Een crisisplan is een korte, concrete beschrijving van wie wat doet als er iets ernstigs misgaat. Niet de technische herstelstappen, dat is het herstelplan, maar de organisatie eromheen: wie neemt de beslissingen, wie belt de klanten, wie praat met de verzekeraar, wie meldt het bij de Autoriteit Persoonsgegevens. Het bestaat omdat mensen tijdens een crisis slecht nadenken. Wat je vooraf hebt opgeschreven, hoef je op dat moment niet te bedenken.
Voor een MKB-bedrijf is dit relevanter dan het klinkt. Bij een ransomware-aanval staan binnen een uur je medewerkers, je klanten en misschien de pers voor je neus met vragen, terwijl je mail en telefonie mogelijk niet werken. Zonder afspraken ontstaat er ruis: iedereen belt door elkaar, niemand weet wie er beslist over wel of niet betalen, en klanten horen het van een ander. Een plan van twee A4-tjes voorkomt het grootste deel van die schade.
Wat er minimaal in hoort: een crisisteam met namen en privénummers, want zakelijke mail ligt er misschien uit. Verder een lijst met externe partijen die je belt (IT-partner, verzekeraar, jurist, eventueel politie), een korte beslisboom voor de eerste uren, standaardteksten voor klanten en medewerkers, en waar de papieren versie van dit plan ligt. Belangrijk: bewaar het plan óók offline. Een crisisplan dat alleen op de versleutelde fileserver staat, is geen crisisplan. Loop het minimaal jaarlijks door in een korte oefening; dan blijkt vanzelf welke telefoonnummers niet meer kloppen.
Wat staat er in een crisisplan?
Een crisisplan is geen handboek. Het is een kort werkdocument dat je onder druk nog kunt lezen. Hoe dunner het plan, hoe groter de kans dat iemand het er echt bij pakt. Dit hoort er in ieder geval in te staan.
Wanneer iets een crisis is. Niet elke storing is een crisis. Leg vast bij welke situatie je opschaalt en wie dat besluit neemt. Zonder die grens blijft iedereen te lang doorwerken alsof het een gewone werkdag is.
Het crisisteam en de rollen. Wie zit er in het team, wie is de voorzitter, wie legt besluiten vast, wie doet de communicatie. Zet er vervangers bij, want iemand kan op vakantie zijn of zelf uitvallen. Namen, mobiele nummers en privémailadressen, geen functietitels alleen.
Externe contacten. Je IT-partner, je verzekeraar, je jurist, je bank, eventueel de politie. Ook je belangrijkste klanten en leveranciers. Zorg dat je die gegevens hebt op een plek die niet in dezelfde omgeving staat die je kwijt bent.
Een beslisboom voor de eerste uren. Wat doe je als eerste, wat kan wachten. Dit hoeft geen kunstwerk te zijn; een half A4 met stappen is genoeg om te voorkomen dat iedereen tegelijk iets anders begint.
Standaardteksten. Een korte tekst voor medewerkers, een voor klanten, een voor de telefoon. Vooraf schrijven kost een kwartier. Achteraf schrijven kost je uren die je niet hebt, en het resultaat is meestal slechter.
Interne en externe communicatie. Eén persoon die naar buiten praat, één lijn, één boodschap. Spreek ook af wat je wel en niet op sociale media zet zolang je nog geen overzicht hebt van de situatie.
Waar het plan ligt. Digitaal én op papier, bij meerdere mensen thuis. Een plan dat alleen op de versleutelde server staat, helpt je op het slechtste moment niet.
Hoe stel je een crisisplan op?
Je hoeft hier geen project van te maken. Voor een gemiddeld MKB-bedrijf is dit werk van een paar dagdelen, verspreid over een paar weken.
1. Bepaal je grootste risico’s. Kijk nuchter naar wat jouw bedrijf plat kan leggen: ransomware, een langdurige storing bij een leverancier, brand, uitval van een sleutelsysteem. Je hoeft niet alles af te dekken. Twee of drie scenario’s die echt impact hebben, geven je het meeste rendement.
2. Bepaal wat er dan misgaat. Per scenario: welke processen liggen stil, welke klanten merken het als eerste, hoeveel tijd heb je voordat het echt pijn doet. Dit stuurt de rest van je keuzes.
3. Stel het crisisteam samen. Kies op vaardigheden, niet alleen op functie. Iemand die overzicht houdt en knopen doorhakt is waardevoller dan iemand die er hoort te zitten volgens het organogram. Houd het team klein.
4. Schrijf het plan kort op. Twee A4-tjes met rollen, telefoonnummers, stappen en standaardteksten. Geen juridische taal, geen bijlagen die niemand opent. Iedereen moet binnen een minuut zien wat hij moet doen.
5. Oefen het minstens één keer per jaar. Een uur aan tafel met een scenario is genoeg. Je merkt vanzelf welke nummers niet meer kloppen, wie er ontbreekt en welke stap onduidelijk is. Werk het plan daarna direct bij.
6. Evalueer na een echt incident. Wat ging goed, wat kostte onnodig tijd. Die inzichten zijn waardevoller dan alles wat je vooraf kunt bedenken. Verwerk ze in de volgende versie.
Veelgestelde vragen
Wat is het verschil tussen een crisisplan en een herstelplan?
Een herstelplan is technisch: hoe krijg je systemen en data terug, in welke volgorde, met welke back-ups. Een crisisplan gaat over de organisatie eromheen: wie beslist, wie communiceert, wie belt welke partij. Je hebt ze allebei nodig, en ze horen naar elkaar te verwijzen.
Hoe lang moet een crisisplan zijn?
Zo kort als mogelijk. Voor de meeste MKB-bedrijven werkt twee tot vier A4 het beste. Een plan van tachtig pagina’s leest niemand op het moment dat het nodig is. Wil je meer detail vastleggen, doe dat dan in losse bijlagen en houd het kernplan dun.
Wie zit er in het crisisteam?
Meestal de directie of het MT, aangevuld met iemand die de IT-kant begrijpt en iemand die de communicatie doet. Bij een klein bedrijf zijn dat drie of vier personen. Belangrijk is dat er iemand is met mandaat om geld uit te geven en dat er per rol een vervanger is.
Hoe vaak moet je een crisisplan oefenen?
Minimaal jaarlijks, en verder na elke grote verandering in je organisatie of systemen. Een korte oefening aan tafel is prima; het gaat erom dat de contactgegevens kloppen en dat iedereen zijn rol kent. Zonder oefening zakt een crisisplan binnen een jaar weg.
Wat OkayICT hierin doet: Wij helpen je een werkbaar crisis- en herstelplan op te stellen en oefenen het door, zodat het niet alleen op papier bestaat.
Meer lezen: Wat is een disaster recovery plan? · Wat is business continuity?
