Wat is Business Continuity?
Business Continuity (bedrijfscontinuïteit) is het vermogen van een organisatie om haar kritieke producten, diensten en processen tijdens en na een verstoring op een vooraf afgesproken minimumniveau voort te zetten en binnen een aanvaardbare tijd volledig te herstellen. Die verstoring kan een cyberaanval zijn, maar ook brand, een stroomstoring, een pandemie, uitval van een leverancier of een overstroming. Business Continuity Management (BCM), in het Nederlands continuïteitsbeheer, is het managementproces dat dit vermogen opbouwt, test en onderhoudt. BCM kan uitval niet uitsluiten, maar zorgt dat de gevolgen beperkt en voorspelbaar blijven.
🎯 Waarom is Business Continuity belangrijk?
Een organisatie zonder continuïteitsaanpak improviseert pas als het misgaat, en verliest dan juist de uren die het verschil maken. BCM heeft vijf doelen:
- Langdurige uitval voorkomen - vooraf weten welke processen eerst terug moeten en wat daarvoor nodig is
- Schade beperken - financieel, operationeel en voor de veiligheid van mensen en installaties
- Mensen, middelen, data en reputatie beschermen - inclusief afspraken met klanten en ketenpartners, zodat onzekerheid en verlies van vertrouwen uitblijven
- Voldoen aan wet- en regelgeving - zoals NIS2, de Cyberbeveiligingswet, de BIO en ISO 27001
- Voorbereid zijn op cyberincidenten - zoals ransomware en storingen in de OT
Recente incidenten laten zien hoe groot het verschil is. Bij NotPetya (2017) moest Maersk circa 4.000 servers en tienduizenden pc’s herinstalleren; het Active Directory kon alleen worden hersteld dankzij één domeincontroller in Ghana die door een stroomstoring offline was geweest. De schade bedroeg volgens Maersk 250 tot 300 miljoen dollar. Bij de cyberaanval op Jaguar Land Rover in 2025 lag de autoproductie ongeveer vijf weken stil, terwijl er geen openbaar bewijs is dat de fabrieksbesturing zelf was geraakt.
🧱 Uit welke onderdelen bestaat Business Continuity Management?
| Onderdeel | Wat het doet | Resultaat |
|---|---|---|
| Business Impact Analysis (BIA) | Bepaalt welke processen kritiek zijn en hoe de schade oploopt in de tijd | Prioriteiten, MTPD, RTO en RPO per proces |
| Risicobeoordeling | Brengt dreigingen en kwetsbaarheden voor IT- en OT-systemen in kaart | Risico’s die de continuïteit bedreigen |
| Beleid en eigenaarschap | Legt via governance vast wie beslist, wie uitvoert en wie communiceert | Mandaat, budget en een vaste jaarcyclus |
| Continuïteitsstrategie | Kiest oplossingen: redundantie, uitwijk, voorraad, handmatige bediening | Onderbouwde investeringen |
| Continuïteitsplan (BCP) | Draaiboeken per scenario, met rollen en beslisbevoegdheden | Directe handelingsperspectieven |
| Disaster Recovery-plan (DRP) | Technisch herstel van IT- of SCADA/PLC-systemen | Herstelprocedures en back-ups |
| Crisiscommunicatieplan | Afspraken over interne en externe communicatie | Eén boodschap naar personeel, klanten en toezichthouder |
| Oefenen en testen | Tabletop-oefeningen, hersteltests, failover-tests en crisissimulaties | Bewijs dat de plannen werken |
Een continuïteitsplan beschrijft volgens ISO 22301 onder meer de activeringscriteria, de rollen en contactgegevens, de stappen om terug te komen op het minimale dienstniveau en de middelen die daarvoor nodig zijn. Het plan wordt pas actief als een incident de afgesproken drempel overschrijdt; een kleine storing blijft bij de gewone beheerprocessen.
🔄 Hoe verhoudt Business Continuity zich tot andere plannen en beleid?
