ISO 22301.
Bedrijfscontinuïteit als managementsysteem organiseren: van geprioriteerde diensten via beproefde oplossingen tot passend bewijs.
- ISO 22301:2019 + Amd 1:2024
- Door Jonathan Bezdek
- Stand: 22-10-2026
- Leestijd: 7 min.
Kort antwoord.
ISO 22301 is de internationale eisennorm voor managementsystemen voor bedrijfscontinuïteit, kortweg BCMS. De norm helpt organisaties van elke omvang om zich op onderbrekingen voor te bereiden, belangrijke diensten voort te zetten en de bedrijfsvoering te herstellen. ISO 22301:2019 verbindt deze capaciteiten met doorlopende beoordeling en verbetering; onafhankelijke certificering is een mogelijk bewijs van het managementsysteem binnen de vastgestelde scope.
ISO 22301 en bedrijfscontinuïteitsmanagement.
ISO 22301 ziet de continuïteit van een organisatie als een doorlopende managementtaak. Bedrijfscontinuïteitsmanagement, kortweg BCM, verbindt inhoudelijke prioriteiten met oplossingen voor onderbrekingen en het vermogen om die toe te passen. Een BCMS organiseert de verantwoordelijkheid en het onderhoud van dit werk. De openbare ISO-beschrijving noemt voorbereiding, uitvoering, beoordeling en verbetering van het systeem als samenhangende taken.
De gepubliceerde grondslag is ISO 22301:2019 met Amd 1:2024. Het amendement voegt klimaatgerelateerde wijzigingen toe; het is geen nieuwe basisuitgave ISO 22301:2024. De ISO-productpagina vermeldt een herziening en een Committee Draft. Een ontwerp in ontwikkeling vervangt de gepubliceerde norm niet en schept hier geen nieuwe overgangstermijn.
Een back-up of noodplan is één onderdeel van continuïteitswerk. Een BCMS vraagt bovendien welke dienst nodig is, welke personen en middelen die dragen, wie bij een onderbreking beslist en hoe ervaringen in de volgende planning worden verwerkt. Een bestaand bestand toont daarom eerst de planning aan; of een oplossing werkt, moet afzonderlijk worden bekeken.
Voor wie de BCM-norm geschikt is.
Volgens de uitgeversbeschrijving van ISO is ISO 22301 geschikt voor organisaties van verschillende groottes en sectoren. De scope kan duidelijk bepaalde delen van een organisatie omvatten. De betrokken diensten en hun afhankelijkheden zijn bepalend, naast het aantal medewerkers of de bestaande IT-systemen.
Klanten, contractpartners of sectorale voorschriften kunnen bijzondere continuïteitsbewijzen verlangen. Bepaal daarom eerst welk organisatieonderdeel en welke dienst moeten worden beoordeeld. Ook bij uitbestede activiteiten blijven de interfaces belangrijk: een leverancier kan zijn eigen herstel plannen, terwijl de volledige dienstverlening aan uw klanten aanvullende beslissingen blijft vereisen.
De hoofdgebieden van een BCMS.
Een BCMS verbindt bedrijfsprioriteiten, uitvoerbare oplossingen en toetsbare bedrijfsvoering. De volgende gebieden bieden algemene oriëntatie bij ISO 22301; ze vormen geen volledige clausulelijst of voorgeschreven projectindeling.
Directie en scope.
Een verantwoordelijke directie geeft richting en middelen aan het continuïteitswerk. De ISO-brochure PUB100442 beveelt deze steun expliciet aan voor de start. In de bedrijfsvoering moeten onderzochte diensten, betrokken afdelingen en beslissingsbevoegdheden op elkaar aansluiten. Een onduidelijke scope laat anders open of een plan alleen een technische component of de benodigde totale dienstverlening dekt.
Gevolgen en prioriteiten.
De bedrijfsimpactanalyse bekijkt welke gevolgen een onderbreking door de tijd heeft en welke activiteiten daarom voorrang nodig hebben. De openbare beschrijving van ISO/TS 22317:2021 duidt de BIA als een eigen analyseproces. De resultaten moeten begrijpelijk zijn voor de verantwoordelijke vakafdelingen; een louter technisch haalbare hersteldoelstelling is nog geen bevestigde bedrijfsvereiste.
