Je website is weer online, maar is je communicatie voorbereid op een volgend incident?

Een website gaat uit voorzorg offline. De organisatie legt uit waarom, neemt maatregelen en meldt later dat alles weer werkt. Zorgvuldig afgehandeld, zou je denken. Maar de patiënt die zijn afspraak niet kon controleren, de inwoner met een aanvraagtermijn en de medewerker die een deadline miste, zijn daarmee niet vanzelf geholpen. De PHP-kwetsbaarheden van 21 oktober maken een bredere communicatievalkuil zichtbaar: we sluiten het verhaal af vanuit het herstel van onze systemen, terwijl de gevolgen voor mensen nog doorlopen.

Op 21 oktober 2026 haalden verschillende organisaties websites uit voorzorg offline vanwege twee kritieke kwetsbaarheden in PHP, een veelgebruikte programmeertaal voor websites en webapplicaties. Ook het Nationaal Cyber Security Centrum nam die maatregel. In het bericht over de kwetsbaarheden en beschikbare beveiligingsupdates roept het NCSC organisaties op hun systemen te controleren en de updates door te voeren.

Mensen ontvangen onze berichten niet los van hun dagelijkse leven. Ze proberen te begrijpen wat er gebeurt vanuit het nieuws, hun ervaringen en de dingen die ze zelf moeten regelen. Daar begint een communicatievraagstuk dat langer kan duren dan de storing.

Voor de organisatie is het een maatregel. Voor de ander een onderbreking

Binnen een organisatie gaat op zo’n moment begrijpelijkerwijs veel aandacht naar beveiligen, onderzoeken en herstellen. Welke systemen zijn geraakt? Wat moet de leverancier doen? Wanneer kan iets verantwoord weer online?

De communicatie volgt diezelfde lijn: wat is er aan de hand, welke maatregel nemen we en wanneer verwachten we herstel?

Voor de bezoeker kan de volgorde heel anders zijn. Die kwam niet naar de website om te lezen over een beveiligingsmaatregel. Die wilde iets doen.

Stel dat je onderweg naar het ziekenhuis nog even wilt controleren waar je moet zijn. Of dat je eindelijk de documenten voor een gemeentelijke aanvraag bij elkaar hebt. Of dat je een formulier moet versturen voordat je aan je avonddienst begint. Op dat moment betekent ‘tijdelijk niet beschikbaar’ vooral dat iets wat jij nodig hebt, niet lukt.

Dat maakt uitleg over de oorzaak noodzakelijk, maar nog niet voldoende. De maatregel kan volkomen terecht zijn en de onderbreking kan iemand toch in de problemen brengen. Beide kunnen tegelijk waar zijn.

‘Uit voorzorg’ krijgt niet bij iedereen dezelfde betekenis

Voor de schrijver van een melding is ‘uit voorzorg’ een belangrijk onderscheid. Het maakt duidelijk dat een organisatie ingrijpt om een risico te beperken. Het offline halen van een website is op zichzelf geen bewijs dat die organisatie is gehackt.

Maar wat iemand aan die woorden verbindt, staat daarmee nog niet vast.

De een ziet een organisatie die verantwoordelijkheid neemt. Een ander vraagt zich af hoe ernstig de situatie moet zijn als zelfs een overheidsorganisatie haar website afsluit. Weer iemand anders leest nauwelijks verder dan de mededeling dat de dienst niet werkt.

Dat zijn mogelijke reacties, geen vaste typen mensen. Dezelfde persoon kan op zijn werk rustig reageren op een storing en als mantelzorger ongeduldig worden wanneer informatie over een afspraak ontbreekt.

Daarom helpt het weinig om vooraf te besluiten dat ‘de bezoeker gerustgesteld moet worden’. Misschien wil die vooral een alternatief. Of duidelijkheid over wat nog onbekend is. Of bevestiging dat een gemiste termijn wordt opgevangen.

Wie te snel invult wat mensen nodig hebben, kan een zorgvuldig antwoord geven op de verkeerde vraag.

Een technische correctie kan een praktische vraag laten liggen

Neem de vraag of twee incidenten met elkaar te maken hebben. Het is belangrijk om geen onbewezen verband te bevestigen. Toch hoeft het gesprek niet te eindigen bij: ‘Daar zijn geen aanwijzingen voor.’

Iemand kan letterlijk naar een gedeelde oorzaak vragen. Dan is een feitelijk antwoord passend. Maar misschien probeert diegene te achterhalen of hij rekening moet houden met meer uitval. Of dat hij zijn gegevens nog kan gebruiken. Dat weet je pas als je doorvraagt.

Bij persoonlijk contact kan een eenvoudige vraag helpen: ‘Welk gevolg hiervan houdt u vooral bezig?’

Ook terugkerende vragen aan een servicedesk zijn waardevol. Als mensen na de technische uitleg blijven bellen over afspraken, bereikbaarheid of deadlines, ontbreekt mogelijk informatie over de dienstverlening. Dan helpt een extra alinea over de software hen waarschijnlijk minder dan een duidelijk antwoord op wat vandaag wel kan.

De reactie van de ontvanger vertelt daarmee ook iets over onze eigen communicatie. Hebben we uitgelegd wat wij doen, maar onvoldoende wat de ander kan doen?

