The alarm has gone off. What happens next is decided not by technology but by who picks up the phone, what gets switched off, and who says what to whom — in plain language: how the first three days derail, and what has to be ready in advance. Het alarm is afgegaan. Wat daarna gebeurt wordt niet bepaald door techniek, maar door wie de telefoon opneemt, wat er wordt uitgezet en wie wat tegen wie zegt — in gewone taal: hoe de eerste drie dagen ontsporen, en wat vooraf klaar moet liggen.
The on-call engineer sees the encryption spreading at 03:00 on a Sunday. Switching off the network would stop it — and also stop the factory, the webshop, the hospital ward. Is that the engineer's call? Their manager's? The CIO's, who is on holiday? The CEO's, whose number they do not have? Every minute spent finding out, the incident grows. Most companies discover on the night itself that nobody has ever written down who may pull the plug.
Business impact: the hours lost here are the most expensive of the whole incident, because the damage is still small and every decision still matters. Indecision is itself a decision: it means the attacker keeps going. And the person who finally acts without a mandate carries the blame for whatever it costs.
De dienstdoende engineer ziet om 03:00 op zondag de versleuteling zich verspreiden. Het netwerk uitzetten zou het stoppen — en ook de fabriek, de webshop, de ziekenhuisafdeling. Mag de engineer dat beslissen? Zijn leidinggevende? De CIO, die op vakantie is? De CEO, van wie hij het nummer niet heeft? Elke minuut die aan uitzoeken opgaat, groeit het incident. De meeste bedrijven ontdekken die nacht zelf dat nooit is opgeschreven wie de stekker eruit mag trekken.
Bedrijfsimpact: de uren die hier verloren gaan zijn de duurste van het hele incident, omdat de schade nog klein is en elke beslissing nog telt. Niet beslissen is ook een beslissing: de aanvaller gaat door. En degene die uiteindelijk zonder mandaat ingrijpt, draagt de schuld voor wat het kost.
Ransomware crews already time attacks for weekends and holidays when response is slowest, and some now scan public sources for signs that leadership is travelling or unreachable, deepening the exact decision gap this step describes.Ransomwaregroepen plannen aanvallen al bewust in het weekend of tijdens feestdagen, wanneer de respons het traagst is, en sommige scannen nu openbare bronnen op signalen dat de directie op reis of onbereikbaar is, wat precies dit beslisgat vergroot.
In the confusion, an employee asking a public AI chatbot for advice on what to do next can leak which systems are affected and what has been tried, outside the company's control, before anyone is designated to speak for it.In de verwarring kan een medewerker die een publieke AI-chatbot om advies vraagt, laten lekken welke systemen zijn geraakt en wat al is geprobeerd, buiten de controle van het bedrijf, voordat iemand is aangewezen om namens het bedrijf te spreken.
AI can help draft a decision-rights document and generate realistic tabletop scenarios to pressure-test it, but who may pull the plug at 03:00 still has to be a written, named decision made long before the call.AI kan helpen een beslisrechtendocument op te stellen en realistische oefenscenario's te genereren om het te testen, maar wie om 03:00 de stekker mag trekken moet nog steeds vooraf op papier staan, met een naam erbij.
The instinct of every capable engineer is to fix things. Reboot the server, wipe the laptop, restore the image, rotate the passwords, get people working again. Each of those actions destroys something: the memory that held the attacker's tools, the logs that showed which files were opened, the timestamps that prove when it started. By the time a forensics team arrives, the crime scene has been cleaned. Isolating a machine from the network, without switching it off, keeps the memory evidence.
Business impact: without evidence, we cannot answer the only questions that matter afterwards. Was customer data taken? Which customers? Since when? The regulator, the insurer and our own lawyers will all ask. “We do not know” means notifying everyone, assuming the worst, and paying for it — and the insurer may refuse the claim because we cannot show what happened.
