Wanneer ‘een IT‑incident’ een bestuursvraag wordt

Ernstige incidenten waaronder cyberaanvallen behoren inmiddels tot het structurele risicolandschap van pensioenfondsen. Digitalisering, toenemende ketenafhankelijkheid en geopolitieke ontwikkelingen vergroten zowel de frequentie als de complexiteit van incidenten.

Pensioenfondsen zijn daarbij extra kwetsbaar. Zij beheren grote vermogens, verwerken gevoelige persoonsgegevens en opereren binnen sterk uitbestede uitvoeringsketens. Dit vergroot het belang van digitale weerbaarheid en een robuuste crisisorganisatie.

De impact van een incident wordt daarbij zelden bepaald door de aanval zelf. Beslissend is hoe een organisatie reageert wanneer onzekerheid, tijdsdruk en reputatierisico’s samenkomen. In de praktijk blijkt dat een ogenschijnlijk technisch incident zich snel ontwikkelt tot een bestuurlijke crisis, waarin besluiten over continuïteit, communicatie en toezicht onder grote druk en op basis van onvolledige informatie moeten worden genomen. Crisisoefeningen maken zichtbaar of governance‑structuren, besluitvorming en samenwerking daadwerkelijk functioneren wanneer het erop aankomt.

Oefenen om bestuurlijke realiteit te testen

Crisisoefeningen zijn gesimuleerde crisissituaties waarin organisaties oefenen hoe wordt gehandeld bij digitale dreigingen. Het doel is niet het testen van technische systemen, maar het doorleven van besluitvorming, rolverdeling en communicatie onder druk. Voor pensioenfondsen zijn twee oefenvormen relevant:

• Tabletop-oefeningen: een scenario wordt stapsgewijs voorgelegd aan het crisismanagementteam of bestuur. Naarmate het scenario zich ontwikkelt, ontstaan dilemma’s rond regie, informatievoorziening en externe communicatie.
• Simulatie-oefeningen: een dynamisch scenario met escalerende gebeurtenissen, waarbij keuzes direct invloed hebben op het verloop van de crisis. De nadruk ligt hier meer op het testen van crisisprocedures en -afspraken onder druk.

De waarde van oefenen ligt niet in het ‘juist’ oplossen van het scenario. Oefeningen maken zichtbaar waar spanningen en kwetsbaarheden ontstaan in de crisisorganisatie.

De specifieke kwetsbaarheid van pensioenfondsen

Voor pensioenfondsen ligt de complexiteit van crisissen zelden uitsluitend in de techniek. Administratie en IT‑dienstverlening zijn vaak uitbesteed aan externe partijen. Hoewel het bestuur eindverantwoordelijk blijft, ontstaat bij incidenten regelmatig onduidelijkheid over verantwoordelijkheid en regie. Wie stuurt het proces? Wie weegt de informatie uit de keten? En wie bepaalt het moment van externe communicatie?

Daarbij is de fouttolerantie laag. Pensioenuitkeringen moeten doorgaan en deelnemers verwachten heldere en consistente informatie, ook wanneer feiten nog onvolledig zijn. Elk haperend besluit of tegenstrijdig signaal kan directe gevolgen hebben voor vertrouwen en reputatie. Dit vergroot het belang van heldere governance en bestuurlijke slagkracht.

Crisisoefeningen en compliance

Naast weerbaarheid raken crisisoefeningen ook direct aan compliance. Toezichthouders verwachten dat digitale risico’s niet alleen zijn vastgelegd, maar aantoonbaar worden beheerst in de praktijk. Met de inwerkingtreding van de Digital Operational Resilience Act (DORA) is het testen van digitale operationele weerbaarheid expliciet verankerd in regelgeving. Pensioenfondsen dienen periodiek te toetsen of incidentrespons, crisisstructuren en ketenafhankelijkheden onder druk functioneren zoals bedoeld.

Uitbesteding van IT‑ en administratieve processen verandert niets aan de bestuurlijke verantwoordelijkheid. In crisissituaties moet helder zijn wie regie voert, hoe besluitvorming plaatsvindt en wanneer toezichthouders worden geïnformeerd.

Crisisoefeningen ondersteunen daarmee niet alleen weerbaarheid, maar ook de aantoonbare beheersing van risico’s richting toezichthouders.

Wat gaat er mis zonder oefening

Bij organisaties die onvoldoende hebben geoefend, ontstaan in crisissituaties herkenbare patronen. Besluitvorming vertraagt door onduidelijke mandaten, crisisrollen overlappen of blijven onbezet en communicatie raakt versnipperd en is tegenstrijdig. Crisisplannen blijken in theorie logisch, maar bieden in de praktijk onvoldoende houvast wanneer tijd en informatie schaars zijn. Juist omdat deze knelpunten zich pas onder druk manifesteren, blijven zij zónder oefenen vaak onzichtbaar.

De opbrengst van realistisch oefenen

Een goed opgezette crisisoefening fungeert als stresstest van de crisisorganisatie. Bestuur, IT, communicatie en compliance worden gedwongen samen te werken in omstandigheden die onzekerheid en tijdsdruk simuleren. Dat levert inzicht op in de kwaliteit van besluitvorming, de effectiviteit van ketensamenwerking en de samenhang tussen techniek en governance.

De waarde van oefenen ligt in de opvolging. Leerpunten moeten worden vertaald naar concrete verbeteringen in crisisplannen, rolverdeling en communicatieafspraken. Daarmee wordt oefenen onderdeel van een continue verbetercyclus, in plaats van een incidentele activiteit.

Conclusie

Crisisoefeningen zijn een essentieel onderdeel van modern pensioenfondsbestuur. Zij bieden inzicht in bestuurlijke weerbaarheid, versterken crisisvaardigheid en ondersteunen de aantoonbare beheersing van risico’s binnen een steeds strenger toezichtkader. Niet de technische respons staat centraal, maar de vraag of governance‑afspraken standhouden onder druk.

De kernvraag is namelijk niet of een ernstig incident zich zal voordoen, maar of het pensioenfonds aantoonbaar in staat is om onder druk adequaat te handelen.

Dit leidt tot drie concrete aandachtspunten voor pensioenfondsen:

1. toets periodiek of de crisisorganisatie onder realistische omstandigheden functioneert
2. leg expliciet vast waar regie en besluitvorming in de keten zijn belegd
3. borg opvolging van oefenresultaten in de governance- en risicocyclus

Weten of de crisisorganisatie binnen jouw fonds onder echte druk standhoudt? Neem contact op!