Een incidentplan en een incidentkaart

Module 8: Als het misgaat · Leestijd: 10 minuten

Leerdoel: Na deze les kun je een incidentkaart en een eenvoudig incidentplan maken die ook werken als je computers, mail en telefoonlijst niet meer bereikbaar zijn.

Kernbegrippen: incident, incidentkaart, incidentplan, rollen, contactlijst, inperken, bewijs bewaren, communicatie, offline bewaren, oefenen (tabletop)

Waarom je dit nu regelt, en niet als het brandt

Stel: het is maandagochtend 07:45. Op de kassa-pc van Bakkerij Example staat een rood scherm met de tekst dat alle bestanden versleuteld zijn. De gedeelde map met de bestellingen opent niet. Iemand zegt: "Bel de computerman." Maar diens nummer staat in de contacten van de mailbox, en de mailbox staat op dezelfde pc. Een ander wil de pc meteen uitzetten. Een derde begint de back-upschijf aan te sluiten om "alles terug te zetten".

Alle drie de reacties zijn begrijpelijk, en twee ervan maken het erger. Zo gaat het bijna altijd: onder druk doen mensen wat het eerst in ze opkomt. Een incident is elke gebeurtenis die de beschikbaarheid, betrouwbaarheid of vertrouwelijkheid van je gegevens of systemen bedreigt: een gehackt mailaccount, ransomware, een verloren laptop, een mail met klantgegevens naar de verkeerde persoon, een website die is overgenomen.

Het doel van een plan is niet dat alles goed gaat. Het doel is dat je in het eerste uur geen fouten maakt die je niet meer kunt herstellen, en dat je weet wie je belt.

Incidentkaart en incidentplan: het verschil

Voor een bedrijf van twee tot twintig mensen is de kaart het belangrijkste. Het plan mag kort zijn. Het NCSC heeft voor ransomware een uitgebreid incidentresponsplan (zie Verder lezen); dat kun je als uitgangspunt nemen en inkorten.

Wat er op de incidentkaart staat

Een goede kaart beantwoordt vijf vragen. Hieronder een sjabloon dat je kunt overnemen.

INCIDENTKAART  Bakkerij Example            versie: 1   datum: ..-..-....

1. MERK JE IETS VREEMDS?  (rood scherm, rare mail verstuurd, inlog lukt niet,
   onbekende betaling, laptop kwijt, gegevens naar verkeerde ontvanger)
   -> Meld het METEEN bij: ............................  tel: ...............
      Reserve: ..........................................  tel: ...............
   Melden is altijd goed. Niemand krijgt de schuld.

2. EERSTE STAPPEN (niet zelf gaan repareren)
   [ ] Netwerkkabel eruit / wifi uit / vliegtuigmodus. NIET uitzetten.
   [ ] Usb- en back-upschijven loskoppelen. NIET aansluiten.
   [ ] Foto maken van het scherm (met je telefoon).
   [ ] Opschrijven: tijd, wat je zag, wat je deed.
   [ ] Niet betalen, niet reageren op de afperser.

3. WIE BELLEN WE?
   IT-hulp / beheerder   ............................  tel: ...............
   Hosting / mail        ............................  tel: ...............
   Bank (fraude, 24/7)   ............................  tel: ...............
   Verzekeraar (cyber)   ............................  polis: .............
   Politie (aangifte)    0900-8844
   AP meldloket datalek  autoriteitpersoonsgegevens.nl (binnen 72 uur)
   Belangrijke klant/leverancier: ...................  tel: ...............

4. WIE BESLIST EN WIE PRAAT?
   Beslist (uitzetten, terugzetten, melden, betalen): ..........................
   Praat met klanten, pers, personeel: ........................................
   Houdt het logboek bij: .....................................................

5. WAAR STAAT WAT?
   Back-ups: .............................. (laatste test: ..-..-....)
   Wachtwoordmanager noodtoegang: ...........................................
   Lijst van systemen en accounts: ..........................................
   Dit plan (digitaal) + kopie buiten de zaak: ..............................

Een paar keuzes in dit sjabloon verdienen uitleg.

• "Niet uitzetten, wel loskoppelen." Bij ransomware adviseert het NCSC om een getroffen apparaat direct van het netwerk te halen (kabel, wifi, mobiel netwerk), maar het niet uit te zetten; slaapstand mag. In het werkgeheugen staan sporen die een onderzoeker nodig kan hebben, en soms zelfs sleutels. Loskoppelen stopt de verspreiding naar andere apparaten en naar de netwerkschijf.
• "Back-upschijven niet aansluiten." Een schijf die je aan een besmette pc hangt, wordt ook versleuteld. Eerst moet vaststaan dat de omgeving schoon is (les 8.3).
• "Melden is altijd goed." De medewerker die als eerste iets ziet, is je beste verdediging. Als die bang is voor een standje, wacht hij af en verlies je uren. Zie ook les 9.2.
• Nummers op papier. Juist bij een groot incident werken je mail, je gedeelde agenda en soms ook je telefooncentrale niet. Een kaart die alleen in de cloud staat, is dan weg.

