Ondersteuning leidt niet altijd tot weerbaarheid

Overheidsorganisaties zijn voor expertise op het gebied van cybercrisismanagement steeds vaker aangewezen op externe consultants. Dat is begrijpelijk: cyberdreigingen veranderen snel, interne budgetten zijn beperkt en de concurrentie om geschoolde professionals is hevig. In dit artikel wordt echter betoogd dat veel consultancyopdrachten onbedoeld de afhankelijkheid versterken.

Traditionele benaderingen leggen vaak de nadruk op tastbare resultaten, zoals rapporten, draaiboeken of tabletop-oefeningen. Hoewel deze deliverables waardevol zijn, zorgen ze niet automatisch voor begrip, eigenaarschap of het vermogen om zelfstandig te handelen wanneer zich een echte cybercrisis voordoet.

Het gevolg is bekend: zodra consultants vertrekken, verdwijnt de kennis, blijven verantwoordelijkheden onduidelijk en vallen organisaties terug op ad-hocreacties wanneer de druk toeneemt.

Een verschuiving van deliverables naar eigenaarschap

De in het document beschreven casus laat een andere aanpak zien. Tijdens het project werd duidelijk dat de respons op cybercrises niet als een puur technisch of op zichzelf staand domein kon worden behandeld. In plaats daarvan was afstemming nodig tussen cyberdeskundigheid, IT-operaties, incidentmanagement en bestaande crisismanagementstructuren.

Samen met interne belanghebbenden werden de bestuursstructuren verduidelijkt, interne ambassadeurs aangewezen en gedeelde verantwoordelijkheden vastgesteld. In plaats van het ‘afleveren’ van oefeningen verschoof de focus naar het overdragen van kennis, het opbouwen van routines en het inbedden van cybercrisis management in bestaande organisatorische processen.

Deze aanpak stelde de organisatie in staat om geleidelijk de verantwoordelijkheid voor haar cybercrisis management capaciteiten op zich te nemen, waarbij externe consultants zich terugtrokken in een adviserende en validerende rol.

Drie belangrijke inzichten voor cybercrisis consulting

Op basis van deze ervaringen hebben Max Tijmann en Rosa Edema drie kerninzichten geïdentificeerd die relevant zijn voor veel organisaties in de publieke sector:

• Cybercrisisadvies moet verder gaan dan eenmalige activiteiten. Weerbaarheid op de lange termijn vereist een doelgerichte capaciteitsopbouw, en geen losstaande beoordelingen of oefeningen.
• Effectief cybercrisis management is inherent multidisciplinair. Cyberrespons moet worden geïntegreerd met IT, incidentrespons en traditioneel crisis management.
• Consultants hebben een professionele verantwoordelijkheid om afhankelijkheid te voorkomen. Duurzame weerbaarheid betekent organisaties helpen om op termijn zelfstandig te kunnen opereren.