Het is ongebruikelijk om een ​​open brief van een bedrijfsleider te zien aan het begin van een overheidsrapport over cyberbeveiliging. Vooral niet van iemand wiens bedrijf net een vernederende datalek heeft meegemaakt. Maar we leven in ongewone tijden. En de boodschap is van cruciaal belang. Daarom heeft het National Cyber ​​Security Centre (NCSC) van GCHQ ruimte gemaakt voor Shirine Khoury-Haq, CEO van de Co-op Group, aan het begin van het jaarverslag 2025.

Haar boodschap, die in het hele document werd herhaald en versterkt, was simpel: voorbereiding is alles. Maar hoe zorgen bedrijfsleiders ervoor dat ze vandaag voldoende cyberweerbaarheid in hun organisatie opbouwen, zodat ze morgen bij een inbreuk hun bedrijfsvoering kunnen voortzetten?

Nationaal significante incidenten nemen toe

De cijfers van het afgelopen jaar spreken voor zich. Het NCSC stelt dat bijna de helft (48%) van de incidenten waarop het Incident Management-team het afgelopen jaar heeft gereageerd, "nationaal significant" was. Dat komt neer op 204 afzonderlijke incidenten, oftewel vier per week. Zo'n 4% (18) wordt gecategoriseerd als "zeer significant" – een jaarlijkse stijging van 50%. Dit is één stap lager dan de maximale ernst, die duidt op incidenten die ernstige economische/maatschappelijke gevolgen of verlies van mensenlevens kunnen hebben. Maar het gaat nog steeds om cyberaanvallen en -inbreuken die een ernstige impact kunnen hebben op de centrale overheid, essentiële diensten en een groot deel van de Britse bevolking of economie.

Interessant is dat 29 incidenten die het NCSC in die periode afhandelde, voortkwamen uit slechts drie kwetsbaarheden: CVE‑2025‑53770 (Microsoft SharePoint Server), CVE‑2025‑0282 (Ivanti Connect Secure, Policy Secure & ZTA Gateways) en CVE‑2024‑47575 (Fortinet FortiManager). Dit onderstreept meteen de laaghangende risico's voor organisaties die kiezen voor risicogebaseerde patchmanagementprogramma's.

Dit laaghangende fruit is overal te vinden, mits bedrijfsleiders maar voldoende gemotiveerd zijn of zich bewust zijn van de noodzaak om het te vinden, aldus Richard Horne, CEO van NCSC. In zijn voorwoord beschrijft hij de uitdagingen waarmee Britse organisaties worden geconfronteerd als "een orde van grootte". Horne concludeert: "Cybersecurity is nu cruciaal voor de levensduur en het succes van bedrijven. Het is tijd om actie te ondernemen."

Een brief aan de FTSE 350

Deze nadruk op actie wordt ondersteund door recente catastrofale cybergerelateerde storingen die Jaguar Land Rover (JLR), M&S en Co-op Group, om er maar een paar te noemen, troffen. Sommige schattingen schatten de totale verliezen van deze bedrijven en hun leveranciers op bijna £ 1 miljard. Dit is mede de reden waarom het rapport bedrijfsleiders er rechtstreeks toe aanspoort om cybersecurity niet langer als een zaak van de IT-afdeling te beschouwen en zich te realiseren hoe cruciaal het is voor de bedrijfsgroei en de Britse economie.

Daarom is Khoury-Haq van de Co-op Group erin opgenomen. En daarom roept Horne uit: "Alle bedrijfsleiders moeten verantwoordelijkheid nemen voor de cyberweerbaarheid van hun organisatie." Het is ook waarom het rapport verschillende NCSC-initiatieven promoot, zoals:

  • De Cyber ​​Governance Code of Practice: ontworpen om besturen en directeuren te helpen digitale risico's beter te beheren
  • Het Cyber ​​Governance Training-programma, dat aansluit bij de vijf kernprincipes van de code: risicomanagement, strategie, mensen, incidentplanning, respons en herstel, en zekerheid en toezicht
  • Richtlijnen van het NCSC over ‘betrokkenheid bij besturen om het beheer van cyberbeveiligingsrisico’s te verbeteren’, die CISO’s helpen effectiever met hun bestuur te communiceren
  • De principes voor cyberbeveiligingscultuur, die schetsen hoe een goede beveiligingscultuur eruitziet en hoe gedrag kan worden veranderd
  • De Cyber ​​Action Toolkit, om het cyberbewustzijn onder leiders van kleine bedrijven te vergroten

Dat is ook de reden waarom de overheid, in een ogenschijnlijk gecoördineerde actie, een brief heeft geschreven aan de CEO's van de FTSE 350, met het verzoek de omvang van de dreiging te erkennen.

