De stand van zaken op het gebied van terugwinbaarheid in 2026

Rampenherstel als vakgebied berust op één fundamentele aanname: het systeem is uitgevallen en de omgeving eromheen is betrouwbaar. Een overstroming steelt geen inloggegevens. Een stroomstoring gaat niet op zoek naar back-upopslagplaatsen. In elk traditioneel DR-model bevindt de herstelinfrastructuur zich veilig buiten het rampgebied.

Ransomware zet al deze aannames op hun kop, en uit de incidentgegevens blijkt hoe systematisch dat gebeurt. Tweederde van de inbraken begint met identiteit, zo blijkt uit de wereldwijde incidentgegevens van Palo Alto Networks voor 2026, en het misbruik van inloggegevens staat al tien jaar lang als de meest voorkomende inbraaktechniek te boek in de langetermijnanalyse van het Cyentia Institute. Die statistiek heeft gevolgen voor het herstel die de meeste continuïteitsplannen nooit in aanmerking nemen. De accounts, directorydiensten en beheerspaden die een organisatie bij het herstel zou gebruiken, bevinden zich op hetzelfde identiteitsniveau dat de aanvaller zojuist heeft overgenomen. Herstelteams worden regelmatig geconfronteerd met het herstellen van een omgeving met inloggegevens die ze niet langer kunnen vertrouwen, binnen een directory die mogelijk zelf is gecompromitteerd. De praktijkgegevens van Fenix24 maken deze koppeling concreet. Active Directory speelt een rol in vrijwel elk herstelproces dat ons team van inbraakexperts uitvoert, doorgaans als het eerste belangrijke systeem dat is gecompromitteerd, en de back-upinfrastructuur is meestal gekoppeld aan dezelfde directory. Wanneer het infrastructuurbeheer onder de verantwoordelijkheid valt van de identiteitsprovider van de onderneming, begint het herstel met het opnieuw opbouwen van de identiteit, of het volledig herontwerpen van de authenticatie, voordat het eerste systeem veilig weer in gebruik kan worden genomen.

Identiteit is de eerste beperking. Tijd is de tweede. De gemiddelde tijd die verstrijkt tussen de eerste toegang en laterale beweging daalde in 2025 tot 29 minuten, volgens de wereldwijde dreigingsgegevens van CrowdStrike, waarbij de snelste tijd 27 seconden bedroeg en gegevens binnen vier minuten na binnendringen al uit het systeem van één slachtoffer waren verdwenen. Elk herstelmodel dat afhankelijk is van het beleggen van een vergadering, het opzoeken van een runbook en het escaleren naar het management, werkt volgens een tijdschema dat de aanvaller al jaren geleden heeft losgelaten.

Back-upinfrastructuur wordt al in een vroeg stadium en specifiek aangevallen, en wel om een economische in plaats van een technische reden. Een organisatie die gegevens kan herstellen, heeft geen reden om te betalen. Het vernietigen van het herstelpad is wat een IT-incident verandert in een afpersingszaak op bestuursniveau; daarom zijn het bestaan van back-ups en de overlevingskansen van back-ups twee verschillende eigenschappen geworden. Een opslagplaats die bereikbaar is met dezelfde inloggegevens, op hetzelfde netwerk en in dezelfde map als de productieomgeving, is vanuit het perspectief van de aanvaller gewoon weer een doelwit met een waardevollere lading. En overleving is niet de laatste hindernis. In 38% van de Fenix24-opdrachten waarbij back-ups de aanval intact of vrijwel intact doorstonden, konden ze het herstelproces toch niet voltooien. De gegevens waren te oud om de bedrijfsvoering mee te hervatten, al lang vóór de aanval onvolledig of beschadigd, van het verkeerde type voor de workload, of trager te herstellen dan het volledig opnieuw opbouwen. Sommige worden aangeduid als ‘onveranderlijk’, terwijl ze draaien op infrastructuur die onveranderlijkheid niet ondersteunt. Het bestaan, de overlevingskracht en de bruikbaarheid zijn drie verschillende eigenschappen, en alleen de derde zorgt ervoor dat een bedrijf weer op de been komt.

