Cyberincident: internationale opdracht

Afbakening: wat bedoelen we met “cyberincident”

Een cyberincident is in de kern een ongewenste gebeurtenis in het digitale domein. Denk aan verstoring van systemen, verlies van controle, ongeautoriseerde toegang, of het uitlekken van (mogelijk) gevoelige gegevens. Voor de beoordeling is niet alleen de technische gebeurtenis relevant, maar ook het effect: wat is er concreet gebeurd en wat was daarvan het gevolg voor bedrijfsvoering, gegevens of diensten?

In de context van een internationale opdracht is de afbakening extra belangrijk. “Internationaal” kan slaan op verschillende dingen: de opdrachtgever of opdrachtnemer kan in een ander land zitten, uitvoering vindt deels over grenzen plaats, of data en communicatie lopen via andere landen of dienstverleners. Juist daarom moet je zo feitelijk mogelijk vastleggen wat er speelde, welke rollen betrokken waren en welke datastromen onderdeel waren van de opdracht.

Hoe een cyberincident kan doorwerken in een internationale opdracht

Het proces verloopt meestal langs vier sporen. Ten eerste is er de detectie en beoordeling: wat is er gemeld, wat lijkt de oorzaak, en welke scope is waarschijnlijk? Ten tweede komt de impactanalyse: zijn diensten stillgezet, zijn er contractuele leveringen geraakt, of is er sprake van dataverlies of -misbruik?

Ten derde volgt de afhandeling richting belanghebbenden. Bij internationale opdrachten kunnen meerdere partijen tegelijk een rol hebben: interne teams, leveranciers, juridische contactpersonen, en de buitenlandse contractpartner. Communicatie en documentatie zijn daarbij cruciaal, omdat verschillende landen en contracten andere eisen kunnen stellen.

Ten slotte komt het juridische en administratieve spoor: vastleggen welke systemen, processen en gegevens betrokken waren, en welke stappen zijn genomen. Houd rekening met onzekerheden: in de beginfase is vaak nog niet volledig duidelijk wat de oorzaak is of hoe groot de impact is. Een goede werkwijze is daarom stapsgewijs: eerst beperken en begrijpen, daarna pas verfijnen.

Variaties en uitzonderingen waar je op moet letten

Niet elk “digitaal probleem” is automatisch een cyberincident in de zin van een relevante ongewenste gebeurtenis. Een storing door een softwarefout zonder aanwijzing van ongeautoriseerde toegang is iets anders dan een aantoonbare inbraak of misbruik. Ook is de reikwijdte soms beperkt: een incident kan zich concentreren op één systeem, maar toch gevolgen hebben voor een opdracht als het systeem gekoppeld is aan productie, communicatie of dataverwerking.

Bij internationale opdrachten kunnen daarnaast verschillen in verantwoordelijkheid en bewijslast meewegen. Denk aan de vraag wie toegang had tot welke omgevingen, welke partij verantwoordelijk was voor welke dataverwerking, en hoe contractueel is vastgelegd wat er bij een incident moet worden gemeld. Omdat dit per contract en per situatie verschilt, is het verstandig om je eigen feiten en contractuele afspraken leidend te maken.

Controlepunten om jezelf zelfstandig te positioneren

Gebruik deze controlepunten om een cyberincident binnen een internationale opdracht correct te plaatsen zonder conclusies vooruit te lopen:

1. Beschrijf feitelijk de gebeurtenis: wat is gemeld, wanneer begon het, en welk effect merkte je?
2. Maak de scope concreet: welke systemen, accounts, netwerken, applicaties of gegevens waren betrokken?
3. Identificeer de opdrachtlink: welke leveringen, diensten of dataverwerkingen uit de opdracht zijn geraakt?
4. Leg internationale aspecten vast: landen van contractpartijen, locaties van verwerking en eventuele tussenpartijen (zoals IT-dienstverleners).

Als je dit helder hebt, kun je beter bepalen welke vervolgstappen logisch zijn. Let op: zonder bronspecifieke informatie kan niet worden vastgesteld welke exacte verplichtingen in jouw situatie gelden. Wel kun je op basis van feiten de juiste vragen formuleren richting je contractpartner en interne verantwoordelijken.

Praktijk: het verschil tussen “cyberincident” en “incident met cyber-impact”

Een nuttige denkstap is onderscheid maken tussen een incident dat cyber-gedreven is en een incident met cyber-impact. Cyber-gedreven betekent dat de kern een ongewenste digitale oorzaak is (zoals ongeautoriseerde toegang). Incident met cyber-impact kan ook betekenen dat de oorzaak anders is, maar dat de gevolgen dezelfde zijn: bijvoorbeeld verstoring van dienstverlening of verlies van vertrouwelijke informatie.

In internationale opdrachten is dit onderscheid niet alleen technisch, maar ook organisatorisch. De manier waarop je informatie verzamelt, documenteert en communiceert kan verschillen. Daarom: start met een neutrale feitbeschrijving, behandel daarna pas de mogelijke oorzaken, en verfijn de scope naarmate nieuwe signalen binnenkomen. Zo voorkom je dat je te vroeg een juridische of contractuele interpretatie kiest op basis van onvolledige informatie.