Een crisiscel (crisis management team, CMT) is de kleine groep senior medewerkers, vooraf aangeduid en opgeleid, die de leiding van een organisatie overneemt wanneer een gebeurtenis het normale incidentbeheer ontstijgt. Ze beoordeelt de situatie, legt prioriteiten vast, neemt beslissingen in onzekerheid, coördineert de responsteams en spreekt namens de organisatie tot de activiteiten weer normaal verlopen.
Bijna elke organisatie heeft er een op papier. Op de dag zelf loopt het mis op details: een crisisdirecteur die onbereikbaar is en geen plaatsvervanger heeft, een oproep verstuurd via een e-mailsysteem dat de aanvaller meeleest, een crisislogboek dat niemand bijhoudt. Deze gids beschrijft hoe u een crisiscel samenstelt, activeert en aanstuurt die standhoudt, op basis van ISO 22361, de richtlijnen van het Franse nationale cyberbeveiligingsagentschap (ANSSI), NIS2 en DORA.
De versie in 30 seconden
- De cel wordt geactiveerd wanneer het normale incidentbeheer niet meer volstaat, op basis van schriftelijke criteria, door aangeduide personen.
- Twee niveaus: een strategische cel die beslist en een operationeel niveau dat uitvoert.
- Elke kritieke rol heeft een titularis en een plaatsvervanger; de samenstelling verandert met het type crisis (cyber: CISO, DPO en juridische dienst zijn onontbeerlijk).
- Het crisislogboek registreert met tijdstempel elke informatie, beslissing en actie: het is uw stuurinstrument, uw overdrachtsinstrument en uw bewijs.
- Voorzie noodkanalen buiten de bedrijfs-IT en oefen minstens één keer per jaar met de cel.
Wat is een crisiscel?
Een crisis is geen groot incident. Het is een instabiele, mogelijk ernstige situatie die de normale procedures niet aankunnen: de informatie is onvolledig, de tijd is krap en de beslissingen binden het topmanagement. De crisiscel herstelt geen servers. Ze beslist wat belangrijk is (mensen beschermen, kiezen welke activiteiten blijven draaien, bepaalde verliezen aanvaarden om erger te voorkomen) en communiceert met de belanghebbenden.
Drie referenties kaderen het onderwerp:
- ISO 22361:2022, gepubliceerd in oktober 2022, biedt richtlijnen voor strategisch crisisbeheer: leiderschap, besluitvorming in team, communicatie, opleiding en leren. U kunt zich erop afstemmen of erop inspireren; het is geen certificeerbare norm.
- ISO 22301:2019 vereist een responsstructuur (clausule 8.4.2): geïdentificeerde teams met hun rollen, competenties en aangeduide vervangers.
- NIS2 vermeldt "crisisbeheer" bij de maatregelen van artikel 21, en DORA verplicht financiële entiteiten, met uitzondering van micro-ondernemingen, tot een crisisbeheerfunctie (artikel 11, lid 7).
De crisiscel is de beslissingskern van uw bedrijfscontinuïteitsplan.
Incident of crisis: wanneer activeert u de crisiscel?
Te laat activeren is de meest voorkomende fout; activeren voor niets ondermijnt de geloofwaardigheid van de cel. De oplossing: schriftelijke drempels en een tussenniveau.
| Niveau | Aanleiding | Wie beslist | Wie wordt gemobiliseerd |
|---|---|---|---|
| Incident | Gebeurtenis gedekt door een gekende procedure | Incidentmanager | Operationele teams, wachtdiensten |
| Alarm | Een activeringscriterium is vervuld of waarschijnlijk | Wachtverantwoordelijke of elk gemachtigd lid | Kerngroep: crisisdirecteur, coördinator, betrokken expert, communicatie |
| Crisis | Criterium bevestigd, situatie niet onder controle | Crisisdirecteur | Volledige strategische cel en operationele teams |
Eén enkel criterium volstaat om naar alarm over te gaan: een bedreiging voor de veiligheid van mensen; een onderbreking van een kritieke activiteit die de maximaal aanvaardbare onderbrekingsduur nadert die in de BIA is vastgelegd; meerdere sites of kritieke activiteiten die tegelijk getroffen zijn; een waarschijnlijke melding aan een overheid; een datalek; media-aandacht; een omvang die nog niemand kan inschatten.
Deze drempels gaan over bedrijfsimpact, niet over de technische oorzaak. Op 19 juli 2024 legde een foutieve update van CrowdStrike volgens Microsoft zo'n 8,5 miljoen Windows-toestellen plat. Voor veel organisaties werd een routinematig IT-incident binnen enkele uren een crisis.
