Operationele veerkracht is het vermogen van een organisatie om operationele verstoringen te voorkomen, zich eraan aan te passen, erop te reageren, ervan te herstellen en ervan te leren, zodat de diensten waarop klanten vertrouwen, blijven functioneren. Britse toezichthouders beschouwen dit nu als een verplichting op bestuursniveau, en niet langer als een taak voor IT-onderhoud.
In de praktijk kan een operationeel veerkrachtig bedrijf vier dingen doen:
- Anticiperen de verstoringen die de belangrijke diensten zouden kunnen stilleggen
- Weerstaan door binnen een overeengekomen schadegrens te blijven
- Herstellen diensten binnen een door het bedrijf vooraf vastgestelde tolerantie.
- Aanpassen en leer ervan, zodat dezelfde verstoring niet twee keer toeslaat.
De verschuiving die de toezichthouders hebben doorgevoerd is subtiel maar belangrijk. In plaats van te vragen "zijn uw systemen veilig?", vragen ze nu "als een dienst uitvalt, hoe groot is dan de schade voor klanten en de markt, en kunt u aantonen dat u binnen de door u gestelde limiet blijft?"
Wat is operationele veerkracht?
Operationele veerkracht is een resultaat, geen beheersmaatregel. Het is de garantie dat een organisatie haar belangrijkste diensten kan blijven leveren, zelfs bij verstoringen, of die verstoringen nu het gevolg zijn van een cyberaanval, een storing bij een derde partij, een mislukte wijziging of een natuurramp. Het gaat ervan uit dat verstoringen zullen plaatsvinden en richt zich op het beperken van de schade, in plaats van te proberen elk incident te voorkomen.
Dat maakt het breder dan IT- rampherstel en specifieker dan algemeen risicomanagement. Het betreft de complete dienstverlening die een klant ontvangt, en de mensen, processen, technologie, faciliteiten en leveranciers die daarachter schuilgaan.
Start uw gratis proefperiode
Wil je verkennen?
Meld u vandaag nog aan voor uw gratis proefperiode en maak kennis met alle compliance-functies die ISMS.online te bieden heeft
Wat zijn de Britse regelgevingen met betrekking tot operationele veerkracht?
Het Verenigd Koninkrijk heeft een van de meest geavanceerde systemen voor operationele weerbaarheid ter wereld. Als u actief bent in de financiële dienstverlening, gelden er meerdere regels tegelijk, die allemaal dezelfde onderliggende logica delen.
| Regulatie | Voor wie het geldt | Wat het vereist |
|---|---|---|
| FCA PS21/3 | Door de FCA gereguleerde bedrijven (banken, verzekeraars, beleggingsondernemingen, betaal- en e-geldbedrijven) | Identificeer belangrijke bedrijfsdiensten, stel impacttoleranties vast, breng in kaart en test, waarbij volledige naleving vanaf 31 maart 2025 wordt verwacht. |
| PRA SS1/21 | Banken, hypotheekbanken en door de PRA aangewezen beleggingsondernemingen | De verwachtingen van de PRA ten aanzien van operationele veerkracht worden afgestemd op de behoeften van de FCA, onder toezicht van de PRA in samenwerking met de FCA. |
| Bank of England | Financiële marktinfrastructuur (betalingssystemen, CCP's, CSD's) | Verwachtingen ten aanzien van de operationele veerkracht van de bedrijven die het financiële systeem draaiende houden. |
| DORA | Financiële instellingen in de EU en hun ICT-leveranciers, waaronder Britse bedrijven die diensten aan de EU leveren. | ICT-risicobeheer, incidentrapportage, veerkrachttesten en risicobeheer met betrekking tot derden, van kracht sinds januari 2025. |
De trend is consistent: meer sectoren, meer controle op derden en een sterkere verwachting dat je veerkracht kunt aantonen in plaats van beweren . De op dreigingen gebaseerde testmethode die de Bank of England via CBEST hanteert, verspreidt dezelfde bewijsgerichte mentaliteit over de hele sector.
Hoe bouw je operationele veerkracht op?
De Britse toezichthouders hebben een duidelijke methode vastgesteld, die net zo goed werkt buiten de financiële sector. Er zijn vijf stappen:
- Identificeer uw belangrijkste zakelijke diensten.: de diensten die, als ze verstoord zouden raken, daadwerkelijke schade zouden toebrengen aan klanten of de markt.
- Stel slagtoleranties in: het maximale niveau van verstoring dat elke dienst kan verdragen voordat de schade onaanvaardbaar wordt, meestal uitgedrukt als een tijdslimiet.
- WereldmapDocumenteer de mensen, processen, technologie, faciliteiten en leveranciers waarvan elke dienst afhankelijk is.
- TestVoer zware maar plausibele scenario's uit om te zien of je binnen de tolerantiegrenzen blijft.
- Zelfevaluatie en bewijsmateriaalNoteer je bevindingen, vul de hiaten aan en zorg voor een actuele en verdedigbare zelfevaluatie.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Elk van deze stappen heeft een gedetailleerde beschrijving. Het raamwerk voor operationele veerkracht zet de zes componenten volledig uiteen, het bewijs dat elke component oplevert en de volgorde waarin ze moeten worden geïmplementeerd.
