1 november 2026

ISO 22301: business continuity management voor mkb en zorg

ISO 22301 is de internationale norm met eisen voor een managementsysteem voor bedrijfscontinuïteit (business continuity management system, BCMS). De norm helpt je organisatie om verstoringen te voorkomen, erop voorbereid te zijn en de belangrijkste processen binnen een vooraf afgesproken tijd te herstellen. De geldende versie is ISO 22301:2019, aangevuld met een amendement over klimaatverandering uit februari 2024 (iso.org, geraadpleegd oktober 2026).

In dit artikel lees je wat business continuity management inhoudt, hoe de norm is opgebouwd, welke begrippen je moet kennen en hoe je als mkb organisatie of zorgaanbieder tot ongeveer 100 medewerkers een werkbaar continuïteitssysteem opzet. Ook lees je hoe ISO 22301 aansluit op ISO 27001, NEN 7510 en de Cyberbeveiligingswet.

Wat is business continuity management?

Business continuity management (BCM) is de manier waarop je organisatie ervoor zorgt dat de belangrijkste diensten doorlopen of snel terugkomen bij een verstoring. Je bepaalt vooraf welke processen het eerst terug moeten, binnen welke tijd, en met welke middelen.

Een verstoring kan van alles zijn: een ransomware aanval, een uitgevallen ECD of ERP pakket, brand in het pand, een stroomstoring, een leverancier die failliet gaat of een griepgolf waardoor de helft van je team ziek thuis zit. De centrale vraag van BCM gaat over gevolgen: wat gebeurt er als een proces stilvalt, en hoe lang kun je dat volhouden? De oorzaak komt pas daarna aan bod.

Daarmee verschilt BCM van informatiebeveiliging. Informatiebeveiliging beschermt de betrouwbaarheid, vertrouwelijkheid en beschikbaarheid van informatie. BCM richt zich op de continuïteit van de hele dienstverlening, inclusief mensen, gebouwen, leveranciers en communicatie. Beide overlappen op het punt van beschikbaarheid, daarover verderop meer.

Wat is ISO 22301?

ISO 22301 is de internationale norm met eisen waaraan een managementsysteem voor bedrijfscontinuïteit moet voldoen. Je kunt je erop laten certificeren. De huidige editie is ISO 22301:2019, gepubliceerd op 30 oktober 2019, met amendement ISO 22301:2019/Amd 1:2024 (iso.org; iso.org, amendement 1).

De norm is geschreven voor elke organisatie, ongeacht type, omvang of sector. De reikwijdte van de eisen hangt af van je omgeving en complexiteit (NEN, NEN-EN-ISO 22301:2019). Dat maakt de norm bruikbaar voor een zorgorganisatie van 60 medewerkers net zo goed als voor een grote bank.

In Nederland geeft NEN de norm uit als NEN-EN-ISO 22301:2019, met het amendement als NEN-EN-ISO 22301:2019/A1:2024 (NEN). De Nederlandse titel luidt “Veiligheid, weerstandsvermogen en veerkracht, Managementsystemen voor bedrijfscontinuïteit, Eisen”.

Welke normen horen bij ISO 22301?

ISO 22301 bevat de eisen. Voor de uitwerking zijn er begeleidende documenten uit dezelfde normenfamilie:

ISO 22313:2020 geeft richtlijnen voor het toepassen van ISO 22301. NEN publiceerde een Nederlandse vertaling, NEN-EN-ISO 22313:2020 (NEN).
ISO/TS 22317:2021 beschrijft hoe je een business impact analyse uitvoert en documenteert. Het document schrijft bewust geen vaste methode voor en is in 2025 opnieuw bevestigd (iso.org).
ISO 22300:2025 bevat de woordenlijst voor de hele familie over veiligheid en veerkracht; de vierde editie verscheen in november 2025 (iso.org).

Komt er een nieuwe versie van ISO 22301?

Ja, maar die is nog niet gepubliceerd. ISO heeft de versie uit 2019 na de systematische beoordeling gemarkeerd om te herzien, en een derde editie staat als committee draft (ISO/CD 22301) in ontwikkeling (iso.org, geraadpleegd oktober 2026). Tot publicatie en een daarop volgende overgangstermijn is ISO 22301:2019 met amendement 1 de norm waarop certificatie plaatsvindt.

Wat verandert het klimaatamendement uit 2024?

Het amendement voegt twee zinnen toe aan hoofdstuk 4. In 4.1 staat nu dat je organisatie bepaalt of klimaatverandering een relevant onderwerp is. In 4.2 is een noot toegevoegd dat belanghebbenden eisen kunnen hebben die met klimaatverandering te maken hebben (IAF/ISO Joint Communiqué, 22 februari 2024).

Dezelfde aanvulling verscheen in februari 2024 in een reeks managementsysteemnormen, waaronder ISO/IEC 27001 (IAF/ISO). Voor ISO 22301 publiceerde ISO het amendement in februari 2024 (iso.org); de Nederlandse uitgave volgde op 1 oktober 2024 (NEN).

Voor een continuïteitssysteem is de vraag concreet. Denk aan hittegolven die personeel en apparatuur belasten, wateroverlast in een kelder met serverruimte, of een leverancier in een overstromingsgebied. Wat de auditor wil zien, is dat je de vraag hebt gesteld en het antwoord hebt verwerkt in je contextanalyse en, als het relevant is, in je risicobeoordeling. Een apart klimaatbeleid vraagt de norm daarvoor niet.

De Britse accreditatieorganisatie UKAS gaf aan dat er geen overgangsprogramma nodig is en certificaten niet opnieuw uitgegeven hoeven te worden. Auditors nemen de nieuwe tekst wel mee bij het beoordelen van de context (UKAS Technical Bulletin, 27 februari 2024).

Hoe is ISO 22301 opgebouwd?

ISO 22301:2019 volgt de high level structure die ISO voor alle managementsysteemnormen gebruikt, inmiddels de harmonized structure genoemd. Hoofdstuk 4 tot en met 10 bevatten de eisen. Daardoor is de opbouw gelijk aan die van ISO 27001, ISO 9001 en NEN 7510-1.

Hoofdstuk	Onderwerp	Wat je in de praktijk doet
4	Context van de organisatie	Interne en externe factoren, belanghebbenden en wettelijke eisen vastleggen, scope bepalen
5	Leiderschap	Directie toont betrokkenheid, stelt continuïteitsbeleid vast, verdeelt rollen en bevoegdheden
6	Planning	Risico’s en kansen voor het managementsysteem, continuïteitsdoelstellingen, planning van wijzigingen
7	Ondersteuning	Middelen, competenties, bewustzijn, communicatie, gedocumenteerde informatie
8	Uitvoering	BIA en risicobeoordeling, strategieën en oplossingen, plannen en procedures, oefenprogramma, evaluatie
9	Evaluatie van de prestaties	Monitoren en meten, interne audit, directiebeoordeling
10	Verbetering	Afwijkingen en corrigerende maatregelen, continue verbetering

Het inhoudelijke hart van de norm zit in hoofdstuk 8. Daar staan de onderdelen die BCM onderscheiden van andere managementsystemen:

8.1 Operationele planning en beheersing.
8.2 Business impact analyse en risicobeoordeling.
8.3 Strategieën en oplossingen voor bedrijfscontinuïteit.
8.4 Plannen en procedures, met onder meer de responsstructuur, waarschuwing en communicatie, de continuïteitsplannen en herstel.
8.5 Het oefenprogramma.
8.6 Evaluatie van de continuïteitsdocumentatie en het vermogen om te herstellen.

Welke kernbegrippen van ISO 22301 moet je kennen?

De belangrijkste begrippen zijn de business impact analyse, de risicobeoordeling, drie tijdsnormen (MTPD, RTO en RPO) en de keten van strategie, plan en oefening. Wie deze begrippen goed uit elkaar houdt, kan de rest van de norm logisch opbouwen.

Business impact analyse (BIA)

In de BIA bepaal je per activiteit wat de gevolgen zijn als die stilvalt, en hoe die gevolgen toenemen naarmate de uitval langer duurt. Paragraaf 8.2.2 vraagt je om impactsoorten en criteria vast te stellen, de activiteiten te benoemen die je producten en diensten ondersteunen, de impact in de tijd te beoordelen, prioriteiten en hersteltijden vast te stellen, en de benodigde middelen en afhankelijkheden in kaart te brengen, inclusief leveranciers. ISO/TS 22317:2021 geeft hiervoor uitgebreide richtlijnen (iso.org). Een praktische uitwerking met voorbeeldtabel vind je in ons stappenplan voor een business impact analyse.

Risicobeoordeling

Waar de BIA naar gevolgen kijkt, kijkt de risicobeoordeling (8.2.3) naar oorzaken. Je identificeert de risico’s die tot verstoring van je geprioriteerde activiteiten en hun middelen kunnen leiden, analyseert en evalueert ze, en bepaalt welke aanpak vragen. Gebruik je al een risicomethode voor ISO 27001, dan kun je die meestal uitbreiden. Zie ook ons artikel over risicoanalyse volgens ISO 27001 en ISO 27005.

MTPD, RTO, RPO en MBCO

Deze afkortingen beschrijven samen hoe snel en hoe volledig een proces terug moet zijn. ISO 22301 vraagt in 8.2.2 om de termijn waarna uitval onaanvaardbaar wordt, en om hersteltermijnen die daarbinnen vallen; de norm noemt die termijnen in de toelichting MTPD en RTO.

Begrip	Betekenis	Vraag die je stelt
MTPD (maximum tolerable period of disruption)	De maximale duur van uitval voordat de gevolgen onaanvaardbaar worden. In sommige methodes heet dit MAO (maximum acceptable outage).	Hoe lang houden we het vol zonder dit proces?
RTO (recovery time objective)	De streeftijd waarbinnen een activiteit weer draait op een afgesproken minimumniveau. Ligt altijd binnen de MTPD.	Binnen hoeveel tijd willen we het proces weer op gang hebben?
RPO (recovery point objective)	Het punt in de tijd tot waar je gegevens moet kunnen terugzetten; in de praktijk het maximale gegevensverlies, uitgedrukt in tijd.	Hoeveel uur aan gegevens mogen we kwijtraken?
MBCO (minimum business continuity objective)	Het minimale niveau van dienstverlening dat tijdens een verstoring aanvaardbaar is.	Wat moet er minimaal blijven werken, ook als niet alles werkt?

Een voorbeeld: als een huisartsenpraktijk zonder het medisch dossier hooguit een dag spoedzorg veilig kan leveren, is de MTPD een dag. Kies je een RTO van vier uur, dan heb je speling als het herstel tegenvalt. De RPO bepaalt vervolgens hoe vaak je backups maakt of gegevens repliceert. Een RPO van een uur past niet bij een nachtelijke backup.

Continuïteitsstrategie en oplossingen

Met de uitkomsten van BIA en risicobeoordeling kies je strategieën (8.3). Die kunnen voor, tijdens en na een verstoring werken: de kans verkleinen, de duur verkorten of de impact beperken. Je kijkt daarbij naar alle middelen, zoals mensen, informatie en gegevens, gebouwen, ICT systemen, apparatuur, vervoer, financiën en leveranciers. Voorbeelden zijn een tweede internetverbinding, uitwijkafspraken met een vergelijkbare organisatie in de regio, kruislings opgeleid personeel of een papieren noodprocedure voor medicatie.

Plannen en procedures

Paragraaf 8.4 vraagt om een responsstructuur met teams die weten wat ze moeten doen, procedures voor waarschuwen en communiceren, continuïteitsplannen per scenario of proces en een aanpak om na de verstoring terug te keren naar de normale situatie. Houd plannen kort en bruikbaar onder druk. Een crisisteam heeft meer aan vier pagina’s met rollen, telefoonnummers en beslispunten dan aan een handboek van vijftig pagina’s.

Oefenen en evalueren

De norm vraagt een oefenprogramma (8.5) dat je strategieën en plannen over een periode toetst, en een evaluatie van je documentatie en herstelvermogen (8.6). Oefenen kan klein beginnen: een tafeloefening van een uur met het managementteam over een uitgevallen ECD levert vaak meer verbeterpunten op dan een jaar aan papierwerk. Daarna kun je opschalen naar een technische hersteltest, bijvoorbeeld het daadwerkelijk terugzetten van een backup.

Hoe verloopt ISO 22301 certificering?

Certificering gebeurt door een certificerende instelling die een audit uitvoert op je managementsysteem. De gangbare opzet bij managementsysteemnormen is een eerste audit in twee fasen, daarna jaarlijkse controleaudits en na drie jaar een hercertificering.

In de eerste fase beoordeelt de auditor of je documentatie, scope en voorbereiding op orde zijn. In de tweede fase toetst de auditor of het systeem werkt: zijn BIA en risicobeoordeling actueel, zijn de plannen geoefend, is er een interne audit en directiebeoordeling uitgevoerd, en worden verbeterpunten opgepakt.

Voor ISO 22301 gelden aanvullende eisen aan de competentie van auditors en certificerende instellingen, vastgelegd in ISO/IEC TS 17021-6:2014 (iso.org). Kies een instelling die geaccrediteerd is voor ISO 22301. Een geaccrediteerd certificaat heeft meer waarde richting klanten en opdrachtgevers.

Zorg dat je vóór de certificatieaudit minimaal het volgende kunt laten zien:

een vastgestelde scope en continuïteitsbeleid;
een actuele BIA en risicobeoordeling;
gekozen strategieën en uitgewerkte plannen;
bewijs van ten minste één oefening met evaluatie;
een interne audit en een directiebeoordeling;
een overzicht van afwijkingen en verbeteracties.

Hoe implementeer je ISO 22301 in het mkb of de zorg?

Voor een organisatie tot ongeveer 100 medewerkers werkt een aanpak in tien stappen, waarbij je klein begint met de processen die er echt toe doen. Proportionaliteit is daarbij het uitgangspunt: de norm vraagt een systeem dat past bij je omvang en complexiteit.

1. Bepaal de scope en context

Leg vast welke diensten, locaties en processen binnen het systeem vallen. Breng belanghebbenden in kaart, zoals cliënten, zorgverzekeraars, gemeenten, klanten en toezichthouders, en noteer welke eisen zij stellen. Neem hier ook de klimaatvraag uit het amendement mee.

2. Regel betrokkenheid van de directie

Laat de directie het continuïteitsbeleid vaststellen en een eigenaar aanwijzen. In kleine organisaties is dat vaak de kwaliteitsmanager of de security officer die het naast andere taken doet; maak de beschikbare tijd expliciet.

3. Voer de business impact analyse uit

Interview per afdeling de proceseigenaren. Bepaal impact in de tijd, MTPD, RTO, RPO en afhankelijkheden. Beperk je in eerste instantie tot tien à vijftien processen; je kunt later verfijnen.

4. Voer de risicobeoordeling uit

Bekijk welke dreigingen je geprioriteerde processen kunnen raken: ICT uitval, cyberaanvallen, uitval van een sleutelleverancier, personeelstekort, uitval van gebouw of nutsvoorzieningen. Hergebruik je bestaande risicoanalyse als die er is.

5. Kies strategieën en oplossingen

Vergelijk per proces de gewenste RTO met wat je nu feitelijk haalt. Waar het gat zit, kies je een oplossing en weeg je kosten af tegen impact. Leg ook vast welke middelen je in een crisis direct beschikbaar wilt hebben.

6. Leg afspraken met leveranciers vast

Kleinere organisaties zijn vaak sterk afhankelijk van een handvol leveranciers: de ICT beheerder, de leverancier van het ECD of ERP, de telefonieprovider. Controleer of hun hersteltijden passen bij jouw RTO en of dat in het contract staat.

