Stappenplan voor de beleidsmaker

Stappen voor beleidsmakers naar betere fysieke en cyberweerbaarheid

Bekende risico's

Het inventariseren van risico’s en kwetsbaarheden valt onder de taken van een beheerder. Als beleidsmaker wordt gekeken of dit voldoende ten uitvoer wordt gebracht, en waar nodig meer tijd of andere middelen gefaciliteerd.

Je zorgt er als beleidsmaker ook voor dat je op de hoogte bent van de belangrijkste knelpunten, procedures en de rol die je daarbinnen hebt wanneer er onverhoopt een incident plaats vindt. Kijk altijd naar de taken die een beheerder heeft tijdens een incident: is dit niet teveel en wordt de aandacht daardoor afgeleid van de belangrijkste taak voor een beheerder: het oplossen van het probleem.

Neem in de risico’s ook zeker mee dat een deel van het team (inclusief jezelf) niet beschikbaar is; wat voor gevolgen heeft dat en zorgt dat voor problemen of nieuwe risico’s? Dit geldt voor zowel dagelijkse werkzaamheden als het omgaan met incidenten.

Beleid

Een goed beleid is gericht op verbetering. Zeker met veiligheid is een voortdurende toetsing van de huidige situatie aan risico’s en eisen nodig, en hoort dus onderdeel van beleid te zijn en een plek te hebben in het rioolbeheerplan. In het Water- en rioleringsplan ligt de basis voor bewustwording, de juiste randvoorwaarden, voldoende budget en personele capaciteit, en concrete ambities om de fysieke en cyberweerbaarheid te vergroten.

Maatregelen

Voorkomen is natuurlijk beter dan genezen. Daarom is het goed wanneer er binnen een organisatie maatregelen en procedures zijn om veiligheidsincidenten te voorkomen dat deze kunnen plaatsvinden en als het toch gebeurd een beperkte impact hebben.

Als beleidsmaker ben je met de inhoud bekend en stuur je op het bestaan en naleving ervan, evenals het toezien op actueel houden en inspelen op ontwikkelingen/inzichten die er zijn.

Een beleidsmaker is hierin de verbindende factor tussen de algemene, voor de organisatie geldende, veiligheidsprotocollen en de specifieke invulling ervan voor het stedelijk afvalwaterbeheer. Op basis van beleid worden procedures en processen vormgegeven, en worden systeem- en beheerkeuzes, budgetten, capaciteit, contracten en ook bewustzijn voort.

Weerbaarheid en fysieke en cyberveiligheid van OT-systemen (operationele technologie) zijn gebieden die voortdurende aandacht vragen: het areaal, de technieken, de eisen en de risicofactoren veranderen continue.

Afhankelijkheden

Je kunt beleidsmatig alles goed op orde hebben, maar elke (beheer)organisatie heeft afhankelijkheden van externen en dat brengt op zichzelf risico’s met zich mee, zowel tijdens normale werkzaamheden als tijdens incidenten. Dat laatste kan omdat ze ondersteuning kunnen/moeten bieden om het probleem op te lossen, of omdat ze juist oorzaak ervan zijn.

Kijk daarom goed naar de gebruikte middelen en risico analyses om deze afhankelijkheden te identificeren, en neem beschikbaarheid niet als vanzelfsprekendheid: een communicatiemiddel als de telefoon is een afhankelijkheid van de telecom provider en mogelijk ook van de aanwezigheid van netspanning. 

Oefen voldoende

Je wilt niet tijdens een echt incident voor het eerst geconfronteerd worden met tekortkomingen in de maatregelen of procedures die op het oog goed doordacht waren. Natuurlijk zijn niet alle scenario’s vooraf te bedenken of zelfs tegen te gaan, maar het testen van incidenten kan wel tot verbetering ervan leidden.

Oefeningen zijn daarom zeer gewenst; dit kan eenvoudig beginnen met bijvoorbeeld een gedachtenexperiment waarbij een situatie beschreven wordt en er aan de hand van een incidentbestrijdingsplan gekeken wordt wat de handelingen zijn die gedaan moeten worden. Het andere uiterste is een multi-disciplinaire oefening waarbij een realistische dreiging of situatie nagebootst wordt.