Business Impact Analysis

Wat is een Business Impact Analysis?

Een Business Impact Analysis (BIA) is een gestructureerde analyse die per bedrijfsproces vaststelt hoe de schade van een verstoring in de tijd oploopt, hoe lang uitval maximaal aanvaardbaar is en welke systemen, mensen en leveranciers nodig zijn om het proces te herstellen. De BIA is de rekenkundige basis van Business Continuity en hoort bij Risicomanagement: zij levert de hersteldoelen RTO en RPO, de prioriteiten voor herstel en de afhankelijkheden waarop continuïteitsplannen worden gebouwd.

In OT-omgevingen helpt een BIA om systemen als SCADA, PLC’s, DCS, MES en de ondersteunende infrastructuur te rangschikken naar hun rol in productie, veiligheid en milieu. Anders dan in de kantooromgeving draait het daar niet alleen om data, maar ook om procesveiligheid, productkwaliteit en de tijd die nodig is om een installatie veilig weer op te starten.

🧠 Wat levert een Business Impact Analysis op?

Een BIA beantwoordt niet de vraag hoe waarschijnlijk een verstoring is, maar wat er gebeurt als een proces uitvalt. Het resultaat is een set kerngetallen per proces, die samen het kader vormen voor Disaster Recovery, Backup-beleid en Incident Response.

De volgorde is belangrijk: eerst de MTPD, daarna de RTO met voldoende marge. Moet een proces na 48 uur weer draaien en kost het herstarten van de installatie zelf al 12 uur, dan mag het herstel van de systemen niet langer dan 36 uur duren. Die rekensom maakt de BIA concreet en toetsbaar.

🔧 Hoe voert u een Business Impact Analysis uit?

ISO 22301:2019 (paragraaf 8.2.2) schrijft voor wat een BIA moet opleveren, ISO/TS 22317:2021 geeft richtlijnen voor de uitvoering en NIST SP 800-34 Rev. 1 (2010) beschrijft een vergelijkbare aanpak in drie stappen: bedrijfsprocessen en hun herstelkritiek bepalen, benodigde middelen vaststellen en herstelprioriteiten bepalen. In de praktijk komt dat neer op de volgende stappen:

1. Bepaal scope en impactcriteria - leg vast welke locaties en processen meedoen en welke impactcategorieën u gebruikt, zoals veiligheid, milieu, productie, kwaliteit, financiën, wet- en regelgeving en reputatie. Definieer per categorie wat “beperkt”, “ernstig” en “onaanvaardbaar” betekent.
2. Inventariseer processen en activiteiten - begin bij de producten en diensten die u levert en werk terug naar de processen erachter, zoals batchproductie, energievoorziening, koeling of waterzuivering.
3. Beoordeel de impact in de tijd - schat per proces de schade na bijvoorbeeld 1 uur, 4 uur, 24 uur, 72 uur en een week. Het moment waarop de schade onaanvaardbaar wordt, is de MTPD.
4. Breng afhankelijkheden en middelen in kaart - koppel elk proces aan HMI’s, een Engineering Station, IO-modules, netwerkcomponenten zoals een Switch, personeel, reserveonderdelen en externe partijen. Een actuele Asset Inventory is hier onmisbaar.
5. Leg hersteldoelen en prioriteiten vast - RTO, RPO en MBCO per proces, plus de volgorde waarin systemen terugkomen.
6. Laat de directie de uitkomst vaststellen - de BIA bepaalt investeringen in Redundantie en uitwijk, dus de keuzes horen bij het management, niet alleen bij IT of OT.
7. Herhaal periodiek - minimaal jaarlijks en na elke ingrijpende wijziging in de installatie, organisatie of leveranciersketen.

De meest gebruikte werkvorm is een reeks interviews of workshops met procesverantwoordelijken, operators en onderhoud, aangevuld met data uit storingsregistraties en productieplanning.

