ISO 22301-certificering is de bevestiging, afgeleverd door een onafhankelijke certificatie-instelling, dat het managementsysteem voor bedrijfscontinuïteit (BCMS) van een organisatie binnen een afgebakende scope voldoet aan de eisen van ISO 22301:2019. Ze wordt toegekend na een audit in twee fasen, is drie jaar geldig en wordt in stand gehouden via jaarlijkse opvolgingsaudits.
De opbouw van het BCMS zelf behandelen we in ISO 22301 in 10 stappen. Deze gids focust op het certificeringstraject: wat de auditor controleert, welke bewijsstukken u nodig hebt, een realistische doorlooptijd, wat de kosten bepaalt en de bevindingen waarover organisaties struikelen die op papier klaar leken.
De versie in 30 seconden
- Wat gecertificeerd wordt, is het managementsysteem van een organisatie binnen een scope, nooit een product of software. ISO zelf reikt geen certificaten uit.
- Certificering is vrijwillig. Ze weegt door in aanbestedingen en ondersteunt uw bewijsvoering voor NIS2 of DORA, maar is geen naleving van regelgeving.
- De cyclus: stage 1 (gereedheid), stage 2 (implementatie), een certificaat van 3 jaar, jaarlijkse opvolgingsaudits, daarna hercertificering.
- De auditor wil een systeem dat al draait: een goedgekeurde BIA, een gedocumenteerde oefening, een interne audit, een directiebeoordeling, opgevolgde corrigerende maatregelen.
- De kosten worden vooral bepaald door het aantal auditdagen (personeelsbestand, vestigingen, complexiteit) en de interne tijd.
Wat certificeert ISO 22301 precies?
Een ISO 22301-certificaat bevestigt dat een BCMS (het beleid, de processen, rollen en bewijsstukken die de continuïteit sturen) binnen een bepaalde scope in overeenstemming is met de norm: specifieke diensten, entiteiten en vestigingen. Het certificeert geen afzonderlijk plan, softwareproduct of persoon.
Er zijn drie partijen betrokken:
- ISO schrijft de norm, maar is, zoals de organisatie zelf aangeeft, niet betrokken bij certificering en reikt geen certificaten uit.
- De certificatie-instelling voert de audits uit en neemt de certificeringsbeslissing, volgens ISO/IEC 17021-1, de norm voor instellingen die managementsystemen certificeren.
- De accreditatie-instelling controleert de bekwaamheid en onpartijdigheid van certificatie-instellingen. In de EU wijst elke lidstaat één nationale accreditatie-instelling aan (Verordening (EG) nr. 765/2008), zoals Cofrac in Frankrijk of DAkkS in Duitsland. In het Verenigd Koninkrijk beheert UKAS een specifieke accreditatieregeling voor ISO 22301-certificering, ondersteund door ISO/IEC TS 17021-6 (bekwaamheidseisen voor BCMS-auditors).
Waarom de scope ertoe doet. Ze staat op het certificaat, en een geïnformeerde klant leest ze als eerste. Een scope die beperkt is tot het hoofdkantoor zegt niets over de dienst die die klant bij u afneemt; een te brede scope vermenigvuldigt het aantal auditdagen en het risico op bevindingen. Begin met de diensten die uw klanten en toezichthouders als kritiek beschouwen, verantwoord elke uitsluiting (clausule 4.3) en breid de scope in latere cycli uit.
Is ISO 22301-certificering verplicht?
Nee. Geen enkele Europese of nationale wet vereist ISO 22301-certificering. Organisaties streven ze na om vier redenen:
- Aanbestedingen en leveranciersvragenlijsten, waar een certificaat tientallen vragen over continuïteit vervangt.
- Gereglementeerde klanten, die de weerbaarheid van hun kritieke dienstverleners moeten aantonen.
- Discipline: een externe beoordeling elk jaar voorkomt dat het programma verwatert.
