Stappenplan crisiscommunicatie: van eerste melding tot nazorg

Voordat u begint: drie uitgangspunten

Dit stappenplan werkt alleen als drie dingen vaststaan. Eén: u communiceert op basis van feiten, en u benoemt expliciet wat nog aanname is. Twee: u begint bij de mensen die het hardst geraakt worden, niet bij de pers en niet bij de reputatie. Drie: u belooft alleen wat u waarmaakt, inclusief het tijdstip van de volgende update.

De stappen hieronder volgen het BOB-besluitmodel dat Nederlandse crisisteams hanteren: eerst het beeld, dan het oordeel, dan het besluit. Stap 1 tot en met 3 zijn beeldvorming, stap 4 en 5 zijn oordeels- en besluitvorming, stap 6 tot en met 10 zijn uitvoering en afronding.

Het stappenplan

Stap 1 — Melding aannemen en de klok starten

Tijd: de eerste minuten. Wie: degene die de melding krijgt.

Noteer het exacte tijdstip van de melding en wie hem deed. Dat tijdstip is later bepalend voor wettelijke termijnen en voor de verantwoording achteraf. Leg direct vast wat er gemeld is in de woorden van de melder, zonder interpretatie. Alarmeer het crisisteam volgens de afgesproken route, ook als nog onduidelijk is of het écht een crisis is: opschalen kost weinig, te laat opschalen kost veel.

Stap 2 — Feiten scheiden van aannames

Tijd: 10 tot 20 minuten. Wie: informatiecoördinator of communicatieadviseur.

Maak twee kolommen: dit weten wij zeker en dit vermoeden wij. Zet er per regel bij wie de bron is en hoe laat die informatie binnenkwam. Dit klinkt bureaucratisch maar is de belangrijkste stap van het hele proces: vrijwel elke communicatiefout tijdens een crisis is terug te voeren op een aanname die als feit naar buiten ging.

Waar AI helpt: binnenkomende meldingen, e-mails en berichten samenvatten tot een tijdlijn, en tegenstrijdigheden tussen bronnen markeren. Wat een feit is, bepaalt u zelf.

Stap 3 — Omgevingsbeeld opbouwen

Tijd: parallel aan stap 2, doorlopend. Wie: omgevingsanalist of communicatieadviseur.

Kijk wat er buiten gebeurt. Welke vragen stellen mensen, welke geruchten circuleren, welke emoties overheersen, en weten mensen wat ze moeten doen? Orden dat langs de drie doelen van crisiscommunicatie: informatievoorziening, betekenisgeving en schadebeperking. Een omgevingsbeeld is geen knipselkrant maar een analyse: wat leeft er, en wat betekent dat voor onze communicatie?

Waar AI helpt: dit is de duidelijkste winst. Monitoring over veel bronnen tegelijk, clustering van terugkerende vragen, signalering van pieken. Zie AI en het omgevingsbeeld.

Stap 4 — Doelgroepen en boodschap bepalen

Tijd: 10 minuten. Wie: crisisteam, onder leiding van de voorzitter.

Breng de doelgroepen op volgorde van betrokkenheid: eerst de direct getroffenen, dan de direct betrokkenen (familie, medewerkers, buren), dan de betrokken partijen (ketenpartners, toezichthouders), dan het algemene publiek en de pers. Formuleer één kernboodschap die voor al die groepen waar is, en varieer daarna per groep in toon en detailniveau. Zodra verschillende groepen een verschillend verhaal krijgen, ontstaat het probleem dat u het hardst wilt vermijden.

Stap 5 — Strategie en rollen vastleggen

Tijd: 10 minuten. Wie: crisisteam.

Leg vast: wie is woordvoerder, welke kanalen gebruikt u, wat is het updateritme, wie mag namens de organisatie spreken en wie niet, en wie neemt contact op met ketenpartners. Bepaal ook expliciet wat u niet doet. Een besluit om voorlopig geen interviews te geven is een besluit, en moet als zodanig worden vastgelegd zodat het team er niet steeds op terugkomt.

Stap 6 — Eerste bericht naar buiten

Tijd: binnen het uur, liefst eerder. Wie: communicatie, geaccordeerd door de voorzitter.

Het eerste bericht — het holding statement — hoeft niet volledig te zijn, maar moet wel vier dingen bevatten: wat er is gebeurd (voor zover bekend), wat dit voor mensen betekent, wat u nu doet, en wanneer de volgende update komt. Erkenning hoort erbij: "wij begrijpen dat dit onrust geeft" is geen zwakte maar een voorwaarde om geloofwaardig te blijven.

Waar AI helpt: een concept in twee varianten (feitelijk-neutraal en empathisch) binnen minuten, zodat u kiest en aanscherpt in plaats van met een leeg scherm te beginnen.

Stap 7 — Q&A's en woordvoering voorbereiden

Tijd: in het eerste uur, parallel. Wie: communicatie.

Schrijf de vragen op die u het liefst niet krijgt, en beantwoord juist die. Wie is verantwoordelijk? Had dit voorkomen kunnen worden? Zijn er slachtoffers? Wat gaat dit kosten? Zet de antwoorden op taalniveau B1, zodat ze ook bruikbaar zijn voor de website en de telefonisten. Een woordvoerder die deze vragen voor het eerst in de camera hoort, verliest het gesprek.

Stap 8 — Meldingsplichten nalopen

Tijd: in het eerste uur, en daarna bewaken. Wie: juridisch of privacy, met communicatie.