Wie mag activeren? De crisisdirecteur of een van de plaatsvervangers op een schriftelijke lijst; de wachtverantwoordelijke kan het alarmniveau activeren zonder op iemand te wachten. ANSSI raadt aan beide wegen te voorzien: van onderuit, wanneer een drempel wordt overschreden, en van bovenaf, op beslissing van het strategische niveau. Noteer het tijdstip waarop de organisatie kennis kreeg van de gebeurtenis: de meldingstermijnen beginnen dan te lopen.
Structuur van de crisiscel: wie zetelt erin?
Twee niveaus: strategisch en operationeel
De strategische cel legt doelstellingen vast, maakt afwegingen, keurt externe communicatie goed en onderhoudt de contacten met de overheden. In de praktijk zes tot tien personen: daarboven gaat men in de zaal debatteren in plaats van beslissen. Het operationele niveau voert uit: een IT- en cybercel (onderzoek, inperking, herstel), teams uit de bedrijfsonderdelen die continuïteitsprocedures en noodoplossingen uitvoeren, en zo nodig logistieke of HR-cellen. De gids van ANSSI over cybercrisisbeheer, gepubliceerd in december 2021 (Franse pagina; er bestaat een Engelse versie), beschrijft precies deze structuur.
Per operationeel team rapporteert één contactpersoon bij elke situatiebespreking; beslissingen gaan via het crisislogboek terug naar beneden, elk met een aangeduide verantwoordelijke en een termijn. De strategische cel stuurt het herstel niet server per server aan, en geen enkel operationeel team communiceert extern zonder goedkeuring. Wanneer twee bedrijfsonderdelen om dezelfde middelen strijden, beslist de strategische cel op basis van de prioriteiten uit de BIA.
Rollen in de crisiscel
| Rol | Taak tijdens de crisis |
|---|---|
| Crisisdirecteur | Legt doelstellingen vast, hakt de knoop door, verbindt de organisatie (CEO of een gemandateerd directielid) |
| Crisiscoördinator | Leidt de situatiebesprekingen, volgt de acties op (vaak de verantwoordelijke bedrijfscontinuïteit) |
| Logboekhouder | Houdt het crisislogboek bij |
| Communicatie en woordvoerder | Interne en externe berichten; de woordvoerder is de enige publieke stem |
| Juridische dienst | Wettelijke en contractuele verplichtingen, klachten bij de politie, bewaring van bewijs |
| HR | Veiligheid en informatie van het personeel, werkregelingen, beurtrol |
| CIO / IT | Toestand van de IT, realistische herstelopties en -termijnen |
| CISO | Kwalificatie van de aanval, inperking, contact met het CSIRT en de incidentresponsexperts |
| DPO | Inbreuken in verband met persoonsgegevens, melding aan de gegevensbeschermingsautoriteit |
| Financiën | Liquiditeit, kritieke betalingen, schadeclaims bij verzekeraars |
| Vertegenwoordigers van de bedrijfsonderdelen | Werkelijke impact op de activiteiten, activering van noodoplossingen |
| DORA- / ICT-risicoverantwoordelijke (financiële entiteiten) | Classificatie van grote ICT-gerelateerde incidenten, meldingen aan de toezichthouder |
Drie taken worden nooit gecombineerd: wie beslist, wie voorzit en wie schrijft.
Een titularis en een plaatsvervanger voor elke kritieke rol
Crises gebeuren 's nachts, in het weekend, terwijl de CEO in het vliegtuig zit. Elke kritieke rol heeft daarom een aangeduide plaatsvervanger, opgeleid, uitgenodigd op oefeningen en met dezelfde toegangsrechten als de titularis. De plaatsvervanger deelt niet dezelfde site of reis als de titularis en neemt nooit twee kritieke rollen tegelijk waar. De crisisgids, met privételefoonnummers, wordt offline bewaard.
