Ruim zestig procent van de Nederlandse bedrijven die door brand worden getroffen, gaat binnen twee jaar failliet. Dat cijfer van verzekeraar Interpolis, aangehaald door KVK, gaat niet over de brand. Het gaat over wat erna gebeurt — of juist niet gebeurt.

Het korte antwoord: in een bedrijfscontinuïteitsplan hoort alleen wat u in de eerste 24 tot 48 uur na een verstoring daadwerkelijk gebruikt. Dat zijn zes dingen: activatiecriteria, een lijst kritieke processen met hersteltijden, bereikbaarheidsgegevens, beslisdrempels, afhankelijkheden met leveranciersafspraken en communicatiekaders. Alles wat u onder druk niet openslaat — beleidsverklaringen, risicoverhalen, organogrammen zonder mandaat — hoort in een bijlage of nergens.

Waarom het meeste continuïteitsplan nooit gelezen wordt

Continuïteitsplannen groeien. Er komt een auditvraag bij, een sectorleidraad, een template van een adviseur. Na drie jaar ligt er een document van tachtig pagina’s dat formeel klopt en operationeel onbruikbaar is. Op het moment dat het ertoe doet — de servers staan stil, de telefoon gaat, iemand moet binnen twintig minuten besluiten of de productie doorgaat — slaat niemand pagina 47 op.

Dat is geen kritiek op de schrijver. Het is een ontwerpfout. Een bedrijfscontinuïteitsplan is geen naslagwerk maar een beslisinstrument. De juiste toets is niet „staat alles erin?” maar: kan iemand die om drie uur ’s nachts wordt gebeld hiermee binnen tien minuten de eerste drie besluiten nemen?

Die vraag verandert de inhoudsopgave volledig. Hieronder staat wat de toets overleeft.

De harde kern: zes onderdelen die u echt gebruikt

1. Activatiecriteria — en wie mag activeren

Het NCSC zet dit niet voor niets bovenaan in zijn raamwerk: beschrijf de voorwaarden waaronder het plan in werking treedt, en wanneer het weer gedeactiveerd wordt. In de praktijk is dit het onderdeel dat het vaakst ontbreekt. Gevolg: een verstoring sluimert uren door als „incident” omdat niemand bevoegd is het woord crisis te gebruiken. Formuleer harde drempels — uitval langer dan X uur, meer dan Y klanten geraakt, aantasting van een vitaal proces — en noem bij naam wie mag opschalen, plus twee plaatsvervangers.

2. Kritieke processen met MTA, RTO en RPO

Niet alle processen zijn gelijk. Uit de business impact analyse volgt per proces hoe lang uitval acceptabel is (MTA), binnen welke tijd het hersteld moet zijn (RTO) en hoeveel dataverlies aanvaardbaar is (RPO). Deze drie getallen zijn de ruggengraat van uw plan: ze bepalen de herstelvolgorde. Zonder die volgorde discussieert het crisisteam in de eerste uren over prioriteit in plaats van uit te voeren.

3. Bereikbaarheid die ook zonder uw netwerk werkt

Medewerkers, crisisteam, belangrijkste klanten en leveranciers, verzekeraar, bank, gemeente, IT-partner. KVK adviseert het plan digitaal én uitgeprint beschikbaar te houden, ook thuis bij enkele medewerkers. Dat klinkt ouderwets tot het moment dat ransomware ook uw adressenlijst versleutelt. Eén vraag bepaalt de bruikbaarheid: staat deze lijst op een plek die onafhankelijk is van het systeem dat kan uitvallen?

4. Een beslisblad met drempels, niet met rollen

De meeste plannen beschrijven wie waarover gaat. Weinig plannen beschrijven waar de grens ligt. Mag de operationeel manager zelfstandig een noodleverancier inschakelen tot een bepaald bedrag? Wie besluit tot het stilleggen van een lijn? Wanneer gaat er een melding naar de toezichthouder? Een half A4 met drempelbedragen en escalatiegrenzen bespaart in de eerste uren meer tijd dan dertig pagina’s procesbeschrijving.

