Bedrijfscontinuïteitsplan voor gemeenten en OCMW's

Een gemeente beheert niet alleen crises die haar inwoners treffen. Ze moet ook blijven werken wanneer ze zelf getroffen wordt: een cyberaanval, een IT-storing, een onbruikbaar gebouw, het uitvallen van een deel van het personeel, een leverancier die het laat afweten. Daarvoor dient het bedrijfscontinuïteitsplan van de gemeentelijke diensten.

Deze gids beschrijft de stappen. Hij vervangt geen officieel model: we vonden geen publiek Belgisch sjabloon voor een bedrijfscontinuïteitsplan of een bedrijfsimpactanalyse voor gemeenten.

ANIP en bedrijfscontinuïteitsplan vullen elkaar aan

Het ANIP organiseert de bescherming van de bevolking bij een noodsituatie op het grondgebied. Het bedrijfscontinuïteitsplan zorgt ervoor dat de diensten van gemeente en OCMW blijven draaien wanneer hun eigen middelen getroffen zijn.

Beide raken elkaar. Tijdens een crisis moet de gemeente functioneren om die crisis te kunnen beheren: crisiscentrum, communicatie, opvang van geëvacueerden. Het KB van 22 mei 2019 vraagt de overheid ook om de sociaal-economische gevolgen van haar beslissingen in te schatten en het herstel voor te bereiden. En voor entiteiten die onder NIS2 vallen, rekent de wet van 26 april 2024 bedrijfscontinuïteit, back-upbeheer, herstel en crisisbeheer uitdrukkelijk tot de minimale cyberbeveiligingsmaatregelen.

Kritieke diensten bepalen

Een dienst is kritiek als een onderbreking snel ernstige schade veroorzaakt: aan een persoon, aan het naleven van een wettelijke termijn, aan de financiën of aan het vertrouwen van de inwoners. In een gemeente gaat het vaak om:

Burgerzaken: aangiften van geboorte en overlijden, identiteitsdocumenten, registers.
Loonbetaling van het personeel van gemeente en OCMW.
OCMW: dringende sociale hulp, uitbetaling van steun, diensten voor ouderen of alleenstaanden.
Wegen en openbare werken: verkeersveiligheid, signalisatie, dringende tussenkomsten op het openbaar domein.
Onthaal, fysiek en telefonisch, dat inwoners doorverwijst en informatie doorgeeft.
Ondersteunende functies waar al de rest van afhangt: IT, telefonie, gebouwen, financiën.

Elke gemeente past die lijst aan haar bevoegdheden aan: scholen, kinderopvang, woonzorgcentra, begraafplaatsen, water of afval als ze die zelf beheert.

De bedrijfsimpactanalyse (BIA)

De bedrijfsimpactanalyse of BIA (business impact analysis) beantwoordt een eenvoudige vraag: wat gebeurt er als deze dienst een uur, een dag, een week stilvalt? Je voert ze uit met de diensthoofden, niet alleen met IT.

Per activiteit noteer je:

de impact in de tijd: menselijk, juridisch, financieel, maatschappelijk, imago;
de maximaal aanvaardbare onderbrekingstijd, waarna de schade onaanvaardbaar wordt;
de RTO (recovery time objective), de beoogde hersteltijd, korter dan die maximale duur;
de RPO (recovery point objective), hoeveel gegevens je maximaal aanvaardt te verliezen, uitgedrukt in tijd: bijvoorbeeld de invoer van de laatste vier uur;
het minimale dienstverleningsniveau in noodmodus;
de afhankelijkheden: mensen en vaardigheden, toepassingen, gegevens, gebouwen, uitrusting, leveranciers.

Het resultaat is een lijst van activiteiten in volgorde van prioriteit, met hun hersteltermijnen. Die vormt de basis voor het IT-herstelplan, de contracten en de oefeningen.

Continuïteitsstrategieën kiezen

Voor elke kritieke afhankelijkheid voorziet de gemeente een alternatief:

Gebouwen: een vooraf gekozen uitwijklocatie (ander gemeentelijk gebouw, OCMW-gebouw, afspraak met een buurgemeente), uitgerust om er te werken.
Mensen: aangeduide vervangers, polyvalente medewerkers, schriftelijke procedures zodat een collega een taak kan overnemen.
Noodmodus: papieren formulieren, tijdelijke registers, afgedrukte contactlijsten, om enkele dagen zonder IT verder te kunnen.
Kritieke leveranciers: softwareleveranciers, hostingpartners, IT-dienstverlener of intergemeentelijk samenwerkingsverband, sociaal secretariaat, telecom, energie. Het contract regelt de hersteltermijnen, de back-ups, de teruggave van de gegevens en een contactpersoon die tijdens een crisis bereikbaar is.

