Er ligt een crisisplan. Het is goedgekeurd, het staat op het intranet en de auditor was tevreden. En toch is de kans groot dat het niet werkt op het moment dat het moet. Het goede nieuws: dat hoef je niet te ontdekken tijdens een echte crisis. Eén middag is genoeg.
There is a crisis plan. It has been approved, it sits on the intranet and the auditor was satisfied. And yet the odds are it won't work at the moment it must. The good news: you don't have to find out during a real crisis. One afternoon is enough.
De meeste crisisplannen worden geschreven om een norm te halen of een auditor gerust te stellen. Dat is te merken: ze zijn volledig in plaats van bruikbaar. Veertig pagina's die niemand onder druk gaat lezen, met bijlagen die verwijzen naar systemen die inmiddels vervangen zijn. Een plan dat geschreven is voor de la, blijft in de la, ook tijdens een incident.
Most crisis plans are written to pass a standard or reassure an auditor. It shows: they are complete rather than usable. Forty pages nobody will read under pressure, with appendices referring to systems that have since been replaced. A plan written for the drawer stays in the drawer, including during an incident.
Herken je er één, dan zijn de andere twee waarschijnlijk ook waar. Dat is geen schande. Het is de normale toestand van plannen die nooit getest zijn. Een crisisplan is als een rookmelder: je weet pas of hij werkt als je op de testknop drukt. Alleen doet bijna niemand dat.
If you recognise one, the other two are probably true as well. That is no disgrace. It is the normal state of plans that have never been tested. A crisis plan is like a smoke detector: you only know it works when you press the test button. Except almost nobody does.
Nodig vijf mensen uit voor twee uur: iemand van de directie, de IT-verantwoordelijke, een proceseigenaar, iemand van communicatie en degene die het plan beheert. Leg één scenario op tafel: het is maandagochtend 08:30 en jullie belangrijkste systeem is versleuteld door ransomware. Geen presentatie, geen theorie. Speel het gewoon uit. Stel elkaar drie vragen:
Invite five people for two hours: someone from the board, the IT lead, a process owner, someone from communications and whoever maintains the plan. Put one scenario on the table: it is Monday morning 08:30 and your most important system has been encrypted by ransomware. No slides, no theory. Just play it out. Ask each other three questions:
In onze ervaring loopt het gesprek binnen twintig minuten vast op minstens één van deze vragen. Dat is precies de opbrengst: je weet nu wat er ontbreekt, terwijl het nog niets kost. Elke vraag waar de tafel op vastloopt, is een verbeterpunt dat je in alle rust kunt oplossen, in plaats van om 03:00 's nachts onder maximale druk.
In our experience the conversation stalls on at least one of these questions within twenty minutes. That is exactly the yield: you now know what is missing, while it still costs nothing. Every question the table stalls on is an improvement you can fix calmly, instead of at 3 a.m. under maximum pressure.
Een plan dat werkt is kort: eerder een draaiboek van tien pagina's dan een ordner. Het beschrijft rollen in plaats van namen, het ligt óók ergens buiten het netwerk, en het is het afgelopen jaar minstens één keer geoefend. Uitvoerbaar wint van volledig: liever vijf afspraken die iedereen kent, dan vijftig pagina's die niemand heeft gelezen.
A plan that works is short: a ten-page playbook rather than a binder. It describes roles instead of names, it also lives somewhere off the network, and it has been exercised at least once in the past year. Feasible beats complete: better five agreements everyone knows than fifty pages nobody has read.
Plan een vrijblijvende kennismaking van 30 minuten. Je krijgt geen verkooppraatje, wel drie concrete observaties over je huidige weerbaarheid.
Book a free 30-minute introduction. No sales pitch: you will leave with three concrete observations about your current resilience.