Wat zijn de eisen voor noodvoorbereiding in clausule 8?

Jan Willem de Boer

Redacteur ISO & Kwaliteitsmanagement

De eis is simpel: je moet een plan hebben voor wat er gebeurt als de dagelijkse werkzaamheden stilvallen. Clausule 8 - Uitvoering eist niet alleen dat je je werk doet, maar ook dat je een back-up hebt voor als het misgaat. Zonder een goedgekeurd noodvoorbereidingsplan ben je niet aan het werk. Punt uit. Dit is geen suggestie, het is een harde voorwaarde voor je hele operatie.

Waarom dit niet alleen over calamiteiten gaat

Veel organisaties denken dat noodvoorbereiding alleen gaat over een brand of een overstroming. Dat is een vergissing. In de context van clausule 8 gaat het over elke verstoring die je bedrijfsvoering stillegt. Denk aan een cyberaanval, een stroomstoring die langer duurt dan een dag, of een leverancier die failliet gaat. De eis is dat je bent voorbereid op alles wat je kernprocessen bedreigt. De ISO 27001 norm, waar clausule 8 uit komt, wil dat je risicogestuurd werkt. Een noodplan is de directe vertaling van die risicoanalyse naar de praktijk. Je identificeert kwetsbaarheden en bouwt een muurtje. Dat muurtje is je plan.

De kerncomponenten van je plan

Een plan dat voldoet, moet een aantal vragen direct beantwoorden. Geen wollige taal, maar concrete antwoorden. Zorg dat je deze elementen in je documentatie hebt staan:

• Doelwit en hersteltijd (RTO/RPO): Welke systemen móéten binnen een uur terug online? Welke data mag je nooit verliezen? Zonder deze getallen weet je niet wat je prioriteit is.
• Escalatieroutes: Wie bellen we om 03:00 uur in het weekend? Zorg voor een heldere lijst met namen en nummers, inclusief een back-up voor iedereen.
• Eerste acties: Een checklist voor de eerste 60 minuten. Wie schakelt de noodstroom in? Wie bepaalt of het een incident is dat de klant raakt?
• Communicatie: Hoe informeren we medewerkers, klanten en de pers? Gebruik hiervoor een sjabloon, zodat je niet hoeft te nadenken als de druk hoog is.
• Terugkeer naar normaal: Hoe weten we dat het gevaar geweken is? En hoe zorgen we dat we de lessen van het incident meenemen?

Het bewijs: oefenen en testen

Een plan in een la is waardeloos. Clausule 8 eist dat je aantoont dat je plan werkt. Dit is waar veel organisaties de mist in gaan. Je moet niet alleen plannen, je moet het doen. Dit doe je door regelmatig te testen. Begin klein: een tafelgesprek (walkthrough) met het team om het plan door te nemen. Ga daarna over op een grotere simulatie, een zogenaamde tabletop exercise. De ultieme test is een daadwerkelijke oefening waarin je je back-up systemen echt activeert. Het doel is niet om te slagen of te zakken, maar om zwaktes in je plan te vinden vóór een echte crisis.

Je plan is pas een plan als het in de praktijk heeft bewezen te werken. Tot die tijd is het gewoon een mooi verhaal.

Wat als je een kleine organisatie bent?

Veel MKB-bedrijven denken: "Wij hebben hier geen tijd voor." Dat is geen excuus dat de norm accepteert. De eisen zijn schaalbaar. Een klein bedrijf heeft misschien geen noodstroomgenerator, maar wel een heldere afspraak met een IT-partner om data te herstellen. Het gaat erom dat je nadenkt over wat er gebeurt en dat je actie onderneemt die bij jouw schaal past. Je hoeft geen eigen brandweer op te zetten, maar je moet wel weten wie je belt. De bewijslast ligt bij jou. Als er iets gebeurt en je hebt niets geregeld, dan ben je in overtreding.

De praktijk: wat werkt écht?

De meeste fouten in noodvoorbereiding zitten niet in de techniek, maar in de communicatie. Daarom is mijn advies: maak het zo simpel mogelijk. Zorg voor een fysiek boekje met de belangrijkste telefoonnummers en stappenplannen dat ook werkt als het internet en de stroom uit zijn. Zorg voor een 'crisismanager' die de knoop doorhakt en geef die persoon de bevoegdheid om direct te handelen. Zorg dat je weet wie er op vakantie is en wie de back-up is. Houd het simpel, houd het up-to-date en zorg dat iedereen weet waar het ligt.