- Bewijsvoering voor regelgeving. Artikel 21(2)(c) van de NIS2-richtlijn vermeldt "bedrijfscontinuïteit, zoals back-upbeheer en herstel na een calamiteit, en crisisbeheer", en Artikel 25 vraagt de lidstaten het gebruik van Europese en internationale normen aan te moedigen. DORA (Artikel 11) vereist een ICT-bedrijfscontinuïteitsbeleid en plannen die minstens eenmaal per jaar getest worden.
Certificering is geen naleving. Een certificaat bevestigt dat een BCMS op een bepaald moment, binnen een scope, aan de norm voldoet. Noch NIS2 noch DORA beschouwt het als een vermoeden van conformiteit, en het toont noch uw termijnen voor incidentmelding, noch uw beheer van ICT-risico's van derden aan. Het is een sterke basis voor bewijsvoering, niet meer. Zie NIS2: essentiële versus belangrijke entiteiten en onze DORA-gids 2026.
Wat moet er klaarstaan vóór de certificatie-audit?
De klassieke fout is de audit inplannen zodra de documenten geschreven zijn. Auditors certificeren geen intenties; ze controleren of een systeem werkt en bewijsstukken oplevert. Vóór stage 1 moet u het volgende kunnen tonen:
- een goedgekeurde scope, een goedgekeurd beleid en goedgekeurde doelstellingen;
- een goedgekeurde, gedateerde BIA en risicobeoordeling (zie onze BIA-gids in 7 stappen);
- gekozen en verantwoorde strategieën, en uitgebrachte plannen;
- minstens één oefening uitgevoerd, met een verslag en acties;
- een interne audit die het volledige BCMS en de volledige scope dekt;
- een gehouden directiebeoordeling, met vastgelegde beslissingen;
- corrigerende maatregelen die opgevolgd worden, waarvan sommige al afgesloten.
Dat is niet willekeurig: ISO/IEC 17021-1 vermeldt bij de doelstellingen van stage 1 de controle dat interne audits en directiebeoordelingen gepland en uitgevoerd zijn. ISO 22301 legt geen minimale werkingsperiode op, maar een eerste volledige cyclus aan bewijsstukken opbouwen duurt zelden minder dan drie maanden.
Nog een verrassing: de certificatie-instelling mag u niet adviseren over de implementatie van het systeem (een onpartijdigheidsregel uit ISO/IEC 17021-1). Wilt u een blik van buitenaf, organiseer dan een proefaudit door uw interne auditor of een consultant.
Hoe verloopt de certificeringscyclus?
1. Aanvraag en offerte
Op basis van uw scope, personeelsbestand, vestigingen en uitbestede activiteiten berekent de certificatie-instelling het aantal auditdagen en maakt ze doorgaans een offerte voor de volledige cyclus van drie jaar.
2. Stage 1: documentatie- en gereedheidsbeoordeling
De auditor beoordeelt uw documentatie, scope, BIA, interne audit en directiebeoordeling, en besluit vervolgens of u klaar bent voor stage 2.
3. Stage 2: implementatie-audit
De auditor controleert of het systeem toegepast wordt en doeltreffend is: interviews, steekproeven van plannen, oefenverslagen, corrigerende maatregelen, indicatoren. Bevindingen worden ingedeeld als grote of kleine non-conformiteiten, of als verbetermogelijkheden.
4. Beslissing en certificaat
Elke non-conformiteit vereist een oorzakenanalyse en een actieplan. Grote non-conformiteiten moeten gecorrigeerd zijn, en de correctie geverifieerd, vóór de beslissing; kan de verificatie niet plaatsvinden binnen zes maanden na de laatste dag van stage 2, dan moet stage 2 overgedaan worden. Voor kleine volstaat een aanvaard actieplan. De beslissing wordt genomen door iemand die niet aan de audit heeft deelgenomen.
