Bij een grote overstroming kan het zijn dat de stroom uitvalt: elektriciteit en water zijn immers geen goede combinatie. Dat heeft potentieel grote gevolgen voor het functioneren van de universiteit. Medewerkers en studenten weten niet hoe hun dagen er dan zullen uitzien, maar de TU/e blijkt voorbereid op allerlei scenario’s. 

Het is steeds ‘normaler’ geworden om je voor te bereiden op noodsituaties, bijvoorbeeld met een noodpakket. Echte crisissituaties hebben de meesten van ons – gelukkig – nog niet meegemaakt. Dat zou echter kunnen veranderen door extremer weer, oplopende geopolitieke spanningen en de steeds ingrijpender gevolgen van cybercriminaliteit. 

Ook de TU/e moet zich voorbereiden op mogelijke crises zoals een overstroming, stroomuitval, een hack of terroristische aanslag. 

Perfect storm

Cursor schetst in dit artikel een fictief beeld waarin meerdere van deze scenario’s samenkomen. Wanneer chaos ontstaat door een noodgeval, is dat immers het perfecte moment voor criminelen om hun slag te slaan – the perfect storm. 

Is de universiteit daartegen opgewassen? Moet je als medewerker dan naar het werk komen, of juist niet? En waar vind je de laatste informatie als de systemen niet meer werken door stroomuitval? 

Om belanghebbenden te informeren heeft de TU/e tot nu toe in eerdere crises de website, het intranet en de mail gebruikt. Als dat echter niet meer kan of wanneer de crisis regionale impact heeft, dan is Omroep Brabant aangewezen als officiële rampen- en calamiteitenzender. 

Die omroep brengt in geval van nood direct instructies en updates van de overheid en  de hulpdiensten. Om die reden wordt aangeraden thuis een noodradio op zonnestroom of batterijen te hebben. In Zuidoost-Brabant vind je het radiostation van Omroep Brabant op 87.6 FM.

Waarschuwing: De schuingedrukte delen in dit verhaal zijn fictieve scenario’s, bedoeld om mogelijke kwetsbaarheden van een organisatie als de TU/e zichtbaar te maken. Ze zijn bedoeld om de lezer een idee te geven van waar de universiteit over nadenkt bij crisistraining op basis van scenario’s. De vraag hier is niet of zo’n situatie ooit ontstaat, maar hoe de TU/e daarop voorbereid is.

Het resultaat? Chaos. En precies dit soort chaos is waar het centraal crisisteam van de TU/e op traint. De teamleden werken met planvorming en scenario’s om zich voor te bereiden op mogelijke rampen. 

Een volledig overstroomde campus of een grote stroomstoring die de campus platlegt, klinkt misschien als een ver-van-je-bedshow, maar een goede voorbereiding kan wel degelijk de schade beperken. Dat werd duidelijk tijdens de hack op de systemen van de TU/e in januari 2025. 

Door kordaat optreden van een medewerker werd snel het netwerk dichtgezet, zodat ernstiger schade door de hackers werd voorkomen. Sindsdien is de universiteit meer gaan investeren in haar crisisorganisatie. Het centrale crisisplan is aangescherpt en meer medewerkers zijn getraind op het omgaan met mogelijke incidenten. 

Het centrale crisisteam van de TU/e treedt overigens pas in werking als er sprake is van een organisatiebrede crisis. Op dat moment ligt ook alle beslissingsbevoegdheid bij dat team, zodat snel handelen in noodsituaties mogelijk wordt. Onderdeel van het team zijn hoofd beveiliging en Strategic Domain Lead RISC Gijs Spiele en beleidsadviseur integrale veiligheid Rick Krosenbrink. 

Kans

Terug naar die donkere januaridag in de niet al te verre toekomst. Terwijl het wassende water iedereen van de campus jaagt, zit Rowan T. op zijn studentenkamer zijn laatste voorbereidingen door te lezen. Hij droomt al jaren van een carrière als hacker en is ervan overtuigd goed te kunnen verdienen aan de waardevolle data van de universiteit. 

Deze overstroming is de kans waarop hij zat te wachten. De weerwaarschuwing voor zware regen bracht zijn hoofd al op hol, maar van deze combinatie van lokale wolkbreuken boven de campus én daaropvolgende stroomuitval had hij niet durven dromen. Deze chaos is wat hij nodig heeft.

Wanneer de campus overstroomt, is er minder toezicht: pasjes werken niet, deuren staan open voor noodprocedures, beveiliging is verspreid over meerdere incidenten en hulpverleners zij druk bezig met evacuaties. 

Dat betekent vrij spel. Althans, dat is wat T. denkt. De universiteit blijkt zich echter ook bewust van wat een ontregelende ramp kan betekenen voor andere belangrijke organisatieprocessen en van de kans op een domino-effect. 

Ervaring

De TU/e heeft al de nodige ervaring opgedaan met kleine en grote crises. Denk aan de hack in januari 2025, het datalek bij de leverancier van de campuskaart ID-Ware in 2022, de wateroverlast in Gemini in 2025 en de Canvas-hack in mei dit jaar. Gijs Spiele kijkt met trots terug op de afhandeling van dat laatste incident.

