“In een crisis moet je niet polderen”: Kelvin Rorive over wat misgaat bij crisisoefeningen
Kelvin Rorive werkt al lang in de informatiebeveiliging. Een paar jaar geleden richtte hij CCRC op, het Cyber Chain Resilience Consortium, omdat hij vindt dat crisisoefenen veel serieuzere aandacht verdient. Op dag één van Cybersec Netherlands 2026 deelde hij in zijn sessie tien lessen over cybercrisismanagement. Op dag twee van Cybersec Netherlands 2026 vroegen we hem: waar gaat het in de praktijk mis.
Vastlopen voordat de crisis überhaupt begint
Het eerste probleem zit volgens Kelvin nog vóór de oefening. “Er wordt nog steeds ontkend dat dit echt belangrijk is. 'Cyber is wel oké, ik heb een goede IT-manager.' Terwijl we genoeg voorbeelden hebben waarin een cyberincident het voortbestaan van een bedrijf raakte.” Hij ziet wel verbetering: het onderwerp staat vaker op de bestuurstafel dan drie, vier jaar geleden.
Organisaties die wel oefenen, lopen zelden vast op de keuzes zelf.
“Ze zijn aan het begin vooral verward. Hoe is het crisisteam georganiseerd? Wie doet welke rol? Hoe is het mandaat geregeld?”
Dat noemt Kelvin hygiëne: zaken die je vooraf regelt en oefent. “Als een crisisteam wordt geactiveerd, heb je een serieus probleem. Dan wil je geen tijd verliezen aan ditjes en datjes.”
Drie fouten die hij steeds tegenkomt
1. Een te groot crisisteam.
Security, IT, legal: alle disciplines schuiven aan. “Dan zit je met tien of twaalf mensen, terwijl je daadkrachtig moet besluiten. Hoe meer mensen, hoe meer meningen en hoe stroperiger het wordt.” Zijn advies: een strategisch team van vier of vijf personen, met ondersteunende teams daaronder.
2. De CISO als crisismanager.
“Het is een cyberaanval, dus: beste CISO, wil jij de crisis managen?” Juist de CISO moet vrij zijn om inhoudelijk te sturen en te adviseren.
3. Geen plan B voor communicatie.
Veel crisisteams zijn hybride en bellen in. Maar bij een cybercrisis vallen netwerken en systemen soms weg. “Wat als je niet meer kunt bellen of Teams gebruiken? Daar verras ik ze regelmatig mee.” Internationale teams kunnen een satellietverbinding regelen. In Nederland adviseert hij een vaste fysieke plek in het draaiboek. “Bij een totale black-out is dat nog best een uitdaging. Verkeerslichten werken niet, er staan files. Bespreek het eens met je team.”
Twee A4'tjes in je WhatsApp of Signal
Ook het crisisplan zelf moet werken als alles uitvalt. Kelvin pleit voor een checklist van maximaal twee A4'tjes.
“In ‘wartime’ heb je geen tijd voor dikke documenten. Je hebt een handvat nodig: o ja, dat puntje, dan weet ik wat ik moet doen.”
Zijn praktische tip: zet die checklist in WhatsApp of Signal. Die draaien bijna altijd en bewaren documenten lokaal op je telefoon. Uitprinten in je tas kan ook, maar hij maakte eens mee dat zo'n tas werd gestolen. “Dan heb je in één keer een privacy-incident omdat er contactgegevens in staan van crisisteamleden. Dat zijn vaak ook de gegevens van bestuurders.” Het uitgebreide draaiboek blijft nodig, maar vooral om achteraf te evalueren en te verbeteren.
Drie rollen van belang in een crisisteam
In elk crisisteam zijn minimaal drie rollen cruciaal: de voorzitter, de communicatie-expert en de logger. Die laatste wordt onderschat. “De logger is veel meer dan een secretaris. Die regelt operationeel alles: de volgende meeting, de acties, de tijdlijn. Daarmee geeft hij de voorzitter ruimte om strategisch na te denken.”
De voorzitter moet mandaat en gezag hebben en vooral strak kunnen sturen. “In Nederland polderen we graag. Dat is onze cultuur en dat vind ik mooi. Maar tijdens een crisis werkt het echt niet. We hebben vijftien minuten, dan moeten de besluiten genomen zijn.” Vaak is dat een bestuurder, maar niet per se de beste people manager. Daarom moet je rollen vooraf bepalen en testen. “Na een oefening voer ik graag die open discussie: ben jij wel de juiste persoon?”
Herhaling zorgt ervoor dat je leert
Eén keer oefenen is niet genoeg. “Het gaat om muscle power, en dat is drillen en herhalen.” Kelvin liet organisaties zelfs meerdere keren hetzelfde scenario doorlopen. “Dan zie je: nu komen we sneller tot een besluit. Het scenario hoeft niet perfect te zijn. Het gaat om comfort krijgen met de dynamiek.” Minimaal twee keer per jaar oefenen, adviseert hij. Volwassen organisaties doen het vier tot vijf keer per jaar, soms gericht op één onderdeel dat eerder niet goed ging.
Oefenen geeft extra waarde: je leert ook elkaar kennen
Geen organisatie staat op zichzelf. “Als je IT-leverancier gehackt is en alles uitzet, staat jouw business ook stil.” Daarom brengt CCRC het liefst de hele keten van kritische partijen samen in één oefening, als onafhankelijke partij die ieders belang meeneemt. “Inspannend, maar het levert enorm veel waarde op.”
Die waarde zit niet alleen in de fouten die boven water komen. Deelnemers leren elkaar kennen en dat informele netwerk wordt volgens Kelvin zwaar onderschat.
“In een echte crisis heb je bijna altijd te weinig capaciteit. Dan is het fijn als je iemand belt die denkt: Kelvin belt, er is wat aan de hand als hij belt, die moet ik opnemen.”
Dat kan zelfs een concurrent zijn. “Binnen security moeten we concurreren. Maar ‘when the shit hits the fan’, moeten we er voor elkaar zijn. We hebben een maatschappelijk belang.”
Dit is een speciale editie van Security Innovation Stories, opgenomen op locatie tijdens Cybersec Netherlands 2026.
