Onze aanpak bij verstoringen en calamiteiten: hoe wij de continuïteit van het platform waarborgen en na een storing herstellen.
BCDR Policy · Versie 1.0 · 06-08-2026
Eigenaar: Starruk B.V. (in oprichting) (FlyID) · Classificatie: intern beleid.
Artikel 1 – Doel
1. Deze Business Continuity & Disaster Recovery Policy (hierna: "BCDR Policy") beschrijft het beleid van FlyID voor het waarborgen van de continuïteit van haar bedrijfsvoering en de beschikbaarheid van haar dienstverlening bij verstoringen, calamiteiten en andere incidenten.
2. De doelstellingen van deze Policy zijn: a. het beperken van de impact van verstoringen op de dienstverlening; b. het beschermen van de vertrouwelijkheid, integriteit en beschikbaarheid van informatie; c. het waarborgen van een gecontroleerd herstel van kritieke processen en systemen; d. het voldoen aan wettelijke, contractuele en normatieve verplichtingen; e. het versterken van de weerbaarheid van de organisatie.
Artikel 2 – Reikwijdte
1. Deze Policy is van toepassing op: a. alle bedrijfsprocessen die essentieel zijn voor de dienstverlening van FlyID; b. alle informatiesystemen; c. cloudomgevingen; d. infrastructuur; e. applicaties; f. netwerken; g. ondersteunende diensten; h. medewerkers, ingehuurde krachten en relevante derden.
2. Deze Policy geldt voor alle bedrijfsactiviteiten die direct of indirect bijdragen aan de levering van de SaaS-dienstverlening van FlyID.
Artikel 3 – Definities
Business Continuity: het vermogen van FlyID om kritieke bedrijfsactiviteiten tijdens en na een verstoring binnen aanvaardbare termijnen voort te zetten.
Disaster Recovery: het proces gericht op het herstellen van ICT-systemen, infrastructuur en gegevens na een ernstige verstoring.
Business Impact Analysis (BIA): de systematische beoordeling van de gevolgen van verstoringen voor bedrijfsprocessen.
Recovery Time Objective (RTO): de maximaal aanvaardbare hersteltijd van een systeem of proces.
Recovery Point Objective (RPO): het maximaal aanvaardbare gegevensverlies uitgedrukt in tijd.
Calamiteit: een gebeurtenis die de normale bedrijfsvoering of beschikbaarheid van systemen ernstig verstoort.
Artikel 4 – Uitgangspunten
FlyID hanteert bij bedrijfscontinuïteit en disaster recovery ten minste de volgende uitgangspunten: a. risicogebaseerd continuïteitsbeheer; b. bescherming van kritieke bedrijfsprocessen; c. vooraf vastgestelde hersteldoelstellingen; d. periodieke toetsing van herstelprocedures; e. continue verbetering van continuïteitsmaatregelen; f. nauwe samenhang met informatiebeveiliging en incidentmanagement.
Artikel 5 – Verantwoordelijkheden
1. De directie is eindverantwoordelijk voor het vaststellen, onderhouden en periodiek evalueren van deze Policy.
2. De directie draagt zorg voor: a. voldoende middelen; b. passende organisatorische maatregelen; c. periodieke risicoanalyses; d. besluitvorming tijdens calamiteiten.
3. Leidinggevenden zijn verantwoordelijk voor de continuïteit van de processen binnen hun verantwoordelijkheidsgebied.
4. Medewerkers handelen overeenkomstig deze Policy en melden situaties die de continuïteit van de dienstverlening kunnen bedreigen.
Artikel 6 – Rollen en verantwoordelijkheden
1. FlyID wijst functionarissen aan voor de coördinatie van continuïteits- en herstelactiviteiten.
2. Afhankelijk van de aard van een verstoring kunnen onder meer de volgende rollen worden ingevuld: a. Incident Manager; b. Crisiscoördinator; c. IT-beheer; d. Development; e. Securityverantwoordelijke; f. Communicatieverantwoordelijke; g. Directie.
3. Taken, bevoegdheden en escalatieprocedures worden nader uitgewerkt in het Incident Response Plan en de crisisprocedures.
