Eindrapport nulmeting continuiteit.pdf - Agentschap Telecom

Toezicht op zorg- en
meldplicht continuïteit
De 0-meting

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Toezicht zorg- en meldplicht continuïteit
De 0-meting
Colofon
Definitief
Copyright Agentschap Telecom ©2013
Pagina 2 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Samenvatting
Missie Agentschap Telecom
Elektronische communicatie is voor burgers en bedrijven steeds belangrijker geworden. In
het dagelijks leven zijn wij in hoge mate afhankelijk geworden van elektronische
communicatiediensten. Deze afhankelijkheid is groter dan men doorgaans beseft en wordt
ook wel “telekwetsbaarheid” genoemd. De missie van Agentschap Telecom is: “Wij
waarborgen de beschikbaarheid van moderne en betrouwbare telecommunicatie in en voor
Nederland”.
Maatschappelijk belang centraal
Agentschap Telecom stelt, bij het uitvoeren van haar missie, het maatschappelijk belang
centraal. Incidenten in de telecomsector kunnen economisch en maatschappelijk veel
schade aanrichten. Met het oog op het maatschappelijk belang is het vanzelfsprekend dat
men de continuïteit van netwerken en/of diensten verbetert en de maatschappelijke en
economische impact van incidenten en calamiteiten tot het minimum worden beperkt.
Het onderzoek
De doelstelling van de 0-meting is om inzicht te krijgen in hoeverre aanbieders van
openbare elektronische communicatienetwerken en/of openbare elektronische
communicatiediensten (hierna aanbieders) voldoen aan de wet- en regelgeving. Het gaat
hier om het moment vlak na inwerkingtreding van hoofdstuk 11a van de
Telecommunicatiewet (hierna: zorg- en meldplicht continuïteit) en vlak voor de
inwerkingtreding van het Besluit continuïteit openbare elektronische
communicatienetwerken en –diensten (hierna Besluit continuïteit). Ook wordt het verkregen
inzicht gebruikt als input voor het opstellen van de risicoanalyse van de doelgroep om het
toezicht selectief en slagvaardig uit te kunnen voeren.
Het uitvoeren van de 0-meting en de hierop volgende metingen is ook een middel om te
bepalen wat het effect is geweest van de inspanningen van Agentschap Telecom
betreffende haar toezichtsactiviteiten. Door de resultaten van de 0-meting te vergelijken
met de bijbehorende resultaten van een vervolgmeting kan het verschil in de mate van
naleving worden bepaald. Dit zal te zijner tijd in een separaat onderzoek worden uitgevoerd.
Daarmee ontstaat input voor de evaluatie van de effectiviteit van de gehanteerde
interventiemix en gekozen aanpak.
De onderzoeksvraag
De centrale vraag van het onderzoek is:
In welke mate verwachten de aanbieders te voldoen aan de verplichtingen ten aanzien van
de zorg- en meldplicht continuïteit op het moment van inwerkingtreding van de wet- en
regelgeving?
Om de benodigde informatie te verkrijgen is gekozen voor het verzenden van een enquête
aan de aanbieders. 1 Om de betrouwbaarheid te verhogen zijn de vragen in de enquête
gesloten gesteld. De aanbieders zijn wettelijk verplicht mee te werken aan deze enquête.
Vooraf was al bekend dat niet alle aanbieders op basis van de door hun aangeboden
diensten relevant zijn voor de eisen van de zorg- en meldplicht continuïteit. Bijvoorbeeld
aanbieders van netwerken of diensten waarover uitsluitend programma´s (TV en radio)
worden verspreid. Deze zijn niet meegenomen in het onderzoek.
