Een continuïteitsplan zonder communicatieplan is maar een half plan

Zes op de tien Vlaamse gemeenten hebben geen plan voor wat te doen bij een cyberaanval, zo blijkt uit de doorlichting van Audit Vlaanderen bij 89 lokale besturen tussen 2023 en 2025. De meeste besturen uit de minderheid die wel een continuïteitsplan hebben, bepalen nooit wie burgers, personeel en media wat vertelt, en via welk kanaal, op het moment dat de systemen waarop burgers rekenen uitvallen.

Wat is een communicatieplan bij een cyberincident

Een communicatieplan bij een cyberincident is de vooraf afgesproken reeks beslissingen die bepaalt wie wie informeert, in welke volgorde, via welk kanaal, zodra een cyberaanval of grote systeemuitval bevestigd is. Het staat naast het technische continuïteitsplan, niet erin. Het continuïteitsplan herstelt servers, netwerken en data; het communicatieplan beheert wat burgers, personeel, leveranciers en journalisten horen terwijl dat herstel loopt, en daarom omschrijven sommige PR-specialisten het als een specifiek onderdeel van crisiscommunicatie. Uit de doorlichting van Audit Vlaanderen van 89 Vlaamse gemeenten en intercommunales tussen 2023 en 2025 bleek dat auditors alleen controleerden of er een continuïteitsplan bestond, nooit of dat ook een communicatieprotocol omvatte (Audit Vlaanderen, 2025). Dat onderscheid is belangrijk. Een organisatie kan het vakje voor bedrijfscontinuïteit afvinken en toch elke woordvoerder, persverantwoordelijke en callcentermedewerker laten improviseren wanneer e-mail, de website en de telefooncentrale tegelijk uitvallen.

De cijfers uit de doorlichting gaan veel verder dan de zes op tien

Het rapport van Audit Vlaanderen bundelt lokale ICT-veiligheidsaudits die tussen 2023 en 2025 in heel Vlaanderen werden uitgevoerd. Deelname was vrijwillig: 77 van de 300 Vlaamse gemeenten en 12 intercommunales deden mee, waardoor de steekproef overhelt naar organisaties die bereid zijn zich te laten controleren, en dus geen representatieve doorsnede van elk lokaal bestuur vormt. Zelfs binnen deze zelf geselecteerde, meer veiligheidsbewuste groep registreerden auditors 1.899 digitale kwetsbaarheden, waarvan 353 als hoog risico werden beoordeeld, en vonden ze geen enkel gecontroleerd bestuur zonder zwakke plekken (Audit Vlaanderen, 2025).

Gecontroleerde groep	Geen continuïteitsplan	Gemiddeld aandeel zwakke wachtwoorden
Gemeenten (77)	59%	30% van alle getestte wachtwoorden
Intercommunales (12)	67%	18% van de wachtwoorden van beheeraccounts

De cijfers over wachtwoorden zijn het duidelijkste signaal dat de kloof op het vlak van continuïteit geen geïsoleerd planningsprobleem is. Bij de 89 gecontroleerde besturen was gemiddeld 30% van de getestte wachtwoorden zwak genoeg om snel te kraken, en kwamen zwakke wachtwoorden voor bij 18% van de accounts van systeembeheerders, de logins met de ruimste toegang tot een netwerk (Audit Vlaanderen, 2025). De VVSG, de koepel van Vlaamse steden en gemeenten, erkent dat veel lokale besturen nu pas inhalen, aangespoord door de NIS2-richtlijn van de Europese Unie en niet door een eigen initiatief (VVSG, 2025). Auditors controleerden alleen of er een continuïteitsplan bestond, niet de kwaliteit ervan, waardoor ook de 41% van de gemeenten die op papier slaagt mogelijk nog geen getest, werkbaar plan heeft. Voor communicatieteams betekent dit dat het technische risico en het reputatierisico op dezelfde dag toeslaan, vaak zonder afgesproken scenario voor geen van beide.

