De mate waarin organisaties zijn voorbereid op een cybercrisis, verschilt sterk, bleek tijdens de nationale cyberoefening ISIDOOR IV. In sommige sectoren is het bijvoorbeeld nog niet vanzelfsprekend om informatie te delen op het moment dat er een grote cybercrisis plaatsvindt. Dat concludeert het COT Instituut voor Veiligheids en Crisismanagement, COT, in een evaluatierapport dat onlangs naar de Tweede Kamer werd verstuurd.

ISIDOOR IV vond plaats van 13 tot en met 15 november 2023. Aan de oefening deden gelijktijdig meer dan 3.000 deelnemers van ruim 120 organisaties mee, uit 12 verschillende sectoren. Daarmee was het de grootste Nederlandse cyberoefening ooit, die in totaal vier dagen duurde, op de vierde dag, 27 november 2023, oefende de Interdepartementale Commissie Crisisbeheersing, ICCb, met de input uit de hoofdoefening.

Nationale opschaling

De cyberoefening wordt georganiseerd door het Nationaal Cyber Security Centrum, NCSC, en de Nationaal Coordinator Terrorisme en Veiligheid, NCTV. Aan de oefening deden organisaties uit de vitale sectoren mee, net als ministeries, veiligheidsregio s, netwerkorganisaties, uitvoeringsorganisaties en andere crisispartners. Het doel van deze vierde editie was oefenen met de nationale respons tijdens een grootschalige digitale crisis. De oefening begon kleinschalig, maar groeide uit tot een steeds grotere crisis. Daarbij werd specifiek gekeken naar informatie uitwisseling, samenwerking en de nationale opschaling bij een cybercrisis. Vooral dat laatste bleek voor veel deelnemende organisaties een black box. Het is voor hen niet duidelijk wat nationale opschaling betekent voor rollen en verantwoordelijkheden.

Nationaal crisisplan onvoldoende bekend

In het Landelijk Crisisplan Digitaal, LCP Digitaal, staat beschreven wat er moet gebeuren als er een grootschalige digitale crisis uitbreekt. Tijdens de vorige landelijke cyberoefening, ISIDOOR III in 2021, bleek echter dat lang niet iedereen het LCP Digitaal kent. Dit nationale crisisplan hielp ditmaal 30 procent van de organisaties bij de aanpak of voorbereiding van de digitale crisis, oefening, aldus het rapport. Veel andere organisaties vinden het plan te abstract. Er zijn ook organisaties die het hele plan nog steeds niet hebben kunnen vinden.

Deze versturen we 3-4x per jaar.