Wat is Contingency Planning?
Contingency Planning is het vooraf opstellen, testen en onderhouden van plannen waarmee een organisatie kritieke systemen en processen bij een verstoring draaiende houdt of binnen een afgesproken tijd herstelt. Het gaat om de vraag wat er gebeurt als een server, netwerk, stroomvoorziening of leverancier wegvalt: wie beslist, welke noodprocedure geldt en hoe snel moet het systeem terug zijn. In OT-omgevingen komt daar een extra dimensie bij: het fysieke proces loopt door, dus het plan moet ook veiligheid, productie en beschikbaarheid bewaken wanneer SCADA of HMI niet beschikbaar is.
Contingency planning is een bouwsteen van bredere continuïteitsstrategieën zoals Business Continuity en Disaster Recovery.
🧠 Hoe werkt Contingency Planning?
De bekendste uitwerking staat in NIST SP 800-34 Rev. 1 (Contingency Planning Guide for Federal Information Systems, mei 2010). Die richtlijn beschrijft een proces van zeven stappen dat ook buiten de Amerikaanse overheid veel wordt gevolgd:
- Stel een contingency-beleid op - wie is eigenaar, welke systemen vallen eronder, hoe vaak wordt er getest en herzien.
- Voer een Business Impact Analysis uit - bepaal per proces de gevolgen van uitval en de toelaatbare stilstand.
- Identificeer preventieve maatregelen - bijvoorbeeld UPS, redundantie, brandbeveiliging en offline back-ups.
- Kies herstelstrategieën - back-up en restore, uitwijklocatie, reserve-hardware, contracten met leveranciers.
- Schrijf het contingency plan - met concrete herstelprocedures per systeem en scenario.
- Test, train en oefen - van tabletop-oefeningen tot een volledige omschakeling.
- Onderhoud het plan - als levend document, gekoppeld aan wijzigingsbeheer en versiebeheer.
Het plan zelf kent volgens NIST drie fasen: activering en melding (incident vaststellen, beslissen, mensen oproepen), herstel (systemen terugbrengen volgens vaste volgorde) en reconstitutie (testen, terugschakelen naar normaal bedrijf en het plan evalueren).
Een goed plan beschrijft niet alleen wát je moet doen, maar ook wie, waarmee en hoe snel.
⏱️ Welke hersteldoelen bepalen het plan?
De Business Impact Analysis levert drie getallen op die elke keuze in het plan sturen:
| Begrip | Betekenis | OT-voorbeeld |
|---|---|---|
| MTD (Maximum Tolerable Downtime) | Totale stilstand die het proces maximaal verdraagt | Een bakkerijlijn waarvan het deeg na enkele uren onbruikbaar is |
| RTO (Recovery Time Objective) | Maximale hersteltijd van één systeem; moet korter zijn dan de MTD | Tijd om een SCADA-server opnieuw op te bouwen |
| RPO (Recovery Point Objective) | Hoeveel data maximaal verloren mag gaan, gemeten vanaf de laatste back-up | Verlies van historian-data of batchrecords sinds de laatste back-up |
Volgens NIST SP 800-34 moet de RTO normaal korter zijn dan de MTD, omdat na herstel vaak nog tijd nodig is om werk opnieuw te verwerken. De RPO valt buiten de MTD: die gaat over dataverlies, niet over tijd. In de procesindustrie is de MTD soms erg kort, terwijl de RPO voor een PLC-programma juist ruim kan zijn, zolang de laatste goedgekeurde versie veilig bewaard is.
🔄 Hoe verhoudt Contingency Planning zich tot andere plannen?
