ISO 22301 en ISO 27001 worden vaak verward of als onderling uitwisselbaar beschouwd. Dat zijn ze niet. De ene houdt uw bedrijf draaiende, de andere houdt uw informatie veilig. Beide volgen dezelfde structuur voor managementsystemen, overlappen aanzienlijk, en de meeste volwassen organisaties hebben uiteindelijk beide nodig.
In één oogopslag
| ISO 22301 | ISO 27001 | |
|---|---|---|
| Discipline | Bedrijfscontinuïteitsmanagement (BCMS) | Informatiebeveiligingsmanagement (ISMS) |
| Kernvraag | "Hoe blijven we functioneren tijdens een verstoring?" | "Hoe beschermen we de vertrouwelijkheid, integriteit en beschikbaarheid van informatie?" |
| De kern | BIA → RTO/RPO → continuïteitsstrategieën → plannen → oefeningen | Risicobeoordeling → Annex A-maatregelen (93 in de versie van 2022) → SoA |
| Annex A-maatregelen | Geen maatregelencatalogus | 93 maatregelen verdeeld over 4 thema's |
| Certificeerbaar | Ja | Ja |
| Structuur | Geharmoniseerde HLS (clausules 4-10) | Geharmoniseerde HLS (clausules 4-10) |
Wat elk van beide precies doet
ISO 22301 (bedrijfscontinuïteit). Vertrekt van een bedrijfsimpactanalyse: welke processen zijn kritiek, hoelang mogen ze uitvallen (RTO), hoeveel gegevensverlies is aanvaardbaar (RPO). Van daaruit definieert u continuïteitsstrategieën, schrijft u BCP/DRP/IRP-plannen en bewijst u ze via oefeningen (clausule 8.5). Het doel is operationeel overleven.
ISO 27001 (informatiebeveiliging). Vertrekt van een risicobeoordeling van de bedreigingen voor uw informatie. U selecteert en verantwoordt maatregelen uit Annex A (93 maatregelen in 2022: organisatorisch, mensgericht, fysiek, technologisch), documenteert een Verklaring van Toepasselijkheid (Statement of Applicability) en beheert het ISMS. Het doel is informatie beschermen.
Waar ze overlappen
Ze delen dezelfde ruggengraat voor managementsystemen (clausules 4-10: context, leiderschap, planning, ondersteuning, uitvoering, evaluatie, verbetering), zodat de ISMS/BCMS-mechanismen herbruikbaar zijn: scope, beleid, interne audit, directiebeoordeling, corrigerende maatregelen.
Ze raken elkaar ook aan de randen:
- Beschikbaarheid is een beveiligingseigenschap (ISO 27001) én het hele punt van continuïteit (ISO 22301).
- ISO 27001 Annex A bevat continuïteitsmaatregelen (A.5.29-A.5.30), maar in ISO 22301 bouwt u ze pas echt goed uit.
- Een incident kan tegelijk een beveiligingsgebeurtenis en een continuïteitstrigger zijn.
Welke hebt u nodig?
- Enkel ISO 27001 als uw drijfveer louter informatiebeveiliging is (bv. een SaaS-aanbieder die zijn beveiliging aan klanten wil aantonen), maar u hebt nog altijd basiscontinuïteit nodig.
- Enkel ISO 22301 als uw drijfveer operationele weerbaarheid is en u geen beveiligingscertificaat nastreeft; in de praktijk zeldzaam.
- Beide voor de meeste gereguleerde of volwassen organisaties. DORA en NIS2 vereisen in feite beide disciplines: beheer van beveiligingsrisico's én bedrijfscontinuïteit.
Beheer ze als één programma
Omdat ze de HLS delen, bouwt u best geen twee silo's. Gebruik één managementsysteem met:
- een gedeelde scope, beleidsstructuur en audit- en beoordelingscyclus,
- één risicoregister dat zowel de beveiligingsbehandeling (27001) als de continuïteitsstrategie (22301) voedt,
- framework-overschrijdende mapping van maatregelen, zodat één enkele maatregel of één enkel bewijsstuk tegelijk beantwoordt aan 22301, 27001, DORA en NIS2.
Hoe ResiPlan helpt
ResiPlan beheert beide als één BCMS/ISMS: een BIA-gestuurd continuïteitsprogramma (22301), risicobeoordeling met 28 methodologieën en een Verklaring van Toepasselijkheid (27001), door AI gegenereerde beleidsdocumenten en plannen, oefeningen, interne audit en framework-overschrijdende dashboards die één maatregel koppelen aan ISO 22301, ISO 27001, DORA en NIS2.
Probeer de ISO 22301-checklist en de ISO 27001-checklist en vraag daarna een demo aan.
ISO 27001 houdt uw informatie veilig. ISO 22301 houdt uw bedrijf in leven wanneer er toch iets misgaat. U hebt vrijwel zeker beide nodig: één keer opgebouwd, als één programma.