---

---

De publicatie van de norm ISO/IEC 27031:2025 markeert een paradigmaverschuiving in de bedrijfsresilience en herdefinieert de relatie tussen Business Continuity Management (BCM) en ICT Readiness for Business Continuity (IRBC) fundamenteel. De traditionele visie op IRBC als een reactieve, technische ondersteuningsfunctie is achterhaald.

De nieuwe norm verheft IRBC tot een zelfstandig managementsysteem dat als strategische partner van het BCM fungeert om een holistische en aantoonbare robuustheid van de organisatie te waarborgen. Centraal in deze transformatie staan twee cruciale governance-instrumenten: de “Proof Chain” – een sluitende, verifieerbare bewijsvoering die elke zakelijke eis direct verbindt met de gevalideerde technische implementatie – en het “Final Minimum Business Continuity Objective” (Final MBCO).

Het Final MBCO is een formeel, door het topmanagement goedgekeurd serviceniveau dat in een crisissituatie als realistisch en acceptabel wordt beschouwd. Het dient om de vaak bestaande kloof te dichten tussen de behoeften van de business en wat technisch daadwerkelijk haalbaar is.

De strategische noodzaak: opbouw van een uniforme resilience-front

ISO/IEC 27031:2025 dwingt tot een fundamentele herwaardering van de rol van IT-continuïteit binnen de bedrijfsstrategie. De tijd waarin IT-continuïteit – vaak aangeduid als Disaster Recovery of IT Service Continuity Management – als een puur technische discipline in de kelder van de IT-afdeling werd gezien, is definitief voorbij. De norm positioneert IRBC als een integraal onderdeel van een holistische resilience-strategie binnen de managementcontext en vereist een diepgaande, samenwerkingsgerichte integratie in het Business Continuity Management System.

Van ondersteuner tot strategische partner
De traditionele relatie tussen BCM en wat eerder werd beschouwd als ITSCM was vaak hiërarchisch en reactief: het BCM definieerde eisen in de vorm van een Business Impact Analyse (BIA), en de IT probeerde deze technisch te realiseren. Deze aanpak leidde vaak tot silo’s en misverstanden. De ISO/IEC 27031:2025 breekt radicaal met dit model.

Volgens clausule 6 van de norm is de “integratie van IRBC in het BCM” nu een normatieve vereiste. IRBC wordt gezien als een zelfstandig managementsysteem dat proactief bijdraagt aan strategische resilience. Het gaat niet langer alleen om het herstarten en herstellen van systemen, maar om het ontwerpen van veerkrachtige systeem- en applicatiearchitecturen en processen. Voor de BC-manager betekent dit dat zijn IRBC-tegenhanger niet langer louter een dienstverlener is, maar een strategische partner.

Gedeelde governance: de inrichting van een Resilience Board
Om dit strategische partnerschap vorm te geven, vereist de norm een geformaliseerde governance-structuur. Clausules 6.2 en 13 maken duidelijk dat resilience een leiderschapstaak is. In de praktijk kan deze eis het meest effectief worden ingevuld door de oprichting van een centraal stuurorgaan, vaak aangeduid als een “Resilience Board”.

Het voordeel van zo’n interdisciplinair orgaan ten opzichte van een louter door de CIO of IT-manager aangestuurd model ligt in het holistische, business-gerichte perspectief. Terwijl een IT-manager vanzelfsprekend technologische aspecten prioriteert, zorgt de Resilience Board ervoor dat beslissingen in lijn zijn met de strategische bedrijfsdoelen, de risicotolerantie en de financiële realiteit van de organisatie.

Ideaal wordt de coördinatie van deze board opgepakt door een dedicated Resilience Manager met een overkoepelend zicht op alle resilience-disciplines. Zolang deze functie nog niet bestaat, is de BC-manager – in nauwe samenwerking met de IRBC-manager – de drijvende kracht achter de agenda en de strategische koers van de board. Tot de taken behoren o.a. het vrijgeven van resilience-strategieën, de goedkeuring van het Final MBCO, de toewijzing van budgetten en de formele acceptatie van restrisico’s.

