De naden: waar eigenaarschap in je beveiliging vervaagt

Een idee uit 1967

Melvin Conway stelde dat de structuur van organisaties terugkomt in de systemen die zij ontwerpen. Harvard Business Review wees zijn artikel in 1967 af; het verscheen een jaar later (Conway, 1968). Onderzoek laat nu zien dat dit patroon vaak voorkomt, maar niet altijd (Colfer & Baldwin, 2016).

Wat het onderzoek laat zien

Bij de ontwikkeling van een vliegtuigmotor bleek 39% van de technische aansluitpunten niet gedekt door rechtstreekse afstemming tussen de verantwoordelijke ontwerpteams: 220 van de 569 (Sosa et al., 2004). Vooral over de grenzen van systemen heen sloten techniek en communicatie niet op elkaar aan. Twee van de grote tegenvallers in het programma waren terug te voeren op zulke gemiste aansluitingen.

Drie grensvlakken waar eigenaarschap vervaagt

Een naad ontstaat waar onderdelen van elkaar afhankelijk zijn, maar de verantwoordelijkheid voor hun aansluiting niet vanzelfsprekend bij één eigenaar ligt.

1. Binnen de organisatie
2. Bij overdracht
3. Buiten de organisatie

Binnen de organisatie gaat het om afdelingen die van elkaar afhankelijk zijn, zoals kantoorsystemen en de besturing van installaties. Bij overdracht gaat het om het moment waarop een project wordt opgeleverd en beheer het overneemt; kennis en verantwoordelijkheid moeten mee (Whyte & Nussbaum, 2020). Buiten de organisatie ben je afhankelijk van anderen: de aannemer met een sleutel, de leverancier die op afstand inlogt.

01Binnen de organisatie

KantoorsystemenBesturing van installaties

Afdelingen die van elkaar afhankelijk zijn.

02Bij overdracht

ProjectBeheer

Kennis en verantwoordelijkheid moeten mee.

03Buiten de organisatie

Eigen organisatieAannemer, leverancier

De aannemer met een sleutel, de leverancier die op afstand inlogt.

Hoe herken je een naad?

“Ik dacht dat jullie dat deden.” Die zin valt in een overleg, en daarna pakt niemand het op. Beheer schuift pas aan als het project klaar is; dan is de kennis over het ontwerp al vertrokken. Er zijn passen en accounts zonder bekende aanvrager: iemand heeft ze ooit geregeld, niemand beheert ze nu. En bij een incident heeft elke afdeling een stukje van het antwoord, maar het totaalbeeld heeft niemand.

Ook de naden hebben een eigenaar nodig.

Wat werkt in de praktijk

1. Geef de aansluitingen een eigenaar.
2. Haal beheer vroeg aan tafel.
3. Breng je leveranciers in kaart.

Niet alleen systemen hebben een eigenaar nodig, ook de koppelingen ertussen. Betrek beheer bij de start van een project, niet pas bij de oplevering. En weet wie toegang heeft, waartoe, en wie binnen jouw organisatie verantwoordelijk is voor die relatie.

Drie vragen voor het bestuur

Welke risico’s vallen bij ons tussen twee afdelingen in? Wie is eigenaar van de overdracht van project naar beheer? Weten we welke leveranciers toegang hebben tot onze systemen en gebouwen?

Sinds 15 augustus 2026 legt de Cyberbeveiligingswet expliciete verantwoordelijkheden bij het bestuur voor cyberrisicobeheersing. Ook de beveiliging van de toeleveringsketen maakt deel uit van de zorgplicht (NCSC, z.d.).

Daar zie ik mijn werk in: organisaties helpen de naden tussen techniek, organisatie en leveranciers zichtbaar te maken en er eigenaarschap op te beleggen.