Wat ISO 22301 is
ISO 22301 is de internationale norm voor een managementsysteem voor bedrijfscontinuïteit. Een organisatie moet met een business impact analysis vaststellen wat ze draaiende moet houden, hersteldoelstellingen bepalen, plannen hoe ze die haalt, de plannen met oefeningen testen en ze verbeteren. De norm is certificeerbaar en heeft dezelfde structuur als ISO 27001. Vragenlijsten van klanten gebruiken de terminologie ervan, ook als ze de norm nooit noemen.
Wat klanten vragen
- Of u een bedrijfscontinuïteitsplan en een disaster recovery plan hebt, wie de eigenaar is en wanneer ze voor het laatst zijn herzien.
- Uw recovery time objective en recovery point objective voor de dienst die ze afnemen.
- Hoe back-ups worden gemaakt, hoe vaak, waar ze worden bewaard, of ze versleuteld zijn, en wanneer een herstel voor het laatst is getest.
- Of de dienst in meer dan één datacenter of availability zone draait, en wat er gebeurt als er één uitvalt.
- Wanneer de plannen voor het laatst zijn geoefend, wat daarbij aan het licht kwam, en wat er daarna is aangepast.
- Hoe u de klant over een grote storing zou informeren, en hoe snel.
- Wat er met de dienst en de gegevens van de klant gebeurt als uw bedrijf ermee stopt.
Antwoorden als leverancier
Geef cijfers en data. “We hebben een disaster recovery plan” sluit niets af; “RTO 8 uur en RPO 24 uur, dagelijkse versleutelde back-ups in een tweede regio, herstel getest in maart, plan herzien in juni” sluit de sectie af. Regelt uw hostingaanbieder de infrastructuurkant, verwijs dan naar diens certificering en beschrijf wat u zelf toevoegt: uw back-ups, uw hersteltest, uw communicatieplan. Wees eerlijk over de doelstellingen. Een beoordelaar die bij een klein bedrijf een RTO van vier uur ziet, vraagt hoe die is getest.
Financiële klanten onder DORA en entiteiten onder NIS2 vragen meer detail over exit en over de continuïteit van uw eigen leveranciers. De exitvraag, hoe de klant zijn gegevens terugkrijgt en naar een andere aanbieder overstapt, verdient een eigen schriftelijk antwoord.
In Responsemate
Het continuïteitsplan, het laatste testrapport en het back-upbeleid staan in de kennisbank als bewijs met vervaldatums, zodat een verouderde test opvalt voordat een klant hem vindt. Elke continuïteitsrij wordt daaruit opgesteld met de bron erbij. Kennis in Responsemate.
Veelgestelde vragen
Wat is het verschil tussen RTO en RPO?
De recovery time objective (RTO) is hoelang de dienst uit de lucht mag zijn voordat hij is hersteld. De recovery point objective (RPO) is hoeveel gegevens, uitgedrukt in tijd, verloren mogen gaan. “RTO 8 uur, RPO 24 uur” betekent: binnen acht uur weer beschikbaar, met hooguit een dag aan wijzigingen verloren.
Hebben we een ISO 22301-certificering nodig?
Zelden. Klanten in de financiële sector en vitale sectoren vragen er soms om, maar de meeste accepteren een gedocumenteerd continuïteitsplan, een business impact analysis en bewijs van een recente test.