NIST SP 800-34 onderscheidt acht soorten plannen, waaronder het business continuity plan, het crisiscommunicatieplan, het cyber incident response plan, het disaster recovery plan en het information system contingency plan (ISCP). Continuïteitsplanning gaat over de bedrijfsfuncties, contingency planning over het herstel van de systemen die die functies dragen.
| Plan | Focus | Typische trigger | OT-voorbeeld |
|---|---|---|---|
| Business Continuity | Bedrijfsprocessen overeind houden | Langdurige verstoring van welke aard ook | Productie verplaatsen naar een andere fabriek |
| Contingency plan (ISCP) | Herstel van één systeem of systeemgroep | Uitval van dat systeem | HMI valt uit → handmatig bedienen met checklist |
| Disaster Recovery | Herstel van infrastructuur na een groot incident | Brand, overstroming, ransomware | SCADA herstellen vanaf back-upserver op uitwijklocatie |
| Incident Response Plan | Detecteren, indammen en onderzoeken van een cyberincident | Aanval of verdachte activiteit | OT-netwerk isoleren van het kantoornetwerk |
| Crisiscommunicatieplan | Communicatie met medewerkers, klanten, toezichthouders | Elk incident met externe impact | Melding aan het CSIRT en de omgeving |
Contingency planning en disaster recovery overlappen sterk: het DR-plan is in feite het onderdeel voor grote, locatiebrede verstoringen.
🏭 Hoe ziet Contingency Planning eruit in industriële netwerken?
OT verschilt van IT op één cruciaal punt: het proces moet vaak doorlopen of gecontroleerd stoppen. Typische maatregelen zijn:
- Offline back-ups van PLC-programma’s, drive-parameters en HMI-projecten, inclusief de juiste softwareversies en licenties om ze terug te zetten
- Omschakeling naar redundante SCADA-servers, netwerken en voedingen bij uitval
- Handmatige bediening bij storingen in HMI of IO, met lokale bedieningspanelen en papieren checklists
- Lokale procedures bij uitval van centrale monitoring of de Historian, zoals handmatig loggen van kritische meetwaarden
- Veilige toestand - het plan beschrijft wanneer het proces naar een fail-safe toestand gaat; het SIS blijft daarbij onafhankelijk van de besturing werken
- Reserve-hardware voor componenten met lange levertijd of die niet meer worden geleverd
Reële incidenten laten zien waarom dit telt. Bij de LockerGoga-aanval op Norsk Hydro in 2019 draaiden delen van de productie door met handmatige bediening. Colonial Pipeline legde in 2021 de pijpleiding zes dagen stil, hoewel alleen het IT-netwerk was geraakt. Bij Maersk lukte herstel na NotPetya alleen dankzij één domeincontroller in Ghana die door een stroomstoring offline was geweest.
In OT draait contingency planning om fysieke processen die door moeten gaan, desnoods zonder IT-ondersteuning.
📐 Welke normen en wetten vragen om contingency planning?
- NIST SP 800-53 Rev. 5 - de maatregelenfamilie CP (Contingency Planning) bevat onder meer CP-2 (contingency plan), CP-4 (testen), CP-9 (back-up), CP-10 (herstel en reconstitutie) en CP-12 (safe mode). Voor Amerikaanse federale systemen is dit verplicht via FISMA.
- NIST SP 800-82 Rev. 3 (september 2023) - de OT-securityrichtlijn die deze controls vertaalt naar industriële systemen.
- IEC 62443-3-3 - systeemeisen SR 7.3 (back-up van het besturingssysteem) en SR 7.4 (herstel en reconstitutie).
- ISO 27001 en ISO 22301 - informatiebeveiliging tijdens verstoringen en een volledig managementsysteem voor bedrijfscontinuïteit.
- NIS2 - artikel 21 lid 2 sub c eist bedrijfscontinuïteit, zoals back-upbeheer en disaster recovery, en crisisbeheer. In Nederland is dat overgenomen in de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026.
Deze kaders ondersteunen samen Compliance, Incident Response en Risicomanagement binnen de bredere IEC 62443-aanpak.
🧭 Hoe test u een contingency plan in een OT-omgeving?
NIST SP 800-34 koppelt de zwaarte van het oefenen aan de impact van het systeem:
| Impactniveau | Aanbevolen oefening | Wat er minimaal in zit |
|---|---|---|
| Laag | Tabletop-oefening | Scenario bespreken met alle contactpersonen uit het plan |
| Midden | Functionele oefening | Rollen uitvoeren in een gesimuleerde omgeving, inclusief herstel vanaf back-upmedia |
| Hoog | Volledige functionele oefening | Omschakelen naar de uitwijklocatie, volledig herstel en reconstitutie naar een bekende toestand |
In OT is een volledige test tijdens productie zelden mogelijk. NIST noemt daarom gepland onderhoud of een stop als natuurlijk moment voor een functionele oefening. Praktische tips:
- Test de restore, niet alleen de back-up - zet een PLC-programma terug op reservehardware en vergelijk het met de laatst goedgekeurde versie.
