Van cybersecurity naar cyber resilience

Cybersecurity is niet langer alleen de verantwoordelijkheid van IT. Het is uitgegroeid tot een strategische bedrijfsprioriteit. Dat besef leeft inmiddels breed in de bestuurskamer. Uit het Gartner CEO Survey 2025 blijkt dat 85% van de CEO’s cybersecurity ziet als een kritische factor voor bedrijfsgroei. Geen verrassende ontwikkeling, nu wet‑ en regelgeving steeds nadrukkelijker kijkt naar de business impact van IT‑beveiliging.

Neem NIS2. Deze richtlijn maakt bestuurders persoonlijk aansprakelijk wanneer grove nalatigheid in het cybersecurity‑beleid kan worden aangetoond. Cybersecurity raakt daarmee niet alleen technologie, maar ook governance en leiderschap.

Tegelijkertijd laten de cijfers zien hoe tastbaar de risico’s zijn. Volgens ENISA’s Threat Landscape 2025 bestaat meer dan vier op de vijf cybercrime‑incidenten uit ransomware‑aanvallen. Ransomware is daarmee veruit de meest waarschijnlijke oorzaak van ernstige bedrijfsverstoring. Deze cijfers onderstrepen de onlosmakelijke samenhang tussen IT en security. Cybersecurity is geen kostenpost, maar een integraal onderdeel van IT. Security moet vanaf het begin worden meegenomen, niet achteraf worden toegevoegd.

Cyber resilience vraagt om een bredere blik

De integratie van IT en security is noodzakelijk, maar onvoldoende om echte cyber resilience te realiseren. Cyber resilience gaat over het vermogen van een organisatie om te blijven functioneren, ook wanneer zich cyberincidenten, storingen of verstoringen voordoen.

Dat vraagt om meer dan losse maatregelen. Het vraagt om een integrale benadering van Assess, Prevent, Detect & Respond en Recover. Juist het recover‑domein krijgt daarbij in de praktijk vaak minder aandacht, terwijl het bepalend is voor hoe snel en gecontroleerd een organisatie zich na een incident kan herstellen.

Cyber recovery als fundament onder continuïteit en compliance

Cyber recovery vormt een essentieel fundament voor cyber resilience. Het stelt organisaties in staat om systemen, data en identiteiten gecontroleerd en gevalideerd te herstellen na een cyberincident. Waar cybersecurity zich primair richt op voorkomen en detecteren, vertrekt cyber recovery vanuit een realistische aanname: preventieve maatregelen kunnen falen. De vraag is dan niet óf, maar hoe goed je herstelt.

Een cyber recovery‑aanpak maakt daarom integraal onderdeel uit van de strategische planning rond bedrijfscontinuïteit. Gedreven door kaders als NIS2 en DORA brengen organisaties via een business impact analyse in kaart welke functies kritisch zijn, welke toleranties gelden en waar herstelprioriteiten liggen. Dit vormt de basis voor een business continuity‑plan dat borgt dat de operatie kan doorgaan of snel weer operationeel is na een verstoring.

Het disaster recovery‑plan is hierbij het IT‑gerichte onderdeel van dit bredere geheel. Vanuit deze samenhang worden architectuurkeuzes gemaakt die leiden tot concrete back‑up‑ en cyber recovery‑oplossingen.

Als onderdeel van de bredere continuïteitsstrategie ondersteunt cyber recovery direct compliance, operationele weerbaarheid en disaster recovery‑scenario’s. Waar NIS2 vooral vraagt of organisaties in staat zijn om diensten te herstellen en impact te beperken, verlangt DORA dat organisaties dit ook aantoonbaar maken en testen. De ene regelgeving stelt de vraag, de andere verwacht het bewijs, op een moment dat de druk hoog is.

De weg naar cyber recovery

De architectuurkeuzes die nodig zijn voor cyber recovery vertalen zich uiteindelijk naar een samenhangend portfolio van oplossingen en diensten. Bij Cegeka benaderen we cyber recovery als een gelaagde aanpak, waarbij elke laag inspeelt op een ander herstelscenario.

1. Veerkrachtige IT‑architectuur

Zonder een veerkrachtige en reproduceerbare IT‑architectuur blijft herstel traag en kwetsbaar. Daarom begint cyber recovery bij een solide fundament waarmee systemen voorspelbaar kunnen worden herbouwd, opgeschaald en hersteld. Dit betekent ontwerpen met “high availability” en disaster recovery als uitgangspunt, aangevuld met best practices zoals infrastructure as code en containerized workloads.

2. Backup en recovery

Boven op dit fundament vormt backup en recovery de verzekering tegen dataverlies door cyberincidenten, menselijke fouten, operationele verstoringen of calamiteiten. De 3‑2‑1‑1‑0‑strategie vormt hierbij vaak de basis. Sterke beveiliging, scheiding van de primaire omgeving, onveranderbare back‑ups en malware‑detectie zorgen samen voor gevalideerd en betrouwbaar herstel.

3. Geavanceerde bescherming en versneld herstel

Bij grotere datavolumes is het niet altijd haalbaar om gewenste Recovery Point Objectives (RPO) en Recovery Time Objectives (RPO) te realiseren met alleen traditionele back‑ups. Deze laag richt zich daarom op bescherming dichter bij de bron en op versneld herstel. Het doel is helder: de operatie zo snel mogelijk weer operationeel krijgen.

4. Cyber vault en recovery

Voor organisaties in sterk gereguleerde of bedrijfskritische sectoren is een extra herstelpad noodzakelijk. Een cyber vault biedt dat pad. Deze omgeving is logisch en fysiek gescheiden van de productieomgeving en bevat speciaal gevalideerde back‑ups. Wij benaderen dit als een Minimum Viable Company: de essentiële infrastructuur die nodig is om zelfs in het meest kritische scenario te herstellen.

De uitdaging zit niet in het bestaan van deze lagen, maar in het maken van de juiste keuzes. Welke workloads horen waar? Dat hangt af van het IT‑landschap, de regelgeving en de bedrijfsprioriteiten.

Cyber recovery als doorlopende reis

Cegeka benadert cyber recovery niet als een eenmalig project, maar als een doorlopende reis. Met elke iteratie groeit de volwassenheid, neemt de onzekerheid af en wordt de recovery‑aanpak verder aangescherpt. Zo ontwikkelt cyber recovery zich tot een bewezen vaardigheid die meegroeit met de organisatie.

Vertrouwen ontstaat niet op papier, maar door herhalen, testen en valideren. In een volgende blog gaan we dieper in op de stappen van deze cyber recovery‑reis en laten we zien hoe zij samenkomen in een samenhangende, testbare recovery‑aanpak.