Uw BCMS testen via regelmatige oefeningen is niet optioneel: het is een uitdrukkelijke vereiste van ISO 22301 (clausule 8.5) en DORA (art. 25), en een onontkoombare goede praktijk voor elk serieus continuïteitsprogramma. Maar relevante, realistische en leerrijke scenario's vinden is vaak het knelpunt. Hier zijn 10 kant-en-klare scenario's voor uw tabletops in 2026, met briefings, doelstellingen en evaluatiecriteria.
Vóór de scenario's — methodologische herinnering
Soorten oefeningen (van licht naar meest volledig)
| Type | Duur | Kosten | Verstoring |
|---|---|---|---|
| Bespreking / walkthrough | 1-2u | Laag | Geen |
| Tabletop | 2-4u | Laag | Geen |
| Functionele simulatie | Halve dag | Gemiddeld | Beperkt |
| Volledige live-oefening | 1-3 dagen | Hoog | Reëel |
| Technische DRP-test | Variabel | Hoog | Reële IT |
Tabletops bieden de beste verhouding tussen resultaat en investering: ze maken het mogelijk processen, rollen en beslissingen te testen zonder impact op de productie.
Structuur van een tabletop
- Initiële briefing (10 min) — voorstelling van het scenario
- Injecties (60-90 min) — nieuwe informatie die geleidelijk wordt verspreid
- Beslissingen (geobserveerd en getimed)
- Onmiddellijke debriefing (15 min) — eerste reacties
- Gestructureerde post-mortem (1-2 weken later) — schriftelijk verslag + actieplan
Scenario 1 — Ransomware op meerdere sites
Context
Een medewerker klikt op een phishinglink. Binnen 2 uur heeft ransomware zich verspreid naar 40 servers, waaronder het ERP. Alle bestanden zijn versleuteld. Er wordt een losgeldeis van €850.000 in bitcoins ontdekt.
Doelstellingen
- De escalatieprocedure van de crisiscel testen
- De beslissingsketen verifiëren: betalen of niet?
- Interne + externe communicatie testen
- Het herstelplan zonder gecompromitteerde back-up valideren
- De coördinatie met de autoriteiten (ANSSI, CNIL, politie) beoordelen
Belangrijkste injecties (tijdlijn)
- T0: SOC-alert
- T+30min: Eerste server onbeschikbaar
- T+1u: 10 bedrijfsapplicaties onbeschikbaar
- T+2u: Journalist contacteert de communicatieafdeling
- T+3u: Medewerker gecontacteerd door de aanvallers
- T+4u: Herstel mislukt (back-up gecompromitteerd)
Belangrijkste observatiepunten
- Hoe lang duurt het vooraleer beslist wordt om "het netwerk af te sluiten"?
- Hoe snel is de crisiscel samengeroepen?
- Klantenboodschap voorbereid?
- Melding in het kader van de AVG (72u) en NIS2 opgestart?
- Alternatieve werkwijze (papier, Excel) geactiveerd?
Scenario 2 — Langdurige storing bij AWS / Azure
Context
Grote regionale storing bij de belangrijkste cloudprovider. Geschatte onbeschikbaarheid: 12-48 uur. 60% van de applicaties van het bedrijf wordt in deze regio gehost.
Doelstellingen
- De cloudafhankelijkheid en alternatieven testen
- Multiregionale failoverplannen valideren
- De impact op kritieke activiteiten beoordelen
- De communicatie met klanten testen
Belangrijkste injecties
- T0: AWS-statuspagina meldt incident
- T+1u: Bevestiging dat regio eu-west-3 onbeschikbaar is
- T+4u: Geen ETA gegeven door AWS
- T+8u: Klacht van een grote klant
- T+12u: Aangekondigd einde uitgesteld tot H+24
Belangrijkste observatiepunten
- Kritieke applicaties vooraf correct geïdentificeerd?
- Multiregionale failover activeerbaar?
- Gedegradeerde activiteiten aanvaardbaar of niet?
- Beslissing tot activering van plan B?
Scenario 3 — Brand in het hoofddatacenter
Context
Brand in het datacenter waar de belangrijkste serverruimte zich bevindt. De brandweer heeft de brand onder controle, maar het datacenter is 2-4 weken onbruikbaar. Gelukkig bestaat er een uitwijksite.
Doelstellingen
- Het fysieke DRP activeren en valideren
- Het fysieke crisisplan testen (veiligheid van personen, communicatie)
- De failovertijd naar de uitwijksite beoordelen
- De veerkracht in langdurige gedegradeerde modus verifiëren
Belangrijkste injecties
- T0: Brandalarm
- T+30min: Evacuatie van het gebouw
- T+2u: Brandweer bevestigt dat het datacenter 2-4 weken buiten gebruik is
- T+4u: Directie vraagt failover naar de uitwijksite
- T+8u: Eerste diensten overgeschakeld, maar 3 blijven onbeschikbaar
- T+24u: Sommige bedrijfsprocessen langdurig getroffen
Belangrijkste observatiepunten
- RTO's/RPO's van de uitwijksite gerespecteerd?
