ISO 22301 certificering
ISO 22301 is de internationale norm voor bedrijfscontinuïteitsmanagement. De norm vraagt dat u weet welke processen kritiek zijn, hoe snel die na een verstoring weer moeten draaien, en dat u aantoonbaar heeft beproefd of dat lukt.
Op deze pagina leest u wat de norm vraagt, hoe u een business impact analyse uitvoert, wat de begrippen RTO en RPO in de praktijk betekenen, wat de Cyberbeveiligingswet (CBW) op dit onderwerp verwacht en hoeveel u al heeft liggen als u ISO 27001 gecertificeerd bent.
Wij komen deze vraag meestal tegen na een verstoring die langer duurde dan iedereen had verwacht, of omdat een opdrachtgever om continuïteitsafspraken vraagt.
Wat is ISO 22301?
ISO 22301 beschrijft een managementsysteem waarmee u zich voorbereidt op verstoringen en aantoonbaar herstelt binnen afgesproken termijnen.
De opbouw lijkt sterk op ISO 27001. Ook hier gaat het om context en scope, leiderschap, planning, ondersteuning, uitvoering, evaluatie en verbetering. Wie al een managementsysteem heeft draaien, herkent de structuur meteen.
Het verschil zit in de inhoud. Waar ISO 27001 vraagt welke risico’s uw informatie bedreigen, vraagt ISO 22301 wat er gebeurt als een proces stilvalt, ongeacht de oorzaak. Een cyberincident, een brand, uitval van een leverancier of het wegvallen van sleutelpersoneel leiden tot dezelfde vraag: hoelang kunt u zonder, en wat doet u dan.
De kern van de norm is daarmee niet techniek maar prioritering. U bepaalt welke processen als eerste terug moeten en accepteert daarmee impliciet dat andere processen langer kunnen wachten. Dat is een directiebesluit.
Voor welke organisaties ISO 22301 relevant is
De norm is voor iedereen toepasbaar, maar zinvol certificeren doet u alleen als er een reden voor is.
De meest voorkomende reden is een eis van buiten. Opdrachtgevers in de logistiek, de zorg, de maakindustrie en bij de overheid vragen steeds vaker naar continuïteitsafspraken, en soms expliciet naar dit certificaat. Bij aanbestedingen komt het als gunningscriterium terug.
De tweede reden is afhankelijkheid. Levert u een dienst waar uw klanten hun eigen proces op hebben gebouwd, dan wordt uw uitval hun probleem. Dat maakt continuïteit een onderdeel van uw dienstverlening en niet alleen van uw eigen bedrijfsvoering.
De derde reden is intern. Organisaties die een keer langdurig zijn uitgevallen, ontdekken dat het herstel niet vastliep op techniek maar op besluitvorming: niemand wist wat er eerst terug moest.
Is er geen van deze drie redenen, dan kunt u de methodiek prima toepassen zonder te certificeren. De business impact analyse levert ook zonder certificaat waarde op.
De business impact analyse: RTO en RPO bepalen
Dit is het hart van de norm. U bepaalt per proces hoelang uitval acceptabel is en hoeveel gegevensverlies u kunt dragen.
Twee begrippen doen het werk. De hersteltijddoelstelling, in de norm RTO genoemd, is de termijn waarbinnen een proces weer moet draaien. De herstelpuntdoelstelling, RPO, is de hoeveelheid gegevens die u mag verliezen, uitgedrukt in tijd. Een RPO van vier uur betekent dat u maximaal vier uur werk opnieuw moet doen.
Die twee bepalen samen wat uw ICT moet kunnen. Een RPO van vier uur vraagt een back-up elke vier uur. Een RTO van twee uur vraagt een uitwijkvoorziening die binnen twee uur draait, en dat is iets anders dan een back-up die u nog moet terugzetten.
- Klantorderverwerking. Uitval acceptabel tot: Vier uur. Gegevensverlies acceptabel: Eén uur. Wat dat vraagt: Uitwijkomgeving en frequente back-ups.
- Productieaansturing. Uitval acceptabel tot: Twee uur. Gegevensverlies acceptabel: Vijftien minuten. Wat dat vraagt: Redundante systemen op locatie.
