Beleid ICT-continuïteit en uitwijk

Onderdeel van Beleidsset informatiebeveiliging op BIO 2.0, op maat gemaakt met contextvragen · Markdown-bron

Word nodig? Kies dit stuk in de generator en download het daar, zonder of met je eigen antwoorden.

In het kort. Regelt de continuïteit van informatie en ICT als systemen uitvallen. Gaat over het bepalen van kritieke processen en systemen met hun hersteleisen, uitwijk en redundantie, de beveiliging tijdens een verstoring en het opstellen en testen van continuïteitsplannen.

Onderwerpen. 3. Kritieke processen en systemen; 4. Uitwijk en redundantie; 5. Beveiliging tijdens een verstoring; 6. Continuïteitsplannen en testen.

Zonder profiel: tekst die van een contextvraag afhangt, staat in een kader met de vraag erboven.

1. Doel en reikwijdte#

Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor de continuïteit van informatie en ICT. Het regelt welke processen en systemen kritiek zijn, welke hersteleisen daarbij horen, welke redundantie en uitwijk de organisatie inricht, hoe de beveiliging overeind blijft tijdens een verstoring en hoe de plannen worden getest. Het gaat over de ISO-beheersmaatregelen 5.29, 5.30 en 8.14.

Voor wie. Het beleid is primair bedoeld voor de directie, de proceseigenaren, de systeemeigenaren en de afdeling die de ICT-voorzieningen voor continuïteit uitvoert. Het geldt voor iedereen die een rol heeft in een continuïteitsplan of een calamiteitenteam, ook inhuur en leveranciers.

Waarop. Alle informatie, systemen, netwerken, koppelingen en gedeelde voorzieningen waarvan de kritieke processen van de organisatie afhangen, ongeacht of ze in eigen beheer zijn, bij een hostingpartij draaien of als clouddienst worden afgenomen. Is een systeem of voorziening uitbesteed, dan gelden de eisen uit dit beleid als minimumeis voor de leverancier. De organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer.

Buiten dit beleid vallen de bedrijfscontinuïteit van processen die niets met ICT te maken hebben, de crisisorganisatie zelf (crisisprocedure), het maken en terugzetten van back-ups (beleid back-up en recovery), de noodstroom en de fysieke bescherming van ruimten (beleid fysieke toegang en beveiliging) en de afhandeling van het incident dat de verstoring veroorzaakt (beleid beveiligingsincidenten). Dit beleid sluit daarop aan.

Alleen als: Hoe is je crisis- en continuïteitsorganisatie geregeld? «Een BCM-functie met continuïteitsplannen en een BIA»

De organisatie heeft een BCM-functie met een business impact analyse (BIA) en continuïteitsplannen. Dit beleid volgt de BIA: de hersteleisen voor systemen komen uit de hersteleisen voor processen.

Alleen als: Hoe is je crisis- en continuïteitsorganisatie geregeld? «Geen» of «Een crisisteam, zonder BCM-functie»

De organisatie heeft geen BCM-functie met een BIA. Dit beleid legt daarom zelf de minimale stappen vast om kritieke processen en systemen te bepalen. Komt er een BIA, dan vervangt die de stappen in hoofdstuk 3.

2. Uitgangspunten#

1. De lijn bepaalt welke processen kritiek zijn en in welke volgorde ze terugkomen. ICT vertaalt dat naar systemen, hersteleisen en voorzieningen. #
2. De maximale hersteltijd en het toelaatbare gegevensverlies van een proces volgen uit zijn impactniveau volgens het beleid informatieclassificatie (verwaarloosbaar, gering, gemiddeld, ernstig, catastrofaal). Dat beleid zegt per niveau welke hersteltijd en welk gegevensverlies hoogstens toelaatbaar zijn. #
3. Een continuïteitsplan dat niet getest is, telt niet als maatregel. #
4. Tijdens een verstoring gelden dezelfde beveiligingseisen als daarbuiten, tenzij een vooraf vastgestelde noodprocedure iets anders zegt. #
5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden. De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid. #

