Een supermarkt zonder stroom. De deuren kunnen misschien nog open, maar de kassa's werken niet, klanten kunnen niet pinnen en de koelingen vallen uit. Medewerkers staan klaar om te helpen, de schappen liggen vol en toch kan de winkel nauwelijks functioneren. Het is een situatie waar je als klant waarschijnlijk nooit bij stilstaat, totdat je zelf met een volle boodschappenkar voor een niet-werkende kassa staat.

Eind oktober 2026 kwam naar buiten dat grote supermarktketens, waaronder Albert Heijn, Jumbo en Aldi, onderzoeken hoe zij de voedselvoorziening tijdens langdurige stroomstoringen kunnen waarborgen. Een van de ideeën is om per regio minstens één supermarkt open te kunnen houden, ook wanneer een groot deel van de omgeving zonder elektriciteit zit.

Dat is een interessante ontwikkeling. Want wat de supermarktsector hier onderzoekt, raakt aan een vraag die voor vrijwel iedere organisatie relevant is: hoe zorgt u ervoor dat uw belangrijkste werkzaamheden kunnen doorgaan wanneer de voorzieningen waarop u vertrouwt plotseling wegvallen?

Het antwoord ligt voor een belangrijk deel bij Business Continuity Management (BCM), oftewel bedrijfscontinuïteitsmanagement. Een onderwerp dat vaak pas aandacht krijgt wanneer er daadwerkelijk iets misgaat, terwijl juist de voorbereiding het verschil kan maken.

Volgens een bericht van Hart van Nederland van 31 oktober 2026 onderzoeken supermarktketens mogelijkheden om bij een grootschalige stroomstoring toch een deel van hun winkels operationeel te houden. Het idee is om verspreid over Nederland winkels aan te wijzen die beter bestand zijn tegen langdurige uitval van elektriciteit.

De aanleiding is begrijpelijk. Een supermarkt is tegenwoordig afhankelijk van veel meer dan verlichting en een werkende koelkast. Kassasystemen, betaalterminals, voorraadbeheer, bestellingen en verschillende vormen van communicatie zijn allemaal verbonden met digitale systemen. Valt de stroom weg, dan kunnen meerdere onderdelen van de bedrijfsvoering tegelijkertijd worden geraakt.

Bij een korte stroomstoring is de schade mogelijk nog te overzien. Maar wat gebeurt er wanneer de elektriciteit een volledige dag of zelfs meerdere dagen niet beschikbaar is? Dan gaat het al snel over de vraag hoe de voedselvoorziening voor consumenten toegankelijk blijft.

Interessant aan de plannen van de supermarktketens is dat zij verder kijken dan het herstellen van de oorspronkelijke situatie. Ze onderzoeken hoe een minimale vorm van dienstverlening beschikbaar kan blijven wanneer de normale omstandigheden tijdelijk niet bestaan.

Dat is precies de gedachte achter Business Continuity Management. Een organisatie hoeft tijdens een ernstige verstoring niet altijd op volle capaciteit te functioneren. Maar zij moet wel weten welke werkzaamheden absoluut noodzakelijk zijn en wat ervoor nodig is om die voort te zetten.

Business Continuity Management, meestal afgekort tot BCM, is het organiseren van de maatregelen, verantwoordelijkheden en afspraken die nodig zijn om een organisatie tijdens en na een ernstige verstoring te laten functioneren. Het uitgangspunt is dat niet iedere verstoring voorkomen kan worden, maar dat een organisatie zich wel kan voorbereiden op de gevolgen ervan.

Bij bedrijfscontinuïteit denken veel mensen aan cybersecurity, back-ups, noodstroomvoorzieningen en herstelplannen van ICT-leveranciers. Dat zijn belangrijke onderdelen, maar Business Continuity Management gaat verder. Het draait om de bedrijfsprocessen die voor een organisatie essentieel zijn en om de vraag hoe die processen kunnen doorgaan wanneer de normale omstandigheden tijdelijk wegvallen.

