Crisiscommunicatieplan

Wat is een Crisiscommunicatieplan?

Een crisiscommunicatieplan is een vooraf vastgesteld plan dat beschrijft wie tijdens een crisis namens een organisatie communiceert, met welke doelgroepen, via welke kanalen en binnen welke termijnen, zodat informatie snel, juist en eenduidig naar buiten en naar binnen gaat. Het plan beperkt reputatieschade en onrust, informeert medewerkers, klanten, ketenpartners en toezichthouders tijdig en zorgt dat wettelijke meldingen niet tussen wal en schip vallen. In operationele technologie krijgt het plan extra gewicht: een cyberaanval of storing in de procesbesturing kan direct gevolgen hebben voor drinkwater, energie, veiligheid of leveringen aan klanten.

Een goed crisiscommunicatieplan zorgt dat iedereen weet wat te zeggen, wanneer en tegen wie, ook als e-mail, telefooncentrale en intranet zelf getroffen zijn.

🧠 Waarom is een crisiscommunicatieplan belangrijk?

In een crisis bepaalt de eerste communicatie vaak het beeld. Wie zwijgt, laat ruimte voor geruchten; wie te snel en onzorgvuldig communiceert, moet later corrigeren en verliest geloofwaardigheid.

Crisiscommunicatie is bovendien geen vrijblijvende keuze meer. NIS2 noemt in artikel 21, lid 2, onder c, crisisbeheer expliciet als verplichte maatregel, naast bedrijfscontinuïteit, back-upbeheer en herstel na een ramp.

📋 Wat staat er in een crisiscommunicatieplan?

🔐 Welke wettelijke meldingen raken aan crisiscommunicatie?

Een crisiscommunicatieplan is geen meldprocedure, maar beide moeten op elkaar aansluiten. Wat u aan de toezichthouder meldt, mag niet strijdig zijn met wat u in een persbericht zegt.

NIS2 artikel 23 gaat verder dan melden aan de overheid. Waar passend informeren entiteiten ook zonder onnodige vertraging de afnemers van hun diensten over significante incidenten die de dienstverlening kunnen raken. Bij een significante cyberdreiging delen zij met potentieel getroffen afnemers welke maatregelen die zelf kunnen nemen. Daarmee wordt klantcommunicatie een wettelijk onderdeel van de respons.

🏭 Hoe verloopt crisiscommunicatie in een OT-omgeving?

In OT zijn crisissituaties vaak technisch van aard, maar hebben ze directe fysieke of maatschappelijke impact. Dat stelt eigen eisen aan de boodschap en de doelgroepen.

Drie OT-specifieke aandachtspunten:

• Out-of-band kanalen - bij ransomware vallen e-mail, Teams en VoIP vaak tegelijk uit. Leg reservekanalen vast, zoals mobiele telefoons, een externe berichtendienst en papieren contactlijsten.
• Veiligheid gaat voor reputatie - bij Brzo-bedrijven verplicht de Seveso III-richtlijn al tot publieksvoorlichting over veiligheidsmaatregelen en gedrag bij een zwaar ongeval. Zie Brzo en cybersecurity.
• Technische vertaling - operators en engineers kennen de feiten, communicatiemedewerkers de doelgroepen. Wijs per dienst iemand aan die technische informatie begrijpelijk maakt.

Raakt een verstoring bij een water- of energiebedrijf de openbare veiligheid, dan verzorgt de veiligheidsregio onder verantwoordelijkheid van de burgemeester of de voorzitter van de veiligheidsregio de publieksvoorlichting over handelingsperspectief. Het bedrijf blijft verantwoordelijk voor de communicatie over de eigen dienstverlening. Het plan legt daarom vast hoe u aansluit bij de veiligheidsregio, wie het eerste contact legt en hoe u boodschappen vooraf afstemt. Zie ook OT-security in de watersector.

🧭 Hoe stelt u een crisiscommunicatieplan stap voor stap op?

1. Breng scenario’s in kaart - gebruik de business impact analyse en de risicoanalyse om de vijf tot tien meest waarschijnlijke crises te kiezen, van ransomware tot brand en een leverancierslek.
2. Wijs rollen en vervangers toe - één woordvoerder, een communicatiemanager in het crisisteam en per rol minimaal één vervanger, ook buiten kantoortijden.
3. Schrijf holding statements - korte eerste berichten die u zonder lang overleg kunt publiceren. Veel organisaties streven ernaar binnen het eerste uur na activering een eerste bericht klaar te hebben.
4. Koppel aan de meldprocessen - leg vast hoe de communicatielijn aansluit op de meldplicht, de AVG-melding en het Incident Response Plan.
5. Regel kanalen en reserves - inclusief toegang tot website en social media als het eigen netwerk uitvalt of accounts via social engineering zijn overgenomen.
6. Oefen - speel het plan minimaal jaarlijks door in een tabletop-oefening, met een cyberscenario dat IT en OT raakt, en train woordvoerders in het geven van interviews onder tijdsdruk.
7. Evalueer en actualiseer - na elke oefening en elk incident, en bij wijziging van wetgeving, organisatie of contactgegevens.