Het hart van de samenwerking: beheersing van de Proof Chain van BIA tot ICT-herstart en herstel

Het centrale element van het nieuwe BCM-IRBC-partnerschap is de “Proof Chain” (bewijsketen). Dit concept beschrijft het sluitende, gedocumenteerde en verifieerbare pad dat een tijdkritisch bedrijfsproces verbindt met de gevalideerde technische oplossing voor herstart en herstel. Het doel is om aannames door feiten te vervangen en een onweerlegbaar, op bewijs gebaseerd continuïteitsbewijs te leveren.

Definitie van de Proof Chain: van bedrijfsbehoefte tot verifieerbaar bewijs
De Proof Chain is een doorlopend proces dat logisch voortvloeit uit de structuur van de norm. Het begint met de zakelijke eisen uit de BIA (clausule 7.2), wordt vertaald naar technische doelstellingen (clausule 8.2), mondt uit in concrete plannen en architecturen (clausule 10.3) en wordt uiteindelijk gevalideerd door tests (clausule 11). Elke stap moet gedocumenteerd zijn om “audit-bestendige documentatie” te garanderen.

Stapsgewijze uitsplitsing van rollen en verantwoordelijkheden
Het succes van de Proof Chain hangt af van een duidelijke, symbiotische samenwerking tussen BCM en IRBC. Elke functie heeft een eigen, maar onlosmakelijk verbonden rol.

• De rol van het BCM: De BC-manager initieert en verankert de Proof Chain in de bedrijfscontext. Zijn kerntaak is het definiëren van het Wat, Waarom en Wanneer van continuïteit via een robuuste BIA. Hij leidt de bedrijfskritische tolerantieperiodes (BIA-RTO/RPO) en het aanvankelijk vereiste serviceniveau (Initial MBCO) af.

• De rol van het IRBC: De IRBC-organisatie is verantwoordelijk voor het Hoe. Zij ontvangt de precieze eisen van het BCM en vertaalt deze naar technische specificaties (ICT-RTO/RPO). Haar taak is het ontwerpen van veerkrachtige technische architecturen en oplossingen.

Voorbij de BIA: definitie en toepassing van het Final MBCO

ISO/IEC 27031:2025 introduceert met het Final Minimum Business Continuity Objective (Final MBCO) een nieuw, bepalend governance-concept. Het is een strategisch risicobeheercontract dat de kloof tussen de idealistische eisen van de BIA en de realiteit overbrugt.

Het Final MBCO als risicobeheercontract
In de praktijk bestaat vaak een kloof tussen wat de business in een noodsituatie nodig heeft (Initial MBCO) en wat systemen en processen daadwerkelijk kunnen leveren. Het Final MBCO-proces, beschreven in clausule 12, dwingt de organisatie dit risico expliciet te erkennen.

Het Final MBCO is het resultaat van een formeel proces dat technische en organisatorische haalbaarheid, afhankelijkheden en testresultaten meeneemt. Het definieert het minimaal acceptabele serviceniveau dat na herstart en herstel realistisch kan worden bereikt. De formele goedkeuring door het topmanagement (clausule 13.2) maakt van een technische beperking een bewuste strategische keuze.

De governance-workflow
Het vaststellen van het Final MBCO is een centraal onderdeel van resilience-governance en omvat de volgende stappen. De BC-manager is – samen met de IRBC-manager – de drijvende kracht achter het proces:

• Identificatie van de kloof: Op basis van de Proof Chain (gapanalyse) wordt de discrepantie tussen het BIA-vereiste serviceniveau en het technisch haalbare niveau vastgesteld. Dit gebeurt in een uitgebreid oplossingsconcept dat zowel risico’s als potentiële investeringen belicht. Daarbij worden niet alleen IT-uitvallen, maar ook gebouw-, personeel- en leverancieruitvallen meegenomen.

