Waterschappen worden steeds afhankelijker van digitale systemen, operationele technologie (OT), data en kunstmatige intelligentie (AI). Tegelijkertijd nemen cyberdreigingen, geopolitieke spanningen en ketenafhankelijkheden toe. Op basis van onderzoek bij een waterschap presenteert dit artikel een praktisch Digital Resilience Framework (DRF).
Geschreven door Peter Faling (Digital Expertise Consultancy BV)
De waterschappen bevinden zich midden in een digitale transformatie. Processen worden steeds verder gedigitaliseerd, data spelen een grotere rol in besluitvorming en kunstmatige intelligentie (AI) vindt langzaam zijn weg naar operationele en bestuurlijke processen.
Deze ontwikkeling biedt kansen. AI kan besluitvorming ondersteunen, operationele processen verbeteren en helpen bij het detecteren van afwijkingen. Tegelijkertijd ontstaan er nieuwe afhankelijkheden. Wanneer digitale systemen uitvallen of worden geraakt door cyberincidenten, kan dit directe gevolgen hebben voor primaire processen, zoals waterveiligheid, afvalwaterzuivering en watersysteembeheer. Daarom groeit het belang van digitale weerbaarheid.
Van informatiebeveiliging naar digitale weerbaarheid
Veel organisaties benaderen digitale weerbaarheid nog vooral vanuit informatiebeveiliging en compliance. Kaders als de Baseline Informatiebeveiliging Overheid (BIO), Network Information Security Directive 2 (NIS2) en de Wet Weerbaarheid Kritieke Entiteiten (WWKE) helpen bij het inrichten van beheersmaatregelen en verantwoordelijkheden. In de praktijk blijkt echter dat het hebben van beleid niet automatisch daadwerkelijk leidt tot weerbaarheid. Uit onderzoek bij een waterschap bleek dat veel maatregelen wel waren ontworpen, maar nog beperkt waren ingevoerd of niet aantoonbaar werkten.
Digitale weerbaarheid vraagt om een bredere benadering dan alleen digitale beveiliging. Het is ook het vermogen van een organisatie om verstoringen te signaleren, erop te reageren, ervan te leren en zich aan te passen aan nieuwe omstandigheden.
Onderzoek bij een waterschap
In het kader van een MBA-onderzoek is onderzocht hoe digitale weerbaarheid bij een waterschap praktisch kan worden ingericht, bestuurd en doorontwikkeld. Hiervoor zijn onder andere kwetsbaarheidsanalyses uitgevoerd, enquêtes afgenomen en interviews gehouden.
Het onderzoek is uitgevoerd als een kwalitatieve case study bij een Nederlands waterschap. Hierbij zijn vier informatiebronnen getrianguleerd: een kwetsbaarheidsscan van zes securitydomeinen, interne documentanalyse, een nulmeting op het gebied van informatiebeveiliging en privacy, en twaalf semigestructureerde interviews met bestuurders, securityspecialisten, architecten, crisisadviseurs en operationele medewerkers. De belangrijkste bevinding was dat strategische bewustwording rondom digitale weerbaarheid aanwezig is, terwijl de implementatie in de praktijk nog gefragmenteerd is en systeemdenken, governance en operationele uitvoering nog onvoldoende geïntegreerd zijn.
Een belangrijk inzicht uit het onderzoek was dat digitale weerbaarheid niet binnen één discipline kan worden gerealiseerd. Het is een samenspel van techniek, governance, data, processen en menselijk gedrag.
Het onderzoek liet ook zien dat veel organisaties nog sterk zijn georganiseerd langs de lijnen van afzonderlijke disciplines, terwijl verstoringen zich juist niet houden aan domeingrenzen. Een cyberincident kan bijvoorbeeld gevolgen hebben voor kantoorautomatisering, procesautomatisering, externe leveranciers en primaire waterbeheerprocessen tegelijk.
