Om een tabletop-oefening voor bedrijfscontinuïteit te houden, brengt u uw crisisteam twee uur samen rond één realistisch scenario, geeft u getimede injects vrij, laat u de spelers beslissen met de plannen die ze echt hebben en beoordeelt u wat u observeert aan de hand van vaste criteria. Daarna houdt u een hotwash (een onmiddellijke nabespreking) en schrijft u een evaluatierapport met eigenaars en deadlines. Deze kit geeft u elk onderdeel, klaar voor gebruik in een kmo of een entiteit van een groep.
Een tabletop-oefening is een discussiegerichte simulatie waarin besluitvormers een verstoringsscenario stap voor stap doorlopen, zonder aan productiesystemen te raken. Ze test rollen, beslissingen, plannen en communicatie, niet de technologie. Daarom is ze gewoonlijk de eerste stap van een oefenprogramma, vóór functionele tests, failovertests en grootschalige simulaties.
Een inject is een vooraf geschreven stuk informatie (een telefoontje, een e-mail, een nieuwsbericht, een systeemmelding) dat op een vast tijdstip wordt vrijgegeven om het scenario vooruit te helpen en een beslissing af te dwingen.
Downloaden, gratis en zonder registratie: Excel-werkmap (.xlsx) · sjabloon voor het evaluatierapport (.docx).
Wat zit er in de kit?
| Onderdeel | Doel | In de download |
|---|---|---|
| Agenda en spelregels | De sessie binnen 120 minuten houden | Tabblad Agenda |
| Rolkaarten | Wie speelt, wie leidt het spel, wie observeert | Tabblad Rollen |
| Scenario en 11 getimede injects | Ransomware op het ERP, met een rol voor de IT-dienstverlener en een leverancier | Tabblad Injects, één rij per inject |
| Observatieraster | 11 criteria beoordelen op een schaal van 1 tot 4, met bewijs | Tabblad Observatie |
| Holding statement en overzicht van doelgroepen | Crisiscommunicatie voor een klein bedrijf | Rapportsjabloon, bijlage |
| Leidraad voor de hotwash en evaluatierapport | Bevindingen omzetten in opgevolgde acties | Rapportsjabloon (.docx) |
Hoe houdt u in twee uur een tabletop-oefening voor bedrijfscontinuïteit?
Een tabletop wordt gewonnen of verloren in de voorbereiding: vage doelstellingen, een scenario dat uw echte systemen negeert of observatoren die niet weten waarop ze moeten letten, halen er alle waarde uit.
| Wanneer | Taak | Verantwoordelijke |
|---|---|---|
| 6 weken vooraf | De sponsor keurt 2 of 3 doelstellingen goed (bijvoorbeeld: "het crisisteam binnen 20 minuten activeren", "onze meldingsplichten identificeren", "de communicatie naar klanten testen") | Verantwoordelijke bedrijfscontinuïteit |
| 4 weken vooraf | Het scenario aanpassen: echte namen van systemen, echte namen van dienstverleners en leveranciers, de waarden uit uw BIA (MTPD, RTO, RPO) | Facilitator |
| 2 weken vooraf | De spelers en hun plaatsvervangers uitnodigen, de observatoren briefen over het raster | Facilitator |
| 1 week vooraf | Proefdoorloop van de injects met de simulatiecel | Facilitator, simulatiecel |
| Dag van de oefening | Zaal, scherm, geprinte injectkaarten, blanco crisislogboek, actuele plannen op papier | Facilitator |
Agenda van de dag (T = minuten sinds het begin van de sessie):
| Sessietijd | Blok | Inhoud |
|---|---|---|
| T+0 tot T+10 | Briefing | Doelstellingen, afbakening, spelregels, rollen, beginsituatie |
| T+10 tot T+92 | Spel | 11 injects; elke beslissing wordt in het crisislogboek genoteerd |
| T+92 tot T+115 | Hotwash | Tafelronde, eerste bevindingen van de observatoren |
| T+115 tot T+120 | Afsluiting | De drie belangrijkste acties, eigenaars, datum van het rapport |
Spelregels om voor te lezen op T+0:
- Geen schuld, geen verwijten: we testen plannen en regelingen, geen mensen.