- Technische teams oproepbaar via wachtdienst?
- Duidelijke communicatie naar de zakelijke gebruikers?
Scenario 4 — Gerichte DDoS-aanval
Context
Massale DDoS-aanval (500 Gbps) op de hoofdwebsite en de publieke API. De aanval wordt opgeëist door een hacktivistische groep na een standpunt van de directie in de media.
Doelstellingen
- De coördinatie met de anti-DDoS-leverancier testen
- Het crisiscommunicatieplan valideren
- Gedegradeerde front-endscenario's testen
- De druk van media en sociale media beoordelen
Belangrijkste injecties
- T0: Website vertraagd en daarna onbereikbaar
- T+30min: DDoS bevestigd door de ISP
- T+1u: Opeising op Twitter/X
- T+2u: Negatief trending topic
- T+4u: Klanten onbereikbaar via de mobiele app
- T+6u: Nieuwe golf via een andere vector
Belangrijkste observatiepunten
- Doeltreffende activering van de anti-DDoS-bescherming?
- Coherente boodschap van directie + communicatie?
- Bedrijfsimpact gekwantificeerd?
Scenario 5 — Crisis bij de directie / kritieke afwezigheid
Context
De CEO raakt zwaargewond bij een ongeval. De CIO is op vakantie (onbereikbaar). De communicatieverantwoordelijke is met ziekteverlof. Diezelfde dag breekt een groot productie-incident uit.
Doelstellingen
- Delegatie van bevoegdheden en aangewezen vervangers testen
- Het beheer in gedegradeerde menselijke modus valideren
- Besluitvorming zonder de gebruikelijke hiërarchie beoordelen
Belangrijkste injecties
- T0: Groot incident met de productkwaliteit
- T+30min: Poging tot escalatie naar de directie → niemand bereikbaar
- T+1u: Druk van klanten + pers
- T+2u: Aangewezen gedelegeerden gemobiliseerd (of niet)
- T+4u: Beslissingen genomen of uitgesteld
Belangrijkste observatiepunten
- Is de delegatieketen gekend en getest?
- Beschikken de menselijke vervangers over de nodige informatie + toegangen?
- Neemt iemand de beslissing?
Scenario 6 — Compromittering van een kritieke leverancier
Context
Uw SaaS-leverancier voor de loonadministratie (gebruikt voor 2.000 medewerkers) is het slachtoffer geworden van een inbraak. Persoonsgegevens van uw medewerkers zijn mogelijk gecompromitteerd. U wordt 5 dagen na de feiten door de leverancier op de hoogte gebracht.
Doelstellingen
- De contractuele clausules met de leverancier testen
- De communicatie van de DPO + de melding aan de CNIL valideren
- De coördinatie tussen meerdere partijen beoordelen (u, leverancier, autoriteiten)
- Het omgaan met mogelijke woede bij medewerkers testen
Belangrijkste injecties
- T0: E-mail van de leverancier die een inbreuk meldt
- T+2u: Bevestiging dat gegevens blootgesteld zijn
- T+4u: Beslissing om de gegevensbeschermingsautoriteit binnen 72u te verwittigen
- T+8u: Vakbond vraagt een buitengewone vergadering
- T+24u: Vragen van de pers
Belangrijkste observatiepunten
- Actuele inventaris van de gegevens bij deze leverancier?
- AVG-melding opgestart?
- Interne communicatie naar de medewerkers voorbereid?
- Juridische coördinatie met de leverancier?
Scenario 7 — Natuurramp + pandemie
Context
Een grote overstroming maakt het hoofdkantoor 1 week ontoegankelijk. Tegelijk legt een heropflakkering van een pandemie 100% telewerk op. 40% van de teams is getroffen door het virus.
Doelstellingen
- De continuïteit onder dubbele beperking testen (gebouwen + HR)
- De capaciteit voor grootschalig telewerk valideren
- De prioritering van kritieke activiteiten beoordelen
- Uitgebreide interne communicatie testen
Belangrijkste injecties
- T0: Weeralarm + sluiting van de gebouwen
- T+4u: Bevestiging van een aanhoudende overstroming
- T+24u: Talrijke meldingen van ziekteverlof
- T+48u: Volledige overschakeling naar telewerk
- T+72u: Ook een kritieke leverancier is getroffen
Belangrijkste observatiepunten
- VPN- + MFA-capaciteit voor 2.000 gebruikers?
- Prioritering van activiteiten (MBCO) duidelijk?
- Vervanging van kritieke rollen (delegatie)?
Scenario 8 — Lek van O&O-gegevens
Context
Een ontslagnemende medewerker wordt ervan verdacht vóór zijn vertrek 15 GB aan O&O-productplannen te hebben gedownload en die naar verluidt aan een buitenlandse concurrent te hebben verkocht.
