In dit artikel7
Wat is ISO 22301?
De officiële titel is Security and resilience, Business continuity management systems, Requirements. De norm is opgesteld door ISO/TC 292 (Security and resilience). ISO noemt de norm de internationale standaard voor business continuity management systems en schrijft dat hij bedoeld is voor organisaties van elke omvang. De norm staat op de ISO-pagina. Hij is betaald, dus dit artikel geeft de inhoud van de eisen niet weer.
Een managementsysteem is een manier van werken waarin de organisatie vastlegt wat ze wil bereiken, wat ze doet, hoe ze dat controleert en hoe ze verbetert. Een BCMS is zo'n systeem, gericht op continuïteit. Meerdere managementsysteemnormen van ISO volgen dezelfde lijn, bijvoorbeeld de norm voor informatiebeveiliging: beleid en doelen vaststellen, uitvoeren, controleren en bijsturen.
Volgens ISO beschrijft de norm hoe je een gedocumenteerd managementsysteem plant, invoert, bewaakt, beoordeelt, onderhoudt en continu verbetert. Dat moet een organisatie beschermen tegen verstorende incidenten, de kans erop verkleinen en herstel waarborgen. De baten die ISO noemt zijn een grotere weerbaarheid, beter risicobeheer, een systematische reactie op crises en meer vertrouwen van belanghebbenden.
Welke editie van ISO 22301 geldt nu?
De tweede editie is ISO 22301:2019, gepubliceerd op 30 oktober 2019. Daar hoort één amendement bij: ISO 22301:2019/Amd 1:2024, Climate action changes, gepubliceerd in 2024. De lijst van gepubliceerde documenten van ISO/TC 292 noemt beide. Voor het gebruik van ISO 22301 vermeldt ISO/TC 292 ook de gids ISO 22313:2020.
Op de ISO-pagina van de norm stond op 5 november 2026 voor ISO 22301:2019 sinds 5 december 2025 de fase 90.92, International Standard to be revised. Als opvolger wordt ISO/CD 22301 genoemd, met de status Under development. De editie van 2012 staat als ingetrokken vermeld. Voor de actuele status is de ISO-pagina van de norm de bron die telt.
Wat is een business continuity management system?
Bedrijfscontinuïteit gaat over de vraag wat de organisatie doet op de dag dat iets uitvalt, en over de voorbereiding die dat mogelijk maakt. Het gaat niet alleen over IT. Een brand, een leverancier die wegvalt, een stroomstoring of een golf van ziekteverzuim kan ook processen raken. IT-herstel, ofwel disaster recovery, is daarvan een deel.
Een BCMS is het managementsysteem dat dat werk organiseert. Wat erin zit verschilt per organisatie, maar in de regel gaat het om beleid en doelen, rollen en verantwoordelijkheden, een overzicht van de belangrijkste producten en processen, een business impact analysis, strategieën voor herstel, plannen die beschrijven wie wat doet, oefeningen, het vastleggen van lessen en rapportage aan het management. De precieze eisen van ISO 22301 staan in de norm zelf.
Continuïteit kijkt vooruit en breed, naar hoe de organisatie blijft werken. Incident response is de directe aanpak van een aanval of storing. Disaster recovery is het technisch herstellen van systemen. De drie hebben elkaar nodig: het plan van de een wordt door de ander gebruikt.
Wat betekenen BIA, RTO, RPO en MTD?
Vier begrippen horen bij continuïteitsplanning. De tabel zet ze naast elkaar, met de bron van de definitie.
Begrip | Wat het betekent | Bron |
|---|---|---|
BIA (business impact analysis) | Onderzoek naar wat een verstoring doet met de operationele functies van de organisatie. | |
RTO (recovery time objective) | Hoe lang systemen in het herstel mogen zijn, voordat de bedrijfsprocessen er negatief door worden geraakt. | |
RPO (recovery point objective) | Tot welk moment gegevens na een storing hersteld moeten worden. | |
MTD (maximum tolerable downtime) | Hoe lang een proces uitgevallen mag zijn, voordat de schade voor de organisatie aanzienlijk wordt. |
De BIA brengt in kaart wat uitval doet. Daaruit volgen de doelen voor herstel (RTO) en voor gegevensverlies (RPO), en die doelen vormen de basis van de plannen. Risicobeoordeling laat zien welke risico's en scenario's bij die analyse horen. De RTO hoort binnen de MTD te blijven, want herstel dat langer duurt dan de grens die de organisatie accepteert, haalt het doel niet. De definities van RTO, RPO en MTD komen uit NIST SP 800-34 Rev. 1, de gids voor contingency planning voor federale informatiesystemen.
Hoe ziet continuïteitsplanning er in de praktijk uit?
Neem een webwinkel waarin de betaalmodule uitvalt. Eerst laat de BIA zien dat bestellen en afrekenen tot de belangrijkste processen horen. Dat proces hangt af van een externe betaaldienst, een database en de klantenservice.
Dan stelt het team per afhankelijkheid vast hoe snel het herstel moet zijn (RTO) en hoeveel bestellingen of gegevens verloren mogen gaan (RPO). Die doelen blijven binnen de grens die het management accepteert (MTD).
