Van beveiliging naar weerbaarheid

In een tijd waarin organisaties worden geconfronteerd met hybride dreigingen, geopolitieke onzekerheden, cyberaanvallen, maatschappelijke ontwrichting en steeds strengere wet- en regelgeving, organiseerde Security Adviesgroep op donderdag 8 oktober 2026 haar jubileumcongres Van beveiliging naar weerbaarheid. Ter gelegenheid van het 25-jarig bestaan bracht Security Adviesgroep bestuurders, securityprofessionals, crisismanagers en vertegenwoordigers van vitale sectoren bijeen om één centrale vraag te bespreken: hoe ontwikkelen organisaties zich van traditionele beveiliging naar aantoonbare weerbaarheid?

Wat gedurende de dag opvalt, is dat alle sprekers vanuit verschillende sectoren uiteindelijk dezelfde conclusie trekken. Techniek blijft belangrijk, maar vormt zelden het grootste probleem. De werkelijke uitdaging ligt bij leiderschap, eigenaarschap, besluitvorming, samenwerking en het vermogen van organisaties om zich voor te bereiden op het onverwachte. Weerbaarheid blijkt geen afzonderlijke discipline te zijn, maar een organisatie breed vermogen dat voortdurend moet worden ontwikkeld, geoefend en aangetoond.

De werkelijkheid verandert sneller dan organisaties

Dagvoorzitter Gert Jan Ludden opent het congres met een scherpe analyse van de veranderende veiligheidscontext. Volgens hem verschuift Nederland van een klassieke benadering van rampenbestrijding naar een tijdperk waarin crisisbeheersing centraal staat. Crises zijn niet langer lokaal, overzichtelijk en beheersbaar via bekende protocollen. Ze zijn bestuurlijk, internationaal, digitaal en vaak grensoverschrijdend.

Onder verwijzing naar publicaties van de AIV, WRR en de Europese Commissie wordt duidelijk dat Nederland nog een aanzienlijke ontwikkeling moet doormaken op het gebied van weerbaarheid. De oproep is helder: denk niet langer uitsluitend in risico’s, maar ook in onzekerheden. Werk niet alleen aan preventie, maar ook aan voorbereiding, respons, herstel en leren. Daarbij horen continu opleiden, trainen, oefenen, testen, evalueren en verbeteren.

De rode draad van zijn bijdrage is dat de hele samenleving onderdeel wordt van de veiligheidsopgave. Overheid, bedrijfsleven, kennisinstellingen, media en burgers dragen gezamenlijk verantwoordelijkheid voor maatschappelijke veerkracht. The whole-of-society approach.

Vitale infrastructuur: veiligheid als randvoorwaarde

Namens Gasunie laat Ernest Wiersma – directeur Resilience & Security – zien hoe weerbaarheid in de praktijk vorm krijgt binnen een organisatie die behoort tot de kritieke infrastructuur van Nederland. Gasunie beheert ruim 17.000 kilometer pijpleidingennetwerk, werkt met duizenden medewerkers en vervult een sleutelrol in zowel energiezekerheid als de energietransitie.

De gebeurtenissen van de afgelopen jaren illustreren volgens hem dat kritieke infrastructuur en vitale belangen steeds nadrukkelijker doelwit wordt van hybride dreigingen. Sabotage van Nord Stream, dronewaarnemingen en geopolitieke spanningen maken duidelijk dat fysieke en digitale dreigingen niet langer los van elkaar kunnen worden beschouwd. Nieuwe wetgeving zoals de Cyberbeveiligingswet, de Wet weerbaarheid kritieke entiteiten (Wwke) en de Energiewet vergroten bovendien de verwachtingen richting organisaties.

Gasunie reageert hierop met een geïntegreerde benadering waarin fysieke security, personele security, informatiebeveiliging, crisismanagement en business continuity samenkomen binnen één Corporate Security & Resilience-organisatie. Niet afwachten, maar vooruitdenken, scenario’s ontwikkelen en ketens begrijpen tot op componentniveau zijn daarbij leidende principes.

Cybersecurity wordt een bestuurlijk vraagstuk

De bijdrage van Petra Oldengarm van Northwave Cyber Security laat zien hoe snel het digitale dreigingslandschap verandert. Artificial Intelligence versnelt aanvallen en maakt identiteitsfraude, social engineering en geautomatiseerde aanvallen toegankelijker dan ooit. Volgens Oldengarm zijn technologie en geopolitiek inmiddels onlosmakelijk met elkaar verbonden geraakt.

Een van de opvallendste observaties is dat kwetsbaarheden steeds vaker al worden misbruikt voordat een leverancier een patch beschikbaar stelt. Daarnaast neemt de betrouwbaarheid van stem-, beeld- en identiteitsvervalsing sterk toe door AI-toepassingen. Northwave constateerde zelfs een volledig AI-gestuurde aanval binnen een eigen Computer Emergency Response Team.

Het traditionele risicomanagementmodel voldoet daardoor niet altijd. Organisaties moeten niet alleen denken in beheersbare risico’s, maar juist ook in scenario’s met grote onzekerheden. Vertraging inbouwen, segmenteren, alternatieven organiseren en minder afhankelijk worden van één leverancier of platform zijn volgens haar essentieel om ook onder druk te kunnen blijven functioneren.