Doelstellingen
- De coördinatie tussen CISO + HR + juridische dienst testen
- Processen na uitdiensttreding valideren (intrekking van toegangen, monitoring)
- De juridische reactie beoordelen (klacht, verbodsvordering)
- Interne communicatie testen (zonder paniek)
Belangrijkste injecties
- T0: DLP-alert uit de historiek
- T+2u: Forensische analyse bevestigt massale download
- T+4u: Medewerker onbereikbaar
- T+8u: Geruchten over een productaankondiging door een concurrent
- T+24u: Beslissing om strafklacht in te dienen
Belangrijkste observatiepunten
- Doeltreffende en snelle procedure voor de intrekking van toegangen?
- Digitaal bewijsmateriaal bewaard en bruikbaar?
- Gecontroleerde interne communicatie?
Scenario 9 — Langdurige storing van B2B-betalingen
Context
Uw betalingssysteem voor leveranciers ligt al 36 uur plat (softwarefout na een update). Kritieke leveranciers dreigen de leveringen stop te zetten. Het is eind van de maand en 3.000 overschrijvingen zijn te laat.
Doelstellingen
- De financiële continuïteit testen
- Manuele alternatieven valideren
- Het beheer van de relatie met leveranciers beoordelen
- De prioritering van betalingen testen
Belangrijkste injecties
- T0: Fout geïdentificeerd
- T+12u: Patch mislukt
- T+24u: Leveranciers gecontacteerd
- T+36u: Grote leverancier dreigt met onderbreking
- T+48u: Beslissing tot prioritaire manuele betalingen
Belangrijkste observatiepunten
- Bestaand en gedocumenteerd manueel proces?
- Wie is bevoegd om noodcheques te ondertekenen?
- Coherente communicatie naar de leveranciers?
Scenario 10 — Dubbel incident (cyber + fysiek)
Context
Een cyberinbraak start de versleuteling van werkstations en een fysiek incident (waterlek in de serverruimte) wordt veroorzaakt door een insider. Het doel van de aanvaller is maximale schade aanrichten.
Doelstellingen
- Het beheer van meerdere gelijktijdige incidenten testen
- De prioritering tussen cyber- en fysieke crisis valideren
- De beschikbare menselijke middelen beoordelen (verzadiging)
- De coördinatie tussen meerdere cellen testen
Belangrijkste injecties
- T0: SIEM-alerts + waterdetector
- T+30min: Twee cellen parallel geactiveerd
- T+1u: Duidelijke beslissingsmoeheid
- T+2u: Nieuwe injecties via een 3e vector
Belangrijkste observatiepunten
- Eenhoofdige of dubbele leiding?
- Toewijzing van middelen aan beide incidenten?
- Vermoeidheid van de teams?
- Vermogen om de tijdlijn aan te houden?
Overzichtstabel
| # | Scenario | Dominant type | Duur | Complexiteit |
|---|---|---|---|---|
| 1 | Ransomware op meerdere sites | Cyber | 4u | Hoog |
| 2 | Storing AWS/Azure | Technisch | 3u | Gemiddeld |
| 3 | Brand in het datacenter | Fysiek | 3u | Gemiddeld |
| 4 | Gerichte DDoS | Cyber + Communicatie | 2u | Gemiddeld |
| 5 | Afwezigheid van de directie | Menselijk | 2u | Laag |
| 6 | Compromittering van een leverancier | Cyber + Juridisch | 3u | Hoog |
| 7 | Overstroming + pandemie | Fysiek + HR | 4u | Hoog |
| 8 | Lek van O&O-gegevens | Cyber + Juridisch | 3u | Gemiddeld |
| 9 | B2B-betalingen plat | Financieel | 2u | Laag |
| 10 | Cyber + fysiek | Multi | 4u | Zeer hoog |
Aanbevolen frequentie
Voor een volwassen organisatie:
- 2 tabletops/jaar verplicht (1 cyber + 1 fysiek/HR)
- 1 volledige live-oefening om de 2 jaar
- Driemaandelijkse technische DRP-tests op kritieke systemen
- Geïntegreerde post-mortem in een verbetercyclus
Hoe ResiPlan uw oefeningen structureert
- Bibliotheek met 40+ kant-en-klare scenario's
- Aanpasbare injectiegenerator op basis van uw systemen
- Oefeningsworkflow met tijdlijn, rollen en observatoren
- Gestructureerde post-mortem met geïntegreerd actieplan
- Dashboard voor oefeningsmaturiteit per kritieke activiteit
- Jaarkalender met opvolging van de frequentie
Start een gratis proefperiode om toegang te krijgen tot de volledige scenariobibliotheek.
Conclusie
Oefeningen zijn de enige manier om te verifiëren dat een BCMS werkt. Zonder regelmatige tests worden plannen dode letter in mappen. De 10 voorgestelde scenario's dekken 80% van de crisissituaties waarmee uw organisatie te maken zal krijgen.
De echte ROI van een oefenprogramma zit niet in de validatie (elke oefening brengt tekortkomingen aan het licht), maar in de continue verbetering. Elke oefening identificeert 3-5 concrete verbeterpunten die samen de reële veerkracht van de organisatie transformeren.
Om verder te lezen: