Om de maturiteit van uw weerbaarheid over bedrijfsonderdelen heen op te volgen, scoort u elk onderdeel op hetzelfde raster: tien domeinen van bedrijfscontinuïteit, elk met vijf observeerbare niveaus, en een niveau telt pas wanneer het bewijs ervoor bestaat. Herhaal de beoordeling elk jaar, consolideer met een gewogen gemiddelde dat u naast het zwakste onderdeel toont, en presenteer het resultaat als een heatmap. Het raster hieronder is afgestemd op de clausules 4 tot 10 van ISO 22301:2019.
Een maturiteitsraster (ook volwassenheidsmodel genoemd) voor bedrijfscontinuïteit is een scoringsinstrument dat voor elk onderdeel van een continuïteitsprogramma beschrijft wat een organisatie zichtbaar doet in elk ontwikkelingsstadium, van geïmproviseerd tot voortdurend verbeterend. Dit is het eigen raster van ResiPlan. ISO 22301 stelt eisen en definieert geen maturiteitsniveaus; het raster is dus afgestemd op de clausules van de norm, maar het is geen officieel ISO-maturiteitsmodel en geen certificeringstest.
Downloaden, gratis en zonder registratie: Excel-werkmap (.xlsx).
Wat zijn de vijf maturiteitsniveaus?
| Niveau | Naam | Wat u kunt observeren |
|---|---|---|
| 1 | Initieel | Continuïteit hangt af van enkele mensen en van improvisatie. Er staat weinig op papier, niets is goedgekeurd, de resultaten verschillen van gebeurtenis tot gebeurtenis. |
| 2 | Beheerst (herhaalbaar) | Basispraktijken bestaan en worden herhaald voor de belangrijkste sites of activiteiten, met een aangeduide eigenaar. De methoden verschillen tussen teams of entiteiten. |
| 3 | Gedefinieerd | Eén goedgekeurde methode geldt voor het volledige toepassingsgebied. Documenten worden beheerd en met geplande tussenpozen herzien. De resultaten zijn vergelijkbaar tussen entiteiten. |
| 4 | Gemeten | Prestaties worden gemeten tegenover doelen (behaalde hersteltijden, oefenresultaten, afsluiting van acties). Het management beslist op basis van gegevens. |
| 5 | Geoptimaliseerd | Lessen uit incidenten, oefeningen en van vakgenoten sturen de continue verbetering. Continuïteit is ingebouwd in beslissingen over projecten, aankopen en investeringen. |
Het raster: tien domeinen, elk met vijf niveaus
Elke cel geeft een observeerbaar criterium en het bewijs dat het doorgaans aantoont. De clausulenummers verwijzen naar ISO 22301:2019.
1. Governance en beleid (clausules 5.1 tot 5.3, 6.2, 7.1)
| Niveau | Observeerbaar criterium | Typisch bewijs |
|---|---|---|
| 1 | Geen goedgekeurd beleid; continuïteit wordt overgelaten aan IT of aan één vrijwilliger | Geen, of een niet-goedgekeurd ontwerp |
| 2 | Beleid geschreven en ondertekend door een manager; deeltijdse eigenaar aangeduid | Ondertekend beleid, e-mail met de aanstelling |
| 3 | Beleid goedgekeurd door het topmanagement en gecommuniceerd; rollen, plaatsvervangers, budget en meetbare doelstellingen vastgelegd | Notulen van de raad van bestuur of het directiecomité, RACI, doelstellingen, budgetlijn |
| 4 | Doelstellingen opgevolgd met indicatoren die ten minste jaarlijks aan het topmanagement worden gerapporteerd; middelen bijgestuurd op basis van de resultaten | Notulen van de directiebeoordeling, dashboard met indicatoren |
| 5 | Continuïteit ingebouwd in beslissingen over projecten, overnames en nieuwe leveranciers; beleid herzien op basis van geleerde lessen | Checklist voor de projectfasen, revisielogboek van het beleid |