Het instinct van elke goede engineer is dingen repareren. De server herstarten, de laptop wissen, het image terugzetten, de wachtwoorden vervangen, mensen weer aan het werk krijgen. Elk van die handelingen vernietigt iets: het geheugen waarin het gereedschap van de aanvaller stond, de logs die lieten zien welke bestanden zijn geopend, de tijdstempels die bewijzen wanneer het begon. Tegen de tijd dat een forensisch team aankomt, is de plaats delict schoongemaakt. Een machine van het netwerk isoleren zonder hem uit te zetten, bewaart het bewijs in het geheugen.
Bedrijfsimpact: zonder bewijs kunnen we de enige vragen die achteraf tellen niet beantwoorden. Zijn er klantgegevens meegenomen? Van welke klanten? Sinds wanneer? De toezichthouder, de verzekeraar en onze eigen advocaten zullen het allemaal vragen. “We weten het niet” betekent iedereen informeren, van het slechtste uitgaan en daarvoor betalen — en de verzekeraar kan de claim weigeren omdat we niet kunnen aantonen wat er is gebeurd.
Modern ransomware and wiper tools, some refined with AI-assisted development, are built to trigger anti-forensic steps the moment a machine reboots or shuts down, exploiting exactly the instinct to fix things fast.Moderne ransomware- en wipertools, sommige verfijnd met AI-ondersteunde ontwikkeling, zijn zo gebouwd dat ze antiforensische stappen activeren zodra een machine herstart of uitschakelt, en spelen daarmee precies in op de neiging om snel te repareren.
An engineer under pressure who pastes log excerpts or a malware sample into a public AI chatbot for a quick answer breaks the chain of custody and may hand incident details straight to an outside company.Een engineer die onder druk logfragmenten of een malwaresample in een publieke AI-chatbot plakt voor een snel antwoord, doorbreekt de bewijsketen en geeft mogelijk incidentgegevens rechtstreeks door aan een externe partij.
AI-assisted forensic tools can build a timeline from logs and memory dumps far faster than a manual review once evidence is preserved, but isolating rather than rebooting a machine still has to happen first, every time.AI-ondersteunde forensische tools kunnen veel sneller dan een handmatige analyse een tijdlijn opbouwen uit logs en geheugendumps zodra het bewijs bewaard is, maar een machine isoleren in plaats van herstarten moet nog steeds elke keer eerst gebeuren.
On day one, five groups want answers at once: staff, customers, press, the regulator and the insurer. Without a plan, five different people answer them. Someone reassures customers that “no data was affected” before anyone knows. Someone tells the press “no comment”, which reads as guilt. Nobody calls the regulator, though the legal clocks — 72 hours to the Autoriteit Persoonsgegevens for a personal-data breach under GDPR, and a 24-hour early warning to NCSC under NIS2 — started the moment we became aware. Which of those apply to us is a question for legal, but the answer has to be known before the incident, not looked up during it.
Business impact: every contradictory statement is on record and will be quoted back to us by journalists, customers and lawyers. A missed statutory deadline is a separate offence on top of the breach. And the insurer's policy usually requires notification within a fixed window; miss it and the cover we paid for may not respond.
Op dag één willen vijf groepen tegelijk antwoord: personeel, klanten, pers, de toezichthouder en de verzekeraar. Zonder plan geven vijf verschillende mensen dat antwoord. Iemand stelt klanten gerust dat “er geen gegevens zijn geraakt” voordat iemand dat weet. Iemand zegt tegen de pers “geen commentaar”, wat als schuldbekentenis wordt gelezen. Niemand belt de toezichthouder, terwijl de wettelijke klokken — 72 uur voor een datalek bij de Autoriteit Persoonsgegevens onder de AVG, en een vroegtijdige waarschuwing aan het NCSC binnen 24 uur onder NIS2 — begonnen te lopen op het moment dat we het ontdekten. Welke daarvan voor ons gelden, is een vraag voor juridisch, maar het antwoord moet vóór het incident bekend zijn, niet tijdens het incident worden opgezocht.
