Is ISO 22301 verplicht?
ISO 22301 is een vrijwillige norm. Het certificaat staat niet in de Cyberbeveiligingswet (Cbw) en ook niet in de Europese NIS2-richtlijn. Die regels eisen wel dat bepaalde organisaties hun bedrijfscontinuïteit op orde hebben. Klanten en aanbestedende diensten vragen bovendien vaak om een aantoonbaar BCMS (business continuity managementsysteem). Of je ISO 22301 nodig hebt, hangt dus af van je sector, je omvang en je contracten. De Cbw is sinds 15 augustus 2026 in werking, zie het bericht van de Rijksoverheid en de NIS2-richtlijn op EUR-Lex . Zie ook voor wie ISO 22301 relevant is.
Verplicht zijn de maatregelen, niet het certificaat. Een wet kan eisen dat je bedrijfscontinuïteit regelt, zonder dat je een ISO-certificaat moet halen om dat aan te tonen.
Het korte antwoord per situatie
| Situatie | Wettelijk verplicht? | Wat je wel nodig hebt |
|---|---|---|
| Gewoon bedrijf in het mkb (midden- en kleinbedrijf), geen kritieke sector | Nee | Vrijwillig. Begin eventueel met een BIA |
| Organisatie die onder NIS2/Cbw valt | Ja, bedrijfscontinuïteit is een maatregel | Aantoonbare maatregelen, zoals back-up, herstel en crisisbeheer |
| Leverancier van een klant die ISO 22301 eist | Nee, maar contractueel | Certificaat of gelijkwaardig bewijs |
| Aanbesteding waarin ISO 22301 als eis staat | Nee, maar bepalend voor gunning | Certificaat of aantoonbaar BCMS |
| Organisatie met toezicht van een sectorregulator | Soms, via sectorregels | Eisen van de toezichthouder, eventueel met ISO 22301 als vertaling |
Het verschil tussen de eerste en de tweede rij is groot. Veel bedrijven denken dat ze ISO 22301 moeten halen omdat NIS2 wordt genoemd. NIS2 noemt bedrijfscontinuïteit als onderwerp, maar schrijft geen ISO-certificaat voor. Sectorregels van een toezichthouder kunnen dat anders regelen, dus controleer die voor je eigen sector.
Wat zegt NIS2 over bedrijfscontinuïteit?
NIS2 is de Europese richtlijn over cyberveiligheid (EUR-Lex, Richtlijn (EU) 2022/2555 ). Artikel 21 verplicht organisaties tot passende maatregelen voor risicobeheer. Daar horen volgens lid 2, onder c, bedrijfscontinuïteit, back-upbeheer, herstel na een ramp en crisisbeheer bij. Die onderwerpen zijn de kern van een BCMS. Lees de precieze formulering van dat onderdeel na op EUR-Lex.
De richtlijn zelf is geen Nederlandse wet. Nederland heeft haar omgezet in de Cyberbeveiligingswet. Die wet geldt sinds 15 augustus 2026, samen met de Wet weerbaarheid kritieke entiteiten (Wwke). Volgens de Rijksoverheid bevat de Cbw een zorgplicht (passende en evenredige maatregelen), een meldplicht voor significante incidenten en een registratieplicht bij het NCSC (Nationaal Cyber Security Centrum). Of jouw organisatie onder de wet valt, bepaal je zelf aan de hand van sector en omvang.
Wat dat voor jou betekent, lees je uitgewerkt op ISO 22301 en NIS2.
Waarom de vraag vaak verkeerd wordt gesteld
Mensen zoeken op “ISO 22301 verplicht” met verschillende bedoelingen. De vraag heeft drie lagen:
- Wettelijk: moet ik dit door de wet? Antwoord: alleen als je sector en omvang onder NIS2/Cbw vallen.
- Contractueel: wil een klant dit zien? Antwoord: dat bepaalt je omzet, niet de wet.
- Intern: wil ik bewijs dat ik weerbaar ben? Antwoord: dan is ISO 22301 een bruikbaar kader, maar niet het enige.
