Bedrijven moeten zich voorbereiden op ‘black-out’: ‘Aanvallen gaan steeds verder’

Noe ja “voorbereiden op black-out” klinkt stoer tot je in de praktijk ziet dat half zakelijk Nederland nog steeds “Welkom123” als wachtwoord heeft en niemand weet wie de back-up sleutel heeft… en als de pin eruit ligt sta je in de horeca meteen met een volle tent en nul omzet, dus zorg maar dat je contant kan draaien en je systemen offline ook nog iets doen, rustig aan maar wel regelen.

Bedrijven denken bij “black-out” meteen aan hackers in hoodies, maar de echte ellende is dat niemand een papieren noodlijst heeft met telefoonnummers en leveranciers omdat alles in Teams/Outlook zit… en als dat plat ligt sta je dus met z’n allen naar een dood wifi-icoontje te staren, zeg maar. Test je crisisplan eens zonder internet op een dinsdag 19:15, dan weet je meteen wie er echt de baas is: de stagiair met een notitieboekje.

Die “bedrijven moeten zich voorbereiden” klinkt alsof het een checklist is, maar het is vooral een machtsvraag: wie mag in crisistijd de stekker eruit trekken, wie krijgt als eerste schaarse capaciteit (stroom, telecom, monteurs), en wie wordt gewoon afgeserveerd omdat-ie “niet kritisch” is. Enerzijds roepen we dat de markt alles efficiënt regelt, anderzijds hebben we intussen ketens gebouwd waar één leverancier van betaalverkeer/hosting/identity een halve stad kan laten stilvallen, en dan sta je als mkb’er achteraan in de rij. En niemand wil het hebben over de sociale kant: wat doe je met personeel dat niet kan inloggen, klanten die boos worden, en een management dat in paniek alsnog alles centraliseert “voor de veiligheid” en daarna nooit meer terugschakelt. Oefenen is prima, maar zet er ook meteen bij: transparantie over afhankelijkheden en wie er aansprakelijk is als jouw “cloud” besluit dat jij vandaag pech hebt.

Wat ik mis in dit hele “bedrijven moeten zich voorbereiden”-verhaal: we doen alsof het een technisch risico is, terwijl het ook gewoon een arbeids- en organisatieprobleem is. Enerzijds verwacht je 24/7 paraatheid, anderzijds is IT/security in heel veel mkb gewoon één overwerkte beheerder (of een externe partij met een SLA vol kleine lettertjes) en iedereen daarboven snapt het pas als het misgaat. En dan krijg je die reflex van controle: alles dichttimmeren, iedereen MFA, iedereen uit systemen… waarna de operatie stilvalt omdat niemand meer weet hoe je normaal werk doet zonder 12 tokens. Misschien eens beginnen met de vraag: wie heeft er *tijd* en mandaat om dit te regelen, en wat betaal je daarvoor, want “awareness” is leuk maar je kan geen brandweer runnen met alleen posters.