Bedrijfsimpact: elke tegenstrijdige uitspraak ligt vast en wordt ons door journalisten, klanten en advocaten voorgehouden. Een gemiste wettelijke termijn is een aparte overtreding bovenop het lek. En de polis van de verzekeraar eist meestal een melding binnen een vaste termijn; mis die, en de dekking waarvoor we betaalden komt misschien niet uit.
Some attackers now use AI to draft and time their own leak announcements or press-style messages to journalists and customers, seizing the public narrative faster than an unprepared company can issue its first statement.Sommige aanvallers gebruiken nu AI om zelf lekaankondigingen of persberichten aan journalisten en klanten op te stellen en te timen, en nemen zo het publieke verhaal over voordat een onvoorbereid bedrijf zijn eerste verklaring heeft klaar.
A rushed employee drafting a public statement with an AI writing tool can lock in a premature claim that no data was affected before anyone actually knows that, and it then gets quoted back for months.Een gehaaste medewerker die met een AI-schrijftool een publieke verklaring opstelt, kan voorbarig vastleggen dat er geen gegevens zijn geraakt voordat iemand dat weet, en dat wordt maandenlang aangehaald.
AI can draft holding statements for staff, customers, press and the regulator from an approved template within minutes, but every version still needs legal's sign-off before it goes out, exactly as if a person wrote it.AI kan binnen enkele minuten voorlopige verklaringen opstellen voor personeel, klanten, pers en toezichthouder op basis van een goedgekeurde tekst, maar elke versie heeft nog steeds het fiat van juridisch nodig voordat hij de deur uitgaat.
Serious incidents need people we do not employ: forensic investigators, a negotiator who has talked to this ransomware group before, lawyers who know the notification rules, a crisis-communication team. Without a retainer, day one becomes a procurement exercise. Firms are fully booked, because attacks come in waves and everyone is calling at once. Contracts need signatures, signatures need approvals, approvals need people who are asleep. Meanwhile the attacker is still inside.
Business impact: each hour without expert help is an hour of decisions made by people who have never done this before. A retainer costs a fixed, modest fee per year and buys one phone number that answers within the hour, with a team that already knows our systems and our contacts. It is the cheapest line in the entire security budget — and the one most often missing.
Ernstige incidenten vragen om mensen die niet bij ons op de loonlijst staan: forensisch onderzoekers, een onderhandelaar die deze ransomwaregroep al eens aan de lijn had, advocaten die de meldregels kennen, een crisiscommunicatieteam. Zonder retainer wordt dag één een inkooptraject. Bureaus zitten vol, omdat aanvallen in golven komen en iedereen tegelijk belt. Contracten vragen handtekeningen, handtekeningen vragen goedkeuring, goedkeuring vraagt mensen die slapen. Ondertussen zit de aanvaller nog binnen.
Bedrijfsimpact: elk uur zonder deskundige hulp is een uur aan beslissingen door mensen die dit nog nooit hebben gedaan. Een retainer kost een vast, bescheiden bedrag per jaar en levert één telefoonnummer op dat binnen het uur opneemt, met een team dat onze systemen en onze contactpersonen al kent. Het is de goedkoopste regel in het hele beveiligingsbudget — en degene die het vaakst ontbreekt.
Whether forensics firms are fully booked when the call comes in has nothing to do with AI; it is a procurement and staffing problem that exists exactly as badly whether the attacker used AI or not.Of forensische bureaus volgeboekt zijn als het telefoontje komt, heeft niets met AI te maken; het is een inkoop- en bezettingsprobleem dat precies even erg is, of de aanvaller nu AI gebruikte of niet.
