Cyber tabletop exercise draaiboek: plannen, uitvoeren en documenteren

Een stap-voor-stap draaiboek om een cyber tabletop exercise in te plannen, uit te voeren en te evalueren, en het after-action report om te zetten in bewijs voor NIS2, DORA en CyFun.

Dit draaiboek is voor CISO's, risico- en compliancemanagers, IT-managers en de consultants of MSP's die hen ondersteunen. Het gaat ervan uit dat je een incidentresponsplan en een bedrijfscontinuïteitsplan op papier hebt, en dat je nu moet aantonen dat ze werken en dat het bestuursorgaan zijn rol begrijpt. Aan het einde heb je een tafeltopoefening van twee tot drie uur gepland, uitgevoerd en gedocumenteerd, met een bewijspakket dat een toezichthouder of auditor kan volgen van doelstelling tot gesloten actie.

Voordat je begint

Wijs een oefenleider aan (meestal de CISO of incident manager) en een klein planningsteam van twee of drie personen die niet meespelen. Spelers die het scenario helpen schrijven, kunnen er niet door verrast worden. Verzamel de documenten die de oefening zal testen: het incident response plan, de bedrijfscontinuïteits- en disaster recovery-plannen, het crisiscommunicatieplan, de contactlijst en de incident notification procedure voor je toezichthouder. Stem af met de CEO of directeur dat leden van het bestuursorgaan minstens een deel van de sessie bijwonen. Onder NIS2 artikel 20 keurt het bestuursorgaan de maatregelen voor het beheer van cyberbeveiligingsrisico's goed, houdt toezicht op hun implementatie en moet training volgen^[1], dus een oefening die alleen IT betrekt, mist het doel.

Fase 1: Doelstellingen en scope bepalen

Een oefening zonder meetbare doelstellingen levert een aangenaam gesprek en geen bewijs op. Schrijf drie tot vijf doelstellingen, elk zo geformuleerd dat een waarnemer later kan zeggen of deze werd bereikt. Koppel elke doelstelling aan een specifiek plan, control of wettelijke verplichting.

• Voorbeeld: "Het crisisteam beslist binnen 30 minuten na de relevante injectie of het incident significant is, en stelt de vroegtijdige waarschuwing van 24 uur op."
• Voorbeeld: "De bedrijfseigenaar van het orderplatform bevestigt de herstelprioriteit en accepteert of betwist de gedocumenteerde hersteltijdsdoelstelling."
• Voorbeeld: "Het bestuursorgaan neemt een gedocumenteerd besluit over externe communicatie en over betrokkenheid van wetshandhaving."
• Definieer de scope: welke sites, diensten, leveranciers en plannen zijn in scope, en wat is expliciet buiten scope (bijvoorbeeld technische containment-stappen).
• Kies het format: een discussiegebaseerde tabletop voor dit draaiboek; technische of hybride simulaties kunnen later volgen.

Fase 2: Selecteer deelnemers en rollen

Houd de deelnemersgroep klein genoeg om te kunnen spreken, meestal acht tot vijftien personen. Iedereen in de ruimte heeft een rol nodig.

Rol	Wie	Wat zij doen
Facilitator	Oefenleider of externe facilitator	Beheert de tijd, levert injects, stelt onderzoekende vragen, houdt de discussie gericht op doelstellingen
Spelers	Crisisteam: lid(en) van het bestuursorgaan, IT, security, juridisch, DPO, communicatie, HR, bedrijfseigenaren	Neem beslissingen zoals zij dat in een echt incident zouden doen
Waarnemers / evaluators	Een of twee personen uit het planningsteam of interne audit	Registreer tijdstippen, beslissingen en hiaten ten opzichte van de doelstellingen
Gesimuleerde partijen	Planningsteam	Speel de toezichthouder, de CSIRT, een journalist, een belangrijke klant of de managed service provider

Waar een kritieke leverancier (je MSP, cloudhost of SOC-provider) onderdeel van het scenario is, overweeg hen uit te nodigen.

Fase 3: Ontwerp het scenario en injects

Bouw het scenario op uit je eigen risicoregister en bedreigingsbeeld, niet uit een krantenkop. Een scenario is een verhaal in drie of vier fasen, en elke fase wordt vrijgegeven via injects: korte berichten, e-mails, telefoontjes of schermafbeeldingen die informatie toevoegen en een beslissing afdwingen. Openbare pakketten kunnen je helpen om te beginnen. Het Amerikaanse Cybersecurity and Infrastructure Security Agency publiceert meer dan 100 gratis tabletop-oefenpakketten met scenario's, discussievragen, feedbackformulieren en een sjabloon voor een rapport na afloop^[5]. ENISA publiceerde zijn Cybersecurity Exercise Methodology met een ondersteuningspakket van sjablonen op 16 februari 2026^[4]. Pas beide aan je organisatie en je juridische context aan, omdat Amerikaanse pakketten NIS2- of AVG-deadlines niet dekken.