“Toen we hoorden dat vloer -1 blank stond, kwam iedereen aangesneld. Ook directeuren stonden mee te dweilen. Het kenmerkt hoe mensen hier vaak meer doet dan strikt in hun rol is opgenomen. De betrokkenheid bij onze universiteit is groot.”

Beleidsadviseur Integrale Veiligheid Rick Krosenbrink was blij te zien dat de gebouwbeheersystemen en de branddetectie van de TU/e zoals bedoeld doordraaiden tijdens de hack en wateroverlast in 2025. 

“Dat hoort zo, maar het is natuurlijk toch altijd spannend als er echt een crisis is.” Krosenbrink kan het weten, met de ervaring die hij bij defensie opdeed tijdens orkanen, overstromingen en oorlogssituaties.

Toegangspassen

Wat betreft het tijdelijk niet functioneren van (digitale) systemen en de bijbehorende risico’s, heeft Spiele maatregelen in de kast liggen. “Als we zien dat de toegangspassen niet meer werken, dan kun je daar als crisisteam direct een beheersmaatregel voor nemen. Dit gebeurde bijvoorbeeld op de Universiteit Utrecht, toen brand uitbrak in een datacenter waar de systemen van de universiteit gehost werden.”

“Gebouwen of locaties tijdelijk sluiten, is dan de uiterste ingreep om direct het risico te stoppen. Daarnaast kun je kijken naar handmatige controles om het primaire proces weer te faciliteren.”

Crisis of niet?

Binnen crisisbeheersing zijn alle scenario’s denkbaar. Juist die dingen waar de gewone medewerker of student niet over wil nadenken, daar moet het crisisteam zich op voorbereiden. 

Wateroverlast zoals recent in Gemini, is in het jargon van de crisisbeheersing geen crisis, maar een incident: iets wat we kunnen opvangen binnen reguliere bedrijfsvoering, weet Krosenbrink. “Een crisis stijgt daarbovenuit. Een situatie wordt een crisis wanneer die organisatie-ontwrichtend is, of kan worden.”

De universiteit doet er alles aan om te voorkomen dat een incident een crisis wordt. Ze roept niet zomaar een crisis uit, gezien de organisatorische gevolgen. 

“Dat heeft echt wel impact op de staande organisatie en je moet mensen vrijmaken uit hun reguliere functies, beslissingen lopen via andere routes, en de bijbehorende maatregelen hebben heel veel invloed op de gemeenschap”, somt Krosenbrink op. “Dat wil je alleen doen als het niet anders kan.” 

Spiele denkt terug aan de coronatijd. “Dat was hier het ultieme voorbeeld van. Het heeft ons tegelijk ook heel veel geleerd over hoe mee te bewegen met onverwachte gebeurtenissen. Weerbaarheid en veerkracht zijn key. ”

Canvas

Een recent voorbeeld van een incident dat een crisis werd, was de Canvashack. “Die werd aanvankelijk opgepakt als cyberincident”, herinnert Spiele zich. “We bleven dagelijks de ontwikkelingen bespreken en daarmee ook kijken of we moesten opschalen. Uiteindelijk zijn we daartoe wel overgegaan. Doorslaggevend waren aanwijzingen dat de situatie consequenties kon hebben voor het primaire proces: het verzorgen van onderwijs.” 

Ook was het niet duidelijk hoe lang het zou gaan duren, een ander kenmerk van een crisis: onzekerheid over impact en duur. “Toen is het centraal crisisteam samengekomen en hebben we dagelijks afgestemd met de zes andere universiteiten die ook van Canvas gebruikmaken.”

Krosenbrink: “Je bent constant bezig met horizonscanning. Wat komt er op je af en wat is de kans dat het invloed heeft op het primaire proces? Doordat we veel ervaren mensen hebben in het team, gaat dat inschatten wel steeds makkelijker.”

Oefening

Elke twee jaar neemt de TU/e deel aan OZON, een sectorbrede cybercrisisoefening. De volgende staat gepland voor het voorjaar van 2027. Maar ook gedurende het jaar wordt er getraind. Er is een oefenkalender en iedereen moet jaarlijks zijn vinkjes halen, weet Krosenbrink. 

“Daarbij is het belangrijk dat iemand goed kan handelen onder tijdsdruk. Want dat is een van de kenmerken van een crisis: tijdsdruk, naast onzekerheid en dreiging.” Allemaal ingrediënten die ook terugkomen in het scenario van de campusoverstroming.

De crisisplannen zelf worden niet met Cursor gedeeld vanwege de veiligheid. Wel geven Spiele en Krosenbrink aan dat deze zowel digitaal als fysiek ruim aanwezig zijn, zodat ook bij stroomuitval altijd een plan voorhanden is. “Het hoofddoel van de crisisaanpak is het primaire proces in de lucht te houden: onderwijs, onderzoek en valorisatie.”