ISO 22301: verplicht of niet, en wat certificering werkelijk vraagt

ISO 22301 is de internationale norm voor business continuity management. De vraag die er in de praktijk het vaakst bij wordt gesteld is of de norm verplicht is. Het korte antwoord is nee: certificering tegen ISO 22301 is nergens wettelijk voorgeschreven. Het langere antwoord is dat NIS2 en DORA wel eisen dat organisaties hun continuïteit aantoonbaar beheersen, en dat ISO 22301 de meest gebruikte manier is om dat te structureren. Dat onderscheid bepaalt of certificering in jouw situatie zin heeft.

De norm heet voluit ISO 22301:2019, Security and resilience, Business continuity management systems, Requirements. Hij stelt eisen aan een managementsysteem, niet aan een uitwijkplan. Dat verschil is groter dan het lijkt. Een uitwijkplan is een document; een managementsysteem is een cyclus met belegde verantwoordelijkheden, analyses, plannen, oefeningen, interne audits en een directiebeoordeling, die jaar op jaar wordt doorlopen.

Verplicht is de norm niet, aantoonbare continuïteit vaak wel

NIS2 rekent bedrijfscontinuïteit tot de basismaatregelen die essentiële en belangrijke entiteiten moeten treffen, inclusief back-upbeheer, noodvoorzieningen en crisisbeheer. De Nederlandse implementatie legt die zorgplicht neer bij de aangewezen organisaties. Er staat geen norm in de wettekst en een certificaat geeft geen vrijstelling, maar de zorgplicht vraagt wel om passende maatregelen en om bewijs dat ze werken. Dat bewijs moet ergens vandaan komen.

Voor de financiële sector is DORA concreter. Die verordening vraagt om een ICT-continuïteitsbeleid, om herstelprocedures en om periodiek testen van beide, en zij raakt ook de ICT-dienstverleners van financiële entiteiten. Daar zit meteen de derde en in de praktijk vaakst voorkomende aanleiding: klanten die zelf onder NIS2 of DORA vallen, leggen continuïteitseisen contractueel door aan hun leveranciers. Wie software of hosting levert aan een bank, een ziekenhuis of een netbeheerder krijgt de vraag vanzelf, meestal via een leveranciersvragenlijst en niet via een toezichthouder.

Wat de norm feitelijk eist

ISO 22301 volgt de High Level Structure die ook onder ISO 27001 en ISO 9001 ligt. Clausule 4 vraagt om de context en een onderbouwde scope, clausule 5 om beleid en bestuurlijke betrokkenheid, clausule 6 om doelstellingen en de omgang met risico's, clausule 7 om competenties, bewustzijn en documentatie, clausule 9 om monitoring, interne audit en directiebeoordeling, en clausule 10 om afwijkingen en corrigerende maatregelen.

Het inhoudelijke werk zit in clausule 8. Daar staan de business impact analyse en risicobeoordeling, de keuze van herstelstrategieën, de continuïteitsplannen zelf en het oefenprogramma. Een BCMS dat op papier compleet is maar waarvan clausule 8 leeg blijft, haalt geen certificeringsaudit.

De business impact analyse en de getallen die eruit komen

De BIA bepaalt welke activiteiten prioriteit krijgen en hoe snel ze terug moeten zijn. De norm werkt daarbij met een paar begrippen die je scherp uit elkaar moet houden. De maximaal toelaatbare periode van verstoring is de grens waarna de schade onacceptabel wordt. De RTO ligt daarbinnen en is de hersteltijd waar je op stuurt. Het minimaal acceptabele niveau van dienstverlening beschrijft wat er tijdens de verstoring nog moet draaien, wat zelden alles is. En de RPO drukt in tijd uit hoeveel data je mag verliezen.

De BIA levert bijna altijd hetzelfde ongemak op: de hersteltijd die de business noemt, is korter dan wat de infrastructuur aankan. Dat gat is de waardevolste uitkomst van de analyse, want het dwingt tot een keuze tussen investeren in herstelcapaciteit of de verwachting bijstellen. Een tweede terugkerende bevinding is dat afhankelijkheden buiten de eigen muren ontbreken. Een proces dat binnen vier uur terug moet zijn maar leunt op een externe leverancier met een langere hersteltijd, heeft die vier uur niet.

Testen is waar de plannen sneuvelen

De norm vraagt een oefenprogramma met geplande intervallen, oefeningen die passen bij de scope en een evaluatie achteraf. Een frequentie staat er niet in. In de praktijk wisselen organisaties af tussen een tabletop, waarin het crisisteam een scenario doorloopt, een technische hersteltest waarin een systeem daadwerkelijk wordt teruggezet, en een bredere simulatie waarin ook communicatie en besluitvorming worden beproefd.

Papieren plannen blijken tijdens die oefeningen vrijwel altijd onvolledig. Contactgegevens zijn verouderd, een herstelprocedure blijkt afhankelijk van een medewerker die met vakantie is, of de back-up bestaat wel maar is nooit teruggezet. Een auditor kijkt daarom niet alleen of er is geoefend, maar naar het bewijs eromheen: het scenario, de deelnemers, de waarnemingen, de verbeterpunten en de opvolging daarvan. Een oefenverslag zonder enig verbeterpunt is eerder een signaal dat de oefening te licht was dan dat de organisatie klaar is.

ISO 22301 naast ISO 27001

De twee normen vullen elkaar aan en overlappen minder dan mensen denken. ISO 27001:2022 bevat in Annex A twee beheersmaatregelen die hierover gaan: 5.29 over informatiebeveiliging tijdens een verstoring en 5.30 over ICT-gereedheid voor bedrijfscontinuïteit. Die vragen dat je het regelt, niet hoe. ISO 22301 vult dat hoe in.

Omdat beide normen dezelfde structuur volgen, is combineren goed te doen. Eén risicoproces, één set documentatiebeheer, gecombineerde interne audits en één directiebeoordeling waarin beide systemen langskomen. Organisaties die het ISMS al draaiend hebben, merken dat het meeste werk voor ISO 22301 in clausule 8 zit en niet in de omringende clausules.

Hoe de certificering verloopt

De certificeringsaudit wordt uitgevoerd door een geaccrediteerde certificeringsinstelling, in twee fasen. In de eerste fase beoordeelt de auditor de documentatie en de gereedheid: is de scope onderbouwd, ligt er een BIA, zijn er plannen. In de tweede fase toetst hij of het systeem ook werkt. Daarna geldt het certificaat voor drie jaar, met jaarlijkse controlebezoeken en een hercertificering aan het eind van de cyclus.

Voorwaarde is dat de cyclus minstens één keer volledig is doorlopen voordat je fase twee ingaat. Dus een BIA, vastgestelde plannen, ten minste één oefening met verslag, een interne audit en een directiebeoordeling. De interne audit vraagt daarbij om onafhankelijkheid: de auditor mag zijn eigen werk niet beoordelen, wat voor kleinere teams meestal betekent dat die interne audit extern wordt belegd.

Of certificering loont, hangt uiteindelijk af van wie erom vraagt. Komt de vraag van klanten, een aanbesteding of een toezichthouder, dan is een certificaat het kortste antwoord dat je kunt geven. Ontbreekt die vraag, dan leveren een goede BIA en een plan dat echt getest is vrijwel alle inhoudelijke waarde op, en is het certificaat vooral het papier eromheen.