2. Context en toepassingsgebied (clausules 4.1 tot 4.4)
| Niveau | Observeerbaar criterium | Typisch bewijs |
|---|---|---|
| 1 | Toepassingsgebied impliciet; wettelijke en contractuele continuïteitsverplichtingen onbekend | Geen |
| 2 | Toepassingsgebied op papier voor de belangrijkste site of activiteiten; belangrijkste klanteisen opgelijst | Nota over het toepassingsgebied, lijst van klanteisen |
| 3 | Gedocumenteerd toepassingsgebied met gemotiveerde uitsluitingen; register van belanghebbenden en van wettelijke, regelgevende en contractuele eisen; vastgelegde beslissing over de vraag of klimaatverandering een relevant onderwerp is (Amendement 1:2024) | Verklaring over het toepassingsgebied, register van eisen |
| 4 | Register herzien met geplande tussenpozen en na elke wijziging; wijzigingen van het toepassingsgebied traceerbaar | Herzieningsdata, wijzigingslogboek |
| 5 | Nieuwe regelgeving, sites en overnames worden in het toepassingsgebied en de verplichtingen opgenomen voordat ze van toepassing zijn | Notities uit de opvolging van de regelgeving, toepassingsgebied bijgewerkt vóór de ingebruikname |
3. Bedrijfsimpactanalyse (clausule 8.2.2)
| Niveau | Observeerbaar criterium | Typisch bewijs |
|---|---|---|
| 1 | Geen BIA; herstelprioriteiten verondersteld door IT | Geen |
| 2 | BIA uitgevoerd voor sommige activiteiten via interviews; hersteltijden vastgelegd zonder goedkeuring door de business | Spreadsheets per afdeling |
| 3 | Gemeenschappelijke methode en impactschaal; geprioriteerde activiteiten met MTPD, RTO, RPO, minimaal dienstverleningsniveau en afhankelijkheden (mensen, ICT, sites, leveranciers), goedgekeurd door de eigenaars in de business | Goedgekeurde BIA-fiches, afhankelijkheidskaart |
| 4 | BIA jaarlijks en na wijzigingen herzien; RTO en RPO vergeleken met de hersteltijden die in tests zijn behaald; kloven opgevolgd | Kloofrapport "vereist vs getest" |
| 5 | BIA gekoppeld aan plannen, leveranciers en assets en actueel gehouden; impactcijfers gebruikt in investeringsdossiers | Gekoppelde fiches, investeringsdossiers |
Richtlijnen: ISO/TS 22317:2021. Methode en sjabloon: bedrijfsimpactanalyse.
4. Risicobeoordeling (clausule 8.2.3)
| Niveau | Observeerbaar criterium | Typisch bewijs |
|---|---|---|
| 1 | Verstoringsrisico's worden pas na incidenten besproken | Geen |
| 2 | Lijst van de belangrijkste dreigingen (brand, IT-storing, cyberaanval, belangrijke leverancier) zonder consistente scoring | Lijst van dreigingen |
| 3 | Gedocumenteerde methode; risico's van verstoring van de geprioriteerde activiteiten en hun middelen beoordeeld; behandeling beslist en toegewezen aan een eigenaar | Risicoregister met eigenaars en behandelbeslissingen |
| 4 | Risico-indicatoren gemonitord; doeltreffendheid van de behandeling gecontroleerd; register bijgewerkt na incidenten en oefeningen | Rapporten over de indicatoren, historiek van het register |
| 5 | Zware maar plausibele scenario's en concentratierisico's (gedeelde leveranciers, regio's) geanalyseerd, gekoppeld aan het risicobeheer van de onderneming (ERM) | Scenariobibliotheek, koppeling met het risicoregister van de onderneming |
Clausule 8.2.3 behandelt verstoringsrisico's; clausule 6.1 behandelt de risico's en kansen voor het managementsysteem zelf. Scoor ze hier samen, maar verwar ze niet.