• Kies één primair scenario. Nuttige uitgangspunten zijn ransomware met gegevensexfiltratie, een compromis van je managed service provider, business email compromise met een frauduleuze betaling en een langdurige cloud- of SaaS-storing.
• Schrijf 8 tot 14 injects, elk met een geplande vrijgavemoment, de doelrol, de verwachte beslissing en de doelstelling die het test.
• Neem minstens één inject op die een rapportagebeslissing triggert (NIS2 significant incident, DORA ernstig ICT-gerelateerd incident of een AVG-inbreuk op persoonsgegevens).
• Neem één verrassing op, zoals een onbereikbare sleutelpersoon of een onvolledige backup.

Fase 4: Bereid de logistiek en het facilitatorscript voor

Reserveer een ruimte of videogesprek voor twee tot drie uur, plus 30 minuten voor de hot debrief. Bereid een korte presentatie of gedrukte hand-outs voor, en een facilitatorscript dat voor elke fase de injecttekst en drie of vier stimuleringsvragen bevat. Stuur deelnemers een week van tevoren een korte voorbereiding: de datum, de basisregels, welke plannen ze moeten meenemen en een herinnering dat de oefening "no fault" is.

• Afspraken maken over basisregels: beslis met de informatie die je hebt, ga uit van normale bezetting tenzij je anders wordt verteld, en spreek zoals je in werkelijkheid zou doen.
• Gebruik een versnelde oefenklok zodat je de eerste 72 uur kunt dekken.
• Geef waarnemers een gestructureerde logsjabloon met kolommen voor tijd, inject, beslissing, eigenaar en hiaat.

Fase 5: Voer de oefening uit

Begin met vijf minuten over doelstellingen en basisregels, geef vervolgens de injects vrij volgens het script. De taak van de facilitator is om 'wie beslist?', 'wat moet je weten?' en 'wie vertel je het, en wanneer?' te vragen, niet om antwoorden te geven.

• Fase 1, detectie: een waarschuwing of een gebruikersrapport. Wie trieert, wie wordt ingelicht, wanneer wordt het crisisteam bijeengeroepen?
• Fase 2, escalatie: impact op een kritieke service. Is dit een significant incident? Wie stelt de vroegtijdige waarschuwing op, en binnen welke deadline?
• Fase 3, externe druk: klachten van klanten, een persverzoek, een losgeldbrief of een verklaring van een leverancier. Wat zeg je, en wie keurt het goed?
• Fase 4, herstel: herstelprioriteiten, recovery time objectives en wanneer teruggaan naar normale bedrijfsvoering.
• Sluit af met een 20- tot 30-minuten hot debrief: wat ging goed, wat niet, en wat verraste je.

Fase 6: Evalueer tegen de doelstellingen

Binnen een week beoordeelt het planningsteam elke doelstelling met behulp van de waarnemerslogboeken. Een eenvoudige vierniveauschaal werkt goed: bereikt, gedeeltelijk bereikt, niet bereikt, niet getest. Voor elke doelstelling noteer je de waargenomen sterke punten en de hiaten, met het bewijs dat de beoordeling ondersteunt. Verzamel deelnemersfeedbackformulieren dezelfde week.

• Onderscheid plantekorten (het document is onjuist of ontbreekt) van capaciteitstekorten (mensen hadden onvoldoende kennis, hulpmiddelen of bevoegdheid).
• Controleer de rapportagesnelheid expliciet: konden de 24-uurs vroegtijdige waarschuwing, 72-uurs melding en het eindrapport van één maand onder NIS2 artikel 23 zijn gehaald^[1]?

Fase 7: Schrijf het after-action report

Het after-action report is het kernbewijsdocument. Houd het kort: vier tot acht pagina's. Iemand die er niet bij was, zou moeten begrijpen wat is getest, gevonden en veranderd.

• Eenpagina-samenvatting voor het bestuursorgaan, inclusief de beslissingen die zij hebben genomen.
• Doelstellingen, scope, scenario en deelnemers.
• Bevindingen per doelstelling met beoordelingen en bewijs.
• Verbeterplan: elke actie met een eigenaar, vervaldatum en het plan of de control die het verandert.
• Goedkeuring: het rapport wordt aan het bestuursorgaan gepresenteerd en ter kennis genomen.