- Speel met de documenten en contacten die u echt hebt; ontbreekt er iets, zeg het dan: dat is een bevinding.
- De scenariotijd loopt sneller dan de echte tijd; de facilitator kondigt elke sprong aan.
- Wat niet in het crisislogboek staat, is niet gebeurd.
- Elk bericht dat de zaal verlaat, begint met "OEFENING OEFENING OEFENING"; geen echte oproepen naar klanten, media of autoriteiten, tenzij dat vooraf is afgesproken.
Hoe stelt u een crisisteam samen voor de oefening?
Houd het kernteam klein: vijf tot zeven mensen met beslissingsbevoegdheid, elk met een aangeduide plaatsvervanger. In een kmo kan één persoon twee rollen opnemen, maar elke rol moet ingevuld zijn. Het team heeft schriftelijke activeringscriteria nodig, een vergaderplaats, een noodkanaal dat niet afhangt van de aangevallen systemen, en een logboekhouder die het crisislogboek bijhoudt.
| Rol | In de oefening | In een echte crisis | Tip voor kmo's |
|---|---|---|---|
| Facilitator | Bewaakt de klok, levert de injects, speelt niet mee | n.v.t. | Iemand buiten het crisisteam, of een externe persoon |
| Simulatiecel (1 of 2) | Speelt de IT-dienstverlener, de klant, de journalist, de aanvallers, de autoriteiten | n.v.t. | Kan bij kleine groepen de facilitator zelf zijn |
| Observatoren (1 tot 3) | Vullen het observatieraster in, komen nooit tussenbeide | Interne audit, vakgenoten | Kies mensen die de opvolging op zich zullen nemen |
| Crisisleider | Beslist, legt prioriteiten vast, hakt knopen door | Idem | Algemeen directeur of plaatsvervanger |
| Verantwoordelijke operaties / business | Noodoplossingen, prioriteiten voor bestellingen en leveringen | Idem | Hoofd operaties of logistiek |
| IT-verantwoordelijke | Technische respons, contact met de IT-dienstverlener | Idem | Interne IT of de accountmanager van de dienstverlener |
| Communicatieverantwoordelijke | Interne en externe berichten, ondersteuning van de woordvoerder | Idem | Vaak de assistent van de algemeen directeur of marketing |
| Juridisch / DPO / compliance | Meldingen, contracten, bewijs, verzekering | Idem | Externe advocaat van wacht als er geen interne jurist is |
| HR | Informatie aan het personeel, welzijn, geruchten | Idem | |
| Financiën / aankoop | Leverancierscontracten, verzekeraar, kasmiddelen | Idem | |
| Logboekhouder | Logboek met tijdstempels van feiten, beslissingen en acties | Idem | Nooit de crisisleider |
Voor een uitgebreidere beschrijving van elke rol, de activering en de eerste 60 minuten, zie rollen in het crisisteam.
Het scenario: ransomware treft het ERP op een maandagochtend
Beginsituatie (voorlezen op T+10). Het Bedrijf produceert en verdeelt reserveonderdelen: 180 medewerkers, één fabriek, één magazijn, ongeveer 400 zakelijke klanten. Zijn ERP (bestellingen, voorraad, facturatie, loonadministratie) wordt gehost en beheerd door een externe IT-dienstverlener, die het ERP bereikt via een permanente verbinding voor toegang op afstand. E-mail en telefonie draaien in de cloud. Het is maandag, 07.40 uur.