Artikel 7 – Relatie met overige beleidsdocumenten
1. Deze Policy maakt onderdeel uit van het Information Security Management System (ISMS) van FlyID.
2. Deze Policy wordt toegepast in samenhang met: a. de Information Security Policy; b. het Incident Response Plan; c. de Security Annex; d. de Access Control Policy; e. de Data Retention & Deletion Policy; f. de Vulnerability Management Policy; g. de Secure Development Policy; h. de Responsible Disclosure Policy; i. de Service Level Agreement; j. de Verwerkersovereenkomst.
3. Indien meerdere beleidsdocumenten van toepassing zijn, worden deze zoveel mogelijk in onderlinge samenhang toegepast.
Artikel 8 – Business Impact Analysis
1. FlyID voert periodiek een Business Impact Analysis (BIA) uit om de gevolgen van verstoringen voor de organisatie vast te stellen.
2. De BIA heeft ten minste betrekking op: a. kritieke bedrijfsprocessen; b. informatiesystemen; c. ondersteunende infrastructuur; d. gegevensverwerkingen; e. afhankelijkheden van leveranciers; f. personele afhankelijkheden.
3. De resultaten van de BIA worden gebruikt voor: a. risicoanalyses; b. prioritering van herstelactiviteiten; c. vaststelling van RTO- en RPO-doelstellingen; d. investeringen in continuïteitsmaatregelen; e. periodieke evaluatie van deze Policy.
Artikel 9 – Kritieke bedrijfsprocessen
1. FlyID identificeert en documenteert de bedrijfsprocessen die essentieel zijn voor de continuïteit van haar dienstverlening.
2. Bij de beoordeling wordt onder meer rekening gehouden met: a. de impact op klanten; b. contractuele verplichtingen; c. wettelijke verplichtingen; d. financiële gevolgen; e. reputatieschade; f. afhankelijkheden van ICT-systemen.
3. Kritieke processen worden periodiek opnieuw beoordeeld, in ieder geval: a. na belangrijke organisatorische wijzigingen; b. na significante wijzigingen in de dienstverlening; c. na ernstige incidenten; d. na wijzigingen in relevante wet- of regelgeving.
Artikel 10 – Hersteldoelstellingen
1. Voor kritieke systemen en processen worden passende hersteldoelstellingen vastgesteld.
2. Hersteldoelstellingen omvatten ten minste: a. de Recovery Time Objective (RTO); b. de Recovery Point Objective (RPO); c. de prioriteit van herstel; d. afhankelijkheden tussen systemen.
3. De vastgestelde hersteldoelstellingen worden periodiek geëvalueerd en, indien nodig, aangepast op basis van: a. wijzigingen in de dienstverlening; b. risicoanalyses; c. contractuele verplichtingen; d. technologische ontwikkelingen; e. testresultaten.
Artikel 11 – Risicobeoordeling
1. De uitkomsten van de Business Impact Analysis worden betrokken bij de periodieke risicobeoordeling van FlyID.
2. Bij de beoordeling wordt onder meer rekening gehouden met: a. cyberdreigingen; b. uitval van cloud- of hostingdiensten; c. storingen in netwerkverbindingen; d. hardware- en softwarestoringen; e. menselijke fouten; f. afhankelijkheden van leveranciers; g. fysieke calamiteiten; h. langdurige onbeschikbaarheid van sleutelpersoneel.
3. Op basis van de risicobeoordeling worden passende preventieve, detectieve en herstelmaatregelen vastgesteld.
Artikel 12 – Algemene continuïteitsmaatregelen
1. FlyID treft passende organisatorische en technische maatregelen om de continuïteit van haar dienstverlening te waarborgen.
2. Deze maatregelen zijn gebaseerd op: a. de Business Impact Analysis; b. periodieke risicoanalyses; c. contractuele verplichtingen; d. wettelijke verplichtingen; e. de aard van de dienstverlening.
3. Continuïteitsmaatregelen worden periodiek geëvalueerd en waar nodig aangepast aan gewijzigde omstandigheden.
Artikel 13 – Kritieke bedrijfsprocessen
1. Voor ieder als kritiek aangemerkt bedrijfsproces worden passende continuïteitsmaatregelen vastgesteld.
2. Deze maatregelen kunnen onder meer betrekking hebben op: a. beschikbaarheid van systemen; b. beschikbaarheid van personeel; c. alternatieve werkmethoden; d. communicatiemiddelen; e. documentatie; f. afhankelijkheden van leveranciers.