Without a vetted partner, a company under pressure may turn to an unverified AI incident-response tool or freelancer found in a rushed search, handing over system access or data to someone nobody has checked.Zonder een gescreende partner grijpt een bedrijf onder druk soms naar een ongecontroleerde AI-incidentresponstool of freelancer die in een gehaaste zoekopdracht is gevonden, en geeft daarmee systeemtoegang of data aan iemand die niemand heeft gecontroleerd.
AI can help a retained forensics team ramp up faster once engaged, summarising logs and drafting initial findings within the first hour, but none of that speed exists if the retainer contract was never signed in peacetime.AI kan een ingehuurd forensisch team sneller op gang helpen zodra het is ingeschakeld, door binnen het eerste uur logs samen te vatten en eerste bevindingen op te stellen, maar die snelheid bestaat niet als het retainercontract nooit in vredestijd is getekend.
| Control | Fixes | In one line |
|---|---|---|
| Response plan | Who decides (01) | A short written plan with named roles and named deputies for each. Not a binder: a few pages everyone has read. |
| Decision rights | Who decides (01) | Written in advance: who may take systems offline, who may talk to the attacker, who may spend money, and up to what amount. |
| Phone list | Who decides (01) | Personal mobile numbers of every role and deputy, printed and at home. The digital copy will be encrypted along with everything else. |
| Isolate, don't wipe | Evidence (02) | One rule every engineer knows: isolate a suspicious machine from the network but leave it powered on, and do not reboot or reimage it until forensics says so. |
| Communication templates | Comms (03) | Holding statements for staff, customers, press and regulator, approved by legal in advance, with one named spokesperson. |
| Deadline list | Comms (03) | Which notification duties apply to us, to whom, within how many hours — NCSC or the sector CSIRT (NIS2), the Autoriteit Persoonsgegevens (GDPR), the people affected, the police, contracts, the insurer — confirmed by legal, on one page. |
| Out-of-band channel | All four | An out-of-band way for the crisis team to talk when email and chat are compromised or down: a separate messaging group, a bridge number. |
| Retainer | Help (04) | A signed agreement with a forensics and response firm that answers within the hour, and knows our environment before the call. |
| Tabletop exercise | All four | Once a year, the board and executives walk through a realistic scenario for two hours, a tabletop. Every gap found there is one less gap at 03:00. |
| Maatregel | Lost op | In één zin |
|---|---|---|
| Responsplan | Wie beslist (01) | Een kort geschreven plan met benoemde rollen en voor elke rol een plaatsvervanger. Geen ordner: een paar pagina's die iedereen heeft gelezen. |
| Beslisrechten | Wie beslist (01) | Vooraf vastgelegd: wie systemen mag uitzetten, wie met de aanvaller mag praten, wie geld mag uitgeven, en tot welk bedrag. |
| Bellijst | Wie beslist (01) | Privémobielnummers van elke rol en plaatsvervanger, geprint en thuis. De digitale kopie wordt samen met de rest versleuteld. |
| Isoleren, niet wissen | Bewijs (02) | Eén regel die elke engineer kent: een verdachte machine van het netwerk isoleren maar aan laten staan, en niet herstarten of opnieuw installeren tot forensisch onderzoek het zegt. |
| Communicatieteksten | Communicatie (03) | Voorlopige verklaringen voor personeel, klanten, pers en toezichthouder, vooraf goedgekeurd door juridisch, met één benoemde woordvoerder. |
| Termijnenlijst | Communicatie (03) | Welke meldplichten voor ons gelden, aan wie, binnen hoeveel uur — het NCSC of de sectorale CSIRT (NIS2), de Autoriteit Persoonsgegevens (AVG), de betrokkenen, de politie, contracten, de verzekeraar — bevestigd door juridisch, op één pagina. |
| Noodkanaal | Alle vier | Een out-of-band manier voor het crisisteam om te overleggen als e-mail en chat gecompromitteerd of uitgevallen zijn: een aparte berichtengroep, een vergadernummer. |
| Retainer | Hulp (04) | Een getekende overeenkomst met een forensisch en responsbureau dat binnen het uur opneemt en onze omgeving al kent vóór het telefoontje. |
| Tabletop-oefening | Alle vier | Eén keer per jaar lopen bestuur en directie twee uur lang een realistisch scenario door, een tabletop. Elk gat dat daar wordt gevonden, is één gat minder om 03:00. |
A serious incident is a matter of when. A badly handled one is the default outcome for any organisation that has never rehearsed.Een ernstig incident is een kwestie van wanneer. Een slecht afgehandeld incident is de standaarduitkomst voor elke organisatie die nooit heeft geoefend.