5. Strategieën en oplossingen (clausule 8.3)
| Niveau | Observeerbaar criterium | Typisch bewijs |
|---|---|---|
| 1 | Noodoplossingen op de dag zelf geïmproviseerd; geen alternatieve middelen | Geen |
| 2 | Sommige oplossingen bestaan (back-ups, reservelaptops, tweede site), maar zijn niet gekoppeld aan de BIA | Lijsten van assets, back-uprapporten |
| 3 | Strategieën gekozen op basis van de resultaten van de BIA en de risicobeoordeling voor elke geprioriteerde activiteit; benodigde middelen gedocumenteerd (mensen, gegevens, gebouwen, uitrusting, ICT, logistiek, financiën, partners en leveranciers); oplossingen geïmplementeerd | Analyse van de opties, contracten, hersteldocumentatie |
| 4 | Oplossingen getest tegenover RTO en RPO; kosten en baten herzien | Testresultaten met de behaalde hersteltijden |
| 5 | Oplossingen gedeeld tussen entiteiten waar dat zinvol is, geautomatiseerd waar mogelijk, weerbaarheid vereist in nieuwe ontwerpen | Architectuurstandaarden, ontwerpreviews |
6. Plannen en procedures (clausules 8.4.1, 8.4.2, 8.4.4, 8.4.5)
| Niveau | Observeerbaar criterium | Typisch bewijs |
|---|---|---|
| 1 | Geen plan, of een generiek document dat niemand heeft gelezen | Geen |
| 2 | Er bestaan plannen voor IT-herstel of voor één site; contactlijsten gedeeltelijk verouderd | Planbestanden, contactlijst |
| 3 | Responsstructuur met activeringscriteria, crisisteam en plaatsvervangers; plannen per geprioriteerde activiteit met acties, middelen en informatiestromen; stappen voor herstel en terugkeer naar de normale situatie; beheerde versies offline beschikbaar | Set van plannen, versiegeschiedenis, offline kopieën |
| 4 | Plannen bijgewerkt binnen een vastgelegde termijn na elke oefening of elk incident; contacten gecontroleerd met een vastgelegde frequentie | Logboek van de bijwerkingen, registraties van de contactcontroles |
| 5 | Modulaire plannen en reflexkaarten die voor elk scenario werken, bereikbaar op mobiel; peer reviews | Reflexkaarten, notities van de peer reviews |
Sjabloon: bedrijfscontinuïteitsplan.
7. Oefeningen en tests (clausules 8.5, 8.6, 7.2, 7.3)
| Niveau | Observeerbaar criterium | Typisch bewijs |
|---|---|---|
| 1 | Geen oefening, of alleen brandoefeningen | Geen |
| 2 | Af en toe een oefening (belboom, één tabletop) zonder rapport of opvolging | Uitnodiging, aanwezigheidslijst |
| 3 | Meerjarig oefenprogramma voor alle plannen en het crisisteam, realistische scenario's, een rapport en acties na elke oefening; planeigenaars opgeleid | Programma, oefenrapporten, opleidingsregistraties |
| 4 | Oefendoelstellingen gemeten (tijd tot het crisisteam samenkomt, behaalde hersteltijd); afsluiting van acties opgevolgd; na verloop van tijd zwaardere formats (functioneel, failover, met leveranciers) | Observatierasters, metingen, actietracker |
| 5 | Onaangekondigde en gezamenlijke oefeningen met belangrijke leveranciers of autoriteiten; lessen gedeeld tussen entiteiten; scenario's op basis van threat intelligence | Rapporten van gezamenlijke oefeningen |
Scenario's: 10 scenario's voor crisisoefeningen.
8. Crisiscommunicatie (clausules 8.4.3, 7.4)
| Niveau | Observeerbaar criterium | Typisch bewijs |
|---|---|---|
| 1 | Wie de telefoon opneemt, spreekt; geen sjablonen | Geen |
| 2 | Woordvoerder aangeduid; enkele sjablonen; lijst van de belangrijkste belanghebbenden | Map met sjablonen, lijst van belanghebbenden |
| 3 | Waarschuwings- en communicatieprocedures voor personeel, klanten, leveranciers, autoriteiten en media; goedkeuringsworkflow; vooraf goedgekeurde holding statements; registratie van berichten; noodkanalen | Communicatieplan, sjablonen, berichtenlogboek |
| 4 | Communicatie getest in oefeningen met gemeten termijnen (eerste bericht aan het personeel, eerste holding statement); wettelijke meldingstermijnen ingeoefend | Oefenmetingen, registraties van meldingsoefeningen |
| 5 | Woordvoerders opgeleid voor de media; sjablonen in elke werktaal; sociale media gemonitord; berichten van groep en entiteiten gecoördineerd | Opleidingsregistraties, opzet van de monitoring |
Sjabloon: crisiscommunicatieplan.