Het IT-herstelplan

Het IT-herstelplan beschrijft hoe toepassingen en gegevens weer in gebruik komen, in de volgorde die de BIA bepaalt. Het omvat:

een inventaris van toepassingen en gegevens met hun verantwoordelijken, ook wat bij een leverancier gehost wordt;
regelmatige back-ups, waarvan minstens één kopie los van het netwerk staat, zodat een aanvaller ze niet kan versleutelen of wissen;
echte hersteltests, niet alleen de controle dat de back-up gelopen heeft;
de volgorde van heropstart, de beoogde termijnen (RTO, RPO) en de in te zetten mensen;
noodtoegangen (beheerdersaccounts, sleutels) die buiten het hoofdsysteem bewaard worden.

Voorbereid zijn op een cyberincident

Een cyberaanval kan mail, bestanden en telefonie tegelijk platleggen. De aanpak bereid je in alle rust voor:

een escalatieprocedure: wie stelt het incident vast, wie beslist om systemen af te sluiten, wie verwittigt de leiding en het college;
de externe contacten: IT-dienstverlener, verzekeraar, informatieveiligheidsconsulent, functionaris voor gegevensbescherming;
de meldingen: een datalek volgens de AVG en, voor entiteiten die onder NIS2 vallen, een vroegtijdige waarschuwing aan het nationale CSIRT binnen 24 uur en een incidentmelding binnen 72 uur;
de regionale ondersteuning: in Vlaanderen ondersteunt en coördineert het Vlaams Centrum voor Digitale Veiligheid bij cyberincidenten bij lokale besturen; in Wallonië vermeldt de UVCW een Waals Cyber Response Team, opgericht door het Agence du Numérique samen met het CCB.

Of je gemeente onder NIS2 valt, lees je in onze gids NIS2 en lokale besturen.

Crisiscommunicatie organiseren

Interne en externe crisiscommunicatie hoort bij het plan. Spreek af hoe je het personeel bereikt als de mail niet werkt, wie namens de gemeente spreekt en via welke kanalen je de inwoners informeert: website, sociale media, affiches, loketten. Vooraf opgestelde standaardberichten besparen kostbare tijd. Wordt een fase van het ANIP afgekondigd, dan stemt die communicatie af op discipline 5.

Testen en levend houden

Een bedrijfscontinuïteitsplan dat nooit geoefend is, blijft theorie. Enkele eenvoudige gewoonten:

één tafeloefening per jaar, bijvoorbeeld rond een cyberaanval;
een hersteltest van een kritieke toepassing;
een test van de uitwijklocatie en de belboom;
een update na elke oefening, elk incident of elke reorganisatie.

ISO 22301 als referentie

De internationale norm ISO 22301 beschrijft een managementsysteem voor bedrijfscontinuïteit: context, betrokkenheid van de leiding, impact- en risicoanalyse, strategieën, plannen, oefeningen, evaluatie en verbetering. Gemeenten zijn niet verplicht hem te volgen. Hij biedt wel een bruikbare structuur om een bedrijfscontinuïteitsplan op te bouwen en levend te houden, zonder dat een formele erkenning het doel moet zijn.

Checklist

De leiding heeft een verantwoordelijke voor het plan aangeduid en de reikwijdte bepaald (gemeente, OCMW, autonome gemeentebedrijven).
De kritieke diensten en hun afhankelijkheden zijn in kaart gebracht.
De BIA legt per activiteit een RTO, een RPO en een minimaal dienstverleningsniveau vast.
Er is een uitwijklocatie en er zijn procedures voor noodmodus.
De contracten met kritieke leveranciers regelen herstel en teruggave van gegevens.
Het IT-herstelplan is uitgeschreven en dit jaar is een hersteltest uitgevoerd.
Een back-upkopie staat los van het netwerk.
De procedure voor cyberincidenten en de noodcontacten bestaan ook op papier.
Standaardberichten voor crisiscommunicatie liggen klaar.
In de afgelopen twaalf maanden vond een oefening plaats.

Meer lezen

ResiPlan helpt gemeenten, en de consultants die hen begeleiden, bij hun bedrijfsimpactanalyse, hun bedrijfscontinuïteits- en IT-herstelplannen, crisisbeheer en oefeningen, een incidentenregister en de CyFun-zelfevaluatie. Bekijk het aanbod voor gemeenten.