Incident Response

Wat is Incident Response?

Incident Response (IR) is het georganiseerde proces waarmee een organisatie een cybersecurity-incident, zoals een aanval, datalek of systeemcompromittering, detecteert, analyseert, indamt, verhelpt en ervan leert. Het doel is schade te beperken, systemen en productie veilig te herstellen en herhaling te voorkomen. Incident Response is essentieel voor organisaties die te maken krijgen met Ransomware, DDoS, Phishing, een insider threat, OT-verstoringen of meldplichtige datalekken onder NIS2 of de AVG. Het team dat het incident afhandelt heet het Incident Response Team (IRT), ook wel CSIRT of CERT.

🎯 Waarom is Incident Response belangrijk?

Een incident is geen kwestie van óf maar van wanneer. Wie vooraf heeft geregeld wie wat doet, beslist tijdens de crisis sneller en beter.

• Beperkt schade - snelle indamming voorkomt dat een aanval zich verspreidt van één werkplek naar het hele netwerk
• Versnelt herstel - van getroffen systemen en van productie, met vooraf getoetste herstelprocedures
• Voldoet aan wet- en regelgeving - de Cyberbeveiligingswet en de AVG kennen harde meldtermijnen
• Ondersteunt forensisch onderzoek - bewijs blijft bewaard voor analyse, verzekeraar en eventueel aangifte
• Verbetert de security - lessons learned voeden het kwetsbaarheidsbeheer en de architectuur

📚 Welke frameworks beschrijven Incident Response?

Er bestaat niet één verplicht fasemodel. De bekendste frameworks verschillen in indeling, maar bevatten dezelfde kern: voorbereiden, detecteren, indammen, herstellen en leren.

NIST SP 800-61 Rev. 3 verscheen op 3 april 2025 als CSF 2.0 Community Profile en verving de vertrouwde vierfasencyclus uit 2012. Govern, Identify en Protect gelden als voorbereiding; Detect, Respond en Recover vormen de eigenlijke respons. De categorie Improvement binnen Identify verwerkt lessen uit alle functies continu, in plaats van pas na afloop. NIST benadrukt dat u elk levenscyclusmodel mag gebruiken dat bij uw organisatie past.

In ISO 27001:2022 zijn de beheersmaatregelen 5.24 tot en met 5.28 gewijd aan incidentbeheer: voorbereiding, beoordeling, respons, leren en het verzamelen van bewijs.

🧭 Welke fasen doorloopt een incident?

Het SANS-model PICERL is het meest gebruikte praktische stappenplan. Een ICS-specifiek incidentresponsplan is ook de eerste van de SANS ICS Five Critical Controls. De tabel laat zien hoe het zich verhoudt tot de oude NIST-fasen.

Tijdens indamming geldt een belangrijke afweging: te vroeg ingrijpen waarschuwt de aanvaller, te laat ingrijpen vergroot de schade. Bij ransomware weegt snelheid meestal zwaarder.

📦 Wat valt onder een incident?

Niet elke melding is een incident. Een event is een waarneembare gebeurtenis; een incident is een event dat de beschikbaarheid, integriteit of vertrouwelijkheid daadwerkelijk schaadt of bedreigt.

👥 Wie zijn er betrokken bij Incident Response?

Incident Response is allang geen zaak van alleen het securityteam meer. NIST SP 800-61 Rev. 3 noemt een brede kring van rollen:

• Incident handlers - het IRT of CSIRT, intern of ingehuurd via een SOC-dienstverlener
• Directie en management - neemt besluiten met grote impact, zoals een installatie stilleggen of externe specialisten inschakelen
• Juridisch - beoordeelt meldplichten, contracten, aansprakelijkheid en aangifte
• Communicatie - voert het crisiscommunicatieplan uit richting medewerkers, klanten en pers
• IT- en OT-specialisten - netwerk-, systeem- en procesbeheer, inclusief leveranciers en integrators
• Asset owners - bepalen herstelprioriteiten voor hun systemen en processen
• HR en facilitair - bij een vermoeden van een interne dader of fysieke toegang

🏭 Hoe verschilt Incident Response in OT-omgevingen?

In OT gaat het niet alleen om data, maar om draaiende processen, mensen en milieu. Dat verandert de prioriteiten: veiligheid eerst, dan beschikbaarheid, dan pas vertrouwelijkheid (zie de verschillen tussen IT en OT).

• Veiligheid voorop - elke ingreep wordt getoetst op het effect op safety en het SIS
• Betrek operations - de operator en de procesengineer beslissen mee; zij weten wat er gebeurt als een systeem wegvalt
• Niet blind isoleren - een SCADA-server of HMI loskoppelen kan het zicht op het proces wegnemen; isoleer gecoördineerd, bij voorkeur op de grens tussen IT en OT via netwerksegmentatie
• Handbediening als terugvaloptie - weet per kritisch proces hoe het handmatig of in een veilige toestand verder kan
• Forensisch bewijs bewaren - leg de logica, firmware en configuratie van PLC’s en HMI’s vast vóór herstel; standaard forensische tools kunnen controllergeheugen vaak niet uitlezen
• Protocolkennis - analisten moeten verkeer in Modbus, DNP3 en andere industriële protocollen kunnen duiden, bijvoorbeeld met MITRE ATT&CK for ICS

Twee bekende incidenten tonen het belang. Bij Colonial Pipeline (mei 2021) trof ransomware alleen het IT-netwerk, maar de pijpleiding werd uit voorzorg vijf dagen stilgelegd omdat de OT-impact onzeker was. Bij TRITON (2017) werd een eerste uitschakeling van de safety-PLC aangezien voor een mechanische storing; pas een tweede trip leidde tot onderzoek. Een OT-specifiek incident response plan is dan ook control nummer één in de Five ICS Cybersecurity Critical Controls van SANS (2022).

