Cyberincident: betekenis

Wat betekent “cyberincident”?

Een cyberincident is een gebeurtenis waarbij digitale systemen, netwerken, applicaties of gegevens worden geraakt (of waarbij een aantasting wordt vermoed). Het gaat daarbij om meer dan alleen een storing: er is sprake van een verstoring met een mogelijke of feitelijke security-impact, zoals ongeautoriseerde toegang, misbruik, manipulatie of het uitvallen van systemen door een kwaadwillende handeling of een dreiging.

Het woord “incident” is bewust breed: het omvat situaties die nog in onderzoek zijn, evenals gebeurtenissen die aantoonbaar zijn gebeurd. Daarom is de kern niet de exacte oorzaak op het allereerste moment, maar het feit dat er een security-gerelateerde gebeurtenis (of sterke aanwijzing daarvan) is.

Wanneer is iets wél (of niet) een cyberincident?

Het onderscheid zit meestal in de combinatie van context en kenmerken. Een cyberincident is doorgaans passend als één of meer van deze punten gelden:

Er is een aanwijzing van ongeautoriseerde activiteit (bijvoorbeeld inlogpogingen die niet verklaarbaar zijn).
Er is sprake van datalek-achtige symptomen (bijvoorbeeld dataverlies, ongebruikelijke export of aanwijzingen van exfiltratie).
Data of systemen zijn gemanipuleerd (integriteitsschending), bijvoorbeeld gewijzigde bestanden of afwijkend gedrag dat niet bij normale bedrijfsvoering past.
Er is een security-gerelateerde oorzaak voor uitval of verstoring (bijvoorbeeld ransomware-achtige effecten), in plaats van een puur technische storing.

Niet elk IT-incident is automatisch een cyberincident. Denk aan een standaard netwerkstoring door een defect onderdeel: dat kan operationeel vervelend zijn, maar is zonder security-aanwijzingen geen cyberincident. Omgekeerd kan een cyberincident soms beginnen met ogenschijnlijk “normale” meldingen, terwijl later blijkt dat het om een aanval of gecompromitteerde accounts gaat.

Hoe herken je de betekenis in de praktijk?

Bij het bepalen wat een cyberincident “betekent” voor een organisatie, draait het om vier vragen. Die vragen geven structuur, ook als je nog niet alles weet:

Wat gebeurde er? Formuleer de waarneming zo feitelijk mogelijk: welk gedrag, welke meldingen, welke tijdslijn.
Wat werd geraakt? Denk aan getroffen systemen, accounts, locaties of gegevenscategorieën (zonder te speculeren).
Was er een security-element? Bekijk of er aanwijzingen zijn van onbevoegde toegang, malware-activiteit, misbruik of misleiding.
Wat is de impact? Meetbaar of observeerbaar: uitval, dataverlies, integriteitsproblemen, verspreiding, herstelbaarheid.

Omdat cyberincidenten in de praktijk kunnen evolueren (van vermoeden naar bevestiging, of van klein naar groter), blijft “betekenis” ook dynamisch: wat eerst een mogelijk incident leek, kan later een definitief incident blijken, of juist een vals alarm.

Variatie en uitzonderingen: hetzelfde label, andere ernst

In de praktijk wordt “cyberincident” gebruikt voor heel verschillende situaties. Het label zegt dus niet automatisch iets over ernst, omvang of juridische gevolgen. Twee voorbeelden van variatie:

Klein en beperkt: een kortstondige verstoring of een poging tot ongeautoriseerde toegang die wordt gedetecteerd vóór er echt schade optreedt.
Groot en complex: een gebeurtenis waarbij meerdere systemen zijn geraakt, gegevens zijn aangetast of verspreiding heeft plaatsgevonden.

Ook kan het begrip verschillen per context (bijvoorbeeld intern incidentbeheer versus meldplichten). Daarom is het verstandig om “betekenis” altijd te koppelen aan de concrete feiten van het moment: wat is waargenomen, welke security-indicatoren zijn er, en wat is de impact.

Toepassen: controlepunten om het begrip correct te plaatsen

Gebruik de volgende controlepunten om cyberincident: betekenis in je eigen situatie helder te maken, zonder te gissen:

Check de signalen: zijn er security-indicatoren (ongeautoriseerd gedrag, verdachte systeemactiviteit, ongebruikelijke datastromen)?
Bepaal het raakvlak: welke systemen, accounts of gegevens zijn betrokken volgens beschikbare logbestanden of meldingen?
Bewijs boven vermoedens: beschrijf wat je kunt onderbouwen; laat onzekerheid expliciet.
Zet impact op de juiste schaal: gevolgen voor beschikbaarheid, integriteit en vertrouwelijkheid (zoals observeerbaar) tellen zwaarder dan het vermoedelijke daderschap.

Als je wilt, kun je deze termen verder plaatsen door begrippen uit gerelateerde context te gebruiken, zoals definities en begrippen rond datalekken of beroepsgebonden aansprakelijkheid. Bijvoorbeeld: definities helpen om termen consistent te hanteren, en een bekende omstandigheid: betekenis kan duidelijk maken wat in de praktijk als relevant wordt gezien bij beoordeling van situaties.