| Sessietijd | Scenariotijd | Inject (wat de spelers ontvangen) | Geleverd door | Verwachte beslissingen en acties | Verantwoordelijke |
|---|---|---|---|---|---|
| T+10 | ma 07.40 | De magazijnverantwoordelijke belt: op de ERP-schermen staat een losgeldbericht; het orderpicken en het printen van etiketten liggen stil. | Simulatiecel, telefoon | De gebeurtenis kwalificeren, het crisislogboek openen, de activeringscriteria toepassen, het crisisteam samenroepen, de crisisleider bevestigen | Crisisleider, IT-verantwoordelijke |
| T+17 | 07.55 | De IT-dienstverlener mailt: versleuteling vastgesteld in verschillende klantomgevingen, waaronder de uwe; onderzoek loopt; hij raadt aan de verbinding voor toegang op afstand te verbreken. | Simulatiecel, e-mail | Isoleren (de verbinding verbreken), bewijs bewaren, het incidentcontact van de dienstverlener bereiken, het contract nakijken (serviceniveaus, meldingsplicht, beveiligingsverplichtingen) | IT-verantwoordelijke, aankoop |
| T+25 | 08.30 | Statusoverzicht: e-mail en telefoons werken; ERP, facturatie en magazijnetiketten liggen plat; 140 bestellingen moeten vandaag de deur uit. Volgens uw BIA bedraagt de maximaal aanvaardbare onderbrekingsduur (MTPD) voor het proces van bestelling tot levering 48 uur. | Facilitator | De noodoplossingen voor continuïteit activeren (manuele orderinvoer, papieren picklijsten), klanten rangschikken, het ritme van de crisisvergaderingen vastleggen | Verantwoordelijke operaties |
| T+33 | 09.00 | Medewerkers sturen elkaar berichten; een medewerker heeft een foto van het losgeldbericht op een sociaal netwerk gezet. | Simulatiecel, schermafbeelding | Eerste bericht aan alle medewerkers (wat we weten, wat te doen, wat niet te posten), vragen om het bericht te verwijderen, de receptie briefen | Communicatieverantwoordelijke, HR |
| T+40 | 09.30 | De back-upconsole, gehost door de dienstverlener, is ook versleuteld. Er bestaat een offline kopie van vorige woensdag. | Simulatiecel | Het gegevensverlies afmeten aan de RPO, een herstelpad kiezen, de herinvoer van bestellingen uit e-mails en papier plannen, bewijs bewaren | IT-verantwoordelijke, financiën |
| T+48 | 10.00 | De aanvallers beweren dat ze loon- en klantenbestanden hebben gekopieerd en dreigen die te publiceren. | Simulatiecel, e-mail | De beoordeling van de inbreuk in verband met persoonsgegevens starten en het tijdstip van kennisname noteren; nagaan of een melding onder NIS2 of DORA van toepassing is; aanduiden wie meldt en wie beslist | Juridisch / DPO, crisisleider |
| T+55 | 10.30 | De aankoper van de grootste klant belt de salesdirecteur: wordt de levering van dinsdag gehaald, zijn onze gegevens getroffen? Hij wil tegen de middag een schriftelijk antwoord. | Simulatiecel, telefoon | Het goedgekeurde klantbericht gebruiken, geen speculatieve beloften doen, de contractuele verbintenissen nakijken, één aanspreekpunt geven | Communicatieverantwoordelijke, verantwoordelijke operaties |
| T+63 | 11.00 | Losgeldeis: betaling in cryptomunten binnen 72 uur. | Simulatiecel, e-mail | Geen beslissing onder druk: het beleid toepassen, de politie en de cyberverzekeraar informeren, juridisch en gespecialiseerd advies inwinnen, niet alleen onderhandelen | Crisisleider, juridisch, financiën |
| T+70 | 11.30 | Een lokale journalist belt de receptie: "We horen dat u getroffen bent door een cyberaanval. Kunt u dat bevestigen?" | Simulatiecel, telefoon | Doorverwijzen naar de woordvoerder, het holding statement gebruiken, het gesprek registreren | Communicatieverantwoordelijke |
