Hoe organiseert u een tabletop-cyberoefening?

Het NCSC beschrijft een tabletop als een gestructureerde bespreking van een scenario waarin deelnemers hun rol oefenen. De gekozen vorm hoort bij het doel en de beschikbare capaciteit. Voor een eerste managementoefening kan een beperkt scenario helpen om besluitvorming zichtbaar te maken. Technische hersteltests of grootschalige ketenoefeningen vragen andere voorbereiding en leveren andere informatie op.

Vertaal elk doel naar een waarneembare vraag. Kan het team aanwijzen wie het besluit neemt? Benoemt het gevolgen voor klanten en veiligheid? Worden onzekerheden apart gehouden van bevestigde feiten? De observator hoeft geen algemene voldoende te geven; een kort verslag van wat wel en niet gebeurde is bruikbaarder voor gerichte verbetering.

Plan een online ruimte met een gedeeld, beperkt toegankelijk oefendocument. Geef ieder document een zichtbaar oefenlabel. Gebruik fictieve namen en gegevens en bepaal een stopwoord voor een werkelijk incident tijdens de sessie. Verstuur geen fictieve crisisberichten naar echte klanten of toezichthouders. De oefenleider kan zulke reacties binnen het scenario simuleren.

Bepaal wat deelnemers mogen raadplegen. Wilt u vindbaarheid beoordelen, laat hen het crisisplan zelf zoeken. Voor leren samenwerken kan voorbereid leeswerk juist helpen. Beperk notulen tot relevante waarnemingen en besluiten en regel passende toegang en bewaring.

Een eerste bericht kan gaan over onbereikbare dossiers. Later meldt de leverancier dat herstel langer duurt. Vervolgens vraagt een belangrijke klant om een verklaring. Deze opeenvolging dwingt het team om prioriteiten, continuïteit en communicatie te verbinden. Laat iedere toevoeging aansluiten op een leerdoel; spectaculaire details zonder beslisvraag kosten vooral tijd.

Gebruik de tabel om gewenste waarnemingen te bepalen. Oefentijd zegt niets over een echte wettelijke of contractuele termijn. Laat het team bij meldvragen vastleggen wie toepasselijkheid en termijnen deskundig beoordeelt, zodat een fictieve tijdsprong geen verkeerde verwachting schept.

De tabel is opzij te schuiven.

In de eerste ronde verwijst iedereen naar de leverancier. Niemand kan uitleggen welke cliënten die middag ondersteuning missen. De oefenleider voegt toe dat een medewerker een oude export op een persoonlijke laptop heeft. Het team bespreekt hoe het actuele behoeften kan vaststellen zonder ongecontroleerd cliëntgegevens te verspreiden. Een proceseigenaar krijgt de opdracht een beperkte noodlijst te laten samenstellen.

De observator noteert twee hiaten: de noodplanning mist een eigenaar en de export is niet op bruikbaarheid gecontroleerd. Elk punt krijgt een verantwoordelijke en demonstratiemoment. Deze fictieve casus laat zien hoe een gesprek tot toetsbare acties leidt; technisch herstel is hier niet getest.

Scheid een waarneming van een interpretatie. “Het team zocht twaalf minuten naar een telefoonnummer” is een observatie binnen de oefening. “De crisisorganisatie functioneert niet” is een veel bredere conclusie die extra onderbouwing vraagt. Noteer ook wanneer het scenario zelf onduidelijk was; niet iedere vertraging ontstaat door een tekortkoming in de organisatie.

Maak voor het bestuur een compact overzicht met leerdoel, waarneming, gevolg, actie en eigenaar. Benoem welke risico’s aandacht vragen voordat een volgende grote oefening wordt gepland. Bewaar geen omvangrijke verzameling losse chatberichten wanneer een gericht verslag volstaat. Zorg dat het verslag duidelijk aangeeft welke onderdelen alleen zijn besproken en welke daadwerkelijk zijn getoond of gecontroleerd.

Een concretere actie is: de contactlijst krijgt een eigenaar, vervanger en bereikbare kopie buiten de gebruikelijke kantooromgeving. Een andere actie kan zijn dat de proceseigenaar de noodwerkwijze in een korte vervolgsessie demonstreert. Controleer bij gewijzigde personeelsbezetting of rollen en bevoegdheden nog kloppen. De herhaalfrequentie volgt uit risico’s, veranderingen en eerdere leerpunten.

Eigen of afzonderlijk ingeschakelde deskundigen voeren technisch herstel en systeemtests uit. Leg bij afsluiting vast welke afspraken zijn gewijzigd, welk bewijs is bekeken en welke punten openstaan. Een deelnemerslijst vertelt dat niet. Spreek meteen af wie deze acties terugbrengt in het volgende managementoverleg.