- Gebruik een testomgeving of digital twin voor scenario’s die u in de fabriek niet kunt naspelen.
- Oefen handbediening met operators, inclusief het moment van terugschakelen naar automatisch.
- Bewaar onveranderbare back-ups en houd een jump server of andere beheerroute beschikbaar die niet afhankelijk is van het getroffen domein.
- Evalueer en werk bij - leg verbeterpunten vast en verwerk ze in het plan, minimaal jaarlijks en na elke grote wijziging.
🔐 Wat levert contingency planning op voor de beveiliging?
- Verkleint de impact van cyberincidenten, stroomuitval en sabotage
- Maakt rollen en beslisbevoegdheden vooraf duidelijk, zodat er tijdens een crisis niet wordt geïmproviseerd
- Voorkomt dat herstel een nieuwe besmetting veroorzaakt, doordat schone back-ups en een vaste herstelvolgorde vastliggen
- Geeft het management onderbouwde keuzes over investeringen in redundantie en uitwijk, als onderdeel van de totale beveiliging
Zonder contingency planning kan een relatief klein incident leiden tot langdurige stilstand of gevaarlijke situaties.
❓ Veelgestelde vragen
Wat is het verschil tussen contingency planning en business continuity?
Business continuity gaat over het doorlopen van bedrijfsfuncties als geheel, inclusief mensen, locaties en leveranciers. Contingency planning richt zich op het opvangen en herstellen van de systemen die die functies dragen. Een contingency plan is daarmee een bouwsteen van het bredere business continuity plan.
Welke norm beschrijft contingency planning?
De bekendste richtlijn voor contingency planning is NIST SP 800-34 Rev. 1 uit 2010, met een proces van zeven stappen en templates per impactniveau. De bijbehorende maatregelen staan in de CP-familie van NIST SP 800-53. Voor OT vullen NIST SP 800-82 en IEC 62443-3-3 dit aan.
Is contingency planning verplicht onder NIS2?
NIS2 noemt het woord contingency planning niet, maar artikel 21 eist wel bedrijfscontinuïteit, back-upbeheer, disaster recovery en crisisbeheer. Organisaties onder de Cyberbeveiligingswet moeten dus aantoonbaar noodplannen hebben. Een getest contingency plan is de meest directe manier om dat te laten zien.
Hoe vaak moet een contingency plan worden getest?
NIST laat de frequentie aan de organisatie over, maar het voorbeeldbeleid in SP 800-34 gaat uit van een jaarlijkse review en een jaarlijkse test. Na grote wijzigingen in installaties, netwerk of organisatie hoort het contingency plan ook direct te worden herzien. In OT worden tests vaak gekoppeld aan geplande onderhoudsstops.
Wat moet een OT-contingency plan minimaal bevatten?
Een OT-contingency plan bevat minimaal de kritieke systemen met hun RTO en RPO, contactgegevens en beslisbevoegdheden, procedures voor handbediening en veilige stop, de locatie van offline back-ups en de herstelvolgorde. Ook leveranciersafspraken en reserve-onderdelen horen erin. Zonder deze onderdelen is het plan in een crisis niet uitvoerbaar.
Wat is een tabletop-oefening bij contingency planning?
Een tabletop-oefening is een discussieoefening waarin deelnemers een scenario doorlopen en bespreken wie wat doet, zonder systemen echt uit te schakelen. Voor contingency planning is het een goedkope eerste test die gaten in rollen, communicatie en procedures blootlegt. Daarna volgen functionele oefeningen met echte restores.
📌 Samengevat
Contingency Planning zorgt dat industriële processen bij storingen of aanvallen beheerst doorlopen of veilig stoppen en binnen afgesproken tijd herstellen. Met een Business Impact Analysis, heldere RTO’s en RPO’s, offline back-ups, handbedieningsprocedures en regelmatige oefeningen wordt een papieren plan een werkend vangnet dat ook aansluit op NIS2 en IEC 62443.