Als leidraad voor de toon gebruiken veel organisaties de zes principes van het Amerikaanse CDC-raamwerk Crisis and Emergency Risk Communication: wees de eerste, wees juist, wees geloofwaardig, toon empathie, geef handelingsperspectief en toon respect.

🏢 Welk praktijkvoorbeeld laat zien hoe het werkt?

Het Noorse aluminiumconcern Norsk Hydro werd op 19 maart 2019 getroffen door de ransomware LockerGoga. Het bedrijf, met circa 35.000 medewerkers in 40 landen, schakelde waar mogelijk over op handmatige productie. Omdat het wereldwijde netwerk en de eigen website plat lagen, gebruikte Hydro zijn Facebookpagina als belangrijkste communicatiekanaal. Het bedrijf hield persconferenties met de financieel directeur, publiceerde elke werkdag een update over de productiecapaciteit en deed aangifte bij de politie. Die openheid wordt sindsdien vaak als voorbeeld genoemd.

Het contrast is NotPetya in juni 2017, waarbij onder meer containerterminals in de Rotterdamse haven dagenlang stillagen en klanten en vervoerders lang onzeker bleven over de stand van zaken.

🔁 Hoe verhoudt het plan zich tot andere plannen?

❓ Veelgestelde vragen

Is een crisiscommunicatieplan verplicht?

Een apart crisiscommunicatieplan staat niet letterlijk in de wet. NIS2 en de Cyberbeveiligingswet verplichten essentiële en belangrijke entiteiten wel tot crisisbeheer en tot het informeren van afnemers over significante incidenten, en ISO 22301 eist gedocumenteerde communicatieprocedures. In de praktijk is een crisiscommunicatieplan daarom de gangbare manier om aan die eisen te voldoen.

Wie is verantwoordelijk voor crisiscommunicatie?

De eindverantwoordelijkheid voor crisiscommunicatie ligt bij de directie of het bestuur. De uitvoering ligt bij een communicatiemanager in het crisisteam en één aangewezen woordvoerder, zodat de organisatie met één stem spreekt.

Wat is een holding statement?

Een holding statement is een kort, vooraf opgesteld eerste bericht dat erkent dat er iets aan de hand is, zegt wat de organisatie doet en wanneer de volgende update komt. Het voorkomt stilte in de eerste uren van een crisis, terwijl de feiten nog worden onderzocht.

Hoe vaak moet u een crisiscommunicatieplan oefenen?

Een crisiscommunicatieplan oefent u minimaal één keer per jaar, bij voorkeur met een tabletop-oefening waarin IT, OT, communicatie en directie samen een realistisch scenario doorlopen. Na elke oefening en elk echt incident werkt u het plan bij.

Wat is het verschil tussen een crisiscommunicatieplan en een incident response plan?

Een incident response plan beschrijft de technische aanpak van een beveiligingsincident: detectie, inperking, uitroeiing en herstel. Een crisiscommunicatieplan beschrijft wie wat tegen wie zegt tijdens die crisis. Beide plannen verwijzen naar elkaar en worden samen geoefend.

Hoe communiceert u als e-mail en netwerk uitvallen?

Een crisiscommunicatieplan legt reservekanalen vast die los staan van het eigen netwerk, zoals mobiele telefoons, een externe berichtendienst, een extern gehoste noodpagina en papieren contactlijsten. Bij ransomware zijn juist de normale kanalen vaak onbruikbaar of niet meer te vertrouwen.

📌 Samengevat

Een crisiscommunicatieplan legt vooraf vast wie wat tegen wie zegt tijdens een crisis, via welke kanalen en binnen welke termijnen. In IT/OT-omgevingen verbindt het plan de technische respons met wettelijke meldingen onder de Cyberbeveiligingswet, de AVG en de Wwke, en met heldere informatie voor medewerkers, klanten en omgeving. Wie het plan oefent en reservekanalen regelt, behoudt vertrouwen, ook als de eigen systemen plat liggen.