Crisiscommunicatie voorbereiden vóór een incident

Crisiscommunicatie voorbereiden betekent vooraf afspreken hoe uw onderneming bij een ernstig incident betrouwbare informatie deelt. Begin bij verantwoordelijkheden, controle van feiten en bereikbare contactroutes. Een verzameling kant-en-klare berichten is pas bruikbaar wanneer duidelijk is wie ze mag aanpassen en vrijgeven.

Denk aan situaties waarin levering, veiligheid of toegang tot informatie wordt verstoord. De voorbereiding moet aansluiten op uw operationele incidentplan. Deze gids behandelt de organisatie van communicatie over meerdere kanalen. Zij vervangt geen noodprocedure, veiligheidsadvies of wettelijke melding en gaat verder dan het schrijven van één sociaal bericht.

Kies enkele realistische scenario’s

Begin met incidenten die voor uw onderneming aannemelijk zijn: een langere leveringsonderbreking, een onveilige productsituatie of uitval van een belangrijk systeem. Beschrijf welk type klantvraag ontstaat en welke deskundigheid nodig is. Maak geen lange catalogus waarin niemand nog prioriteiten kan zien.

Gebruik uw marketingplan alleen als overzicht van gewone kanalen; de operationele gevolgen bepalen het crisisplan. Stel per scenario vast wanneer communicatie nodig wordt en wie dat beoordeelt. De drempel kan bijvoorbeeld een bevestigd veiligheidsrisico of een langdurig onbereikbare klantenservice zijn, niet alleen online aandacht.

Wijs een beslisser en een vervanger aan

Benoem wie het incident coördineert, wie feiten bevestigt en wie berichten vrijgeeft. Leg ook vervangers en bereikbare contactgegevens vast in een passend intern document. Een plan dat alleen werkt wanneer de zaakvoerder aanwezig is, blijft kwetsbaar.

Maak onderscheid tussen vakinhoudelijke beoordeling, juridische vragen en publiekscommunicatie. Eén persoon kan meerdere rollen vervullen, maar moet weten wanneer extra expertise nodig is. Spreek met uw marketingbureau af welke ondersteuning het mag bieden. Een externe schrijver mag niet zelfstandig oorzaak, aansprakelijkheid of hersteltermijn invullen.

Gebruik één overzicht van bevestigde feiten

Leg vast wat bekend is, welke bron dat bevestigt en welke vragen nog openstaan. Werk met tijden en versies. De aanpak voor brontekst controleren is ook hier bruikbaar: scheid feit, aanname en nog te onderzoeken informatie.

Het NIST Cybersecurity Framework beschrijft voor cyberrisicobeheer onder meer respons en communicatie als onderdelen van een bredere aanpak. Het is geen algemene wettelijke norm voor alle incidenten. Het helpt wel om communicatie niet los te behandelen van detectie, besluitvorming, herstel en samenwerking met relevante partijen.

Een fictieve oefening bij leveringsuitval

Een fictieve leverancier oefent een storing waardoor geplande leveringen niet kunnen vertrekken. Om 9.00 uur bevestigt de logistiek verantwoordelijke dat acht orders geraakt zijn. De oorzaak en hersteltijd zijn nog onbekend. Alle gegevens zijn oefenmateriaal.

De eerste klantinformatie benoemt de vertraging, welke bestellingen betrokken zijn, waar klanten een vraag kunnen stellen en wanneer de volgende update volgt. Het bericht belooft geen levering die nog niet kan worden bevestigd. Medewerkers krijgen dezelfde feiten en een route voor dringende vragen.

In de oefening blijkt het gewone e-mailsysteem eveneens onbereikbaar. Het team gebruikt daarom een vooraf gekozen alternatief contactkanaal. De les betreft die afhankelijkheid; er wordt geen werkelijk incident of bewezen responstijd geclaimd.

Schrijf bouwstenen die onzekerheid verdragen

Een eerste bericht moet uitleggen wat de ontvanger nu moet weten of doen. Benoem de vastgestelde situatie, praktische gevolgen, beschikbare hulp en het volgende informatiemoment. Een oorzaak kan ontbreken zolang u dat eerlijk aangeeft en wel bruikbare handelingsinformatie geeft.

Maak afzonderlijke bouwstenen voor klanten, medewerkers en partners. Zij hebben niet altijd dezelfde details nodig. Vermijd defensieve formuleringen die een onbekende oorzaak al bij iemand anders leggen. Laat ook een verontschuldiging niet de plaats innemen van praktische uitleg. Controleer vooral of de beloofde update werkelijk door iemand kan worden verzorgd.

Beoordeel persoonsgegevens en meldplichten apart

Wanneer een incident persoonsgegevens raakt, kan de AVG specifieke verplichtingen bevatten, waaronder artikelen 33 en 34 over melding en mededeling bij een persoonsgegevensinbreuk. Niet elk incident vereist dezelfde melding of publieksmededeling; aard, risico en omstandigheden zijn bepalend.

Laat die beoordeling door een bevoegde verantwoordelijke uitvoeren. Deel geen klantnamen of technische details zonder noodzaak. Een algemeen webbericht vervangt niet automatisch een vereiste gerichte mededeling aan betrokkenen of een melding aan een autoriteit. Andere sectoren kunnen bovendien eigen veiligheids- en meldverplichtingen hebben, die afzonderlijk in het scenario moeten staan.

Zorg dat gewone kanalen niet tegenwerken

Bepaal wie geplande campagnes kan pauzeren en welke publieke informatie tijdelijk moet worden aangepast. Een promotie voor snelle levering kan tijdens een bekende storing verwarring vergroten. Controleer ook automatische antwoorden en partnervermeldingen waar de situatie invloed op heeft.

Gebruik marketingcapaciteit plannen om ruimte voor klantvragen en updates te maken. Leg vast wie vragen verzamelt en welke terugkerende onduidelijkheid een volgende update moet oplossen. Een bericht op één kanaal betekent niet dat alle geraakte klanten voldoende geïnformeerd zijn; kies de route op basis van hun feitelijke behoefte.

Oefen kort en pas het plan aan

Loop met het team één scenario door zonder echte klantberichten te versturen. Vraag wie na de eerste melding beslist, hoe feiten worden gecontroleerd en wat gebeurt als een belangrijke persoon of een systeem onbereikbaar is. Een eenvoudige tafeloefening kan ontbrekende afspraken zichtbaar maken.

Noteer na afloop concrete verbeteringen met eigenaar en datum. Herzie het plan bij een wijziging van medewerkers, systemen of levering. Bewaar een toegankelijk exemplaar buiten de meest kwetsbare omgeving. Het doel is dat mensen onder druk weten welke volgende stap nodig is en geen bevoegdheid of feit hoeven te verzinnen.

Controleer of de interne contactlijst ook buiten kantooruren bruikbaar is wanneer uw scenario dat vereist. Bespreek vooraf welke inzet redelijk en afgesproken is. Een crisisplan mag niet stilzwijgend veronderstellen dat alle medewerkers altijd beschikbaar zijn of hun persoonlijke toestellen voor elke bedrijfstaak inzetten.

Bronnen en grenzen

• NIST Cybersecurity Framework: risicobeheer, respons en communicatie bij cyberincidenten.
• AVG: onder meer artikelen 33 en 34 bij persoonsgegevensinbreuken.

Het algemene communicatiemodel geeft geen juridisch oordeel over een incident. Veiligheid, meldtermijnen, aansprakelijkheid en sectorplichten vragen een eigen beoordeling. Het leveringsscenario is fictief en is geen bewijs van een uitgevoerde crisisproef.