| T+78 | 14.00 | Het crisisteam van de IT-dienstverlener zelf is overbelast: uw omgeving wordt niet vóór donderdag hersteld. Een leverancier van grondstoffen meldt dat uw elektronische bestellingen sinds maandagochtend niet zijn aangekomen. | Simulatiecel, e-mail en telefoon | Op directieniveau escaleren bij de dienstverlener, beslissen over een alternatief (schone heropbouw, een andere dienstverlener), bestellingen bij leveranciers overschakelen naar e-mail of telefoon, de exit- en vervangingsopties bekijken | IT-verantwoordelijke, aankoop |
| T+85 | 16.00 | De eigenaar (of het hoofdkantoor van de groep) wil tegen 17.00 uur een situatierapport van één pagina en vraagt of communicatie op groepsniveau nodig is. | Facilitator | Het situatierapport schrijven (feiten, impact, beslissingen, behoeften, volgende stappen), de escalatiecriteria van de groep toepassen, de berichten op elkaar afstemmen | Crisisleider |
| T+92 | 17.00 | Einde van het spel: de facilitator bevriest het scenario. | Facilitator | De crisisleider formuleert de beslissingen voor de komende 24 uur en het tijdstip van de volgende vergadering; de logboekhouder sluit het logboek af | Crisisleider, logboekhouder |
Meldingstermijnen om na te gaan op T+48 (nota voor de facilitator): volgens artikel 33 van de AVG wordt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur na kennisname gemeld aan de toezichthoudende autoriteit. Essentiële en belangrijke entiteiten onder NIS2 geven binnen 24 uur een vroegtijdige waarschuwing en dienen binnen 72 uur een incidentmelding in (artikel 23, lid 4). Financiële entiteiten onder DORA volgen de termijnen van Gedelegeerde Verordening (EU) 2025/301: eerste kennisgeving binnen 4 uur na de classificatie van een incident als ernstig, en uiterlijk 24 uur nadat de entiteit er kennis van heeft gekregen. De EU-regels voor incidentmelding worden herzien in de "digitale omnibus" (Digital Omnibus); controleer dus de teksten die gelden op de dag van uw oefening.
Reserve-injects als het team te snel gaat: de plaatsvervangend crisisleider is met vakantie en onbereikbaar; de cyberverzekeraar eist dat zijn eigen incidentresponsbedrijf wordt ingeschakeld; een tweede entiteit van de groep gebruikt dezelfde IT-dienstverlener. Meer scenario's: 10 scenario's voor crisisoefeningen.
Observatieraster
Beoordelingsschaal: 1 niet aangetoond, 2 gedeeltelijk aangetoond (grote tekortkomingen), 3 aangetoond met kleine tekortkomingen, 4 volledig aangetoond, N.G. niet geobserveerd. Elke score vraagt bewijs: een tijdstip, een citaat, een document.
| # | Criterium | Wat we willen zien | Score | Bewijs |
|---|---|---|---|---|
| 1 | Activering en escalatie | Crisisteam binnen de streeftijd samengeroepen, op basis van schriftelijke criteria | ||
| 2 | Rollen en leiderschap | Elke rol ingevuld, plaatsvervangers bekend, de crisisleider hakt knopen door | ||
| 3 | Situationeel bewustzijn | Een gedeeld beeld, bijgewerkt bij elke vergadering; een situatierapport opgesteld | ||
| 4 | Gebruik van plannen en BIA | Continuïteitsplan, BIA-waarden en contactlijsten geopend en gebruikt | ||
| 5 | Besluitvorming | Beslissingen geregistreerd met tijdstip, eigenaar en motivering; geen enkele blijft hangen | ||
| 6 | Leveranciersbeheer | Contract, serviceniveaus en escalatiecontacten van de dienstverlener teruggevonden; alternatieven overwogen | ||
| 7 | Wettelijke meldingen | Verplichtingen geïdentificeerd, tijdstip van kennisname geregistreerd, eigenaar aangeduid | ||
| 8 | Interne communicatie | Eerste bericht aan het personeel binnen de streeftijd, in lijn met de externe boodschap | ||
| 9 | Externe communicatie | Holding statement goedgekeurd; klanten, leveranciers en media opgevangen door aangeduide personen | ||
| 10 | Herstelprioriteiten | De herstelvolgorde volgt de prioriteiten uit de BIA | ||
| 11 | Crisislogboek | Volledig genoeg om achteraf de tijdlijn te reconstrueren |
Hoe voert u crisiscommunicatie in een klein bedrijf?