De aanval zelf blijft zich ontwikkelen. Uit de schadeclaimanalyse van Allianz bleek dat bij 40% van de grote schadeclaims begin 2025 sprake was van gegevensdiefstal, bijna het dubbele van het voorgaande jaar, terwijl het aantal gevallen van versleuteling daalde tot het laagste niveau in zes jaar. Bij een groeiend aantal incidenten wordt het scherm nooit vergrendeld. Er worden gegevens gestolen, geld omgeleid of het vertrouwen in identiteitssystemen ondermijnd. Herstel na een situatie waarin „we onze directory niet kunnen vertrouwen“ is een heel ander project dan herstel na een situatie waarin „onze bestanden zijn versleuteld“, en een programma voor operationele veerkracht moet beide situaties aankunnen.

Elke tekortkoming die in deze analyse is vastgesteld, komt neer op hetzelfde ontbrekende vermogen. Organisaties zijn niet in staat om een voortdurend gevalideerd, op feiten gebaseerd antwoord te geven op de vraag wat er na de impact gebeurt. Welke bedrijfsdiensten worden hersteld. In welke volgorde. Binnen hoeveel uur. Met welke mate van zekerheid.

Twintig jaar investeren in beveiliging heeft geleid tot nauwkeurige instrumenten voor weerstand. De sector kan eindpunten tellen, kwetsbaarheden beoordelen en blootstellingen in realtime rangschikken, omdat men besloot dat die cijfers ertoe deden en de systemen bouwde om ze te genereren. Voor herstel is nooit iets vergelijkbaars ontwikkeld. Herstel werd ondergebracht bij IT-operaties, geregeld door documenten en gemeten aan de hand van verklaringen. Daardoor kon een sector die zijn aanvalsoppervlak tot in detail kan beschrijven, uiteindelijk niet met bewijs aantonen hoeveel uren er zitten tussen een vernietigde omgeving en een weer functionerend bedrijf.

Die asymmetrie wordt nu rechtgezet, en alle krachten in dit rapport werken in dezelfde richting. Verzekeraars baseren hun premies op het herstelvermogen, omdat bedrijfsonderbreking het grootste deel uitmaakt van wat zij uitkeren. Toezichthouders leggen beproefde herstelmaatregelen wettelijk vast en beginnen papieren plannen af te wijzen. Raden van bestuur zijn niet langer bezig met de vraag of de organisatie veilig is, maar met de vraag hoe lang deze buiten werking zou zijn. De consensus onder analisten heeft de doelstelling geherdefinieerd: het gaat nu om het overleven van de impact in plaats van het vermijden ervan. Onafhankelijk van elkaar zijn de instellingen die risico's waarderen, handhaven, reguleren en bestuderen tot dezelfde conclusie gekomen als herstelspecialisten jaren geleden al hadden getrokken vanuit de praktijk van incidenten: weerstand is noodzakelijk, maar herstel is wat het bedrijf daarna overeind houdt. De komende tien jaar zullen investeringen in beveiliging voortvloeien uit dat besef, en zullen zich richten op instrumenten voor herstel die even rigoureus zijn als de instrumenten die zijn ontwikkeld voor verdediging.

Het opzetten ervan vereist twee zaken die in het huidige model gescheiden zijn. De eerste is meting: een continue, op feiten gebaseerde inventarisatie van wat het bedrijf daadwerkelijk zou kunnen herstellen en hoe snel, ter vervanging van de jaarlijkse verklaring die alleen de accountant tevredenstelt maar niets voorspelt. De tweede is uitvoering, want meting alleen verandert niets aan het resultaat. Een beoordeling maakt een back-upopslagplaats niet robuuster. Een afhankelijkheidskaart isoleert niet de identiteitslaag waarvan een herstel afhankelijk is. Een bevinding, hoe nauwkeurig ook, heeft nog nooit een bedrijfsdienst weer online gebracht. De organisaties die dit goed aanpakken, zullen herstelbaarheid op dezelfde manier behandelen als de sector heeft geleerd detectie te behandelen: continu gemeten, beheerd en getest, en beschouwd als een bedrijfsresultaat in plaats van gedelegeerd als een IT-taak.

