Een consultant bedrijfscontinuïteit helpt een organisatie om haar bedrijfscontinuïteitsprogramma op te bouwen, te testen en te onderhouden: afbakening, bedrijfsimpactanalyse (BIA), risicoscenario's, strategieën, het schrijven van plannen, oefeningen en auditvoorbereiding. Zijn of haar meerwaarde ligt niet in het aantal opgeleverde documenten, maar in het feit dat de klant beslissingen neemt en dat er een capaciteit achterblijft die zonder de consultant werkt.
De vraag groeit, maar het klassieke opdrachtmodel (interviews, spreadsheets, achter mensen aan mailen, Word-deliverables die met de hand worden opgemaakt) stoot snel op een plafond: elke nieuwe klant begint bijna van nul, en de marge verdwijnt in werk dat de klant nooit ziet. Deze gids behandelt de anatomie van een typische opdracht, waar marge weglekt, hoe u standaardiseert zonder kwaliteit te verliezen, en hoe u van eenmalige projecten naar terugkerende inkomsten gaat zonder de klant van u afhankelijk te maken.
De versie in 30 seconden
- NIS2, DORA, due-diligencevragenlijsten van klanten en cyberverzekeraars duwen organisaties die nooit BCM-consultancy hebben ingekocht, om ermee te beginnen.
- De tijd van een opdracht gaat zelden naar het schrijven: hij gaat naar het verzamelen van BIA-gegevens, het consolideren ervan en het najagen van goedkeuringen.
- Standaardiseer verzameling, consolidatie en opmaak; houd oordeelsvorming, kritische bevraging en begeleiding voor uzelf.
- Een run-aanbod (jaarlijkse BIA-actualisering, jaarlijkse oefening, auditvoorbereiding) maakt van een project terugkerende inkomsten.
- De klant is eigenaar van zijn beslissingen, zijn plan en zijn gegevens: een zuivere overdracht maakt deel uit van de deliverable.
Waarom groeit de vraag naar consultancy in bedrijfscontinuïteit?
Vier krachten komen samen:
- NIS2 verruimt het toepassingsgebied. Richtlijn (EU) 2022/2555 bestrijkt 18 sectoren (11 sectoren met een hoge kriticiteit in bijlage I, 7 andere kritieke sectoren in bijlage II) en is in de regel van toepassing vanaf middelgrote ondernemingen. Artikel 21 vermeldt uitdrukkelijk "bedrijfscontinuïteit, zoals back-upbeheer en herstel na een calamiteit, en crisisbeheer", en artikel 20 verplicht bestuursorganen om deze maatregelen goed te keuren, er toezicht op te houden en opleiding te volgen: continuïteit wordt een onderwerp voor de raad van bestuur. De nationale omzetting verloopt ongelijk; Frankrijk bijvoorbeeld had medio oktober 2026 zijn wet nog niet definitief aangenomen.
- DORA bereikt financiële entiteiten en hun ICT-dienstverleners. Verordening (EU) 2022/2554, van toepassing sinds 17 januari 2025, vereist een ICT-bedrijfscontinuïteitsbeleid en het minstens jaarlijks testen van de plannen (artikel 11). Artikel 30 verplicht dat contracten voor ICT-diensten die kritieke of belangrijke functies ondersteunen, een verplichting voor de dienstverlener bevatten om "bedrijfsnoodplannen uit te voeren en te testen". Een softwareleverancier of managed service provider die banken en verzekeraars bedient, moet dat kunnen aantonen.
- Vragenlijsten van klanten zakken af in de toeleveringsketen. NIS2 (artikel 21, lid 3) vraagt entiteiten om rekening te houden met de cyberbeveiligingspraktijken van hun directe leveranciers. Kmo's die buiten het toepassingsgebied vallen, krijgen dus vragenlijsten waarin om een RTO, een getest plan en de datum van de laatste oefening wordt gevraagd.
- Cyberverzekeraars vragen naar herstel. In de praktijk gaan vragenlijsten bij acceptatie en verlenging vaak over back-ups, hersteltests en voorbereiding op incidenten.
Recente incidenten doen de rest: de foutieve CrowdStrike-update van 19 juli 2024 (ongeveer 8,5 miljoen Windows-toestellen getroffen, volgens Microsoft) toonde aan dat één niet in kaart gebrachte afhankelijkheid alles kon stilleggen. Voor de details van de verplichtingen, zie NIS2: essentiële vs belangrijke entiteiten en onze DORA-gids 2026.
Hoe ziet een typische consultancyopdracht in bedrijfscontinuïteit eruit?
