Weten we welke systemen en data echt kritiek zijn voor onze bedrijfsvoering, en zijn die specifiek beter beveiligd dan de rest? Weten we hoe lang we zonder onze belangrijkste systemen kunnen draaien voordat het de continuïteit raakt?

Is er ooit een incident geoefend, met de directie erbij — niet alleen op papier, maar als een echte simulatie inclusief communicatie naar klanten en toezichthouders? En weten we wie er intern en extern gebeld wordt in de eerste uren na een melding?

De vraag die het meest wordt overgeslagen: hebben we onze belangrijkste leveranciers ooit gevraagd hoe zíj hun beveiliging hebben geregeld? Een aanval via een leverancier raakt de eigen organisatie net zo hard als een directe aanval.