijk dat organisaties zich vaker realiseren dat zij moeten uitgaan van het principe ‘Assume Breach’. Een incident is geen uitzonderingssituatie meer. Het is een scenario waar organisaties aantoonbaar op voorbereid moeten zijn. Gommers: 'Dat sluit direct aan bij de intentie van de Cyberbeveiligingswet. Organisaties moeten risico’s beheersen, incidenten melden en de continuïteit van essentiële dienstverlening waarborgen. Bestuurders zijn daarbij hoofdelijk aansprakelijk.'

Bestuurlijke aantoonbaarheid

Voor publieke organisaties krijgt cyberrecovery extra gewicht door BIO2 versie 1.3. Deze versie bevat aanpassingen die de aansluiting op de Cyberbeveiligingswet versterken en legt meer nadruk op risico-gestuurde informatiebeveiliging en aantoonbare beheersing van cyberrisico’s.

Gommers: 'Daarmee verschuift de focus van technische maatregelen naar bestuurlijke aantoonbaarheid.' Hij gaat met de klant op zoek naar antwoorden op vragen als:

• Kun je laten zien welke diensten essentieel zijn?
• Is de maximale uitvaltijd vastgesteld?
• Zijn herstelprocedures getest?
• Is bekend welke systemen en data als eerste terug moeten komen?
• Is bewezen dat herstel binnen de gestelde kaders mogelijk is?

Precies dáár ligt de verbinding tussen de Nederlandse Digitaliseringsstrategie, de Cyberbeveiligingswet, BIO2 én de praktijk van cyberweerbaarheid.

Cyber Recovery

Veel organisaties beschikken over een Disaster Recovery-plan. Dat is zeer waardevol bij brand, stroomuitval of een uitval van een datacenter. Een cyberaanval vraagt echter om een andere, bredere aanpak.

Peter Gommers legt het in het kort uit. 'Bij een cyberaanval moeten organisaties eerst vaststellen welke systemen zijn besmet, wanneer de aanval begon en welke data nog betrouwbaar zijn. Een snel herstel vanuit back-up is dan niet automatisch veilig. Het risico op herinfectie is groot wanneer besmette data of configuraties worden teruggezet.'

De dienst Cyber Recovery van PQR richt zich op het herstellen van schone en gevalideerde data in een gecontroleerde omgeving. Daarbij zijn forensische analyse, isolatie en validatie essentieel.

Aantoonbaar herstel

De cyberrecoverydienst is ontwikkeld rond één centraal uitgangspunt: aantoonbaar herstel. De beschikbaarheid van back-ups staat centraal én de zekerheid dat kritieke processen daadwerkelijk binnen acceptabele tijd kunnen worden hervat.

De aanpak van PQR bestaat uit vijf samenhangende stappen:

1. Impactanalyse
   Wat zijn de meest kritieke processen, hoeveel uitval is acceptabel en welke wet- en regelgeving is van toepassing?
2. Cyber Recovery Workshop
   Inzicht in mensen, processen en technologie, inclusief GAP-analyse en verbeterroadmap.
3. Cyber Recovery Solution
   Ontwerp van een herstelarchitectuur gebaseerd op Zero Trust, immutability en isolatie.
4. Cyber Recovery Planning
   Uitwerking van plannen, rollen, verantwoordelijkheden en herstelprocedures.
5. Cyber Recovery Assurance
   Periodieke oefeningen, simulaties en testen om herstelcapaciteit aantoonbaar te houden.

Van compliance naar continuïteit

Cyberweerbaarheid is uiteindelijk geen IT-project en ook geen compliance-oefening. Het gaat om het beschermen van de maatschappelijke dienstverlening, publieke waarden en continuïteit van overheidsorganisaties. Back-ups zijn daarbij niet het eindpunt, maar het begin van herstel.

PQR helpt organisaties niet alleen met de technologie. Met name zijn organisaties geholpen met het realiseren van een aantoonbare herstelcapaciteit. Met oplossingen zoals een Immutable Data Vault, een Clean Room voor forensische validatie en een Isolated Recovery Environment waarin herstelprocedures veilig kunnen worden getest, ontstaat de praktische invulling van wat de wetgeving daadwerkelijk van organisaties verwacht: voorbereid zijn op het moment dat het misgaat.

Met deze woorden van Gommers kan het niet beter uitgelegd worden: 'Cyberweerbaarheid bewijst zich niet op de dag dat alles werkt. Cyberweerbaarheid bewijst zich op de dag dat alles uitvalt.'