Een meerder­heid van de organi­sa­ties (57%) heeft onvol­doende concreet inzicht in wat IT-uitval betekent voor de bedrijfs­voe­ring. Dat blijkt uit onder­zoek van ICT-dienst­ver­lener Previder onder 400 IT-verant­woor­de­lijken bij Neder­landse organi­sa­ties. Tegelij­ker­tijd verwacht 65 procent van organi­sa­ties dat de belang­rijkste processen na een versto­ring binnen vier uur weer kunnen draaien.

Urgentie is groot

Dat organi­sa­ties de opera­ti­o­nele gevolgen nog niet goed in kaart hebben, is opmer­ke­lijk. Ruim acht op de tien onder­zochte organi­sa­ties (81%) kregen in de afgelopen twee jaar minstens één IT-versto­ring te verwerken. Bij 55 procent gebeurde dat zelfs meerdere keren.

Verwachte hersteltijd beperkt getoetst

Van de organi­sa­ties die weten hoelang het duurt voordat hun IT na een uitval weer werkt, noemt 43 procent het eigen noodplan als basis voor die inschat­ting en verwijst 39 procent naar afspraken met IT-leveran­ciers. Of die inschat­ting in de praktijk klopt, is bij de meeste organi­sa­ties niet getest. Slechts 23 procent baseert de verwachte herstel­tijd mede op testen van het eigen noodplan en elf procent op testen met leveran­ciers. Dat terwijl 46 procent met twee of drie IT-leveran­ciers werkt en achttien procent met vier of meer. Bij een uitval hangt herstel dus vaak af van meerdere partijen, terwijl de samen­wer­king met die partijen zelden in de praktijk is getoetst. Daarnaast baseert dertien procent de herstel­tijd uitslui­tend op een eigen inschatting.

Financiële impact blijft vaak een schatting

Ook heeft een IT-uitval finan­ciële gevolgen, maar die zijn nog niet bij alle organi­sa­ties in kaart gebracht. Zo geeft 43 procent van de organi­sa­ties aan de mogelijke finan­ciële en opera­ti­o­nele impact van IT-uitval concreet te hebben uitge­werkt. Een op de vier heeft alleen een globaal beeld en heeft de gevolgen niet doorge­re­kend. Nog eens twaalf procent weet dat de impact groot kan zijn, maar heeft dit niet verder onderzocht.

Aandacht groeit, structurele voorbereiding blijft achter

Toch groeit het bewust­zijn bij organi­sa­ties over digitale bescher­ming. Zo geeft 75 procent aan dat aandacht hiervoor de afgelopen twee jaar is toege­nomen. Dat zie je ook terug in de basis­maat­re­gelen. Zo gebruikt 87 procent antivirus- of antimal­ware-software, voert 87 procent regel­matig updates uit en maakt 83 procent back-ups. Toch is preventie bij minder dan de helft (48 procent) een vast, gepland onder­deel van het werk.

Jeroen Renard, CISO bij Previder: “Tijdens IT-uitval wil je geen tijd verliezen aan vragen die je vooraf had kunnen beant­woorden. Welke processen moeten als eerste weer draaien? Hoeveel uitval kun je opvangen? En wie doet wat? Organi­sa­ties inves­teren terecht in het voorkomen van incidenten, maar volledig uitsluiten dat IT uitvalt, kan niet. Met dit onder­zoek willen we beter inzicht krijgen in hoe organi­sa­ties zijn voorbe­reid en waar in de praktijk nog kwets­baar­heden liggen. Een noodplan en afspraken met leveran­ciers zijn belang­rijk, maar de volgende stap in digitale weerbaar­heid is testen in de praktijk. Door samen calami­teiten te oefenen en herstel­maat­re­gelen te testen, weet je hoe snel kritieke processen daadwer­ke­lijk kunnen worden hersteld.”