9. Continuïteit van leveranciers (clausules 8.1, 8.2.2, 8.3.4, 8.6)
| Niveau | Observeerbaar criterium | Typisch bewijs |
|---|---|---|
| 1 | Kritieke leveranciers niet geïdentificeerd | Geen |
| 2 | Lijst van belangrijke leveranciers bekend bij aankoop; contracten geval per geval herzien | Leverancierslijst |
| 3 | Kritieke leveranciers geïdentificeerd op basis van de BIA; continuïteitsbepalingen in de contracten (hersteltijden, incidentmelding, exit); continuïteitscapaciteiten van leveranciers geëvalueerd; alternatieven voor single points of failure | Register van kritieke leveranciers, contractbepalingen, vragenlijsten |
| 4 | Prestaties en testresultaten van leveranciers gemonitord; concentratie bij één leverancier gemeten; belangrijke leveranciers nemen deel aan oefeningen | Rapporten van leveranciersbeoordelingen, resultaten van gezamenlijke tests |
| 5 | Gezamenlijke continuïteitsplanning met strategische leveranciers; dual sourcing en exitplannen getest | Getest exitplan |
Richtlijnen: ISO/TS 22318:2021.
10. Evaluatie van de prestaties en verbetering (clausules 9.1 tot 9.3, 10.1, 10.2)
| Niveau | Observeerbaar criterium | Typisch bewijs |
|---|---|---|
| 1 | Niets gemeten; problemen opgelost wanneer ze terugkomen | Geen |
| 2 | Enkele evaluaties na incidenten; acties opgevolgd via e-mails | E-mails, vergadernotities |
| 3 | Indicatoren vastgelegd; intern auditprogramma; directiebeoordeling met geplande tussenpozen; afwijkingen behandeld met corrigerende maatregelen | Auditrapporten, notulen van de directiebeoordeling, actieregister |
| 4 | Trends geanalyseerd; doeltreffendheid van de corrigerende maatregelen geverifieerd; maturiteit elk jaar opnieuw beoordeeld | Trendrapporten, verificatieregistraties |
| 5 | Bijna-incidenten, benchmarks en externe reviews voeden de verbetering; weerbaarheid aan de raad van bestuur gerapporteerd naast de financiële indicatoren | Rapportagepakket voor de raad van bestuur |
Hoe scoort u?
- Scoor elk domein van 1 tot 5. Niveau 1 is het vertrekpunt; een hoger niveau telt wanneer het criterium vervuld is en het bewijs kan worden getoond, en ook elk niveau daaronder moet vervuld zijn.
- Geen bewijs, geen niveau. Registraties zoals tests, evaluaties en audits moeten minder dan 12 maanden oud zijn.
- Alleen gehele getallen: een domein "tussen 2 en 3" scoort 2.
- De score van de entiteit is het gemiddelde van de tien domeinen, altijd getoond samen met het laagste domein.
- Leg per domein een doelniveau vast (zie de FAQ); de kloof tussen doel en score stuurt het actieplan.
- Gereguleerde entiteiten kunnen criteria toevoegen aan de relevante cellen, bijvoorbeeld DORA artikel 5, lid 2, punt e) (het leidinggevend orgaan keurt het ICT-bedrijfscontinuïteitsbeleid goed en evalueert het periodiek) in domein 1, DORA artikel 11, lid 6 (jaarlijkse tests) in domein 7, en NIS2 artikel 21, lid 2, punt c) (bedrijfscontinuïteit en crisisbeheer) in de domeinen 5 tot 8.
Hoe volgt u de maturiteit van uw weerbaarheid op over bedrijfsonderdelen heen?
- Eén raster, één periode. Alle onderdelen gebruiken dezelfde versie van het raster en beoordelen in hetzelfde kwartaal.
- Zelfbeoordeling, daarna kalibratie. Elk onderdeel scoort zichzelf met bewijs; een reviewer van de groep neemt elk jaar per onderdeel een steekproef van twee of drie domeinen en corrigeert scores zonder bewijs.
- Weeg op basis van kriticiteit. Geef elk onderdeel een gewicht op basis van de BIA van de groep (1 laag, 2 middel, 3 kritiek), niet alleen op basis van het personeelsaantal.