Om te bepalen welke omvang een aanbieder heeft, wordt een klasse naar grootte
gehanteerd op basis van de omzet. Deze zijn:
1. Klein: 0 - 2 miljoen euro;
2. Middel: 2 – 20 miljoen euro;
1 Er is voor gekozen om de gehele bekende populatie, de bij OPTA ingeschreven aanbieders, aan te schrijven.
Pagina 3 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
3. Groot: 20 miljoen euro of meer.
Op 2 oktober 2012 is een brief verstuurd naar de aanbieders met als bijlage de enquête (zie
bijlage I), bestaande uit 29 vragen en twee aanvullende verzoeken en een toelichting op de
wet- en regelgeving. In deze brief worden de aanbieders verzocht de vragen te
beantwoorden en de ingevulde enquête te retourneren binnen de gestelde termijn van drie
weken. De aanvullende verzoeken betreffen het toezenden van een actuele versie van het
continuïteitsplan en een lijst met klanten welke binnen de vitale infrastructuur 2 vallen.
In totaal zijn 632 aanbieders aangeschreven en hebben 563 (89%) de vragenlijst ingevuld
geretourneerd binnen de daarvoor gestelde termijnen. De overige 69 aanbieders (11%) zijn
om diverse redenen niet bij dit onderzoek meegenomen. Uiteindelijk hebben 500
aanbieders een valide set antwoorden aangeleverd die zijn meegenomen in dit onderzoek.
De doorlooptijd van het onderzoek (inclusief voorbereiding) heeft circa vijf maanden in
beslag genomen.
In welke mate verwachten aanbieders te voldoen aan hun verplichtingen?
Onderzoeksvraag: In welke mate verwachten de aanbieders te voldoen aan de
verplichtingen ten aanzien van de zorg- en meldplicht continuïteit op het moment van
inwerkingtreding van de wet- en regelgeving?
Van de aanbieders verwacht 26% tijdig te voldoen aan de belangrijkste verplichting ten
aanzien van de zorg- en meldplicht continuïteit op het moment van inwerkingtreding van de
regelgeving (1 januari 2013). Dit houdt in het in het bezit hebben van een vastgesteld
continuïteitsplan.
Figuur 1. Verwachten aanbieders te voldoen aan wet- en regelgeving continuïteit door tijdig te
beschikken over een vastgesteld continuïteitsplan?
Grote dienst- en netwerkaanbieders
Om verdere verdieping aan te brengen naar aanleiding van de conclusie dat 74% van de
aanbieders geen continuïteitsplan heeft, hebben wij onderzocht waar wij de grotere
aanbieders, 13% van het totaal, kunnen plaatsen. De meerderheid (77%) van de grote
dienst- en netwerkaanbieders beschikt op het moment van de enquête over een vastgesteld
continuïteitsplan. Bij 16% van de grote aanbieders is het continuïteitsplan in voorbereiding
en 7% beschikt niet over een vastgesteld continuïteitsplan.
2 Vitale infrastructuren zijn ketens van vergelijkbare partijen waarvan het vanuit maatschappelijk oogpunt cruciaal is dat zij
blijven functioneren. Daarom wordt ook wel gesproken van vitale sectoren.
Pagina 4 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Wat is de kwaliteit van het continuïteitsplan?
Bij de uitvoering van dit onderzoek hebben de onderzoekers een beoordeling gegeven over
de kwaliteit van het continuïteitsplan. Let wel, hierbij geven de onderzoekers geen oordeel
over een adequate inrichting van de continuïteitsprocessen.
In dit onderzoek doen de onderzoekers alleen een uitspraak over de kwaliteit van het
continuïteitsplan. Deze uitspraak is gebaseerd op het al dan niet aanwezig zijn van een
beschrijving van de relevante continuïteitsprocessen in het continuïteitsplan. Verhoging van
de bewustwording van alle relevante afhankelijkheden, risico’s en kwetsbaarheden op alle
niveaus (niet alleen operationeel) en een goed continuïteitsbeleid bij aanbieders is van
evident belang. Dit moet uiteindelijk leiden tot een verbetering van de continuïteit van
netwerken en/of diensten.
