Cyberincident: voor detacheerder

Wat is een cyberincident (in jouw rol als detacheerder)?

Een cyberincident is een beveiligingsgebeurtenis waarbij digitale middelen worden beïnvloed, waardoor gegevens kunnen worden ingezien, gewijzigd of vernietigd, of systemen tijdelijk niet beschikbaar zijn. Voor jou als detacheerder gaat het er vooral om dat je de impact op dienstverlening, medewerkers, klantinformatie en contractuele afspraken begrijpt.

Belangrijk: niet elke IT-storing is direct een cyberincident. Een incident wordt meestal cyber genoemd wanneer er aanwijzingen zijn voor ongeautoriseerde toegang, misbruik van accounts, malware-activiteit, datalekken of sabotage via digitale weg. Als je alleen vermoedt maar niets kunt aantonen, behandel het als een mogelijk incident en voorkom acties die bewijs vernietigen.

Hoe verloopt een cyberincident doorgaans (van start tot afhandeling)?

Bij veel incidenten zie je grofweg dezelfde fasen. Dat helpt om te weten wat je moet vastleggen en wanneer.

Signaal of ontdekking: een melding van ongebruikelijke logins, verdachte e-mails, ransomware-waarschuwingen, storing met ongebruikelijke patronen, of een melding van een klant/leverancier.
Triage en eerste scope: het doel is bepalen of het om een mogelijk incident gaat, welke systemen geraakt kunnen zijn en of er aanwijzingen zijn voor dataverlies of misbruik.
Beperking en herstel: je probeert verdere schade te beperken (bijvoorbeeld door getroffen toegangspunten te isoleren) en daarna herstel uit te voeren volgens een verantwoord plan.
Onderzoek en beoordeling: je stelt vast wat er is gebeurd, welke data mogelijk betrokken was en welke risico’s voor betrokkenen en relaties voortkomen uit de bevindingen.
Communicatie en afronding: je sluit het incident af met een dossier, een tijdlijn en opvolgmaatregelen om herhaling te verminderen.

Variatie: welke soorten cyberincidenten komen voor en wat verandert er?

Cyberincidenten verschillen in oorzaak, snelheid en impact. Het resultaat is dat je controlepunten en informatiebehoeften niet overal hetzelfde zijn.

Datalekken: hier draait het vaak om welke gegevens geraakt zijn (bijvoorbeeld persoonsgegevens of klantdocumentatie), wanneer dat waarschijnlijk gebeurde en welke kanalen relevant zijn voor notificatie of interne afstemming.
Ransomware of gijzeling van systemen: focus ligt op beschikbaarheid en herstelbaarheid. Ook hier wil je tijdig kunnen onderbouwen wat er niet meer werkte en welke stappen zijn genomen om verdere versleuteling of verspreiding te stoppen.
Account- en toegangscompromittering: je gaat dan vooral kijken naar ongeautoriseerde toegang, misbruik van credentials en de relatie met identiteiten die in jouw keten voorkomen (jij, detacheringsorganisatie, klanten, interne samenwerkingsaccounts).
Phishing en social engineering: vaak begint dit met een menselijk signaal (verdachte mail/bericht). Dan wordt het belangrijker om vast te leggen wie iets heeft geopend/uitgevoerd, welke acties er daarna zijn gevolgd en welke systemen mogelijk zijn geraakt.
Supply-chain of derde-partij impact: als een leverancier of platform indirect geraakt is, kan jouw rol verschuiven naar het afstemmen van informatie, het beperken van blootstelling en het bewaken van afhankelijkheden.

Aandachtspunt: als je geen harde aanwijzingen hebt, blijft onzekerheid bestaan. Formuleer daarom je bevindingen in termen van “waarschijnlijk”, “mogelijk” of “bevestigd”, en maak duidelijk op welke observaties dat gebaseerd is.

Controlepunten voor de detacheerder: wat moet je meteen (en later) kunnen aantonen?

Zonder direct op details van wet- of polisvoorwaarden in te gaan, zijn er algemene controlepunten die helpen om professioneel te handelen.

Tijdens of vlak na ontdekking

Leg vast wat je hebt gezien, wanneer, door wie en op welke bron (melding, logsignaal, e-mailbericht, ticket).
Verzamel een start-tijdlijn: eerste melding → eerste beoordeling → acties om risico te beperken.
Documenteer genomen beperkingsmaatregelen (wat is er geïsoleerd, wie heeft toegang geblokkeerd, wat is tijdelijk uitgezet), inclusief de reden.
Bewaak dat je niet onbedoeld bewijs vernietigt: voorkom “opschonen” zonder logische onderbouwing.

Bij afronding

Leg vast aard en omvang: welke systemen/gegevens mogelijk betrokken waren en wat je daarvan hebt kunnen onderbouwen.
Maak duidelijk welke communicatiekanalen zijn gebruikt binnen je organisatie en met externe partijen (zonder claims te overdrijven).
Verzamel het besluit- en escalatiedossier: wie was betrokken bij beslissingen en welke informatie lag er op dat moment.

Voor continu verbeteren

Sluit af met een set lessons learned die aansluit op de observaties: welke signalen kwamen te laat, welke processen waren onduidelijk, en waar heb je tijd gewonnen.

Wanneer is het “niet meer hetzelfde”: grenzen en uitzonderingen die je moet herkennen?

Er zijn situaties waarin de aanpak verandert, omdat het onzekerheidsniveau of de mogelijke impact anders is.

Waarschijnlijk incident vs. incident bevestigd: als je alleen een vermoeden hebt, moet je strakker omgaan met informatie en voorzichtig blijven met acties. Zodra bevestigd is, verschuift de focus naar scope, herstel en verantwoording.
Beperkte storing vs. bewijs van ongeautoriseerde toegang: als er geen aanwijzingen zijn voor misbruik, kan het bij een technische storing blijven. Maar zodra je bewijs ziet van misbruik of gegevensimpact, behandel het als cyberincident.
Interne systemen vs. klant-omgevingen: als de schade (deels) bij de klant of in een gedeelde omgeving ontstaat, heb je andere afstemmingspunten en informatiebehoeften.
Tijdkritische communicatie: bij gebeurtenissen waarbij mogelijk persoonsgegevens of essentiële dienstverlening geraakt zijn, wordt timing vaak bepalend. Houd daarom je tijdlijn strak bij en baseer communicatie op wat je feitelijk weet.

Wil je de afbakening voor jouw situatie scherper? Dan helpt het om je interne rol en verantwoordelijkheden te vergelijken met die van klant(en) en andere ketenpartijen: wie levert welke systemen, waar staan de gegevens, en wie heeft technische controle. Dat maakt duidelijk waar je moet escaleren en welke informatie je minimaal nodig hebt om beslissingen te onderbouwen.