Hoe maak je een business continuity plan voor NIS2?

Een business continuity plan maken onder NIS2 doe je in stappen: breng eerst de risico's in kaart, voer een business impact analyse uit en leg daarna vast hoe je reageert, communiceert, herstelt en leveranciers meeneemt. Artikel 21(2c) vraagt hierom. Dit stappenplan loopt de negen kernelementen uit The NIS2 Navigator's Handbook langs.

Wat heb je nodig om een business continuity plan op te stellen?

Je hebt vier dingen nodig: steun van het topmanagement, een overzicht van je bedrijfsprocessen, de uitkomsten van je risicobeoordeling en mensen uit bedrijfsvoering, IT, juridische zaken en communicatie. Zonder die basis blijft het plan een papieren document dat bij een echte verstoring niet werkt.

Het boek van Michiel Benda behandelt het business continuity plan (BCP) als vereiste onder NIS2 artikel 21(2c). Het plan beschrijft de processen, procedures, middelen en activiteiten die de continuïteit ondersteunen. Het boek omschrijft het doel van business continuity management zo: “Business continuity management supports the organization in: Preparing to deal with significant disruptions, Responding to a significant disruption in a structured and organized way…”

De urgentie is niet theoretisch. Volgens Figuur 2.3 (Cybersecurity statistics 2023) in sectie 2.5.1 van het boek kreeg 54% van de organisaties in 2022 te maken met een cyberaanval.

Resultaat van deze stap: een kernteam, een mandaat en een lijst van processen waarmee je aan de slag gaat.

Hoe begin je met de risicobeoordeling voor je BCP?

Begin met het inventariseren van de risico's die tot een verstoring kunnen leiden, en doe dat volgens een all-hazards-benadering. Overweeg dus niet alleen cyberaanvallen, maar ook brand, overstroming, storingen in telecom of stroom, diefstal en onbevoegde fysieke toegang. Het resultaat is een lijst van realistische verstoringsscenario's.

Overweging 79 van NIS2 verwacht deze brede benadering. De beoordeling omvat zowel netwerk- en informatiesystemen als de fysieke omgeving waarin die systemen staan. Zo voorkom je dat je plan alleen een ICT-storing dekt, terwijl een overstroming of stroomuitval je organisatie even hard raakt.

De NIS2-eisen aan de risicobeoordeling zelf staan in sectie 4.3.2 van het boek. Heb je die analyse al gedaan voor je risicomanagement, gebruik haar dan als vertrekpunt en vul haar aan met de scenario's die de continuïteit bedreigen.

Resultaat van deze stap: een overzicht van verstoringsscenario's die je plan moet kunnen opvangen.

Hoe voer je een business impact analyse uit?

Je bepaalt welke processen je organisatie draagt, welke opleveringen ze ondersteunen en hoe kritiek ze in de tijd zijn. Per proces leg je vast hoe lang je zonder kunt, tot welk niveau je moet herstellen en hoeveel gegevensverlies acceptabel is. Dat vertaal je naar SDO, MTO, RTO en RPO.

Het boek zegt het zo: “A good BIA will provide you with insight into how long the organization can survive without each process, what state processes must be recovered to over time to be able to deliver on your organization's obligations, and what loss of data the organization can afford and eventually recreate after recovery.” Let op de breedte van de analyse. Ze kijkt naar de impact op je organisatie, je afnemers, de economie, de samenleving en het welzijn van mensen.

Een voorbeeld uit het boek maakt de SDO tastbaar. Een klantenserviceafdeling heeft de eerste uren, of zelfs de eerste dag, genoeg aan een werkplek en een telefoon. Later wil ze verzoeken op een computer vastleggen en uiteindelijk weer met het CRM-systeem werken. Door die eisen over de tijd in kaart te brengen, kun je het herstel beter ordenen.

Haalt het herstel de RTO niet, dan moet je redundantie-opties onderzoeken. Bij de RPO telt ook de tijd mee die nodig is om gegevens opnieuw in te voeren, de work recovery time. De uitkomsten van de BIA zijn een van de belangrijkste invoeren voor het plan.

Resultaat van deze stap: per proces een SDO, MTO, RTO en RPO, en daarmee een prioriteitenlijst van processen, sleutelpersonen, systemen en informatie.

Hoe leg je de eerste reactie vast in een incident- en noodplan?