🇳🇱 Welke meldplichten gelden er in Nederland?

Sinds 15 augustus 2026 is de Cyberbeveiligingswet (Cbw), de Nederlandse omzetting van NIS2, van kracht voor ongeveer 8.000 essentiële en belangrijke entiteiten. Zij melden significante incidenten bij hun CSIRT en de bevoegde toezichthouder via één meldportaal.

Het NCSC is het nationale CSIRT en de sectorale CSIRT voor sectoren zonder eigen team. Sectorale CSIRT’s zoals Z-CERT, sinds 2017 actief als CERT voor de zorg, ondersteunen hun eigen achterban. Neem deze contactgegevens en termijnen op in uw draaiboek, want de 24-uursklok begint te lopen zodra u kennis krijgt van het incident.

🛠️ Hoe richt u Incident Response in de praktijk in?

1. Stel een Incident Response Plan op - met scope, rollen, escalatie, meldplichten en draaiboeken (playbooks) per scenario, zoals ransomware of een gecompromitteerde PLC.
2. Zorg voor zicht - een actuele asset inventory, centrale logging in een SIEM en detectie met EDR/XDR of een OT SOC.
3. Borg herstel - offline of onveranderbare back-ups van servers én PLC-logica, getest in een disaster recovery-scenario.
4. Regel externe hulp vooraf - een retainer met een IR-dienstverlener, contact met uw CSIRT en afspraken met OT-leveranciers.
5. Oefen - tabletopoefeningen minstens jaarlijks met directie, IT, OT en communicatie; technische simulaties voor het IRT.
6. Leer en verbeter - leg verbeteracties vast en koppel ze aan uw bedrijfscontinuïteit en threat intelligence.

Handige hulpmiddelen zijn verder firewalls en IDS voor indamming, forensische tools zoals Volatility en FTK, en incidentmanagement-processen die aansluiten op IEC 62443-2-1.

❓ Veelgestelde vragen

Wat is het verschil tussen Incident Response en incidentmanagement?

Incident Response richt zich op de technische en organisatorische afhandeling van een beveiligingsincident: detecteren, indammen, verhelpen en herstellen. Incidentmanagement is breder en omvat ook registratie, prioritering en afhandeling van alle soorten verstoringen, bijvoorbeeld volgens ITIL. Incident Response is in die zin een gespecialiseerd onderdeel van incidentmanagement.

Welke fasen heeft Incident Response volgens NIST?

NIST SP 800-61 Rev. 2 uit 2012 kende vier fasen: voorbereiding; detectie en analyse; indamming, eradicatie en herstel; en activiteiten na het incident (post-incident activity). Sinds april 2025 ordent NIST SP 800-61 Rev. 3 Incident Response volgens de zes functies van het NIST CSF 2.0, met Detect, Respond en Recover als de eigenlijke respons. Het zesstappenmodel PICERL is afkomstig van SANS, niet van NIST.

Binnen welke termijn moet u een cyberincident melden?

Onder de Cyberbeveiligingswet meldt een essentiële of belangrijke entiteit een significant incident binnen 24 uur met een vroegtijdige waarschuwing, binnen 72 uur met een incidentmelding en binnen een maand met een eindrapport. Gaat het ook om persoonsgegevens, dan meldt u het datalek op grond van de AVG zo mogelijk binnen 72 uur bij de Autoriteit Persoonsgegevens.

Mag je een besmet OT-systeem direct loskoppelen?

Een besmet OT-systeem direct loskoppelen kan gevaarlijk zijn, omdat operators daardoor het zicht op of de controle over het proces kunnen verliezen. Bij Incident Response in OT beslist het IRT samen met operations, brengt het het proces zo nodig eerst in een veilige toestand of handbediening en isoleert het daarna gecoördineerd. Isoleren op de grens tussen IT- en OT-netwerk is vaak de veiligste eerste stap.

Wat is een tabletopoefening?

Een tabletopoefening is een oefening waarin het Incident Response Team, de directie en andere betrokkenen een realistisch incidentscenario aan tafel doorlopen, zonder systemen aan te raken. Zo toetst u of rollen, besluitvorming, communicatie en meldtermijnen in het Incident Response Plan werken. Voor OT-omgevingen is het verstandig operators en procesengineers mee te laten oefenen.

Heeft elke organisatie een eigen CSIRT nodig?

Niet elke organisatie heeft een eigen CSIRT nodig; veel middelgrote bedrijven combineren een klein intern team met een ingehuurde IR-dienstverlener of een SOC-partij. Wel moet vooraf vastliggen wie de leiding neemt en wie externe hulp inschakelt. Organisaties onder de Cyberbeveiligingswet kunnen bovendien terecht bij het NCSC of hun sectorale CSIRT.

📌 Samengevat

Incident Response is het gecoördineerde proces om cyberincidenten snel te detecteren, in te dammen, te verhelpen en ervan te leren. Met een framework als NIST SP 800-61 Rev. 3 of SANS PICERL, duidelijke rollen, geoefende draaiboeken en kennis van de meldtermijnen van de Cyberbeveiligingswet beperkt u schade en herstelt u sneller. In OT-omgevingen staan veiligheid en gecoördineerd ingrijpen met operations altijd voorop.