• Presentatie van opties: Een beslisdocument wordt voorbereid voor het topmanagement of de Resilience Board. Dit bevat duidelijk uitgewerkte opties, waarbij de IRBC-manager technische oplossingen, kosten en tijdlijnen aanlevert:

  • Investeren: de kloof sluiten door gerichte investeringen

  • Mitigeren: risico reduceren via alternatieve strategieën, bijv. handmatige workarounds

  • Accepteren: het risico formeel erkennen en het lager haalbare serviceniveau vastleggen als Final MBCO, voor zover dit contractueel en regulatoir is toegestaan

[*]Formalisering van de beslissing: De genomen beslissing wordt formeel gedocumenteerd, ondertekend door het topmanagement en gecommuniceerd. Het vastgestelde Final MBCO wordt de nieuwe bindende doelgrootheid en moet in alle relevante BCP’s en IT-herstelplannen worden verankerd.

Deze procedure brengt het onderwerp op de bestuursagenda. De BC-manager fungeert als moderator die een onderbouwde strategische risicoafweging faciliteert. Het gedocumenteerde Final MBCO wordt een instrument voor toekomstige budgetonderhandelingen en creëert duidelijke verantwoordelijkheid voor het gekozen risiconiveau.

Casestudy: beheersing van een bedrijfsuitval in een productieomgeving

Om de theoretische concepten te verduidelijken, bekijken we een praktijkscenario. Een wereldwijde toeleverancier in de automotive sector, werkend volgens een just-in-time-model, is volledig afhankelijk van zijn Manufacturing Execution System (MES).

Situatieschets
Tijdens een gepland onderhoudsvenster wordt een ogenschijnlijk onkritische software-update voor het centrale MES uitgevoerd. Na de herstart leidt een onopgemerkte fout tot een corrupte planningsdatabase. Alle productielijnen komen stil te staan: een klassiek voorbeeld van een bedrijfsuitval door een fout in het changeproces.

De Proof Chain in actie

• BIA & eisdefinitie: De door de BC-manager uitgevoerde BIA classificeerde het proces “Productielijnoperatie” als hoogste tijdkritisch. De analyse bepaalde een BIA-RTO van 4 uur. Het afgeleide Initial MBCO luidde: “Herstart van de productieplanning voor ten minste 80% van de lijnen”.

• Technische vertaling: De IRBC-organisatie vertaalde deze eis naar een ICT-RTO van 3 uur voor de MES-applicatie, bijbehorende database en infrastructuur.

• De kloof en het Final MBCO: Een eerdere gapanalyse toonde aan dat volledig herstel vanaf tapes 8 uur zou duren. Het Resilience Board kreeg dit risico gepresenteerd. Het management keurde een investering in een high-availability-oplossing goed, zij het beperkt tot het kernmodule van de planning. Het resultaat was een gedocumenteerd en goedgekeurd Final MBCO: “Herstel van de kernfunctionaliteit van de productieplanning binnen de ICT-RTO van 3 uur. Volledige rapportage- en analysemogelijkheden worden binnen 24 uur hersteld.”

Activatie van het plan
De stilstand activeert onmiddellijk een incident van de hoogste prioriteit:

• De IRBC-organisatie activeert de IT-herstelplannen en voert een failover uit naar de secundaire locatie.

• Tegelijkertijd activeert het BCM de BCP. Belangrijkste taken zijn strategische coördinatie en communicatie: het informeren van het topmanagement, proactieve communicatie met klanten en coördinatie met logistieke partners.

Behalen van het Final MBCO
Dankzij de vooraf genomen strategische beslissing herstelt IRBC de kernfunctionaliteit binnen 2,5 uur. Dit werd via een functionaliteitstest gevalideerd en was dus een betrouwbare parameter. BCM coördineert de validatie met de productiechefs. De lijnen worden 3,5 uur na de uitval weer opgestart. De BIA-RTO van 4 uur werd gehaald.