3. Voor kritieke processen worden herstelprioriteiten vastgesteld overeenkomstig de Business Impact Analysis.
Artikel 14 – Redundantie
1. Waar passend worden voorzieningen getroffen om het risico op uitval van kritieke systemen te beperken.
2. Redundantie kan onder meer betrekking hebben op: a. cloudinfrastructuur; b. netwerkverbindingen; c. opslagvoorzieningen; d. authenticatievoorzieningen; e. monitoringdiensten; f. kritieke softwarecomponenten.
3. De aard en omvang van redundantie worden afgestemd op de risico's en de hersteldoelstellingen.
Artikel 15 – Beschikbaarheid van personeel
1. FlyID treft maatregelen om de continuïteit van kritieke werkzaamheden zoveel mogelijk te waarborgen bij afwezigheid van medewerkers.
2. Deze maatregelen kunnen onder meer bestaan uit: a. documentatie van processen; b. functievervanging; c. kennisoverdracht; d. taakverdeling; e. periodieke actualisering van werkinstructies.
Artikel 16 – Back-upbeleid
1. FlyID maakt periodiek back-ups van gegevens en systemen voor zover noodzakelijk voor de continuïteit van de dienstverlening.
2. De frequentie en omvang van back-ups worden afgestemd op: a. de kriticiteit van gegevens; b. de Recovery Point Objective (RPO); c. contractuele verplichtingen; d. wettelijke verplichtingen.
3. Back-ups worden beschermd tegen ongeautoriseerde toegang, wijziging en vernietiging.
Artikel 17 – Beheer van back-ups
1. Back-ups worden zodanig beheerd dat herstel binnen de vastgestelde hersteldoelstellingen mogelijk is.
2. Daarbij wordt onder meer aandacht besteed aan: a. versleuteling van back-ups waar passend; b. bewaartermijnen; c. integriteitscontroles; d. toegangsbeveiliging; e. geografische spreiding waar passend.
3. Back-upmedia worden beveiligd overeenkomstig de Information Security Policy en de Security Annex.
Artikel 18 – Herstelprocedures
1. Voor kritieke systemen bestaan gedocumenteerde herstelprocedures.
2. De herstelprocedures bevatten, voor zover passend: a. verantwoordelijkheden; b. volgorde van herstel; c. vereiste systemen; d. afhankelijkheden; e. validatie van het herstel; f. communicatie na herstel.
3. Herstelprocedures worden periodiek beoordeeld en geactualiseerd.
Artikel 19 – Disaster Recovery Plan
1. FlyID onderhoudt een Disaster Recovery Plan voor ernstige verstoringen van de ICT-omgeving.
2. Het Disaster Recovery Plan beschrijft ten minste: a. de voorwaarden voor activering; b. de verantwoordelijkheden; c. herstelprioriteiten; d. communicatieprocedures; e. escalatieprocedures; f. afsluiting van de calamiteit.
3. Het Disaster Recovery Plan wordt periodiek geëvalueerd en getest.
Artikel 20 – Herstel van systemen
1. Bij een calamiteit worden systemen hersteld overeenkomstig de vastgestelde herstelprioriteiten.
2. Prioriteit wordt gegeven aan systemen die essentieel zijn voor: a. de dienstverlening aan klanten; b. de beveiliging van gegevens; c. wettelijke verplichtingen; d. communicatie; e. authenticatie en autorisatie.
3. Na herstel wordt gecontroleerd of systemen correct functioneren voordat zij opnieuw volledig in gebruik worden genomen.
Artikel 21 – Validatie na herstel
1. Na afronding van herstelwerkzaamheden wordt beoordeeld of: a. gegevens volledig zijn hersteld; b. systemen veilig functioneren; c. beveiligingsmaatregelen correct werken; d. afhankelijkheden zijn hersteld; e. de dienstverlening verantwoord kan worden hervat.
2. Indien noodzakelijk worden aanvullende herstel- of beveiligingsmaatregelen getroffen.
3. De resultaten van de validatie worden gedocumenteerd.
Artikel 22 – Activering van de crisisorganisatie
1. Indien een verstoring de normale incidentrespons overstijgt, kan de crisisorganisatie worden geactiveerd.
2. De beslissing tot activering wordt genomen door de directie of een daartoe aangewezen functionaris.
3. De omvang van de crisisorganisatie wordt afgestemd op de aard en ernst van de calamiteit.
Artikel 23 – Crisismanagementteam
1. FlyID kan een crisismanagementteam samenstellen voor de coördinatie van herstelactiviteiten.
2. Het crisismanagementteam kan onder meer bestaan uit vertegenwoordigers van: a. directie; b. IT; c. informatiebeveiliging; d. softwareontwikkeling; e. operations; f. communicatie; g. juridische zaken, indien noodzakelijk.