7. Schrijf het crisisplan en de continuïteitsplannen

Maak één crisisplan met rollen, escalatie, communicatie en beslisbevoegdheden. Maak daarnaast korte herstelkaarten per kritisch proces of scenario. Zorg dat ze ook offline beschikbaar zijn.

8. Oefen

Begin met een tafeloefening, test daarna technische herstelprocedures en de bereikbaarheid van het crisisteam. Leg uitkomsten en verbeterpunten vast.

9. Audit en directiebeoordeling

Laat een onafhankelijke interne auditor toetsen of het systeem aan de norm voldoet en werkt. Bespreek de uitkomsten, oefenresultaten en incidenten in de directiebeoordeling en stel bij waar nodig.

10. Onderhoud en verbeter

Plan een jaarlijkse herziening van de BIA en extra herzieningen bij grote wijzigingen, zoals een nieuw ECD, een verhuizing of een nieuwe leverancier. Een continuïteitsplan dat twee jaar niet is bijgewerkt, klopt meestal niet meer.

Wat is de relatie tussen ISO 22301 en ISO 27001?

ISO 27001 vraagt dat je informatiebeveiliging overeind houdt tijdens een verstoring en dat je ICT voorbereid is op continuïteit; ISO 22301 werkt de continuïteit van de hele organisatie uit. De twee normen hebben dezelfde hoofdstukindeling en sluiten op elkaar aan.

In bijlage A van ISO/IEC 27001:2022 staan twee maatregelen die direct over continuïteit gaan (iso.org; uitwerking in ISO/IEC 27002:2022):

A.5.29 Informatiebeveiliging tijdens een verstoring: je plant hoe je het beveiligingsniveau op peil houdt of herstelt terwijl een verstoring loopt.
A.5.30 ICT gereedheid voor bedrijfscontinuïteit: je zorgt dat de ICT die nodig is voor continuïteit vooraf is ingericht, getest en hersteld kan worden binnen de doelen die uit je continuïteitseisen volgen. Deze maatregel is nieuw in de versie van 2022.

Ook A.8.13 (backups van informatie) en A.8.14 (redundantie van informatieverwerkende faciliteiten) hangen samen met de RPO en RTO uit je BIA. Een ISO 27001 auditor zal bij A.5.30 vragen waar je hersteldoelen op gebaseerd zijn. Een BIA is daarvoor het logische antwoord, ook als je geen ISO 22301 certificaat nastreeft.

Wil je weten welke norm voor jouw organisatie het eerst aan de beurt is, lees dan ISO 22301 of ISO 27001: verschillen, overlap en combineren. Voor de ISO 27001 implementatie zelf is er de strategische gids voor ISO 27001 in het mkb.

Hoe verhoudt ISO 22301 zich tot NEN 7510?

NEN 7510 is de norm voor informatiebeveiliging in de zorg en bevat dezelfde continuïteitsmaatregelen als ISO 27002. Een zorgaanbieder met een NEN 7510 certificaat moet dus al aantonen dat informatiebeveiliging en ICT continuïteit geregeld zijn; ISO 22301 verbreedt dat naar de hele zorgverlening.

De huidige versies NEN 7510-1:2024 en NEN 7510-2:2024 zijn op 16 december 2024 gepubliceerd. Deel 1 is het equivalent van ISO 27001, deel 2 combineert ISO 27002 met ISO 27799. Bestaande certificaten moeten uiterlijk 20 februari 2027 zijn omgezet naar de versie van 2024 (NEN, geraadpleegd oktober 2026). In maart 2026 verscheen een amendement op NEN 7510-2; daarin is onder meer bijlage E bijgewerkt, die NEN 7510-2 nu koppelt aan de Cyberbeveiligingswet (NEN, 31 maart 2026).

