Crisismanagement is de manier waarop een organisatie beslissingen neemt wanneer een situatie de normale processen en plannen overstijgt. Het is niet hetzelfde als incidentrespons, waarbij een bekend probleem wordt aangepakt met behulp van bekende procedures. Een crisis wordt gekenmerkt door onzekerheid en door de mate waarin keuzes moeten worden gemaakt: onvolledige informatie, tegenstrijdige prioriteiten en gevolgen die verder reiken dan de operationele processen en ook de reputatie, regelgeving en het vertrouwen beïnvloeden.
- Het onderscheidende kenmerk is de beslissingsbevoegdheid, niet de omvang van de gebeurtenis.
- Een uitgeroepen crisis schort de normale besluitvormingsprocessen op en vervangt deze doelbewust.
- De drempelwaarden moeten van tevoren worden afgesproken, anders kan niemand iets verklaren.
- Communicatie is onderdeel van de reactie, geen bijzaak.
- Wat achteraf wordt beoordeeld, is de kwaliteit van de beslissingen, niet alleen de uitkomst.
Wat is crisismanagement?
De meeste organisaties beschikken over een continuïteitsplan en een incidentprocedure, en gaan ervan uit dat een crisis daarmee voldoende is afgedekt. Meestal is dat niet het geval. Continuïteitsplannen vertellen mensen hoe ze moeten blijven werken wanneer een bekende activiteit wordt onderbroken. Incidentprocedures vertellen technische teams hoe ze een bekend probleem moeten beheersen. Geen van beide geeft antwoord op de vraag wat te doen wanneer de situatie onbekend is, de informatie tegenstrijdig is en de keuzes afwegingen met zich meebrengen die in geen enkele procedure zijn voorzien.
Dat is de leemte die crisismanagement opvult. Het is een kleine set vooraf overeengekomen afspraken: wie een crisis kan uitroepen, wie bijeenkomt, wat die groep mag beslissen zonder terug te hoeven naar de normale bestuursstructuur, en hoe beslissingen en de onderbouwing ervan worden vastgelegd terwijl ze worden genomen.
Het staat los van, en niet geïntegreerd in , de bedrijfscontinuïteit . Het continuïteitsplan kan tijdens een crisis weliswaar worden ingeroepen, en dat gebeurt vaak, maar de crisis vormt de laag boven de beslissing over wat de organisatie doet met de gevolgen die het plan niet dekt.
Wanneer wordt een incident een crisis?
Organisaties maken in beide richtingen fouten. Sommige roepen een crisis uit voor alles wat zichtbaar is, wat het team uitput en het mechanisme ondermijnt. Andere roepen er nooit een uit, waardoor leidinggevenden improviseren met een procedure die ontworpen was voor iets kleiners. De oplossing is om de grenzen vooraf te definiëren, op de as die ze daadwerkelijk scheidt: wie moet de beslissing nemen?
| Incident | Crisis | Ramp | |
|---|---|---|---|
| Wie beslist? | Het dienstdoende team, binnen de bestaande procedures en gedelegeerde bevoegdheden. | Een bijeengeroepen crisisteam met vooraf expliciet verleende bevoegdheden. | Leidinggevend personeel, vaak in samenwerking met externe bureaus. |
| Wat staat er op het spel? | Servicekwaliteit en een duidelijk omschreven operationeel resultaat. | Meerdere uitkomsten tegelijk, waaronder reputatie, positie bij regelgevende instanties en vertrouwen. | Fysieke veiligheid, de levensvatbaarheid van een locatie of van de organisatie. |
| Waarvoor het antwoord geoptimaliseerd wordt | De dienstverlening zo snel mogelijk herstellen, voor zover de procedure dat toelaat. | De minst slechte algehele positie, waarbij bewust enkele verliezen worden geaccepteerd. | Levensveiligheid staat voorop, daarna inperking, en dan pas al het andere. |
| Waar het gedocumenteerd is | Incidentprocedures en draaiboeken. | Crisisregelingen: drempelwaarden, team, beslissingsbevoegdheid, logboek. | Nood- en evacuatieplannen, extern gecoördineerd. |
| Hoe het eindigt | De dienstverlening is hersteld en het ticket is gesloten. | Een besluit om af te treden, genomen door dezelfde autoriteit die het had aangekondigd. | Externe goedkeuring, gevolgd door een lang herstel. |
De middelste kolom is degene die de meeste organisaties niet hebben opgeschreven. Merk ook op dat de ernst niet de as is. Een kleine technische storing kan een crisis worden als de gevolgen groot zijn en de juiste reactie echt onduidelijk is, terwijl een grote storing met een geoefende tijdelijke oplossing gedurende de hele periode een incident kan blijven.
Er zit een groter geheel achter.