5. Afhankelijkheden — en wat er contractueel over is vastgelegd

Het NCSC wijst er nadrukkelijk op dat afspraken met IT-dienstverleners in een SLA horen: hoe lang een proces onbeschikbaar mag zijn, wie waarvoor verantwoordelijk is, hoe vaak back-ups worden getest. Zet in uw plan niet alleen wie uw leveranciers zijn, maar wat u van hen mag verwachten en binnen welke termijn. Een afhankelijkheid zonder afdwingbare hersteltijd is geen maatregel maar een aanname.

6. Communicatiekaders, geen communicatieplan

Volledige communicatieplannen zijn in het moment zelf te traag. Wat werkt: een holding statement dat binnen tien minuten aanpasbaar is, een vaste volgorde van doelgroepen (medewerkers eerst, dan klanten, dan keten, dan pers), één woordvoerder met plaatsvervanger, en de wettelijke meldroutes met hun termijnen. De rest is redactiewerk dat u later doet.

Wat er meestal wél in staat, maar zelden helpt

Uitgebreide risicoanalyses in de lopende tekst. De analyse is het fundament, maar hoort als bijlage of in een apart document. In het plan telt alleen de uitkomst.
Beleidsverklaringen en managementintenties. Nuttig voor een audit, waardeloos om drie uur ’s nachts.
Organogrammen zonder mandaat. Een kader met een functietitel zegt niets als er geen bevoegdheid en geen plaatsvervanger bij staat.
Scenario-encyclopedieën. Vijftien uitgeschreven scenario’s suggereren dekking, maar de echte crisis lijkt op geen van vijftien. Werk met een klein aantal generieke uitvalstypen — locatie, IT, mensen, leverancier, reputatie — en maak die diep.
Ongewijzigde templates. Een sjabloon dat u niet heeft aangepast, beschrijft het bedrijf van iemand anders.

Bedrijfscontinuïteitsplan of noodplan? Het verschil dat vaak misgaat

KVK maakt het onderscheid scherp: een noodplan (ook wel calamiteitenplan of bhv-plan) beschrijft wat u doet tijdens de noodsituatie — ontruiming, hulpdiensten, taken bij brand of een gaslek. Het bedrijfscontinuïteitsplan gaat over de periode daarna: hoe blijft u leveren, betalen, communiceren en herstellen. Beide zijn nodig en ze sluiten op elkaar aan.

De veelgemaakte fout is er één document van maken. Het resultaat helpt in geen van beide fasen: te operationeel voor de continuïteitsvraag, te bestuurlijk voor de eerste tien minuten. Houd ze gescheiden en verwijs over en weer.

ISO 22301: het plan is een uitkomst, geen startpunt

De internationale standaard voor business continuity management, ISO 22301, behandelt het continuïteitsplan niet als het begin van het werk maar als het product ervan. Eerst context en scope, dan de business impact analyse en risicobeoordeling, dan de continuïteitsstrategie, en pas daarna de plannen en procedures. Vervolgens komt het onderdeel dat in de praktijk het vaakst sneuvelt: oefenen, evalueren en herzien.

Die volgorde verklaart waarom veel plannen dik en toch zwak zijn. Ze zijn geschreven vóór de analyse in plaats van erna, en bevatten daarom alles — omdat niets is weggestreept. Wie de standaard aanhoudt, streept vanzelf. Een uitgewerkt stappenplan voor het opstellen zelf staat in onze gids bedrijfscontinuïteitsplan opstellen.

Vanaf 15 augustus 2026 staat continuïteit ook in de wet

Op 15 augustus 2026 treden de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten in werking. Voor ruim achtduizend Nederlandse organisaties gelden vanaf dat moment een zorgplicht, een meldplicht en een registratieplicht — zonder overgangstermijn.

