Een cyberaanval op een grote cloudaanbieder is het grootste digitale veiligheidsrisico voor Nederland. Dat blijkt uit de nieuwe Rijksbrede Risicoanalyse Nationale Veiligheid, die het Analistennetwerk Nationale Veiligheid opstelde voor de NCTV. In het zwaarste scenario saboteert een buitenlandse staat via de toeleveringsketen een cloudprovider waar overheden, bedrijven en burgers op leunen. Systemen en data zijn dan tijdelijk onbereikbaar en gevoelige gegevens kunnen in handen van de aanvallers vallen.
Het rapport is geschreven voor het Rijk, maar de vraag erachter geldt voor elke organisatie die haar e-mail, administratie of klantsystemen bij één partij heeft ondergebracht. Wat gebeurt er met je bedrijf als die partij een week uitvalt?
Waarom cloudafhankelijkheid een bestuursonderwerp is
De analisten wijzen op de groeiende afhankelijkheid van een klein aantal grote, vooral Amerikaanse techbedrijven. Ze adviseren om risicovolle afhankelijkheden te verminderen en crisisplannen verder uit te werken. Voor een directie is dat geen technisch detail. Wie de cloudleverancier niet kan missen, heeft een bedrijfsrisico van dezelfde orde als één onmisbare grote klant of één leverancier van een cruciale grondstof.
Daar komt de wet bij. Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Organisaties in 18 sectoren moeten passende maatregelen nemen tegen digitale risico’s. Het bestuur moet die maatregelen goedkeuren, toezien op de uitvoering en er zelf voldoende kennis van hebben. NIS2 noemt de beveiliging van de toeleveringsketen uitdrukkelijk als een van die maatregelen, en een cloudleverancier hoort daar gewoon bij. Hoe dat voor bestuurders uitpakt, lees je in ons artikel over digitale veiligheid als bestuurstaak.
Breng je afhankelijkheid in kaart
Begin met een eenvoudige vraag per bedrijfsproces: welke clouddiensten zijn nodig om dit proces te laten draaien? Denk aan e-mail, opslag, de boekhouding, het klantsysteem, telefonie en back-ups. Vaak blijkt dan dat veel processen via omwegen bij dezelfde leverancier uitkomen. De back-up staat bijvoorbeeld bij dezelfde partij als de originele data, of het inloggen op alle systemen loopt via één account.
Leg daarna per dienst vast hoe lang je zonder kunt. Een webwinkel die een dag niet kan factureren, heeft een ander probleem dan een zorginstelling die geen patiëntgegevens kan inzien. Die maximale uitvaltijd bepaalt hoeveel je wilt investeren in alternatieven.
Exit- en continuïteitsplannen
Het Rijk geeft zelf het voorbeeld. Onder het herziene cloudbeleid moeten overheidsinstellingen hun afhankelijkheidsrisico’s in kaart brengen en een exitplan opstellen dat ook rekening houdt met het plotseling wegvallen van een dienst. Bedrijven kunnen die aanpak overnemen. Een bruikbaar exitplan beschrijft waar je data staat, in welk formaat je die kunt meenemen, wie de overstap regelt en hoe lang die duurt.
Voor de korte termijn is een continuïteitsplan nodig. Welke processen gaan voor? Is er een kopie van de belangrijkste gegevens buiten de omgeving van de leverancier? Kunnen medewerkers tijdelijk met andere middelen werken? Oefen zo’n scenario minstens één keer met de directie erbij. Pas dan merk je of de afspraken op papier ook werken.
Spreiding over meerdere leveranciers verkleint het risico, maar kost geld en maakt het beheer ingewikkelder. Voor veel middelgrote organisaties is een goede back-up bij een tweede partij, samen met een geoefend noodplan, een realistischere eerste stap dan een volledige multicloudomgeving.
Aansluitende managementmodellen
Business Continuity Management, vastgelegd in de norm ISO 22301, geeft een vaste structuur om de gevolgen van uitval te analyseren, plannen op te stellen en die te oefenen en te verbeteren. De bedrijfsimpactanalyse uit deze aanpak sluit direct aan op de vraag hoe lang je zonder een clouddienst kunt.
De Kraljic-matrix deelt ingekochte producten en diensten in naar hun invloed op het resultaat en het leveringsrisico. Kritieke clouddiensten vallen vaak in het kwadrant van strategische producten: groot belang en weinig alternatieven. Daar horen een nauwe relatie met de leverancier en een uitgewerkt alternatief bij. Wie wil weten hoe sterk de onderhandelingspositie van een leverancier is, kan ook het vijfkrachtenmodel van Porter erbij pakken.
Een risicomatrix zet kans en impact tegen elkaar af. De nationale analyse plaatst een aanval op een cloudprovider hoog op de lijst. Voor je eigen organisatie bepaal je zelf waar dit scenario in de matrix valt en welke maatregelen daarbij passen.
Aanleiding voor dit artikel is nieuws van Computable.