Je schrijft twee plannen met elk een eigen taak. Het incident response plan bevat protocollen voor de reactie en de escalatie naar het crisismanagementteam, dat het BCP mag activeren. Het emergency response plan regelt de eerste minuten bij gevaar voor mensen en omgeving: team oproepen, ontruimen, veiligheid voorop.

Een snelle en gestructureerde reactie kan de impact op je organisatie en op anderen aanzienlijk beperken. Daarom hoort in het incidentplan ook helder te staan wanneer een incident wordt opgeschaald. Het boek bespreekt incident response verder in sectie 4.5.3.

Het noodplan gaat over de situaties waarin de eerste minuten het verschil maken. Het boek noemt vier stappen: het noodresponsteam oproepen, ontruimingsprocedures starten, het communicatieplan uitvoeren en gezondheid en veiligheid prioriteren.

Resultaat van deze stap: twee plannen met een duidelijke overdracht naar het crisismanagementteam.

Hoe richt je crisismanagement en de teams in?

Stel een crisismanagementteam samen met een voorzitter die van het topmanagement mandaat heeft om te beslissen, en een notulist die acties en openstaande punten bijhoudt. Voeg waar nodig finance, juridisch, operatie, IT en communicatie toe. Kies leden op vaardigheden, niet op functietitel.

Het boek maakt onderscheid tussen twee begrippen die vaak door elkaar lopen. Business continuity management zorgt dat product- en dienstlevering doorgaat op een houdbaar niveau. Crisismanagement richt zich op het oplossen van de crisis zelf: indammen en wegnemen van het probleem. Samen met disaster recovery management komen ze terug in artikel 21(2c).

Leg de grenzen van het mandaat vast, bijvoorbeeld een financiële limiet, in het crisismanagementplan. Steeds vaker sluit ook de CISO of een medewerker informatiebeveiliging aan, omdat inzicht in informatierisico's nodig is. Het team werkt volgens vier stappen: observeren, oriënteren, beslissen en handelen (het OODA-model).

Volgens het boek werkt een crisisteam het best als het aan deze criteria voldoet:

• Het heeft mandaat van het topmanagement en kan snel en zelfstandig handelen.
• Het komt ook samen als een gebeurtenis alleen nog mogelijk is.
• Het selecteert op vaardigheden en heeft een kernteam dat kan opschalen.
• Rollen zijn bekend en leden trainen en oefenen regelmatig.
• Er zijn geen single points of failure: voor elke sleutelrol bestaat een getrainde reserve.

Beschrijf daarnaast vooraf de rollen en onderlinge verhoudingen van het crisismanagementteam, het crisisresponsteam, het noodresponsteam en het crisiscommunicatieteam. Samen moeten ze onder meer kunnen inschatten wat voor verstoring het is en hoe groot de impact. Ze moeten het BCP kunnen activeren op vooraf bepaalde criteria en de reactie kunnen coördineren. Ook de bevoegdheid om met belanghebbenden, autoriteiten en media te communiceren hoort erbij (sectie 4.5.1.4).

Resultaat van deze stap: een bemand crisisteam met mandaat, reserveleden en vastgelegde activeringscriteria.

Hoe stel je een communicatieplan op voor een verstoring?

Maak een lijst van alle partijen die je moet of wilt informeren, leg per partij vast wie communiceert en wanneer, en bereid sjablonen voor. Denk aan personeel, kritieke leveranciers, verzekeraars, autoriteiten en CSIRT, klanten en media. Het crisismanagementteam voert de regie over de crisiscommunicatie.

Het boek werkt per doelgroep uit wat er nodig is (sectie 4.5.1.3):

• Personeel: gebruik oproeplijsten en call trees, en vertel in grote lijnen wat er gebeurd is, wat je eraan doet en hoe medewerkers kunnen helpen. Zeg ook wanneer er een volgende update komt.
• Kritieke leveranciers: betrek hen vooraf en leg hun rol contractueel vast. Benadruk vertrouwelijkheid.
• Verzekeraars: ken de afspraken vooraf. Vaak moet je de verzekeraar informeren voordat je financiële verplichtingen aangaat.
• Autoriteiten en CSIRT: je hebt meldplichten bij ernstige verstoringen. Laat communicatie bij voorkeur controleren door een juridisch vertegenwoordiger.
• Klanten: informeer afnemers zonder onnodige vertraging als hun dienst waarschijnlijk geraakt wordt (artikel 23(1)). Geef aan welke maatregelen zij zelf kunnen nemen.
• Media: benader de media proactief met beheerste verklaringen en werk met communicatiespecialisten.