Voor een zorgorganisatie betekent dit: de BIA en continuïteitsplannen die je voor ISO 22301 maakt, leveren het bewijs voor de continuïteitsmaatregelen in NEN 7510. Andersom kun je de risicoanalyse, documentstructuur en interne audits van je NEN 7510 systeem hergebruiken. Meer over de zorgnorm lees je in de gids voor NEN 7510 certificering en in het artikel over de wijzigingen in NEN 7510:2024.

Wat vraagt de Cyberbeveiligingswet over bedrijfscontinuïteit?

De Cyberbeveiligingswet (Cbw) verplicht organisaties die eronder vallen om onder meer maatregelen te nemen voor bedrijfscontinuïteit, zoals backupbeheer en herstelplannen, en voor crisisbeheer. Dat staat in artikel 21, derde lid, onderdeel c (Staatsblad 2026, 187).

De Cbw is op 15 augustus 2026 in werking getreden, implementeert de Europese NIS2 richtlijn en vervangt de Wbni (Rijksoverheid, 15 augustus 2026). Het Cyberbeveiligingsbesluit bevat de uitvoeringsregels en regelt de inwerkingtreding (Staatsblad 2026, 189). De geconsolideerde wettekst staat op wetten.overheid.nl.

Uit de wet volgt verder dat de maatregelen passend en evenredig moeten zijn en uitgaan van alle gevaren, dus ook stroomuitval of brand. Het bestuur moet de maatregelen goedkeuren, toezien op de uitvoering en voldoende kennis hebben (Rijksoverheid). Organisaties die onder de wet vallen, registreren zich bij het NCSC via mijn.ncsc.nl (NCSC infosheet registratieplicht).

De wet noemt ISO 22301 niet en verplicht geen certificaat. De norm biedt een beproefde structuur om onderdeel c aantoonbaar in te vullen. Gezondheidszorg is een van de sectoren onder de Cbw, maar of jouw organisatie eronder valt, hangt af van sector en omvang. Kleine organisaties, met minder dan 50 medewerkers en een jaaromzet en balanstotaal onder €10 miljoen, vallen er doorgaans buiten, tenzij ze zijn aangewezen (NCSC). Lees hierover valt mijn organisatie onder de Cyberbeveiligingswet en de gids over de Cyberbeveiligingswet en NIS2.

Welke fouten worden vaak gemaakt bij ISO 22301?

De meeste problemen ontstaan als continuïteit een papieren exercitie wordt die losstaat van de dagelijkse operatie. De volgende valkuilen kom je in auditrapporten en vakliteratuur regelmatig tegen.

Beginnen met het plan in plaats van met de BIA. Zonder BIA weet je niet welke processen voorrang hebben en welke hersteltijden nodig zijn, dus ook niet of je plan klopt.
RTO’s die niet haalbaar zijn. Een RTO van twee uur voor een systeem dat je ICT leverancier contractueel binnen 24 uur herstelt, is een wens. Vergelijk altijd met wat leveranciers en techniek feitelijk leveren.
Alleen aan ICT denken. Uitval van mensen, een gebouw of een sleutelleverancier kan net zo ontwrichtend zijn. De norm vraagt naar alle middelen.
Nooit oefenen. Een ongeoefend plan faalt op details: verouderde telefoonnummers, geen toegang tot het plan als het netwerk plat ligt, onduidelijkheid over wie beslist.
Backups maken zonder hersteltest. Pas als je een backup daadwerkelijk hebt teruggezet, weet je of je RPO en RTO realistisch zijn.
Een te brede scope bij de start. Begin met de diensten die er voor cliënten en klanten het meest toe doen. Uitbreiden kan later.
Het plan alleen digitaal bewaren. Bij een ransomware aanval of stroomstoring is een plan op de getroffen server onbereikbaar.

Veelgestelde vragen

Is ISO 22301 verplicht?

Nee. Geen Nederlandse wet schrijft een ISO 22301 certificaat voor. Wel vraagt artikel 21 van de Cyberbeveiligingswet van organisaties die onder die wet vallen om maatregelen voor bedrijfscontinuïteit en crisisbeheer, en klanten of opdrachtgevers kunnen een certificaat contractueel eisen.