5. Opvolging en hercertificering
| Audit | Wanneer | Wat wordt onderzocht |
|---|---|---|
| Stage 1 | Enkele weken vóór stage 2 | Documentatie, scope, gereedheid |
| Stage 2 | Zodra de aandachtspunten uit stage 1 behandeld zijn | Implementatie en doeltreffendheid van het volledige systeem |
| Opvolgingsaudit 1 | Uiterlijk 12 maanden na de certificeringsbeslissing | Een steekproef van clausules, plus bij elk bezoek: interne audit, directiebeoordeling, opvolging van bevindingen, wijzigingen |
| Opvolgingsaudit 2 | Het jaar daarop (minstens één audit per kalenderjaar) | Idem, op een andere steekproef |
| Hercertificering | Jaar 3, vóór de vervaldatum | Het volledige systeem, voor een nieuwe cyclus van 3 jaar |
Welke gedocumenteerde bewijsstukken vraagt de auditor?
ISO 22301:2019 volgt de gemeenschappelijke structuur van normen voor managementsystemen (clausules 4 tot 10). Sommige bewijsstukken zijn uitdrukkelijk vereist als "gedocumenteerde informatie" (scope, beleid, doelstellingen, plannen, interne audit, directiebeoordeling, corrigerende maatregelen); de rest is gewoon de meest directe manier om aan de eis te voldoen.
| Clausule | Eis | In de praktijk verwachte bewijsstukken |
|---|---|---|
| 4.1 / 4.2 | Context, belanghebbenden, wettelijke eisen | Contextanalyse (inclusief klimaat), register van wettelijke, reglementaire en contractuele eisen |
| 4.3 | Scope van het BCMS | Diensten, vestigingen, entiteiten, verantwoorde uitsluitingen |
| 5.2 | Beleid | Goedgekeurd, gecommuniceerd beleid |
| 6.2 | Doelstellingen voor bedrijfscontinuïteit | Meetbare doelstellingen, plan om ze te bereiken, opvolging |
| 7.2 | Bekwaamheid | Opleidings- en bekwaamheidsregistraties voor sleutelpersonen |
| 8.2 | BIA en risicobeoordeling | Goedgekeurde BIA, risicobeoordeling, herzieningen op geplande tijdstippen en na significante wijzigingen |
| 8.3 | Strategieën en oplossingen | Overwogen opties, selectiecriteria (kosten, baten, risico), goedgekeurde beslissing |
| 8.4 | Plannen en procedures | Responsstructuur met plaatsvervangers, waarschuwings- en communicatieprocedure, plannen beschikbaar waar nodig |
| 8.5 | Oefenprogramma | Programma, scenario's, verslagen na oefeningen, acties |
| 8.6 | Evaluatie van documentatie en capaciteiten | Evaluaties na oefeningen of incidenten, beoordeling van kritieke leveranciers |
| 9.1 | Monitoring en meting | Indicatoren en analyse |
| 9.2 | Interne audit | Programma, verslagen, bekwame en onpartijdige auditors |
| 9.3 | Directiebeoordeling | Notulen met input en beslissingen |
| 10.1 | Non-conformiteit en corrigerende maatregelen | Register, oorzakenanalyses, doeltreffendheidscontroles |
De klimaatwijziging van 2024 en de lopende herziening
Amendement 1 (ISO 22301:2019/Amd 1:2024), gepubliceerd in februari 2024, voegt aan clausule 4.1 de eis toe om te bepalen of klimaatverandering een relevant issue is, en in 4.2 een opmerking dat belanghebbenden klimaatgerelateerde eisen kunnen hebben. ISO en het IAF beschouwden het als een verduidelijking, zonder overgangsperiode en zonder nieuwe certificaten, maar auditors formuleren een bevinding als u niet kunt aantonen dat de vraag overwogen is. Voor een BCMS valt het zelden buiten scope: overstromingen en hittegolven treffen gebouwen, mensen en leveranciers.