Poor handling multiplies the damage of the incident itself: longer downtime, missed statutory deadlines, refused insurance claims and personal liability for management.Slechte afhandeling vermenigvuldigt de schade van het incident zelf: langere stilstand, gemiste wettelijke termijnen, geweigerde verzekeringsclaims en persoonlijke aansprakelijkheid van het bestuur.
The incident still happens. A rehearsed plan, a retainer and pre-approved communication turn chaos into a controlled, documented response.Het incident gebeurt nog steeds. Een geoefend plan, een retainer en vooraf goedgekeurde communicatie maken van chaos een beheerste, gedocumenteerde respons.
Not delegable to IT: the plan assigns decisions to executives. Legal owns the deadline list, the CISO owns the technical playbook.Niet te delegeren aan IT: het plan legt beslissingen bij de directie. Legal is eigenaar van de termijnenlijst, de CISO van het technische draaiboek.
months since the last board tabletop exercise · roles in the plan without a named deputy · hours until the retainer party answers, per contract · notification deadlines on the list not yet confirmed by legal.maanden sinds de laatste tabletop-oefening met het bestuur · rollen in het plan zonder benoemde plaatsvervanger · uren tot de retainerpartij opneemt, volgens contract · meldtermijnen op de lijst die legal nog niet heeft bevestigd.
“An unrehearsed response to a security incident causes prolonged downtime, destroyed evidence, missed statutory notifications and loss of insurance cover.”“Een niet-geoefende respons op een beveiligingsincident veroorzaakt langdurige stilstand, vernietigd bewijs, gemiste wettelijke meldingen en verlies van verzekeringsdekking.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | An incident-handling process as part of the risk management measures, with management accountable. Reporting is the organisation's duty, not IT's. A provider can file for you; the accountability stays with you. | There is no NIS2 certificate. Ask how quickly the supplier will warn you of an incident that affects you, in which channel and with what detail, and write those hours into the contract, because your own clock starts when you become aware. | Can count as a significant incident if it meets the thresholds. Then: early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. Where the service is likely to be affected, inform its recipients without undue delay. In NL you report via MijnNCSC, which reaches the sector CSIRT and the supervisor. Confirm with legal whether NIS2 applies to you. |
| DORA | For financial entities: an ICT incident management process with classification criteria, a communication plan for clients and the public, and management that is trained to decide during a crisis. | DORA requires ICT contracts to cover incident assistance and cooperation with your supervisor, and for critical or important functions, participation in your testing. Their report tells you whether they have rehearsed it, not whether they will do it for you. | Classify promptly. If major: initial notification within 4 hours of classifying it (and at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month. Classifying needs someone with a mandate. Confirm with legal. |
| SOC 2 | If you issue one: incident response controls — detection, escalation, communication, post-incident review — are tested over the period (Type II). A plan nobody follows is an exception in the report. | Read the incident response controls and their test results, and check the complementary user entity controls: usually they say you must report incidents to the supplier and act on their notifications. Both need a named owner on your side. | The incident and how it was handled are disclosed in the next report. Customers ask for a bridge letter covering the gap and for the post-incident review. A well-documented response is itself evidence the control works. |