Vier bouwstenen van digitale weerbaarheid
Op basis van het onderzoek is een Digital Resilience Framework (DRF) ontwikkeld dat bestaat uit vier onderling samenhangende domeinen. Om de toepasbaarheid voor de watersector te vergroten zijn deze domeinen vertaald naar herkenbare organisatiefuncties: besturen, uitvoeren, inzicht en ontwikkelen.
Besturen (governance & accountability)
Digitale weerbaarheid begint bij bestuurlijke verantwoordelijkheid. Dit domein richt zich op eigenaarschap, besluitvorming, risicomanagement en de aansluiting op wet- en regelgeving. Belangrijke wettelijke kaders zijn de BIO, NIS2 en de WWKE. Deze kaders verplichten organisaties onder meer tot risicomanagement, continuïteitsmaatregelen, toezicht op leveranciers en bestuurlijke verantwoording over digitale risico’s. Belangrijke vragen zijn:
· wie is eigenaar van digitale risico’s?
· hoe worden investeringen afgewogen?
· wie beslist over risicoacceptatie?
· hoe wordt verantwoording afgelegd?
Uitvoeren (operational capability)
Dit domein betreft het vermogen van de organisatie om verstoringen te voorkomen, te detecteren en erop te reageren. Voor waterschappen gaat het hierbij niet alleen om kantoorautomatisering, maar ook om operationele technologie (OT), zoals gemalen, stuwen, zuiveringen, meetnetten en procesautomatisering.
Hierbij ontstaat een belangrijk spanningsveld tussen IT en OT. In de kantoorautomatisering is het vaak wenselijk om kwetsbaarheden zo snel mogelijk te patchen en systemen regelmatig te updaten. Bij procesautomatisering staat daarentegen de continuïteit van het primaire proces centraal. Een software-update kan immers directe gevolgen hebben voor de beschikbaarheid van kritieke installaties. Digitale weerbaarheid vraagt daarom om een integrale afweging tussen beveiliging, beschikbaarheid en continuïteit.
Inzicht (data & intelligence)
Steeds meer processen van waterschappen worden ondersteund door data, sensoren en geautomatiseerde analyses. Dit domein richt zich op:
· monitoring;
· datakwaliteit;
· datagovernance;
· analytics;
· AI-toepassingen;
· realtime informatievoorziening.
Voorbeelden zijn voorspellend onderhoud, anomaly detection (volautomatische detectie van onregelmatigheden), digitale tweelingen en AI-ondersteunde analyse van watersystemen. Door de groeiende afhankelijkheid van data en algoritmen wordt inzicht een steeds belangrijkere pijler van digitale weerbaarheid.
Ontwikkelen (culture & learning)
Digitale weerbaarheid is uiteindelijk ook een menselijk vraagstuk. Organisaties moeten in staat zijn om te leren van verstoringen, incidenten, oefeningen en veranderingen in hun omgeving. Dit domein richt zich op:
· kennisdeling;
· evaluaties;
· crisisoefeningen;
· bewustwording;
· continue verbetering.
Een lerende organisatie kan zich sneller aanpassen aan nieuwe dreigingen, technologische ontwikkelingen en veranderende maatschappelijke verwachtingen.
Het Digital Resilience Framework
De vier bouwstenen zijn samengebracht in het Digital Resilience Framework (DRF), weergegeven in afbeelding 1. Het raamwerk is ontwikkeld volgens de principes van Design Science Research (DSR) [1], waarbij kennisontwikkeling wordt gecombineerd met het ontwerpen van praktische oplossingen.
Het model beschrijft digitale weerbaarheid als een continu verbeterproces waarin organisaties bouwen, monitoren, evalueren en verbeteren. De vier domeinen versterken elkaar voortdurend via leer- en feedbacklussen.
· ‘Besturen’ zorgt voor richting, eigenaarschap en verantwoording.