Bij ISO loopt ook een herziening van de norm. Tot ze gepubliceerd is, gebeurt certificering volgens ISO 22301:2019 en het amendement; nadien wordt een overgangsperiode vastgelegd.
Hoelang duurt ISO 22301-certificering en wat kost ze?
Doorlooptijd: grootteordes
Uw vertrekpunt weegt zwaarder dan de audit zelf. Ter indicatie:
| Vertrekpunt | Opzet | Werking vóór de audit | Audits en beslissing | Indicatief totaal |
|---|---|---|---|---|
| Kmo met één vestiging, BCP al geoefend, 2 of 3 diensten in scope | 2 tot 4 maanden | 2 tot 3 maanden | 1 tot 3 maanden | 5 tot 9 maanden |
| Kmo of middelgroot bedrijf dat van nul begint | 4 tot 8 maanden | Ongeveer 3 maanden | 2 tot 3 maanden | 9 tot 14 maanden |
| Groep met meerdere vestigingen, meerdere entiteiten | 6 tot 12 maanden | 3 tot 6 maanden | 3 tot 4 maanden | 12 tot 24 maanden |
Wat vertraagt: de beschikbaarheid van de businessteams voor de BIA, de eerste oefening die georganiseerd moet worden, een interne audit die te laat plaatsvindt. Wat versnelt: een strakke scope, een BCP dat al getest is, een bestaand ISO 27001- of ISO 9001-systeem.
Kosten: begrijp de componenten voor u offertes vergelijkt
We publiceren geen prijsvorken: dagtarieven verschillen tussen certificatie-instellingen en landen. Dit is waar de kosten vandaan komen.
| Component | Wat het dekt | Wat het doet variëren |
|---|---|---|
| Initiële audit (stage 1 en 2) | Auditordagen, verslag, beslissing, certificaat | Personeelsbestand in scope, vestigingen, complexiteit, uitbesteding |
| Opvolging en hercertificering | Twee opvolgingsaudits, hercertificering in jaar 3 | Dezelfde factoren, plus wijzigingen en eerdere resultaten |
| Verplaatsingen | Reis- en verblijfkosten van de auditors | Spreiding van de vestigingen, aandeel audits op afstand |
| Interne tijd | BCMS-verantwoordelijke, businessteams, interne auditors, directie | Vertrekmaturiteit, omvang van de scope |
| Ondersteuning en tools (optioneel) | Consultancy, proefaudit, software | Interne competenties, aantal plannen |
Auditdagen worden niet zomaar uit de lucht gegrepen: ISO/IEC 17021-1 vereist een gedocumenteerde procedure die onder meer rekening houdt met complexiteit, regelgevende context, uitbesteding, de omvang en het aantal vestigingen, en of de audit gecombineerd of geïntegreerd is. De verantwoording wordt vastgelegd: vraag ernaar.
Voor kwaliteits-, milieu- en veiligheids- en gezondheidssystemen stelt IAF MD 5 elke opvolgingsaudit op ongeveer een derde van de initiële audit en de hercertificering op ongeveer twee derde; veel certificatie-instellingen redeneren voor ISO 22301 op dezelfde manier. Een louter illustratief voorbeeld: 6 dagen initiële audit geven ongeveer 2 dagen per opvolgingsaudit en 4 voor de hercertificering, dus 14 auditordagen over de cyclus, vermenigvuldigd met het dagtarief van de instelling.
In de praktijk is de grootste kostenpost bijna nooit de certificatie-instelling: het is de interne tijd, en vooral de continuïteitsmaatregelen zelf (uitwijklocatie, redundantie, dubbele sourcing), die tot uw strategieën behoren, niet tot de certificering.
