Het coalitieakkoord: aan de slag met opleiden, trainen en oefenen!

In het coalitieakkoord dat is voorgesteld door de D66, VVD en het CDA wordt  een inmiddels bekend beeld opnieuw benadrukt; Nederland moet zich actief voorbereiden op steeds geavanceerdere digitale dreigingen. Deze dreigingen komen zowel van digitale criminelen, zoals ransomwaregroepen die uit zijn op financieel gewin, als van hybride geopolitieke dreigingen die samenhangen met internationale spanningen. De verantwoordelijkheid voor het voorbereiden op deze dreigingen leggen de partijen niet alleen bij de Rijksoverheid en kritieke infrastructuur zoals onze water- en stroomvoorziening; ook commerciële bedrijven, het mkb en regionale (veiligheids)organisaties moeten zich voorbereiden op deze risico’s. Hiermee volgen de coalitiepartijen een lijn die eerder is ingezet op Europees niveau met de NIS2-richtlijn, die zich in Nederland zal vertalen naar de Cyberbeveiligingswet.
 

Concreet zegt het coalitieakkoord het volgende: 
‘Cyberaanvallen, digitale spionage en desinformatie vormen directe bedreigingen voor onze economie, democratie en nationale veiligheid. De dreiging komt vanuit statelijke actoren, van cybercriminelen en van grootschalige beïnvloedingscampagnes en wordt door AI sneller, slimmer en schaalbaarder. Daarom moeten vitale sectoren en de (semi- )overheid aantoonbaar cyberweerbaar zijn, zodat we maatschappelijke ontwrichting kunnen voorkomen.’ 
en 
‘We kiezen voor een actieve voorbereiding op grootschalige digitale aanvallen, door te oefenen met overheid, mkb en vitale sectoren, door ethische hackers te stimuleren en door snelle en gerichte uitwisseling van dreigingsinformatie tussen overheid en bedrijfsleven.’ (pagina 59) 

In het nieuwe coalitieakkoord krijgt cyberweerbaarheid dus een duidelijke richting: organisaties moeten niet alleen plannen op papier hebben, maar hun crisisvaardigheden in het geval van grootschalige aanvallen ook daadwerkelijk oefenen. Hoewel de Cyberbeveiligingswet, die vergelijkbare eisen stelt, pas in het tweede kwartaal van 2026 wordt verwacht, benadrukt de coalitie dat organisaties nu al stappen moeten zetten.

De urgentie komt voort uit de toenemende dreigingen, maar dit onderwerp is ook belangrijk omdat zonder te oefenen een organisatie nooit echt kan weten of het voorbereid is op een crisis. In de praktijk zien we dat veel organisaties plannen hebben, maar dat medewerkers niet worden opgeleid en pas tijdens een crisis ontdekken waar het wringt: onduidelijke mandaten, afhankelijkheden van leveranciers en onvolledige besluitvorming omdat informatie ontbreekt of niet goed wordt geanalyseerd. Bij consistent oefenen kunnen deze mogelijke problemen op tijd worden geïdentificeerd, overwogen en waar nodig verholpen, al voor dat een crisis zich daadwerkelijk voordoet.

Die praktijkervaring zien we ook terug in de sectorale oefeningen waar Bureau Veritas bij betrokken is. In het FLECS programma voor de offshore windsector bijvoorbeeld werd tijdens Exercise Windshield duidelijk hoe afhankelijk organisaties van elkaar zijn en hoe snel een incident via de keten kan escaleren. Deelnemers ontdekten hoe lastig het is om overzicht te houden zodra operationele systemen, leveranciers en toezichthouders tegelijk om aandacht vragen, maar ook hoe waardevol het is om dat in een oefenomgeving tegen te komen in plaats van in het echt.

Voor veel organisaties is dit precies de omslag die nodig is: van papieren planvorming naar het constant verbeteren van de crisiscapaciteiten door het opleiden, trainen en oefenen. Dit oefenen helpt aanzienlijk om teams, bestuurders en ketenpartners te helpen ontdekken waar ze staan en hoe ze sneller kunnen handelen wanneer een crisis zich daadwerkelijk voor doet. Ook zorgt het ervoor dat bedrijfscontinuïteit en crisismanagement in een PDCA-cyclus kunnen worden geborgd. Dat is ook de kern van onze visie bij Bureau Veritas Cybersecurity. Opleiden, trainen en oefenen vormen een geheel. Niet losstaande sessies, maar een doorlopende aanpak waarin beleid, crisisstructuur en technische respons elkaar versterken. Onze crisisdiensten zijn erop gericht om organisaties niet eenmalig te testen, maar om echte structurele verbetering teweeg te brengen, meetbaar te maken en daarmee de cyberweerbaarheid te versterken.

Het coalitieakkoord benadrukt dat het aan de slag gaan met de cyberweerbaarheid een gezamenlijke opdracht is waarbij het opleiden, trainen en oefenen randvoorwaardelijk zijn voor verbetering.