De volgorde volgt de logica van ISO 22301; alleen de diepgang verschilt tussen een bedrijf met 100 medewerkers en een groep met meerdere vestigingen. De tabel weerspiegelt praktijkervaring: de deliverables van elke fase en wat in werkelijkheid de dagen opslorpt.
| Fase | Doel | BCP-deliverables | Waar de tijd in de praktijk naartoe gaat |
|---|---|---|---|
| 1. Afbakening | Sponsor, scope, methode | Afbakeningsnota, continuïteitsbeleid, processen binnen scope | Een beschikbare sponsor vinden en een scope die niet meer verschuift |
| 2. BIA (interviews, workshops) | De impact van een verstoring in de tijd meten | BIA-fiches, MTPD, RTO, RPO, afhankelijkhedenkaart | Plannen, najagen, inconsistente antwoorden consolideren, goedkeuring krijgen |
| 3. Risico's en scenario's | Beslissen wat afgedekt moet worden | Geselecteerde scenario's, kloof tussen bedrijfs-RTO's en technische capaciteit | Gemeten, niet theoretische, hersteltijden van IT krijgen |
| 4. Strategieën | Beslissen hoe de RTO's gehaald worden | Begrote opties, beslissingen van het management | Een beslissing krijgen: die ligt bij de klant, en dat vraagt tijd |
| 5. Plannen schrijven | Strategieën uitvoerbaar maken | BCP, DRP, crisisbeheerplan, actiekaarten, contactenlijst | Telkens dezelfde structuur opbouwen, opmaak, versiebeheer |
| 6. Oefening | Nagaan of het plan standhoudt | Scenario, tijdlijn, evaluatie na de oefening, actieplan | Een geloofwaardig scenario schrijven voor deze specifieke klant |
| 7. Overdracht | De klant zelfredzaam maken | Bewijsdossier, onderhoudskalender, opgeleide coördinatoren | Bewijsmateriaal verzamelen dat verspreid zit over e-mails en gedeelde mappen |
Twee vaststellingen keren in bijna elke opdracht terug. De BIA is de bottleneck: de analyse gaat snel; volledige antwoorden krijgen van proceseigenaars met andere prioriteiten niet. En de waargenomen waarde is geconcentreerd in drie momenten: de workshop waarin RTO's kritisch bevraagd worden, de vergadering waarin het management beslist, en de oefening. Al de rest is noodzakelijk maar onzichtbaar voor de klant. Voor de volledige methode, zie onze gids voor een bedrijfscontinuïteitsplan in 8 stappen en de BIA-gids.
Waar lekt marge weg in een BCP-opdracht?
Bij een vaste prijs gaat elke ongeplande dag van uw marge af. Zes lekken komen telkens terug:
- BIA-antwoorden najagen per e-mail. Een spreadsheet als bijlage, gedeeltelijke antwoorden, drie versies van hetzelfde bestand. De consultant wordt projectsecretaris.
- Spreadsheets consolideren. Gewijzigde kolommen, impactschalen die verschillend geïnterpreteerd worden, afhankelijkheden als vrije tekst ingevuld: de consolidatie duurt soms langer dan de verzameling.
- Dezelfde planstructuur herschrijven. Activeringscriteria, crisisorganisatie, contactenlijst, procedures: het skelet is van klant tot klant identiek, maar wordt met de hand opnieuw opgebouwd.
- Word-deliverables opmaken. Kapotte stijlen, overlopende tabellen, nummering die na elke reviewronde opnieuw moet.
- Bewijsmateriaal voor de auditor opnieuw samenstellen. Wie keurde welke BIA goed, wanneer vond de oefening plaats, welke acties zijn afgesloten: zonder historiek moet alles opnieuw opgediept worden.
- Plannen die na de overdracht verouderen. Zes maanden later klopt de contactenlijst niet meer. De klant besluit dat het plan nutteloos is, en de volgende opdracht wordt moeilijker te verkopen.
Wat ze gemeen hebben: deze taken gaan over informatie verplaatsen en opmaken, niet over expertise. Precies dat kan gestandaardiseerd worden.
Hoe maakt u BCM-consultancy schaalbaar zonder kwaliteit te verliezen?
De regel: standaardiseer de methode en de gegevensverzameling, nooit de inhoud of de oordeelsvorming. Een generiek plan overleeft zijn eerste oefening niet.
Een geversioneerde methodebibliotheek
Afbakeningstemplate, impactschalen, BIA-vragenlijst, planstructuur, template voor de evaluatie na een oefening: alles wat niet van de klant afhangt, zou één keer moeten bestaan, geversioneerd zijn en van opdracht tot opdracht verbeteren. Het gratis BIA-template en de generator voor bedrijfscontinuïteitsplannen zijn een vertrekpunt.