Een supermarkt moet bijvoorbeeld bepalen welke winkels bereikbaar moeten blijven en welke voorzieningen daarvoor noodzakelijk zijn. Een zorgorganisatie moet weten hoe de zorgverlening doorgaat wanneer bepaalde applicaties niet beschikbaar zijn. Bij een advocatenkantoor kunnen de gevolgen juist liggen bij de toegang tot dossiers, communicatie met cliënten en het bewaken van wettelijke termijnen.

De risico's verschillen per organisatie, maar de onderliggende vraag is hetzelfde: welke werkzaamheden moeten doorgaan, welke afhankelijkheden bestaan daarbij en wat gebeurt er wanneer die afhankelijkheden wegvallen?

Een goed Business Continuity Management-proces brengt die vragen samen. Het kijkt naar technologie, mensen, processen, leveranciers en besluitvorming. Daarmee ontstaat inzicht in de onderdelen van de organisatie die het meest kwetsbaar zijn bij een verstoring.

De recente PHP-kwetsbaarheden van oktober 2026 lieten zien hoe snel digitale dienstverlening onder druk kan komen te staan. Verschillende organisaties besloten websites en online diensten uit voorzorg tijdelijk offline te halen, terwijl leveranciers en beheerders onderzochten welke beveiligingsmaatregelen nodig waren.

Voor de technische specialisten lag de prioriteit bij het beoordelen van de kwetsbaarheden, het beperken van risico's en het veilig beschikbaar maken van systemen. Ondertussen moesten organisaties bepalen welke gevolgen de tijdelijke onbeschikbaarheid had voor hun dienstverlening.

Daar zit een belangrijk onderscheid. Een ICT-leverancier kan precies weten welke maatregelen nodig zijn om een systeem te beveiligen of te herstellen. Maar daarmee is nog niet automatisch geregeld wat medewerkers moeten doen wanneer zij dat systeem tijdelijk niet kunnen gebruiken.

Stel dat een organisatie een volledige werkdag geen toegang heeft tot haar belangrijkste applicatie. De leverancier werkt aan herstel, houdt zich aan de gemaakte afspraken en communiceert over de voortgang. Vanuit technisch perspectief kan de situatie uitstekend worden afgehandeld. Tegelijkertijd kunnen medewerkers hun werkzaamheden niet uitvoeren, blijven aanvragen liggen en ontstaat er onzekerheid over de dienstverlening aan klanten.

Op dat moment wordt duidelijk dat technisch herstel en bedrijfscontinuïteit twee verschillende verantwoordelijkheden zijn.

De leverancier moet weten hoe het systeem hersteld wordt. De organisatie moet weten hoe zij in de tussentijd blijft functioneren.

Veel organisaties hebben hun ICT-beheer ondergebracht bij een externe leverancier. Daarbij worden afspraken gemaakt over beschikbaarheid, ondersteuning, beveiliging, back-ups en hersteltijden. Dergelijke afspraken zijn belangrijk, zeker wanneer de organisatie sterk afhankelijk is van digitale systemen.

Toch ontstaat er gemakkelijk een gevoel van zekerheid dat verder gaat dan wat daadwerkelijk is afgesproken. Een leverancier kan bijvoorbeeld toezeggen binnen een bepaalde termijn op een storing te reageren. Dat zegt nog weinig over de gevolgen wanneer een belangrijk bedrijfsproces gedurende die periode niet uitgevoerd kan worden.

Ook een gegarandeerde beschikbaarheid van 99,9 procent klinkt indrukwekkend. Maar zelfs wanneer een leverancier die afspraak nakomt, kunnen de resterende momenten van onbeschikbaarheid op een bijzonder ongelukkig tijdstip vallen. Denk aan een piekmoment in de productie, een belangrijke deadline of een periode waarin klanten massaal gebruikmaken van een digitale dienst.

Daarom is het belangrijk dat organisaties niet uitsluitend kijken naar de technische prestaties van leveranciers. Ze moeten ook beoordelen of de gemaakte afspraken aansluiten op de behoeften van de bedrijfsvoering.