De samenstelling verandert met het type crisis
| Type crisis | Eerst te mobiliseren rollen | Te voorziene externe ondersteuning |
|---|---|---|
| Cyberaanval | CISO, CIO, DPO, juridische dienst, communicatie; DORA-verantwoordelijke voor een financiële entiteit | Incidentresponsleverancier, cyberverzekeraar, CSIRT, externe advocaat |
| Fysiek incident (brand, overstroming) | Beveiliging en facilitair beheer, HR, sitemanagers | Hulpdiensten, verzekeraar, lokale overheden |
| Uitval van een kritieke leverancier | Aankoop, juridische dienst, bedrijfsonderdelen, IT bij een ICT-leverancier | Alternatieve leverancier, juridisch advies |
| Reputatiecrisis | Communicatie, juridische dienst, CEO | Adviseur crisiscommunicatie |
De eerste 60 minuten na activering
Het eerste uur lost de crisis niet op. Het doel is het initiatief terug te winnen.
| Tijdstip | Doel | Wat moet er gebeuren |
|---|---|---|
| T+0 tot T+10 | Alarm | De gebeurtenis kwalificeren, de cel oproepen via het primaire kanaal en een noodkanaal, het crisislogboek openen (tijdstip van detectie, tijdstip van kennisname) |
| T+10 tot T+20 | Aanwezigheidscontrole | Wie heeft bevestigd, wie is onbereikbaar? De plaatsvervangers bellen; starten zonder op een volledig quorum te wachten |
| T+20 tot T+35 | Eerste situatiebespreking | Wat we weten (met bronnen), wat we niet weten, het ergste plausibele scenario, de impact, de acties die al lopen |
| T+35 tot T+50 | Eerste beslissingen | Mensen beschermen, inperkingsmaatregelen goedkeuren die de activiteiten raken, plannen activeren, de meldingen opstarten, de woordvoerder aanduiden |
| T+50 tot T+60 | Eerste bericht | Het personeel vertellen wat er gebeurt, wat ze moeten doen en wanneer de volgende update komt; een voorlopige verklaring voorbereiden; het vergaderritme vastleggen |
"We weten het nog niet" is een aanvaardbaar antwoord. Stilte niet.
De crisis aansturen: vergaderritme, crisislogboek en overdrachten
Vergaderritme
Het vergaderritme (battle rhythm) is de cadans van de situatiebesprekingen: kort (20 tot 30 minuten), op vaste tijdstippen, telkens met dezelfde agenda (situatie, impact, acties, nodige beslissingen, communicatie, volgende bespreking). Ter indicatie: in het begin om de één à twee uur, daarna twee- of driemaal per dag zodra de situatie stabiliseert. Laat de teams tussen de besprekingen door werken. Voor wie adviseert en wie beslist, zie ons artikel over het RAPID-kader voor crisisbeheerplannen.
Het crisislogboek: wat u registreert en waarom het u beschermt
Het crisislogboek (ook beslissingslogboek genoemd) is het chronologische verslag van de crisis. Elke vermelding draagt een tijdstempel, de bron en het type: ontvangen informatie, beslissing, actie, communicatie of melding. Een beslissing wordt geregistreerd met de overwogen opties, de motivering en wie ze nam; een actie met een verantwoordelijke en een termijn; een melding met het tijdstip van verzending en de referentie van de indiening. Een aangeduide logboekhouder houdt het bij, er wordt nooit iets gewist (een correctie is een nieuwe vermelding) en er wordt een offline kopie bewaard.
Met het logboek stuurt u, draagt u over tussen ploegen, voedt u de evaluatie na de crisis en bewijst u wat u hebt gedaan. DORA verplicht financiële entiteiten om, wanneer hun ICT-continuïteits- en responsplannen worden geactiveerd, gemakkelijk toegankelijke registraties bij te houden van de activiteiten vóór en tijdens verstoringen (artikel 11, lid 8). Tegenover een verzekeraar, een toezichthouder of een rechtbank toont het aan dat elke beslissing redelijk was gezien wat op dat moment bekend was. Een beslissing die nooit werd geregistreerd, is moeilijk te verdedigen.
Vermoeidheid en beurtrol bij langdurige crises
Een cybercrisis kan meerdere weken duren, waarschuwt ANSSI, en niemand beslist nog goed na twintig uur wakker te zijn. Plan de beurtrol vanaf de eerste uren: ploegen met gespreide wissels, een formele overdracht op basis van het crisislogboek, een crisisdirecteur die het voorzitterschap overdraagt aan de plaatsvervanger, en één persoon die de werkuren en de logistiek opvolgt (maaltijden, overnachting, vervoer, toegang tot gebouwen).
De crisisruimte: fysiek, virtueel en noodkanalen
Een fysieke crisisruimte moet werken wanneer al de rest uitvalt: een reserveruimte op een andere site, noodstroom, een netwerkverbinding die los staat van het bedrijfsnetwerk, afgedrukte plannen en crisisgids, en wandborden voor de tijdlijn en de beslissingen. Een virtuele crisisruimte (een permanente videobrug) brengt verspreide leden samen, maar hangt vaak af van de identiteitsdirectory en de e-mail van het bedrijf.
