Werken als Business Continuity Manager

Wat doet een Business Continuity Manager?

Een Business Continuity Manager bereidt een organisatie voor op de dag dat iets uitvalt, en zorgt dat de organisatie dan weet wat ze moet doen. Continuïteit gaat niet alleen over IT. Een brand, een leverancier die wegvalt, een stroomstoring of een grote ziekteverzuimgolf raken ook processen. IT-herstel, in het vakjargon disaster recovery, is een deel van dat geheel. De manager kijkt naar de bedrijfscontinuïteit als geheel.

Neem het betalingssysteem van een grote winkelketen dat uitvalt. De manager kijkt of het continuïteitsplan beschrijft wat er dan gebeurt. Welke winkels kunnen niet afrekenen? Is er een noodprocedure, zoals alleen contant betalen of een offline kassa? Wie beslist over het inschakelen van het crisisteam, en hoe informeren we klanten en medewerkers? Het plan moet die vragen beantwoorden. Na het incident bespreekt de manager met het team wat werkte en wat niet, en past het plan aan. Dat laatste is minstens zo belangrijk als het plan zelf.

Het werk vindt vooral plaats voor het incident: voorbereiden, oefenen en het plan bijhouden. Tijdens een echt incident is de manager erbij, maar het plan moet dan al klaarliggen. Het werk raakt aan risk management, omdat de manager moet weten welke scenario's waarschijnlijk en ernstig zijn. Het European Cybersecurity Skills Framework van ENISA beschrijft twaalf beroepsprofielen, maar geen profiel voor de Business Continuity Manager. De beschrijving op deze pagina is daarom vakduiding en geen officieel profiel.

Wat is ISO 22301?

ISO 22301 is de internationale norm voor business continuity management systems, afgekort BCMS. De volledige titel is "Security and resilience: Business continuity management systems: Requirements". ISO beschrijft de norm als een kader waarmee een organisatie een gedocumenteerd managementsysteem plant, opzet, uitvoert, laat werken, monitort, beoordeelt, onderhoudt en voortdurend verbetert. Het doel is beschermen tegen verstorende incidenten, de kans erop verkleinen en het herstel ervan waarborgen. Zie de pagina van ISO.

Een managementsysteem is een manier van werken waarin de organisatie vastlegt wat ze wil bereiken, wat ze doet, hoe ze het controleert en hoe ze verbetert. Een BCMS is zo'n systeem voor continuïteit: beleid, rollen, plannen, oefeningen en evaluaties. ISO richt de norm op organisaties van elke omvang. De huidige editie is de tweede, gepubliceerd in oktober 2019, met één amendement: ISO 22301:2019/Amd 1:2024 (Climate action changes). De bijbehorende gids is ISO 22313:2020. Meer over de norm vind je op de skillpagina ISO 22301.

ISO meldt dat de norm de status "International Standard to be revised" heeft en dat er een opvolger in ontwikkeling is. Voor de actuele status kijk je op de pagina van ISO.

Welke taken horen bij de functie?

Het werk begint met de organisatie in kaart brengen. De kern daarvan is de business impact-analyse (BIA). Per belangrijk proces stel je vast wat er gebeurt als het uitvalt, hoe lang dat te dragen is, wat het proces nodig heeft (mensen, systemen, leveranciers, locatie) en wat er eerst hersteld moet worden. Bij een BIA horen twee begrippen: de maximaal acceptabele uitvaltijd, hoe lang een proces stil mag liggen, en het acceptabele gegevensverlies, hoeveel gegevens je mag kwijtraken. Per proces stel je vast wat daarvoor geldt. De details staan in de norm zelf, die je via ISO kunt raadplegen.

Uit de BIA volgen herstelstrategieën. Daarna schrijf je de plannen en houd je ze actueel. Een plan dat nooit geoefend is, heeft zijn waarde nog niet bewezen. Oefenen kan op drie manieren: een tafeloefening, waarbij een team aan tafel een scenario doorloopt, een test van het herstel van een systeem (kan de back-up echt teruggezet worden?), of een volledige crisisoefening. De manager organiseert de oefening, schrijft het scenario, begeleidt en noteert de verbeterpunten. Na elke oefening of storing legt de manager de lessen vast en past het plan aan. Het management krijgt een rapportage over prioriteiten en openstaande risico's.

De NIS2-richtlijn noemt in artikel 21, lid 2, bedrijfscontinuïteit, zoals back-upbeheer en herstel na een ramp, en crisisbeheer, als maatregelen voor cyberbeveiligingsrisicobeheer. De maatregelen zijn gebaseerd op een all-hazards-aanpak. ENISA beschrijft bij de rol van de CISO dat die processen opzet voor een bedrijfscontinuïteitsplan en een herstelplan. Zie het kennisbankartikel over NIS2.

De manager werkt samen met IT-beheer (herstel van systemen), met de Information Security Officer en de SOC (incidenten), met de Risk Manager (welke scenario's zijn waarschijnlijk en ernstig), met facilitair en HR (locaties en mensen), met leveranciers en met het management (prioriteiten). Zeggenschap over die partijen heb je zelden. Je werkt vooral door te overtuigen.

