Zo ben je beter voorbereid op mogelijke digitale ontwrichting

Gemeenten zijn sinds jaar en dag verantwoordelijk voor de openbare orde en veiligheid, bevolkingszorg en maatschappelijke continuïteit. Bij een crisis moeten bestuurders en ambtenaren weten wie wat doet en wanneer. Ook bij digitale crisissituaties.

In de net gepubliceerde handreiking ‘(voorbereiding op) digitale ontwrichting’ gaat het om situaties die gevolgen kunnen hebben voor de openbare orde en veiligheid en/of cascade- gevolgeffecten hebben in het fysieke domein. Bij cyberverstoringen in de gemeentelijke informatiesystemen, zonder maatschappelijke gevolgen buiten de gemeentelijke organisatie, verwijst de VNG naar de Informatiebeveiligingsdienst (IBD).

Koude, lauwe en warme fase

In de handreiking worden de drie bekende fases onderscheiden: een koude, een lauwe en een warme fase.

In de koude fase koud is er nog niets aan de hand. Dan is het zaak ervoor te zorgen dat er voldoende kennis en kunde aanwezig is. Adviseurs crisisbeheersing kunnen zich dan focussen op het voorbereiden van de multidisciplinaire samenwerking, beleidsvorming en opleiding en training.

In de lauwe fase is een organisatie bekend met de dreigingsinformatie of cyberaanval, maar zijn er nog geen fysieke gevolgen aantoonbaar.

In de warme fase gaat het erom de crisis onder controle te krijgen. De situatie is nu acuut.

Lijken soms open deuren

Voor iedere fase worden aandachtspunten geschetst. Het lijken soms open deuren, maar het moet uiteraard wel geregeld zijn als de nood aan de man is. Zo raadt de VNG aan in de koude en lauwe fase duidelijke afspraken te maken over  op- en afschalen van het calamiteitenteam naar het Gemeentelijke Beleidsteam. En ervoor te zorgen dat de relatie met de CISO op orde is; bespreek de onderlinge verwachtingen en de mogelijkheden om elkaar in het geval van een calamiteit te kunnen bereiken.

In de warme fase komt het erop aan goed overzicht te hebben, bijvoorbeeld van getroffen processen en diensten en de volgorde waarin deze weer dienen te worden hersteld. En te weten wanneer je moet escaleren richting de gemeentesecretaris en bestuurders. Bepaal ook de strategische dilemma’s en belangrijke besluiten die genomen moeten worden: wat te communiceren, hoe om te gaan met eventueel losgeld, met welke classificatie van het incident hebben we te maken en moeten externe experts ingehuurd worden?

Nazorg

Na de warme fase volgt een fase van herstel en evaluatie. De taken van de crisisorganisatie worden dan weer overgedragen aan de lijnorganisatie. Houd rekening met een lange herstelfase, hoge kosten en grote maatschappelijke impact na digitale ontwrichting, waarschuwt de VNG. Het kan ook lastig zijn om te duiden wanneer het weer echt ‘veilig’ is.

Uiteraard is het van belang de aanpak van het crisismanagement tijdens de cybercrisis te evalueren. Wat ging er goed, wat kan beter? Identificeer de leerpunten en implementeer deze in de crisisplannen en/of continuïteitsplan.

De handreiking digitale ontwrichting (PDF) van de VNG is gratis te downloaden. In het document zelf wordt weer verwezen naar tal van relevante documenten die bestuurders en adviseurs kunnen benutten bij hun werkzaamheden.

Dit artikel is ook gepubliceerd op iBestuur, zustertitel van AG Connect.