“Cultuur is de ruggengraat van de samenleving”

Maar liefst drie op de tien culturele organisaties kregen te maken met een cyberincident, bleek in 2023 al uit onderzoek van DEN, het kennisinstituut cultuur en digitale transformatie. Er staat veel op het spel. „Cultuur en cultureel erfgoed gaan over wie wij zijn en waar wij voor staan,” zegt Gijs Meijer. „Over verbeelding, over mensen samenbrengen. Het is de ruggengraat van de samenleving, van het lokale zangkoor tot en met de Mondriaans en de Rembrandts. Dat moeten we met elkaar heel goed beschermen. Ook digitaal.”

Toch denken veel organisaties dat er bij hen niets te halen valt. „Dat is echt een misverstand,” stelt Gijs. „Iedereen is aantrekkelijk voor de cybercrimineel. Een ‘gewone’ crimineel kijkt door het raam of er wat te halen valt. Het maakt de cybercrimineel helemaal niet uit waar hij toeslaat. Hij schiet met hagel.” Of zoals DEN-directeur Maaike Verbeek het verwoordt: „Cybercriminelen maken geen onderscheid tussen een multinational en een museum.”
Begin dit jaar versleutelde hackersgroep LockBit bestanden van het Veenkoloniaal Museum in Veendam, waaronder de administratie, persoonlijke gegevens en collectiefoto’s. „Hacken wordt steeds professioneler én makkelijker,” zegt Gijs. „Door de opkomst van AI zijn de mogelijkheden voor cybercriminelen enorm toegenomen.”

„Als je niet meer kunt mailen, als je ticketing het niet meer doet, als je digitale entree niet meer werkt, dan ben je enorm geraakt,” aldus Gijs. „Er is een nauwe verwevenheid tussen digitaal en fysiek. Ook in onze sector. Je wilt echt niet dat je digitale collectiesysteem, je relatiemanagementsysteem of je P&O-dossiers op straat liggen. Dat is vreselijk! Bovendien zitten hier wettelijke verplichtingen aan, groot of klein. Het raakt ons allemaal.”

Toen in 2024 het Britse National Museum of the Royal Navy werd getroffen door een hack, lagen veertien van de twintig systemen plat. Het museum kocht meteen mobiele pinapparaten om kaartjes te kunnen blijven verkopen. Desalniettemin was het maandenlang onzeker of veertig jaar collectiewerk te redden was; beschrijvingen, foto’s en gegevens van objecten.
De sector kent ook eigen kwetsbare momenten. „Als je toewerkt naar een event, bijvoorbeeld een opening, neemt de druk toe,” verklaart Gijs. „Er zijn dan meer partijen die allemaal onder hoge tijdsdruk iets van je willen. Overal waar sprake is van tijdsdruk, is de kans op fouten groter.”

Het is belangrijk om in organisaties open te kunnen zijn over mogelijke fouten. „Het is nooit leuk om te vertellen over iets wat niet goed is gegaan, dat snap ik heel goed,” zegt Gijs. „Maar wat jou overkomt, kan ook een ander overkomen. Daarom is het juist superbelangrijk om ervaringen te delen. Dat collectieve belang is heel groot.” Het kan spannend zijn om toe te geven dat je op een vreemde website terecht bent gekomen. „Dat vraagt om een open cultuur. Wie op een verdachte link heeft geklikt, moet dat meteen kunnen melden en niet het gevoel hebben: ik hou mijn mond maar.”

„Er gaat eigenlijk geen dag voorbij dat er niet over een incident wordt geschreven.” Tegelijkertijd is er ook goed nieuws. Gijs: „Het bewustzijn is enorm toegenomen, ook in de culturele sector. Dat is positief.” De eerste resultaten van de nieuwe DEN Cybersecurity Scan laten zien dat steeds meer organisaties de basis op orde hebben. „Helaas blijft een incident- en herstelplan nog te vaak liggen. Dan is de kans groot dat je stappen zet die de schade groter maken of het herstel bemoeilijken. Je wilt juist zo snel mogelijk weer up and running zijn.”

„Er gaat eigenlijk geen dag voorbij dat er niet over een incident wordt geschreven.” Tegelijkertijd is er ook goed nieuws. Gijs: „Het bewustzijn is enorm toegenomen, ook in de culturele sector. Dat is positief.” De eerste resultaten van de nieuwe DEN Cybersecurity Scan laten zien dat steeds meer organisaties de basis op orde hebben. „Helaas blijft een incident- en herstelplan nog te vaak liggen. Dan is de kans groot dat je stappen zet die de schade groter maken of het herstel bemoeilijken. Je wilt juist zo snel mogelijk weer up and running zijn.”

Op cyberveiligecultuur.nl bundelt DEN alles wat de cultuursector nodig heeft om aanvallen te voorkomen en snel te herstellen als het onverhoopt toch misgaat. Zo is er een stappenplan om de zogeheten kroonjuwelen in kaart te brengen. Gijs: „Je moet ergens beginnen, dus begin dan meteen bij je mooiste kroonjuwelen en zoom daar als eerste op in. Als je ticketing bijvoorbeeld niet meer werkt, houdt het als theater snel op.”

Gijs wijst op praktische zaken: software bijwerken, multifactorauthenticatie, zorgvuldig omgaan met persoonsgegevens en heldere afspraken met leveranciers. Voor back-ups geldt de 3-2-1-regel: drie kopieën op twee plekken, waarvan één offline. „Dat is een oplossing, maar niet bij alles,” nuanceert hij. „Weeg in ieder geval alles bewust af en weet wat je doet als het misgaat. Er moet een plan liggen. Dat gaat van een fysiek telefoonlijstje tot een echt incident- en herstelplan.” Daarvoor staat een format op de site, naast online workshops en een vrijblijvend adviesgesprek met een cyberadviseur.
Klaar ben je echter nooit. „Cybersecurity is eerder een marathon dan een sprint. Soms is het even zwaar, maar je moet doorgaan.” Hij is even stil en zegt: „We leven echt in een nieuwe werkelijkheid. Je moet als organisatie de hele tijd op je qui-vive zijn en met elkaar een cyberveilige cultuur creëren. Dat gaat verder dan een paar knopjes omzetten.”