Welke skills heb je nodig?

• Procesdenken. Je ziet hoe een dienst is opgebouwd uit stappen en afhankelijkheden. Bij een betaalproces kijk je naar de kassasoftware, de betaalprovider en het netwerk van de winkel.
• Doorvragen. Een afdeling zegt "dat moet altijd werken". Jij vraagt wat er gebeurt als het een dag niet werkt.
• Faciliteren. Je leidt een oefening en laat deelnemers aan het woord, ook de collega's die liever zwijgen.
• Kalm blijven. In een echte crisis komt de vraag "wat nu?" bij jou.
• Schrijven. Een plan moet iemand onder stress in een paar minuten kunnen volgen. Dan schrijf je kort, met de stappen in volgorde en de naam van wie beslist.
• Overtuigen. Managers hebben weinig tijd en besteden die liever aan lopende zaken. Je legt uit waarom een oefening nu de moeite waard is.

Welke tools en technologie gebruikt een Business Continuity Manager?

Een BIA en een herstelplan maak je in documenten en spreadsheets. Het overleg met het management loopt via presentaties. Bij sommige organisaties is er software om plannen, rollen en oefeningen bij te houden. Processen en risico's kunnen bij sommige organisaties in een platform als ServiceNow staan. Welke software en kaders een werkgever gebruikt, staat in de vacature.

Het plan rust op techniek: back-up en herstel van gegevens en systemen, noodvoorzieningen en communicatiemiddelen voor een crisis. Wie de techniek kent, kan beter inschatten wat het plan kan waarmaken. Meer over herstel van systemen vind je bij disaster recovery.

Welke opleiding en certificeringen passen bij een Business Continuity Manager?

Er is geen vaste opleiding die bij dit vak hoort. Bij sommige organisaties verwijst de vacature naar ISO 22301 als kader. Ook de CISA-certificering kan verwant zijn: de CISA van ISACA heeft vijf domeinen, en een daarvan heet Information Systems Operations and Business Resilience. De CISA is een IT-auditcertificering en geen continuïteitsdiploma. Wie vooral de risicokant van continuïteit doet, kijkt naar de CRISC-certificering.

Lees in de vacature welke ervaring of opleiding gevraagd wordt. Een certificering vervangt ervaring niet.

Hoe word je Business Continuity Manager?

De functie is bereikbaar vanuit IT-beheer (je kent de systemen en hun herstel), risicomanagement, operations of projectmanagement (je kent processen), en audit (je weet hoe je toetst of iets werkt). Een hbo- of wo-opleiding in ICT, bedrijfskunde of veiligheidskunde past als basis.

Je kunt zelf beginnen. Kies een bekend proces, bijvoorbeeld hoe een bestelling wordt afgehandeld. Schrijf op welke systemen, mensen en leveranciers het nodig heeft en wat er gebeurt als een ervan wegvalt. Maak daarna een eenvoudig herstelplan van een pagina en begeleid een tafeloefening met collega's of in een vereniging. Dat materiaal kun je in een sollicitatiegesprek laten zien.

Waar werk je als Business Continuity Manager?

Je vindt de functie bij sommige organisaties waar uitval snel gevolgen heeft, zoals in financiële dienstverlening, energie en infrastructuur, zorg, logistiek en overheid. Bekijk de vacatures per sector: financiële dienstverlening, energie en infrastructuur, zorg en life sciences, logistiek en mobiliteit en Rijksoverheid. Ook adviesbureaus helpen klanten met hun continuïteit.

Over de Digital Operational Resilience Act (DORA) staat een eigen artikel in de kennisbank.

Waar groei je naartoe?

Dit is een overzicht van rollen, geen belofte. Welke route openstaat, hangt af van de organisatie en van wat je laat zien.

• Senior Business Continuity Manager of lead. Je draagt de continuïteit voor de hele organisatie of een groep. Zie de vacatures voor Business Continuity Managers.
• IT Risk Manager. Je beheert de technische risico's. Zie de vacatures en de rolgids.
• Risk Manager. Je beheert risico's breder dan IT. Zie de vacatures en de rolgids.
• Security Manager. Je stuurt security als geheel aan. Zie de vacatures en de rolgids.
• Information Security Officer. Je coördineert beleid en maatregelen. Zie de vacatures en de rolgids.
• CISO. Je bepaalt de strategie en legt verantwoording af. Zie de vacatures.

Business Continuity Manager of Incident Responder?

Kies continuïteit als je graag voorbereidt en organiseert, en incident response als je liever in het hart van de actie zit. De twee hebben elkaar nodig: het plan van de een wordt door de ander gebruikt. Lees de rolgids voor de Incident Responder voor de andere kant.

Vacatures en werkgevers

Op de vacaturepagina voor Business Continuity Managers zie je welke vacatures openstaan. Op de werkgeverspagina zie je welke werkgevers een Business Continuity Manager zoeken. Het vakgebied compliance en privacy geeft de bredere context.