"Cyberbeveiliging is te lang een zorg geweest van het middenmanagement en wordt pas in crisissituaties aan de top van het management voorgelegd. Het gaat er niet om óf je slachtoffer wordt van een cyberaanval, maar om voorbereid te zijn op het moment dat het gebeurt", aldus minister van Veiligheid Dan Jarvis bij de presentatie van het rapport. Hij benadrukte veelbetekenend het concurrentievoordeel dat bedrijven kunnen behalen met de beste cyberbeveiligingspraktijken.

Veerkracht opbouwen

Het goede nieuws is dat, hoewel de dreiging toeneemt, het NCSC beweert dat de meeste activiteiten die het ziet niet radicaal nieuw zijn, of ze nu door de staat worden gesponsord of het werk zijn van groepen zoals Scattered Spider. Dat zou het bereiken van cyberweerbaarheid iets gemakkelijker moeten maken. Maar wat staat er in het rapport? Naast het opnoemen van NCSC-initiatieven zoals Active Cyber ​​Defence en Cyber ​​Essentials, benadrukt het 100 pagina's tellende document het begrip "resilience engineering".

Hoewel het concept zijn oorsprong vindt in de veiligheidstechniek, zou het volgens het NCSC ook effectief kunnen worden toegepast op het cyberdomein, via initiatieven zoals:

Infrastructuur als code: Hiermee kunnen organisaties systemen betrouwbaar repliceren voor snel herstel en een betrouwbare, onveranderlijke infrastructuur implementeren.

Onveranderlijke back-ups: Maakt effectief herstel mogelijk bij volledig omgevingsverlies (inclusief identiteit, cloudconfiguraties, hypervisors, enz.).

Segmentatie: Voor isolatie en inperking om de impact tijdens een evenement te minimaliseren, of "voortdurend om vertrouwensgrenzen te creëren".

Het principe van minimale bevoegdheden: Dit geldt voor alle diensten, om schade te beperken en Zero Trust-benaderingen te ondersteunen.

Observeerbaarheid en monitoring: Om afwijkingen te detecteren en het leerproces na incidenten te verbeteren.

Chaos engineering: Het doelbewust introduceren van fouten om detectie- en herstelprocessen te valideren/testen.

Veerkrachtige bedrijfsvoering: Dit houdt onder meer in dat draaiboeken voor crisisbestrijding digitaal of fysiek beschikbaar worden gesteld op geïsoleerde platforms, of in gedrukte vorm.

Kijk naar normen

Peter Connolly, CEO van Toro Solutions , stelt dat best practices zoals ISO 27001 organisaties kunnen helpen hun cyberweerbaarheid te verbeteren.

"Het biedt een gestructureerd raamwerk voor risicobeheer dat verder gaat dan IT en ook mensen, fysieke beveiliging en bedrijfscontinuïteit omvat", vertelt hij aan ISMS.online. "Door deze geïntegreerde aanpak kunnen organisaties de impact van incidenten minimaliseren, kritieke activiteiten in stand houden en klanten, investeerders en partners laten zien dat beveiliging een topprioriteit is."

Connolly voegt eraan toe dat organisaties ISO 27001-naleving moeten gebruiken om beveiliging te verankeren in de dagelijkse bedrijfscultuur.

"Dit betekent dat beveiligingsprincipes onderdeel moeten worden van routinematige activiteiten in plaats van ze als een aparte taak te behandelen", concludeert hij. "Begin met het aanpakken van de meest kritieke risico's en zorg ervoor dat cyber-, fysieke en mensgerelateerde beveiliging samen worden beschouwd. Deze aanpak bouwt echte veerkracht op en biedt tegelijkertijd internationaal erkende geloofwaardigheid."

Het woord "veerkracht" wordt 139 keer genoemd in het NCSC-rapport. Het is tijd dat UK PLC hier aandacht aan besteedt.