Breng de bedrijfsgevolgen van één kritieke afhankelijkheid in kaart
Start met een proces dat belangrijk is voor klanten, medewerkers of de dienstverlening. Volg daarna welke applicaties en externe partijen nodig zijn. Een leverancierslijst op basis van factuurbedragen laat deze afhankelijkheden niet vanzelf zien.
Lees de aanpak en aandachtspunten
Het NCSC adviseert bij leveranciersincidenten de belangrijke processen en informatie te verbinden met de partijen waarvan zij afhankelijk zijn. Een bedrijfsimpactanalyse helpt bepalen wat langere uitval veroorzaakt. Bespreek bijvoorbeeld het effect na een uur, een werkdag en meerdere dagen, zonder deze tijdvakken als norm te behandelen.
Controleer verborgen afhankelijkheden. Twee verschillende diensten kunnen dezelfde aanmeldvoorziening, cloudleverancier of beheerpartij gebruiken. Een reserveoplossing kan daardoor gelijktijdig uitvallen. Vraag de verantwoordelijke welke afhankelijkheden bekend zijn, welke informatie ontbreekt en welke aannames u voorlopig gebruikt. Noteer ook wie die aannames bij een wijziging opnieuw beoordeelt.
Bepaal welke beperkte dienstverlening nog mogelijk is
U hoeft tijdens een verstoring niet altijd alles normaal te blijven doen. Bepaal welke taken voorrang krijgen, welke tijdelijk wachten en wanneer de situatie niet meer verantwoord is. De proceseigenaar moet die afweging kunnen uitleggen.
Lees de aanpak en aandachtspunten
Werk een noodwerkwijze uit met de minimaal benodigde informatie, mensen en hulpmiddelen. Dat kan een beperkte planning, handmatige registratie of tijdelijk ander communicatiekanaal zijn. Beoordeel de extra risico’s daarvan: dubbele opdrachten, onvolledige dossiers of toegang tot gegevens buiten de gewone omgeving. Spreek af hoe noodregistraties later worden verwerkt.
Leg ook de grens van de noodwerkwijze vast. Een alternatief dat twee uur bruikbaar is, draagt geen meerdaagse uitval. Beschrijf wanneer extra managementbesluiten nodig zijn, zoals minder opdrachten aannemen of klanten actief informeren. Laat medewerkers niet zelf raden wanneer zij de normale kwaliteits- of veiligheidsgrens overschrijden.
Maak contractafspraken toetsbaar aan de praktijk
Een leverancier kan een snelle reactie beloven zonder een vaste hersteltijd te garanderen. Lees wat precies is afgesproken en onder welke omstandigheden. Controleer of de afspraken passen bij de gevolgen voor uw eigen proces.
Bekijk de uitwerking en de praktische tabel
Het NCSC noemt duidelijke afspraken met IT-dienstverleners en een bedrijfscontinuïteitsplan belangrijke onderdelen van voorbereiding. Bespreek contactroutes, informatie tijdens incidenten, ondersteuning bij herstel en de beschikbaarheid van gegevens. De onderstaande tabel is een praktisch gesprekshulpmiddel; de precieze overeenkomst vraagt beoordeling van uw dienst en verantwoordelijkheden.
Vraag om informatie die een besluit ondersteunt. Een algemene verklaring dat de leverancier back-ups heeft zegt weinig over uw mogelijkheid om dossiers terug te krijgen. Een getoonde export kan meer inzicht geven, mits formaat, volledigheid en toegang duidelijk zijn. Noteer ook welke informatie niet beschikbaar komt en welke onzekerheid daardoor blijft bestaan.
De tabel is opzij te schuiven.
| Onderwerp | Concrete vraag | Bruikbaar bewijs |
|---|---|---|
| Bereikbaarheid | Wie spreken we als de normale support uitvalt? | Gecontroleerde contactroute en vervanging |
| Informatie | Hoe vernemen we impact en verwachte voortgang? | Incidentafspraak met eigenaar en kanalen |
| Gegevens | Welke informatie kunnen we zelf beschikbaar houden? | Beoordeelde export met formaat en actualiteit |
| Noodwerk | Welke taken kunnen tijdelijk doorgaan? | Gedemonstreerde werkwijze en bekende beperkingen |
| Terugkeer | Wie accepteert hervatting en achterstand? | Controlelijst en bevoegd besluit |
Illustratieve casus: een logistieke planner is onbereikbaar
Een fictief transportbedrijf verliest toegang tot zijn planningsplatform. Er bestaat een contractuele beschikbaarheidsafspraak, maar de planners hebben geen actueel overzicht van de laatste wijzigingen. Chauffeurs bellen met verschillende medewerkers voor instructies.