Eén stem naar buiten, één afzender naar binnen. De algemeen directeur is doorgaans de woordvoerder; de communicatieverantwoordelijke schrijft de teksten; receptie en sales krijgen een kort script en verwijzen elke vraag door. Niemand anders spreekt met de media.
| Doelgroep | Wanneer | Kanaal | Verantwoordelijke |
|---|---|---|---|
| Personeel | Binnen het eerste uur, daarna bij elke update | E-mail of sms indien beschikbaar, teamleiders, prikborden | Communicatieverantwoordelijke, HR |
| Belangrijke klanten | Voordat ze het elders horen | Telefoontje van de accountmanager, schriftelijke opvolging | Operaties / sales |
| IT-dienstverlener en leveranciers | Zodra de afhankelijkheden bekend zijn | Telefoon, daarna e-mail | IT-verantwoordelijke, aankoop |
| Autoriteiten (gegevensbeschermingsautoriteit, CSIRT of bevoegde autoriteit, politie) | Binnen de wettelijke termijnen | Officiële kanalen | Juridisch / DPO |
| Cyberverzekeraar | Zo vroeg als de polis vereist | Hulplijn van de verzekeraar | Financiën |
| Media | Op verzoek (reactief) | Holding statement | Woordvoerder |
| Eigenaar of hoofdkantoor van de groep | Zodra de escalatiecriteria vervuld zijn | Telefoon en situatierapport | Crisisleider |
Eerste holding statement (sjabloon):
Op [datum] om [tijdstip] heeft [Bedrijf] een cyberincident vastgesteld dat een deel van zijn IT-systemen treft. We hebben onmiddellijk onze crisisprocedures geactiveerd en werken samen met [specialisten / onze IT-partners] om de activiteiten veilig te herstellen. Er is [geen / een tijdelijke] verstoring van [de leveringen / de klantendienst]; getroffen klanten worden rechtstreeks gecontacteerd. We gaan na of er persoonsgegevens betrokken zijn en zullen de betrokken personen en de autoriteiten informeren zoals vereist. Volgende update: [tijdstip]. Contact: [naam, e-mail, telefoon].
Regels: alleen feiten, geen speculatie over de oorzaak of de aanvallers, de dienstverlener nooit publiek met de vinger wijzen, geen cijfer dat niet gevalideerd is, intern en extern dezelfde feiten, en elk bericht voorzien van een tijdstempel en bewaard. Financiële entiteiten moeten over crisiscommunicatieplannen beschikken en ten minste één persoon belasten met de rol van woordvoerder bij het publiek en de media (DORA, artikel 14). Een kant-en-klaar plan: sjabloon voor een crisiscommunicatieplan.
Wat verandert er in een crisisbeheerkader voor een groep?
