Wat is ISO 22301?
ISO 22301 is de internationale, certificeerbare norm met eisen voor een Business Continuity Management System (BCMS): een managementsysteem waarmee een organisatie zich voorbereidt op verstoringen, haar kritieke processen tijdens een incident op een afgesproken minimumniveau voortzet en ze binnen een aanvaardbare tijd herstelt. De norm maakt continuïteitsbeheer planmatig en aantoonbaar, met een vaste cyclus van analyse, strategie, plannen, oefenen en verbeteren. ISO 22301 is toepasbaar op alle typen organisaties, van overheden en zorginstellingen tot fabrieken, waterschappen en energiebedrijven. In OT-omgevingen gaat het daarbij niet alleen om data en kantoorsystemen, maar om het doordraaien of veilig stilleggen van fysieke processen.
🕰️ Hoe is ISO 22301 ontstaan?
De eerste editie verscheen in 2012, opgesteld door ISO/TC 223 Societal security, en bouwde voort op eerdere nationale continuïteitsnormen zoals de Britse BS 25999-2. Het was de eerste ISO-norm die volledig volgens de Annex SL-structuur voor managementsystemen was opgebouwd, dezelfde hoofdstukindeling als ISO 27001 en ISO 9001. De huidige tweede editie is in oktober 2019 gepubliceerd door ISO/TC 292 Security and resilience.
| Jaar | Gebeurtenis | Wat veranderde |
|---|---|---|
| 2012 | ISO 22301:2012 gepubliceerd | Eerste internationale, certificeerbare BCMS-norm in Annex SL-structuur |
| 2019 | ISO 22301:2019 (tweede editie) | Minder dubbele tekst, eenvoudiger termen, sterkere BIA en strategiekeuze |
| 2022 | Einde overgangsperiode | Certificaten op de editie van 2012 vervielen na drie jaar overgang |
| 2024 | Amendement 1: Climate action changes | Organisatie moet bepalen of klimaatverandering relevant is voor haar BCMS |
Bij de herziening van 2019 verdwenen begrippen als MTPD en MBCO uit de definities van de norm zelf; ze staan nu in de woordenlijst ISO 22300 en worden in toelichtende noten genoemd. In Nederland en de rest van Europa is de norm overgenomen als NEN-EN-ISO 22301.
🧱 Hoe is ISO 22301 opgebouwd?
ISO 22301 volgt de tien hoofdstukken van de geharmoniseerde structuur voor managementsystemen. Hoofdstuk 4 tot en met 10 bevatten de eisen en volgen de PDCA-cyclus. Het eigenlijke continuïteitswerk staat in hoofdstuk 8:
| Clausule | Onderwerp | Wat het in de praktijk vraagt |
|---|---|---|
| 8.1 | Operationele planning en beheersing | Processen plannen, uitvoeren en beheersen, ook als ze zijn uitbesteed |
| 8.2 | Business impact analyse en risicobeoordeling | Prioriteiten, hersteltijden en afhankelijkheden bepalen; risico’s op verstoring beoordelen |
| 8.3 | Strategieën en oplossingen | Kiezen hoe u processen beschermt, voortzet en herstelt, inclusief benodigde middelen |
| 8.4 | Plannen en procedures | Een responsstructuur met teams, waarschuwing en communicatie, en continuïteits- en herstelplannen |
| 8.5 | Oefenprogramma | Oefenen met realistische scenario’s op geplande momenten en na grote wijzigingen |
| 8.6 | Evaluatie | Documentatie en vermogens beoordelen, ook die van partners en leveranciers |
Daaromheen eist de norm wat elk managementsysteem vraagt: context en belanghebbenden (4), betrokkenheid van de directie en beleid (5), planning van acties voor risico’s en kansen en doelstellingen (6), middelen, competentie en documentatie (7), monitoring, interne audits en directiebeoordeling (9) en continue verbetering (10). Het leiderschap en de toewijzing van rollen sluiten aan op de bredere governance van de organisatie.
🧠 Wat moet een organisatie concreet doen?
De kern van ISO 22301 is een keten van vier stappen die op elkaar voortbouwen:
- Business Impact Analysis (BIA) - bepaal per proces hoe de schade in de tijd oploopt en leg hersteldoelen vast, zoals RTO en RPO. Sinds 2019 vraagt de norm expliciet om impacttypen en criteria vast te stellen, bijvoorbeeld financiële, juridische, veiligheids- en reputatieschade, en om te beoordelen hoe die impact zich in de tijd ontwikkelt.
