Waarom lege winkelrekken ook een zaak voor de raad van bestuur zijn

Afgelopen weekend trok een van de grootste retailgroepen van de Benelux preventief de stekker uit een deel van zijn IT-systemen. De groep maakte melding van een cybersecurity-incident. Een dag later ging de webshop op zwart, stonden distributiecentra stil en gaapten er gaten in de anders zo keurig gespiegelde winkelrekken. De groep zelf rekent op enkele dagen tot een week voor alles weer draait.

Over wat er bij de retailgroep precies gebeurde, is de groep zeer karig met informatie. Wel reageerde de groep snel, vermoedelijk omdat ze vooraf al wist wat ze moest beschermen.

Retail is logistiek, en logistiek is software. Valt die uit of wordt ze gehackt, dan volgt de hele keten. Dat geldt voor elke organisatie, groot of klein. 

Elke raad van bestuur krijgt ooit zijn cyberincident, en de kans is groot dat het in een weekend valt, omdat aanvallers er bewust voor kiezen. Net op z’n moment blijkt hoe waardevol een crisisplan wel is. Als er al een is. Wie beslist om de stekker eruit te trekken? Wie belt de klanten en de leveranciers? Wie praat met de pers, en wat zeggen we? Dat hoort vooraf vast te liggen.

Die plannen liggen lang niet overal klaar. Dat bleek in 2024 uit een rondvraag van de GUBERNA Sounding Board Cybersecurity bij Belgische bestuurders. Bij banken en verzekeraars staat cyber vast op de agenda, met een geoefende procedure en iemand die verantwoordelijk is. Buiten die sector komt het nog veel te weinig aan bod. Laat dit zoveelste incident een wake-up call zijn.

Zeven vragen

De Sounding Board zette daarom in 2024 al zeven vragen op een rij die elke raad van bestuur geregeld moet stellen. Dat is geen dossier om enkel aan het IT-departement over te laten. Samengevat zijn dit de levensnoodzakelijke vragen die de raad van bestuur moet stellen:

1. Wat is onze cyberstrategie, en welke kroonjuwelen beschermt ze?
2. Wat zijn onze vijf grootste risico's, en wat doen we eraan?
3. Hoe worden medewerkers getraind, en krijgen bestuurders de phishingtest ook in hun mailbox?
4. Welke leveranciers zitten in onze gevoeligste systemen?
5. Zit cyber in elk groot project?
6. Hoe vaak ziet de raad een dashboard, en staan de auditresultaten erin?
7. Wie is eigenaar van het crisisplan, en hoe vaak is het geoefend?

Om die vragen te stellen hoeft een bestuurder niet te weten wat een firewall is. De raad beslist hoeveel risico de organisatie wil lopen en wat dat mag kosten. Het auditcomité gaat na of de maatregelen werken. En de directie rapporteert in begrijpelijke taal aan beide. 

De wet

Sinds 18 oktober 2024 is NIS2 Belgische wet. Wie onder de wet valt, moet de cybermaatregelen als bestuur goedkeuren en erop toezien. Bestuurders moeten zelf een opleiding volgen en kunnen persoonlijk aansprakelijk worden gesteld. De boetes lopen op tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet. Bij essentiële entiteiten kan een bestuurder zelfs tijdelijk worden geschorst. Tegen april 2027 moeten die bedrijven aantonen dat ze in orde zijn.

Oefenen

Eén aanbeveling van de Sounding Board springt eruit: oefen zelf. De voltallige raad, met een scenario waarin de systemen uitvallen en hackers losgeld eisen terwijl buiten de pers staat te wachten. Verschillende Belgische bedrijven maakten het de voorbije jaren echt mee. Die oefening delegeer je niet aan IT of aan het auditcomité.

Voor raden van bestuur waar cyber niet of amper op de agenda staat, is afgelopen weekend de wake-upcall. Zet cybersecurity op de agenda van de volgende boardmeeting. En liefst voor de klanten voor lege winkelrekken staan.