Welke applicaties zijn daadwerkelijk bedrijfskritisch? Hoe lang kunnen die systemen uitvallen voordat de gevolgen onacceptabel worden? Welke alternatieven zijn beschikbaar? En wie neemt de beslissingen wanneer de verwachte hersteltijd langer wordt dan de organisatie kan opvangen?

Dit zijn vragen die thuishoren bij het management en bij de manier waarop de organisatie haar ICT-regie heeft ingericht. Zonder dat overzicht bestaat het risico dat de technische dienstverlening goed geregeld is, terwijl de organisatie onvoldoende voorbereid is op de gevolgen van een verstoring.

Een belangrijk onderdeel van Business Continuity Management is bepalen welke bedrijfsprocessen kritisch zijn. Dat klinkt eenvoudiger dan het in de praktijk is. Vrijwel iedere afdeling heeft immers werkzaamheden die zij belangrijk vindt. Toch zit er een groot verschil tussen een proces dat enkele uren kan wachten en een proces waarbij een onderbreking direct grote financiële, operationele of maatschappelijke gevolgen heeft.

Om dat onderscheid te maken, wordt vaak gebruikgemaakt van een Business Impact Analyse (BIA). Daarbij onderzoekt een organisatie wat de gevolgen zijn wanneer bepaalde processen tijdelijk niet beschikbaar zijn. Er wordt gekeken naar onder meer financiële schade, gevolgen voor klanten, wettelijke verplichtingen, reputatierisico's en de maximale tijd dat werkzaamheden kunnen worden onderbroken.

Een dergelijke analyse begint bij de bedrijfsvoering en brengt vervolgens de afhankelijkheden van ICT in kaart. Een organisatie kan bijvoorbeeld ontdekken dat verschillende kritische processen afhankelijk zijn van dezelfde applicatie, dezelfde externe leverancier of dezelfde netwerkverbinding.

Het voorbeeld van de supermarkten maakt duidelijk waarom dat belangrijk is. Het heeft weinig zin om een winkel van noodstroom te voorzien wanneer vervolgens blijkt dat het centrale kassasysteem of de betaalinfrastructuur alsnog niet beschikbaar is. Een noodvoorziening moet aansluiten op de volledige keten van activiteiten die nodig zijn om de dienstverlening voort te zetten.

Ook binnen andere organisaties bestaan dergelijke afhankelijkheden. Een applicatie kan op zichzelf goed functioneren, maar afhankelijk zijn van een koppeling met een ander systeem. Wanneer die koppeling uitvalt, kunnen medewerkers alsnog hun werk niet uitvoeren. Hetzelfde geldt voor processen waarbij informatie uit meerdere bronnen nodig is of waarbij medewerkers afhankelijk zijn van toegang tot een centrale digitale werkomgeving.

Een Business Impact Analyse helpt om dergelijke kwetsbaarheden zichtbaar te maken en prioriteiten te bepalen. Daarmee kunnen organisaties hun investeringen en maatregelen richten op de onderdelen waar een verstoring de grootste gevolgen heeft.

Een bedrijfscontinuïteitsplan, ook wel Business Continuity Plan (BCP) genoemd, beschrijft hoe een organisatie handelt wanneer ernstige verstoringen optreden. Het plan vormt de praktische vertaling van de risico's en afhankelijkheden die eerder in kaart zijn gebracht.

Een goed continuïteitsplan begint met duidelijke afspraken over de omstandigheden waarin het plan wordt geactiveerd. Wanneer is een verstoring ernstig genoeg om over te schakelen op een alternatieve werkwijze? Wie neemt dat besluit en wie moet vervolgens worden geïnformeerd? Zonder duidelijke afspraken bestaat het risico dat medewerkers op elkaar wachten of dat verschillende afdelingen zelfstandig maatregelen nemen die elkaar in de weg zitten.

Daarnaast moet het plan beschrijven welke werkzaamheden prioriteit krijgen en welke alternatieven beschikbaar zijn wanneer systemen tijdelijk niet gebruikt kunnen worden. Soms kan een proces handmatig worden voortgezet, terwijl voor andere werkzaamheden een alternatieve applicatie, locatie of leverancier nodig is. Daarbij moet rekening worden gehouden met informatiebeveiliging, privacy en de betrouwbaarheid van gegevens. Een tijdelijke oplossing die nieuwe risico's veroorzaakt, kan de situatie immers verder compliceren.