- Risicobeoordeling - breng dreigingen en afhankelijkheden in kaart, van stroomuitval, brand en een pandemie tot ransomware en uitval van een leverancier. De norm sluit hierbij aan op Risicomanagement volgens ISO 31000.
- Strategieën en plannen - kies oplossingen als redundantie, uitwijk, handmatige bediening of disaster recovery, en leg activering, rollen en stappen vast in plannen. Het Incident Response Plan voor cyberincidenten en het Crisiscommunicatieplan horen in dezelfde responsstructuur.
- Oefenen en evalueren - test plannen met een tabletop-oefening, een hersteltest of een volledige uitwijkoefening en leg de lessen vast in een rapport dat terugkomt in de directiebeoordeling.
ISO 22301 schrijft geen vaste oefenfrequentie of minimale hersteltijd voor. De organisatie bepaalt zelf haar doelen; de auditor toetst of die onderbouwd zijn en of ze worden gehaald.
🏭 Hoe past u ISO 22301 toe in OT-omgevingen?
De norm is technologieneutraal, maar in de industrie en vitale infrastructuur krijgt hij een eigen invulling. Een productielijn, gemaal of onderstation kan vaak niet uit een back-up worden “teruggezet” zoals een server; het fysieke proces moet ook veilig worden stilgelegd en weer opgestart.
| OT-omgeving | Typische continuïteitsvraag | Voorbeeld van maatregel |
|---|---|---|
| Waterschappen, gemeenten en drinkwater | Hoe lang kan een zuivering, gemaal of verkeersregeling zonder centrale besturing? | Lokale automatische werking, handbediening en geoefende storingsdiensten |
| Productie en procesindustrie | Welke lijnen zijn kritiek en hoe snel moet een PLC-programma terug? | Actuele offline back-ups van PLC- en SCADA-configuraties, reserve-hardware |
| Energie-infrastructuur | Hoe wordt het net bij uitval van besturing veilig hersteld? | Herstelprocedures, redundante verbindingen, noodstroom via UPS |
| Zorg en gebouwen | Blijven klimaatbeheersing, medische gassen en beveiliging werken? | Uitwijklocaties, onderhoudscontracten met reactietijden |
Bij een cyberaanval op het kantoornetwerk is de kernvraag of de productie door kan draaien. Colonial Pipeline legde in 2021 uit voorzorg de pijpleiding stil, hoewel alleen het IT-netwerk was geraakt. Een goed uitgewerkte BIA en netwerksegmentatie tussen IT en OT maken dat besluit onderbouwd in plaats van gedwongen. Technische eisen voor die segmentatie en herstelbaarheid haalt u uit IEC 62443; ISO 22301 levert het managementkader eromheen.
🔄 Hoe verhoudt ISO 22301 zich tot andere normen en wetten?
| Norm of wet | Focus | Relatie met ISO 22301 |
|---|---|---|
| ISO 27001 | Informatiebeveiliging (ISMS) | Zelfde structuur; maatregelen A.5.29 en A.5.30 gaan over continuïteit van informatiebeveiliging en ICT |
| IEC 62443 | OT-beveiliging | Levert technische eisen voor zones, back-up en herstel van besturingssystemen |
| ISO 31000 | Risicomanagement | Richtlijn voor het risicoproces dat in clausule 8.2 terugkomt |
| BIO | Informatiebeveiliging overheid | Gebaseerd op ISO 27001/27002; continuïteit via die maatregelen, niet via ISO 22301 |
| ISO 9001 | Kwaliteitsmanagement | Zelfde hoofdstukindeling; eenvoudig te integreren |
| NIS2 en Cyberbeveiligingswet | Wettelijke zorgplicht | Eisen bedrijfscontinuïteit, back-upbeheer, herstel en crisisbeheer |
ISO 22301 zelf is nergens wettelijk verplicht. Wel is bedrijfscontinuïteit sinds 15 augustus 2026 een wettelijke eis voor organisaties onder de Cyberbeveiligingswet: artikel 9 van het Cyberbeveiligingsbesluit vraagt herstelprocedures, periodiek geverifieerde back-ups en een continuïteits-, herstel- en crisisplan. Een BCMS volgens ISO 22301 is een gangbare manier om dat aantoonbaar te regelen. Kritieke entiteiten hebben daarnaast weerbaarheidsplichten via de Wwke.
🧭 Hoe implementeert u ISO 22301 stap voor stap?
- Bepaal de reikwijdte - welke locaties, processen en producten vallen onder het BCMS; begin bij wat klanten en toezichthouders het meest raakt.