Continuïteitsbeheer staat niet op zichzelf. Het haakt in op een reeks andere documenten en processen, elk met een eigen rol:
| Plan of proces | Relatie met Business Continuity |
|---|---|
| Risicomanagement | Levert het brede risicobeeld; BCM richt zich op de risico’s met de grootste impact op beschikbaarheid |
| Beveiligingsbeleid | Verankert BCM-principes, hersteldoelen, rollen en verantwoordelijkheden |
| Incident Response Plan | Beperkt en onderzoekt het incident zelf; een ernstig IT- of OT-incident kan het continuïteitsplan activeren |
| Crisiscommunicatieplan | Onderdeel van BCM: wie zegt wat tegen personeel, klanten, media en toezichthouder |
| Disaster Recovery | Het technische herstel van systemen en data binnen het grotere continuïteitsplan |
| Cyberverzekering | Dekt een deel van de financiële schade en herstelkosten, maar vervangt geen voorbereiding |
Het onderscheid met incidentrespons is in de praktijk het belangrijkst. Het incidentresponsteam isoleert systemen en zoekt de oorzaak; het continuïteitsteam zorgt intussen dat klanten geleverd krijgen, al is het met papieren werkorders of vanuit een andere locatie.
🔢 Welke hersteldoelen gebruikt u bij Business Continuity?
De BIA levert vier kerngetallen op. De MTPD komt eerst; alle andere doelen moeten daarbinnen passen.
| Begrip | Betekenis | Voorbeeldvraag |
|---|---|---|
| MTPD (Maximum Tolerable Period of Disruption) | Tijd waarna de gevolgen van uitval onaanvaardbaar worden | Hoe lang kan de fabriek stilliggen voordat klanten weglopen of vergunningseisen worden geschonden? |
| RTO (Recovery Time Objective) | Doeltijd om een proces of systeem te herstellen | Binnen hoeveel uur moet de SCADA-server weer draaien? |
| RPO (Recovery Point Objective) | Maximaal aanvaardbaar dataverlies, uitgedrukt in tijd | Hoeveel uur aan batchgegevens mag verloren gaan? |
| MBCO (Minimum Business Continuity Objective) | Minimaal aanvaardbaar dienstniveau tijdens de verstoring | Is 60% productie op één lijn acceptabel? |
In de OT liggen die doelen anders dan in kantoor-IT, omdat beschikbaarheid en veiligheid daar vóór vertrouwelijkheid gaan. Een veiligheidsfunctie wordt niet “hersteld” maar zo ontworpen dat zij ook bij een storing werkt of het proces in een veilige toestand brengt: redundant en fail-safe. Een historian kan vaak een dag wachten, mits de besturingen lokaal blijven bufferen. Indicatief zien hersteldoelen er zo uit:
| OT-voorziening | Typische RTO | Typische RPO | Gangbare oplossing |
|---|---|---|---|
| Veiligheidsinstrumentatie | Altijd beschikbaar of veilig falen | n.v.t. | Redundant en fail-safe ontwerp |
| SCADA-server / HMI | Minuten tot enkele uren | Minuten | High Availability-paar, lokale bediening |
| PLC-programma’s | Uren | Laatste goedgekeurde versie | Offline back-up, reservehardware |
| MES | Uren tot een dag | Minuten tot uren | Handmatige werkorders, papieren batchrecords |
| Historian | Een tot enkele dagen | Uren, mits lokale buffering | Store-and-forward, back-up |
🏭 Waarom is Business Continuity in OT anders?
In productieomgevingen raakt uitval direct het fysieke proces:
- Uitval van SCADA, MES of Historian kan productie direct stilleggen of het zicht op het proces wegnemen
- Storingen aan PLC’s of netwerkverbindingen leiden tot procesrisico’s en soms tot een gedwongen stop
- Verlies van sensor- of batchdata beïnvloedt kwaliteit, vrijgave en compliance
- Lange levensduur - reserveonderdelen voor een besturing van twintig jaar oud zijn soms niet meer leverbaar
- IT-afhankelijkheid - ook als de OT gezond is, stopt een fabriek zonder ERP, planning en logistiek
Dat laatste punt is de les van Colonial Pipeline (mei 2021): alleen het IT-netwerk was geraakt, maar de pijpleiding werd uit voorzorg zes dagen stilgelegd. Norsk Hydro koos bij de LockerGoga-aanval in 2019 de andere route: delen van de productie draaiden door met handmatige bediening. Dat lukt alleen als handmatige procedures bestaan en geoefend zijn.