Houd één vuistregel aan: de media weten waarschijnlijk wat je het personeel vertelt. Deel dus alleen intern wat geen kwaad kan als het naar buiten komt, en deel extern alleen wat je al intern hebt gedeeld. Medewerkers die via de media over hun eigen organisatie horen, verliezen motivatie.

Resultaat van deze stap: een communicatieprotocol met doelgroepen, verantwoordelijken en kant-en-klare sjablonen.

Hoe plan je herstel en alternatieve oplossingen?

Schrijf een disaster recovery plan dat beschrijft hoe je beschadigde assets en informatie herstelt, afgestemd op de eisen uit je business impact analyse. Lukt herstel niet binnen die eisen, bedenk dan alternatieve oplossingen zoals een tweede locatie, andere systemen of vervangend personeel.

Het disaster recovery plan omvat alles wat nodig is om de organisatie terug te brengen naar business as usual. Een groot deel richt zich op herstel van informatie en informatiemiddelen. De RTO's en SDO's uit de BIA bepalen hier de volgorde en het tempo. Het boek bespreekt dit plan verder in sectie 4.5.2.

Alternatieve oplossingen houden essentiële processen en functies draaiend tijdens de verstoring, ook als herstel van de informatiesystemen binnen jouw eisen niet haalbaar is. Beslis vooraf welke alternatieven je inzet voor welk proces, zodat je er niet pas tijdens de crisis over nadenkt.

Resultaat van deze stap: een herstelplan gekoppeld aan de BIA en per kritiek proces een uitwijkoptie.

Hoe borg je gegevensbescherming en leveranciers tijdens een verstoring?

Bedenk vooraf hoe je gegevens beschermt als de standaardmaatregelen onbruikbaar of onpraktisch zijn, en welke leveranciers je continuïteit dragen. Noodprocessen mogen geen extra datalekken veroorzaken tijdens de verstoring. Voor leveranciers identificeer je alternatieven en een strategie om de stroom van goederen of diensten te behouden.

Bij gegevensbescherming gaat het om persoonsgegevens én om alle andere data die waarde heeft voor je organisatie. Continuïteit en herstel brengen werkwijzen met zich mee die afwijken van de normale gang van zaken. Ook daar moet je informatie en informatiesystemen passend beschermen, bijvoorbeeld met andere maatregelen dan in de normale situatie.

Voor de toeleveringsketen geldt dat je dienstverlening vaak afhangt van wat leveranciers aan jou leveren. Neem dus verstoringen in je keten op in het plan. Identificeer alternatieve leveranciers en leg kritieke partijen contractueel vast in hun rol bij een crisis, zoals ook bij het communicatieplan staat.

Resultaat van deze stap: noodmaatregelen voor gegevensbescherming en een leveranciersparagraaf met alternatieven.

Hoe test en train je het plan?

Oefen het plan met alle teams die erin voorkomen, en herhaal dat regelmatig. Het boek verwacht van crisismanagementleden dat ze deelnemen aan trainingen en oefeningen, en dat er nieuwe oefeningen komen zodra leden vertrekken of vervangen worden. Zo blijft het plan werken bij wisselingen in het team.

Het boek wijdt hier sectie 4.5.1.6 aan. Betrek ook je communicatieplan: een goed voorbereid en goed geoefend communicatieplan helpt je alle belanghebbenden efficiënt te informeren en zo de impact te beperken. Oefen daarnaast de overdracht van incidentafhandeling naar het crisisteam, en de activering van het BCP op de vooraf bepaalde criteria.

Gebruik als eindcontrole de GAP-assessment in Annex F.4 (Business continuity & disaster recovery). De toetsvraag luidt: “The organization has created a business continuity plan that addresses realistic disruptions that the organization could face.” Kun je die stelling onderbouwen met je risicobeoordeling, je BIA en je oefenresultaten, dan staat je plan op een stevige basis.

Resultaat van deze stap: een geoefend plan en een onderbouwde zelfbeoordeling.

Begin bij de BIA

De uitkomsten van de business impact analyse zijn een van de belangrijkste invoeren voor je plan en sturen bijvoorbeeld je herstelaanpak. Weet dus eerst welke processen je het langst kunt missen.