Belangrijk is de precieze lezing. Een bedrijfscontinuïteitsplan is voor Nederlandse ondernemers niet algemeen wettelijk verplicht; KVK stelt dat expliciet. Maar valt uw organisatie onder de Cyberbeveiligingswet, dan is bedrijfscontinuïteit — inclusief back-upbeheer en crisisbeheer — een van de maatregelen die onder de zorgplicht vallen. Of u onder de wet valt, hangt af van sector en omvang en verdient een toets per geval. Wat in beide gevallen niet verandert: het plan moet aantoonbaar werken, niet alleen bestaan.

De vormtest: is uw plan besluitklaar?

Zeven vragen. Bij minder dan vijf keer ja is het plan een document, geen instrument.

Staat de activatiedrempel op de eerste pagina, met naam en plaatsvervanger?
Kunt u binnen dertig seconden de herstelvolgorde van uw vijf belangrijkste processen aanwijzen?
Is de bereikbaarheidslijst beschikbaar zonder uw eigen netwerk?
Staan er bedragen en grenzen in, niet alleen rollen?
Is het plan in het afgelopen jaar geoefend en zijn de bevindingen verwerkt?
Weet uw grootste klant welk continuïteitsniveau u toezegt — en weet ú dat van uw leveranciers?
Past de operationele kern op maximaal vijf pagina’s?

Veelgestelde vragen

Hoe lang moet een bedrijfscontinuïteitsplan zijn?

De operationele kern hoort op maximaal vijf pagina’s te passen; alles wat toelichting, analyse of verantwoording is, gaat naar bijlagen. Niet omdat kort beter is, maar omdat de kern onder tijdsdruk vindbaar moet blijven.

Is een bedrijfscontinuïteitsplan verplicht in Nederland?

Voor ondernemers in het algemeen niet. Voor organisaties die onder de Cyberbeveiligingswet vallen, is bedrijfscontinuïteit wel onderdeel van de zorgplicht. Daarnaast leggen klanten en verzekeraars steeds vaker contractuele eisen op — in de praktijk vaak dwingender dan de wet.

Hoe vaak moet het plan worden herzien?

Het NCSC koppelt herziening aan verandering: bij wijzigingen in de organisatie, in het dreigingsbeeld of in de geïnventariseerde risico’s, en na elke toets. Een jaarlijkse actualisatie is de ondergrens, geen doel op zich.

Wat is het verschil tussen een BCP en een disaster recovery plan?

Een disaster recovery plan is technisch en gericht op het herstellen van IT: netwerken, servers, applicaties. Het bedrijfscontinuïteitsplan is breder en organisatorisch: het beschrijft hoe de onderneming blijft functioneren, met of zonder die systemen. Het DRP is een onderdeel van het BCP, geen alternatief ervoor.

Lessen voor uw organisatie

Het cijfer waarmee dit artikel begon — ruim zestig procent faillissement binnen twee jaar na brand — beschrijft geen gebrek aan plannen. Het beschrijft een gebrek aan bruikbare plannen. Tussen die twee zit de hele opgave.

Drie concrete stappen:

Print uw huidige bedrijfscontinuïteitsplan en streep door wat u in het eerste etmaal niet opslaat. Wat overblijft, is uw echte plan.
Zet de zes kernonderdelen uit dit artikel vooraan, in die volgorde. Verplaats de rest naar bijlagen.
Toets het resultaat met een tafeloefening van drie uur, met de mensen die in het echt beslissen — en verwerk de bevindingen binnen twee weken.

Een plan bewijst zich niet in de inhoudsopgave maar in de eerste 24 uur. Wilt u weten of het uwe die toets doorstaat, dan is een crisissimulatie de snelste manier om erachter te komen; voor het vooraf doordenken van uitvalscenario’s helpt continuïteitsscenario-planning.

Bedrijfscontinuïteitsplan: wat er echt in hoort (en wat eruit kan)