Lees de aanpak en aandachtspunten
In een online oefensessie ontdekt het team dat de noodlijst alleen routes bevat en geen wijzigingen na het ochtendoverleg. Operations besluit welke leveringen eerst worden gecontroleerd. Eén persoon beheert tijdelijke wijzigingen, terwijl een tweede onduidelijke opdrachten verifieert. Het bedrijf legt vast wanneer nieuwe ritten tijdelijk worden uitgesteld.
Na herstel worden noodnotities vergeleken met het platform voordat automatische berichten opnieuw worden verstuurd. De les is een concreet verbeterpunt: de export en overdracht moeten aansluiten op de gekozen noodwerkwijze. Dit voorbeeld is fictief en vereenvoudigd. Het is geen bewezen klantresultaat of complete instructie voor iedere transportomgeving.
Onderscheid tijdelijk doorgaan, herstellen en definitief overstappen
Een tijdelijke workaround, technisch herstel en vertrek bij een leverancier zijn verschillende trajecten. Ze hebben elk een eigen beslisser, informatiebehoefte en doorlooptijd. Maak duidelijk welk traject uw plan voor een bepaald scenario veronderstelt.
Lees de aanpak en aandachtspunten
Het NCSC wijst bij cloud-exit op afspraken over verantwoordelijkheden, ondersteuning, voortgezet gebruik en kosten. Voor uw eigen afweging is vooral van belang of gegevens ook buiten de bestaande dienst bruikbaar zijn. Een bestand kunnen downloaden is nog geen bewijs dat een andere oplossing het correct kan verwerken.
Bespreek wat overstappen praktisch vraagt: mensen, inrichting, afhankelijkheden, contractruimte en controle op de overgezette informatie. Vermijd de aanname dat broncode in bewaring of een tweede licentie automatisch volledige continuïteit oplevert. Laat specialistische technische en contractuele vragen afzonderlijk onderzoeken en neem de uitkomst mee in het bestuursbesluit.
Oefen de keuze en controleer de terugkeer
Een korte online tabletop kan laten zien wie contact opneemt, prioriteiten stelt en de noodwerkwijze activeert. Laat medewerkers daarbij een voorbeeld gebruiken; alleen zeggen dat een export bestaat toont de bruikbaarheid onvoldoende aan.
Lees de aanpak en aandachtspunten
Leg voor hervatting vast welke controles nodig zijn. Zijn de gegevens compleet, zijn tijdelijke acties verwerkt en zijn klanten correct geïnformeerd? Voorkom dat noodregistraties naast het hoofdsysteem blijven bestaan zonder eigenaar. Noteer na een oefening of echt incident welke aannames onjuist waren en wie de afspraken aanpast.
Datajuristen kan helpen leveranciersrisico’s, besluitvorming en continuïteitsafspraken online beoordelen. Uw leverancier en technische verantwoordelijken voeren herstel of migratie uit. Een bruikbaar plan laat bestuur en teams zien wat zij zelf kunnen doen, waar zij afhankelijk blijven en wanneer een nieuw besluit nodig is. Actualiseer het wanneer diensten, processen of verantwoordelijkheden veranderen.
Wat moet in ieder geval zijn geregeld?
Koppel de leverancier aan een concreet kritisch bedrijfsproces.
Leg gevolgen van korte en langere uitval met de proceseigenaar vast.
Controleer gedeelde afhankelijkheden van uw hoofd- en noodoplossing.
Demonstreer de noodwerkwijze met de werkelijk beschikbare informatie.
Verifieer contactroutes en afspraken over incidentinformatie en gegevens.
Benoem criteria en bevoegdheid voor hervatting of overstappen.
Deze uitleg is algemeen en vervangt geen beoordeling van uw specifieke organisatie, wettelijke positie, verwerking of incident.