· ‘Uitvoeren’ zorgt voor continuïteit van processen en dienstverlening.
· ‘Inzicht’ levert de informatie die nodig is om tijdig te signaleren en te handelen.
· ‘Ontwikkelen’ zorgt ervoor dat de organisatie leert en zich blijft aanpassen.
Door deze vier domeinen in samenhang te ontwikkelen, ontstaat een organisatie die beter in staat is om verstoringen op te vangen en zich aan te passen aan een snel veranderende digitale omgeving.
IT, OT en de toenemende afhankelijkheid van technologie
De digitalisering van de watersector gaat verder dan traditionele informatievoorziening. Waterschappen ontwikkelen zich richting steeds verdergaande automatisering, robotisering en datagedreven sturing van primaire processen. Voorbeelden hiervan zijn:
· geautomatiseerde procesbesturing van zuiveringen;
· voorspellend onderhoud van assets;
· AI-ondersteunde analyse van watersystemen;
· slimme sensornetwerken;
· digitale tweelingen van installaties en watersystemen.
Deze ontwikkelingen vergroten de efficiëntie en ondersteunen de maatschappelijke opgaven van waterschappen. Tegelijkertijd neemt de afhankelijkheid van digitale systemen, software, leveranciers en netwerken toe.
Een praktijkvoorbeeld illustreert dit spanningsveld. Stel dat er een kwetsbaarheid wordt ontdekt in een besturingssysteem van een gemaal. Vanuit IT-perspectief is snel patchen logisch en wenselijk. Vanuit OT-perspectief kan dezelfde update echter risico’s opleveren voor de continuïteit van het primaire proces. Digitale weerbaarheid vraagt daarom niet alleen om technische maatregelen, maar ook om gezamenlijke besluitvorming, inzicht in afhankelijkheden en het vermogen om van incidenten te leren.
Geopolitieke ontwikkelingen en kritieke infrastructuur
Naast technologische ontwikkelingen groeit internationaal de aandacht voor de bescherming van vitale infrastructuur. Cyberaanvallen, geopolitieke spanningen en afhankelijkheden van buitenlandse technologie maken duidelijk dat digitale weerbaarheid niet langer uitsluitend een technisch vraagstuk is. Voor waterschappen raakt dit direct aan:
· waterveiligheid;
· beschikbaarheid van oppervlaktewater;
· afvalwaterzuivering;
· ketenafhankelijkheden;
· toegang van leveranciers tot kritieke systemen;
· bescherming van operationele technologie.
Het voorkomen van ongeautoriseerde toegang tot procesautomatisering en operationele systemen wordt daarmee een essentieel onderdeel van de maatschappelijke verantwoordelijkheid van waterbeheerders.
De digitale Hollandse Waterlinie
Niemand zou destijds op het idee zijn gekomen om het beheer, de bediening of de sleutels van de Nieuwe Hollandse Waterlinie (gebouwd in fases tussen 1815 en 1940) volledig in handen te geven van derden. Toch zijn in de digitale wereld vergelijkbare afhankelijkheden ontstaan. Organisaties vertrouwen steeds vaker op externe softwareleveranciers, cloudplatformen en digitale dienstverleners voor processen die essentieel zijn voor hun primaire taak. Digitale weerbaarheid vraagt daarom niet alleen om beveiliging, maar ook om bewust bestuur van afhankelijkheden, eigenaarschap en digitale autonomie.
De rol van AI
Kunstmatige Intelligentie (AI) wordt vaak gepresenteerd als oplossing voor complexe vraagstukken. Het onderzoek laat zien dat AI vooral waarde toevoegt wanneer het wordt ingebed in bestaande governance- en werkprocessen. Voorbeelden zijn:
· ondersteuning van monitoring en anomaly detection;
· analyse van grote hoeveelheden log- en securitydata;
· ondersteuning van trendanalyse;
· signalering van afwijkingen;
· vroegtijdige detectie van risico’s.