Als een compromittering mogelijk is, bespreek de respons dan niet via de bedrijfsmail: de aanvaller leest misschien mee. Bereid vóór elke crisis de privételefoonnummers van de leden voor, een berichten- en videoruimte buiten de bedrijfsomgeving met vooraf aangemaakte accounts, en een offline bewaarde crisisgids, zoals ANSSI aanbeveelt. Test deze kanalen tijdens oefeningen.
Communicatie- en meldingsverplichtingen
Drie principes: het personeel hoort het nieuws vóór de pers, één stem spreekt, en elk bericht vermeldt het tijdstip van het volgende. DORA vereist dat minstens één persoon verantwoordelijk is voor de communicatiestrategie bij ICT-gerelateerde incidenten en voor de publieke en mediafunctie (artikel 14, lid 3).
| Regime | Ontvanger | Termijnen | Verantwoordelijke in de cel |
|---|---|---|---|
| NIS2 (significant incident) | CSIRT of bevoegde autoriteit | Vroegtijdige waarschuwing binnen 24 u, incidentmelding binnen 72 u, eindverslag uiterlijk één maand na de melding | CISO, juridische dienst |
| DORA (groot ICT-gerelateerd incident) | Bevoegde autoriteit | Eerste melding binnen 4 u na classificatie van het incident als groot (en uiterlijk 24 u na kennisname); tussentijds verslag binnen 72 u na de eerste melding; eindverslag uiterlijk één maand na het laatste tussentijdse verslag | DORA- / ICT-risicoverantwoordelijke |
| AVG (inbreuk in verband met persoonsgegevens) | Gegevensbeschermingsautoriteit | Indien mogelijk uiterlijk 72 u na kennisname | DPO |
| Contracten en verzekering | Klanten, partners, verzekeraar | Zoals bepaald in de contracten: controleer dit vóór de crisis | Juridische dienst, financiën |
De DORA-termijnen komen uit Gedelegeerde Verordening (EU) 2025/301 van de Commissie; voor NIS2, zie NIS2-incidentmelding: 24 u, 72 u en één maand. Gebruiksklare sjablonen: ons sjabloon voor een crisiscommunicatieplan en onze generator voor incidentrapporten.
De crisis afsluiten, leren en oefenen
Criteria voor afschaling
De criteria voor afschaling worden bij de activering vastgelegd en herbeoordeeld naarmate de crisis evolueert: de mensen zijn veilig, de kritieke activiteiten zitten weer boven hun overeengekomen minimumniveau, de dreiging is ingeperkt en wordt opgevolgd, de verplichte meldingen zijn gebeurd en er blijft geen beslissing over die het topmanagement vereist. De rest (heropbouw, inhaalwerk, geschillen) gaat over naar projectmodus. Schaal gefaseerd af (crisis, alarm, normale werking), breng iedereen op de hoogte, regel overuren en rustdagen, en bedank de teams.
Evaluatie na de crisis
ANSSI beschrijft twee fasen: een "warme" debriefing via gesprekken in de dagen erna, daarna een "koude" evaluatie met een synthese en een actieplan. Het is geen audit en niemand zoekt een schuldige. Elke vaststelling wordt een gedateerde corrigerende actie en vervolgens een bijwerking van het plan, de crisisgids en de activeringscriteria.
De cel trainen
Twee keer per jaar een alarm- en aanwezigheidstest, minstens één keer per jaar een tabletop-oefening voor de strategische cel, elke plaatsvervanger die één keer per jaar de rol van titularis speelt, en realistische beperkingen: e-mail plat, directeur onbereikbaar, een journalist aan de lijn in het eerste uur. DORA vereist nu al dat ICT-continuïteitsplannen minstens jaarlijks worden getest, en dat ook crisiscommunicatieplannen worden getest. Ideeën voor scenario's: 10 scenario's voor crisisoefeningen.
Tools voor de crisiscel
Een tool vervangt geen training, en moet bruikbaar blijven wanneer de bedrijfs-IT uitvalt: bewaar offline exports van de crisisorganisatie en de crisisgids.
Wat ResiPlan concreet doet
- Crisiscel binnen het crisisbeheerplan: een bibliotheek van 16 crisisrollen op directieniveau, met voor elke rol een titularis en een plaatsvervanger.
- Automatische controle op lacunes: kritieke rollen zonder plaatsvervanger en, voor een cybercrisisplan, ontbrekende rollen van CISO, DPO of DORA-verantwoordelijke.