Wat is het verschil tussen een BIA en een risicoanalyse?

Een BIA kijkt naar de gevolgen van uitval, ongeacht de oorzaak, en bepaalt hoe snel processen terug moeten zijn. Een risicoanalyse kijkt naar oorzaken: welke dreigingen kunnen tot uitval leiden en hoe groot is die kans. ISO 22301 vraagt beide, in paragraaf 8.2.

Hoe lang duurt een ISO 22301 traject voor een organisatie van 50 medewerkers?

Dat hangt af van de scope en van wat er al ligt. Een organisatie die al een ISO 27001 of NEN 7510 managementsysteem heeft, kan veel hergebruiken. Reken in elk geval met tijd voor minstens één volledige oefencyclus, een interne audit en een directiebeoordeling vóór de certificatieaudit.

Heeft het klimaatamendement uit 2024 gevolgen voor mijn certificaat?

Het amendement voegt toe dat je bepaalt of klimaatverandering een relevant onderwerp is voor je organisatie. Volgens de Britse accreditatieorganisatie UKAS blijven bestaande certificaten geldig zonder heruitgifte. De auditor toetst de nieuwe tekst bij de eerstvolgende audit mee.

Komt er een nieuwe versie van ISO 22301?

Ja. Volgens iso.org staat ISO 22301:2019 op de lijst om herzien te worden en is een derde editie in ontwikkeling als committee draft. Een publicatiedatum is nog niet bekend; tot die tijd is de versie uit 2019 met amendement 1 de geldende norm.

Wil je weten hoe je bedrijfscontinuïteit proportioneel inricht en of een ISO 22301 certificaat voor jouw organisatie zinvol is? Op de pagina over ISO 22301 begeleiding door Novins lees je hoe we organisaties helpen met een BIA, continuïteitsplannen en de weg naar certificering.

Bronnen

ISO 22301:2019, Security and resilience, Business continuity management systems, Requirements (iso.org, geraadpleegd oktober 2026)
ISO 22301:2019/Amd 1:2024, Climate action changes (iso.org, februari 2024)
IAF/ISO Joint Communiqué on the addition of Climate Change considerations to Management Systems Standards (22 februari 2024)
UKAS Technical Bulletin, Inclusion of Climate Change considerations within Management System Standards (27 februari 2024)
ISO/CD 22301, derde editie in ontwikkeling (iso.org, geraadpleegd oktober 2026)
NEN-EN-ISO 22301:2019 (NEN, 1 november 2019)
NEN-EN-ISO 22301:2019/A1:2024 (NEN, 1 oktober 2024)
NEN-EN-ISO 22313:2020, Richtlijnen voor het gebruik van ISO 22301 (NEN, 1 april 2021)
ISO/TS 22317:2021, Guidelines for business impact analysis (iso.org, november 2021)
ISO 22300:2025, Security and resilience, Vocabulary (iso.org, 6 november 2025)
ISO/IEC TS 17021-6:2014, competentie voor audit en certificatie van BCMS (iso.org, december 2014)
ISO/IEC 27001:2022 (iso.org, geraadpleegd oktober 2026)
ISO/IEC 27002:2022 (iso.org, februari 2022)
NEN 7510: Informatiebeveiliging in de zorg (NEN, geraadpleegd oktober 2026)
NEN 7510-2 geactualiseerd met amendement (NEN, 31 maart 2026)
Cyberbeveiligingswet, Staatsblad 2026, 187 (officielebekendmakingen.nl)
Cyberbeveiligingsbesluit, Staatsblad 2026, 189 (officielebekendmakingen.nl, besluit van 8 juli 2026)
Cyberbeveiligingswet, geconsolideerde tekst (wetten.overheid.nl, geldend vanaf 15 augustus 2026)
Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf vandaag van kracht (Rijksoverheid, 15 augustus 2026)
Infosheet registratieplicht Cyberbeveiligingswet (NCSC, september 2025)