Het nummer 0900-8844 is het algemene nummer van de politie voor zaken zonder spoed; bedrijven maken daarmee een afspraak voor aangifte. Bij direct gevaar bel je 112, maar een cyberaanval is meestal geen 112-zaak.

Rollen: wie doet wat

In een klein bedrijf is één persoon vaak alles. Spreek toch drie rollen af, ook als er twee dezelfde naam hebben:

1. De beslisser. Beslist over uitzetten, terugzetten, melden bij de AP, contact met de bank, en de vraag of er een extern specialist komt. Liefst de eigenaar of directeur, met een vaste vervanger.
2. De technische lijn. Je IT-leverancier, webbouwer of de handige collega. Doet wat de beslisser vraagt en adviseert. Spreek vooraf af of je IT-leverancier ook bij een incident helpt, hoe snel, en wat dat kost; dat is een vraag voor les 7.2.
3. De communicator. Praat met klanten, personeel en eventueel de pers, zodat er één verhaal naar buiten gaat. Bij een datalek hoort daar ook het informeren van betrokkenen bij (les 8.2).

Wijs ook iemand aan die een logboek bijhoudt: tijd, wat er gebeurde, wie wat besloot. Dat lijkt bureaucratisch, maar je hebt het nodig voor de melding bij de AP (die vraagt wanneer je het lek ontdekte en wat je deed), voor je verzekeraar, voor aangifte en voor de evaluatie achteraf.

Het plan: per soort incident een paar regels

Naast de kaart schrijf je per veelvoorkomend incident een korte aanpak. Vier zijn genoeg om mee te beginnen:

Leg ook vast welke systemen het belangrijkst zijn, in volgorde. Bij Bakkerij Example is dat bijvoorbeeld: kassa en pin, bestellingen voor vandaag, mail, boekhouding, website. Bij herstel begin je bovenaan. Zie ook RPO en RTO in les 6.3.

Oefenen: een half uur aan tafel

Een plan dat niemand kent, werkt niet. Een tabletop-oefening kost een half uur: je zit met de mensen die een rol hebben aan tafel en speelt een scenario na, zonder iets aan te raken. De begeleider (dat mag jijzelf zijn) vertelt stap voor stap wat er gebeurt.

Voorbeeld: "Het is vrijdag 16:30. De boekhouder krijgt een mail van een vaste leverancier: het IBAN is gewijzigd, de openstaande factuur van 8.400 euro graag vandaag nog naar het nieuwe nummer. Wat doe je?" En daarna: "Het is maandag. De leverancier belt: hij heeft niets ontvangen." Bij elke stap vraag je: wie doet wat, wie bel je, waar staat dat nummer?

Na afloop schrijf je op wat ontbrak. Bijna altijd is dat een telefoonnummer, een wachtwoord dat maar één persoon kent, of onduidelijkheid over wie beslist. Pas de kaart aan en zet de nieuwe datum erop. Eén keer per jaar oefenen en de kaart nalopen is voor een klein bedrijf een goed ritme, en ook na elke grote wijziging (nieuwe IT-leverancier, nieuw boekhoudpakket).

In de praktijk: zo ziet het eruit

Neem in je kaart ook de concrete plekken op waar je bij je eigen aanbieders snel kunt ingrijpen. Bij WebOké is dat bijvoorbeeld: actieve sessies bekijken en uitloggen in Mijn WebOké, het stappenplan "Mijn website is gehackt" in de DirectAdmin-handleiding, en het terugzetten van een back-up. Bij andere aanbieders van hosting, mail en cloud bestaan vergelijkbare functies; zoek ze op voordat je ze nodig hebt, en schrijf op waar ze zitten.

Samenvatting

• Een incidentkaart (één A4, op papier) zorgt dat iedereen in de eerste minuten het goede doet: melden, loskoppelen maar niet uitzetten, back-ups niet aansluiten, niets betalen.
• Spreek rollen af: wie beslist, wie doet het technische werk, wie communiceert, wie houdt het logboek bij.
• Schrijf per veelvoorkomend incident een korte aanpak en de volgorde van je belangrijkste systemen.
• Bewaar nummers en het plan ook buiten je computers.
• Oefen jaarlijks een half uur aan tafel en werk de kaart bij.

Quiz

Opdracht

Opdracht D8.1: Je eigen incidentkaart. Neem het sjabloon uit deze les over en vul het in voor je eigen bedrijf: echte namen, nummers en plekken. Print hem, hang hem op en maak een foto voor op je telefoon. Doe daarna met één collega (of alleen) het IBAN-scenario uit deze les in een kwartier na, en schrijf op wat je miste.

Verder lezen

De stappen in de WebOké-artikelen gelden voor de omgeving van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• DirectAdmin handleiding 18.2: Mijn website is gehackt: stappenplan
• Help! Mijn site is gehackt. Hoe los ik dat op en hoe voorkom ik het?
• WebOké handleiding 3.6: Actieve sessies bekijken en uitloggen
• NCSC, Wat te doen bij een ransomware-aanval?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• NCSC, Incidentresponsplan Ransomware (pdf): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
• Politie, Ik ben slachtoffer van ransomware: https://www.politie.nl/informatie/ik-ben-slachtoffer-van-ransomware.html