Operationele veerkracht versus bedrijfscontinuïteit
De twee zijn verwant, maar niet hetzelfde. Bedrijfscontinuïteit is een van de competenties die operationele veerkracht biedt: het richt zich op het draaiende houden van kritieke processen en het herstellen ervan na een incident, en is verankerd in ISO 22301. Operationele veerkracht is de bredere, op resultaten gerichte discipline die de impacttoleranties vaststelt waaraan continuïteit vervolgens moet voldoen. Zie bedrijfsveerkracht versus bedrijfscontinuïteit voor een volledige vergelijking.
Hoe operationele veerkracht past in bedrijfsveerkracht
Operationele veerkracht beantwoordt een specifieke vraag: kunnen uw diensten blijven functioneren? Bedrijfsveerkracht omvat het bredere plaatje en is waar de meeste verstoringen tegenwoordig vandaan komen, met name op het gebied van beveiliging, privacy en AI-risico's. Beheer deze drie als één systeem, de veerkrachtcyclus , en operationele veerkracht wordt veel gemakkelijker te bereiken, omdat u de oorzaken van verstoringen aanpakt in plaats van alleen de reactie te oefenen.
Daarom is operationele veerkracht de toegangspoort tot bedrijfsveerkracht , en daarom zijn de financiële instellingen die het verst gevorderd zijn met PS21/3 ook degenen die investeren in verbonden, certificeerbare governance. Onze gids over veerkracht voor de financiële sector gaat dieper in op deze sector.
Operationele veerkracht per sector
De operationele veerkracht wordt in elke sector anders gecontroleerd. Deze richtlijnen gaan dieper in op wie de vragen stelt en wat men verwacht te zien.
- Financiële diensten en betalingen: Verwachtingen van DORA, FCA en de Bank of England.
- Beheer van IT en software: Het aantonen van veerkracht aan zakelijke klanten die audits bij u uitvoeren.
- Telecommunicatie en netwerken: Verplichtingen en netwerkbeschikbaarheid volgens de Telecoms Security Act.
- Gezondheidszorg en gezondheidstechnologie: NHS DSPT, patiëntveiligheid en klinische continuïteit.
Waarom kiezen voor ISMS.online voor operationele veerkracht?
De meeste tools helpen je om vakjes aan te vinken. ISMS.online helpt je om aantoonbare veerkracht op te bouwen.
- Eén verbonden systeemBeheer informatiebeveiliging, gegevensprivacy en AI-governance samen in één platform, in plaats van drie losgekoppelde tools.
- Certificeerbaar door ontwerpElke actie is gekoppeld aan ISO 27001, ISO 27701, ISO 42001 en ISO 22301, waardoor uw weerbaarheid aantoonbaar is.
- Bewijs op aanvraagToon toezichthouders, auditors en klanten bewijs van veerkracht, geen beloftes.
- Gebaseerd op diepgaande expertise: Begeleide implementatie door echte specialisten, geen geautomatiseerde processen zonder handmatige tussenkomst die de risico's verbergen.
- Continu, niet periodiekEen realtime overzicht van uw risico's en beheersmaatregelen, in plaats van de jaarlijkse hectiek vlak voor een audit.
- Ontwikkeld voor gereguleerde markten.: ontworpen voor organisaties waar veiligheid, privacy en vertrouwen doorslaggevend zijn bij aankoopbeslissingen.
Ontdek hoe het ISMS.online-platform voor bedrijfscontinuïteit in de praktijk werkt.
Veelgestelde vragen
Wat is operationele veerkracht in eenvoudige bewoordingen?
Operationele veerkracht is uw vermogen om de diensten waar mensen van afhankelijk zijn te blijven leveren, zelfs als er iets misgaat. Het gaat ervan uit dat verstoringen zullen voorkomen en richt zich op het beperken van de schade en het snel herstellen, in plaats van te proberen elk incident te voorkomen.
Wat is een stoottolerantie?
Een impacttolerantie is de maximale mate van verstoring die een belangrijke bedrijfsdienst kan verdragen voordat dit onaanvaardbare schade toebrengt aan klanten of de markt. Deze tolerantie wordt meestal vastgesteld als een tijdslimiet, bijvoorbeeld de langste periode dat een betaaldienst niet beschikbaar mag zijn, en biedt het bedrijf een duidelijk doel om te toetsen.
Is DORA ook van toepassing op Britse bedrijven?
Dat kan. DORA is van toepassing op financiële instellingen in de EU en de ICT-aanbieders die hen van diensten voorzien, dus Britse bedrijven met activiteiten in de EU of klanten in de EU vallen vaak onder de reikwijdte van de wet. Britse bedrijven hebben ook hun eigen regelgeving via de FCA en de PRA, dus de meeste bedrijven moeten aan beide regelgevingen tegelijk voldoen.
Wat is het verschil tussen operationele veerkracht en cyberveerkracht?
Cyberweerbaarheid gaat specifiek over het weerstaan van en herstellen van cyberaanvallen. Operationele weerbaarheid is breder: het omvat elke verstoring van belangrijke diensten, ongeacht of de oorzaak een cyberaanval, een leveranciersstoring, een systeemuitval of een fysieke gebeurtenis is. Cyberweerbaarheid is een van de factoren die bijdragen aan operationele weerbaarheid.