Risico’s en continuïteitsoplossingen.
Een continuïteitsoplossing moet passen bij de verwachte onderbrekingen en benodigde diensten. Het ISO-uitgeversbericht over de uitgave van 2019 noemt verschillende oorzaken, waaronder problemen in de toeleveringsketen en cyberaanvallen. Bekijk daarom naast techniek ook mensen, locaties en externe diensten. De keuze voor een oplossing moet haar voorwaarden en grenzen zichtbaar maken.
Rollen en reactieplannen.
Begrijpelijke plannen vertalen een oplossingsbeslissing naar uitvoerbaar werk. Het ISO-bericht van 2019 benadrukt duidelijke rollen en toepasbare reactieplannen. In de concrete bedrijfsvoering horen daarbij het activeren van de reactie, bevoegde beslissingen, bereikbare contacten en overdracht tussen vakafdeling en techniek. Een vervanger moet kunnen herkennen welk resultaat van hem of haar wordt verwacht.
Oefeningen en prestatiebeoordeling.
Een oefening toetst een bepaalde uitspraak over het continuïteitsvermogen. De ISO-brochure beveelt al voor het beoordelen van de uitgangssituatie een hersteloefening aan. Een simulatie kan beslissingen toetsen, een technische test het herstel van geselecteerde systemen. Documenteer de daadwerkelijk getoetste scope, zodat een beperkt resultaat geen onbewezen uitspraak over de hele bedrijfsvoering wordt.
Verbetering en wijzigingen.
Een BCMS blijft alleen bruikbaar wanneer het met de organisatie wordt doorontwikkeld. De openbare ISO 22301-beschrijving verbindt doorlopende beoordeling expliciet met verbetering. Wijzigingen in diensten, leveranciers, personeel of herstelroutes kunnen eerdere aannames ontkrachten. Inzichten vereisen daarom verantwoordelijke behandeling en een navolgbare toetsing van het resultaat.
ISO 22301 stapsgewijs toepassen.
Dienst afbakenen.
Kies als praktische eerste stap een belangrijke dienst en leg vast welke organisatiedelen, klanten en interfaces binnen de onderzochte scope vallen.
Prioriteiten bevestigen.
Laat de inhoudelijk verantwoordelijken de gevolgen van een onderbreking en het benodigde operationele niveau beoordelen, in plaats van doelen alleen uit bestaande technische mogelijkheden af te leiden.
Afhankelijkheden beoordelen.
Breng de benodigde mensen, informatie, systemen, locaties en leveranciers in kaart en toets welke voorwaarden bij een onderbreking tegelijkertijd kunnen wegvallen.
Oplossingen en rollen implementeren.
Spreek uitvoerbare uitwijk- en herstelroutes af met verantwoordelijkheden, beslissingsbevoegdheden en de daarvoor daadwerkelijk beschikbare middelen.
Afgebakend en navolgbaar oefenen.
Plan een veilige oefening met een benoemd scenario en succescriteria en leg resultaten vast, inclusief overgeslagen onderdelen en noodzakelijke ondersteuning.
Inzichten opvolgen.
Wijs noodzakelijke verbeteringen toe aan een verantwoordelijke persoon en toets de betreffende capaciteit opnieuw voordat u de bevinding als verholpen beschouwt.
Wat ISO 22301-certificering zegt.
ISO 22301-certificering is een onafhankelijk bewijs over het managementsysteem binnen de vermelde scope. De ISO-brochure PUB100442 beschrijft certificering als een vrijwillige beslissing. Volgens de ISO-pagina over Certification toetsen en certificeren externe instanties; ISO zelf verstrekt geen certificaten. Een concrete contractuele bewijsvereiste moet daarnaast worden bepaald.
Het concrete bewijs moet passen bij de onderzochte organisatie en dienst. Controleer de uitgevende instantie, vermelde scope, referentieversie en actuele status, inclusief geldigheidsdatum. Certificering belooft noch ononderbroken bedrijfsvoering, noch het behalen van elke hersteldoelstelling in elke situatie. Voor de eigen aansturing blijven actuele plannen, oefenresultaten en opgevolgde inzichten nodig.
