De normen, clausule per clausule

Business continuity management systems — Requirements

De wereldwijde referentienorm voor het opzetten, beheren en laten certificeren van een managementsysteem voor bedrijfscontinuïteit (BCMS). De norm beschrijft wat een organisatie moet hebben ingericht — niet hoe — en is de enige tekst uit de 223xx-familie waarop een geaccrediteerde instelling een certificaat kan afgeven.

Security and resilience — Business continuity management systems — Guidance on the use of ISO 22301

De handleiding bij ISO 22301. Waar 22301 zegt “de organisatie moet”, legt 22313 uit hoe u dat aanpakt, met voorbeelden van werkwijzen, deliverables en valkuilen. Niet certificeerbaar, maar onmisbaar voor wie vanaf nul een BCMS opbouwt.

Guidelines for business impact analysis (BIA)

De enige normtekst die volledig aan de BIA is gewijd. Het document beschrijft de drie analyseniveaus (strategisch, tactisch, operationeel), hoe u maximaal toelaatbare verstoringsduren vaststelt en hoe u de vertekening vermijdt waarbij elk bedrijfsonderdeel zichzelf kritiek verklaart.

Guidelines for supply chain continuity management

Hoe u continuïteit uitbreidt tot buiten de muren van de organisatie. De tekst behandelt het in kaart brengen van kritieke leveranciers, contractuele continuïteitsclausules, de verificatie van de plannen van derden en het beheer van afhankelijkheden tot op het n-de niveau.

Guidelines for business continuity strategy

De schakel tussen de BIA en de plannen die het vaakst wordt overgeslagen. Dit document beschrijft hoe u continuïteitsopties beoordeelt, vergelijkt en kiest — en hoe u de gekozen opties economisch onderbouwt.

Crisis management — Guidelines

De internationale referentie voor crisismanagement sinds de norm de Britse BS 11200 heeft vervangen, die zelf de opvolger van PAS 200 was. Ze maakt een scherp onderscheid tussen het incident (bekende procedure) en de crisis (nieuwe, ambigue situatie waarin veel op het spel staat) en legt de nadruk op besluitvaardigheid in plaats van op het plan.

Emergency management — Guidelines for incident management

De tekst die de bevelvoering bij incidenten structureert: rollen, commandoposten, samenwerking tussen meerdere organisaties en beheer van operationele informatie. De norm formaliseert wat hulpdiensten in de praktijk brengen onder de naam ICS of Gold-Silver-Bronze.

Organizational resilience — Principles and attributes

De tekst die het perspectief verbreedt: weerbaarheid is geen functie, maar een emergente eigenschap van de organisatie. Het document benoemt negen attributen — van gedeelde visie tot lerend vermogen — en reikt indicatoren aan om ze te beoordelen.

Guidelines for information and communication technology readiness for business continuity (IRBC)

De brug tussen bedrijfscontinuïteit en IT. De norm introduceert het begrip ICT-gereedheid (IRBC) en de kengetallen die inmiddels gemeengoed zijn: RTO, RPO, maar ook de doelstellingen voor het serviceniveau in terugvalmodus.

Risk management — Guidelines

De gemeenschappelijke basis voor alle risicodisciplines: principes, organisatorisch kader en proces. De kracht ervan zit in de soberheid — acht principes, een kader in vijf fasen, een proces in zes stappen — en de norm is even goed toepasbaar op operationeel risico als op projectrisico of strategisch risico.

Risk management — Risk assessment techniques

De catalogus van methoden: meer dan veertig technieken, van foutenboomanalyse tot bow-tie, van HAZOP tot bayesiaanse analyse, met hun toepassingsvoorwaarden en beperkingen. Het onmisbare hulpmiddel om een methode te kiezen in plaats van de methode te herhalen die u al kent.