AI vervangt daarbij niet de menselijke besluitvorming, maar versterkt het vermogen van organisaties om sneller en beter te reageren op ontwikkelingen.
Wat kunnen waterschappen morgen doen?
Het onderzoek laat zien dat digitale weerbaarheid niet begint met nieuwe technologie, maar met een integrale benadering. Digitale weerbaarheid ontstaat juist door de samenhang tussen bestuur, processen, technologie en het lerende vermogen van een organisatie. Vijf praktische stappen:
- Maak digitale weerbaarheid expliciet onderdeel van bestuurlijke sturing
Bijvoorbeeld door digitale weerbaarheid periodiek te agenderen in directie- en bestuursrapportages. - Verbind informatiebeveiliging, OT, data en continuïteit met elkaar
Bijvoorbeeld door gezamenlijke risicoanalyses en integrale IT/OT-governance in te richten (integraal ketendenken). - Richt leer- en feedbacklussen in rondom incidenten en verstoringen
Bijvoorbeeld door evaluaties van incidenten en crisisoefeningen structureel terug te koppelen aan bestuur en management. - Integreer AI in bestaande governanceprocessen
Bijvoorbeeld door AI eerst toe te passen voor anomaly detection, monitoring en risicoanalyse binnen bestaande securityprocessen. - Kijk niet alleen naar compliance, maar ook naar adaptief vermogen
Bijvoorbeeld door periodiek te toetsen of organisaties daadwerkelijk kunnen reageren op nieuwe dreigingen en verstoringen.
Conclusie
De digitale afhankelijkheid van waterschappen neemt toe. Tegelijkertijd worden de dreigingen complexer en minder voorspelbaar. Hierdoor verschuift de aandacht van traditionele informatiebeveiliging naar bredere digitale weerbaarheid.
Het in dit artikel beschreven Digital Resilience Framework laat zien dat digitale weerbaarheid ontstaat door de samenhang tussen bestuurlijke sturing, operationele capaciteiten, data & intelligence en organisatieontwikkeling. AI kan hierin een belangrijke rol spelen, mits deze technologie wordt ingebed in bestaande processen en verantwoordelijkheden.
Digitale weerbaarheid ontwikkelt zich daarmee van een ondersteunend IT-thema naar een strategische bestuurlijke capability. Voor waterschappen betekent dit dat investeringen in governance, operationele weerbaarheid, data-intelligentie en organisatieontwikkeling niet langer los van elkaar kunnen worden gezien. Juist de samenhang tussen deze domeinen bepaalt in toenemende mate het vermogen van organisaties om ook onder digitale verstoringen hun publieke taak te blijven uitvoeren.
Over de auteur
Peter Faling is interim Chief Information Officer (CIO) en eigenaar van Digital Expertise Consultancy BV. Daarnaast volgt hij de Executive MBA aan Nyenrode Business Universiteit waar hij onderzoek doet naar digitale weerbaarheid, AI-adoptie en governance in de publieke sector.
Samenvatting
Waterschappen worden steeds afhankelijker van digitale systemen, operationele technologie (OT), data en kunstmatige intelligentie (AI). Tegelijkertijd nemen cyberdreigingen, geopolitieke spanningen en ketenafhankelijkheden toe. Op basis van onderzoek bij een waterschap presenteert dit artikel een praktisch Digital Resilience Framework (DRF) dat bestuurlijke sturing, operationele uitvoering, data & intelligence en organisatieontwikkeling verbindt. Het raamwerk helpt waterschappen om digitale weerbaarheid niet alleen als securityvraagstuk, maar als strategische capability voor continuïteit en publieke waarde te benaderen.
REFERENTIE
1. Peffers, K., Tuunanen, T., Rothenberger, M. A., & Chatterjee, S. (2007). ‘A Design Science Research Methodology for Information Systems Research’. Journal of Management Information Systems, 24(3), 45–77.