- Toon het gemiddelde en het minimum naast elkaar. Een gewogen gemiddelde verbergt zwakke onderdelen; het minimum toont ze.
- Rode vlaggen gaan boven gemiddelden. Een kritiek onderdeel op niveau 1 voor BIA, plannen, oefeningen of crisiscommunicatie wordt geëscaleerd, ongeacht het gemiddelde van de groep.
- Beoordeel gedeelde diensten één keer. De IT van de groep, gedeelde dienstverleners en de functies van het hoofdkantoor worden één keer gescoord; een onderdeel kan op een domein niet hoger scoren dan de gedeelde dienst waarop het daarvoor volledig steunt.
- Volg de trend. Bewaar voor elke cel de vorige score en de verandering; leg doelen vast op basis van kriticiteit (bijvoorbeeld 3 tot 4 voor kritieke onderdelen, 2 tot 3 voor de andere).
Illustratieve heatmap (niveaus 1 tot 5; in de spreadsheet is 1 tot 2 rood, 3 oranje, 4 tot 5 groen):
| Onderdeel (gewicht) | Gov. | Context | BIA | Risico | Strat. | Plannen | Oef. | Comm. | Lev. | Prest. | Gemiddelde |
|---|---|---|---|---|---|---|---|---|---|---|---|
| Hoofdkantoor (3) | 3 | 3 | 3 | 3 | 2 | 3 | 3 | 3 | 2 | 3 | 2,8 |
| Fabriek, België (3) | 2 | 2 | 3 | 2 | 2 | 2 | 2 | 1 | 2 | 2 | 2,0 |
| Distributie, Spanje (2) | 2 | 2 | 1 | 2 | 2 | 2 | 1 | 2 | 1 | 1 | 1,6 |
| Dochteronderneming diensten (1) | 2 | 2 | 1 | 1 | 2 | 1 | 1 | 2 | 1 | 2 | 1,5 |
| Groep, gewogen gemiddelde | 2,3 | 2,3 | 2,3 | 2,2 | 2,0 | 2,2 | 2,0 | 2,0 | 1,7 | 2,1 | 2,1 |
| Groep, minimum | 2 | 2 | 1 | 1 | 2 | 1 | 1 | 1 | 1 | 1 | 1 |
Lezing: continuïteit van leveranciers is het zwakste domein van de groep (1,7), en de Belgische fabriek, een kritiek onderdeel, staat op niveau 1 voor crisiscommunicatie. Die twee punten komen bovenaan het actieplan, nog vóór het hoofdkantoor van niveau 3 naar 4 te brengen.
Voert u dit uit voor veel entiteiten, dan toont de groepswerkruimte van ResiPlan per entiteit de BIA-dekking, de plannen, de oefeningen en de openstaande acties.
Wat vereist ISO 22301?
ISO 22301:2019 specificeert eisen om een managementsysteem te implementeren, te onderhouden en te verbeteren dat beschermt tegen verstoringen, de kans erop verkleint, zich erop voorbereidt, erop reageert en ervan herstelt. De clausules 1 tot 3 (toepassingsgebied, normatieve verwijzingen, termen) bevatten geen eisen; de eisen staan in de clausules 4 tot 10.
| Clausule | Belangrijkste eisen | Domeinen van het raster |
|---|---|---|
| 4 Context van de organisatie | Interne en externe onderwerpen (inclusief de vraag of klimaatverandering relevant is, sinds Amendement 1:2024), belanghebbenden, wettelijke en regelgevende eisen, toepassingsgebied van het BCMS | 2 |
| 5 Leiderschap | Betrokkenheid van het topmanagement, bedrijfscontinuïteitsbeleid, rollen, verantwoordelijkheden en bevoegdheden | 1 |
| 6 Planning | Risico's en kansen voor het BCMS, bedrijfscontinuïteitsdoelstellingen, geplande wijzigingen | 1, 4 |
| 7 Ondersteuning | Middelen, competentie, bewustzijn, communicatie, gedocumenteerde informatie | 1, 7, 8 |
| 8 Uitvoering | Operationele planning en beheersing, BIA en risicobeoordeling, strategieën en oplossingen, plannen en procedures (responsstructuur, waarschuwing en communicatie, plannen, herstel), oefenprogramma, evaluatie van documentatie en capaciteiten | 3 tot 9 |
| 9 Evaluatie van de prestaties | Monitoring en meting, interne audit, directiebeoordeling | 10 |
| 10 Verbetering | Afwijkingen en corrigerende maatregelen, continue verbetering | 10 |
Om de conformiteit clausule per clausule te controleren in plaats van de maturiteit, gebruikt u de ISO 22301-checklist en gap-analyse (Excel): de twee instrumenten vullen elkaar aan.