Information security, cybersecurity and privacy protection — Information security management systems — Requirements

Het certificeerbare ISMS. De versie van 2022 heeft bijlage A gereorganiseerd in 93 beheersmaatregelen, verdeeld over vier thema’s, en elf nieuwe beheersmaatregelen ingevoerd, waaronder dreigingsinformatie en ICT-gereedheid voor bedrijfscontinuïteit — het directe raakvlak met ISO 22301.

Guidelines for exercises

De volledige methode voor het oefenprogramma: beleid, ontwerp, uitvoering, evaluatie en verbetering. De norm maakt een duidelijk onderscheid tussen de bewustwordingsoefening, de tabletopoefening, de functionele oefening en de grootschalige oefening.

Security and resilience — Vocabulary

Het gemeenschappelijke woordenboek van de 223xx-familie: meer dan 270 gedefinieerde termen, van “geprioriteerde activiteit” tot “oefening”, via “verstoring” en “weerbaarheid”. Het is de tekst die misverstanden in het crisisteam voorkomt.

Security and resilience — Security management systems — Requirements

Certificeerbaar managementsysteem voor beveiliging, bijzonder relevant voor fysieke logistieke ketens. De versie van 2022 heeft de tekst afgestemd op de geharmoniseerde structuur en uitgebreid tot buiten het zeevervoer waarvoor de norm was ontworpen.

Digitale operationele weerbaarheid voor de financiële sector

DORA is van toepassing sinds 17 januari 2025 en legt één uniforme basis voor digitale operationele weerbaarheid op aan een twintigtal categorieën Europese financiële entiteiten. Vijf pijlers: governance en beheer van ICT-risico’s, melding van ernstige ICT-gerelateerde incidenten, weerbaarheidstests, beheer van het risico van derden, uitwisseling van informatie over cyberdreigingen.

Maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie

NIS 2 verruimt het toepassingsgebied van haar voorganger aanzienlijk: achttien sectoren, essentiële en belangrijke entiteiten, aansprakelijkheid van directieleden, forse administratieve sancties. Artikel 21 schrijft bedrijfscontinuïteit en crisismanagement uitdrukkelijk voor als onderdeel van de minimummaatregelen.

Weerbaarheid van kritieke entiteiten

De fysieke tegenhanger van NIS 2. Waar NIS 2 over cyber gaat, gaat CER over de algehele weerbaarheid van kritieke entiteiten tegen natuurrisico’s, kwaadwillige handelingen, noodsituaties op het gebied van de volksgezondheid en sabotage. De richtlijn schrijft een risicobeoordeling, een weerbaarheidsplan en de melding van verstorende incidenten voor.

Operational resilience: impact tolerances for important business services

Het Britse regime, dat vaak wordt aangehaald als het verst ontwikkelde ter wereld. Het verplicht organisaties hun belangrijke bedrijfsdiensten te identificeren, voor elk daarvan een gekwantificeerde impacttolerantie vast te stellen, de benodigde middelen in kaart te brengen en te testen of ze bij ernstige maar plausibele scenario’s binnen de tolerantie kunnen blijven.

Richtsnoeren inzake ICT en risicobeheer op het gebied van veiligheid

De tekst die voor de Europese banksector de voorloper van DORA was. De richtsnoeren beschrijven gedetailleerd de governance van ICT-risico’s, informatiebeveiliging, operationeel beheer, project- en wijzigingsbeheer en ICT-bedrijfscontinuïteit — met een detailniveau dat DORA grotendeels overneemt.

Richtsnoeren inzake uitbesteding

Het Europese kader voor uitbesteding in het bankwezen: register van de uitbestedingsregelingen, kriticiteitsanalyse, due diligence, verplichte contractclausules, auditrechten en exitstrategieën. DORA heeft deze architectuur overgenomen en aangescherpt voor ICT-dienstverleners.

Good Practice Guidelines for business continuity

Het referentiekader van continuïteitsprofessionals, opgebouwd rond de levenscyclus van bedrijfscontinuïteit: twee professionele managementpraktijken en vier technische praktijken. Waar ISO 22301 zegt wat er moet gebeuren, zegt de GPG hoe u dat dagelijks doet, in de taal van de praktijk.