3. Kritieke processen en systemen#

1. De proceseigenaren stellen vast welke processen niet mogen uitvallen, omdat inwoners of bedrijven er direct last van hebben of omdat er een wettelijke termijn op zit. Per proces leggen ze vast: het impactniveau, de maximale hersteltijd en het toelaatbare gegevensverlies die daaruit volgen, en het minimumniveau waarop de dienstverlening tijdens de verstoring doorgaat. [5.30.02] #
2. Op basis daarvan stelt elke proceseigenaar, met de systeemeigenaren, vast welke systemen kritiek zijn. Het gebeurt binnen de inventaris van bedrijfsmiddelen, met de risicomanagementmethodiek van de organisatie, en de afweging wordt vastgelegd. Een systeem is kritiek als een kritiek proces er binnen zijn maximale hersteltijd niet zonder kan. [5.30.02] #
3. [eigenaar overzicht kritieke systemen] houdt het overzicht van kritieke systemen bij. Het noemt per systeem de hersteltijd, het toelaatbare gegevensverlies, de afhankelijkheden (netwerk, identiteitsvoorziening, koppelingen, leveranciers) en de herstelvolgorde. De directie stelt de herstelvolgorde vast. [5.30.02] #
4. De proceseigenaar actualiseert zijn deel van het overzicht ten minste eens per drie jaar, en eerder bij een reorganisatie, een nieuwe aanbesteding, een uitbesteding of een migratie van een kritiek systeem. De datum van de laatste actualisatie staat in het overzicht. [5.30.02] #

Alleen als: Hoe is je crisis- en continuïteitsorganisatie geregeld? «Een BCM-functie met continuïteitsplannen en een BIA»

5. De kritieke processen en hun hersteleisen komen uit de BIA. De BCM-functie levert het overzicht aan en de eigenaar van het overzicht kritieke systemen koppelt de systemen eraan. [5.30.02] #

Alleen als: Hoe is je crisis- en continuïteitsorganisatie geregeld? «Geen» of «Een crisisteam, zonder BCM-functie»

6. Zolang er geen BIA is, organiseert de CISO elke drie jaar een sessie met de proceseigenaren om de kritieke processen te bepalen, met een startomvang van ongeveer twintig processen. De directie stelt de uitkomst vast. [5.30.02] #

Alleen als: Wat is je status onder de Cyberbeveiligingswet? «Essentiële entiteit» of «Belangrijke entiteit»

7. De organisatie valt onder de Cyberbeveiligingswet. De diensten waarvoor zij is aangewezen staan als kritieke processen op de lijst, en de bestuurder keurt de hersteleisen en de herstelvolgorde goed. [5.30.02] #

Alleen als: Heb je operationele technologie (OT)? «Beperkt: gebouwbeheer, toegang, camera's» of «Substantieel: bruggen, gemalen, verkeer, zuivering»

8. Operationele technologie staat in hetzelfde overzicht. Per installatie staat erbij of hij bij uitval van de ICT lokaal of met de hand te bedienen is en wie dat kan. [5.30.02] #

