# BCM voor de bestuurder

**Wat bedrijfscontinuïteit is, wat de wet erbij zegt, en wat u zelf doet.** Twee pagina's voor de ambtelijke
top van een overheidsorganisatie. Vervang de voorbeelden door diensten van uw eigen organisatie; de
toelichting staat in de [README](README.md).

## 1. De vraag waar het om gaat

Uw organisatie levert diensten waar inwoners, bedrijven en andere overheden op rekenen. Sommige kunnen een
week stilliggen zonder dat iemand het merkt. Andere leggen binnen een dag iets stil dat niet stil mag liggen:
een uitkering die niet wordt betaald, een vergunning die niet binnen de termijn valt, een register waar de
keten op wacht. Bedrijfscontinuïteitsmanagement, kortweg BCM, beantwoordt een vraag: welke diensten zijn dat,
en wat gebeurt er als ze uitvallen.

Die vraag is dringender dan tien jaar geleden, omdat de analoge terugval is afgebouwd. De dienst is de ICT
geworden. Uitval bij een leverancier of een ketenpartner is daarmee uitval van uw dienstverlening, ook als er
bij u zelf niets kapot is.

## 2. BCM in vier vragen

1. **Welke diensten zijn werkelijk kritiek?** Zonder die keuze beschermt u alles een beetje en niets goed.
2. **Hoe lang mogen ze uitvallen?** Een getal per dienst, vastgesteld door de lijn en niet door de techniek.
   Dat getal stuurt alle investeringen die erachter hangen.
3. **Waar hangen ze van af?** ICT, leveranciers, personeel, gebouwen. Meestal blijkt hier dat een dienst op
   een schakel drijft die niemand had aangewezen.
4. **Werkt het?** Het bewijs zit in de hersteltest en de oefening.

Een managementsysteem voor bedrijfscontinuïteit is de vaste cyclus die die vier antwoorden actueel houdt:
vaststellen, plannen, oefenen, testen, evalueren, bijstellen. De norm ISO 22301 beschrijft die cyclus.

## 3. Wat de wet erbij zegt

**De Cyberbeveiligingswet (Cbw)**, de Nederlandse uitwerking van de Europese NIS2-richtlijn, is op 15 augustus
2026 in werking getreden. Voor de overheid betekent dat: registreren, een zorgplicht met passende maatregelen
inclusief de keten, significante incidenten binnen 24 uur melden, en een opleidingsplicht voor het bestuur.

**De Wet weerbaarheid kritieke entiteiten (Wwke)** werkt via aanwijzing. Pas na aanwijzing lopen de termijnen.
Een aangewezen organisatie moet onder meer een crisismanagementplan en een bedrijfscontinuïteitsplan hebben,
en die oefenen.

**De BIO2** is het normenkader waarmee de overheid de zorgplicht invult. Vier maatregelen raken BCM direct:
informatiebeveiliging tijdens een verstoring (5.29), ICT-gereedheid voor bedrijfscontinuïteit (5.30),
back-up (8.13) en redundantie (8.14).

### Wie is "het bestuur"?

Artikel 24 van de Cbw wijst per bestuurslaag aan wie het bestuur is: bij gemeenten het college van burgemeester
en wethouders, bij provincies gedeputeerde staten, bij ministeries de minister. Dat bestuur keurt de
maatregelen goed en volgt zelf een opleiding. Op een bestuurder die dat nalaat kan de toezichthouder een
sanctie leggen.

**Wat bij u ligt.** De wet adresseert de ambtelijke top niet in dat artikel. U bent wel degene die zorgt dat
het bestuur kan tekenen en weet waarvoor: risicoanalyse gedaan, keuze voorgelegd, opleiding geregeld, bewijs op
orde. En u stuurt op het deel waarvoor geen wet nodig is: of de dienst doorloopt.

## 4. Waarom dit ook zonder de wet op uw bord ligt

De wetgever heeft opgeschreven welke maat hij aanlegt. Voor de sector overheid is een verstoring onder de Wwke
onder meer aanzienlijk bij vier uur uitval van een essentiële dienst. Die maat is ook zonder aanwijzing bruikbaar, want
hij zegt wat de buitenwereld van een overheidsdienst verwacht.

Continuïteit is daarnaast een keuze over geld en prioriteit, en die keuze ligt bij de bedrijfsvoering. Een
hersteltijd van vier uur kost een veelvoud van een hersteltijd van twee dagen. Wie dat niet expliciet kiest,
kiest impliciet, en merkt het pas tijdens de storing.

## 5. Drie vragen die u stelt

Aan wie over continuïteit rapporteert:

1. Welke diensten staan op onze kritieke lijst, en wanneer is die lijst voor het laatst vastgesteld?
2. Wanneer is er voor het laatst een herstel getest, en wat ging er toen mis?
3. Wat zou er nu gebeuren als onze grootste leverancier een week uitvalt?

Op geen van de drie is "dat staat in een plan" het antwoord. Vraag door tot er een datum in het antwoord zit.

## 6. Vier stappen die u zelf zet

1. **Laat de lijst maken:** welke diensten zijn kritiek, met per dienst een hersteltijd. Vraag om hooguit tien.
2. **Beleg het eigenaarschap in de lijn.** De eigenaar van de dienst is verantwoordelijk voor de continuïteit
   ervan, zodat het geen ICT-onderwerp wordt dat elders ligt.
3. **Laat een dienst testen en woon de evaluatie bij.** Een test zegt meer over de stand dan een kast vol
   plannen.
4. **Zet het op de agenda waar het hoort:** het overleg dat over bedrijfsvoering en geld gaat, met een vast
   ritme.