Back-ups, herstelplan en crisisplan: bedrijfscontinuïteit onder de Cbw

Wat staat er in de regels?

De derde zorgplichtmaatregel is "bedrijfscontinuïteit, zoals back-upbeheer en herstelplannen, en crisisbeheer" (artikel 21, derde lid, onder c, Cbw). Artikel 9 van het Cyberbeveiligingsbesluit (Cbb) vraagt:

• schriftelijk bedrijfscontinuïteitsbeleid;
• processen voor het herstellen van systemen en voor het maken en periodiek verifiëren van back-ups van software en gegevens;
• een bedrijfscontinuïteitsplan, een herstelplan en een plan voor crisisbeheer, die u alle drie periodiek test;
• in het crisisplan: taken en bevoegdheden tijdens een crisis, de communicatiemiddelen, en waar passend de noodvoorzieningen zoals beveiligde noodcommunicatie.

Voor telecomaanbieders gaat artikel 4 van de Regeling cyberbeveiliging EZK verder. De back-upprocedures beschrijven van welke software en gegevens u een back-up maakt, met hersteltijden, herstelpunten, bewaartermijnen en waarborgen voor volledigheid, integriteit, vertrouwelijkheid, beschikbaarheid en herstel. Het continuïteitsplan bevat onder meer doel en reikwijdte, taken, contacten en communicatiekanalen, wanneer u het plan activeert en weer stopt, en de benodigde middelen.

Waar maakt een telecombedrijf back-ups van?

• configuraties van routers, switches, firewalls en access-apparatuur;
• de inrichting van SBC's, PBX- of hosted-telefonieplatforms: nummerplannen, trunks, routering, klantinstellingen;
• DNS-zones en IP-adresbeheer;
• het klantportaal, de facturatiegegevens en de klantdatabase;
• beheergereedschap zelf: monitoring, configuratieback-up, wachtwoordkluis;
• documentatie die u bij herstel nodig heeft, zoals netwerktekeningen en contactlijsten. Bewaar die ook buiten uw eigen systemen.

Hersteltijd en herstelpunt

De regeling noemt twee begrippen die u per systeem invult:

• Hersteltijd: hoe snel moet het systeem weer werken?
• Herstelpunt: hoeveel gegevens mag u kwijtraken, gemeten in tijd? Een dagelijkse back-up betekent dat u tot een dag aan wijzigingen kunt verliezen.

Voorbeeld van een overzicht (verzonnen waarden)

Systeem	Hersteltijd	Herstelpunt	Back-up
Core-routerconfiguratie	1 uur	Laatste wijziging	Automatisch na elke wijziging
Telefonieplatform	4 uur	24 uur	Dagelijks, extern bewaard
Klantportaal	1 werkdag	24 uur	Dagelijks

Kies waarden die passen bij uw diensten en uw afspraken met klanten. Leg vast waarom.

Back-ups beschermen

Ransomware probeert ook back-ups te versleutelen of te wissen. Bescherm ze daarom:

• bewaar minstens één kopie offline of onveranderbaar;
• gebruik andere inloggegevens voor de back-upomgeving dan voor gewoon beheer;
• versleutel back-ups met configuraties, want daarin staan vaak geheimen;
• bewaar een kopie op een andere locatie dan het systeem zelf.

Testen: de stap die vaak ontbreekt

Het Cbb vraagt dat u back-ups periodiek verifieert en de plannen periodiek test. Een back-up die u nooit terugzette, is een hoop, geen zekerheid. Ideeën:

• zet elk kwartaal een routerconfiguratie terug op testapparatuur;
• herstel eens per jaar het telefonieplatform in een testomgeving en meet de tijd;
• oefen een crisis aan tafel: "ons datacenter is een dag onbereikbaar, wat nu?";
• leg de uitkomst en verbeterpunten vast.

Crisiscommunicatie bij een telecomstoring

Het crisisplan moet de communicatiemiddelen beschrijven. Voor een VoIP-aanbieder is dat lastig: als uw telefonie uitvalt, belt u elkaar niet via uw eigen dienst. Zorg voor een alternatief, zoals mobiele nummers bij een ander netwerk, een chatgroep buiten uw eigen systemen en een externe statuspagina voor klanten. Leg de belangrijkste nummers ook op papier vast.

Wilt u weten hoe uw continuïteit ervoor staat? Doe de gratis zelfscan of kijk in NIS2 voor internetproviders naar de netwerkkant.

Veelgestelde vragen

Hoe vaak moet ik mijn back-ups testen?

De regels zeggen "periodiek" en noemen geen frequentie. Leg zelf een frequentie vast die past bij het belang van het systeem, bijvoorbeeld per kwartaal voor kritieke configuraties.

Zijn drie losse plannen nodig?

Artikel 9 Cbb noemt een bedrijfscontinuïteitsplan, een herstelplan en een plan voor crisisbeheer. Voor een klein bedrijf mogen die kort zijn, zolang de verplichte onderdelen erin staan.

Telt een back-up bij mijn hostingpartij?

Dat kan, maar u blijft verantwoordelijk. Controleer wat er precies wordt bewaard, hoe lang, hoe snel u kunt herstellen en of u dat zelf kunt testen. Leg dat vast in het contract.