Een incident response retainer koop je om bij een incident snel forensische capaciteit van buiten te hebben. Een interim DFIR-specialist huur je in om je eigen organisatie vóór dat incident op orde te krijgen. Heb je nog geen getest incidentplan, begin dan met die specialist.
Dat is mijn advies aan CISO's en security managers die nu met de Cyberbeveiligingswet bezig zijn. Staat je basis al, dan ligt de volgorde anders.
Wat is het verschil tussen een incident response retainer en een interim DFIR-specialist?
Een retainer is een contract met een incident response partij. Je betaalt vooraf voor beschikbaarheid. Gaat het mis, dan bel je een nummer en schuift er een team aan dat logs veiligstelt, systemen onderzoekt en uitzoekt hoe de aanvaller binnenkwam. Dat team kent jouw omgeving niet. Het werkt met wat jij op dat moment kunt aanleveren.
Een interim DFIR-specialist zit bij jou. Hij werkt een paar maanden mee, kent na een week de belangrijkste systemen en mensen, en bouwt aan wat er moet liggen als het misgaat: een incidentresponseplan, playbooks voor ransomware en accountmisbruik, logging die lang genoeg bewaard wordt, en een meldprocedure die iedereen kent. Bij een incident is hij degene die het overzicht houdt en de externe partij aanstuurt.
Wat vraagt de Cyberbeveiligingswet in de eerste dagen van een incident?
De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Organisaties die eronder vallen, nemen passende maatregelen tegen risico's voor hun netwerk- en informatiesystemen en melden significante incidenten binnen de wettelijke termijnen bij hun CSIRT en hun toezichthouder. Het bestuur keurt die maatregelen goed, houdt toezicht op de uitvoering en moet zelf voldoende kennis hebben om de risico's te beoordelen.
De termijnen zijn kort. In de infosheet over de meldplicht van het NCSC staat een vroegtijdige waarschuwing zo snel mogelijk en in ieder geval binnen 24 uur, een melding binnen 72 uur en een eindrapport uiterlijk binnen een maand. Valt je organisatie ook onder DORA of de Netcode, dan moet die eerste waarschuwing er al binnen vier uur liggen. Je meldt via mijn.ncsc.nl, dat de melding doorstuurt naar zowel het CSIRT als de toezichthouder.
Reken niet op het NCSC om je incident op te lossen. In de infosheet over ondersteuning bij incidenten staat dat het NCSC zich richt op de identificatie van een incident. Mitigerende maatregelen neemt de organisatie zelf, eventueel samen met een incident response partij.
Binnen 24 uur moet je dus weten wat er speelt, wie meldt en wat je meldt. Dat lukt alleen als iemand dat van tevoren heeft uitgezocht.
Wanneer past een incident response retainer?
Een retainer is sterk als je eigen basis al staat. Je hebt een incidentplan dat het afgelopen jaar geoefend is, je SOC of MSSP weet wanneer het moet opschalen, en je logging is zo ingericht dat een extern team er direct mee aan de slag kan. Dan koop je met een retainer precies wat je mist: forensische diepgang en mankracht voor de dagen dat alles tegelijk moet.
Let bij het contract op een paar dingen. Wat is de reactietijd, en geldt die ook 's nachts en in het weekend? Kan het team op locatie komen, of werkt het alleen op afstand? Wat gebeurt er met ongebruikte uren aan het eind van het jaar? En heeft de partij ervaring met de systemen die bij jou het zwaarst wegen, zoals OT of een groot Microsoft-landschap?
Leg ook vast wie bij jou de partij mag inschakelen. Moet dat via inkoop of de directie, dan ben je op een zaterdagnacht uren kwijt voordat er iemand aan de slag gaat.
Wanneer huur je een interim DFIR-specialist in?
Een interim DFIR-specialist past als je nog niet kunt aantonen dat je een incident in de eerste 24 uur onder controle krijgt.
Reken in drie tot zes maanden op een incidentresponseplan dat past bij jouw organisatie, met rollen, escalatie en de meldprocedure richting CSIRT en toezichthouder. Daarbij horen playbooks voor de scenario's die het meest waarschijnlijk zijn en een check op logging en bewaartermijnen, zodat er bij een incident ook iets te onderzoeken valt. Laat hem ook een tabletop-oefening met het bestuur draaien; dat helpt meteen bij de kennisplicht van bestuurders. Als laatste schrijft hij de uitvraag voor een retainer, met daarin wat jij nodig hebt.
Vraag in het gesprek naar het laatste incident waar de kandidaat zelf bij zat. Wat deed hij in het eerste uur, wie belde hij, en wat zou hij nu anders doen? Iemand met echte DFIR-ervaring vertelt dat zonder te zoeken. Meer over het profiel lees je op onze pagina over digital forensics en incident response.
Een DFIR-specialist is wat anders dan een SOC-analist. De SOC-analist ziet de alert en schaalt op. De DFIR-specialist onderzoekt wat er daarna gebeurd is en zorgt dat bewijs bruikbaar blijft. Zoek je vooral iemand voor monitoring, kijk dan naar SOC-operations.
Mijn advies: eerst de voorbereiding, dan de retainer
Ik vind een retainer zonder voorbereiding in huis een duur telefoonnummer. Het externe team komt binnen, vraagt om netwerktekeningen, toegang en logs, en moet dan wachten tot iemand die heeft gevonden. Die uren gaan af van de 24 uur die je hebt voor je eerste melding.
Heb je nog geen getest plan, huur dan eerst een interim DFIR-specialist in. Laat hem het plan en de playbooks schrijven, de logging nalopen en de uitvraag voor de retainer opstellen. Sluit de retainer daarna, met een partij die past bij wat er dan ligt.
Staat je basis al, dan draai je het om. Dan is de retainer de logische eerste stap en haal je een interim specialist alleen in voor een oefening of een review van je plan.
Laat een van je eigen mensen meelopen met de interim specialist. Na zijn vertrek moet iemand het plan bijhouden en de oefeningen organiseren. Hoe je bredere NIS2-capaciteit opbouwt, lees je in NIS2-compliance aantonen: welk talent heb je nodig?
Wat moet je nu doen?
- Check of je binnen 24 uur een vroegtijdige waarschuwing kunt doen, of binnen vier uur als je ook onder DORA of de Netcode valt. Wie doet dat bij jou, en heeft die persoon toegang tot mijn.ncsc.nl?
- Pak je retainercontract erbij, als je er een hebt. Weet je wie de partij mag inschakelen en hoe snel die er is?
- Plan een tabletop-oefening met het bestuur voor het einde van het jaar.
Zoek je een interim DFIR-specialist die je incidentresponse op orde brengt? Via MVPeople leveren we freelance en interim securityspecialisten. Liever eerst sparren over wat je nodig hebt? Bel of mail me.
