De norm ISO 22301:2019 biedt een internationaal erkend kader voor de opbouw van een managementsysteem voor bedrijfscontinuïteit (Business Continuity Management System, BCMS). Dankzij de high-level structure (HLS) is de integratie met ISO 27001 en ISO 9001 eenvoudig. Hieronder vindt u een pragmatische methode in tien stappen om uw organisatie naar certificering te leiden, of gewoon naar aantoonbare veerkracht. Het audittraject zelf (stappen, tijdlijn, kosten) wordt behandeld in onze gids voor ISO 22301-certificering.
Stap 1: Context van de organisatie (clausule 4)
Begin met het formaliseren van de interne context (activiteiten, afhankelijkheden, governance) en de externe context (klanten, leveranciers, toezichthouders, belanghebbenden). Bepaal de scope van het BCMS: welke sites, bedrijfsonderdelen en functies vallen eronder. Een te brede scope verlamt het project; is ze te smal, dan verliest het systeem zijn waarde. Documenteer uitsluitingen met een verantwoording.
Stap 2: Leiderschap en betrokkenheid (clausule 5)
Het topmanagement moet een continuïteitsbeleid ondertekenen dat aansluit bij de strategie, middelen toewijzen (budget, tijd, competenties) en een BCMS-verantwoordelijke aanstellen met duidelijke bevoegdheden. Zonder zichtbare sponsoring strandt het project in comités. De directiebeoordelingen worden het driemaandelijkse sturingsmechanisme.
Stap 3: Planning voor risico's en kansen (clausule 6)
Identificeer de risico's die het BCMS kunnen beletten zijn doelstellingen te halen (verlies van een site, cyberaanval, onbeschikbaarheid van een kritieke leverancier). Stel meetbare doelstellingen vast: RTO (Recovery Time Objective), RPO (Recovery Point Objective), MTPD (Maximum Tolerable Period of Disruption). Elke doelstelling krijgt een actieplan en een benoemde eigenaar.
Stap 4: Ondersteuning en middelen (clausule 7)
Documenteer de vereiste competenties en de nodige menselijke, infrastructurele en technologische middelen. Bereid interne en externe crisiscommunicatieplannen voor: kanalen, sjabloonberichten, woordvoerders. De sensibilisering moet 100% van het personeel bereiken; de opleiding moet alle planeigenaars omvatten.
Stap 5: Bedrijfsimpactanalyse (BIA)
De BIA vormt het fundament van het BCMS. Meet voor elke kritieke activiteit:
- De financiële, regelgevende, reputatie- en menselijke impact van een verstoring
- De kriticiteit in de tijd (1u, 4u, 24u, 72u, 1 week)
- De middelen die nodig zijn voor herstel (mensen, systemen, gegevens, leveranciers, gebouwen)
- Interne en externe afhankelijkheden
De BIA levert RTO's en RPO's per proces op, die de dimensionering van de hersteloplossingen bepalen.
Stap 6: Risicobeoordeling
Vul de BIA aan met een risicobeoordeling van de belangrijkste scenario's: grote ramp, pandemie, cyberaanval, onbeschikbaarheid van een leverancier, sociale crisis. Gebruik een erkende methode (ISO 31000, EBIOS RM) en koppel elk risico aan een behandelplan: vermijden, verminderen, overdragen, aanvaarden.
Stap 7: Continuïteitsstrategieën en -oplossingen
Kies strategieën waarmee u de RTO/RPO-doelstellingen kunt halen: hot/warm/cold uitwijksite, cloudredundantie, uitgebreid telewerk, omleiding van klanten, prioriteitscontracten met leveranciers. Elke strategie verdient een business case met kosten, doorlooptijd en doeltreffendheid.
Stap 8: Continuïteits- en herstelplannen
Stel operationele plannen op: een BCP (bedrijfscontinuïteitsplan) per activiteit, een DRP (IT-herstelplan) voor IT, een IRP (Incident Response Plan) voor cyber, en een transversaal plan voor operationele continuïteit. Elk plan volgt dezelfde structuur: activering, teams, chronologische acties, middelen, communicatie, terugkeer naar de normale situatie. Reflexkaarten vatten de eerste 30 minuten samen. Gedetailleerde methode: bedrijfscontinuïteitsplan in 8 stappen.
Stap 9: Oefeningen en tests (clausule 8.5)
Geen enkel plan is geloofwaardig zonder oefening. Plan over drie jaar:
- Tabletop-oefeningen: 2 tot 4 per jaar, telkens 2 tot 4 uur
- Gedeeltelijke simulatieoefeningen: 1 tot 2 per jaar
- IT-failoveroefeningen (DRP): 1 tot 2 per jaar
- Volledige oefening over meerdere sites: 1 om de twee jaar
Elke oefening levert een verslag op met de vastgestelde tekortkomingen, corrigerende acties en deadlines.
Stap 10: Evaluatie van de prestaties en verbetering (clausules 9 en 10)
Zet een sturing op: kernindicatoren (dekkingsgraad van de BCP's, oefengraad, gemiddelde detectietijd, waargenomen effectieve RTO), jaarlijkse interne audits, halfjaarlijkse directiebeoordelingen. Non-conformiteiten leiden tot gedocumenteerde corrigerende acties. Continue verbetering voedt de volgende PDCA-cyclus.
Samenvatting: belangrijkste succesfactoren
| Factor | Impact op certificering |
|---|---|
| Sponsoring door het management | Kritiek |
| Actuele en volledige BIA | Zeer hoog |
| Realistische en gedocumenteerde oefeningen | Zeer hoog |
| Rigoureus documentbeheer | Hoog |
| Integratie met ISO 27001 | Hoog |
Meer weten
ResiPlan ondersteunt de implementatie van ISO 22301 van begin tot eind: collaboratieve BIA's, een bibliotheek met sjabloonplannen, een oefenplanner, maturiteitsdashboards en geautomatiseerd auditbewijs. De 8 plantypes (BCP, BRP, DRP, IRP, ERP, CMP, CCP, SRP) zijn vooraf geconfigureerd volgens de norm.
- Oplossing voor BCM en bedrijfscontinuïteit
- Bedrijfsimpactanalyse (BIA): praktische gids
- 10 scenario's voor crisisoefeningen
- Prijzen en demo
Bronnen: ISO 22301:2019, ISO 22313:2020 (richtlijnen voor implementatie), BCI Good Practice Guidelines 2023, AFNOR-publicaties over bedrijfscontinuïteit.