🏭 Hoe ziet een BIA eruit in een OT-omgeving?

In een fabriek of nutsbedrijf zijn de impactcategorieën anders gewogen dan in een kantoor. Een uur uitval van de mail is hinderlijk; een uur uitval van een koelsysteem in een chemische installatie kan een veiligheidsincident worden. Een OT-BIA let daarom op:

• Procesveiligheid en milieu - welke storingen worden opgevangen door het SIS en welke niet? Een veilige stop volgens het fail-safe-principe is vaak het uitgangspunt, maar ook die heeft een prijs.
• Procestype - bij continue processen kost een herstart soms dagen, bij een batchproces kan een onderbroken batch verloren gaan.
• Handbediening als terugvaloptie - kan de installatie lokaal of handmatig doordraaien, en zijn de procedures geoefend?
• Herstel van configuraties - de RPO geldt niet alleen voor data, maar ook voor PLC-programma’s, recepten en DCS-configuraties.
• Externe afhankelijkheden - leveranciers met remote toegang, licentieservers, Cloud-diensten en reserveonderdelen met lange levertijden. Zie ook Supply Chain-risico.

Een vereenvoudigd voorbeeld voor een levensmiddelenfabriek laat zien hoe de uitkomst eruitziet. De waarden zijn illustratief en verschillen per bedrijf:

Zo’n tabel maakt keuzes zichtbaar: een RPO van 15 minuten voor de historian vraagt om replicatie of frequente back-ups, terwijl een RTO van 2 uur voor de koelcel om reserve-apparatuur of een handmatige noodprocedure vraagt.

🔄 Wat is het verschil tussen een BIA en een risicobeoordeling?

De BIA en de risicobeoordeling vullen elkaar aan. De BIA kijkt naar de gevolgen van uitval, ongeacht de oorzaak; de risicobeoordeling kijkt naar dreigingen, kwetsbaarheden en de kans dat ze leiden tot een incident.

In IEC 62443-3-2 zit een vergelijkbaar idee: de initiële risicobeoordeling (ZCR 2) kijkt naar de worstcasegevolgen als een systeem wordt gecompromitteerd, voordat de kans wordt meegewogen. Een goede BIA levert die gevolgen al aan en voorkomt dat zones en security levels op gevoel worden gekozen.

🔐 Welke rol speelt de BIA in cybersecurity en wetgeving?

Zonder BIA ontbreekt de context om beveiligingsmaatregelen te prioriteren en wordt cybersecurity een verzameling losse maatregelen. De BIA laat zien welke OT-Assets het zwaarst moeten worden beschermd, waar Defense in Depth extra lagen nodig heeft en welke scenario’s thuishoren in een Incident Response Plan of tabletop-oefening.

• NIS2 en de Cyberbeveiligingswet - NIS2 artikel 21, lid 2, onder c, vraagt bedrijfscontinuïteit, zoals back-upbeheer, herstel na een calamiteit en crisisbeheer. In Nederland werkt artikel 9 van het Cyberbeveiligingsbesluit dit uit; beide gelden sinds 15 augustus 2026. Het woord BIA staat er niet letterlijk in, maar zonder impactanalyse zijn hersteltijden en back-uptermijnen niet te onderbouwen.
• ISO 27001 - de beheersmaatregelen A.5.29 (informatiebeveiliging tijdens een verstoring) en A.5.30 (ICT-gereedheid voor bedrijfscontinuïteit, nieuw in de editie van 2022) gaan uit van hersteldoelen die uit een BIA volgen.
• IEC 62443 - de gevolgen uit de BIA voeden de risicobeoordeling en de keuze van doel-security levels per zone.
• Wwke en BIO - de Wwke verplicht kritieke entiteiten tot een risicobeoordeling en weerbaarheidsmaatregelen voor hun essentiële diensten. BIO2 bouwt voort op ISO 27002:2022, inclusief de maatregel voor ICT-gereedheid voor bedrijfscontinuïteit. In beide gevallen levert een BIA de gevolgen en hersteltijden waarop die keuzes rusten.

