Hybride dreiging: wat het is en hoe organisaties zich voorbereiden

Wat is een hybride dreiging?

Een hybride dreiging is een combinatie van verschillende soorten aanvallen of verstoringen die tegelijk of kort na elkaar worden ingezet. Denk bijvoorbeeld aan een cyberaanval die gepaard gaat met desinformatie en soms ook met fysieke verstoring. De verschillende sporen versterken elkaar. Waar één aanval op zichzelf misschien beheersbaar is, zorgt de combinatie ervoor dat een organisatie op meerdere fronten tegelijk moet reageren.

Het doel van een hybride dreiging is meestal niet alleen schade toebrengen, maar ook verwarring zaaien en de respons van een organisatie of samenleving vertragen. Terwijl teams bezig zijn een technisch probleem op te lossen, kan tegelijkertijd onjuiste informatie verspreid worden die het beeld vertroebelt en het vertrouwen ondermijnt. De term hybride dreiging wordt onder meer gebruikt door de NAVO en de EU, in de context van dreigingen tegen kritieke infrastructuur en democratische instituties. Het gaat daarbij zowel om statelijke als niet-statelijke actoren.

Waarom AI dit risico vergroot

Generatieve AI verandert de drempel om desinformatie en propaganda te maken en te verspreiden. Waar het opzetten van een overtuigende desinformatiecampagne vroeger tijd, taal- en ontwerpvaardigheid vereiste, kan dit nu sneller en op grotere schaal, ook door actoren met beperkte technische kennis. Dat maakt hybride campagnes goedkoper om uit te voeren en toegankelijker voor een bredere groep partijen.

Deze ontwikkeling sluit aan bij dreigingsanalyses van de Nederlandse inlichtingen- en veiligheidsdiensten, de AIVD en de MIVD, en van de NCTV. Zij wijzen erop dat de combinatie van digitale mogelijkheden en de opkomst van generatieve AI het speelveld voor hybride dreigingen verbreedt. Voor organisaties betekent dit dat het niet langer voldoende is om alleen rekening te houden met traditionele cyberdreigingen. De informatiecomponent verdient minstens zoveel aandacht.

Waarom een gecombineerde aanpak nodig is

Een hybride dreiging raakt per definitie meerdere domeinen tegelijk: het digitale domein, het fysieke domein en het informatiedomein. Een aanpak die zich richt op slechts één van die domeinen, schiet daardoor tekort. Een organisatie die alleen haar IT-beveiliging op orde heeft, maar geen zicht heeft op wat er in het informatielandschap gebeurt, mist een belangrijk deel van het dreigingsbeeld.

Crisisorganisaties hebben daarom zowel technische monitoring nodig, bijvoorbeeld van cyberincidenten en van signalen op sociale media, als een heldere crisiscommunicatie die verwarring tegengaat. Deze twee sporen moeten niet los van elkaar georganiseerd worden, maar als onderdeel van dezelfde crisisrespons. Alleen dan ontstaat een compleet beeld van wat er speelt en kan een organisatie gericht en tijdig reageren.

Wat dit betekent voor uw organisatie

Voor de praktijk betekent dit vooral bewustwording. Een incident dat op het eerste gezicht puur technisch lijkt, zoals een storing, kan gepaard gaan met een informatiecomponent: geruchten, speculatie of gerichte desinformatie die om het incident heen ontstaat. Wie deze twee sporen als aparte incidenten behandelt, loopt het risico te laat te reageren op het spoor dat niet direct zichtbaar is.

Het is daarom verstandig om beide sporen vanaf het begin van een crisis gezamenlijk te behandelen, binnen dezelfde crisisstructuur en met dezelfde urgentie. Dat vraagt om afstemming tussen de mensen die de technische kant volgen en de mensen die verantwoordelijk zijn voor communicatie. Organisaties met een publieke taak doen er goed aan dit scenario vooraf door te spreken, zodat er bij een daadwerkelijke hybride dreiging geen tijd verloren gaat aan het uitzoeken wie waarvoor verantwoordelijk is.