NormenBIO2CbwNIS2ISO 22301
Levert bewijs voorBIO5.95.195.215.295.308.13NIST CSFGV.SC-04ID.AM-04ID.AM-05PR.DS-11RC.RP-01RC.RP-05AVGA28A32WpgW06W13
Barrieres: test herstel tegen de afgesproken RTO en RPO, en breng kritieke systemen en leveranciers in samenhang in beeld. Deze handleiding legt de schakel ertussen: welke uitwijk je per dienst kiest, en hoe je laat zien dat die werkt.
Uitwijk is het vooraf geregelde alternatief waarmee een kritieke dienst doorloopt, of binnen de afgesproken hersteltijd terugkomt, als de normale voorziening wegvalt. Het is een van de keuzes in een continuïteitsstrategie, naast redundantie, een alternatieve (vaak analoge) werkwijze en bewust uitstel.
De bouwstenen liggen er al, verspreid. De IBD beschrijft uitwijk als strategiekeuze en als scenariokaart voor het crisisteam. Het Rijk eist sinds 2026 per materiële clouddienst een exitplan met een scenario voor onverwachte uitval. De internationale standaarden leveren de begrippen. Wat meestal ontbreekt is het stuk ertussen: een route die een organisatie van haar kritieke diensten naar een geteste uitwijkkeuze brengt, en een plek waar die keuze per dienst staat. Dat is deze handleiding, met de uitwijkkaart als invulformat.
Gebruik deze handleiding als je een lijst kritieke diensten hebt met per dienst een hersteltijd. Heb je die nog niet, begin dan bij kritieke processen en herstelprioriteiten vaststellen en het BIA- en risicoanalysesjabloon. Zonder hersteleis valt er niets te kiezen: elke uitwijkvorm is dan goed of te duur, en je weet niet welke.
De kern gaat over drie lagen: ICT-platform en data, clouddienst en leverancier, en de mensen die het herstel doen. Gebouw, stroom en werkplekken staan in het bedrijfscontinuïteitsplan; hier komen ze alleen langs voor zover een ICT-uitwijk ervan afhangt.
| Laag | Wat valt uit | Uitwijkvormen |
|---|---|---|
| Werkplek en locatie | Gebouw, stroom, netwerk, telefonie | Tweede locatie, buurorganisatie, thuiswerken, noodstroom, noodcommunicatie |
| ICT-platform en data | Eigen datacenter, hostingpartij, servers, opslag | Tweede datacenter (gespiegeld of warm), herstel uit back-up op een schone omgeving, onderlinge uitwijk met een andere overheidsorganisatie |
| Clouddienst en leverancier | SaaS of PaaS valt uit, leverancier failliet of gestopt, toegang geblokkeerd | Back-up buiten de clouddienst, tweede leverancier of eigen landingsplaats, escrow, step-in-rechten, geplande en acute exit |
| Mensen en proces | Beheerders, sleutelkennis, ketenpartner | Minimale noodorganisatie, handmatige terugvalprocedure, afspraken met ketenpartners |
De cloudlaag verschilt op twee punten van de andere drie. Er is geen eigen hardware om naar uit te wijken, dus je enige ruimte is wat je vooraf buiten de dienst zet (data, configuratie, documentatie, kennis) en wat je contractueel afdwingt. En het scenario is niet alleen een storing maar ook stoppen: faillissement, opzegging, een geopolitieke blokkade. Een uitwijkkeuze voor een clouddienst moet beide dekken.
Neem per kritieke dienst de rij uit je BIA over: eigenaar, maximaal toelaatbare uitvalduur (MTPD), hersteltijd (RTO), toelaatbaar dataverlies (RPO) en het noodniveau, dus wat minimaal door moet. Vraag die gegevens niet opnieuw uit; de uitwijkkaart pakt ze over.
Leg daarbij vast wat de kleinste organisatie is die de dienst op noodniveau draait: welke mensen, welke systemen, welke werkplekken. Dat is de maat voor de uitwijk. Wie de volledige dienst wil uitwijken, betaalt voor capaciteit die op de dag zelf niemand nodig heeft.
