Wat staat er in een crisisplan? Elf onderdelen als checklist

Er staat "crisisplan maken" op je lijstje. Logisch, je wilt niet vanaf nul beginnen als het misgaat. De vraag die daarna komt is heel praktisch: wat moet er dan eigenlijk in?

Dit is het concrete zusje van crisisplan opstellen. Daar staat waarom een plan alleen niet genoeg is. Hier staat wat erin hoort, als een checklist die je kunt aflopen.

De onderdelen op een rij

1. Uitgangspunten. Wanneer noem je iets een crisis en niet zomaar een incident? Wat wil je koste wat kost overeind houden? Welke waarden zijn leidend als het schuurt en er snel gekozen moet worden?
2. Crisistypes en scenario's. Welke crises kunnen jou realistisch treffen? Denk aan ransomware, uitval van je productie of levering, een datalek, het wegvallen van een kritieke leverancier. Zet er per type een eerste handelingsperspectief bij, zodat niemand bij nul hoeft te beginnen.
3. Verantwoordelijkheden en besluitmandaten. Wie mag welk zwaar besluit nemen: systemen isoleren, extern communiceren, wel of niet betalen, melden. Wie consulteer je eerst? Wie beslist als die persoon onbereikbaar is? Dit is het hart van je plan. De toets die ik gebruik: als dit besluit om drie uur 's nachts moet vallen en de eerste persoon neemt niet op, wie hakt de knoop dan door?
4. Crisisteam en op- en afschaling. Wie zit er in het team en op welke criteria schaal je op of af? Een plan dat te snel opschaalt vermoeit je mensen, een plan dat te laat opschaalt loopt achter de feiten aan.
5. Rollen, bereikbaarheid en alarmering. Wie is voorzitter, wie bewaakt het proces, wie voert het woord? Leg bereikbaarheid vast, ook buiten kantoortijd. Bedenk hoe je elkaar bereikt als de gewone systemen plat liggen.
6. Informatie en besluitvorming. Werk met een vast ritme: beeld, oordeel, besluit. Houd een log bij van feiten en besluiten. Zorg voor een actuele lijst met je kritieke systemen en een kanaal dat buiten je eigen systemen om werkt.
7. Crisiscommunicatie. Wie zijn je stakeholders, wie voert het woord naar buiten, welke kernboodschappen liggen al klaar, via welke kanalen? Een paar boodschappen vooraf opstellen scheelt je kostbare tijd op het moment zelf.
8. Wettelijke meldingen. Een datalek meld je binnen 72 uur bij de Autoriteit Persoonsgegevens. Afhankelijk van je sector gelden aanvullende meldplichten. Zet in je plan wie welke melding doet, zodat het niet blijft liggen.
9. Oefenen en testen. Leg vast hoe vaak je oefent en in welke vorm, van een table-top simulatie tot een volledige oefening onder druk. Breng na elke oefening terug in het plan wat niet klopte.
10. Nazorg en leren. Plan een debrief. Denk aan herstel voor je mensen en je organisatie. Breng de lessen terug in het plan, want een crisis kost mensen energie en dat verdient aandacht.
11. Beheer. Wie is eigenaar van het plan, hoe houd je het actueel, waar staat het? Zorg dat het ook offline te vinden is, want een plan dat alleen op de uitgevallen server staat, helpt je niet.

Waar de meeste plannen omvallen

De plannen die ik zie, hebben de eerste onderdelen meestal wel op orde. Ze vallen om op nummer 3 en nummer 9. Het besluitmandaat is niet belegd, dus bevriest het team bij het eerste zware besluit. Er is nooit onder druk geoefend, dus blijft het plan een document in plaats van een reflex.

Dat is geen kwestie van luie teams. Het is de logica van een plan: de makkelijke onderdelen zijn goed te schrijven, de twee die er in het echt toe doen kun je niet schrijven maar alleen oefenen.

Waarom een plan alleen niet genoeg is, lees je bij crisisplan opstellen. Welke vaardigheden je team onder druk nodig heeft, staat bij de zes crisisvaardigheden. Wil je zien hoe jouw plan zich houdt als het echt spant, kom dan langs in de Community.