Lessons Learned
De post-incident evaluatie bevestigt de waarde van de Proof Chain en het Final MBCO. Wel wordt tijdens een test een nieuwe kwetsbaarheid ontdekt: een netwerk-switch in het secundaire datacenter vormt een nieuw Single Point of Failure. Deze bevinding wordt als verbeteractie aan de Proof Chain toegevoegd.

Afsluitende analyse: Bedrijfsuitval vs. cyberaanval – een resilience-perspectief

Het succes in de casestudy mag niet leiden tot de veronderstelling dat de organisatie nu tegen alle bedreigingen bestand is. Het is cruciaal om het verschil te begrijpen tussen een bedrijfsuitval en een gerichte cyberaanval – de reactieparadigma’s verschillen fundamenteel.

Het kritieke onderscheid: betrouwbare vs. onbetrouwbare omgeving
Het kernverschil ligt in de integriteit van de omgeving. In de casestudy vond de uitval plaats in een betrouwbare omgeving: het probleem was een bekende fout in een verder intacte infrastructuur. Data, back-ups en herstelomgevingen werden als veilig beschouwd.

Een cyberaanval – met name ransomware – verandert de volledige IT-omgeving in een potentieel vijandige, onbetrouwbare omgeving. Elk systeem, elke back-up en elke verbinding kan gecompromitteerd zijn. Het primaire doel is niet langer alleen herstel van beschikbaarheid, maar veilig herstel zonder de malware opnieuw in te voeren.

Hier wordt het onderscheid tussen continuïteitsdisciplines duidelijk. Cyber Incident Response richt zich op analyse, containment en verwijdering van de dreiging. BCM en IRBC focussen op het behalen van RTO’s en het waarborgen van het afgesproken minimumniveau (Final MBCO). Beide disciplines moeten nauw samenwerken, maar hanteren verschillende doelen en methoden.

Aanbevelingen voor BC-verantwoordelijken

ISO/IEC 27031:2025 is meer dan een nieuwe norm; het is een mandaat voor strategische heroriëntatie van bedrijfsresilience. Voor BC-managers biedt het de kans hun rol te herdefiniëren en hun invloed te vergroten. Belangrijke aanbevelingen:

• Neem uw rol als resilience-orkestrator op. Wacht niet op een uitnodiging. Richt proactief een Resilience Board op en neem een leidende rol. Uw holistische zicht maakt u de ideale coördinator.

• Maak de BIA tot strategische basis. Zie de BIA niet als een statisch document, maar als het fundament van de Proof Chain. Zorg dat de resultaten helder, ondubbelzinnig en robuust zijn.

• Beheers het Final MBCO-proces. Gebruik het als primair instrument om strategische risicodialogen te voeren. Maak risico’s tastbaar en beslissingen bindend.

• Vorm een strategische alliantie met IRBC. Betrek de IRBC-manager vroeg in levenscyclusdiscussies. Verschuif de dialoog van “Wat is de RTO?” naar “Hoe veerkrachtig is de architectuur?”

• Eis bewijs, niet alleen plannen. Sta op grondige, scenariogebaseerde tests die harde metrics opleveren, zoals vereist in clausule 11.

• Denk verder dan uitval. Stimuleer de ontwikkeling van cyberresilience-strategieën. Begrijp en verdedig de noodzaak van verschillende aanpakken bij kwaadwillige aanvallen versus technische fouten.
  
  

Ontwerp uw resilience proactief

De transformatie naar geïntegreerde, aantoonbare resilience volgens ISO/IEC 27031:2025 is een complexe strategische opdracht. Als u hierbij een ervaren partner zoekt die u ondersteunt bij het implementeren van de Proof Chain, het modereren van het Final-MBCO-proces en het ontwikkelen van robuuste, scenariogebaseerde resilience-strategieën, staan wij voor u klaar. Neem contact met ons op voor een vrijblijvend adviesgesprek en ontwikkel een duidelijke roadmap voor het versterken van uw organisatorische robuustheid.