Waarom de aanval op Antwerpen nog altijd de maatstaf is voor wat er op het spel staat

Het referentiepunt voor Vlaamse overheidsdiensten blijft de cyberaanval op de stad Antwerpen in december 2022, die de dienstverlening maandenlang verstoorde in plaats van dagen. Burgers konden geen documenten aanvragen, personeel verloor toegang tot interne systemen, en de stad moest communiceren via geïmproviseerde kanalen terwijl de gewone kanalen offline lagen. De eerste uren na een inbreuk bepalen hoeveel van die verstoring uitmondt in een communicatiefalen boven op het technische probleem.

Antwerpen en de recente PHP2Shell-episode maken hetzelfde punt duidelijk. Een kanaal waarop burgers rekenen, een website, een e-mailadres, een telefoonlijn, kan verdwijnen om redenen die niets te maken hebben met hoe goed een organisatie haar publieke communicatie schrijft.

Waarom haalden de PHP2Shell-lekken overheidswebsites offline?

In oktober 2026 gebeurde het opnieuw, dit keer zonder bevestigde inbraak. Twee kritieke lekken in PHP, de programmeertaal achter WordPress en een groot deel van het web, werden bekendgemaakt onder de naam PHP2Shell (CVE-2026-109618 en CVE-2026-109619). Beide laten een aanvaller zonder wachtwoord of account opdrachten uitvoeren op een webserver, en AWS zag aanvallers ze al vier dagen vóór de bekendmaking misbruiken, meldde The Register. Een van de twee lekken werd gevonden door onderzoekers die samenwerkten met OpenAI, een teken van hoe AI de zoektocht naar zwakke plekken aan beide kanten versnelt.

Overheden wachtten niet af. Diensten in België, Nederland, Duitsland, Frankrijk, Finland en Tsjechië haalden websites offline om ze te patchen, en de Amerikaanse National Security Agency raadde aan elk systeem dat niet meteen bijgewerkt kon worden los te koppelen, volgens Al Jazeera. In het Verenigd Koninkrijk alleen al werden 32 overheidsdiensten onbereikbaar. De meeste van die ingrepen waren uit voorzorg, maar voor burgers zag het resultaat er net zo uit als een aanval: de website die ze nodig hadden, was weg.

Dat is het scenario dat de meeste communicatieplannen overslaan, een bewuste en geplande onderbreking. Ook dan heb je een holding statement nodig op een noodpagina of sociaal kanaal, een korte boodschap aan medewerkers over welke kanalen nog werken, en één verantwoordelijke die beslist wanneer je meldt dat de site terug online is. Het begint met een eenvoudige vraag aan je webpartner: is de PHP-beveiligingsupdate van oktober geïnstalleerd? Gepatchte versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35, en sites op PHP 8.1 of ouder moeten upgraden.

Wat verplicht NIS2 zodra een incident bevestigd is?

De NIS2-richtlijn, formeel Richtlijn (EU) 2022/2555, verstrengt de meldingsplicht voor essentiële en belangrijke entiteiten, een categorie die nu uitdrukkelijk ook lokale overheidsdiensten in de hele Europese Unie omvat. Lauren Cuyvers van advocatenkantoor Crowell & Moring stelt dat artificiële intelligentie dit beeld vanuit twee richtingen verandert: het helpt aanvallers sneller kwetsbaarheden vinden en uitbuiten, maar geeft verdedigers ook betere detectiemiddelen, waardoor de contractvoorwaarden die organisaties afsluiten met softwareleveranciers belangrijker zijn dan ooit (Crowell & Moring, 2025).

1. Een vroege waarschuwing binnen 24 uur nadat het incident bekend is geworden.
2. Een volledigere incidentmelding binnen 72 uur, met een eerste inschatting van de ernst en impact.
3. Een eindrapport binnen één maand, met de grondoorzaak en de genomen maatregelen.

