NormenCbwNIS2BIO2ISO 22301
Een bestuurder leest een stuk over bedrijfscontinuïteit in vier minuten, tussen drie andere stukken door. Wat daarin moet staan is weinig: welke diensten niet mogen uitvallen, wat de wet vraagt, en wat de bestuurder zelf doet. De twee-pager in deze map is daarvoor geschreven. Hij is generiek: vervang de voorbeelden door diensten van je eigen organisatie, de rest kan blijven staan.
De werkinstructie voor een AI-assistent geeft een assistent de lezer, de bronnen en zes schrijfregels mee, zodat je niet elke keer opnieuw hoeft uit te leggen wat je wilt. De belangrijkste regel: elke bewering heeft een bron, en wat de bronnen niet zeggen wordt een open punt in plaats van een aannemelijke zin. Lees het resultaat altijd zelf helemaal na, en controleer de getallen en wetsartikelen tegen de wettekst.
Zes vormen, met wat ze opleveren en wat ze ongeveer kosten. De kosten zijn de tijd met een assistent, als de twee-pager en de lijst kritieke diensten er liggen.
| Vorm | Wat het is | Wat het oplevert | Tijd |
|---|---|---|---|
| De lezerstoets | De assistent leest de tekst als de bestuurder en streept alleen aan wat die zou laten liggen | Jargon dat je zelf niet meer ziet ("aantoonbaarheid", "zorgplicht", "keten") | Vijf minuten per versie |
| Een versie per organisatie | Hetzelfde skelet met de eigen kritieke diensten erin | Van "welke diensten zijn kritiek" naar "hoe lang mag de uitkeringsbetaling stilliggen": een agendapunt in plaats van een vraag | Een half uur, als de lijst er is |
| Vijf minuten spreektekst | Dezelfde inhoud als gesproken tekst, met de drie vragen uit de zaal en hun antwoord | Een stuk wordt gelezen als het is aangekondigd | Een kwartier |
| Een kaartje met drie vragen | Een A5 of creditcardformaat met de drie vragen uit paragraaf 5 en wat een goed antwoord bevat | Blijft liggen; de bestuurder hoeft de materie niet te kennen, alleen te horen of er een datum in het antwoord zit | Twintig minuten |
| Een tafeloefening van 45 minuten | Een scenario, vier beslismomenten, geen techniek; de deelnemers zijn de bestuurders zelf | Het verschil tussen een plan hebben en het uitvoeren, gevoeld in plaats van gelezen | Twee uur voorbereiding plus de 45 minuten |
| Dezelfde methode voor andere doelgroepen | Managers en adviseurs, ICT, leveranciers en inkoop, toezicht en control | Een boodschap die per doelgroep anders wordt verteld, in plaats van vijf stukken die elkaar tegenspreken | Een uur per doelgroep |
Is er tijd voor twee dingen: de lezerstoets, omdat die elk volgend stuk beter maakt, en het kaartje, omdat het na afloop blijft liggen. Wordt het een ding en moet het effect hebben, dan de tafeloefening. Die is het duurst, en komt het dichtst bij de besluiten die een bestuurder op de dag zelf moet nemen. Een uitgewerkte crisisoefening staat in crisisoefening voor ransomware en uitval.
Een plaat over hoe Cbw, Wwke, BIO2 en de managementsystemen zich tot elkaar verhouden, is de vraag die in elke sessie terugkomt. Laat zo'n plaat maken als SVG en niet als afbeelding uit een beeldmodel: in een SVG blijft de tekst tekst, dus doorzoekbaar en te corrigeren, en beeldmodellen zetten labels niet betrouwbaar neer.
De twee-pager vraagt om een lijst kritieke diensten met hersteltijden. Die maak je met kritieke processen en herstelprioriteiten vaststellen en het BIA-sjabloon. Wat er bij uitval gebeurt, staat in het bedrijfscontinuïteitsplan en de uitwijkkaart. Een breder stuk voor bestuur en directie over digitale weerbaarheid is sturen op weerbaarheid in plaats van op maatregelen. Of je organisatie onder de Cbw valt, toets je met val ik onder de Cbw.