In een groep test de oefening ook de band tussen de entiteit en het hoofdkantoor. Een eenvoudig kader heeft drie niveaus en schriftelijke escalatiecriteria.
| Niveau | Beslist over | Typische leden |
|---|---|---|
| Crisisteam van de groep (strategisch) | Reputatie, communicatie van de groep, financiering, beslissingen die meerdere entiteiten raken | CEO van de groep of gedelegeerde, groepscommunicatie, juridisch, financiën, CISO |
| Crisisteam van de entiteit (tactisch) | Lokale respons, noodoplossingen, lokale klanten en personeel | Directeur van de entiteit en de rollen hierboven |
| Gespecialiseerde teams (operationeel) | IT-herstel, cyberrespons, noodsituaties op de site | IT, dienstverlener, beveiliging |
Escaleer naar de groep wanneer: meer dan één entiteit getroffen is; een gedeelde IT-dienstverlener, dienst of leverancier betrokken is; een wettelijke melding of media-aandacht waarschijnlijk is; de impact een door de groep vastgelegde financiële drempel overschrijdt; of losgeld wordt geëist. Gebruik één formaat voor het crisislogboek en één formaat voor het situatierapport, laat de groep externe verklaringen valideren en laat de lokale leiding bij de entiteit, tenzij die uitdrukkelijk wordt overgedragen. Om dit te oefenen, voegt u vanaf T+78 twee of drie mensen van het hoofdkantoor toe als "groepscel". ISO 22361:2022 biedt richtlijnen voor strategisch crisisbeheer.
Hotwash en sjabloon voor het evaluatierapport
Hotwash (20 minuten): elke speler noemt één ding dat werkte en één ding dat beter moet; de observatoren geven hun drie belangrijkste bevindingen; de facilitator zegt of elke doelstelling bereikt, gedeeltelijk bereikt of niet bereikt is. Schrijf het rapport binnen twee weken.
| Onderdeel | Inhoud |
|---|---|
| 1. Identificatie | Datum, scenario, doelstellingen, deelnemers, afbakening |
| 2. Samenvatting voor het management | Een halve pagina: doelstellingen al dan niet bereikt, de drie belangrijkste risico's die aan het licht kwamen |
| 3. Tijdlijn | Belangrijkste feiten en beslissingen, overgenomen uit het crisislogboek |
| 4. Observatieresultaten | Score per criterium, met bewijs |
| 5. Sterke punten | Wat we behouden |
| 6. Bevindingen en grondoorzaken | Wat misliep en waarom (plan, opleiding, tool, contract) |
| 7. Actieplan | Tabel hieronder |
| 8. Bij te werken documenten | Plannen, contactlijsten, contracten, sjablonen |
| 9. Volgende oefening | Type, datum, scenario, wat moeilijker wordt |
| # | Bevinding | Actie | Eigenaar | Deadline | Vereiste | Status |
|---|---|---|---|---|---|---|
| 1 | Incidentcontact van de dienstverlener ontbreekt in het plan | Een 24/7-contact en het escalatiepad toevoegen aan het plan en het contract | Aankoop | [datum] | ISO 22301 §10.1 | Open |
Hoe sluit de kit aan op ISO 22301, DORA en NIS2?