Fase 8: Volg verbeteringen op en sluit de lus

Toezichthouders en auditors zoeken naar het verband tussen test, bevinding en oplossing. Verplaats elke actie uit het rapport naar je normale risico- of actieregister, controleer de voortgang maandelijks en test de riskantste hiaten opnieuw in de volgende oefening. In Secrato wordt een oefening geregistreerd als een beoordeling, en elke actie wordt een taak die gekoppeld is aan de controls die zij beïnvloeden, zodat het sluitingsbewijs telt voor elk framework dat op die controls vertrouwt.

• Werk de plannen bij en verseer ze, met de oefening als reden voor wijziging.
• Rapporteer openstaande acties aan het bestuursorgaan totdat ze zijn afgerond.

De bijbehorende template bevat een planningsblad, vier scenarioschema's met volledige injectlijsten, een facilitatorscript, een evaluatieformulier en een after-action report-structuur die je direct kunt invullen.

Hoe een oefening als bewijs dient

NIS2 artikel 21, lid 2 vereist maatregelen voor incidentafhandeling, bedrijfscontinuïteit en crisismanagement, en beleid om de doeltreffendheid van je maatregelen te beoordelen^[1]. Voor de digitale infrastructuur en dienstverleners die eronder vallen, maakt Uitvoeringsverordening 2024/2690 dit concreet: bedrijfscontinuïteits- en noodherstelplannen moeten op geplande momenten en na significante incidenten of wijzigingen worden getest en bijgewerkt (Bijlage punt 4.1), het crisismanagementproces moet worden getest en herzien (punt 4.3), en geleerde lessen moeten na incidenten worden teruggekoppeld (punt 3.6)^[2]. Voor financiële entiteiten vereist DORA dat ICT-bedrijfscontinuïteits- en respons- en herstelplannen minstens jaarlijks worden getest, inclusief cyberaanvalsscenario's en crisiscommunicatieplannen (artikel 11), en noemt scenariogebaseerde tests onder de instrumenten in het testprogramma voor digitale operationele weerbaarheid (artikelen 24 en 25)^[3]. Een tabletop-oefening vervangt technische tests niet, maar is de meest directe manier om mensen, besluitvorming en communicatie te testen.

Hoe dit aansluit op andere frameworks

ISO/IEC 27001:2022 Bijlage A-controls op incidentbeheer en ICT-gereedheid voor bedrijfscontinuïteit verwachten geplande en geteste reacties; een after-action report is direct bewijs voor beide en voor managementbeoordeling. In CyFun en het NIST CSF 2.0 ondersteunen oefeningen de functies Respond en Recover. Onder DORA voert hetzelfde rapport het jaarlijkse testbewijs aan.

Veelgestelde vragen

Hoe vaak moeten we een tabletop-oefening uitvoeren?

Noch NIS2 noch de Uitvoeringsverordening bepalen een aantal; zij vereisen testen op geplande momenten en na significante incidenten of wijzigingen. DORA vereist jaarlijks testen van continuïteits- en responsplannen. Eenmaal per jaar voor het volledige crisisteam, plus kleinere technische sessies ertussenin, is een verdedigbare basislijn voor de meeste organisaties.

Moet het bestuursorgaan echt aanwezig zijn?

Het is sterk aan te raden. NIS2 artikel 20 maakt het bestuursorgaan verantwoordelijk voor het goedkeuren en toezicht houden op cyberbeveiligingsmaatregelen. Hun aanwezigheid, en de beslissingen die zij in de oefening nemen, vormen een van de duidelijkste bewijzen van dat toezicht.

Is een tabletop voldoende om aan de DORA-testvereisten te voldoen?

Nee. Het dekt scenario-gebaseerde tests van beslissingen en communicatie, maar DORA's testprogramma verwacht ook technische tests zoals kwetsbaarheidsbeoordelingen, restore- en switchovertests en, voor bepaalde entiteiten, threat-led penetratietests.

Welke tools helpen je een NIS2 tabletop-oefening te voorbereiden?

Onze gratis cyber tabletop exercise kit bevat een scenario, injects en de templates om de uitkomsten vast te leggen. Om aan toezichthouders aan te tonen dat bevindingen worden opgevolgd, koppelt een GRC-platform zoals Secrato het oefenbewijs en verbetermaatregelen aan de controls en risico's waar ze betrekking op hebben.