Wie is eigenaar van cyberweerbaarheid?

Mietta Groeneveld en Jeroen Gaiser tijdens Cybersec Netherlands 2026

Op donderdag 10 september verzorgen kolonel Mietta Groeneveld van het Nato Command & Control Centre of Excellence en Jeroen Gaiser, plaatsvervangend ciso van het ministerie van Infrastructuur en Waterstaat, op Cybersec Netherlands 2026 een sessie met de titel ‘Between threat and reality: who owns cyber resilience today?’ Een vraag die actueler is dan ooit. Omdat geopolitieke spanningen hun weerslag vinden in het digitale domein, rijst de fundamentele kwestie wie eigenlijk verantwoordelijk is voor onze digitale weerbaarheid.

Cybersecurity is allang geen onderwerp meer dat zich beperkt tot de it-afdeling. De afgelopen jaren maken duidelijk dat digitale aanvallen onderdeel zijn geworden van een bredere geopolitieke werkelijkheid. Staten zetten cyberoperaties in om economische druk uit te oefenen, maatschappelijke onrust te creëren of vitale processen te verstoren. Daarbij zijn niet alleen militaire doelwitten interessant. Juist de civiele infrastructuur is uitgegroeid tot een aantrekkelijk aangrijpingspunt.

Alles digitaal verbonden

Dat is niet verrassend. Vrijwel alles wat onze samenleving draaiende houdt, is tegenwoordig digitaal verbonden. Energievoorziening, drinkwater, transport, havens, telecom, gezondheidszorg en overheidsdiensten vormen samen het fundament van onze economie en maatschappij. Een verstoring van een schakel blijft zelden beperkt tot één organisatie. Door de onderlinge afhankelijkheden verspreiden de gevolgen zich razendsnel door de hele keten.

Cyber resilience verschuift van een technisch begrip naar een strategische bestuursopgave

Daarmee verandert ook de betekenis van cybersecurity. Waar organisaties jarenlang vooral investeren in het voorkomen van aanvallen, groeit het besef dat volledige bescherming simpelweg niet meer realistisch is. De vraag is niet langer of een organisatie wordt geraakt, maar hoe snel zij een aanval kan detecteren, de impact kan beperken en haar dienstverlening kan herstellen. Cyber resilience (digitale weerbaarheid) verschuift daarmee van een technisch begrip naar een strategische bestuursopgave.

Operationeel domein

Juist daar ontstaat een interessante spanning. Defensie kijkt al langer naar cyber als een operationeel domein waarin dreigingen continu aanwezig zijn. Niet elke aanval is zichtbaar, niet iedere tegenstander maakt zich bekend en niet elke verstoring is direct toe te schrijven aan een specifieke actor. In dat speelveld draait het niet uitsluitend om bescherming, maar vooral om veerkracht, samenwerking en het vermogen om onder alle omstandigheden operationeel te blijven.

Voor organisaties die onderdeel uitmaken van de kritieke infrastructuur is die werkelijkheid inmiddels net zo herkenbaar. Zij opereren in een omgeving waarin it en operationele technologie (ot) met elkaar verweven raken, afhankelijkheden binnen internationale ketens toenemen en wet- en regelgeving hogere eisen stelt aan bestuurders. Tegelijkertijd blijven personeelstekorten, legacy-systemen en de voortdurende stroom aan nieuwe dreigingen dagelijkse uitdagingen.

Cyberrisico’s

Digitale risico’s hebben directe gevolgen voor bedrijfscontinuïteit, publieke dienstverlening en maatschappelijke stabiliteit. Bestuurders kunnen verantwoordelijkheid voor digitale weerbaarheid daarom niet uitsluitend beleggen bij de ciso of de it-afdeling. Net zoals financiële risico’s of fysieke veiligheid onderdeel zijn van goed bestuur, geldt dat inmiddels ook voor cyberrisico’s.

Digitale weerbaarheid kan nooit uitsluitend individueel worden georganiseerd

Er is nog een tweede vraag die minstens zo belangrijk is. Want zelfs wanneer organisaties hun eigen beveiliging op orde hebben, zijn zij afhankelijk van leveranciers, partners, overheden en andere partijen binnen de keten. Kritieke infrastructuur bestaat uit een netwerk van onderling verbonden organisaties. Digitale weerbaarheid kan daarom nooit uitsluitend individueel worden georganiseerd.

Maatschappelijke continuïteit

Samenwerking wordt daarmee een strategische noodzaak. Het delen van dreigingsinformatie, gezamenlijke oefeningen, uniforme standaarden en publiek-private samenwerking zijn geen vrijblijvende initiatieven meer, maar voorwaarden om maatschappelijke continuïteit te waarborgen. Dat vraagt om vertrouwen, transparantie en de bereidheid om over organisatiegrenzen heen te kijken. Tegelijkertijd blijkt dat juist in de praktijk vaak weerbarstig door uiteenlopende belangen, verantwoordelijkheden en volwassenheidsniveaus.

De centrale vraag verschuift daardoor van ‘hoe beveiligen we onze organisatie?’ naar ‘hoe zorgen we ervoor dat de samenleving als geheel digitaal weerbaar blijft?’. Dat vraagt om een fundamenteel andere manier van denken over eigenaarschap. Cyber resilience is niet langer exclusief van de ciso, de cio of Defensie. Het is een gedeelde verantwoordelijkheid van bestuurders, overheid, bedrijfsleven en de organisaties die samen onze vitale infrastructuur vormen.

Wie is eigenaar?

Precies dat spanningsveld staat tijdens Cybersec Netherlands 2026 centraal tijdens de gezamenlijke sessie van Mietta Groeneveld en Jeroen Gaiser op 10 september om 13.05 uur. Vanuit hun verschillende verantwoordelijkheden laten zij zien hoe de strategische realiteit van geopolitieke dreigingen en de dagelijkse praktijk van de Nederlandse kritieke infrastructuur steeds dichter naar elkaar toe groeien. Niet om eenvoudige antwoorden te geven, maar om het gesprek te voeren over de vraag die iedere bestuurder zou moeten bezighouden: wie is eigenaar van cyber resilience wanneer alles met elkaar verbonden is?