- Facturatie. Uitval acceptabel tot: Twee werkdagen. Gegevensverlies acceptabel: Eén werkdag. Wat dat vraagt: Dagelijkse back-up volstaat.
- Salarisverwerking. Uitval acceptabel tot: Vijf werkdagen, mits niet rond de betaaldatum. Gegevensverlies acceptabel: Eén werkdag. Wat dat vraagt: Afspraken met uw leverancier over hun hersteltijd.
- Marketing en website. Uitval acceptabel tot: Enkele dagen. Gegevensverlies acceptabel: Eén week. Wat dat vraagt: Standaard back-up, geen bijzondere voorziening.
Wat opvalt bij vrijwel elke eerste analyse: de gevraagde hersteltijden zijn korter dan wat de huidige inrichting aankan. Dat verschil is precies wat de analyse zichtbaar maakt, en het is de reden dat de directie erbij moet zitten.
Wat de Cyberbeveiligingswet vraagt op het gebied van continuïteit
De Cyberbeveiligingswet, die vanaf 15 augustus 2026 geldt, noemt bedrijfscontinuïteit expliciet als onderdeel van de zorgplicht.
Concreet gaat het om back-upbeheer, herstel na een incident en crisisbeheer. Dat is minder uitgebreid dan een volledig ISO 22301-systeem, maar het raakt dezelfde onderwerpen. Wie de norm volgt, voldoet ruimschoots aan wat de wet op dit punt vraagt.
De omgekeerde vraag is praktischer: wat is het minimum? Dat is een herstelprocedure, bewijs dat terugzetten werkelijk is getest, en een crisisaanpak die is beproefd. Dat laatste is de koppeling met uw incident response plan en met een cybercrisisoefening.
Certificeren is dus geen wettelijke eis. De methodiek gebruiken om te bepalen wat kritiek is, wel verstandig, want zonder die analyse kunt u niet onderbouwen dat uw maatregelen passend zijn.
ISO 22301 naast ISO 27001 en NEN 7510
Heeft u al een managementsysteem, dan is een groot deel van het werk gedaan. Dit is wat er overlapt en wat er echt bij komt.
- Scope en context. Heeft u al bij ISO 27001: Ja, dezelfde structuur. Wat ISO 22301 extra vraagt: Aanvullen met continuïteitsperspectief.
- Leiderschap en beleid. Heeft u al bij ISO 27001: Ja, één beleid kan beide dekken. Wat ISO 22301 extra vraagt: Uitspraak over continuïteitsdoelstellingen.
- Risicobeoordeling. Heeft u al bij ISO 27001: Ja, methodiek is herbruikbaar. Wat ISO 22301 extra vraagt: Gericht op verstoring in plaats van op informatie.
- Business impact analyse. Heeft u al bij ISO 27001: Nee, dit is nieuw. Wat ISO 22301 extra vraagt: Volledige analyse per proces met RTO en RPO.
- Continuïteitsplannen. Heeft u al bij ISO 27001: Deels, meestal alleen ICT-herstel. Wat ISO 22301 extra vraagt: Plannen per proces, ook zonder ICT-oorzaak.
- Oefenen en testen. Heeft u al bij ISO 27001: Beperkt. Wat ISO 22301 extra vraagt: Verplicht oefenprogramma met vastlegging.
- Interne audit en directiebeoordeling. Heeft u al bij ISO 27001: Ja, kan gecombineerd. Wat ISO 22301 extra vraagt: Onderwerpen uitbreiden.
De praktische conclusie: ongeveer de helft heeft u al. Het echte extra werk zit in de business impact analyse, de plannen per proces en het oefenprogramma. Richt daarom één systeem in met twee normen erin, geen twee stelsels naast elkaar.
Onze aanpak in zes stappen
De analyse gaat vooraf aan de plannen. Wie andersom begint, schrijft plannen voor processen die het niet nodig hebben.
1. Bepaal scope en context
Wij leggen vast welke organisatieonderdelen, locaties en diensten meedoen en wat uw belanghebbenden verwachten. U neemt het besluit over de reikwijdte. Dat levert de afbakening op die op uw certificaat komt te staan.
2. Voer de business impact analyse uit
Wij bepalen per proces de gevolgen van uitval in de tijd, samen met de proceseigenaren. U zorgt dat zij beschikbaar zijn en dat de directie de uitkomsten vaststelt. Dat levert de hersteltijden en herstelpunten op waar alles op steunt.
