de vragenlijst vraagt of we een crisisplan hebben voor een cyberincident

Crisisplan valt onder bedrijfscontinuïteit, niet onder incidentrespons

De vraag naar een "crisisplan bij een hack" vraagt in de praktijk naar twee dingen tegelijk, en het antwoord hangt af van welke van de twee je hebt. Het eerste is een continuïteitsplan: hoe blijft de dienstverlening draaien of hoe herstel je die, los van wat er precies is misgegaan. Het tweede is een incidentresponsplan: wie doet wat zodra een hack ontdekt is, wie wordt ingelicht, hoe wordt het incident ingedamd. Veel ondernemers hebben het tweede wel en het eerste niet, of omgekeerd, en vullen dan "ja" in op een vraag die eigenlijk om beide vraagt.

Heb je alleen een informeel plan — een paar afspraken die iedereen kent maar die nergens op papier staan — dan is "nee" meestal het eerlijkste antwoord, met een toelichting dat de aanpak wel bestaat maar niet is vastgelegd. Heb je een continuïteitsplan zonder aparte cybercomponent, kijk dan of dat expliciet een cyberincident als scenario benoemt; zo niet, dan is dat een gat dat de klant vaker signaleert. Dit onderwerp raakt sterk aan zijn er back-ups en een noodvoorziening om de dienstverlening te herstellen en aan is er een procedure voor het behandelen van beveiligingsincidenten — beantwoord die twee eerst, dan valt deze vraag vaak vanzelf op zijn plek.

Waar dit terugkomt in artikel 21 lid 2 NIS2

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemt "business continuity, such as backup management and disaster recovery, and crisis management" als een van de tien verplichte maatregelen — dus continuïteit en crisisbeheer staan daar samen, niet als twee losse eisen. Bijlage A van ISO/IEC 27001 kent een vergelijkbare beheersmaatregel voor ICT-gereedheid bij bedrijfsonderbreking. De Nederlandse Cyberbeveiligingswet, die deze verplichting omzet, treedt op 15 augustus 2026 in werking.