Contingency Planning Guide for Federal Information Systems

De meest gedetailleerde operationele gids voor het opstellen van een IT-herstelplan. Zeven stappen, een heldere typologie van plannen (BCP, COOP, DRP, responsplan voor cyberincidenten, crisiscommunicatieplan, noodplan voor gebouwgebruikers) en volledige sjablonen in de bijlagen.

Incident Response Recommendations and Considerations for Cybersecurity Risk Management

Revisie 3 stemt incidentrespons opnieuw af op het kader van CSF 2.0 en laat de cyclus in vier fasen los ten gunste van een aanpak die in het risicobeheer is geïntegreerd. Ze blijft de operationele referentie voor het inrichten van een CSIRT.

Professional Practices for Business Continuity Management

De tien professionele praktijken van het DRI, de basis voor de certificeringen CBCP en MBCP. Op het gebied van coördinatie met overheidsinstanties en de aanpak van noodsituaties zijn ze operationeler dan de GPG; ze vormen een nuttige aanvulling op het Europese referentiekader.

European framework for threat intelligence-based ethical red teaming

Het kader dat dreigingsgestuurde penetratietests in Europa structureert. Drie fasen — voorbereiding, test, afsluiting — met strikt afgebakende rollen: white team, red team, leverancier van dreigingsinformatie. DORA maakt het tot de referentie voor de TLPT uit artikel 26.

Principles for the Sound Management of Operational Risk

De twaalf principes die wereldwijd de basis vormen van het beheer van operationeel risico bij banken. Ze structureren de drie verdedigingslinies, de opzet voor identificatie en beoordeling (RCSA, verliesregistratie, kernrisico-indicatoren, scenarioanalyse) en de bijbehorende governance.

Principles for Operational Resilience

De tekst die de financiële sector heeft laten omschakelen van continuïteit per proces naar denken in kritieke diensten en tolerantie voor verstoring. Zeven principes die vereisen dat kritieke operaties worden geïdentificeerd, dat de middelen die ze ondersteunen in kaart worden gebracht en dat expliciete toleranties worden vastgesteld.

Cybersecurity Framework 2.0

Versie 2.0, gepubliceerd in 2024, voegt een zesde functie — Govern — toe aan de vijf oorspronkelijke: Identify, Protect, Detect, Respond, Recover. Ze treedt uitdrukkelijk buiten het federale kader om zich tot elke organisatie te richten, en besteedt meer aandacht aan de toeleveringsketen.

Service continuity management

De ITIL-praktijk die continuïteit koppelt aan de andere servicemanagementpraktijken: incident-, probleem-, wijzigings-, capaciteits- en beschikbaarheidsbeheer. Ze levert de terminologie en de raakvlakken die een IT-afdeling direct begrijpt.

Enterprise Risk Management — Integrating with Strategy and Performance

Het referentiekader voor ondernemingsbreed risicomanagement, opgebouwd rond vijf componenten en twintig principes. De belangrijkste bijdrage ervan is dat het kader risico in de strategie verankert in plaats van in de interne beheersing, waardoor het op het gebied van governance de natuurlijke aanvulling op ISO 31000 vormt.

CIS Critical Security Controls

Achttien beheersmaatregelen, gerangschikt naar prioriteit en uitgewerkt in drie implementatiegroepen naar omvang en volwassenheid van de organisatie. Beheersmaatregel 11 — gegevensherstel — houdt het meest rechtstreeks verband met IT-continuïteit.

Data centre tier classification

De referentieclassificatie voor datacenters: Tier I tot en met Tier IV, van een locatie zonder redundantie tot een fouttolerante locatie. Ze maakt het mogelijk een beschikbaarheidseis van de business te vertalen naar een eis aan de fysieke infrastructuur — en te begrijpen wat een hostingprovider werkelijk verkoopt.