Je organisatie draait op afhankelijkheden die je niet ziet

Door Nils Veerman, Chief Commercial Officer bij Yielder

In juli 2024 zorgde één foutieve software-update voor een wereldwijde IT-storing. Computers vielen uit, vluchten werden geannuleerd en organisaties in onder meer de zorg, financiële dienstverlening en media konden tijdelijk niet verder. Het was geen cyberaanval. Het probleem ontstond bij één leverancier van beveiligingssoftware. Toch werden wereldwijd naar schatting 8,5 miljoen Windows-apparaten geraakt.

Het is een uitzonderlijk voorbeeld, maar het maakt zichtbaar hoe sterk organisaties digitaal met elkaar verbonden zijn. Een leverancier kan zijn voorwaarden veranderen, een cloudplatform kan uitvallen of nieuwe wetgeving kan andere eisen stellen aan het gebruik en de opslag van data. Zo kan een kleine verandering of fout bij één partij grote gevolgen hebben voor medewerkers, klanten en complete bedrijfsprocessen.

De oorzaak ligt misschien buiten je organisatie. De impact niet. Dat brengt mij bij een vraag die iedere bestuurder zichzelf zou moeten stellen: Kan de organisatie blijven functioneren wanneer morgen een kritieke digitale schakel wegvalt?

Digitale afhankelijkheid is bedrijfsafhankelijkheid

Vrijwel ieder bedrijfsproces is tegenwoordig digitaal. Medewerkers loggen in vanuit verschillende locaties en apparaten. Klanten verwachten dat dienstverlening altijd beschikbaar is. Communicatie, betalingen, productie, planning en samenwerking draaien op een keten van verbindingen, applicaties, data en leveranciers. Zolang alles werkt, staan we daar nauwelijks bij stil. Technologie is zo vanzelfsprekend geworden dat we de afhankelijkheid ervan niet meer zien.

Totdat iets uitvalt. Dan blijkt dat een IT-storing zelden alleen een IT-probleem blijft. Medewerkers kunnen niet verder, klanten krijgen geen antwoord en processen komen stil te liggen. Afspraken worden niet nagekomen en de druk op de organisatie neemt toe. Uiteindelijk raken de gevolgen ook omzet, reputatie en klantvertrouwen. Voor mij is dat de kern: digitale afhankelijkheid is bedrijfsafhankelijkheid.

Toch wordt continuïteit binnen veel organisaties nog voornamelijk besproken in termen van uptime, back-ups en beveiligingsoplossingen. Die maatregelen zijn belangrijk, maar ze vertellen niet het hele verhaal. Een technisch systeem kan goed zijn ingericht, terwijl de organisatie alsnog niet weet wat zij moet doen wanneer het misgaat. Continuïteit gaat daarom niet alleen over de vraag of technologie blijft werken. Het gaat vooral over de vraag of de organisatie kan doorgaan wanneer technologie tijdelijk niet werkt.

Goed geregeld is niet hetzelfde als goed voorbereid

In gesprekken met klanten zie ik regelmatig hetzelfde patroon. De losse onderdelen lijken op papier goed geregeld. Er zijn back-ups, beveiligingsmaatregelen, leverancierscontracten en serviceafspraken. Maar zodra we doorvragen, ontstaan andere vragen:

• Welke processen moeten als eerste worden hersteld?
• Hoeveel gegevens mag de organisatie maximaal verliezen?
• Welke leverancier pakt welke verantwoordelijkheid?
• Wie neemt besluiten wanneer meerdere afdelingen of locaties worden geraakt?
• En, is ooit getest of de volledige omgeving daadwerkelijk binnen de afgesproken tijd kan worden hersteld?

Daar zit het verschil tussen vertrouwen op maatregelen en aantoonbaar voorbereid zijn.

Een back-up hebben betekent nog niet dat je snel kunt herstellen. Een tweede internetverbinding betekent niet automatisch dat alle kritieke processen bereikbaar blijven. En een beveiligingsoplossing geeft nog geen antwoord op de vraag wie tijdens een incident de regie voert. Werkelijke weerbaarheid ontstaat pas wanneer techniek, processen en verantwoordelijkheden samenkomen.

Groei vraagt om een fundament dat meegroeit

Organisaties investeren terecht in groei. Ze nemen medewerkers aan, openen locaties, introduceren nieuwe diensten en voegen applicaties toe. Technologie maakt die ontwikkeling mogelijk. Maar iedere nieuwe digitale oplossing voegt ook een afhankelijkheid toe.