Waar die meting rekening mee moet houden, is geen raadsel. De tekortkomingen die bepalend zijn voor de hersteltijd zijn consistent en komen in alle sectoren en bij alle soorten incidenten voor. Het gaat om omstandigheden die al aanwezig waren voordat de aanvaller toesloeg en die voor iedereen zichtbaar zouden zijn geweest die daarop had gemeten.

Elk punt op die lijst is van tevoren vast te stellen. Opslagcapaciteit, bruikbaarheid van back-ups, afhankelijkheidskaarten, herstelpaden voor identiteiten en beslissingsbevoegdheden kunnen vóór een incident worden gemeten, beoordeeld en gecorrigeerd, in plaats van pas tijdens het incident aan het licht te komen. Dat is de discipline die de sector nu aan het opbouwen is, en die verdient een naam die nog niet algemeen in gebruik is. Fenix24 noemt het ‘herstelbaarheidsintelligentie’: de discipline waarbij continu en op basis van actuele omstandigheden wordt gemeten wat een bedrijf daadwerkelijk zou kunnen herstellen en hoe snel: de afhankelijkheden, de overlevingskansen van back-ups, de herstelvolgorde en de haalbare hersteltijden. Het is de continue, op bewijs gebaseerde meting van wat een bedrijf kan herstellen en hoe snel, opgebouwd volgens dezelfde standaard die de sector al hanteert voor het meten van hoe het kan worden aangevallen. Detectie vertelde organisaties wat er met hen gebeurde. 'Recoverability intelligence' vertelt hen wat ze terug zouden krijgen, nog voordat de dag aanbreekt waarop ze daar achter moeten komen.

Die dag is voor niemand meer hypothetisch. De vraag waar elke organisatie nu voor staat, is niet langer hoe de aanval kan worden voorkomen. Het is: wat gebeurt er als het systeem uitvalt? Kunnen de bedrijfsactiviteiten weer op gang komen voordat het bedrijf ten onder gaat? Preventie was altijd het gemakkelijkste om in te voeren, en herstel was altijd bepalend voor het voortbestaan van het bedrijf. De afrekening die momenteel plaatsvindt bij verzekeraars, toezichthouders, raden van bestuur en analisten is de correctie door de markt van een meetfout die zich in de loop van decennia heeft opgestapeld.

Deze correctie beloont de organisaties die als eerste in actie komen en straft degenen die afwachten, omdat herstelvermogen niet kan worden aangeschaft op het moment dat het nodig is. Het wordt van tevoren, in alle rust, opgebouwd of het is er helemaal niet, en de omgeving blijft veranderen, ongeacht wie er oplet. Elk kwartaal waarin een bedrijf herstel behandelt als een document in plaats van als een geteste capaciteit, is een kwartaal waarin de werkelijke situatie steeds verder afwijkt van wat het plan belooft, totdat een aanvaller dat verschil uitbuit. De organisaties die dit tot zich nemen, zullen de ergste dag die hun bedrijf ooit zal meemaken opvangen en blijven functioneren. Degenen die dat niet doen, zullen het ondervinden zoals de incidentgegevens in dit rapport beschrijven, en pas op het moment dat er niets meer aan te veranderen valt, te weten komen wat ze daadwerkelijk konden herstellen. Weerstand bepaalt hoe vaak die dag komt. Herstel bepaalt of er aan de andere kant nog een bedrijf overeind staat. De sector meet eindelijk het juiste aspect.