3. Analyseer de risico’s en de afhankelijkheden
Wij brengen in kaart waarvan uw kritieke processen afhankelijk zijn: systemen, locaties, mensen en leveranciers. U levert contracten en overzichten aan. Dat levert het beeld op van waar uw werkelijke kwetsbaarheid zit, en dat is vaak een leverancier.
4. Kies de continuïteitsstrategie
Wij zetten de opties op een rij om de hersteltijden te halen, met wat elke optie vraagt. U kiest, want dat is een afweging tussen kosten en risico. Dat levert onderbouwde keuzes op in plaats van een technische wens.
5. Stel de plannen op
Wij werken de continuïteitsplannen uit per kritiek proces, inclusief rollen en communicatie. U wijst de verantwoordelijken aan. Dat levert plannen op die tijdens een verstoring bruikbaar zijn, kort en met de contactgegevens erin.
6. Oefen, audit en certificeer
Wij begeleiden de oefening, voeren de interne audit uit en bereiden de certificerende audit voor. U zorgt dat de juiste mensen meedoen. Dat levert het bewijs op dat de plannen werken, en dat is waar een auditor op doorvraagt.
Oefenen: waar het bij audits het vaakst misgaat
Plannen schrijven kan iedereen. Aantonen dat ze werken, is het onderscheidende deel van deze norm.
De norm vraagt een oefenprogramma en bewijs dat u hebt beproefd of de gekozen hersteltijden haalbaar zijn. Dat is meer dan een tafelgesprek. Een hersteltijd van twee uur die nooit is getest, is een aanname en geen doelstelling.
In de praktijk werkt een gelaagde aanpak. Jaarlijks een oefening rond besluitvorming en communicatie, waarin het team een scenario doorloopt. Daarnaast periodiek een technische proef: een back-up werkelijk terugzetten en meten hoe lang dat duurt.
Die tweede levert vrijwel altijd verrassingen op. Terugzetten duurt langer dan gedacht, een afhankelijkheid was vergeten, of de persoon die het kan is met vakantie. Dat is precies de informatie waarvoor u oefent.
Leg het resultaat vast met datum, deelnemers, bevindingen en opvolging. Dat dossier is uw bewijs, zowel richting de auditor als richting de zorgplicht uit de Cyberbeveiligingswet.
Doorlooptijd en wat de omvang bepaalt
Een traject duurt bij de meeste organisaties zes tot twaalf maanden. Deze factoren bepalen het verschil.
- Aantal kritieke processen. Elk proces vraagt een eigen analyse en een eigen plan.
- Aantal locaties. Meerdere vestigingen betekent meer afhankelijkheden en meer afstemming.
- Bestaande managementsystemen. Met ISO 27001 of NEN 7510 ligt ongeveer de helft er al.
- Complexiteit van de keten. Kritieke leveranciers vragen eigen afspraken over hun hersteltijden.
- Afstand tussen wens en werkelijkheid. Zijn de gewenste hersteltijden veel korter dan wat uw ICT aankan, dan komt daar een investering achter vandaan.
- Beschikbaarheid van proceseigenaren. De business impact analyse vraagt sessies die u niet kunt samenvoegen.
Wij maken de omvang van uw traject inzichtelijk in een vrijblijvend gesprek.
Zo begeleidt QENSORA u bij ISO 22301
Wij richten het systeem met u in en begeleiden de audit. Het certificaat komt van een geaccrediteerde instelling.
Wat wij toevoegen is de koppeling tussen de analyse en de techniek. Een business impact analyse levert hersteltijden op, en die zijn alleen waardevol als iemand kan beoordelen of uw huidige inrichting die haalt. Dat is precies het punt waar een puur organisatorische adviseur stopt.
Wij combineren het traject bovendien met wat u al heeft. Draait er een ISO 27001-systeem, dan bouwen wij daarop verder in plaats van er een tweede stelsel naast te zetten. Eén beleid, één risicomethodiek, één jaarcyclus.
Wij zeggen ook wanneer certificeren niet nodig is. Vraagt niemand erom, dan levert de methodiek zelf de meeste waarde en kunt u het certificaat overslaan. Dat scheelt een jaarlijkse auditcyclus.
