Templates bedrijfscontinuïteitsbeheer: samen werken aan weerbaarheid 

Wat gebeurt er als een cyberaanval je onderwijsinstelling plotseling stillegt? Hoe snel kun je dan herstellen van de crisis? Met een goede voorbereiding op bedrijfscontinuïteit kun je sneller reageren én doorstarten. Daarom ontwikkelde SURF samen met experts uit de sector een praktische set templates voor bedrijfscontinuïteitsbeheer (BCM), speciaal voor onderwijs en onderzoek.

Waarom bedrijfscontinuïteit belangrijk is

Bedrijfscontinuïteit is het vermogen van een organisatie om ook na een verstoring haar diensten te blijven leveren, op acceptabel en vooraf vastgestelde niveau. BCM is het proces waarmee je dat organiseert. Een goed ingericht BCM-proces maakt je instelling veerkrachtig bij incidenten, zodat onderwijs en onderzoek snel weer op gang komen.

Kennis delen in plaat van het wiel opnieuw uitvinden

Kees Kamphuis (CISO bij Hogeschool Windesheim) en Erik Post (security consultant bij Hanze Hogeschool) sloegen de handen ineen om de templates te ontwikkelen. Ze zien samenwerking als een sleutel tot succes.

"Dit is geen onderwerp waarop onderwijsinstellingen met elkaar concurreren. Waarom dan allemaal zelf het wiel uitvinden wanneer je hierop ook kunt samenwerken?", zegt Kamphuis.

Volgens hem levert samenwerken vier duidelijke voordelen op:

1. Je bouwt eigen kennis op én regelt het direct voor de eigen organisatie.
2. Je stelt kennis beschikbaar in de vorm van templates, zodat anderen sneller aan de slag kunnen.
3. Je besteedt publiek geldt efficiënter.
4. Je leert elkaar beter kennen en weet elkaar sneller te vinden in geval van vragen of nood.

"Door samen te werken, worden we als sector weerbaarder."

ISO-gebaseerde templates, toepasbaar in het onderwijs

De ontwikkelde templates zijn gebaseerd op ISO 22301, de internationale norm voor BCM. Ze bestaan uit:

• Een beleidsdocument voor BCM.
• Een format voor een bedrijfsimpactanalyse (BIA).
• Een bedrijfscontinuïteitsplan (BCP).
• Scenariokaarten, o.a voor cyber crisis.
• En een stappenplan voor implementatie.

Kamphuis: "Door de templates te baseren op de ISO norm, zijn ze beter herkenbaar. Ook voor leveranciers en partners."

Post: "We hebben de templates zo eenvoudig mogelijk gehouden. Dat doen we door begrijpelijke taal, alleen opschrijven wat echt nodig is, en ze praktisch toepasbaar en herkenbaar te maken voor het onderwijs".

Uit de praktijk: hoe de templates tot stand kwamen

Kamphuis raakte in 2024 betrokken na een SURF-workshop over BCM. Binnen Windesheim begon hij vervolgens met het opstellen van beleid en voerde hij een BIA uit op een van de bedrijfskritieke processen. Toen de HBO-CISO's vroegen wie mee wilde werken aan een werkgroep over BCM, stapte hij in als inhoudelijk betrokkene én als kartrekker.

Post werkt sinds drie jaar als consultant voor onderwijsinstellingen. Tijdens zijn opdracht bij de Rijksuniversiteit Groningen (RUG) werkte hij aan beleid en schreef hij samen met John Strijker (toen CISO RUG) en Ed de Vries (SURF) aan een nieuwe aanpak. Bij de Hanze Hogeschool bouwde hij dit verder uit in een project dat gericht is op het vergroten van de weerbaarheid.

Kamphuis: "De samenwerking binnen de werkgroep verliep buitengewoon goed. Met z'n drieën - Erik, Ed en ik - hebben we de templates ontwikkeld. Daarnaast was er een groep van zo'n acht vertegenwoordigers uit mbo, hbo en wo die kritisch meelezen en feedback gaven. Daardoor konden we in slechts drie maanden tijd een complete set van templates opleveren."