Typische OT-situaties en de bijbehorende continuïteitsmaatregel:
| OT-situatie | Continuïteitsmaatregel |
|---|---|
| Uitval van het SCADA-systeem | Redundantie, lokale bediening op het paneel of handmatige procedures |
| Sabotage of cyberaanval op PLC’s | Herstel vanaf een geverifieerde back-up, segmentatie, beperkte toegang |
| Uitval van energie of water | Noodvoorzieningen, fail-safe ontwerp, detectie en alarmering |
| Uitval van een leverancier | Tweede bron, SLA’s met ketenpartners, lokale voorraad reserveonderdelen |
Technische maatregelen die de veerkracht vergroten zijn een air gap of strikte scheiding tussen IT en OT, netwerksegmentatie volgens het Purdue-model en het zones-en-conduits-model uit IEC 62443, defense in depth, onveranderbare back-ups en een UPS voor kritieke besturingen. NIST SP 800-82 (revisie 3, september 2023) behandelt continuïteit en herstel specifiek voor OT.
🔐 Welke normen en wetten eisen Business Continuity?
Business Continuity is een vast onderdeel van een ISMS en van het securitybeleid, maar heeft ook een eigen norm:
- ISO 22301 - de certificeerbare norm voor een Business Continuity Management System; huidige editie 2019, in 2024 aangevuld met een amendement over klimaatverandering. Hoofdstuk 8 beschrijft BIA en risicobeoordeling, strategieën, plannen, het oefenprogramma en evaluatie. ISO 22313:2020 geeft toelichting bij de norm en ISO/TS 22317:2021 is de richtlijn voor de BIA
- ISO 27001:2022 - beheersmaatregelen A.5.29 (informatiebeveiliging tijdens een verstoring) en A.5.30 (ICT-gereedheid voor bedrijfscontinuïteit); in de editie van 2013 heette dit bijlage A.17
- NIS2 - artikel 21, lid 2, onder c, eist bedrijfscontinuïteit, zoals back-upbeheer en herstel na een calamiteit, en crisisbeheer
- Cyberbeveiligingswet en Cyberbeveiligingsbesluit - de Nederlandse omzetting van NIS2, sinds 15 augustus 2026 van kracht en opvolger van de Wbni; artikel 9 van het besluit vraagt herstelprocedures, periodiek geverifieerde back-ups en een continuïteits-, herstel- en crisisplan
- Wwke - de Wet weerbaarheid kritieke entiteiten (CER-richtlijn), ook sinds 15 augustus 2026 van kracht, vraagt weerbaarheid tegen alle dreigingen, inclusief continuïteitsmaatregelen
- BIO - BIO2, vastgesteld op 23 september 2025, neemt de continuïteitseisen uit ISO 27001/27002 over voor alle overheidslagen, ook voor hun OT zoals gemalen en sluizen
🛠️ Hoe zet u Business Continuity op in een industriële omgeving?
- Bepaal de scope - welke locaties, productielijnen en diensten vallen eronder, en wie is eigenaar
- Voer een BIA uit - leg per proces de MTPD, RTO, RPO en MBCO vast, samen met productie, kwaliteit en veiligheid
- Breng afhankelijkheden in kaart - besturingen, servers, netwerken, licenties, leveranciers en sleutelpersonen; een actuele assetinventaris is hiervoor onmisbaar
- Kies strategieën - redundantie, reservehardware op voorraad, handmatige bediening, uitwijk naar een andere locatie of een tweede leverancier
- Schrijf plannen en draaiboeken - met escalatiecriteria, beslisbevoegdheid en contactgegevens die ook zonder netwerk beschikbaar zijn
- Beveilig de back-ups - offline of onveranderbaar, inclusief PLC-programma’s, HMI-projecten en de configuratie van het engineering station
- Oefen en test - minimaal jaarlijks een tabletop-oefening en een echte hersteltest op reservehardware, in vitale sectoren vaak vaker
- Evalueer en verbeter - na elke oefening en elk incident, volgens de PDCA-cyclus
Borg continuïteitsbeheer daarnaast in de jaarcyclus en in de inkoop. Neem continuïteitseisen op in aanbestedingen en contracten, analyseer welke leveranciers u nodig hebt om te blijven draaien en welke afnemers van u afhankelijk zijn. Laat IT en OT samen oefenen: een plan dat alleen in één van beide silo’s leeft, mist precies de afhankelijkheden die bij een echte verstoring het eerst knellen.
