Wat is ISO 22301?
ISO 22301 is de internationale norm voor bedrijfscontinuïteitsmanagementsystemen (BCMS). De norm stelt eisen vast voor het plannen, opzetten, implementeren, operationaliseren, monitoren, beoordelen, onderhouden en continu verbeteren van een managementsysteem dat beschermt tegen verstoringen, de kans op optreden vermindert en zorgt voor herstel.
De huidige versie (2019) volgt de ISO High Level Structure, waardoor integratie met ISO 27001, ISO 9001 en andere managementsysteemnormen efficiënt is.
Wie heeft ISO 22301 nodig?
- Financiële instellingen en banken met regelgevende continuïteitseisen
- Datacenters, cloudproviders en IT-dienstverleners
- Ziekenhuizen en gezondheidszorgorganisaties
- Productiebedrijven met complexe toeleveringsketens
- Overheidsinstanties en nutsbedrijven
- Elke organisatie die afhankelijk is van ononderbroken dienstverlening
Kernelementen van ISO 22301
- Bedrijfsimpactanalyse (BIA) — identificatie van kritische processen en afhankelijkheden
- Risicobeoordeling — dreigingen en kwetsbaarheden voor continuïteit
- Bedrijfscontinuïteitsplannen (BCP) — herstelstrategieën en -procedures
- Oefeningen en tests — regelmatige validatie van plannen
- Incidentrespons — structuur voor crisismanagement
- Continue verbetering — lessen geleerd en planaanpassingen
Het BALTUM-proces: stap voor stap
- Stap 1 — Gap-analyse en BIA: Beoordeling van huidige continuïteitsmaatregelen, bedrijfsimpactanalyse en risicobeoordeling.
- Stap 2 — BCMS-documentatie: Continuïteitsbeleid, BIA-rapport, bedrijfscontinuïteitsplannen, communicatieplan en oefenprogramma.
- Stap 3 — Implementatie en oefeningen: Invoering van plannen, uitvoering van tafeloefeningenen simulaties, interne audit.
- Stap 4 — Certificeringsaudit: Fase 1-documentatiebeoordeling en Fase 2-audit door een geaccrediteerde certificatie-instelling.
- Stap 5 — Doorlopend beheer: Surveillance-audits, jaarlijkse oefeningen en planactualisering.
Typische doorlooptijd
3–6 maanden voor de meeste organisaties. Organisaties die al ISO 27001-gecertificeerd zijn, kunnen profiteren van bestaande risicobeoordelingen en documentatiestructuren, waardoor de doorlooptijd wordt verkort tot 2–4 maanden.
Integratie met andere normen
- ISO 22301 + ISO 27001 (Informatiebeveiliging en continuïteit)
- ISO 22301 + ISO 9001 (Kwaliteit en continuïteit)
- ISO 22301 + ISO 20000 (IT-service en continuïteit)
- ISO 22301 + SOC 2 (Beschikbaarheidscriterium)