Sectorale procescatalogi
Twee retailers lijken veel meer op elkaar dan een retailer en een ziekenhuis. Een sectorcatalogus neemt het blanco blad weg, op voorwaarde dat u hem voorstelt als een hypothese om te corrigeren: de klant schrapt, hernoemt en vult aan.
Asynchrone BIA-campagnes
In plaats van interviews van twee uur na elkaar stuurt u elke proceseigenaar een gestructureerd formulier met een deadline, herinneringen en een reviewcircuit: zij vullen het in, u controleert de consistentie, een goedkeurder keurt goed of stuurt terug ter correctie. Workshops zijn dan geen invoersessies meer, maar de plek om RTO's kritisch te bevragen en kloven weg te werken. Daar komt uw expertise tot uiting.
Deliverables gegenereerd uit gestructureerde gegevens
Wanneer de BIA, de afhankelijkheden en de strategieën in één datamodel zitten, wordt het Word-document een export. Een gecorrigeerde RTO stroomt door naar het plan in plaats van in vier bestanden opnieuw getypt te worden. AI kan op basis van die gegevens een eerste ontwerp maken, maar kent noch de echte workarounds van de klant noch zijn cultuur: de consultant herleest, corrigeert en neemt verantwoordelijkheid voor het resultaat.
Herbruikbare oefenscenario's
Ransomware, verlies van een vestiging, uitval van een kritieke leverancier: de structuur van een scenario is herbruikbaar, terwijl de injects zich aanpassen aan de werkelijke afhankelijkheden van de klant. Zie onze 10 scenario's voor crisisoefeningen.
Eén werkruimte per klant, strikt gescheiden
Een BIA bevat zwakke punten, kritieke leveranciers en persoonlijke telefoonnummers. Eén werkruimte per klant, met eigen rollen en audittrail, beschermt de klant en beschermt u. Onder de AVG verwerkt u deze gegevens vaak in opdracht van de klant, dus uw contracten en tools moeten daarin voorzien.
Wat u niet moet standaardiseren: het afbakeningsgesprek met het management, het kritisch bevragen van de RTO's, het begeleiden van de oefening en het leiden van de evaluatie na de oefening. Daarvoor betaalt de klant.
Van eenmalig project naar terugkerende inkomsten: wat moet een run-aanbod bevatten?
Een plan dat wordt opgeleverd en daarna aan zijn lot wordt overgelaten, veroudert binnen enkele maanden. Het programma actueel houden is dus een reële en vaak verplichte behoefte: DORA vereist dat ICT-bedrijfscontinuïteitsplannen minstens jaarlijks getest worden, en ISO 22301 vraagt om oefeningen met geplande tussenpozen, een interne audit en een directiebeoordeling. Een typische jaarcyclus:
- K1: BIA-actualisering via een campagne, waarbij elke eigenaar vertrekt van de goedgekeurde waarden van vorig jaar.
- K2: herziening van de plannen en de contactenlijst, met verwerking van wijzigingen (applicaties, leveranciers, organisatie).
- K3: jaarlijkse oefening en evaluatie na de oefening.
- K4: opvolging van corrigerende acties, voorbereiding van de audit en de directiebeoordeling.
| Model | Het meest geschikt voor | Voordelen | Beperkingen |
|---|---|---|---|
| Vaste prijs | Initiële opbouw met een duidelijke scope | Voorspelbaar budget; goede marge als de methode beheerst wordt | Het risico op overschrijding (late BIA, scope creep) ligt bij de consultant |
| Regie | Lange opdrachten, onzekere scope | Geen risico op overschrijding; flexibel | Elke productiviteitswinst verlaagt de omzet; moeilijk voor de klant om intern te verdedigen |
| Abonnement (retainer) | Jaarlijkse run: BIA, oefening, herzieningen, audit | Terugkerende, voorspelbare inkomsten; doorlopende relatie | Vereist een nauwkeurig omschreven dienstenpakket, anders wordt het een open regieopdracht |
| Hybride | De meeste praktijken | Opbouw tegen vaste prijs, daarna een run-abonnement | Twee contracten om op elkaar af te stemmen, vooral wat eigendom van de gegevens betreft |
De regieval verdient een naam: als u per dag factureert, verlaagt efficiëntie uw omzet. Standaardisatie loont alleen bij vaste prijzen of abonnementen, waarbij de klant een resultaat koopt (een actuele BIA, een uitgevoerde oefening, een voorbereide audit) in plaats van dagen.