- Zorg voor directiesteun - stel een continuïteitsbeleid vast, wijs een eigenaar aan (vaak de CISO of een BCM-coördinator) en betrek productie en OT-beheer.
- Voer de BIA uit - leg per proces de maximale stilstand, RTO en RPO vast, inclusief afhankelijkheden van leveranciers en IT.
- Beoordeel risico’s - combineer bedrijfs-, fysieke en cyberrisico’s in één risicoregister.
- Kies strategieën en schrijf plannen - van handmatige terugval tot onveranderbare back-ups en uitwijk.
- Oefen en evalueer - minstens jaarlijks een tabletop en een technische hersteltest is een gangbare praktijk.
- Laat certificeren - via een geaccrediteerde certificatie-instelling.
Een certificaat is drie jaar geldig. De initiële audit bestaat uit twee fasen (documentatie en gereedheid, daarna de werking in de praktijk), gevolgd door jaarlijkse controle-audits en een hercertificering. Voor de competentie van BCMS-auditors bestaat een aparte specificatie, ISO/IEC TS 17021-6. Organisaties met een managementsysteem voor ISO 27001 of ISO 9001 kunnen veel onderdelen hergebruiken, zoals documentbeheer, interne audits en de directiebeoordeling.
❓ Veelgestelde vragen
Is ISO 22301 verplicht?
ISO 22301 is een vrijwillige norm en geen wet. Organisaties onder de Cyberbeveiligingswet moeten sinds 15 augustus 2026 wel bedrijfscontinuïteit, back-ups en crisisbeheer regelen, en een BCMS volgens ISO 22301 is een erkende manier om dat aantoonbaar te doen. Klanten, ketenpartners en aanbestedingen in de vitale infrastructuur vragen soms expliciet om ISO 22301-certificering.
Wat is het verschil tussen ISO 22301 en ISO 22313?
ISO 22301 bevat de eisen waartegen een organisatie gecertificeerd kan worden. ISO 22313:2020 is een richtlijn die uitlegt hoe u die eisen invult, met voorbeelden en goede praktijken. Certificeren tegen ISO 22313 is niet mogelijk.
Welke normen horen bij de ISO 22301-familie?
Rond ISO 22301 staan onder meer ISO 22300 (woordenlijst), ISO 22313 (toelichting), ISO/TS 22317 (business impact analyse), ISO/TS 22318 (continuïteit in de keten) en ISO/TS 22332 (plannen en procedures). Deze documenten zijn ondersteunend; alleen ISO 22301 is certificeerbaar.
Wat veranderde het amendement van 2024 aan ISO 22301?
Het amendement uit februari 2024 voegt klimaatverandering toe aan de contextanalyse van ISO 22301. De organisatie moet bepalen of klimaatverandering een relevant onderwerp is en of belanghebbenden er eisen over hebben. Dezelfde aanpassing is tegelijk in tientallen ISO-managementsysteemnormen doorgevoerd, waaronder ISO 27001 en ISO 9001.
Kunt u ISO 22301 combineren met ISO 27001?
ISO 22301 en ISO 27001 delen dezelfde hoofdstukstructuur, waardoor één geïntegreerd managementsysteem met gezamenlijke audits goed mogelijk is. ISO 27001 richt zich op informatiebeveiliging, ISO 22301 op het voortzetten van alle kritieke processen, ook niet-digitale. Veel certificatie-instellingen bieden een gecombineerde audit aan.
Hoe lang duurt een ISO 22301-implementatie?
De doorlooptijd van een ISO 22301-implementatie hangt sterk af van de omvang van de reikwijdte; voor een middelgrote organisatie wordt vaak uitgegaan van zes maanden tot een jaar. De BIA en het eerste oefenprogramma kosten de meeste tijd, omdat ze inbreng van productie, IT en leveranciers vragen. Een bestaand ISO 27001- of ISO 9001-systeem verkort de doorlooptijd, omdat documentbeheer, audits en directiebeoordeling al bestaan.
📌 Samengevat
ISO 22301 is de internationale, certificeerbare norm voor een Business Continuity Management System: hij verplicht een organisatie om met een BIA, risicobeoordeling, plannen en oefeningen te borgen dat kritieke processen een verstoring doorstaan. De huidige editie is ISO 22301:2019 met het klimaatamendement van 2024. In IT- en OT-omgevingen vormt de norm het managementkader rond technische maatregelen uit IEC 62443 en helpt hij de continuïteitseisen van de Cyberbeveiligingswet aantoonbaar in te vullen.