Onderdeel van BCM uitleggen aan de bestuurder · Markdown-bron
Wat bedrijfscontinuïteit is, wat de wet erbij zegt, en wat u zelf doet. Twee pagina's voor de ambtelijke top van een overheidsorganisatie. Vervang de voorbeelden door diensten van uw eigen organisatie; de toelichting staat in de README.
Uw organisatie levert diensten waar inwoners, bedrijven en andere overheden op rekenen. Sommige kunnen een week stilliggen zonder dat iemand het merkt. Andere leggen binnen een dag iets stil dat niet stil mag liggen: een uitkering die niet wordt betaald, een vergunning die niet binnen de termijn valt, een register waar de keten op wacht. Bedrijfscontinuïteitsmanagement, kortweg BCM, beantwoordt een vraag: welke diensten zijn dat, en wat gebeurt er als ze uitvallen.
Die vraag is dringender dan tien jaar geleden, omdat de analoge terugval is afgebouwd. De dienst is de ICT geworden. Uitval bij een leverancier of een ketenpartner is daarmee uitval van uw dienstverlening, ook als er bij u zelf niets kapot is.
Een managementsysteem voor bedrijfscontinuïteit is de vaste cyclus die die vier antwoorden actueel houdt: vaststellen, plannen, oefenen, testen, evalueren, bijstellen. De norm ISO 22301 beschrijft die cyclus.
De Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van de Europese NIS2-richtlijn, is op 15 augustus 2026 in werking getreden. Voor de overheid betekent dat: registreren, een zorgplicht met passende maatregelen inclusief de keten, significante incidenten binnen 24 uur melden, en een opleidingsplicht voor het bestuur.
De Wet weerbaarheid kritieke entiteiten (Wwke) werkt via aanwijzing. Pas na aanwijzing lopen de termijnen. Een aangewezen organisatie moet onder meer een crisismanagementplan en een bedrijfscontinuïteitsplan hebben, en die oefenen.
De BIO2 is het normenkader waarmee de overheid de zorgplicht invult. Vier maatregelen raken BCM direct: informatiebeveiliging tijdens een verstoring (5.29), ICT-gereedheid voor bedrijfscontinuïteit (5.30), back-up (8.13) en redundantie (8.14).
Artikel 24 van de Cbw wijst per bestuurslaag aan wie het bestuur is: bij gemeenten het college van burgemeester en wethouders, bij provincies gedeputeerde staten, bij ministeries de minister. Dat bestuur keurt de maatregelen goed en volgt zelf een opleiding. Op een bestuurder die dat nalaat kan de toezichthouder een sanctie leggen.
Wat bij u ligt. De wet adresseert de ambtelijke top niet in dat artikel. U bent wel degene die zorgt dat het bestuur kan tekenen en weet waarvoor: risicoanalyse gedaan, keuze voorgelegd, opleiding geregeld, bewijs op orde. En u stuurt op het deel waarvoor geen wet nodig is: of de dienst doorloopt.
De wetgever heeft opgeschreven welke maat hij aanlegt. Voor de sector overheid is een verstoring onder de Wwke onder meer aanzienlijk bij vier uur uitval van een essentiële dienst. Die maat is ook zonder aanwijzing bruikbaar, want hij zegt wat de buitenwereld van een overheidsdienst verwacht.
Continuïteit is daarnaast een keuze over geld en prioriteit, en die keuze ligt bij de bedrijfsvoering. Een hersteltijd van vier uur kost een veelvoud van een hersteltijd van twee dagen. Wie dat niet expliciet kiest, kiest impliciet, en merkt het pas tijdens de storing.
Aan wie over continuïteit rapporteert:
Op geen van de drie is "dat staat in een plan" het antwoord. Vraag door tot er een datum in het antwoord zit.