Hoe houdt u de klant eigenaar van zijn plan?
Een consultant die onmisbaar is geworden, heeft zijn werk slecht gedaan. Drie principes beschermen de onafhankelijkheid van de klant.
De klant beslist. RTO's, strategieën, aanvaarding van restrisico en budget zijn beslissingen van het management. De consultant bereidt voor, begroot, beveelt aan en begeleidt de beslissing; de consultant tekent niet. Laat elke beslissing schriftelijk goedkeuren: dat is ook auditbewijs van leiderschap (ISO 22301, clausule 5).
De klant voert uit. Een benoemde interne verantwoordelijke bedrijfscontinuïteit, opgeleide coördinatoren, procedures die samen met de teams geschreven zijn. Als u de enige bent die een BIA-campagne kan opstarten of de laatste versie van het plan kan terugvinden, bent u het single point of failure van uw klant geworden.
De klant behoudt zijn gegevens. Plannen, BIA, bewijsmateriaal en historiek moeten op elk moment in een bruikbaar formaat op te vragen zijn. Leg de omkeerbaarheid vast in het contract: wie beheert de werkruimte, wie betaalt de tool, hoe worden de gegevens teruggegeven.
Een zuivere overdracht omvat minstens: goedgekeurde en gedateerde plannen, de BIA met de goedkeuringen, de afhankelijkhedenkaart, de laatste evaluatie na een oefening en de bijbehorende acties, de onderhoudskalender, en toegang die is overgedragen aan het interne team. Tot slot moeten interne audits objectief en onpartijdig zijn: het bureau dat het programma heeft opgebouwd, kan de audit voorbereiden, maar zou hem niet zelf moeten uitvoeren.
Hoe kiest een consultancypraktijk een tool voor bedrijfscontinuïteit?
Een tool die ontworpen is voor één organisatie, past zelden bij een bureau dat er tien bedient. Vragen om te stellen:
| Criterium | Te stellen vraag | Waarom het belangrijk is |
|---|---|---|
| Scheiding tussen klanten | Heeft elke klant een eigen werkruimte, eigen rollen en een eigen audittrail? | Vertrouwelijkheid, geen verwarring tussen klanten |
| Toegangsrollen voor klanten | Kan een proceseigenaar bijdragen zonder al de rest te zien? | De business betrekken zonder de hele BIA bloot te stellen |
| Exports | Plannen in Word en PDF, exporteerbare gegevens, bewijsdossier? | Presentabele deliverables, echte omkeerbaarheid |
| Prijszetting | Volgt de prijs het aantal klanten? Wie betaalt na de opdracht? | Voorspelbare marge naarmate de portefeuille groeit |
| Hosting van gegevens | Waar staan de gegevens? Zijn de subverwerkers opgelijst? | Een standaardvraag van klanten uit de publieke en financiële sector |
| Kaders | Zijn ISO 22301, NIS2 en DORA gekoppeld aan het eigenlijke werk? | Audits voorbereiden zonder alles opnieuw op te bouwen |
| Geen lock-in | Kan de klant zijn gegevens terugnemen als hij van dienstverlener verandert? | Onafhankelijkheid van de klant, en vertrouwen bij ondertekening |
Draait uw praktijk nog op spreadsheets, vergelijk dan eerlijk: spreadsheet vs ResiPlan en onze pagina voor consultancybureaus.
Wat ResiPlan concreet doet
- Operator-modus: één afgeschermde werkruimte per klant, één login om ertussen te wisselen. Licenties: Starter (tot 3 klanten, €299 per maand excl. btw, maandelijks gefactureerd), Pro (tot 10 klanten, €799 per maand excl. btw), Scale (tot 50 klanten, €1.499 per maand excl. btw), Operator+ op offerte.
- BIA-campagnes die naar de proceseigenaars van de klant worden gestuurd via een bijdragersportaal waar iedereen alleen de BIA's ziet die aan hem of haar zijn toegewezen: e-mailherinneringen vóór de deadline, terugsturen ter correctie, goedkeuring met functiescheiding.
- Processen vooraf ingevuld per sector, met berekening van RTO en MTPD.
- Plannen vooraf ingevuld op basis van de BIA, met een eerste AI-ontwerp dat de consultant herleest en goedkeurt.
- Tabletopoefeningen, waarbij bevindingen worden omgezet in opgevolgde corrigerende acties.
- Exports naar Word en PDF en een ISO 22301-bewijsdossier; ISO 22301, NIS2 en DORA in kaart gebracht.