Wanneer de digitale fundering niet in hetzelfde tempo meegroeit, ontstaat versnippering. Applicaties sluiten onvoldoende op elkaar aan, gegevens staan op verschillende plekken en verantwoordelijkheden raken verspreid. Tijdelijke oplossingen worden permanent, omdat de dagelijkse operatie altijd voorrang krijgt. Dat gaat vaak lang goed, totdat de organisatie verder wil groeien of met een storing te maken krijgt.

Daarom vind ik dat continuïteit niet pas ter sprake moet komen wanneer een systeem wordt vervangen of een incident plaatsvindt. Het hoort onderdeel te zijn van iedere groeibeslissing. Niet als rem op innovatie, maar als voorwaarde om te kunnen blijven ontwikkelen.

De vraag is dus niet alleen: helpt deze technologie ons vandaag vooruit?
De vraag is ook: wat betekent deze keuze morgen voor onze afhankelijkheid, veiligheid en herstelbaarheid?

Continuïteit hoort thuis in de bestuurskamer

De IT-afdeling kan risico’s inzichtelijk maken en technische maatregelen uitvoeren. Maar zij kan niet zelfstandig bepalen hoeveel uitval de organisatie accepteert, welke processen bedrijfskritisch zijn en welke gevolgen voor klanten nog verantwoord zijn. Dat zijn keuzes die de hele organisatie raken. Het bestuur moet daar richting aan geven.

Ook wetgeving onderstreept die verschuiving. NIS2 stelt voor organisaties die binnen de reikwijdte vallen eisen aan onder meer risicobeheer, bedrijfscontinuïteit en de beveiliging van leveranciersketens. Besturen moeten de maatregelen goedkeuren en toezicht houden op de uitvoering ervan. Dat maakt cyberweerbaarheid en continuïteit nadrukkelijk tot een bestuurlijke verantwoordelijkheid.

Bestuurders hoeven daarvoor geen technisch specialist te worden. Ze moeten wel de juiste vragen stellen:

• Weten we welke processen absoluut moeten blijven draaien?
• Kennen we de digitale afhankelijkheden achter deze processen?
• Is het duidelijk hoeveel uitval en dataverlies we kunnen accepteren?
• Weet iedereen wie bij een incident beslist en handelt?
• Hebben we getest of herstel binnen de afgesproken tijd echt mogelijk is?

Wanneer op één van deze vragen geen duidelijk antwoord bestaat, is dat geen technisch detail. Het is een bedrijfsrisico.

Weerbaarheid begint met inzicht

Dit is geen pleidooi voor meer tools, systemen of dashboards. Meer technologie kan zelfs nieuwe afhankelijkheden creëren. Weerbaarheid begint met inzicht.

Breng eerst in kaart waarop de organisatie daadwerkelijk draait. Kijk daarna waar kwetsbaarheden en afhankelijkheden zitten. Bepaal wat medewerkers, klanten en processen merken wanneer een onderdeel uitvalt. Leg vervolgens vast welke keuzes, alternatieven en verantwoordelijkheden nodig zijn om door te kunnen gaan. Pas dan kun je onderbouwde beslissingen nemen over technologie en investeringen.

Mijn overtuiging is simpel: een organisatie is pas digitaal weerbaar wanneer zij niet alleen verstoringen probeert te voorkomen, maar ook aantoonbaar weet hoe zij ermee omgaat.

Houd je organisatie in beweging

Een organisatie in beweging houden begint met inzicht. Inzicht in de processen die bedrijfskritisch zijn, de digitale schakels waarvan deze afhankelijk zijn en de gevolgen wanneer één daarvan wegvalt. Daarbij staan vier vragen centraal:

• Kan de organisatie bereikbaar blijven?
• Kunnen medewerkers veilig doorwerken?
• Is er grip wanneer het misgaat?
• En kan de digitale omgeving veilig meegroeien met nieuwe ontwikkelingen?

Ik daag bestuurders daarom uit om continuïteit niet langer als vanzelfsprekend te beschouwen. Breng in kaart welke drie digitale afhankelijkheden morgen de grootste impact kunnen hebben. Leg vast wie verantwoordelijk is en toets of herstel binnen de afgesproken tijd daadwerkelijk mogelijk is.

Want je organisatie draait op meer dan je denkt. Wie dat vandaag inzichtelijk maakt, kan morgen in beweging blijven.

Bron: Microsoft, Helping our customers through the CrowdStrike outage, 20 juli 2024.
Bron: Europese Commissie, NIS2 Directive: securing network and information systems.