De meest voorkomende non-conformiteiten
Dit is geen statistiek, maar wat praktijkmensen van audit tot audit zien:
| Bevinding | Wat de auditor ziet | Oplossing |
|---|---|---|
| Verouderde BIA | Een BIA die een nieuwe applicatie of leverancier negeert (8.2) | Jaarlijkse herziening, plus een herziening bij elke significante wijziging |
| Niet-gedocumenteerde oefeningen | Oefening gehouden zonder verslag, bevindingen of acties (8.5) | Telkens een formeel verslag, gekoppeld aan acties |
| Niet-gemeten doelstellingen | "De weerbaarheid verbeteren", zonder indicator (6.2, 9.1) | Gekwantificeerde doelstellingen, opgevolgd in de directiebeoordeling |
| Onvolledige directiebeoordeling | Vereiste input ontbreekt, beslissingen niet vastgelegd (9.3) | Een agenda die clausule 9.3 weerspiegelt |
| Corrigerende maatregelen die open blijven | Maandenlang open, zonder oorzakenanalyse (10.1) | Een eigenaar, een deadline, een doeltreffendheidscontrole |
| Inconsistente scope | Een vestiging in scope die in geen enkele BIA voorkomt (4.3) | Scope, BIA en plannen op elkaar afstemmen vóór stage 1 |
| Leveranciers niet beoordeeld | Geen evaluatie van hun continuïteitscapaciteit (8.6) | Vragenlijsten, contractclausules, gezamenlijke oefeningen |
Wat ze gemeen hebben: het zijn eerder lacunes in traceerbaarheid dan inhoudelijke tekortkomingen. Het werk is vaak gedaan, maar niets toont het aan in een gedateerde, goedgekeurde vorm.
Hoe kiest u een certificatie-instelling?
- Controleer de accreditatie specifiek voor ISO 22301 op de website van de accreditatie-instelling (UKAS, DAkkS, Cofrac enzovoort), niet in de commerciële brochure. Een instelling kan voor ISO 22301 geaccrediteerd zijn door de accreditatie-instelling van een ander land; dat is in orde zolang de scope de norm dekt.
- Vraag naar de bekwaamheid van de auditors in bedrijfscontinuïteit en in uw sector, en naar de manier waarop de auditdagen berekend zijn.
- Plan een geïntegreerde audit als u ook ISO 27001 of ISO 9001 nastreeft: de instelling moet voor elke norm geaccrediteerd zijn.
- Controleer de onpartijdigheid: een instelling die verbonden is met het bureau dat u adviseerde, roept een probleem op dat ISO/IEC 17021-1 strikt regelt.
Combineren met ISO 27001: de geïntegreerde audit
ISO 22301 en ISO 27001 delen de structuur van clausules 4 tot 10: beleid, documentbeheer, interne audit, directiebeoordeling en corrigerende maatregelen kunnen gedeeld worden, en Annex A van ISO/IEC 27001:2022 bevat al twee continuïteitsmaatregelen (5.29 en 5.30). Omdat ISO/IEC 17021-1 integratie meetelt bij de factoren voor audittijd, vermindert een geïntegreerde audit het totale aantal dagen. Toch wordt elke norm nog steeds getoetst aan al haar eigen eisen: een BIA en een oefenprogramma kunnen niet afgeleid worden uit een Verklaring van Toepasselijkheid. Zie ISO 22301 versus ISO 27001 en multi-framework mapping.
Checklist: bent u klaar voor de audit?
- De scope is consistent met de BIA en de plannen, en uitsluitingen zijn verantwoord.
- Beleid en doelstellingen zijn goedgekeurd, en doelstellingen hebben opgevolgde indicatoren.
- De contextanalyse behandelt uitdrukkelijk klimaatverandering.
- De BIA en de risicobeoordeling zijn goedgekeurd en minder dan een jaar oud.
- Plannen vermelden plaatsvervangers en blijven toegankelijk buiten de IT van het bedrijf.
- Er heeft minstens één oefening plaatsgevonden, met een verslag en acties.
- Kritieke leveranciers zijn beoordeeld.