Zet per dienst de bouwstenen en leveranciers op een rij. Ketenafhankelijkheden in beeld is daar de handleiding voor. Voor uitwijk tellen twee vragen extra:
Uitwijk is een schaal van kosten tegen hersteltijd. Voor een eigen platform is de klassieke indeling uit NIST SP 800-34 nog steeds de helderste:
| Vorm | Wat er klaarstaat | Hersteltijd |
|---|---|---|
| Cold site | Ruimte, stroom, koeling; geen apparatuur | Weken |
| Warm site | Apparatuur, geen actuele data | Dagen |
| Hot site | Apparatuur en actuele data | Uren |
| Mirrored site | Gespiegelde omgeving die meedraait | Vrijwel geen |
| Mobile site | Verplaatsbare voorziening op afroep | Afhankelijk van levering |
Daarnaast zijn er vormen die in de publieke sector vaak goedkoper uitkomen:
De keuzeregel is eenvoudig: de goedkoopste vorm die de RTO en het noodniveau haalt. Haalt geen enkele betaalbare vorm de RTO, dan klopt de RTO niet of het budget niet. Dat is een besluit voor de eigenaar van de dienst, niet voor ICT.
Voor een clouddienst of uitbestede dienst zit de helft van de uitwijk in het contract. Het rijksbrede cloudbeleid van 2026 vraagt bij materieel cloudgebruik een exitplan met twee scenario's, en die indeling werkt voor elke publieke organisatie:
Wat in het contract hoort: beide scenario's, data- en serviceportabiliteit, step-in-rechten, escrow waar het zin heeft, inzicht in de onderaannemers, en een opzeggingsrecht bij dreigend faillissement. En in de eigen begroting: geld voor een acute exit. Het implementatiekader cloudgebruik van CIO Rijk noemt budget twee keer als onderdeel van een exitstrategie, en dat is geen toeval: een exit die niet begroot is, gebeurt niet.
Leg ook vast wie de uitwijk activeert en wie dat besluit neemt. Dat staat in het bedrijfscontinuïteitsplan, hoofdstuk 3.
Een uitwijk die nooit is uitgevoerd, is een aanname. Drie dingen:
De uitvoering van de test zelf staat in hersteltest tegen RTO en RPO.
De analyse kost per dienst een tot twee uur met de eigenaar en een beheerder, als de BIA er al ligt. De uitwijk zelf kost wat de keuze kost, en dat is precies het punt: per dienst wordt zichtbaar wat een uur kortere hersteltijd kost, en de eigenaar beslist.
Wat het oplevert: een overzicht dat in een oogopslag laat zien welke kritieke diensten hun hersteltijd niet halen, welke clouddienst geen exitplan heeft en welke uitwijk nooit is getest. Dat overzichtsblad is wat naar de directie gaat.
Waar je op moet letten:
Wat je aan het eind kunt laten zien, aan je directie, je accountant of je toezichthouder:
Wat je hiermee niet aantoont: dat de back-up zelf onaantastbaar is. Dat bewijs hoort bij onveranderbare back-ups.
Aan de directie. "Voor elke kritieke dienst hebben we nu op een rij wat er gebeurt als de leverancier of het platform wegvalt, en of dat snel genoeg gaat. Bij drie diensten haalt de uitwijk de hersteltijd niet. U kunt kiezen: meer uitgeven aan uitwijk, of de hersteltijd verruimen. Niet kiezen is ook een keuze, alleen merkt u die pas tijdens de storing."
Aan de informatiemanager. "Elke clouddienst krijgt een exitplan met twee scenario's, en de contractbepalingen die daarbij horen. Bij nieuwe aanbestedingen nemen we die op in het programma van eisen; bij bestaande contracten bij de eerstvolgende verlenging."
Aan het MT. "Per dienst een uur of twee met de eigenaar, daarna een test per jaar. Het levert een lijst op van wat we zouden doen als het misgaat, en welke gaten we vooraf kennen."
Deze handleiding hoort bij de barrieres restore en
dependencies uit de zelfcheck
aanvalspaden, als verdieping naast hersteltest tegen RTO en RPO en
ketenafhankelijkheden in
beeld. Wat dit aantoont in de BIO2 staat op van
aanvalspad naar norm.
De hersteleisen komen uit het BIA- en risicoanalysesjabloon, het besluit om uit te wijken staat in het bedrijfscontinuïteitsplan, en het beleid erboven in beleid ICT-continuïteit en uitwijk uit de beleidsset.
Normatief kader, voor wie het wil nalopen: