Cyberincidenten: De CFO aan de strategische frontlinie

Cyberveiligheid is niet louter een IT-probleem, het is een bedrijfsprobleem: Business Interruption of Business Continuity? In een tijd waarin cyberincidenten exponentieel toenemen en malwareaanvallen, datalekken en ransomware-incidenten dagelijkse headlines zijn, staat de rol van de CFO steeds meer onder de spotlights. Financiële leiders beheersen natuurlijk de bedrijfscijfers, maar zijn nu ook mede-eigenaar van de cyber-risicostrategie van de organisatie. De CFO heeft hierin unieke verantwoordelijkheden die verdergaan dan traditionele financiële controle. In dit artikel zetten wij belangrijke verantwoordelijkheidsgebieden uiteen en geven we praktische kaders voor CFO’s en FD’s om impact te maken vanaf dag één.

02 maart 2026

Risicobeoordeling & de ‘kroonjuwelen’

De CFO is de challenger en de bewaker van continuïteit. De CFO hoeft niet te weten hoe de firewall werkt, maar wel waarom de investering in die firewall de organisatie beschermt tegen een omzetdaling van X%. De eerste verantwoordelijkheid van de CFO is het vertalen van cyberrisico en cyberincidenten naar financiële impact. Het blijft dan ook niet bij de vraag “Zijn onze systemen veilig?”, maar wat gebeurt er o.a. met onze omzet, EBITDA en liquiditeit als onze operatie drie weken stilvalt.

Identificeer de Kroonjuwelen: Werk samen met de CISO om te bepalen welke applicaties (ERP, betalingsverkeer, supply chain) absoluut niet mogen uitvallen. De CFO moet de CISO challengen: zijn onze middelen gericht op de meest kritieke business-assets? Niet elk systeem is even belangrijk. Een haperend CRM is vervelend, maar een gecompromitteerd betalingssysteem (Finance/Inkoop) is fataal.
Kwantificeren van risico’s: Vertaal dreigingen naar EBITDA en liquiditeit. Wat zijn de potentiële directe kosten (stilvallen operatie, herstel, forensisch onderzoek, boetes) en indirecte kosten (verlies van vertrouwen, reputatieschade)?
Scenario-analyse: Ontwikkel worst-case en best-case scenario's, inclusief de kosten van forensisch onderzoek, herstel en boetes.
Risico-kpi’s: Ontwikkel financiële KPI’s die cyberrisico’s vertalen naar managementrapportages, zoals expected loss per incident, cyberverzekering coverage gap en kosten per verstoorde bedrijfsdag.

Klantgegevens: vertrouwen als strategisch kapitaal

Klantdata is geen IT-asset; het is vertrouwenskapitaal. Een datalek raakt contractuele verplichtingen, aansprakelijkheidsrisico’s, strategische klantrelaties en toekomstige omzet. De verantwoordelijkheid voor data is daarmee niet alleen juridisch of technisch, maar een fundamenteel onderdeel van de waardepropositie van de onderneming.

Budgettering en investeringen in cyberweerbaarheid

De CFO brengt de noodzakelijke kosten-batenanalyse in de cyberstrategie.

Strategische allocatie: Welke IT-security investeringen zijn kritisch? Denk aan endpoint-bescherming, SIEM-tools en identity-access-management.

Kosten vs. weerbaarheid: Balanceren tussen risicobeperking en kostenbeheersing, zonder de organisatie kwetsbaar te laten.

CapEx vs. OpEx: Hoe ziet de financieringsstructuur eruit voor cyberinvesteringen?

Data-Governance, compliance & NIS2

Regelgeving zoals de AVG, NIS2 en sector-specifieke eisen leggen financiële en juridische verplichtingen op:

Persoonlijke aansprakelijkheid: Sinds NIS2 kunnen bestuurders (waaronder de CFO) persoonlijk aansprakelijk worden gesteld voor ernstige tekortkomingen in de beveiliging.
Principle of Least Privilege: Zorg vanuit governance dat medewerkers alleen toegang hebben tot de systemen die strikt noodzakelijk zijn voor hun rol. Dit beperkt de schade bij een eventuele inbreuk aanzienlijk.
Periodieke rapportage: Stel cyberrisico’s en statistieken op in de maandelijkse/kwartaalrapportages voor de directie en toezichthouders.

Incident response & financiële coördinatie

Wanneer een cyberincident plaatsvindt, valt de coördinatie vaak onder een cross-functioneel crisis-team. De CFO heeft hierin drie kritieke rollen:

Financiële commandopost

Monitor realtime cash-flow impact en verplichtingen (bijv. boetes, contractuele verplichtingen, verzekeringsclaims).
Coördineer de inschatting van kosten (bijvoorbeeld door misgelopen orders of business interruption)

Stakeholders management

Zorg voor een transparante, tijdige en juridische goedgekeurde communicatie aan klanten, aandeelhouders en toezichthouders.
Werk nauw samen met juridische en PR-teams.

Verzekeringsclaims

Activeer en onderhoud contact met cyber-verzekeraars.
Zorg dat alle vereiste documentatie tijdig en accuraat is verzameld voor claims.

Continuïteitsplanning & lessons learned

Een incident is niet het einde, maar een startpunt voor verbetering.

After-action reviews: Wat ging goed? Wat ging fout? Welke financiële processen moesten sneller of robuuster?
Verbetertrajecten: Stel investeringsroadmaps op gebaseerd op lessons learned en veranker deze in de meerjarige budgetcyclus.
Simulaties en stress-testen: Laat cyber-incident responsplannen regelmatig testen, inclusief financiële scenario’s.

Cultuur, Awareness & Training

Cyberweerbaarheid is niet alleen technologie, het is mensenwerk. De CFO moet alert zijn op nieuwe, geavanceerde vormen van fraude.

AI & Deepfakes. Wees voorbereid op “social engineering” 2.0. Een phishing-mail is één ding, maar is het finance-team voorbereid op een (video)call van een 'nep-CFO' die opdracht geeft tot een spoedbetaling?
Trainingen voor o.a. finance-teams: Van phishing-bewustzijn tot controles op leveranciersfacturen.
CFO als sponsor: Zorg dat cyberveiligheid een board-level thema is en blijft.
Samenwerking met CHRO/CIO/CISO: Gezamenlijke programma’s voor awareness, metrics en compliance tracking.

De CFO als strategische partner

Cybersecurity raakt alle lagen van de organisatie. De futureproof CFO reageert niet alleen, maar anticipeert. Door cyberrisico’s integraal op te nemen in de futureproof finance strategie, versterkt de cfo niet alleen de weerbaarheid van de organisatie, maar bouwt ook aan een fundament van vertrouwen bij alle stakeholders.

Steens & Partners

Steens & Partners helpt CFO’s en Finance Directors bij het bouwen van future-proof organisaties. Niet vanaf de zijlijn, maar met ervaren freelance professionals in het hart van de verandering. Wij selecteren de experts die het daadwerkelijk realiseren. Geen tijdelijke inzet, maar blijvende impact.

Realiseer first class future-proof finance organisaties samen met Steens & Partners

Neem contact met ons op voor kennis- en changeopdrachten. Deskundigheid en kennis voor de cfo, change manager, financieel manager, financieel directeur, financial-, business-, project en groupcontroller, governance-, risk-, compliance-, audit-, IFRS-, AO/IC-, tax-, treasury-, actuarieel, datawarehouse-, informatiemanagement-, ERP- en robotics specialist, planning & control, rapportage- en consolidatie professional, accountant, project- en programmamanager.

interim@steens.nl 010 2897666 of 020 3013590

Contact opnemen