Een business continuity plan (BCP) beschrijft hoe je je belangrijkste processen draaiende houdt of snel herstelt als het echt misgaat. Onder de Cyberbeveiligingswet hoort het bij de zorgplicht.
Of een plan je op de dag zelf helpt, hangt van twee dingen af. Wie heeft bepaald wat kritiek is? En heeft iemand het ooit geoefend?
Wat is een business continuity plan?
Een BCP gaat over de hele bedrijfsvoering. IT is daar één onderdeel van. Het plan beschrijft welke processen kritiek zijn, hoe lang ze maximaal mogen stilliggen, wat je doet om ze overeind te houden en wie besluit als het misgaat. Disaster recovery valt eronder: het technische herstel van systemen en data.
De internationale norm voor een managementsysteem rond bedrijfscontinuïteit is ISO 22301. De huidige versie is van 2019, kreeg in 2024 een wijziging over klimaatverandering, en ISO heeft aangekondigd dat de norm wordt herzien. Certificeren hoeft niet. De opbouw van de norm is wel een handig raamwerk om je plan langs te leggen.
Is een BCP verplicht onder de Cyberbeveiligingswet en DORA?
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van NIS2. Organisaties die eronder vallen, moeten passende en evenredige maatregelen nemen om de risico's voor hun netwerk- en informatiesystemen te beheersen. Het bestuur keurt die maatregelen goed en ziet toe op de uitvoering.
Het NCSC zet in zijn infosheet over de zorgplicht tien maatregelen op een rij. Nummer drie is kort en duidelijk: maak een bedrijfscontinuïteitsplan. De uitleg is nuchter. Voor de meeste bedrijven is langdurige uitval van primaire processen onacceptabel, en een BCP helpt je overeind te blijven bij bijvoorbeeld stroomuitval of een cyberincident.
In de financiële sector ligt het strakker vast. Onder DORA moet het leidinggevend orgaan het ICT-bedrijfscontinuïteitsbeleid goedkeuren, bewaken en periodiek herzien (artikel 5). De AFM vat in een toezichtsupdate over ICT-risicobeheer samen wat de technische standaarden daaraan toevoegen: een respons- en herstelplan met duidelijke voorwaarden om het te activeren, testen met realistische scenario's, waar mogelijk inclusief diensten van derden, en de uitkomsten en tekortkomingen terug naar het leidinggevend orgaan.
Business continuity plan opstellen in zes stappen
1. Leg eigenaarschap en scope vast
Begin bij het bestuur. Dat keurt onder de Cbw de maatregelen goed, dus het moet ook weten welke processen in het plan zitten en welke niet. Wijs één eigenaar aan voor het geheel, vaak een business continuity manager of de CISO. Geef daarnaast elk kritiek proces een eigenaar uit de lijn.
2. Doe een business impact analysis
De business impact analysis (BIA) is het hart van het plan. Per proces bepaal je wat uitval kost, na hoeveel uur het echt pijn doet en hoeveel dataverlies je kunt hebben. Die antwoorden worden een recovery time objective (RTO, de maximale hersteltijd) en een recovery point objective (RPO, het maximale dataverlies).
Mijn advies: laat de business die getallen bepalen, niet IT. Vraag je IT wat haalbaar is, dan krijg je een RTO die past bij de huidige infrastructuur. Je wilt juist weten wat de organisatie nodig heeft. Het gat tussen die twee is precies wat de BIA moet laten zien.
3. Breng afhankelijkheden en scenario's in kaart
Zet per kritiek proces op papier welke systemen, mensen, locaties en leveranciers het nodig heeft. Werk daarna een paar scenario's uit die bij jouw organisatie passen: ransomware die ook de back-ups raakt, een cloudleverancier die een dag plat ligt, stroomuitval op je hoofdlocatie. Die laatste twee laten zien hoe afhankelijk je bent van partijen buiten de deur. Ketenbeveiliging staat niet voor niets ook in de zorgplicht.
4. Kies je continuïteits- en herstelmaatregelen
Nu pas komen de oplossingen. Denk aan back-ups die los staan van je productieomgeving en waarvan je het herstel test, een uitwijklocatie of tweede cloudregio, handmatige noodprocedures voor processen die een paar dagen zonder systeem moeten kunnen, en afspraken in contracten met kritieke leveranciers over hun eigen herstel. Noteer per maatregel welke RTO en RPO hij afdekt.
5. Richt de crisisorganisatie en communicatie in
Bij een grote verstoring wil je niet pas gaan bedenken wie er beslist. Leg vast wie in het crisisteam zit, wie het plan activeert, hoe je elkaar bereikt als e-mail en Teams uit liggen, en wie praat met klanten, medewerkers, pers en toezichthouder. Koppel dat aan je incident-responseproces, want bij een cyberaanval lopen herstel en onderzoek door elkaar. Hoe je die forensische kant regelt, lees je in incident response retainer of interim DFIR-specialist.
6. Test, oefen en houd het actueel
Of een plan werkt, weet je pas als je het hebt geoefend. Begin met een tabletop-oefening met het crisisteam. Test daarna het herstel van een kritiek systeem uit back-up en bouw op naar een oefening waarin ook een leverancier meedoet. Schrijf op wat er misging en wie het oplost.
Het NCSC noemt het beoordelen of je maatregelen werken als aparte zorgplichtmaatregel, en onder DORA gaan de bevindingen terug naar het leidinggevend orgaan. Pak het plan daarnaast op bij elke grote wijziging, zoals een nieuwe leverancier of een migratie.
Wie heb je nodig voor een BCP?
Voor een eerste plan of een grote herziening heb je meestal drie rollen nodig.
- Business continuity manager. Trekt het traject, begeleidt de BIA, schrijft het plan en organiseert de oefeningen. Ervaring met ISO 22301 helpt, ook als je niet wilt certificeren.
- Disaster recovery specialist. Vertaalt RTO en RPO naar techniek: back-uparchitectuur, uitwijk en hersteltests.
- IT risk manager. Koppelt het plan aan de risicoanalyse en zorgt dat het past in het three lines of defence model. In de financiële sector is dat geen detail. Meer over die rol lees je bij IT risk management.
Interim werkt goed als er een deadline ligt: een audit, een toezichthouder met vragen, of een incident waaruit bleek dat het oude plan niet werkte. Een interim BCM-specialist legt het fundament en draagt het over aan een vaste eigenaar. Plan die overdracht vanaf de eerste week. Een BCP moet je jaren bijhouden, en dat past beter bij iemand in vaste dienst die de organisatie kent.
Hulp nodig bij je BCP?
Via MVPeople freelance en interim leveren we BCM-managers en disaster recovery specialisten, en via MVPermanent werven we de vaste eigenaar. Op business continuity specialist inhuren zie je welke profielen we plaatsen. Is het BCP onderdeel van een bredere Cbw-aanpak, lees dan ook NIS2-compliance aantonen.
Wil je eerst sparren over de scope of het profiel? Bel of mail me.
