Na de deal verschuift het risico. Vóór closing ging het om waardering, voorwaarden en besluitvorming. Na closing gaat het om uitvoering. De bevindingen uit technical due diligence moeten worden omgezet in een security roadmap die bestuurbaar, gefaseerd en aantoonbaar is. Zonder die vertaling blijven risico’s op papier staan en ontstaat precies wat u in een integratie wilt voorkomen: vertraging, dubbele kosten, onduidelijk eigenaarschap en kwetsbare afhankelijkheden.
Waarom post-deal integratie vaak op security vastloopt
Een security roadmap na de deal is geen generiek verbeterprogramma. Het is een prioriteitenplan dat aansluit op de dealrationale. Als de waardecreatie afhankelijk is van schaalbaarheid, moet de roadmap duidelijk maken welke platform-, data- en leveranciersrisico’s groei beperken. Als integratie van systemen essentieel is, moet IAM, MFA, logging, dataretentie, netwerksegmentatie en contractuele overdraagbaarheid vroeg op tafel liggen. Als carve-out of stand-alone operatie nodig is, moet continuïteit aantoonbaar geregeld zijn.
De eerste weken na closing zijn gevoelig. Nieuwe rapportagelijnen worden ingericht, systemen worden gekoppeld, leveranciers worden heronderhandeld en medewerkers krijgen andere rechten. Tegelijk is de kennis van de target vaak geconcentreerd bij enkele personen. In die fase kan een kleine configuratiefout of onduidelijke bevoegdheid grote impact hebben.
Veel post-deal risico’s ontstaan niet door ontbrekende technologie, maar door onvoldoende governance. Wie is eigenaar van identity access management? Wie keurt uitzonderingen goed? Wie bewaakt de voortgang op kritieke securitybevindingen? Wie bepaalt of een risico tijdelijk wordt geaccepteerd? Wie ziet toe op leveranciers die toegang houden tot systemen? Zonder duidelijke rollen wordt IT beveiliging een operationeel onderwerp terwijl het feitelijk een integratierisico is.
Van dealbevindingen naar post-deal roadmap
Een goede post-deal roadmap begint met het verschil tussen de feitelijke situatie van de target en de gewenste situatie binnen de nieuwe organisatie. Due-diligencebevindingen worden daarom herijkt op basis van de integratieplanning, risicobereidheid en afhankelijkheden die na closing zichtbaar worden.
De roadmap vertaalt dit verschil naar concrete acties: wat moet direct, wat hoort in de eerste 100 dagen en wat kan worden overgedragen aan structurele CISO- of informatiebeveiligingsregie.
Maak de roadmap concreet
NIST SP 800-37 benadrukt dat security- en privacyplannen controls moeten beschrijven in de context van het systeem, inclusief de manier waarop zij worden geïmplementeerd en later beoordeeld. Documentatie zorgt voor traceerbaarheid van beslissingen vóór en na deployment. Voor post-deal integratie is dat essentieel: u wilt kunnen aantonen waarom maatregelen gekozen zijn, wie ze uitvoert en hoe effectiviteit wordt beoordeeld.
De roadmap moet daarom concreet zijn. IAM wordt niet “verbeterd”, maar beheeraccounts worden geïnventariseerd, privileged access wordt beperkt, joiner-mover-leaver processen worden aangesloten en MFA wordt verplicht op kritieke beheer- en cloudomgevingen. Logging wordt niet “opgezet”, maar kritieke bronnen worden aangesloten, bewaartermijnen worden vastgesteld, use cases worden ingericht en opvolging wordt belegd. Back-ups worden niet “gecontroleerd”, maar restore-tests worden gepland, RTO en RPO worden vastgesteld en ransomwarebestendigheid wordt beoordeeld.
Regelgeving als post-deal randvoorwaarde
Als de target onder de Cyberbeveiligingswet (NIS2) valt of keteneisen krijgt opgelegd, worden aantoonbaarheid, governance en leveranciersrisico onderdeel van de post-deal prioriteiten. Pravus brengt de dealimpact en noodzakelijke eerste acties in kaart, maar voert geen breed NIS2-implementatietraject uit.
Structurele implementatie en borging kan na de tijdelijke post-deal fase worden overgedragen aan een passende specialist.
KPI’s maken integratie toetsbaar
Na closing heeft het bestuur geen behoefte aan technisch detail zonder besluitwaarde. Het heeft behoefte aan KPI’s die risico, impact en voortgang tonen. NCSC benoemt KPI-dashboards als manier om bestuurders duidelijke en actuele informatie te geven, bijvoorbeeld over patching, mitigatie van hoog-risicokwetsbaarheden en de tijd tussen detectie en remediatie.
Goede KPI’s zijn gekoppeld aan risico. Percentage MFA-dekking is relevant wanneer het kritieke accounts betreft. Patchdoorlooptijd is relevant wanneer kwetsbaarheden op internet-facing systemen staan. Back-upsucces is pas relevant als herstel is getest. Incidentresponstijd is pas zinvol als detectie werkt. Leveranciersreviews zijn pas bruikbaar als kritieke leveranciers, datatoegang en contractuele verplichtingen compleet in beeld zijn.
Een uitvoerbare security roadmap bevat daarom geen lange lijst met volwassenheidsambities, maar een beperkte set bestuurbare prioriteiten. Eerst de maatregelen die closing-risico’s doorzetten naar operationele risico’s. Daarna de maatregelen die integratie mogelijk maken. Vervolgens de maatregelen die compliance, schaalbaarheid en continue verbetering borgen. Zo blijft de roadmap gericht op waarde, niet op volledigheid.
Conclusie
Na de deal moet het eigenaarschap verschuiven van analyse naar executie. De bevindingen uit IT due diligence zijn pas waardevol wanneer zij leiden tot aantoonbare verbetering. Dat vraagt om governance, planning, budget, KPI’s en besluitvorming onder tijdsdruk.
Een security roadmap maakt digitale risico’s bestuurbaar na closing. U ziet welke risico’s de integratie kunnen remmen, welke maatregelen direct nodig zijn, welke afhankelijkheden contractueel moeten worden beheerst en welke verbeteringen bijdragen aan waardering op langere termijn. Daarmee wordt cybersecurity geen losstaand IT-project, maar onderdeel van post-deal optimalisatie.