Deze pagina behandelt een onderdeel van bedrijfsveerkracht. Real Resilience – het raamwerk van IO voor het verbinden van beveiliging, privacy en AI-governance – is waar het volledige plaatje samenkomt.
Wie maakt deel uit van het crisisteam en welke beslissingen kunnen zij nemen?
Een crisisteam moet klein genoeg zijn om beslissingen te kunnen nemen. Met meer dan zeven personen wordt het een briefingpubliek en worden de beslissingen elders in een rustiger gesprek genomen. Het meest nuttige wat je van tevoren kunt doen, is vastleggen wat elke rol mag doen zonder verdere goedkeuring te vragen, en wat elke rol absoluut niet mag doen.
| Rol | Mag alleen beslissen | Zou niet moeten gebeuren |
|---|---|---|
| Crisisleider | Verklaar en trek je terug, stel prioriteiten en leg je uitgaven vast tot een overeengekomen limiet. | De leiding over een werkstroom is voor iedereen weggelegd. De taak van de teamleider is om beslissingen te nemen, niet om problemen op te lossen. |
| Operaties | Activeer continuïteitsregelingen en herverdeel mensen over de verschillende activiteiten. | We wachten tot het technische plaatje compleet is voordat we met alternatieve oplossingen beginnen. |
| Technologie | Technische beheersing en herstelprocedures binnen de overeengekomen doelstellingen. | Externe briefings geven of prioriteiten rechtstreeks met klanten bespreken. |
| Communicatie | Geef vooraf goedgekeurde balansberichten uit en kies het kanaal en het tijdstip. | Beweringen doen over de oorzaak of het tijdsverloop die het team niet heeft bevestigd. |
| Juridisch en privacy | Adviseer over meldingsplichten en het bewaren van bewijsmateriaal en geheimhoudingsplicht. | Fungeren als rem op operationele beslissingen die eigenlijk door de leidinggevende genomen zouden moeten worden. |
| Loggist | Leg elke beslissing vast, de informatie waarop deze gebaseerd was en het tijdstip. | Deelnemen aan de beslissingen die ze vastleggen. |
De rol van logboekbeheerder wordt het vaakst over het hoofd gezien, terwijl het tegelijkertijd de meest betrouwbare is. Een nauwkeurige registratie van wat er toen bekend was, stelt je in staat een redelijke beslissing te verdedigen die achteraf verkeerd uitpakt en die je vrijwel onmogelijk kunt reconstrueren. Elke rol heeft bovendien een aangewezen plaatsvervanger nodig, want een crisis die om twee uur 's nachts of tijdens een feestdag begint, is geen uitzondering.
Hoe wordt een crisis in de praktijk aangepakt?
De onderstaande reeks stappen is geen procedure die strikt gevolgd moet worden. Het is een set acties die een verantwoordelijke nodig hebben, omdat crises in de praktijk eerder op de overgangen dan midden in een activiteit misgaan.
Een verklaring is de stap die bepaalt hoe de rest verloopt. Zolang iemand met autoriteit de situatie niet als crisis bestempelt, blijft de organisatie de normale procedures toepassen op een abnormale gebeurtenis, en elk uur dat daaraan wordt besteed, beperkt de mogelijkheden. Daarom moet de drempel een naam hebben en een persoon die eraan is gekoppeld, in plaats van te vertrouwen op een oordeel op het moment zelf.
Beslissen en communiceren gaan hand in hand, niet na elkaar. Wachten op zekerheid voordat je iets zegt, is op zich al een beslissing, en meestal de verkeerde, omdat de stilte dan wordt opgevuld met de verhalen van anderen.
Het activeren van het bedrijfscontinuïteitsplan is doorgaans een van de eerste beslissingen van het crisisteam, en geen apart proces dat parallel loopt aan het plan. Het crisisteam beslist wat de organisatie doet met de gevolgen die het plan niet dekt.
Wat moet crisiscommunicatie allemaal omvatten?
Vier doelgroepen, met verschillende behoeften en verschillende tijdschema's. Medewerkers moeten weten wat ze moeten doen en zeggen als ze ernaar gevraagd worden, en ze moeten die informatie als eerste ontvangen, omdat ze ernaar gevraagd zullen worden. Klanten moeten in duidelijke bewoordingen weten wat er beïnvloed wordt en wat ze kunnen verwachten, voordat ze het elders te weten komen. Leveranciers en partners moeten mogelijk actie ondernemen. Regelgevende instanties en toezichthouders hebben verplichtingen, en welke daarvan van toepassing zijn, hangt af van de aard van de gebeurtenis.