- Een interne audit heeft het volledige BCMS gedekt, gevolgd door een directiebeoordeling.
- Corrigerende maatregelen hebben een eigenaar en een deadline, en sommige zijn afgesloten.
Voor een volledige zelfevaluatie: ISO 22301-checklist en sjabloon voor een bedrijfscontinuïteitsplan.
Wat ResiPlan concreet doet
- ISO 22301-clausules 4 tot 10 gekoppeld aan de modules (context, BIA, strategieën, plannen, oefeningen, audits, corrigerende maatregelen), met een overzicht van de gereedheid voor certificering, geen "compliancescore".
- BIA: berekening van RTO en MTPD, campagnes naar proceseigenaars, goedkeuringsworkflow en versiegeschiedenis.
- Strategieën: verantwoorde keuze en goedkeuring van opties, volgens de logica van clausule 8.3.
- Oefenprogramma: bevindingen omgezet in opgevolgde corrigerende maatregelen.
- Interne audit: programma's afgestemd op de richtlijnen van ISO 19011, bevindingen omgezet in corrigerende maatregelen.
- Downloadbaar bewijspakket voor de auditor, afgebakend op ISO 22301.
Een eerlijke kanttekening: software is nooit ISO 22301-gecertificeerd. Organisaties zijn dat, door een geaccrediteerde instelling, en ResiPlan is zelf niet gecertificeerd. Het maakt niemand conform: het structureert, koppelt en dateert de bewijsstukken die uw teams opleveren. Gratis proefperiode van 7 dagen, zonder kredietkaart.
FAQ
Hoeveel kost ISO 22301-certificering?
Voor de certificatie-instelling: het aantal auditdagen (bepaald door het personeelsbestand in scope, de vestigingen en de complexiteit) vermenigvuldigd met haar dagtarief, plus verplaatsingskosten. Vergelijk offertes over de volledige cyclus van drie jaar. Interne tijd en de continuïteitsmaatregelen zelf wegen doorgaans veel zwaarder.
Hoelang duurt ISO 22301-certificering?
Ter indicatie 5 tot 9 maanden voor een kmo die al een geoefend bedrijfscontinuïteitsplan heeft, 9 tot 14 maanden wanneer u van nul begint, en langer voor een groep met meerdere vestigingen. De beperkende factor is de tijd die het systeem nodig heeft om zijn eerste bewijsstukken op te leveren.
Kan een SaaS-leverancier "ISO 22301-gecertificeerd" zijn?
De software niet. De leverancier wel, als de scope van zijn BCMS de dienst dekt die hij u levert. Lees de scope die op het certificaat staat en controleer de accreditatie van de instelling die het heeft uitgereikt.
Wat gebeurt er bij een grote non-conformiteit?
Bij de initiële certificering wordt geen certificaat uitgereikt zolang de correctie niet geverifieerd is, en als dat niet kan binnen zes maanden na stage 2, wordt stage 2 overgedaan. Tijdens de cyclus kan een onopgeloste grote non-conformiteit tot schorsing leiden.
Volstaat ISO 22301-certificering voor NIS2 of DORA?
Nee. Ze levert solide bewijs op het vlak van continuïteit en crisisbeheer, maar noch NIS2 noch DORA beschouwt ze als een vermoeden van conformiteit. Incidentmelding of het beheer van ICT-risico's van derden moeten nog steeds afzonderlijk aangetoond worden.
Verder lezen
- ISO 22301 in 10 stappen: een conform BCMS implementeren
- Bedrijfscontinuïteitsplan (BCP): gids in 8 stappen voor 2026
- ISO 22301 versus ISO 27001: verschillen en overlap
- ISO 22301 versus NIST CSF
- 10 scenario's voor crisisoefeningen
Een ISO 22301-certificaat beloont geen goed geschreven map: het bevestigt elk jaar dat een continuïteitssysteem leeft, geoefend wordt en zichzelf corrigeert.