❓ Veelgestelde vragen
Wat is het verschil tussen Business Continuity, bedrijfscontinuïteit en continuïteitsbeheer?
Business Continuity en bedrijfscontinuïteit betekenen hetzelfde: het vermogen om kritieke processen tijdens een verstoring voort te zetten. Continuïteitsbeheer, of Business Continuity Management (BCM), is het managementproces dat dat vermogen opbouwt met een BIA, plannen, oefeningen en evaluatie. ISO 22301 noemt het geheel een Business Continuity Management System (BCMS).
Wat is het verschil tussen Business Continuity en Disaster Recovery?
Business Continuity richt zich op het voortzetten van de hele bedrijfsvoering tijdens een verstoring, inclusief mensen, processen, leveranciers en communicatie. Disaster Recovery is het technische deel daarvan: het herstellen van systemen, netwerken en data. Een Disaster Recovery-plan is dus een onderdeel van een Business Continuity-plan.
Is Business Continuity verplicht?
Voor organisaties die onder de Cyberbeveiligingswet vallen, is bedrijfscontinuïteit sinds 15 augustus 2026 een wettelijke verplichting, uitgewerkt in artikel 9 van het Cyberbeveiligingsbesluit. Overheden moeten via BIO2 continuïteitsmaatregelen nemen, en kritieke entiteiten via de Wwke. Voor andere organisaties is continuïteitsbeheer niet wettelijk verplicht, maar ISO 22301-certificering vereist een volledig BCMS en ISO 27001 bevat er beheersmaatregelen voor (A.5.29 en A.5.30).
Hoe vaak moet u een continuïteitsplan testen?
Een gangbare praktijk is minimaal één tabletop-oefening en één technische hersteltest per jaar, plus een test na elke grote wijziging in de installatie. ISO 22301 schrijft geen vaste frequentie voor, maar eist een oefenprogramma met geplande intervallen. Een continuïteitsplan dat nooit getest is, blijkt bij een echt incident vaak onvolledig.
Wie is verantwoordelijk voor Business Continuity?
Het bestuur is eindverantwoordelijk voor Business Continuity; onder de Cyberbeveiligingswet moeten bestuurders de maatregelen goedkeuren en toezicht houden op de uitvoering. De dagelijkse coördinatie van BCM ligt vaak bij een BCM-coördinator of de CISO. In de industrie zijn ook de productiemanager en de OT-beheerder onmisbaar, omdat zij de procesrisico’s en handmatige terugvalopties kennen.
Hoe houdt een fabriek productie draaiende tijdens een cyberaanval?
Een fabriek blijft draaien tijdens een cyberaanval als het procesnetwerk gescheiden is van het kantoornetwerk en de lijnen tijdelijk zonder centrale IT kunnen werken. Daarvoor zijn netwerksegmentatie, lokale buffering, handmatige werkorders en geoefende procedures nodig. Zonder die voorbereiding is alles uitzetten vaak de enige veilige keuze.
📌 Samengevat
Business Continuity is het vermogen om kritieke processen tijdens een verstoring op een afgesproken minimumniveau voort te zetten en binnen een aanvaardbare tijd te herstellen, onderbouwd met een BIA, hersteldoelen als RTO en RPO, en geoefende plannen. Continuïteitsbeheer (BCM) maakt dat vermogen tot een vast managementproces. In OT-omgevingen vraagt dat om segmentatie, offline back-ups en handmatige terugvalopties, en sinds 15 augustus 2026 is het voor veel organisaties ook wettelijk verplicht via de Cyberbeveiligingswet.