René van der Horst werkt dertig jaar in IT-leiderschap en begeleidt organisaties bij ISO 27001, NEN 7510 en de Cyberbeveiligingswet. Hij voert de sessies met de directie zelf, omdat de keuze welk proces als eerste terug moet daar wordt gemaakt.
Weten wat als eerste terug moet
De waarde van deze norm zit niet in het certificaat maar in één gesprek: welk proces moet als eerste weer draaien, en accepteren wij dat de rest langer wacht. Dat gesprek voert u liever nu dan tijdens een storing.
Wilt u weten wat uw kritieke processen zijn en of uw huidige inrichting de gewenste hersteltijden haalt? Neem vrijblijvend contact op. In een eerste gesprek wordt meestal snel duidelijk of certificering nodig is of dat de analyse volstaat.
Veelgestelde vragen over ISO 22301
Is ISO 22301 verplicht?
Nee, geen enkele Nederlandse wet verplicht dit certificaat. De Cyberbeveiligingswet vraagt wel om continuïteitsbeheer en crisisbeheer als onderdeel van de zorgplicht. U kunt daaraan voldoen zonder te certificeren, mits u kunt aantonen dat u weet wat kritiek is en dat u herstel heeft beproefd.
Wat is het verschil met ISO 27001?
ISO 27001 gaat over informatiebeveiliging: vertrouwelijkheid, integriteit en beschikbaarheid van informatie. ISO 22301 gaat over doorwerken bij een verstoring, ongeacht de oorzaak. De structuur van beide normen is gelijk, dus ze zijn goed te combineren in één managementsysteem.
Wat betekenen RTO en RPO?
RTO is de hersteltijddoelstelling: binnen welke termijn moet een proces weer draaien. RPO is de herstelpuntdoelstelling: hoeveel gegevens mag u verliezen, uitgedrukt in tijd. Een RPO van vier uur betekent maximaal vier uur werk opnieuw doen, en dat bepaalt hoe vaak u een back-up maakt.
Hoeveel hebben wij al als wij ISO 27001 hebben?
Ongeveer de helft. Scope, beleid, leiderschap, risicomethodiek, interne audit en directiebeoordeling zijn herbruikbaar. Wat er echt bij komt is de business impact analyse, de continuïteitsplannen per proces en het oefenprogramma. Richt daarom één systeem in met beide normen erin.
Hoelang duurt een certificeringstraject?
Bij de meeste organisaties zes tot twaalf maanden tot de certificerende audit. Het grootste deel gaat naar de business impact analyse, omdat die sessies met proceseigenaren vraagt die u niet kunt samenvoegen. Met een bestaand managementsysteem is de doorlooptijd korter.
Hoe vaak moeten wij oefenen?
Jaarlijks een oefening rond besluitvorming en communicatie, en periodiek een technische proef waarbij u herstel werkelijk uitvoert. Die tweede is de belangrijkste, want daar blijkt of uw hersteltijden realistisch zijn. Leg per oefening datum, deelnemers, bevindingen en opvolging vast.
Onze belangrijkste systemen draaien bij een leverancier. Wat dan?
Dan bepaalt hun hersteltijd de uwe. Vraag op welke termijn zij herstellen, of dat contractueel is vastgelegd en of zij dat hebben beproefd. Blijkt hun hersteltijd langer dan wat u nodig heeft, dan is dat een risico dat u bewust accepteert of waarover u opnieuw onderhandelt.
Kunnen wij de methodiek gebruiken zonder te certificeren?
Ja, en voor veel organisaties is dat de verstandigste route. De business impact analyse levert de meeste waarde op, omdat die zichtbaar maakt welke processen als eerste terug moeten en of uw huidige inrichting dat aankan. Certificeren is zinvol zodra iemand erom vraagt.
Improved Security, Smarter Compliance.
Weten waar uw organisatie staat op het gebied van cybersecurity, compliance of IT? Of bent u benieuwd welke risico’s of verplichtingen voor uw organisatie relevant zijn?
Neem vrijblijvend contact op met QENSORA voor een kennismaking of adviesgesprek. Samen kijken we hoe uw organisatie veiliger en slimmer kan worden.