Ga na of er wettelijke meldingen lopen, en binnen welke termijn. De drie die in Nederland het vaakst spelen:

Situatie	Bij wie	Termijn	Grondslag
Datalek, tenzij het onwaarschijnlijk is dat het een risico inhoudt voor betrokkenen	Autoriteit Persoonsgegevens	Zonder onredelijke vertraging, uiterlijk 72 uur na kennisname	Artikel 33 AVG
Datalek met een hoog risico voor betrokkenen	De betrokkenen zelf	Onverwijld	Artikel 34 AVG
Significant incident bij een organisatie die onder de Cyberbeveiligingswet valt	Centraal meldpunt MijnNCSC; de melding gaat door naar het sectorale CSIRT én de toezichthouder	Vroegtijdige waarschuwing binnen 24 uur, volledige melding binnen 72 uur, eindverslag binnen 1 maand	Cyberbeveiligingswet (NIS2), in werking sinds 15 augustus 2026
Calamiteit in de zorg	Inspectie Gezondheidszorg en Jeugd	Onverwijld, en in elk geval binnen 3 werkdagen na vaststelling	Wkkgz

Twee dingen om scherp te houden. Eén: de klok begint te lopen op het moment dat uw organisatie kennis krijgt van het incident, niet op het moment dat u de oorzaak kent en ook niet op het moment dat u eraan denkt. Twee: ook als u besluit niet te melden, legt u die afweging vast. Bij een datalek is dat een expliciete eis: u moet kunnen laten zien waarom u vond dat een melding niet nodig was.

Drempelwaarden en reikwijdte verschillen per sector. Onder de Cyberbeveiligingswet zijn die drempels vastgelegd in ministeriële regelingen per sector. Laat de toepassing op uw organisatie altijd toetsen door een jurist of functionaris gegevensbescherming; deze tabel is een geheugensteun, geen juridisch advies.

Waar AI helpt: signaleren welke termijnen mogelijk lopen en een conceptmelding opstellen op basis van de vastgelegde feiten. Zie Meldingsplichten en AI.

Stap 9 — Ritme vasthouden en bijsturen

Tijd: uren tot dagen. Wie: communicatie, met het crisisteam.

Houd u aan het beloofde updateritme, ook als er niets nieuws is. Blijf het omgevingsbeeld bijwerken: verschuift de vraagstelling, ontstaan er nieuwe geruchten, komt er desinformatie op gang? Pas de kernboodschap aan als de feiten veranderen, en zeg er dan bij dat het beeld is gewijzigd. Stilletjes een eerdere tekst aanpassen is de snelste manier om vertrouwen te verliezen.

Stap 10 — Afschalen, nazorg en evalueren

Tijd: dagen tot weken. Wie: crisisteam.

Communiceer ook het einde: wat is er hersteld, wat blijft nog even anders, waar kunnen mensen terecht met schade of vragen. Blijf bereikbaar voor getroffenen nadat de aandacht is weggeëbd; dat is het moment waarop vertrouwen daadwerkelijk wordt opgebouwd of verspeeld. Evalueer daarna met het hele team: wat ging goed, wat niet, en welke aanpassing in het draaiboek voorkomt dat dezelfde fout terugkomt.

Checklist voor het eerste uur

Print deze lijst en hang hem op. Tijdens een crisis leest niemand een handboek.

• Tijdstip van de melding genoteerd, en wie hem deed.
• Crisisteam gealarmeerd, voorzitter aangewezen.
• Feiten en aannames in twee kolommen, met bron en tijdstip.
• Eerste omgevingsbeeld: welke vragen leven er nu?
• Doelgroepen op volgorde, meest getroffenen eerst.
• Eén kernboodschap die voor alle groepen waar is.
• Woordvoerder aangewezen, spreekverbod voor de rest afgesproken.
• Eerste bericht online, met tijdstip van de volgende update.
• Medewerkers geïnformeerd, vóór of tegelijk met extern.
• Q&A's voor de vijf moeilijkste vragen klaar.
• Meldingsplichten nagelopen, termijnen genoteerd.
• Logboek gestart: wat is wanneer besloten, door wie.

Wat dit stappenplan niet oplost

Een stappenplan geeft structuur, geen oordeelsvermogen. De moeilijkste momenten in een crisis zijn niet de momenten waarop onduidelijk is wat de volgende stap is, maar de momenten waarop duidelijk is dat elke optie nadelen heeft. Moet u communiceren dat er mogelijk persoonsgegevens zijn buitgemaakt, terwijl u het niet zeker weet en daarmee onnodige onrust kunt veroorzaken? Vertelt u dat een fout van een eigen medewerker de oorzaak was?

Daar helpt geen checklist en geen AI-systeem. Wat wel helpt: die dilemma's een keer doorleven in een oefening, zodat u ze herkent wanneer ze zich echt voordoen. Dat is de reden dat organisaties die regelmatig oefenen, merkbaar rustiger door een echte crisis komen dan organisaties met een dikker plan.

Bronnen

• Nederlands Instituut Publieke Veiligheid (NIPV), Crisiscommunicatie binnen de crisisbeheersing — de drie doelen van crisiscommunicatie. Geraadpleegd 22 september 2026.
• Nationaal Cyber Security Centrum, Meldplicht onder de Cyberbeveiligingswet — vroegtijdige waarschuwing binnen 24 uur, volledige melding binnen 72 uur, eindverslag binnen 1 maand; melding via MijnNCSC. Wet in werking sinds 15 augustus 2026. Geraadpleegd 22 september 2026.
• Artikel 33 en 34 van de Algemene verordening gegevensbescherming — meldplicht datalekken aan de toezichthouder en aan betrokkenen.
• Inspectie Gezondheidszorg en Jeugd, Melding doen van een calamiteit (Wkkgz) — onverwijld, in elk geval binnen drie werkdagen. Geraadpleegd 22 september 2026.