Interview Brenno de Winter: cyberweerbaarheid vraagt om meer dan technologie: leren van wat er écht misgaat

We investeren steeds meer in cybersecurity, maar worden we daardoor ook daadwerkelijk cyberweerbaarder?
“Ik weet niet of we steeds meer besteden. Ik zou willen betogen dat de trend juist is dat we minder weerbaar worden door een gebrek aan maatregelen en bewustzijn.

In veel organisaties wordt informatieveiligheid nog steeds als een moetje gezien. Het doel is echter het beheersen van risico’s om de bedrijfsdoelstellingen te kunnen behalen. Dat raakt ondernemingen direct.

Wat onvoldoende lijkt door te dringen, is dat naarmate we meer automatiseren, ook onze digitale afhankelijkheid en daarmee de risico’s toenemen. Tegelijkertijd kunnen aanvallers hun werkwijze steeds verder automatiseren, waardoor kwetsbaarheden sneller en op grotere schaal kunnen worden misbruikt.”

Waar zie jij dat organisaties binnen de kritieke infrastructuur zichzelf soms rijk rekenen?
“Zowel binnen als buiten de organisatie. Het lijkt in Nederland onvoldoende door te dringen dat we momenteel op de rand van een oorlog staan en dat daar ook een digitale component aan zit.

In andere landen is dat bewustzijn wat groter. Je ziet dat Nederland internationaal ook minder aangehaakt is als het gaat om bescherming.”

Na grote cyberincidenten wordt vaak gekeken naar wat er technisch is misgegaan. Welke lessen worden volgens jou structureel nog onvoldoende getrokken uit eerdere incidenten?
“De belangrijkste les die we onvoldoende trekken, is dat een groot veiligheidsincident zelden alleen een technisch incident is. Het is meestal het moment waarop jarenlang opgebouwde kwetsbaarheden in de organisatie ineens zichtbaar worden.

Na een incident kijken we graag naar de kwetsbaarheid die is misbruikt, de ontbrekende patch of het account waarmee een aanvaller binnenkwam. Maar de interessantere vragen zijn: waarom kon die kwetsbaarheid zo lang bestaan? Wie was verantwoordelijk? Welke risico’s waren bekend? Welke keuzes zijn bewust of onbewust gemaakt? En waarom hebben controles, monitoring of herstelmaatregelen niet gewerkt?

In Fundamenten van informatiebeveiliging kijk ik daarom nadrukkelijk naar de samenhang tussen regulering, organisatie en techniek. Je kunt technisch alles dichttimmeren, maar als verantwoordelijkheden onduidelijk zijn, leveranciers niet worden aangestuurd, logging niet wordt bekeken, herstel niet wordt geoefend of mensen problemen niet veilig kunnen melden, ontstaat uiteindelijk opnieuw een incident.

Wat mij vooral opvalt, is dat organisaties na een incident vaak een product kopen of een extra technische maatregel invoeren. Terwijl de echte winst zit in het veranderen van de organisatie: heldere verantwoordelijkheden, goede feedbacklussen, oefenen, meten en leren.

Een veiligheidsincident is uiteindelijk vaak geen plotselinge gebeurtenis, maar de zichtbare uitkomst van een lange reeks kleine besluiten, aannames en uitgestelde maatregelen. Dáár zouden we veel structureler van moeten leren.”

In je keynote stel je de vraag: ‘Waar is de cyberonderzoeksraad?’ Waarom hebben we volgens jou behoefte aan een andere manier van leren van ernstige cyberincidenten?
“Omdat we bij ernstige incidenten nog te vaak leren op het niveau van de individuele organisatie, terwijl de oorzaken en lessen veel breder zijn.

Na een vliegtuigcrash accepteren we niet dat alleen de luchtvaartmaatschappij zelf onderzoekt wat er is gebeurd. We willen onafhankelijk weten welke combinatie van techniek, menselijk handelen, procedures, toezicht en bestuurlijke keuzes tot het ongeval heeft geleid. Niet primair om schuldigen aan te wijzen, maar om herhaling te voorkomen. Bij cyberincidenten doen we dat nog nauwelijks.

Veel onderzoeken verdwijnen bovendien achter vertrouwelijkheid, aansprakelijkheidsdiscussies of commerciële belangen. Daardoor zien andere organisaties hooguit dat er ‘een kwetsbaarheid is misbruikt’, maar niet welke beslissingen eraan voorafgingen: waarom signalen niet werden opgepakt, waarom afhankelijkheden onbekend waren, waarom herstel niet werkte of waarom bestuur en techniek langs elkaar heen praatten.

Met mijn vraag ‘Waar is de cyberonderzoeksraad?’ bedoel ik daarom niet per se dat we morgen een nieuw instituut moeten oprichten. Ik bedoel dat we een onafhankelijke, systematische manier nodig hebben om ernstige incidenten te onderzoeken en de lessen publiek beschikbaar te maken.

Dat onderzoek zou juist naar de hele keten moeten kijken: regulering, organisatie én techniek. Welke aannames waren fout? Welke prikkels werkten verkeerd? Welke beheersmaatregelen bestonden alleen op papier? Welke afhankelijkheden werden onderschat? En vooral: wat kunnen ándere organisaties hiervan leren?

Nu behandelen we ieder groot cyberincident nog te vaak als een unieke ramp. Terwijl er opvallend veel patronen terugkomen. Als we die patronen niet gezamenlijk onderzoeken en vastleggen, zijn we eigenlijk steeds opnieuw hetzelfde incident aan het betalen.”