Deze wettelijke termijnen naleven is een technische en juridische opdracht. Ze zegt niets over wat de organisatie aan het publiek, personeel of klanten vertelt tijdens datzelfde tijdsvenster. Een communicatieplan geeft antwoord op de vraag die NIS2 niet stelt: wie spreekt met wie buiten de toezichthouder, en waarom het belangrijk is dat plan op papier te hebben lang voordat een incident de klok laat lopen.

Waarom dit niet alleen een probleem van gemeenten is

De doorlichting ging over lokale besturen, maar het structurele probleem beperkt zich niet tot de publieke sector. Private Benelux-bedrijven splitsen continuïteits- en communicatieplanning op dezelfde manier, vaak omdat beide bij andere afdelingen horen: IT beheert het continuïteitsplan, communicatie ligt bij marketing of een extern bureau, en de twee documenten worden zelden samen getest. Een productiebedrijf dat zijn ordersysteem verliest, een zorgverlener die geen toegang meer heeft tot patiëntendossiers, of een logistiek bedrijf dat zijn trackinggegevens verliest, staat voor dezelfde eerste vraag als een gemeente: wie vertelt klanten, personeel en media wat, op dit moment, terwijl het technische team aan het werk is.

NIS2 verbreedt de kring van organisaties met een wettelijke meldingsplicht ruim voorbij kritieke infrastructuur, dus geen enkel Benelux-bedrijf kan dit risico afschuiven als het compliance-probleem van iemand anders. De Vlaamse doorlichting zet gewoon cijfers op een kloof die de meeste organisaties, publiek of privaat, al delen.

Vijf onderdelen die elk communicatieplan bij een cyberincident nodig heeft

Wouter Decruy van IT-auditor Acen, die meewerkte aan de auditresultaten, benadert continuïteitsplanning vanuit heel concrete vragen: wie wordt geïnformeerd, in welke volgorde worden systemen opnieuw opgestart, en heeft de organisatie dat al eens als een digitale brandoefening getest. Diezelfde vragen gelden voor communicatie. Vijf elementen maken van een continuïteitsplan er ook een dat de relatie van de organisatie met de mensen die erop rekenen beschermt.

• Vooraf goedgekeurde tussentijdse verklaringen. Een of twee korte verklaringen, al opgesteld en afgetekend, die binnen het eerste uur naar buiten kunnen zonder te wachten op een juridische toetsing terwijl de feiten nog onbevestigd zijn.
• Offline contactlijsten. Telefoonnummers en adressen van personeel, leveranciers, lokale pers en belangrijke klanten, bewaard buiten het netwerk dat net het probleem kan zijn.
• Alternatieve kanalen. Een manier om mensen te bereiken wanneer zowel de website als e-mail offline zijn: sms, een telefonische belboom, socialmedia-accounts die elders worden gehost, fysieke mededelingen aan een gemeentehuis of kantooringang.
• Woordvoerdersrollen. Één vaste woordvoerder en één vervanger, vooraf gebrieft over wat ze wel en niet mogen bevestigen voordat de technische teams de feiten geverifieerd hebben.
• Oefenen binnen de continuïteitsoefening. Communicatierollen die minstens één keer per jaar getest worden in dezelfde oefening als het technisch herstel, niet als een apart moment dat er later nog bij komt.

Vragen die mensen stellen over communicatieplannen bij cyberincidenten

Wie moet als eerste geïnformeerd worden wanneer systemen uitvallen?

De woordvoerder en het kleine team dat het incident beheert, moeten als eerste op de hoogte zijn, voordat er een publieke verklaring naar buiten gaat. Intern personeel heeft binnen het eerste uur praktische richtlijnen nodig, zoals welke systemen te vermijden en waar nieuwe problemen te melden. Burgers, klanten en media volgen daarna, zodra de organisatie basisfeiten kan bevestigen in plaats van er publiekelijk naar te gissen.

Wat moet een tussentijdse verklaring zeggen?