- Crisiscommandocockpit: een stappenplan in 6 fasen, een aanwezigheidscontrole (niet gecontacteerd, gecontacteerd, bevestigd, onbereikbaar) en acties per fase die kunnen worden bevestigd, gestart, afgerond of opnieuw toegewezen.
- Meldingen via e-mail en Slack, Teams of Discord, en een duidelijk aangegeven oefenmodus.
- Beslissingslogboek en optionele opname van vergaderingen van de crisiscel: de transcriptie vult ontwerpbeslissingen voor in die een persoon moet valideren (toestemming vereist, sprekers geanonimiseerd).
- Eén incidentregister: een crisis is een geëscaleerd incident. Tabletop-oefeningen en crisis gaming.
- Een crisisbeheermodule afgestemd op de richtlijnen van ISO 22361:2022.
Een eerlijke kanttekening: software maakt niemand compliant en certificeert niemand. ResiPlan structureert, verbindt en documenteert het werk dat uw teams leveren. Gratis proefperiode van 7 dagen, zonder kredietkaart.
Checklist: is uw crisiscel klaar?
- De activeringscriteria zijn op papier gezet en de personen die de cel mogen activeren, zijn aangeduid.
- Het strategische en het operationele niveau zijn gedefinieerd, met één contactpersoon per operationeel team.
- Elke kritieke rol heeft een opgeleide titularis en plaatsvervanger.
- Een logboekhouder en een sjabloon voor het crisislogboek staan klaar.
- De crisisgids wordt offline bewaard en twee keer per jaar getest.
- Een crisisruimte en een reserveruimte zijn uitgerust.
- Noodkanalen buiten de bedrijfs-IT zijn opgezet en getest.
- Meldingssjablonen voor NIS2, DORA en de AVG zijn opgesteld.
- Er bestaat een beurtrol voor crises die langer dan 24 uur duren.
- In de voorbije 12 maanden vond een tabletop-oefening plaats en de corrigerende acties worden opgevolgd.
FAQ
Wie hoort in een crisiscel?
Minimaal: een crisisdirecteur, een coördinator, een logboekhouder, communicatie, de juridische dienst, HR, IT en de getroffen bedrijfsonderdelen. Afhankelijk van de crisis voegt u de CISO en DPO toe (cyber), beveiliging en facilitair beheer (fysieke incidenten) of de DORA-verantwoordelijke (financiële entiteiten). Elke kritieke rol heeft een plaatsvervanger.
Wie beslist om de crisiscel te activeren?
De crisisdirecteur of een van de aangeduide plaatsvervangers roept de crisis uit. De wachtverantwoordelijke kan het alarmniveau activeren zodra een criterium is vervuld, zodat de kerngroep zonder vertraging samenkomt.
Wat is een crisislogboek?
Het is het chronologische verslag met tijdstempels van alles wat de cel ontvangt, beslist, doet en communiceert. Het dient om de respons aan te sturen, over te dragen tussen ploegen, de evaluatie na de crisis voor te bereiden en beslissingen te verantwoorden tegenover een toezichthouder, een verzekeraar of een rechtbank.
Hoeveel personen telt een crisiscel?
In de praktijk zes tot tien personen in de strategische cel. Daarboven slepen de discussies aan en vertragen de beslissingen. Andere experts sluiten op verzoek aan of werken in de operationele teams.
Is een crisiscel verplicht?
NIS2 neemt crisisbeheer op in de maatregelen van artikel 21 voor essentiële en belangrijke entiteiten, en DORA verplicht financiële entiteiten, met uitzondering van micro-ondernemingen, tot een crisisbeheerfunctie. ISO 22301 vereist een responsstructuur met geïdentificeerde teams en vervangers. Buiten de gereglementeerde sectoren verwachten klanten en verzekeraars er steeds vaker een.
Kunt u gecertificeerd worden volgens ISO 22361?
Nee. ISO 22361:2022 bevat richtlijnen, geen certificeerbare eisen. U kunt uw crisisbeheer erop afstemmen; certificering van een managementsysteem voor bedrijfscontinuïteit gebeurt volgens ISO 22301.
Verder lezen
- Crisisbeheerplan en het RAPID-kader
- 10 scenario's voor crisisoefeningen
- NIS2-incidentmelding: 24 u, 72 u, één maand
- Sjabloon voor een incidentresponsplan
- Crisisbeheer met ResiPlan
Een crisiscel wordt niet beoordeeld op haar organigram, maar op de kwaliteit van haar beslissingen om 3 uur 's nachts met de helft van de informatie: daarop moet u zich voorbereiden.