| ISAE 3402 | Assurance over outsourced processes relevant to financial reporting. Incident response is only in scope if the service organisation chose to include it, so the report can be silent on it. | Check whether incident handling and client notification are among the control objectives. If not, ask for them in the contract; the report alone gives you no assurance that you will hear about an incident in time. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. Confirm with your auditor. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | Een proces voor incidentafhandeling als onderdeel van de risicobeheersmaatregelen, met een aansprakelijk bestuur. Melden is een plicht van de organisatie, niet van IT. Een dienstverlener kan de melding voor u doen; de verantwoordelijkheid blijft bij u. | Er bestaat geen NIS2-certificaat. Vraag hoe snel de leverancier u waarschuwt bij een incident dat u raakt, via welk kanaal en met welke details, en zet die uren in het contract, want uw eigen klok begint te lopen zodra u het weet. | Kan gelden als significant incident als het de drempels haalt. Dan: vroegtijdige waarschuwing binnen 24 uur na kennisname, incidentmelding binnen 72 uur, eindverslag binnen een maand. Raakt het waarschijnlijk de dienstverlening, informeer dan onverwijld de afnemers. In Nederland meldt u via MijnNCSC, dat de sectorale CSIRT en de toezichthouder bereikt. Bevestig met legal of NIS2 op u van toepassing is. |
| DORA | Voor financiële instellingen: een proces voor ICT-incidentbeheer met classificatiecriteria, een communicatieplan voor klanten en publiek, en een bestuur dat getraind is om tijdens een crisis te beslissen. | DORA eist dat ICT-contracten hulp bij incidenten en medewerking aan uw toezichthouder regelen, en bij kritieke of belangrijke functies deelname aan uw testen. Hun rapport zegt of zij het geoefend hebben, niet of zij het voor u doen. | Classificeer snel. Is het ernstig: eerste melding binnen 4 uur na die classificatie (en uiterlijk 24 uur na kennisname), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand. Classificeren vraagt iemand met mandaat. Bevestig met legal. |
| SOC 2 | Als u er zelf een afgeeft: maatregelen voor incidentrespons — detectie, escalatie, communicatie, evaluatie achteraf — worden over de periode getest (Type II). Een plan dat niemand volgt, staat als afwijking in het rapport. | Lees de incidentresponsmaatregelen en hun testresultaten, en controleer de complementary user entity controls: meestal staat daar dat u incidenten aan de leverancier moet melden en op zijn meldingen moet handelen. Beide hebben aan uw kant een benoemde eigenaar nodig. | Het incident en de afhandeling ervan worden in het volgende rapport vermeld. Klanten vragen om een bridge letter voor de tussenliggende periode en om de evaluatie achteraf. Een goed gedocumenteerde respons is zelf het bewijs dat de maatregel werkt. |
| ISAE 3402 | Zekerheid over uitbestede processen die relevant zijn voor de financiële verslaggeving. Incidentrespons valt alleen binnen scope als de serviceorganisatie dat zelf heeft gekozen, dus het rapport kan erover zwijgen. | Controleer of incidentafhandeling en het informeren van klanten tot de beheersdoelstellingen behoren. Zo niet, vraag ze in het contract; het rapport alleen geeft u geen zekerheid dat u tijdig van een incident hoort. | ISAE 3402 schept geen plicht om de auditors van klanten te informeren. Verwacht een afwijking in het volgende rapport, en vraag in het contract om tussentijdse melding. Bevestig met uw auditor. |
Checked against: NIS2 Art. 23 (Directive (EU) 2022/2555), NCSC-NL on Cbw reporting (2026), DORA RTS on incident reporting (2025), GDPR Art. 33–34 · September 2026.
Gecontroleerd tegen: NIS2 art. 23 (Richtlijn (EU) 2022/2555), NCSC-NL over de Cbw-meldplicht (2026), DORA-RTS incidentmelding (2025), AVG art. 33–34 · september 2026.