3. Het crisismanagementteam bewaakt de voortgang van herstelactiviteiten en neemt besluiten over prioriteiten, communicatie en escalatie.
Artikel 24 – Communicatie tijdens calamiteiten
1. Tijdens een calamiteit vindt tijdige en gecontroleerde communicatie plaats met relevante interne en externe belanghebbenden.
2. Afhankelijk van de aard van de calamiteit kan worden gecommuniceerd met: a. medewerkers; b. klanten; c. leveranciers; d. toezichthouders; e. bevoegde autoriteiten; f. overige betrokken partijen.
3. Externe communicatie wordt afgestemd met de directie en, waar passend, de verantwoordelijke voor communicatie en juridische zaken.
Artikel 25 – Afsluiting van een calamiteit
1. Een calamiteit wordt formeel afgesloten nadat is vastgesteld dat: a. de dienstverlening is hersteld; b. kritieke systemen operationeel zijn; c. tijdelijke maatregelen zijn geëvalueerd; d. vervolgacties zijn vastgesteld.
2. Na afsluiting wordt een evaluatie uitgevoerd waarbij ten minste aandacht wordt besteed aan: a. de oorzaak van de verstoring; b. de effectiviteit van de herstelmaatregelen; c. de naleving van procedures; d. verbetermaatregelen.
3. De resultaten van de evaluatie worden gebruikt voor de verdere verbetering van de bedrijfscontinuïteit en disaster recovery.
Artikel 26 – Periodieke testen
1. FlyID test periodiek de effectiviteit van haar Business Continuity- en Disaster Recovery-maatregelen.
2. De aard en frequentie van testen worden afgestemd op: a. de kriticiteit van systemen; b. de resultaten van de Business Impact Analysis; c. wijzigingen in de ICT-omgeving; d. nieuwe dreigingen; e. contractuele of wettelijke verplichtingen.
3. Testresultaten worden vastgelegd en geëvalueerd.
Artikel 27 – Soorten oefeningen
1. FlyID kan verschillende vormen van continuïteitsoefeningen uitvoeren, waaronder: a. documentreviews; b. tabletop-oefeningen; c. technische hersteltesten; d. back-uphersteltesten; e. failovertesten; f. crisissimulaties; g. communicatieoefeningen.
2. De gekozen oefenvorm wordt afgestemd op het doel van de test en het risicoprofiel van de betrokken systemen.
Artikel 28 – Evaluatie van oefeningen
1. Na iedere significante oefening vindt een evaluatie plaats.
2. Daarbij wordt ten minste beoordeeld: a. het behalen van de RTO- en RPO-doelstellingen; b. de effectiviteit van procedures; c. de samenwerking tussen betrokken functionarissen; d. de kwaliteit van communicatie; e. geconstateerde verbeterpunten.
3. Bevindingen worden vastgelegd en verwerkt in verbetermaatregelen.
Artikel 29 – Kritieke leveranciers
1. FlyID identificeert leveranciers waarvan de dienstverlening essentieel is voor de continuïteit van haar bedrijfsvoering.
2. Bij kritieke leveranciers wordt onder meer beoordeeld: a. de beschikbaarheid van de dienstverlening; b. continuïteitsvoorzieningen; c. beveiligingsmaatregelen; d. contractuele afspraken; e. afhankelijkheden van subleveranciers.
3. Kritieke leveranciers worden periodiek geëvalueerd.
Artikel 30 – Contractuele afspraken
1. Voor zover passend worden met kritieke leveranciers afspraken gemaakt over: a. beschikbaarheid van diensten; b. herstelprocedures; c. incidentmelding; d. back-upvoorzieningen; e. ondersteuning tijdens calamiteiten; f. beëindiging van dienstverlening.