Wat die laatste groep betreft, wees precies over wat er daadwerkelijk op u van toepassing is, in plaats van uit te gaan van een algemene verplichting. Wanneer het incident een inbreuk op persoonsgegevens betreft, stelt de Britse AVG een meldingstermijn van 72 uur vast vanaf het moment dat men zich bewust wordt van de inbreuk, indien de inbreuk de risicodrempel overschrijdt. Sectorale regelgeving kent eigen regelingen, en organisaties die onder NIS 2 vallen, moeten aparte meldingsprocedures volgen zoals beschreven in de NIS 2-richtlijnen voor crisismanagement . Welke van deze regels op u van toepassing is, is iets wat u van tevoren moet vaststellen, want midden in een crisis is geen goed moment om dat te doen.
Bereid tussentijdse verklaringen voor voordat u ze nodig hebt. Geen gedetailleerde scripts, die toch nooit bij de situatie passen, maar goedgekeurde structuren waarmee de communicatie binnen het eerste uur iets accuraats kan overbrengen zonder dat er een redactiecommissie bijeengeroepen hoeft te worden.
Start uw gratis proefperiode
Wil je verkennen?
Meld u vandaag nog aan voor uw gratis proefperiode en maak kennis met alle compliance-functies die ISMS.online te bieden heeft
Hoe pas je crisismanagement toe?
Technische hersteltests en crisisoefeningen zijn verschillende activiteiten en de ene vervangt de andere niet. Een hersteltest bewijst dat een systeem weer online komt. Het zegt niets over de vraag of uw leidinggevenden een omstreden beslissing kunnen nemen met onvolledige informatie terwijl de telefoon rinkelt. De vijf niveaus van technische tests worden behandeld in het rampenherstelplan.
Crisisoefeningen werken anders. Ze zijn gebaseerd op scenario's, houden bewust informatie achter en de waarde ervan schuilt in het ongemak. Een nuttige oefening plaatst het crisisteam in een ruimte met een scenario zonder eenduidige oplossing, voegt halverwege nieuwe informatie toe die een eerdere beslissing ongeldig maakt, en vereist dat ze onder tijdsdruk extern communiceren. Wat je test, is of de autoriteit duidelijk is, of de drempelwaarden betekenis hebben en of mensen kunnen beslissen zonder unanieme overeenstemming.
Twee gewoontes maken oefeningen waardevol. Gebruik scenario's die plausibel zijn voor uw organisatie in plaats van dramatische, en neem er minstens één op waarin het juiste antwoord is om een verlies te accepteren. Teams die alleen maar scenario's hebben geoefend waarbij verlies te boven komt, aarzelen vaak wanneer een echt offer vereist is. Leg de beslissingen vast en evalueer ze achteraf op basis van de onderliggende redenering, niet op basis van de vraag of de uitkomst toevallig goed was.
Hoe hangt crisismanagement samen met bedrijfsveerkracht?
Crisismanagement is de ultieme test of goed bestuur daadwerkelijk iets heeft opgeleverd. Alles wat het crisisteam op de dag zelf nodig heeft, is ofwel van tevoren geregeld, ofwel niet beschikbaar: weten welke activiteiten belangrijk zijn, welke leveranciers erachter zitten, welke gegevens erbij betrokken zijn, wie waarvoor verantwoordelijk is en wat je klanten al hebt beloofd te doen.
De Resilience Loop beheert informatiebeveiliging volgens ISO 27001 , gegevensprivacy volgens ISO 27701 en AI-governance volgens ISO 42001 als één samenhangend systeem. Een crisis blijft zelden beperkt tot één van deze domeinen. Een ransomware-aanval is tegelijkertijd een beveiligingsincident, een privacykwestie met gevolgen voor de meldingsplicht en een continuïteitsprobleem. Een team dat drie afzonderlijke systemen moet raadplegen om vast te stellen welke gegevens erbij betrokken zijn, verliest kostbare tijd die het zich niet kan veroorloven. Door ze als één operationeel model te beheren, is het antwoord binnen enkele minuten beschikbaar. De bredere structuur is uiteengezet in het raamwerk voor bedrijfsveerkracht.
Hoe bewijs je dat je crisismanagement werkt?
Crisisregelingen zijn een van de moeilijkst te bewijzen zaken, omdat je een capaciteit wilt aantonen in plaats van een document. Wat je wel kunt aantonen: de regelingen zelf met data en goedkeuring, de drempelwaarden en wie welke bevoegdheid heeft, oefenverslagen met deelnemers en scenario's, de besluitvormingslogboeken van oefeningen en van daadwerkelijke gebeurtenissen, de bevindingen en de wijzigingen die daaruit voortvloeien.