De boodschap richting bestuurders is helder: cybersecurity is niet langer een IT-vraagstuk, maar een organisatievraagstuk dat je samen met branchegenoten en leveranciers moet aanpakken.

Drinkwatersector: techniek én organisatie

Ook de drinkwatersector bevindt zich midden in de ontwikkeling naar grotere weerbaarheid. Mark Hoogeveen van Dunea en Wendy van Hamburg van Oasen laten zien hoe organisaties moeten omgaan met toenemende afhankelijkheden, nieuwe dreigingen en een groeiend wettelijk kader.

Drinkwaterbedrijven leveren gezamenlijk meer dan één miljard kubieke meter drinkwater per jaar en behoren tot de meest betrouwbare vitale voorzieningen van Nederland. Leveringszekerheid, noodwatervoorzieningen, noodstroom, crisisorganisaties en risicoanalyses zijn daarom wettelijk verankerd. Nieuwe eisen vanuit de Cyberbeveiligingswet en de Wwke versterken deze verplichtingen verder.

De meest opvallende les uit de praktijk is dat beveiliging uiteindelijk veel minder een technisch project blijkt te zijn dan vaak wordt gedacht. Zowel Dunea als Oasen benadrukken dat techniek pas werkt wanneer medewerkers begrijpen waarom maatregelen bestaan en wat er van hen wordt verwacht. Nieuwe camera’s, toegangscontrolesystemen of meldkamers leveren weinig op wanneer processen, eigenaarschap en gedrag niet mee ontwikkelen.

Bij Oasen leidt dit uiteindelijk tot de introductie van een Corporate Security Officer-structuur, een geïntegreerd beveiligingsplan, een risico-gestuurde aanpak en sterkere samenwerking tussen fysieke beveiliging en IT-beveiliging.

Weerbaarheid vraagt strategisch leiderschap

Waar de voorgaande bijdragen vooral gericht zijn op dreigingen en maatregelen, richt Johan Reijenga van het Kenniscentrum Business Innovation (Hogeschool Rotterdam) zich op leiderschap. Volgens hem besteden organisaties vrijwel al hun tijd aan urgente operationele vraagstukken, terwijl weerbaarheid juist ontstaat in het domein van de belangrijke maar niet-urgente onderwerpen.

Met behulp van de Eisenhower-matrix laat hij zien dat thema’s als strategie, innovatie, voorbereiding en toekomstverkenning vaak onder druk komen te staan door de dagelijkse werkelijkheid. Tegelijkertijd zorgen geopolitiek, energie, klimaat, AI, arbeidsmarktontwikkelingen en schaarste ervoor dat bestaande aannames onder steeds grotere druk komen te staan.

Reijenga roept organisaties op structureel tijd vrij te maken voor reflectie, scenario’s en strategische ontwikkeling. Volgens hem kun je weerbaarheid niet volledig ontwerpen. Organisaties moeten weerbaarheid oefenen, ervaren en ontwikkelen in de praktijk.

 25 jaar Security Adviesgroep

Tijdens het slotwoord staan Peter Stroo en André Minderman stil bij 25 jaar Security Adviesgroep. Daarbij wordt teruggekeken op de oorsprong van VSS Consultancy en Gemcon Beveiligingsconsult en de vorming van Security Adviesgroep als onafhankelijk adviesbureau.

De kernwaarden onafhankelijk, betrokken, deskundig en slagvaardig vormen volgens hen nog steeds het fundament van de organisatie. In de loop der jaren verschuift het werkveld van afzonderlijke beveiligingsprojecten naar een integrale benadering waarin visie, beleid, risicoanalyse, ontwerp, implementatie, audits, awareness, crisismanagement en continuïteit met elkaar zijn verbonden.

Centraal in deze visie staat het concept Aantoonbaar Beveiligd, een Physical Security Management Systeem waarin risicoprofielen, beleid, maatregelen, audits, bewijsvoering en continue verbetering samenkomen. Daarmee wordt fysieke beveiliging bestuurbaar, controleerbaar en aantoonbaar op een manier die vergelijkbaar is met een Information Security Management System.

Conclusie

Het congres maakt duidelijk dat organisaties niet langer kunnen volstaan met afzonderlijke beveiligingsmaatregelen. De hedendaagse dreiging vraagt om een bredere benadering waarin beveiliging, continuïteit, crisismanagement, leiderschap en organisatieontwikkeling samenkomen.

De belangrijkste conclusie van de dag is dat weerbaarheid geen technisch vraagstuk is, maar een bestuurlijke en organisatorische opgave. Organisaties moeten risico’s herkennen, eigenaarschap organiseren, ketens begrijpen, realistisch oefenen en continu leren. Techniek ondersteunt die ontwikkeling, maar vervangt haar niet. Zoals tijdens de afsluiting wordt benadrukt: weerbaarheid is geen afdeling binnen een organisatie. Het is gezamenlijk gedrag.

Voor Security Adviesgroep vormt dit niet alleen het thema van het congres, maar ook de koers voor de komende jaren: organisaties helpen om van goed geregeld naar aantoonbaar beveiligd én weerbaar te groeien.