Wat is bedrijfscontinuïteit? Het begrip binnen ISO 22301
Bedrijfscontinuïteit betekent dat je bedrijf blijft leveren wat klanten nodig hebben, ook als er een storing, brand, cyberaanval of leveranciersprobleem is. Het gaat niet om alles herstellen, maar om de processen die er het meest toe doen, binnen een tijd die je vooraf hebt bepaald. In ISO 22301 is dit het uitgangspunt van het hele managementsysteem. Het begrip is het startpunt van elk BCMS, en je werkt het uit in een business impact analyse.
Bedrijfscontinuïteit gaat over doorwerken in een verstoring. Herstel is alleen het laatste deel van het verhaal.
Wat betekent bedrijfscontinuïteit in gewone taal?
Stel je een webwinkel voor die om 14:00 uur uitvalt door een stroomstoring in het datacentrum. Bedrijfscontinuïteit beantwoordt dan drie vragen:
- Welke onderdelen van de webwinkel moeten zo snel mogelijk terug? Denk aan de bestelpagina en de betaling.
- Wat doen we tot de systemen terug zijn? Denk aan bestellingen opnemen per e-mail of telefoon.
- Hoe lang mag de winkel dicht zijn voordat klanten wegblijven of contracten breken?
Het antwoord op die drie vragen is je continuïteitsplan. Het is geen dik boek, maar een set afspraken die iemand kan uitvoeren op een slechte dag.
Bedrijfscontinuïteit in een definitie
Bedrijfscontinuïteit is het vermogen van een organisatie om tijdens een verstoring producten en diensten te blijven leveren, binnen een aanvaardbare tijd en op een vooraf bepaald niveau. Het woord “vooraf” is belangrijk. Je bepaalt het niveau en de tijd vóór de crisis, niet erna.
Let op: dit is een eigen formulering van de definitie uit ISO 22301:2019 , geen letterlijk citaat. De officiële tekst is niet vrij beschikbaar. Begrippen als MTPD en RPO staan in ISO 22300, het woordenboek van de ISO-normen voor veiligheid en weerbaarheid.
Het verschil met disaster recovery
Disaster recovery (DR) is het technisch herstellen van IT-systemen en data. Het is een onderdeel van bedrijfscontinuïteit, niet het geheel.
| Begrip | Richt zich op | Voorbeeld |
|---|---|---|
| Disaster recovery | Herstel van systemen en data | Server terugzetten vanaf back-up |
| Bedrijfscontinuïteit | Doorlopen van de bedrijfsprocessen | Bestellingen blijven aangenomen, ook zonder server |
| Crisismanagement | Leiding en besluitvorming tijdens de crisis | Crisisteam komt bijeen en beslist over communicatie |
Voor IT-bedrijven loopt dit onderscheid vaak door elkaar. Die bespreken we uitgebreid bij ISO 22301 voor IT-bedrijven.
Het verschil met een noodplan
Een noodplan beschrijft wat je doet bij een noodsituatie, zoals ontruimen of het bellen van hulpdiensten. Bedrijfscontinuïteit gaat verder. Het kijkt naar wat er daarna moet gebeuren om het werk gewoon door te laten gaan.
Een noodplan voor ontruiming is dus nodig, maar het is niet genoeg. Als het kantoor twee weken dicht is, heb je ook een plan nodig om klanten te blijven bedienen. Dat plan hoort bij het bedrijfscontinuiteitsplan.
Waarom het begrip zo vaak misgaat
Veel bedrijven denken dat bedrijfscontinuïteit gaat over één groot scenario, zoals een brand of een hack. In de praktijk gaat het vaker om kleine verstoringen die lang duren: een leverancier die niet levert, een medewerker die uitvalt, een systeem dat een dag stilligt.
| Misverstand | Wat er werkelijk aan de hand is |
|---|---|
| ”Wij hebben een back-up, dus we zijn continu” | De back-up bestaat, maar niemand weet hoe snel je hem terugzet |
| ”Continuïteit is voor grote bedrijven” | Een klein bedrijf met één klant die afhankelijk is van je werk heeft het ook nodig |
| ”Het gaat alleen om IT” | Mensen, locaties en leveranciers horen er net zo goed bij |
Een uitgewerkt voorbeeld: een administratiekantoor
Een fictief administratiekantoor met twaalf medewerkers verwerkt salarissen voor klanten. Het bedrijf noemt het salarisproces kritiek, omdat klanten op de vijfentwintigste van de maand hun loon moeten kunnen uitbetalen.
De continuïteitsvraag wordt dan concreet:
- Het salarissysteem valt uit op de twintigste.
- Het kantoor heeft tot de vierentwintigste om het proces te herstellen. Dat is de hersteltijd die het management kiest.
- Er is een alternatief: een offline export van de laatste gegevens, en een afspraak met de leverancier van het salarissysteem over spoedondersteuning.
- Medewerkers weten wie het besluit neemt om het alternatief te activeren.
Zo werkt bedrijfscontinuïteit. Je kiest vooraf wat belangrijk is, bedenkt een alternatief, en oefent dat alternatief.
Bedrijfscontinuïteit bij een grote en een kleine organisatie
Het principe is hetzelfde, maar de uitwerking verschilt sterk per omvang:
| Aspect | Klein bedrijf (10 tot 50 medewerkers) | Groot bedrijf (250 medewerkers of meer) |
|---|---|---|
| Kritieke processen | Vaak 3 tot 5 | Vaak tientallen, per afdeling gegroepeerd |
| Eigenaar | Directeur of eigenaar | Speciale rol of afdeling, met mandaat van de raad van bestuur |
| Plan | Eén korte set documenten | Plannen per locatie en per proces |
| Oefenen | Eén keer per jaar, aan tafel | Meerdere keren per jaar, deels live |
| Leveranciers | Enkele kritieke leveranciers | Uitgebreide keten, met contracten per leverancier |
Bij een klein bedrijf is de grootste winst vaak een duidelijke eigenaar en één goed getest alternatief. Bij een groot bedrijf draait het meer om de koppeling tussen afdelingen en het bijhouden van die koppelingen.
Wat je ermee moet doen
Begin met drie stappen. Ze zijn de basis van elk BCMS:
- Maak een lijst van je belangrijkste producten en diensten.
- Bepaal per dienst hoe lang uitval mag duren, en hoeveel schade dat oplevert.
- Bedenk per dienst een tijdelijk alternatief, en controleer of iemand het kan uitvoeren.
Meer over de volgorde vind je in het stappenplan. Wat auditors hierover willen zien, lees je bij de eisen van de norm.
Veelgestelde vragen over het begrip
Is bedrijfscontinuïteit hetzelfde als ISO 22301? Nee. Bedrijfscontinuïteit is het doel. ISO 22301 is de norm die beschrijft hoe je dat doel organiseert en aantoonbaar maakt.
Heb ik bedrijfscontinuïteit nodig als ik geen klanten met SLA’s heb? Ook dan kan uitval veel geld kosten. Het niveau bepaal je zelf, maar je moet het wel bepalen.
Wat is het verschil met business continuity management? Business continuity management (BCM) is de aanpak om bedrijfscontinuïteit te organiseren. Zie ook wat is een BCMS.
Meer algemene antwoorden vind je bij de veelgestelde vragen over ISO 22301.
Bronnen
- EUR-Lex: Richtlijn (EU) 2022/2555 (NIS2) , waarin bedrijfscontinuïteit als maatregel wordt genoemd
- ISO 22301:2019 bij ISO
- ISO 22301 overzicht