4. Uitwijk en redundantie#

1. Voor elk kritiek systeem richt de systeemeigenaar een voorziening in waarmee de hersteltijd en het toelaatbare gegevensverlies haalbaar zijn: dubbele uitvoering, een uitwijklocatie of een herstel uit back-up dat aantoonbaar binnen de tijd past. De keuze en de onderbouwing staan in het overzicht van kritieke systemen. [5.30.01, 8.14.01] #
2. Gedeelde voorzieningen waar meer kritieke systemen van afhangen (netwerk, internetverbinding, identiteitsvoorziening, stroom, koeling) voert [lijneigenaar ICT-continuïteit] dubbel uit, zonder gemeenschappelijk punt van uitval, of hij legt een noodroute vast die binnen de kortste hersteltijd van de afhankelijke systemen past. De lijneigenaar ICT-continuïteit test de omschakeling van elke dubbele voorziening jaarlijks. [8.14.01] #
3. De lijneigenaar ICT-continuïteit beschermt een uitwijkvoorziening tegen dezelfde dreigingen als de primaire omgeving en scheidt haar daar zo ver van dat een cyberaanval of fysiek incident ze niet allebei raakt: eigen stroom en netwerk, eigen beheeraccounts en een andere locatie. Waar dat niet kan, zet de systeemeigenaar het restrisico in het risicoregister. [8.14.01] #
4. Ligt een kritiek systeem bij een leverancier, dan staan de hersteltijd, het toelaatbare gegevensverlies en de uitwijkvoorziening in het contract, en levert de leverancier jaarlijks het bewijs van zijn eigen uitwijktests. De proceseigenaar beoordeelt dat bewijs bij de jaarlijkse leveranciersbeoordeling (beleid contractbeheer). [5.30.01, 8.14.01] #
5. Een redundante voorziening voldoet aan dezelfde beveiligingseisen als de primaire, en de systeemeigenaar neemt haar mee in patchen, logging en toegangsbeheer. [8.14.01] #

Alleen als: Heb je operationele technologie (OT)? «Substantieel: bruggen, gemalen, verkeer, zuivering»

6. Bij installaties zoals gemalen, bruggen, sluizen en zuivering legt de proceseigenaar per installatie een terugvalscenario zonder centrale besturing vast, met de bemensing die daarvoor nodig is en de tijd die het kan volhouden. De OT-omgeving kan bij een aanval op de kantoor-ICT worden losgekoppeld zonder dat de installatie stopt; de systeemeigenaar test dat jaarlijks. [5.30.01, 8.14.01] #

5. Beveiliging tijdens een verstoring#

1. Elk continuïteitsplan beschrijft welke beveiligingsmaatregelen tijdens uitwijk of noodbedrijf gelden en welke tijdelijk vervallen. Een noodaccount, een handmatige werkwijze of een tijdelijke verbinding staat vooraf in het plan, met wie hem mag inzetten en wie daarover beslist. De CISO keurt dat deel van het plan goed. [5.29.01] #
2. Tijdens een verstoring houdt de proceseigenaar een logboek bij van de ingezette noodvoorzieningen, de tijdelijk vervallen maatregelen en de informatie die daardoor minder beschermd was, zodat de organisatie achteraf kan beoordelen of er een incident of datalek is ontstaan. [5.29.01] #
3. De proceseigenaar trekt noodaccounts en tijdelijke uitzonderingen na de verstoring binnen [termijn intrekken noodvoorzieningen] in, en de CISO controleert dat aan de hand van het logboek. [5.29.01] #
4. Na een cyberincident brengt de systeemeigenaar een systeem pas terug in productie als vaststaat dat de oorzaak is weggenomen en de herstelde omgeving schoon is. De CISO geeft daarvoor vrijgave en legt die vast. [5.29.01] #
5. Informatie met het label vertrouwelijk of hoger blijft ook tijdens een verstoring versleuteld en alleen toegankelijk voor bevoegden; een handmatige werkwijze voor die informatie staat alleen in het plan als de CISO heeft vastgesteld dat de bescherming gelijkwaardig is. [5.29.01] #