Het beslissingslogboek is het meest overtuigende document dat je in handen kunt hebben, en het document dat niemand achteraf produceert. Het is ook hetgeen dat een organisatie die oefent het duidelijkst onderscheidt van een organisatie die een plan heeft. Hoe je bewijsmateriaal kunt verzamelen als bijproduct van het werk in plaats van het later te verzamelen, wordt uiteengezet in ' Hoe je veerkracht kunt aantonen' , en de Veerkrachtscore biedt je een basislijn om mee te meten.
Waarom kiezen voor ISMS.online voor crisismanagement?
Een crisisteam handelt op basis van de informatie die het in de eerste tien minuten aantreft. ISMS.online is zo ontworpen dat die informatie al beschikbaar is.
- Een bepaalde opvatting hangt af van watActiviteiten, systemen, leveranciers en gegevens worden samen in kaart gebracht, zodat vragen over de scope direct beantwoord worden.
- Rollen en bevoegdheden vastgelegd: benoemde eigenaren en afgevaardigden met beoordelingsdata, zodat de teamsamenstelling actueel is in plaats van historisch.
- Oefen- en besluitvormingsverslagenLeg scenario's, deelnemers, beslissingen en bevindingen vast op dezelfde plek als de afspraken.
- Meldingscontext in de handDe verplichtingen die verbonden zijn aan uw raamovereenkomsten en contracten worden bewaard in hetzelfde archief als het incident, en niet in een apart dossier.
- Eén set besturingselementen, elk framework: eenmaal in kaart brengen en hergebruiken voor ISO 22301, ISO 27001, ISO 27701 en ISO 42001.
- Correctieve maatregelen gevolgd tot de afrondingDe bevindingen van een oefening worden omgezet in werk met een opdrachtgever, niet in een alinea in een rapport.
- Ontwikkeld voor de Britse en gereguleerde markten.: ontworpen voor organisaties die veerkracht moeten tonen om contracten te winnen en te behouden.
Bekijk hoe alles samenhangt op het platform voor bedrijfscontinuïteit , of vraag een demo aan.
Veelgestelde vragen
Wat is het verschil tussen crisismanagement en incidentrespons?
Incidentrespons behandelt een bekend probleem volgens vastgestelde procedures, waarbij de bevoegdheid al is gedelegeerd aan het dienstdoende team. Crisismanagement behandelt situaties waarin het probleem onbekend is, de informatie onvolledig is en de keuzes afwegingen met zich meebrengen waarvoor geen procedure is voorzien. Het praktische verschil zit hem in het niveau waarop beslissingen worden genomen en hoeveel beoordelingsvrijheid de hulpverleners hebben.
Wie zou een crisis moeten kunnen uitroepen?
Een klein aantal specifieke personen, elk met een plaatsvervanger, en idealiter inclusief iemand die buiten kantooruren beschikbaar is en geen lid is van de directie. Door de melding te beperken tot één senior medewerker is het mechanisme afhankelijk van de beschikbaarheid van die persoon. De drempelwaarde moet schriftelijk worden vastgelegd, zodat de melding een erkenning is van een vastgestelde situatie en geen carrièrebeslissing.
Hebben we een apart crisismanagementplan nodig?
Je hebt aparte afspraken nodig, maar die moeten kort zijn. De nuttige inhoud omvat drempelwaarden, het team en hun beslissingsbevoegdheden, contactmogelijkheden die werken wanneer systemen uitvallen, communicatiestructuren en hoe beslissingen worden vastgelegd. Een lang crisisdocument is een teken dat continuïteitsinhoud erin is gedupliceerd. Verwijs naar het continuïteitsplan en de herstelhandleidingen in plaats van ze te herhalen.
Hoe vaak moet het crisisteam oefenen?
Minstens jaarlijks met het daadwerkelijke team in de ruimte, en opnieuw wanneer de samenstelling wezenlijk verandert. Omdat crisisteams uit senior medewerkers bestaan, worden oefeningen als eerste uitgesteld, en een team dat niet samen heeft geoefend is in feite niet meer dan een lijst met namen. Kortere, frequentere scenariobesprekingen zijn gemakkelijker te houden en brengen toch de meeste onduidelijkheden over bevoegdheden aan het licht.
Is crisismanagement gestandaardiseerd?
Er bestaat geen specifieke norm die hieraan is gewijd, maar het onderwerp komt wel in verschillende normen aan bod. ISO 22301 behandelt de structuur en communicatie rondom incidentrespons als onderdeel van een bedrijfscontinuïteitsbeheersysteem, en ISO 22361 biedt specifieke richtlijnen voor crisismanagement. ISO 27001 draagt bij door middel van de beheersmaatregelen voor incidentenbeheer op het gebied van informatiebeveiliging. Werken volgens ISO 22301 biedt u een beheersysteem dat ervoor zorgt dat de afspraken worden nageleefd, geoefend en geëvalueerd.
