Een voorbeeld dat u waarschijnlijk herkent: in november staat de jaarlijkse crisisoefening. Er wordt een dag vrijgemaakt, het scenario is nieuw, de energie is goed en de evaluatie levert een lijst met verbeterpunten op. In januari is die lijst nog beschikbaar, in maart weet nog iemand waar het document staat, en in november begint het opnieuw – met een nieuw scenario en dezelfde constateringen.

Eén oefening per jaar levert een herinnering op. Een oefenprogramma levert vermogen op: een reeks momenten waarin elke oefening voortbouwt op de vorige, waarin de leerdoelen over het jaar zijn verdeeld en waarin de acties van de ene sessie het vertrekpunt vormen van de volgende. Het verschil zit niet in meer budget, maar in ritme en opvolging.

Een oefenprogramma als jaarritme

Onderstaande verdeling is een aanbeveling die voor veel middelgrote en grote organisaties werkbaar blijkt – geen norm en geen verplichting. Pas de frequentie aan op uw risicoprofiel en op wat u realistisch kunt dragen:

Elk kwartaal een korte bureautest (30–45 minuten) – één afgebakende vraag, bijvoorbeeld alarmering, bereikbaarheid buiten kantooruren of één overdracht.
Elk halfjaar een tabletop – het team aan tafel met een situatie die tot besluiten dwingt, inclusief evaluatie en acties.
Eén simulatie of grotere oefening per jaar – met tempo, tegenspel en de kanalen die u in het echt ook gebruikt.
Na elk incident een korte evaluatie – ook bij kleine verstoringen, want juist die leveren feitelijk materiaal dat geen scenario kan nabootsen.

Waar het op aankomt: een programma is een plan met data, geen voornemen. Zolang er geen momenten in de agenda staan met een verantwoordelijke erbij, is het een intentie die het eerste drukke kwartaal niet overleeft.

Leerdoelen verdelen over het jaar

Een programma wordt pas sterk wanneer elk moment een eigen vraag heeft. Begin daarom met een korte inventarisatie: welke besluiten in uw organisatie zijn onduidelijk, traag of onvoldoende vastgelegd? Dat levert meestal zes tot tien punten op – ruim genoeg voor een jaar.

Verdeel die punten vervolgens naar zwaarte. Wat in een halfuur te toetsen is, gaat naar een bureautest: bereikbaarheid, alarmeringslijsten, de vraag wie vervangt bij afwezigheid. Wat afweging vraagt, gaat naar een tabletop: mandaatgrenzen, het moment van opschalen, de afstemming tussen continuïteit en communicatie. Wat pas zichtbaar wordt onder druk, bewaart u voor de grote oefening.

Wissel daarbij van thema, zodat u niet elk jaar hetzelfde domein toetst. Een jaar met een keten- en een ICT-thema legt andere zwakke plekken bloot dan een jaar met twee productiescenario’s. De bestuurlijke laag van een ICT-scenario verdient daarbij aparte aandacht; die werkten wij uit in ons artikel over de cybercrisisoefening van IT-incident naar directiebesluit.

Acties als vertrekpunt voor de volgende oefening

Hier ontstaat het verschil tussen losse oefeningen en een programma. Bij een losse oefening eindigt de lijst met verbeterpunten in een verslag. In een programma is die lijst de agenda van het volgende moment: u begint de bureautest of tabletop met de vraag of de acties van vorige keer daadwerkelijk zijn ingevoerd, en u toetst dat in het scenario zelf.

Praktisch betekent dat drie dingen. Elke actie krijgt één eigenaar en een datum. Elke actie krijgt een toetsmoment – bij welke volgende oefening komt dit terug? En elke oefening begint met een korte terugblik van vijf minuten op de vorige lijst, zodat de opvolging zichtbaar wordt voor iedereen aan tafel.

Dat mechanisme voorkomt ook het bekendste patroon: elk jaar dezelfde bevinding, omdat de oefening telkens opnieuw begint. Wie geen opvolging inbouwt, toetst uiteindelijk vooral of het plan bestaat – en dat is precies de schijnzekerheid die u met oefenen wilde wegnemen.

Vastleggen richting audit en toezicht

Een programma is ook het eenvoudigste antwoord op de vraag ‘hoe weet u dat dit werkt’. Houd per oefenmoment een beperkt dossier bij: datum, deelnemers en rollen, leerdoel, wat er is gespeeld, de bevindingen en de actielijst met eigenaren, data en status. Meer is meestal niet nodig, minder maakt het lastig aantoonbaar.

Zet die dossiers op één plek en laat ze samenkomen in een jaaroverzicht: welke momenten hebben plaatsgevonden, welke leerdoelen zijn geraakt, welke acties staan nog open. In beheersnormen als ISO 22301 en bij toezichtkaders zoals NIS2 draait het om precies die combinatie van planning, uitvoering en aantoonbare opvolging – waarbij bestuurders verantwoordelijkheid dragen voor het risicobeheer. Hoe u zo’n overzicht bestuurlijk bespreekt, komt aan de orde in ons artikel over de ISO 22301 management review.

Bepaal samen met uw juridische afdeling welke verplichtingen in uw sector precies gelden; dat verschilt per organisatie en laat zich niet uit een algemeen artikel afleiden.

Het programma in stand houden

Drie praktische maatregelen doen het meeste werk. Zet de data voor het hele jaar in één keer in de agenda, inclusief de bureautests – verplaatsen kan altijd nog, maar een leeg jaar vult zich nooit vanzelf. Wijs één eigenaar aan voor het programma, los van wie de afzonderlijke oefeningen leidt. En koppel de terugkoppeling aan een bestaand overleg, zodat de voortgang niet afhankelijk is van een aparte vergadering die als eerste sneuvelt.

Houd het niveau bovendien haalbaar. Een programma met vier korte momenten dat daadwerkelijk doorloopt, levert meer op dan een ambitieus plan met maandelijkse oefeningen dat in maart stilvalt.

Volgende stap: het zwaarste moment van uw jaar

Staat het ritme, dan is de grote oefening het moment waarop alles samenkomt. Wij ontwikkelen realistische oefenscenario’s en simulaties die aansluiten op de acties uit uw eerdere sessies – zodat het jaarlijkse hoogtepunt toetst wat er in de tussenliggende maanden is opgebouwd.

Veelgestelde vragen

Is vier keer per jaar niet te veel voor onze organisatie?

De genoemde bureautests duren dertig tot vijfenveertig minuten en vragen weinig voorbereiding. De belasting zit in de tabletops en de grote oefening. Begin desnoods met twee korte momenten per jaar en breid uit zodra het ritme staat; een programma dat wordt volgehouden is belangrijker dan een programma dat indrukwekkend oogt.

Wie hoort eigenaar te zijn van het programma?

Meestal de crisiscoördinator of de BCM-functie, met een bestuurlijke opdrachtgever die de data en de opvolging bewaakt. Het belangrijkste is dat het eigenaarschap bij een persoon ligt en niet bij een afdeling, omdat agenda’s anders altijd voorrang krijgen.

Moeten alle oefeningen door externen worden begeleid?

Nee. Bureautests en veel tabletops kunt u zelf draaien, mits de oefenleiding niet meespeelt. Externe begeleiding weegt het zwaarst bij de grote oefening en bij sessies waarin de directie zelf deelneemt en dus niemand intern onbevangen kan sturen.