| Referentie | Wat ze vraagt, in het kort | Wat deze kit dekt |
|---|---|---|
| ISO 22301:2019, §8.5 Oefenprogramma | Een programma van oefeningen en tests op passende scenario's met duidelijke doelstellingen, gevolgd door rapporten na de oefening en verbeteracties | Eén scenariogebaseerde oefening van het crisisteam en de plannen, met rapport en acties; het meerjarenprogramma plant u zelf |
| ISO 22301:2019, §8.6 en §10.1 | Evaluatie van de documentatie en de capaciteiten voor bedrijfscontinuïteit; corrigerende maatregelen | Observatieraster, evaluatierapport, actieplan |
| ISO 22398:2013 | Richtlijnen voor het plannen, uitvoeren en verbeteren van oefeningen | Structuur: doelstellingen, rollen, scenario, evaluatie, rapport |
| DORA art. 11, lid 6, punt a) | De ICT-bedrijfscontinuïteitsplannen en de ICT-respons- en herstelplannen ten minste jaarlijks testen; andere entiteiten dan micro-ondernemingen nemen scenario's van cyberaanvallen en omschakelingen op | Scenario van een cyberaanval op beslissingsniveau. Een tabletop test geen omschakelingen: plan ook een technische test |
| DORA art. 11, lid 6, punt b) | De crisiscommunicatieplannen (art. 14) testen | Communicatie-injects, holding statement, overzicht van doelgroepen |
| DORA art. 24 en 25 | Testprogramma voor andere entiteiten dan micro-ondernemingen, met "scenariogebaseerde tests" bij de opgesomde tests, onafhankelijke testers en het verhelpen van problemen | Scenariogebaseerde test, facilitator onafhankelijk van de spelers, opgevolgde acties |
| Gedelegeerde Verordening (EU) 2024/1774, art. 25 | Tests van de ICT-bedrijfscontinuïteitsplannen op zware, maar plausibele scenario's, met inbegrip van ICT-diensten van derde aanbieders, die de aannames over governance en crisiscommunicatie bevragen | Rol van de IT-dienstverlener, escalatie- en communicatie-injects |
| NIS2 art. 21, lid 2, punt c) | Bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen, en crisisbeheer | Back-upinject, crisisteam, communicatie |
| Uitvoeringsverordening (EU) 2024/2690, bijlage, punten 4.1.4 en 4.3.4 | Voor aanbieders van cloudcomputingdiensten, datacentrumdiensten, beheerde diensten en de andere opgesomde digitale dienstverleners: het bedrijfscontinuïteitsplan, het noodvoorzieningenplan en het crisisbeheersingsplan testen | Dezelfde kit, met de dienstverlener zelf in de rol van speler |
Wilt u de injects en het beslissingslogboek liever in een tool beheren, dan heeft ResiPlan een module voor crisis gaming.
FAQ
Hoe lang moet een tabletop-oefening duren?
Twee uur is geschikt voor een eerste oefening: ongeveer 80 minuten spel en 20 minuten hotwash. Na drie uur neemt de aandacht af; verdeel de oefening dan liever over twee sessies.
Hoe vaak moeten we er een houden?
Financiële entiteiten onder DORA moeten hun ICT-bedrijfscontinuïteitsplannen ten minste jaarlijks testen (artikel 11, lid 6). ISO 22301 vraagt een gepland programma. Een jaarlijkse tabletop, plus een oefening na elke grote wijziging, is een redelijk basisniveau voor een kmo.
Volstaat een tabletop-oefening voor DORA of NIS2?
Nee. Ze test beslissingen en communicatie. Omschakelingen, het terugzetten van back-ups en hersteltijden vragen technische tests.
Moet onze IT-dienstverlener deelnemen?
Ja, als het kan. Een dienstverlener in de zaal toont snel of contracten, contacten en herstelbeloften overeenstemmen met de werkelijkheid.
Wie moet de oefening leiden?
Iemand die niet nodig is als speler en die de klok kan bewaken. Een externe facilitator helpt bij de eerste oefening.
Bronnen
- Verordening (EU) 2022/2554 (DORA), artikelen 5, 11, 14, 24 en 25, EUR-Lex
- Gedelegeerde Verordening (EU) 2024/1774 van de Commissie, artikel 25, EUR-Lex
- Gedelegeerde Verordening (EU) 2025/301 van de Commissie, artikel 5, EUR-Lex
- Richtlijn (EU) 2022/2555 (NIS2), artikelen 21 en 23, EUR-Lex
- Uitvoeringsverordening (EU) 2024/2690 van de Commissie, bijlage, punt 4, EUR-Lex
- Verordening (EU) 2016/679 (AVG), artikel 33, EUR-Lex
- ENISA, NIS2 Technical Implementation Guidance
- ISO 22301:2019, Managementsystemen voor bedrijfscontinuïteit, Eisen
- ISO 22398:2013, Richtlijnen voor oefeningen
- ISO 22361:2022, Crisisbeheer, Richtlijnen