- 7 dagen proefperiode voor consultants met twee fictieve demoklanten.
Een eerlijke kanttekening: software maakt niemand "compliant" en certificeert niemand; ze structureert het werk van de consultant en de klant zonder het te vervangen. Gratis proefperiode van 7 dagen, zonder kredietkaart.
Checklist: is uw continuïteitspraktijk gebouwd om te schalen?
- Uw methode (templates, impactschalen, BIA-vragenlijst, planstructuur) bestaat als één referentieversie.
- Sectorale procescatalogi worden aan klanten voorgesteld als hypotheses om te corrigeren.
- De BIA-verzameling verloopt via campagnes met deadlines, herinneringen en goedkeuring.
- Workshops worden gebruikt om RTO's kritisch te bevragen en beslissingen te nemen, niet om formulieren in te vullen.
- Deliverables worden gegenereerd uit gestructureerde gegevens.
- Elke beslissing van het management wordt schriftelijk goedgekeurd en gedateerd.
- Elke klant heeft een afgeschermde werkruimte met eigen rollen en een eigen audittrail.
- Bewijsmateriaal (goedkeuringen, versies, oefeningen, acties) wordt gaandeweg vastgelegd.
- Een jaarlijks run-aanbod is opgenomen in het initiële voorstel.
- Het contract regelt de omkeerbaarheid en de teruggave van de gegevens.
- Een interne verantwoordelijke bedrijfscontinuïteit kan zonder u een BIA-campagne opstarten en een plan bijwerken.
FAQ
Hoe lang duurt een consultancyopdracht in bedrijfscontinuïteit?
Ter indicatie: 6 tot 12 weken voor een eerste beoefende versie in een kmo die begint met twee of drie kritieke diensten, en meerdere maanden voor een groep met meerdere vestigingen. De belangrijkste factoren zijn het aantal processen, de beschikbaarheid van de businessteams voor de BIA en hoe snel het management beslist. Het schrijven is zelden de bottleneck.
Moet een BCP-opdracht tegen vaste prijs, in regie of als abonnement?
Een vaste prijs past bij de initiële opbouw wanneer de scope duidelijk is, regie past bij een onzekere scope, en een abonnement past bij de jaarlijkse run. Veel bureaus combineren een opbouw tegen vaste prijs met een run-abonnement. Hoe meer uw methode gestandaardiseerd is, hoe beter die twee modellen het doen in vergelijking met regie.
Hebt u een certificering nodig om als consultant bedrijfscontinuïteit te werken?
De titel is niet gereglementeerd. Persoonlijke certificeringen zoals ISO 22301 Lead Implementer of Lead Auditor, of die van het Business Continuity Institute en DRI International, zijn referentiepunten die kopers herkennen. In de praktijk kijken klanten ook nauwgezet naar ervaring met organisaties zoals de hunne en met de regelgeving die op hen van toepassing is.
Mag de consultant het plan in naam van de klant schrijven?
De consultant kan een ontwerp opstellen, maar niet beslissen of uitvoeren. Procedures voor de gedegradeerde modus moeten samen met de businessteams geschreven worden en beslissingen moeten door het management goedgekeurd worden; anders wordt het plan op de dag zelf niet gevolgd.
Wat gebeurt er met de gegevens van de klant aan het einde van de opdracht?
Ze behoren toe aan de klant. Voorzie in het contract een volledige export (plannen, BIA, bewijsmateriaal, historiek) in een bruikbaar formaat, of de overdracht van de werkruimte aan het interne team. Een tool die dat moeilijk maakt, creëert een afhankelijkheid die ervaren kopers weigeren.
Hoe stemt u een opdracht af op NIS2 of DORA?
Neem het regelgevende statuut van de klant op in de afbakening (essentiële of belangrijke entiteit, financiële entiteit, ICT-dienstverlener van een financiële entiteit) en koppel elke deliverable aan de relevante vereisten: NIS2 artikel 21, DORA artikelen 11 en 30. Plan voor een financiële entiteit vanaf dag één de jaarlijkse test van de ICT-bedrijfscontinuïteitsplannen in.
Verder lezen
- Bedrijfscontinuïteitsplan (BCP): gids in 8 stappen voor 2026
- BIA-gids in 7 stappen, met een gratis template
- ISO 22301 in 10 stappen
- NIS2: essentiële vs belangrijke entiteiten
- DORA-gids 2026
- 10 scenario's voor crisisoefeningen
Een continuïteitspraktijk wordt minder beoordeeld op het aantal plannen dat ze oplevert dan op het aantal klanten van wie het plan een jaar na het einde van de opdracht nog steeds klopt.