Daarna beschrijft het plan wat er bij uitval gebeurt: wie beslist, welke noodprocedure geldt, bijvoorbeeld een andere betaalmethode, hoe klanten worden geïnformeerd en wie contact heeft met de leverancier. Het plan moet concreet genoeg zijn om op de dag zelf te volgen.
Vervolgens oefent het team het scenario en legt het vast wat niet werkte. Tot slot past het team het plan aan, en bij een wijziging in de keten wordt het opnieuw beoordeeld.
Het plan is pas bruikbaar als het geoefend is. Oefenen en onderhouden horen bij het plan zelf.
Waar komt bedrijfscontinuïteit terug in wet- en regelgeving?
Op wetten.overheid.nl staat de Cyberbeveiligingswet (Cbw) met de vermelding "Geldend van 15-08-2026 t/m heden" (geraadpleegd op 5 november 2026). Artikel 21 verplicht tot passende en evenredige technische, operationele en organisatorische maatregelen om risico's voor netwerk- en informatiesystemen te beheersen en incidenten te voorkomen of de gevolgen te beperken. In de lijst van onderwerpen waarover die maatregelen ten minste gaan, staat in onderdeel c bedrijfscontinuïteit, zoals back-upbeheer en herstelplannen, en crisisbeheer. Voor de volledige context over NIS2 en de Cbw zie het artikel over NIS2 en de Cyberbeveiligingswet.
De Cbw noemt de norm niet bij naam. ISO 22301 is wel een mogelijk kader om het onderdeel bedrijfscontinuïteit in te richten.
De Baseline Informatiebeveiliging Overheid 2 (BIO2, versie 1.3 definitief) staat in Staatscourant 2026, nr. 7416 van 2 maart 2026. In sectie 11 noemt de BIO2 NEN-EN-ISO 22301 als een van de andere normen die binnen de overheid gelden, naast de BIO. In sectie 18 staat dat bedrijfscontinuïteit aanpalend is aan informatiebeveiliging en daarom niet in de BIO wordt uitgewerkt. Wie bij de overheid werkt, kan dus twee sporen zien: informatiebeveiliging volgens de BIO en continuïteit volgens een eigen norm of beleid.
Ook DORA raakt aan continuïteit voor financiële instellingen, zie het artikel over DORA.
Welke rol heeft een business continuity manager?
De business continuity manager brengt de organisatie in kaart met een BIA, kiest strategieën, schrijft en onderhoudt plannen, organiseert oefeningen, legt lessen vast en rapporteert aan het management. Die werkzaamheden raken IT, facilitair, HR en leveranciers. De manager heeft zelden zeggenschap over die partijen en werkt daarom vooral door te overtuigen en afspraken te maken.
Functies waarbij ISO 22301 aan de orde kan komen zijn onder meer de business continuity manager, risk manager, IT-risk manager, security manager, information security officer, IT-auditor, incident responder en third party risk manager. De risk manager brengt de risico's en scenario's in beeld die bij de BIA en de oefeningen horen, zie ook ISO 31000 en het three lines model. De IT-auditor toetst of het systeem bestaat en werkt.
Wie een vacature leest, let op de woorden. Noemt de tekst ISO 22301, BCP, BIA of crisisoefeningen, dan wijst dat op werk dat vooral draait om organiseren, documenteren en oefenen. Noemt de tekst vooral disaster recovery of back-up en herstel, dan ligt het zwaartepunt waarschijnlijk bij IT.
De rol staat uitgebreider in de rolgids voor de business continuity manager. Wie wil zien welke werkgevers deze functie hebben, vindt die op de werkgeverspagina voor de business continuity manager. Het vakgebied waar dit werk onder valt, staat op de pagina voor risk management.
Wat is ISO 22301?
ISO 22301 is de internationale norm voor business continuity management systems, een managementsysteem voor het voorbereiden op verstoringen, het verwerken ervan en het herstel. De norm is bedoeld voor organisaties van elke omvang. De precieze eisen staan in de norm zelf.
Welke versie van ISO 22301 geldt nu?
De tweede editie is ISO 22301:2019, gepubliceerd op 30 oktober 2019, met het amendement uit 2024 over klimaatactie. Op de ISO-pagina van de norm staat de status International Standard to be revised, en er is een opvolger in ontwikkeling. Kijk voor de actuele status op die ISO-pagina.
Wat is het verschil tussen RTO en RPO?
De RTO (recovery time objective) gaat over hoe lang herstel mag duren voordat de bedrijfsprocessen er negatief door worden geraakt. De RPO (recovery point objective) gaat over het moment waarnaar gegevens na een storing moeten worden hersteld. Met andere woorden: de een gaat over tijd, de ander over het verlies aan gegevens.
Wat is een BIA?
Een business impact analysis (BIA) onderzoekt wat een verstoring doet met de operationele functies van een organisatie. Per belangrijk proces wordt zo duidelijk wat uitval betekent, wat het proces nodig heeft en wat eerst hersteld moet worden. De uitkomst vormt de basis voor de hersteldoelen en de plannen.
Is ISO 22301 verplicht?
De Cyberbeveiligingswet noemt bedrijfscontinuïteit als onderdeel van de maatregelen, maar noemt de norm niet bij naam. De BIO2 noemt ISO 22301 als een van de andere normen die voor de overheid gelden. Voor de eigen situatie kijk je naar de wet die op je organisatie van toepassing is en naar het beleid van de organisatie.