Een tussentijdse verklaring bevestigt dat er iets onderzocht wordt, geeft aan wat daaraan gedaan wordt, en belooft een update op een vastgelegd tijdstip. Ze mag nooit gissen naar de oorzaak, de omvang of de verantwoordelijkheid voordat het technische team die feiten bevestigt. Vage geruststelling zonder duidelijke deadline voor de volgende update tast het vertrouwen sneller aan dan stilte zelf.

Moet een cyberaanval bevestigd zijn voordat een tussentijdse verklaring naar buiten gaat?

Nee. Een tussentijdse verklaring kan een technische verstoring of een veiligheidsincident onder onderzoek erkennen zonder de oorzaak te bevestigen. Wachten op volledige bevestiging voordat er iets gezegd wordt, is precies wat van een korte uitval een langdurig reputatieprobleem maakt, omdat het publiek de stilte zelf invult met eigen verklaringen. De eerste verklaring moet alleen accuraat zijn over wat op dat moment geweten is, niet volledig.

Hoe vaak moet het plan geoefend worden?

Minstens één keer per jaar, samen met de technische continuïteitsoefening en niet als apart moment dat niemand inplant. Wouter Decruy van Acen noemt dit een digitale brandoefening: een getimede test van wie geïnformeerd wordt, in welke volgorde systemen herstarten, en wat woordvoerders ondertussen zeggen. Gemeenten met NIS2-verplichtingen moeten die oefening als een compliance-taak behandelen, niet als een vrijblijvend extraatje.

Wat als e-mail en de website allebei uitvallen?

Dit is precies het scenario waarvoor een plan met alternatieve kanalen bestaat. Vooraf afgesproken alternatieven, telefonische belbomen, sms-alerts, socialmedia-accounts die buiten het getroffen netwerk gehost worden, en fysieke mededelingen houden de informatiestroom op gang wanneer de belangrijkste kanalen uitvallen. Organisaties zonder uitwijkmogelijkheid vervallen doorgaans in stilte, en het publiek leest stilte als incompetentie of verdoezeling.

Wat van een plan op papier een werkend plan maakt

Een communicatieplan bij een cyberincident werkt alleen als het getest is onder dezelfde druk als het technische herstel waarnaast het staat. Uit de doorlichting van Audit Vlaanderen bleek dat 59% van de Vlaamse gemeenten en 67% van de intercommunales helemaal geen continuïteitsplan hadden, en auditors controleerden alleen of er een plan bestond, niet de kwaliteit ervan, waardoor een plan dat in een lade ligt in die audit evenveel telt als geen plan (Audit Vlaanderen, 2025). In ons eigen werk als adviseur van Belgische organisaties over crisisrespons delen de plannen die onder echte druk standhouden één kenmerk: de communicatierollen werden getest in dezelfde oefening als het technisch herstel, niet er later bijgeplakt als een apart moment dat niemand zich herinnert. De meldingstermijnen van NIS2 geven er een extra wettelijke reden voor, maar meestal is het de reputatieschade van stilte tijdens een uitval, en niet de boete, die een bestuur uiteindelijk over de streep trekt om het budget goed te keuren.

• Controleer afzonderlijk of er een communicatieplan bestaat, ga er niet van uit dat het in het continuïteitsplan vervat zit.
• Stel tussentijdse verklaringen op en laat ze goedkeuren voordat een incident zich voordoet, niet tijdens.
• Bouw een offline contactlijst op en minstens één alternatief kanaal dat niet afhankelijk is van e-mail of de website.
• Benoem een woordvoerder en een vervanger, en brief beiden vooraf over wat ze mogen bevestigen.
• Oefen het communicatieplan minstens één keer per jaar binnen dezelfde oefening als het technisch herstel.

Organisaties die dit als voorbereiding behandelen in plaats van papierwerk, en die de gewoonte opbouwen om te oefenen voordat een incident de klok laat lopen, houden als enige de regie over het verhaal zodra de systemen weer online zijn.