2. Deze afspraken sluiten zoveel mogelijk aan bij de interne continuïteitsdoelstellingen van FlyID.
Artikel 31 – Afhankelijkheden
1. FlyID brengt de belangrijkste afhankelijkheden van haar dienstverlening in kaart.
2. Hierbij wordt onder meer rekening gehouden met: a. cloudproviders; b. netwerkleveranciers; c. authenticatievoorzieningen; d. externe softwarecomponenten; e. certificaatdiensten; f. communicatiediensten.
3. Voor kritieke afhankelijkheden worden passende beheersmaatregelen vastgesteld.
Artikel 32 – Periodieke evaluatie
1. Deze Policy wordt ten minste eenmaal per jaar geëvalueerd.
2. Daarnaast vindt evaluatie plaats indien: a. ernstige incidenten hebben plaatsgevonden; b. belangrijke wijzigingen in de dienstverlening optreden; c. significante wijzigingen in de ICT-infrastructuur plaatsvinden; d. nieuwe risico's worden vastgesteld; e. wijzigingen in wet- of regelgeving daartoe aanleiding geven.
3. Evaluaties worden gedocumenteerd.
Artikel 33 – Continue verbetering
1. FlyID streeft naar voortdurende verbetering van haar continuïteits- en herstelvermogen.
2. Verbetermaatregelen kunnen voortkomen uit: a. audits; b. oefeningen; c. incidenten; d. risicoanalyses; e. managementreviews; f. wijzigingen in technologie; g. wijzigingen in de dienstverlening.
3. Verbetermaatregelen worden geprioriteerd op basis van risico, impact en uitvoerbaarheid.
Artikel 34 – Audits
1. De naleving van deze Policy kan periodiek worden beoordeeld door middel van interne of externe audits.
2. Audits kunnen betrekking hebben op: a. bedrijfscontinuïteitsprocessen; b. disaster recovery; c. back-upbeheer; d. herstelprocedures; e. documentatie; f. naleving van interne beleidsdocumenten.
3. Auditbevindingen worden opgevolgd overeenkomstig het verbeterproces van FlyID.
Artikel 35 – Samenhang met overige documentatie
1. Deze Business Continuity & Disaster Recovery Policy vormt onderdeel van het Information Security Management System (ISMS) van FlyID.
2. Deze Policy dient in samenhang te worden gelezen met: a. de Information Security Policy; b. het Incident Response Plan; c. de Security Annex; d. de Access Control Policy; e. de Data Retention & Deletion Policy; f. de Vulnerability Management Policy; g. de Secure Development Policy; h. de Service Level Agreement; i. de Verwerkersovereenkomst; j. overige relevante beleidsdocumenten en procedures.
3. Bij strijdigheid met dwingendrechtelijke wetgeving prevaleert de toepasselijke wettelijke regeling.
Artikel 36 – Inwerkingtreding
1. Deze Policy treedt in werking op de datum van vaststelling door de directie van FlyID.
2. De meest recente versie vervangt alle eerdere versies van deze Policy.
| Categorie | RTO | RPO |
|---|---|---|
| Kritieke SaaS-diensten | Conform SLA | Conform SLA |
| Authenticatievoorzieningen | Conform SLA | Conform SLA |
| Databases | Conform SLA | Conform SLA |
| Logging & Monitoring | Risicogebaseerd | Risicogebaseerd |
| Interne ondersteunende systemen | Risicogebaseerd | Risicogebaseerd |
De concrete RTO- en RPO-waarden worden vastgesteld in de Business Impact Analysis, de Service Level Agreement en de technische beheerprocedures.
1. Crisisorganisatie activeren. 2. Impact beoordelen. 3. Kritieke infrastructuur stabiliseren. 4. Authenticatie- en toegangsvoorzieningen herstellen. 5. Databases en opslag herstellen. 6. Kernfunctionaliteiten van de SaaS-dienst herstellen. 7. Logging, monitoring en beveiligingsvoorzieningen valideren. 8. Integriteit van gegevens controleren. 9. Dienstverlening gecontroleerd hervatten. 10. Evaluatie uitvoeren en verbetermaatregelen vaststellen.
FlyID beoordeelt periodiek onder meer: actualiteit van de Business Impact Analysis; volledigheid van herstelprocedures; werking van back-upvoorzieningen; haalbaarheid van RTO- en RPO-doelstellingen; beschikbaarheid van sleutelpersoneel; afhankelijkheden van leveranciers; effectiviteit van crisiscommunicatie; resultaten van oefeningen en audits; opvolging van verbetermaatregelen.