ISO 22301 voor kleine bedrijven: waar begint u?
ISO 22301 stelt dat haar eisen generiek zijn en van toepassing op alle organisaties, ongeacht hun type, omvang en aard, en dat de mate van toepassing afhangt van de operationele omgeving en de complexiteit van de organisatie. Een klein bedrijf hoeft niet overal niveau 4 te halen. Begin hier:
- Beperkt toepassingsgebied: één site, de producten en diensten die het meest tellen (clausule 4.3).
- Lichte BIA voor 5 tot 10 activiteiten: MTPD, RTO, RPO en afhankelijkheden (clausule 8.2.2).
- Top vijf van de risico's voor die activiteiten en een beslissing voor elk ervan (clausule 8.2.3).
- Eén plan: crisisteam, contacten, noodoplossingen, IT-herstel, communicatie (clausule 8.4).
- Eén tabletop-oefening met een kort rapport en acties (clausule 8.5).
- Een jaarlijkse beoordeling door de leidinggevende, met dit raster en de checklist (clausule 9.3).
Een realistisch doel voor het eerste jaar is niveau 2 in elk domein, en het jaar daarop niveau 3 voor BIA, plannen en oefeningen. Stappenplan: ISO 22301 in 10 stappen.
FAQ
Wat is bedrijfscontinuïteitsbeheer?
Bedrijfscontinuïteitsbeheer (business continuity management, BCM) is de manier waarop een organisatie bepaalt wat ze draaiende moet houden, de middelen voorbereidt om dat tijdens een verstoring te doen en zich daarna herstelt. ISO 22301 vat het op als een managementsysteem (BCMS) dat wordt gepland, uitgevoerd, gecontroleerd en verbeterd.
Is dit een officieel ISO 22301-maturiteitsmodel?
Nee. ISO 22301 stelt eisen; de norm definieert geen maturiteitsniveaus. Dit raster is van ResiPlan en is afgestemd op de clausules van ISO 22301:2019.
Wat is het verschil tussen een maturiteitsraster en een gap-analyse?
Een gap-analyse vraagt: "voldoen we aan elke eis?". Een maturiteitsraster vraagt: "hoe goed, en hoe consistent over de onderdelen heen?". Gebruik de gap-analyse vóór de certificering, en het raster om de vooruitgang jaar na jaar te sturen.
Hoe vaak moeten we opnieuw beoordelen?
Eén keer per jaar, in dezelfde periode voor alle onderdelen, en na een grote wijziging zoals een overname, een nieuwe site of een ernstig incident.
Welk doelniveau moeten we nastreven?
Dat hangt af van de kriticiteit: niveau 3 is een degelijk doel voor de meeste domeinen van een kritiek onderdeel, niveau 2 voor een klein onderdeel of een onderdeel met een lage impact, en niveau 4 waar toezichthouders of klanten gemeten prestaties verwachten.
Bronnen
- ISO 22301:2019, Veiligheid en weerbaarheid — Managementsystemen voor bedrijfscontinuïteit — Eisen
- ISO 22301:2019/Amd 1:2024, Wijzigingen in verband met klimaatactie
- ISO 22313:2020, Richtlijnen voor het gebruik van ISO 22301
- ISO/TS 22317:2021, Richtlijnen voor de bedrijfsimpactanalyse
- ISO/TS 22318:2021, Richtlijnen voor het continuïteitsbeheer van de toeleveringsketen
- ISO/TC 292, gepubliceerde normen (veiligheid en weerbaarheid)
- Verordening (EU) 2022/2554 (DORA), artikelen 5 en 11, EUR-Lex
- Richtlijn (EU) 2022/2555 (NIS2), artikel 21, EUR-Lex