Cyberweerbaarheid stopt niet bij de grenzen van één organisatie. Wat vraagt het van organisaties binnen de kritieke infrastructuur om opener kennis, ervaringen en ook fouten met elkaar te delen?
“Dat vraagt in de eerste plaats om vertrouwen. Organisaties moeten erop kunnen rekenen dat het delen van een fout niet onmiddellijk leidt tot reputatieschade, juridische problemen of een afrekening door toezichthouders, bestuurders of collega’s. Zolang kwetsbaarheid tonen wordt bestraft, zullen mensen vooral succesverhalen delen. En daar leer je weinig van.

Binnen de kritieke infrastructuur zijn organisaties bovendien sterk van elkaar afhankelijk. Een incident bij een leverancier, telecomprovider of softwarepartij kan zich razendsnel door de keten verspreiden. Informatiebeveiliging is daarom geen wedstrijd waarin je probeert veiliger te zijn dan de buurman. De weerbaarheid van het geheel wordt mede bepaald door de zwakste schakels en de kwaliteit van de samenwerking daartussen.

Dat betekent dat we veel systematischer moeten delen wat níét werkte: welke aannames bleken verkeerd, welke signalen hebben we gemist, waar faalden procedures, hoe verliep besluitvorming onder druk en welke maatregel bleek achteraf vooral schijnzekerheid te bieden? Juist die informatie is waardevol voor een andere organisatie die dezelfde fout nog kan voorkomen.

Daarvoor heb je structuren nodig zoals ISAC’s en sectorale samenwerkingsverbanden, maar vooral ook een cultuur waarin leren belangrijker is dan gelijk krijgen. Deel waar nodig vertrouwelijk of geanonimiseerd, maar zorg ervoor dat de lessen uiteindelijk wel terechtkomen bij de mensen die er iets mee kunnen.

Wat mij betreft hoort daar ook wederkerigheid bij. Je kunt niet alleen informatie komen halen wanneer je zelf problemen hebt. Cyberweerbaarheid is een collectief belang. Wie onderdeel is van de kritieke infrastructuur heeft eigenlijk ook de verantwoordelijkheid om de rest van het ecosysteem slimmer te maken van zijn eigen fouten.

En misschien is dat wel de moeilijkste stap: niet zeggen ‘bij ons is het opgelost’, maar ‘dit ging bij ons verkeerd, zorg dat het bij jullie niet hetzelfde gebeurt.’”

Waarom is het juist nu belangrijk dat professionals uit cybersecurity, IT, OT en de operatie met elkaar in gesprek blijven?
“Juist nu, omdat de scheidslijnen tussen cybersecurity, IT, OT en de operatie in werkelijkheid steeds minder bestaan, terwijl we organisaties nog vaak langs precies die lijnen hebben ingericht.

Een storing in een IT-systeem kan vandaag rechtstreeks gevolgen hebben voor productie, logistiek of dienstverlening. Een kwetsbaarheid in OT kan een veiligheidsprobleem worden. En een operationele keuze kan ineens grote consequenties hebben voor informatiebeveiliging.

Toch spreken die werelden nog te vaak ieder hun eigen taal. De securityprofessional ziet een kwetsbaarheid, de IT’er ziet een technisch probleem, de operator ziet continuïteit en het bestuur ziet risico. Maar het is uiteindelijk hetzelfde probleem.

In Fundamenten van informatiebeveiliging probeer ik daarom steeds terug te gaan naar de samenhang tussen regulering, organisatie en techniek. Technologie alleen maakt een organisatie niet weerbaar. Dat gebeurt pas wanneer mensen begrijpen welke afhankelijkheden er zijn, elkaar weten te vinden en gezamenlijk keuzes kunnen maken wanneer belangen botsen.”

Wat hoop je dat bezoekers van de Cybersecurity Day na 8 oktober anders gaan bekijken of doen?
“Wat ik hoop dat bezoekers na 8 oktober anders doen, is eigenlijk heel praktisch: ga eens naast iemand zitten die een totaal andere verantwoordelijkheid heeft dan jij. Vraag niet alleen wat diens systeem doet, maar waarvan die persoon afhankelijk is, waar hij wakker van ligt en wat er gebeurt als iets uitvalt.

En kijk bij beveiliging niet alleen meer naar de vraag: ‘Is dit technisch veilig?’ Vraag ook: ‘Wat betekent dit voor de operatie, voor mensen en voor de continuïteit van de organisatie?’

Als mensen na de Cybersecurity Day één ding meenemen, hoop ik dat het dit is: cyberweerbaarheid ontstaat niet doordat iedere discipline zijn eigen vak uitstekend beheerst, maar doordat die disciplines elkaar begrijpen voordat er een crisis uitbreekt.”

Praat mee tijdens de Cybersecurity Day
Cyberweerbaarheid vraagt om meer dan technologie alleen. Het vraagt om samenwerking tussen cybersecurity, IT, OT en operatie, om kritisch te kijken naar de keuzes die we maken en vooral om te leren van wat eerder is misgegaan.

Precies daarom brengen we op 8 oktober 2026 tijdens de Cybersecurity Day professionals, experts en organisaties uit de kritieke infrastructuur bij elkaar. Brenno de Winter sluit de dag af met zijn keynote ‘Waar is de cyberonderzoeksraad? Leren van eerder falen’.

Wil je nieuwe inzichten opdoen, ervaringen uitwisselen met vakgenoten en cybersecurity vanuit verschillende perspectieven bekijken?

Meld je kosteloos aan voor de Cybersecurity Day op 8 oktober bij INTER in Duiven.

Schrijf je in!