Ransomware maakt het belang concreet. Bij Colonial Pipeline (mei 2021) was alleen het IT-netwerk geraakt, maar de pijpleiding werd uit voorzorg zes dagen stilgelegd, mede omdat het bedrijf zonder de getroffen IT-systemen, waaronder de facturatie, de levering niet goed kon beheren. Een BIA die zulke afhankelijkheden vooraf zichtbaar maakt, helpt ook bij onveranderbare back-ups en realistische hersteltests.

❓ Veelgestelde vragen

Hoe vaak moet een Business Impact Analysis worden herhaald?

Een Business Impact Analysis wordt gangbaar minimaal eens per jaar herzien. Daarnaast is een herziening nodig na grote wijzigingen, zoals een nieuwe productielijn, een migratie van het besturingssysteem of een nieuwe kritieke leverancier. ISO 22301 schrijft geen vaste frequentie voor, maar eist dat de BIA op geplande momenten en bij wijzigingen wordt herzien.

Wie moet er betrokken zijn bij een BIA?

Bij een BIA horen procesverantwoordelijken, operators, onderhoud, OT- en IT-beheer, kwaliteit en veiligheid aan tafel. Alleen zij kennen de werkelijke gevolgen van uitval en de bestaande noodprocedures. De directie stelt de uitkomst vast, omdat die bepaalt waar in continuïteit wordt geïnvesteerd.

Wat is het verschil tussen MTPD en RTO?

De MTPD is de maximale duur van een verstoring voordat de gevolgen onaanvaardbaar worden. De RTO is de doeltijd voor herstel en moet altijd korter zijn dan de MTPD, met marge voor opstarten, kwaliteitscontrole en onvoorziene problemen. Een BIA legt beide per proces vast.

Is een Business Impact Analysis verplicht onder NIS2?

NIS2 en de Cyberbeveiligingswet noemen de BIA niet met zoveel woorden, maar eisen wel bedrijfscontinuïteit, back-upbeheer en herstel na calamiteiten. In de praktijk is een BIA de gangbare manier om aan te tonen dat hersteltijden en back-uptermijnen passen bij de kritieke processen. Toezichthouders en auditors vragen daarom vaak naar de onderbouwing van RTO’s en RPO’s.

Kan ik een IT-BIA-sjabloon gebruiken voor OT?

Een IT-sjabloon voor een Business Impact Analysis is een goed vertrekpunt, maar mist meestal de categorieën procesveiligheid, milieu en productkwaliteit. In OT moet ook de opstarttijd van de installatie en de beschikbaarheid van handbediening worden meegenomen. Vul het sjabloon daarom aan met OT-specifieke impactcriteria en afhankelijkheden.

Hoe verhoudt een BIA zich tot een disaster recovery plan?

De Business Impact Analysis bepaalt wát er hersteld moet worden, in welke volgorde en binnen welke tijd. Het disaster recovery plan beschrijft hóe dat technisch gebeurt, met back-ups, uitwijk en herstelprocedures. Zonder BIA is een disaster recovery plan een technische oefening zonder onderbouwde prioriteiten.

📌 Samengevat

Een Business Impact Analysis vertaalt “wat als dit uitvalt?” naar harde getallen per proces: MTPD, RTO, RPO en MBCO, met de afhankelijkheden die herstel mogelijk maken. In OT weegt de BIA naast financiële schade ook veiligheid, milieu en opstarttijd mee, en zij vormt de basis voor continuïteitsplannen, back-upbeleid, investeringen in redundantie en de prioriteiten van cybersecuritymaatregelen.

Een Business Impact Analysis bepaalt per proces hoe lang uitval aanvaardbaar is en hoe snel herstel moet, zodat continuïteits- en beveiligingsmaatregelen worden gericht op wat er werkelijk toe doet.