Ook communicatie is een essentieel onderdeel. Medewerkers moeten weten waar zij informatie kunnen vinden wanneer de normale communicatiekanalen niet beschikbaar zijn. Klanten en andere betrokken partijen moeten waar nodig tijdig worden geïnformeerd over de gevolgen voor de dienstverlening. Bovendien moet duidelijk zijn wie verantwoordelijk is voor het contact met leveranciers, toezichthouders en andere externe partijen.

Het belangrijkste is misschien wel dat het continuïteitsplan aansluit op de werkelijke organisatie. Een uitgebreid document dat uitsluitend bekend is bij de ICT-afdeling, biedt weinig houvast wanneer medewerkers en leidinggevenden niet weten wat er van hen wordt verwacht.

Wanneer een belangrijk systeem niet beschikbaar is, worden de gevolgen vaak gevoeld door meerdere afdelingen. Medewerkers kunnen hun werkzaamheden niet uitvoeren, klanten ondervinden hinder en leveranciers krijgen vragen over de verwachte hersteltijd. Beslissingen over het tijdelijk stilleggen van werkzaamheden of het inzetten van alternatieve processen hebben daarmee een bredere impact dan alleen ICT.

Daarom kan de verantwoordelijkheid voor Business Continuity Management niet volledig bij de ICT-afdeling of een externe leverancier worden neergelegd. Het management moet bepalen welke processen essentieel zijn, welke risico's de organisatie bereid is te accepteren en welke maatregelen nodig zijn om de gevolgen van verstoringen te beperken.

Dat vraagt om samenwerking tussen verschillende disciplines. ICT kan inzicht geven in technische afhankelijkheden en herstelmogelijkheden. Operations weet welke processen noodzakelijk zijn om de dienstverlening voort te zetten. Finance kan de financiële gevolgen van uitval beoordelen, terwijl juridische zaken en compliance kunnen aangeven welke verplichtingen ook tijdens een verstoring blijven gelden.

De uitdaging zit in het samenbrengen van die kennis. Binnen veel organisaties beschikken verschillende afdelingen over een deel van het overzicht, maar is onvoldoende duidelijk wie verantwoordelijk is voor de samenhang. Daardoor kunnen belangrijke afhankelijkheden onopgemerkt blijven of worden maatregelen getroffen die slechts één onderdeel van het probleem oplossen.

Goed ICT-management en onafhankelijke ICT-regie helpen om die samenhang zichtbaar te maken. Het management krijgt daarmee beter inzicht in de gevolgen van technologische afhankelijkheden en kan gerichter beslissingen nemen over risico's, investeringen en continuïteitsmaatregelen.

Het opstellen van een bedrijfscontinuïteitsplan is een belangrijke stap, maar daarmee is de organisatie nog niet automatisch voorbereid. Processen veranderen, medewerkers wisselen van functie, leveranciers passen hun dienstverlening aan en nieuwe systemen worden geïmplementeerd. Een plan dat enkele jaren geleden zorgvuldig is opgesteld, kan daardoor inmiddels belangrijke onderdelen missen.

Daarom is het verstandig om continuïteitsplannen periodiek te beoordelen en te oefenen. Dat hoeft niet altijd te betekenen dat systemen daadwerkelijk worden uitgeschakeld. Ook een gezamenlijke oefening waarin het management en betrokken medewerkers een realistisch scenario doorlopen, kan waardevolle inzichten opleveren.

Stel bijvoorbeeld dat een belangrijke applicatie op maandagochtend uitvalt en de leverancier aangeeft dat herstel minimaal twee dagen duurt. Wie neemt dan de leiding? Welke processen moeten als eerste worden hervat? Zijn de benodigde contactgegevens beschikbaar? Weten medewerkers hoe zij hun werkzaamheden tijdelijk anders kunnen uitvoeren? En is duidelijk welke informatie wel en niet via alternatieve kanalen mag worden gedeeld?

