Nederlandse overheden hebben op dit moment geen goed zicht op de hersteltijd van hun digitale werkplekken na een cyberaanval. Het gaat om laptops, accounts en software die ambtenaren dagelijks gebruiken, vaak in de cloud. De onzekerheid raakt ook inzet van AI op de werkplek en raakt aan eisen uit de Europese AI-verordening en NIS2. Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK), het Nationaal Cyber Security Centrum (NCSC) en gemeentelijke diensten waarschuwen al langer voor continuïteitsrisico’s.
Geen grip op hersteltijd
Veel overheidsorganisaties weten niet hoeveel tijd nodig is om digitale werkplekken na een aanval weer veilig in de lucht te krijgen. Die tijd heet de recovery time objective, afgekort RTO. Zonder dit inzicht is het lastig om dienstverlening aan inwoners te garanderen en prioriteiten te stellen tijdens een crisis. De afhankelijkheid van externe platforms maakt dit extra complex.
Digitale werkplekken draaien vaak op Microsoft 365, Google Workspace of vergelijkbare suites. Toegang loopt via identiteitsdiensten zoals Microsoft Entra ID of Okta. Bij een aanval op identiteiten of endpoints kan herstel uitlopen, zelfs als data nog beschikbaar is. Een lek of blokkade bij een leverancier kan de hele keten raken.
De regie op ketens ontbreekt vaak wanneer meerdere leveranciers samenwerken. Gemeenten en uitvoeringsorganisaties hebben dan wel contracten, maar niet altijd één centraal herstelplan. Ook is er niet altijd een actueel overzicht van kritieke applicaties per werkproces. Daardoor zijn draaiboeken niet scherp genoeg om snel te schakelen.
Hersteltijd (RTO): de maximaal acceptabele tijd om diensten na een incident veilig te herstellen tot een werkbaar niveau.
Contracten missen harde RTO
Servicelevel-afspraken met cloud- en werkplekleveranciers noemen vaak beschikbaarheid, maar niet altijd een harde RTO of RPO (verlies van data na herstel). Dat geeft schijnzekerheid bij een cyberaanval. Bij ransomware of identiteitsmisbruik gelden andere herstelstappen dan bij simpele storing. De praktijk vraagt dus om specifieke, toetsbare afspraken per scenario.
Leveranciers verwijzen geregeld naar het principe van gedeelde verantwoordelijkheid. Dat betekent dat de organisatie zelf back-ups, logging en toegang tot herstelknoppen moet regelen. Zonder eigen, immutabele back-ups en gescheiden beheerdersaccounts is herstel trager en risicovoller. Hetzelfde geldt voor procedures om geharde basisinstallaties snel uit te rollen.
Ook exit- en migratieclausules zijn belangrijk voor continuïteit. Bij uitval van een platform moet je tijdelijk kunnen overschakelen op een reservevoorziening. Dat vereist interoperabiliteit, standaarden en dataportabiliteit. Contracten zonder deze elementen vergroten de hersteltijd en afhankelijkheid.
BIO en NIS2 scherpen eisen
De Baseline Informatiebeveiliging Overheid (BIO) verplicht maatregelen voor continuïteit, inclusief hersteldoelen en oefeningen. In de praktijk blijkt dat plannen niet altijd getest of geactualiseerd zijn. Dat botst met de plicht om aantoonbaar in control te zijn. Auditpaden en logbestanden moeten beschikbaar blijven, ook tijdens herstel.
De NIS2-richtlijn, die in Nederland via de Wet beveiliging netwerk- en informatiesystemen wordt aangescherpt, legt extra nadruk op risicobeheer, incidentmelding en bedrijfscontinuïteit. Op het moment van schrijven vallen meer publieke en semipublieke organisaties onder deze regels. Dat betekent strengere eisen aan detectie, back-up, herstel en leveranciersbeheer. Niet voldoen kan leiden tot sancties en toezichtmaatregelen.
Rijksbrede spelers zoals BZK, het NCSC en de Informatiebeveiligingsdienst (IBD) voor gemeenten bieden richtlijnen en oefenvormen. Toch blijft uitvoering lokaal en afhankelijk van capaciteit. Kleinere organisaties hebben moeite om specialisten en budget te vinden. Regionale samenwerking en gedeelde voorzieningen kunnen hier lucht geven.
AI op werkplek vergroot druk
Steeds meer overheden gebruiken AI-assistenten zoals Microsoft Copilot of ChatGPT Enterprise voor tekst, zoeken en samenvatten. Deze tools draaien bovenop dezelfde werkplekplatforms en identiteiten. Valt de werkplek om, dan ligt ook de AI-ondersteuning stil. Dat vergroot de impact op productiviteit en besluitvorming.
De Europese AI-verordening (AI Act) eist risicobeheer, logging en menselijke controle bij hoogrisico-toepassingen. Die vereisen betrouwbare opslag en herstel van gegevens en modellen. Zonder snel herstel en volledige auditlogs is naleving lastiger te bewijzen. Continuïteit is dus ook een compliance-vraag.
Daarnaast speelt privacy onder de AVG. AI-diensten verwerken vaak persoonsgegevens en gevoelige interne data. Versleuteling, dataminimalisatie en scheiding van omgevingen moeten ook tijdens en na herstel blijven werken. Dat vraagt om goed doordachte technische en juridische afspraken met leveranciers.
Meten, testen en oefenen
Organisaties hebben baat bij het objectief meten van hersteltijden per scenario: van accountherstel en device-herbouw tot toegang tot kritieke applicaties. Start met een portfolio van werkprocessen en stel daar RTO’s en RPO’s bij vast. Test die met herstelproeven en table-top oefeningen. Documenteer uitkomsten en verbeter cyclisch.
Technisch helpt een “identity-first recovery”-aanpak: gescheiden beheerdersidentiteiten, break-glass accounts en hardware-tokens. Combineer dat met onwijzigbare back-ups en offline kopieën. Standaardiseer gouden images voor laptops en VDI’s, zodat uitrol minuten in plaats van dagen kost. Zorg dat sleutels en configuraties veilig, maar bereikbaar zijn bij calamiteit.
Ook leveranciersonafhankelijke fallback kan tijd winnen. Denk aan alternatieve communicatiemiddelen, tijdelijke bestandsdeling en noodbaliemodus voor publiekszaken. Spreek dit vooraf af met leveranciers en test de omschakeling periodiek. Leg verantwoordelijkheden, escalatiepaden en beslisbevoegdheid vast.
Gevolgen voor publieke diensten
Lange hersteltijden raken loketten, vergunningverlening en uitkeringen direct. Burgers ervaren vertraging, en medewerkers kunnen niet werken. Het wereldwijde software-incident in 2024 liet al zien hoe storingen door de keten rollen. Cyberaanvallen maken die keten nog kwetsbaarder dan een gewone foutupdate.
Transparante rapportage over RTO’s helpt bestuurders om keuzes te maken. Dat geldt voor gemeenten, provincies en rijksdiensten. Met duidelijke scenario’s kunnen zij prioriteiten stellen, zoals eerst identiteiten en basiscommunicatie, daarna kernapplicaties. Zo blijft de basisdienstverlening overeind.
Tot slot loont gezamenlijke inkoop en architectuur. Rijksbrede en gemeentelijke standaarden verlagen complexiteit en verhogen herstelbaarheid. Europese kaders, zoals de NIS2 en toekomstige cloud-certificeringen, geven houvast bij keuzes. Wie nu investeert in meten, testen en oefenen, wint straks kostbare uren bij een echte aanval.
