Samenvatting
- De cyberaanval bij Albert Heijn toont de sterke digitale afhankelijkheid van bedrijfsvoering aan, met impact op verschillende processen.
- De nieuwe Cyberbeveiligingswet legt strengere eisen op voor risicobeheersing en incidentmelding aan essentiële organisaties.
- Bestuurders moeten inzicht hebben in cruciale digitale afhankelijkheden en de gevolgen van systeemuitval voor bedrijfsactiviteiten.
- Leveranciersmanagement moet cybersecurity integreren in evaluaties van prijs, kwaliteit en leverbetrouwbaarheid.
- Cybersecurity is geen losstaand IT-vraagstuk, maar moet onderdeel zijn van reguliere bedrijfsvoering en strategische besluitvorming.
De cyberaanval bij Albert Heijn heeft niet alleen distributiecentra, webshops en winkels geraakt. Het incident laat vooral zien hoe sterk digitale afhankelijkheid inmiddels verweven is met de dagelijkse bedrijfsvoering. Zodra systemen uitvallen, raakt dat niet alleen IT, maar ook logistiek, klantbediening, leveranciers, betalingen en uiteindelijk omzet en reputatie.
Sinds augustus geldt in Nederland bovendien de nieuwe Cyberbeveiligingswet. Voor organisaties in essentiële en belangrijke sectoren gelden strengere eisen rond risicobeheersing en incidentmelding. Daarmee verschuift cybersecurity nadrukkelijk richting de bestuurskamer.
Van technisch risico naar bedrijfsrisico
Cybersecurity stond jarenlang vooral op de agenda van IT-afdelingen. Firewalls, back-ups, toegangsbeheer en software-updates kregen terecht veel aandacht. Maar bij een serieus incident blijkt al snel dat de gevolgen veel breder zijn.
Bij Albert Heijn konden distributiecentra tijdelijk niet leveren, thuisbezorging viel uit en winkels kregen te maken met lege schappen. Daarmee werd een digitaal probleem binnen enkele uren een operationeel en commercieel probleem.
Voor bestuurders is daarom niet de technische oorzaak de eerste vraag, maar de impact op kritieke processen. Welke bedrijfsactiviteiten kunnen niet doorgaan? Hoe lang is dat verantwoord? En welke processen moeten als eerste worden hersteld?
Bestuurders hoeven geen IT-specialist te zijn
Een bestuurder hoeft niet te begrijpen hoe iedere technische beveiligingsmaatregel werkt. Wel moet duidelijk zijn welke digitale afhankelijkheden cruciaal zijn voor de onderneming.
Dat vraagt om andere gesprekken in de bestuurskamer. Niet alleen: “Zijn onze systemen goed beveiligd?”, maar ook: “Wat gebeurt er met onze operatie als dit systeem 24 uur uitvalt?” en “Welke beslissingen moeten we dan binnen het eerste uur nemen?”
Daarmee wordt cybersecurity vergelijkbaar met andere vormen van risicomanagement. Niemand verwacht dat een bestuurder zelf een brandblusinstallatie onderhoudt, maar wel dat duidelijk is wat er gebeurt wanneer een productielocatie uitvalt.
De kwetsbaarheid zit vaak in de keten
Ook leveranciers verdienen meer aandacht. Organisaties kunnen hun eigen beveiliging goed op orde hebben en toch kwetsbaar zijn via een softwareleverancier, logistieke partner of andere externe partij.
Juist daar zit een belangrijk governancevraagstuk. Welke leveranciers zijn kritisch? Welke toegang hebben zij tot systemen en data? En hoe snel krijg je zicht op de situatie als daar iets misgaat?
Bij leveranciersmanagement zou cybersecurity daarom net zo vanzelfsprekend moeten worden meegewogen als prijs, kwaliteit en leverbetrouwbaarheid.
Oefenen voordat het misgaat
Veel organisaties beschikken inmiddels over incidentprocedures en crisisplannen. De praktische waarde daarvan blijkt pas wanneer ze worden getest.
Een cybercrisisoefening hoeft niet technisch ingewikkeld te zijn. Simuleer bijvoorbeeld dat het ERP-systeem, de webshop of een logistieke koppeling gedurende twee dagen niet beschikbaar is. Laat management, operations, finance, communicatie en IT gezamenlijk bepalen wat er moet gebeuren.
Dan wordt snel zichtbaar waar verantwoordelijkheden onduidelijk zijn, welke informatie ontbreekt en welke noodprocedures vooral op papier bestaan.
Cybersecurity hoort bij gewone bedrijfsvoering
De nieuwe wetgeving maakt formeel wat in de praktijk al langer zichtbaar was: digitale veiligheid is geen los IT-dossier meer. Het raakt continuïteit, reputatie, leveranciersmanagement, klantvertrouwen en bestuurlijke verantwoordelijkheid.
Voor directies betekent dat vooral dat cybersecurity onderdeel moet worden van reguliere bedrijfsvoering. Niet alleen tijdens een incident, maar ook bij investeringen, uitbesteding, automatisering en strategische besluitvorming.
Wie digitale risico’s alleen technisch benadert, ziet te weinig van het echte probleem.
Cybersecurity hoort daarom niet alleen op de agenda van de CIO of CISO. Het hoort thuis op de agenda van iedere bestuurder die verantwoordelijk is voor continuïteit en waardecreatie.
Gerelateerde pagina’s
Meer lezen over Integration Management Office (IMO)
Ondersteuning door een interim specialist bij overnames en integraties
Meer lezen over bedrijfsprocessen automatiseren bij post-merger integratie?