Tijdens dergelijke oefeningen wordt vaak zichtbaar waar verantwoordelijkheden onduidelijk zijn, welke aannames niet blijken te kloppen en welke praktische maatregelen nog ontbreken. Dat zijn precies de inzichten die een organisatie liever opdoet tijdens een oefening dan tijdens een daadwerkelijke verstoring.

Business Continuity Management is daarom geen eenmalig project. Het vraagt om periodieke aandacht en aanpassing aan de manier waarop de organisatie zich ontwikkelt. Juist wanneer nieuwe systemen worden geïmplementeerd, leveranciers veranderen of bedrijfsprocessen anders worden ingericht, is het belangrijk om de gevolgen voor de continuïteit opnieuw te beoordelen.

Bij Manni Management & Advies kijken we naar ICT vanuit het perspectief van de organisatie. Daarbij gaat het om de samenhang tussen systemen, leveranciers, processen, verantwoordelijkheden en de keuzes die het management moet maken. Bedrijfscontinuïteit is daar een belangrijk onderdeel van.

Wij helpen organisaties om inzicht te krijgen in hun kritische bedrijfsprocessen en de ICT-afhankelijkheden die daarbij een rol spelen. Daarbij kijken we naar de bestaande inrichting, de verantwoordelijkheden van interne en externe partijen en de afspraken die nodig zijn om de gevolgen van verstoringen beheersbaar te houden.

Dat kan betekenen dat we ondersteunen bij het in kaart brengen van risico's en afhankelijkheden, het beoordelen van bestaande continuïteitsafspraken of het organiseren van duidelijke verantwoordelijkheden tussen management, medewerkers en leveranciers. Ook kunnen we helpen om de resultaten van dergelijke analyses te vertalen naar praktische verbetermaatregelen en afspraken die aansluiten op de bedrijfsvoering.

Onze rol ligt daarbij aan de management- en advieskant. De technische beveiliging, het beheer en het herstel van systemen blijven bij de partijen die daarvoor verantwoordelijk zijn. Wij helpen de organisatie om overzicht te houden, de juiste vragen te stellen en ervoor te zorgen dat de technische maatregelen aansluiten op wat de bedrijfsvoering nodig heeft.

Juist wanneer het dagelijkse ICT-beheer goed geregeld is, kan het waardevol zijn om periodiek kritisch te kijken naar de afhankelijkheden die achter die dienstverlening schuilgaan. Want tevredenheid over een leverancier en voorbereid zijn op een langdurige verstoring zijn twee verschillende onderwerpen.

De plannen van de Nederlandse supermarktketens laten zien dat bedrijfscontinuïteit verder gaat dan het voorkomen van storingen. De sector onderzoekt hoe essentiële dienstverlening beschikbaar kan blijven wanneer de normale voorzieningen tijdelijk wegvallen.

Voor andere organisaties is die vraag minstens zo relevant. Wat gebeurt er wanneer uw belangrijkste applicatie niet beschikbaar is? Wanneer een leverancier tijdelijk geen diensten kan leveren? Of wanneer een stroomstoring ervoor zorgt dat medewerkers hun werkzaamheden niet meer kunnen uitvoeren?

De belangrijkste les is dat organisaties vooraf moeten weten welke processen zij absoluut moeten kunnen voortzetten, hoe afhankelijk zij daarbij zijn van ICT en welke verantwoordelijkheden gelden wanneer de normale werkwijze tijdelijk niet mogelijk is.

Een goede ICT-leverancier is daarbij van grote waarde. Maar uiteindelijk moet de organisatie zelf kunnen bepalen wat er gebeurt wanneer een kritisch systeem niet beschikbaar is.

Wilt u weten hoe goed uw organisatie is voorbereid op ICT-uitval en welke afhankelijkheden mogelijk onvoldoende in beeld zijn? Manni Management & Advies helpt u om de huidige situatie onafhankelijk te beoordelen en bedrijfscontinuïteit beter te organiseren.

Want op het moment dat een belangrijk systeem uitvalt, wilt u niet alleen weten wanneer de leverancier het probleem oplost. U wilt vooral weten hoe uw organisatie in de tussentijd verder kan.