ISO 22301 en andere frameworks.
ISO 27001 organiseert informatiebeveiliging, terwijl ISO 22301 de continuïteit van geprioriteerde diensten bekijkt; beide taken kunnen dezelfde operationele afhankelijkheden betreffen. IT-Grundschutz biedt met BSI-standaard 200-4 een andere methodische toegang tot continuïteitswerk, zonder dat elk bewijs daarmee gelijkwaardig is. NIS2 bevat eigen wettelijke eisen, waaraan een BCMS-certificaat niet algemeen voldoet. ISO 9001 verbindt kwaliteitsdoelen met procesverantwoordelijkheid en beoordeling; gezamenlijke managementprocessen kunnen samenwerking vereenvoudigen, maar de inhoudelijke doelen moeten afzonderlijk worden getoetst.
- ISO 27001Informatiebeveiliging en de scope van een ISMS duiden.
- IT-GrundschutzDe BSI-methodiek en bijbehorende standaarden voor beveiligingsorganisatie begrijpen.
- NIS2De wettelijke verplichtingen van instellingen die eronder vallen afzonderlijk bekijken.
- ISO 9001Kwaliteitsmanagement en gezamenlijke procesverantwoordelijkheid duiden.
In Secani.
Secani bevat een redactionele ISO 22301-werkcatalogus op basis van de uitgave van 2019 met Amd 1:2024. Profielgegevens onderscheiden onder meer meerdere locaties, kritieke leveranciers en ICT-herstel. De catalogus is een gestructureerd werkhulpmiddel waarvan de gedetailleerde normatieve toetsing nog openstaat. De verantwoordelijke organisatie moet haar continuïteitsoplossingen zelf blijven implementeren en beproeven.
Volgende stap.
Begin met een belangrijke dienst en de inhoudelijk verantwoordelijke persoon. Spreek af wat bij een onderbreking moet blijven werken en welke afhankelijkheden daarvoor beschikbaar moeten zijn. Kies vervolgens een afgebakende oefening die een van deze aannames toetst. Het waargenomen resultaat biedt een deugdelijke basis voor de volgende beslissing.
Bronnen.
- ISO 22301:2019 – openbare uitgeversbeschrijving en status
- ISO 22301:2019/Amd 1:2024
- ISO-brochure PUB100442: Business continuity, 2019
- ISO 22313:2020 – implementatieleidraad voor het BCMS
- ISO/TS 22317:2021 – bedrijfsimpactanalyse
- ISO: Certification – externe certificatie-instellingen
- ISO: Building resilience, uitgeversbericht van 31 oktober 2019
Veelgestelde vragen.
Nee. Een back-up is slechts een deel van de herstelcapaciteit; ook de benodigde mensen, toegangen, applicaties en inhoudelijke procedures moeten worden meegenomen. Een BCMS organiseert deze capaciteiten en het doorlopende onderhoud ervan.
Nee. De bedrijfsimpactanalyse beoordeelt de gevolgen van een onderbreking; het RTO beschrijft een hersteltijddoel, het RPO het aanvaardbare verlies van recente gegevens. Deze grootheden hangen samen, maar beantwoorden verschillende vragen.
Nee. Volgens de ISO-brochure is certificering een vrijwillige beslissing over bewijsvoering; eisen van klanten of contractpartners moeten daarnaast worden getoetst. Een BCMS kan ook zonder certificaat worden onderhouden.
Dat is niet algemeen te zeggen. De oefenplanning moet passen bij de onderzochte scope, risico’s, veranderingen en toepasselijke eisen. Een afgebakende test toont alleen de daadwerkelijk getoetste capaciteit aan.
Continuïteit vraagt om getoetste aannames.
Bespreek hoe u uw continuïteitswerk in Secani structureert.
Deze pagina duidt gepubliceerde normen op algemeen niveau. De toepasselijke normversie en de voor uw organisatie geldende eisen zijn bepalend.