6. Continuïteitsplannen en testen#

1. Voor elk kritiek proces stelt de proceseigenaar een continuïteitsplan op dat beschrijft hoe het proces doorgaat en wordt hersteld bij uitval van de ICT, met contactgegevens, beslissers, de herstelvolgorde en de beveiliging tijdens de verstoring. Het plan is ook beschikbaar als de eigen systemen niet werken, op papier of op een losstaande voorziening. [5.30.01] #
2. De proceseigenaar test het continuïteitsplan elk jaar op werking, volledigheid en actualiteit. De test kan een tafeloefening, een technische uitwijktest of een combinatie zijn; ten minste eens per drie jaar is er een technische test waarin de uitwijk van de kritieke systemen binnen de hersteltijd en met ten hoogste het toelaatbare gegevensverlies wordt aangetoond. [5.30.01] #
3. Elke test heeft een verslag met de bevindingen en de verbeteringen. De proceseigenaar past het plan binnen drie maanden aan en meldt open verbeteringen in het risicoregister. [5.30.01] #
4. De lijneigenaar ICT-continuïteit houdt de uitwijkvoorzieningen en de herstelprocedures actueel bij elke wijziging van een kritiek systeem, via het wijzigingsproces (beleid wijzigingsbeheer). [5.30.01] #

Alleen als: Hoe is je crisis- en continuïteitsorganisatie geregeld? «Geen»

5. Er is geen crisisteam. Voor een digitale calamiteit stelt de CISO met de ICT-organisatie een calamiteitenteam samen uit de eigen bedrijfsvoering, met een rolverdeling, een logboek en een besluitprocedure. Dat team oefent elk jaar een scenario met uitval van ICT. [5.30.01] #

Alleen als: Hoe is je crisis- en continuïteitsorganisatie geregeld? «Een crisisteam, zonder BCM-functie» of «Een BCM-functie met continuïteitsplannen en een BIA»

6. De jaarlijkse test van de continuïteitsplannen sluit aan op een oefening van het crisisteam met een digitaal scenario, bijvoorbeeld ransomware, zodat ook de besluitvorming en de communicatie worden getest. [5.30.01] #

Alleen als: Wat is je status onder de Cyberbeveiligingswet? «Essentiële entiteit» of «Belangrijke entiteit»

7. De tests dekken ook de meldplicht onder de Cyberbeveiligingswet: wie stelt vast of een incident significant is, en lukt de vroege waarschuwing binnen 24 uur. [5.30.01] #

7. Rollen en verantwoordelijkheden#

8. Naleving en controle#

Controleraamwerk. De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en het bewijs worden vastgelegd in [registratie van controles]; afwijkingen gaan als bevinding naar het risicoregister.

Afwijkingen. Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De proceseigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd. De afwijking geldt pas na acceptatie van het risico door [risico-eigenaar] en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.

Niet naleven. Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.

9. Samenhang#

Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. De hersteleisen volgen het beleid informatieclassificatie. Het beleid hangt nauw samen met het beleid back-up en recovery (hersteltijden en gegevensverlies), het beleid beveiligingsincidenten (overgang van incident naar calamiteit), het beleid bedrijfsmiddelenbeheer (inventaris), het beleid fysieke toegang en beveiliging (noodstroom, uitwijklocatie), het beleid wijzigingsbeheer (actueel houden van uitwijk en herstel) en het beleid informatiebeveiliging bij inkoop en contractbeheer (afspraken met leveranciers over uitwijk en exit).

Bijlage A: BIO 2.0-maatregelen#

De maatregelen van dit domein (4, waarvan 2 overheidsmaatregelen), waar dit stuk ze invult en welke controle ze aantoont. Nummers volgens BIO2 v1.3 definitief - 9 januari 2026; de tekst van de maatregel staat bij het CIP. Waar de BIO 2.0 geen overheidsmaatregel kent, geldt de ISO 27002-beheersmaatregel.

Bijlage B: Afkortingen#

Nog in te vullen#

• eigenaar overzicht kritieke systemen: de functie die het overzicht van kritieke systemen bijhoudt, bijvoorbeeld de informatiemanager
• lijneigenaar ICT-continuïteit: de manager die de ICT-voorzieningen voor continuïteit uitvoert
• termijn intrekken noodvoorzieningen: bijvoorbeeld vijf werkdagen
• registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem
• risico-eigenaar: de manager die restrisico's accepteert
• eigenaar van dit beleid: de manager die dit beleid uitvoert en laat naleven
• vaststeller: wie het beleid vaststelt, bijvoorbeeld de directie of het bestuur