Herstel heeft meer dan één eindpunt

Stel dat een gemeente haar website weer opent. Het aanvraagformulier werkt, de beveiligingsmaatregelen zijn uitgevoerd en het herstelbericht staat online.

Een inwoner had de avond ervoor geprobeerd een aanvraag in te dienen. Die kon niet bij het formulier en is inmiddels aan het werk. De website is hersteld, maar zijn aanvraag is nog niet gedaan. Bovendien weet hij niet of de onderbreking gevolgen heeft voor zijn termijn.

Bij een zorgorganisatie kan hetzelfde spelen rond een gemist bericht. Bij een werkgever rond werk dat is blijven liggen. Dit zijn denkbare situaties, geen vastgestelde gevolgen van het PHP-incident. Ze laten zien waarom ‘alles werkt weer’ voor de organisatie een ander eindpunt kan zijn dan voor de gebruiker.

Een herstelbericht verdient daarom dezelfde aandacht voor gevolgen als de eerste melding. Wat moeten mensen opnieuw proberen? Zijn eerder verzonden gegevens aangekomen? Waar kunnen zij terecht als iets niet is gelukt? Welke afspraken gelden voor gemiste termijnen?

Je hoeft niet ieder mogelijk probleem vooraf te beschrijven. Je moet wel bepalen welke gevolgen aannemelijk zijn en wie daarover kan beslissen.

4 vragen voor je volgende incidentmelding

Tijdens een incident is weinig tijd voor uitgebreid onderzoek. Juist dan helpt een korte werkwijze die communicatie verbindt met de mensen die vragen beantwoorden en de dienstverlening organiseren.

1. Wat probeerde iemand te doen toen het misging?

Vraag de receptie, klantenservice of servicedesk welke taken vastlopen. Een afspraak controleren vraagt om andere informatie dan een betaling afronden of een aanvraag indienen.

Begin waar mogelijk met die concrete gevolgen. Daarna kun je de aanleiding uitleggen. Zo hoeft de bezoeker niet eerst het technische probleem te begrijpen om te ontdekken wat voor hem relevant is.

2. Welke conclusie kan onze melding oproepen?

Laat iemand buiten het incidentteam een concept lezen. Vraag: ‘Wat denk je dat er is gebeurd? Wat zou je nu doen? Welke vraag blijft over?’

Daarmee ontdek je of een onderscheid dat intern vanzelfsprekend is, buiten de organisatie ook duidelijk wordt. Bijvoorbeeld het verschil tussen een vastgesteld probleem, een mogelijk risico en een preventieve maatregel.

Benoem wat bevestigd is en wat nog wordt onderzocht. Een uitspraak over de stand van het onderzoek verdient bovendien een tijdsaanduiding, zodat een doorgestuurd bericht niet ongemerkt als actuele zekerheid blijft circuleren.

3. Kan de ander met ons antwoord verder?

Een alternatief noemen helpt alleen als het bruikbaar is. ‘Neem telefonisch contact op’ vraagt om een bereikbaar nummer, duidelijke openingstijden en collega’s die weten wat ze kunnen aanbieden.

Als een aanvraag niet kan worden ingediend, moet iemand bepalen wat dit betekent voor de termijn. Als een afspraak doorgaat, moet dat bevestigd kunnen worden. Communicatie kan zulke besluiten zichtbaar maken, maar kan ze niet zelf vervangen.

Soms zit de oplossing dus in een praktische afspraak die nog gemaakt moet worden.

4. Wat moeten we na herstel nog rechtzetten?

Verzamel tijdens de uitval de belangrijkste vragen en knelpunten. Gebruik die bij het herstelbericht. Vermeld niet alleen dat de dienst beschikbaar is, maar ook wat mensen moeten weten als zij eerder vastliepen.

Spreek af wie vragen over achterstanden, mislukte handelingen of uitzonderingen afhandelt. Zo voorkom je dat de organisatie het incident afsluit terwijl de opvang van de gevolgen nog nergens is belegd.

Bereid ook de opvang van vragen voor

Veel organisaties hebben een storingspagina of een standaardtekst klaarliggen. Dat helpt. Maar de voorbereiding wordt sterker als ook duidelijk is wie kan antwoorden op de vragen die achter zo’n melding vandaan komen.

Wie weet of afspraken doorgaan? Wie kan besluiten over een termijn? Wie stemt informatie af met de leverancier? En waar kunnen mensen updates vinden als juist de gebruikelijke website uitvalt?

Het NCSC verwees tijdens de eigen preventieve sluiting bijvoorbeeld naar andere informatiekanalen. Dat is een concrete voorbereiding die ook buiten cybersecurity relevant is: zorg dat mensen hun weg kunnen vinden wanneer hun vertrouwde ingang ontbreekt.

Kijk bij de evaluatie verder dan het verzonden bericht

Na afloop kun je terugkijken op snelheid, bereik en feitelijke juistheid. Maar stel ook de vraag waar mensen ondanks de communicatie op vastliepen.

Welk antwoord moesten collega’s steeds opnieuw geven? Welke instructie bleek onuitvoerbaar? Welke vraag bleef terugkomen nadat de systemen weer werkten? Die signalen kunnen aanleiding zijn om teksten te verbeteren. Ze kunnen ook laten zien dat de dienstverlening een betere uitwijkmogelijkheid nodig heeft.

Een website kun je weer beschikbaar maken. Of mensen ook verder kunnen, moet je blijven nagaan.