ISO 22301: Wat is het en waarom hebben organisaties het nodig?

Onvoorziene omstandigheden zoals stakingen, problemen met de toeleveringsketen en het transport, IT-storingen, gegevensverlies of -diefstal of extreme weersomstandigheden kunnen de bedrijfsactiviteiten van jouw organisatie flink verstoren. Met de ISO 22301 zorg je ervoor dat je voorbereid bent op zulke incidenten en kan de uitval van bedrijfsactiviteiten geminimaliseerd worden.

De ISO 22301 is niet alleen belangrijk voor jouw organisatie zelf, maar ook voor klanten die afhankelijk zijn van jouw producten of diensten. Met de certificering toon je namelijk aan dat je snel kan reageren bij incidenten en met een oplossing kan komen wat het vertrouwen dat klanten in jou hebben vergroot. In dit blog vertellen wij je meer over deze norm en hoe je deze implementeert binnen jouw organisatie.

In dit blog:

• Wat is ISO 22301?
• Waarom is een ISO 22301 certificering belangrijk?
• Hoe implementeer je de ISO 22301?

Wat is ISO 22301?

De ISO 22301 is een internationale standaard die eisen stelt aan het opzetten, implementeren, onderhouden en verbeteren van een Business Continuity Management System (BCMS). De norm is bedoeld om de veerkracht van jouw organisatie te vergroten en ervoor te zorgen dat kritieke processen door kunnen gaan of snel kunnen herstellen bij (onvoorziene) verstoring.

De meest actuele versie is de ISO 22301:2019 welke de eerste variant van 2012 heeft vervangen. De norm heeft hiermee een sterkere focus op uitkomsten, risicodenken en integratie met andere ISO-normen.

Voor wie is de ISO 22301?

De ISO 22301 certificering is relevant voor elke organisatie van elke omvang die een continuïteitsplan wil opstellen. De aanpak is risicogebaseerd en modulair. Dit betekent dat je maatwerk toe kan passen op basis van de specifieke bedrijfsvoering.

Is de ISO 22301 verplicht?

Nee, de ISO 22301 is niet verplicht voor organisaties. Echter kunnen sommige sectoren of klanten hier wel om vragen. Vooral voor een aantal sectoren is het hebben van een ISO 22301 certificaat belangrijk. Dit zijn sectoren waarin onderbrekingen van de bedrijfsvoering direct maatschappelijke of economische gevolgen kunnen hebben, zoals:

• Zorginstellingen
• Financiële dienstverleners
• Energiemaatschappijen
• Telecommunicatiebedrijven
• Overheidinstanties

Benieuwd naar welke normenkaders wel verplicht zijn om te voldoen aan bepaalde wetten? Wij hebben de nieuwste wetten en gerelateerde normenkaders overzichtelijk voor je op een rijtje gezet.

Waarom is een ISO 22301 certificering belangrijk?

Uitval van jouw bedrijfsactiviteiten door onvoorziene omstandigheden kan grote gevolgen hebben wanneer je hier niet goed op voorbereid bent. Een voorbeeld is de Maersk hack waarbij hackers computers konden vergrendelen door middel van malware. Het gevolg? Het vrachtverkeer bij APM Terminals viel stil. Vrachtschepen konden hierdoor niet gelost worden en stonden dus dagenlang stil of moesten uitwijken naar andere havens.

Een ISO 22301 certificaat helpt je voorbereid te zijn op zulke incidenten. Wanneer jouw BCMS voldoet aan de norm kun je effectief reageren op incidenten en deze snel herstellen. Dit is niet alleen intern belangrijk, maar ook richting jouw klanten, partners en toezichthouders om duidelijkheid en vertrouwen te bieden. Daarnaast is een ISO 22301 certificering belangrijk voor:

• Organisatorische veerkracht en continuïteit: Bij een uitval of crisis heb je een duidelijk herstelplan. Zo zorg je voor minder downtime, een snellere hersteltijd en voorkom je dat calamiteiten uit kunnen groeien tot rampen voor jouw organisatie. Dit geeft jou de controle over de bedrijfscontinuïteit. 
• Sterke klantrelaties: Een ISO 22301 certificaat zorgt voor een aantoonbare betrouwbaarheid en zal jouw reputatie bij klanten en partners verbeteren.
• Het voldoen aan wet- en regelgevingen: Hoewel de ISO 22301 zelf niet verplicht is, toon je met de certificering wel aan dat je voldoet aan relevante wet- en regelgevingen zoals de NIS2.
• Kostenbesparingen: Omdat incidenten sneller te herstellen zijn, beperk je de financiële schade ervan. Daarnaast kun je lagere verzekeringskosten hebben omdat er risicobeheersing is.
• Betere interne processen: De gestructureerde analyse en documentatie van potentiële risico’s en hoe je deze beheerst en herstelt zorgt voor een verbetering van de risicomanagement processen binnen jouw organisatie. Dit leidt vervolgens tot een sterkere bedrijfscultuur rondom risicomanagement en paraatheid.

Hoe implementeer je de ISO 22301?

Om de ISO 22301 te kunnen implementeren zul je eerst een Business Continuity Management System (BCMS) op moeten zetten en beheren volgens de eisen van de norm. Deze bestaat doorgaans uit de volgende onderdelen:

• Risicobeoordeling en Business Impact Analysis (BIA): Met een risicoanalyse en de BIA identificeer je de kritieke processen, de hersteltijden en het maximale dataverlies van jouw producten en/of diensten.
• Continuïteitsstrategieën & herstelplannen: Hierin beschrijf je de  praktische oplossingen om kritieke functies operationeel te houden of snel te herstellen. Je beschrijft hierbij ook welke middelen er nodig zijn om de benodigde oplossingen te implementeren. Als laatste is het belangrijk om op te nemen welk beleid er is als het gaat om het nemen van risico’s en het maken van kosten.
• Bedrijfscontinuïteitsplan en procedures: In het bedrijfscontinuïteitsplan beschrijf je de plannen en procedures om tijdens een verstoring de organisatie aan te sturen. Hierin neem je ook een structuur op voor tijdige waarschuwingen en hoe de communicatie met belanghebbenden verloopt.
• Oefenprogramma: Het is belangrijk dat iedereen binnen jouw bedrijf weet wat zij moeten doen als een incident zich voordoet. Het is daarom belangrijk om situaties te oefenen.

Belangrijk is dat je het BCMS periodiek bijstelt en de onderdelen regelmatig opnieuw doorloopt. Zo zorg je ervoor dat de maatregelen ten alle tijde effectief zijn.

De uitdaging van het up-to-date houden van het bedrijfscontinuïteitsplan

Elk jaar worden er nieuwe dreigingen geïdentificeerd en bestaande normen bijgewerkt. Dit betekent dat jij ook jaarlijks het BCMS bij moet stellen om aan de ISO 22301 te blijven voldoen en om ervoor te zorgen dat je voorbereid bent op de mogelijke risico's die jouw bedrijfsprocessen kunnen verstoren. Dit vraagt niet alleen om veel tijd en aandacht, maar kan ook leiden tot extra kosten en middelen.

Gelukkig kan een ISMS-tool zoals Base27 je hierbij helpen. Met deze tool stel je gemakkelijk een BCMS op conform de ISO 22301 door nieuwe kwetsbaarheden en dreigingen te ontdekken middels een interne audit. Vervolgens implementeer je snel de noodzakelijke maatregelen en kun je de strategieën overzichtelijk monitoren en optimaliseren. Het mooiste? Base27 biedt ook ondersteuning voor andere normen zoals de NIS2, ISO 27001 en NEN 7510.