Let op: je kunt aan de wettelijke maatregelen voldoen zonder certificaat. Een auditor van een klant kan wel vragen om bewijs, zoals een BIA, een getest bedrijfscontinuïteitsplan en oefenverslagen.
Hoe je erachter komt wat voor jou geldt
Volg deze volgorde. Elke stap kost weinig tijd en voorkomt dat je onnodig een traject start.
- Controleer of je sector onder NIS2 valt. Dat hangt af van je activiteit en omvang, niet van je gevoel.
- Vraag je grootste klanten en aanbestedende diensten of zij ISO 22301 eisen, en zo ja, in welke vorm.
- Lees je contracten op SLA’s, boetes en verplichtingen rond uitval.
- Bepaal op basis van die antwoorden of het certificaat nodig is, of dat een eigen BCMS volstaat.
Veelgemaakte fouten
| Fout | Waarom het misgaat | Beter |
|---|---|---|
| ”NIS2 vraagt om ISO 22301” | NIS2 eist maatregelen, geen specifieke norm | Vraag welke maatregelen je moet tonen |
| Certificaat halen voor de wet is ingegaan | Je betaalt voor een certificaat dat je niet nodig hebt | Eerst de wettelijke eisen in kaart brengen |
| Alleen een handboek schrijven | Auditors en toezichthouders vragen naar werking | Test je plannen, zie oefenen en testen |
| Wachten tot een klant het vraagt | Aanbestedingen hebben vaak lange doorlooptijden | Start met een BIA |
Voorbeeld: een softwarebedrijf met een grote klant
Stel: een softwarebedrijf met 60 medewerkers levert een klantportaal aan een verzekeraar. In het contract staat dat de leverancier “aantoonbaar bedrijfscontinuïteit regelt”. De wet verplicht het bedrijf niet tot ISO 22301. De klant wil wel zien hoe het bedrijf reageert als het portaal uitvalt.
Het bedrijf levert daarom drie dingen aan:
- een BIA waarin het portaal, de supportdesk en de facturatie staan, met hersteltijden;
- een beschrijving van het bedrijfscontinuiteitsplan met verantwoordelijken;
- een verslag van een tabletop-oefening van het afgelopen half jaar.
Met die drie documenten voldoet het bedrijf aan de vraag, zonder certificaat. Pas als de klant het certificaat expliciet eist, wordt een traject naar certificering de logische volgende stap.
Welke bewijsstukken auditors en klanten vaak vragen
Of je nu wel of niet certificeert, dezelfde bewijsstukken komen steeds terug:
| Bewijsstuk | Wat het aantoont | Veelgemaakte fout |
|---|---|---|
| Business impact analyse | Welke processen eerst moeten terugkomen | Alles staat op “hoog” |
| Continuïteitsplannen | Wat je doet bij uitval | Plan is niet bekend bij medewerkers |
| Oefenverslag | Dat het plan werkt | Oefening zonder conclusies |
| Leveranciersafspraken | Dat je keten meedenkt | Geen contact met kritieke leveranciers |
| Bestuurlijke goedkeuring | Dat het management eigenaar is | Plan is nooit formeel vastgesteld |
Uitgebreider over oefeningen lees je bij oefenen en testen.
Wanneer ISO 22301 wel de juiste keuze is
- Je hebt klanten die uitval niet accepteren en certificering als selectiecriterium gebruiken.
- Je verkoopt aan overheid of zorg, waar continuïteit vaak in het bestek staat.
- Je wilt NIS2-maatregelen organiseren in een systeem dat je ook kunt laten auditen.
- Je bent al ISO 27001 gecertificeerd en wilt continuïteit net zo aantoonbaar maken.
Voor de kosten en het traject verwijzen we naar kosten en tijdlijn en het stappenplan.
Samenvatting
ISO 22301 is in de regel vrijwillig. Het wordt verplicht via contracten en aanbestedingen, of indirect via NIS2 als jouw organisatie daaronder valt. In dat laatste geval is de verplichting dat je bedrijfscontinuïteit aantoonbaar regelt. Het certificaat is daar één mogelijke vorm van.
Veelgestelde vragen
Zie ook de veelgestelde vragen over ISO 22301 voor de bredere antwoorden. Over de auditvorm lees je meer bij het auditproces.