Samenvattend kan worden geconcludeerd dat bij meer dan een derde en op sommige
punten bij meer dan de helft van de aanbieders de kwaliteit van het continuïteitsplan in
relatie met het beschrijven van de meest relevante continuïteitsprocessen nog onder het
gewenste kwaliteitsniveau ligt.
Uit de enquête blijkt dat 18 tot 23% van de aanbieders weinig tot geen bestuurlijke
aandacht heeft voor de continuïteit van netwerken en/of diensten.
Hier wordt gedoeld op tenminste twee van de drie bestuurlijke hoofdtaken, te weten:
Het besturen; door middel van het geven van richtlijnen en het opstellen van
beleid;
Het bewaken van de eigen prestatie of die van derden (leveranciers etc.).
Verder behoren directies vanuit een maatschappelijke en economische verantwoordelijkheid
op adequate wijze zorg te dragen voor de continuïteit van netwerken en/of diensten en te
voldoen aan wet- en regelgeving. Opvallend is dat driekwart van de aanbieders (74%)
verwacht niet tijdig te beschikken over een vastgesteld continuïteitsplan op het moment
van inwerkingtreding van de zorg- en meldplicht continuïteit en het Besluit continuïteit (1
januari 2013).
Vitale infrastructuur
Wij kunnen concluderen dat 36% van de aanbieders zich er bewust van is dat men
openbare elektronische communicatienetwerken en openbare elektronische
communicatiediensten (hierna: netwerken en/of diensten) levert aan bedrijven en/of
instellingen die vallen binnen de definitie vitale infrastructuur en de directie hiervan op de
hoogte is. Het betreft hier in totaal 180 aanbieders van verschillende omvang.
Van deze 180 aanbieders heeft 38% beschreven welke additionele maatregelen er zijn
genomen, teneinde de continuïteit en de beschikbaarheid te kunnen garanderen, voor wat
betreft de levering van netwerken en/of diensten aan bedrijven en/of instellingen die
binnen de definitie vitale infrastructuur vallen. Van deze groep van 180 aanbieders beschikt
26% over een actueel overzicht van deze zakelijke klanten die binnen de definitie vitale
infrastructuur vallen. Aan hen levert men netwerken en/of diensten en heeft men dit
overzicht eveneens opgenomen in het continuïteitsplan. Er is echter bij 52% van de
aanbieders sprake van het prioriteren van incidenten met maatschappelijke en/of
economische impact.
Bij het leveren van netwerken en/of diensten aan bedrijven en/of instellingen die binnen de
definitie vitale infrastructuur vallen is sprake van gedeelde verantwoordelijkheden.
Vanzelfsprekend hebben deze vitale bedrijven en instellingen een eigen
verantwoordelijkheid teneinde zich te vergewissen van het feit dat men beschikt over een
optimale ICT verbinding. Dit ontslaat de aanbieder niet van de maatschappelijke
verantwoordelijkheid alert te zijn op het leveren van passende netwerken en/of diensten
aan bedrijven en/of instellingen die binnen de definitie vitale infrastructuur vallen en
navraag te doen of de verbinding een vitaal karakter heeft.
Pagina 5 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Integrale aanpak continuïteit
De continuïteit van netwerken en/of diensten kent vele invalshoeken. Er is sprake van
diverse afhankelijkheden die in sterke mate de totale continuïteitsketen (figuur 2)
beïnvloeden. “De keten is zo sterk als de zwakste schakel”.
Met de inwerkingtreding van de zorg- en meldplicht continuïteit is het van belang dat men
de continuïteit van netwerken en/of diensten verbetert en de maatschappelijke en
economische impact van incidenten en calamiteiten tot het minimum beperkt.
Daar waar aanbieders zich richten op de financiële gevolgen en/of de gevolgen in relatie
met mogelijke imagoschade naar aanleiding van incidenten en calamiteiten is het van
belang dat men ook oog heeft voor de economische en/of maatschappelijke schade die
wordt aangericht.
Juist incidenten en calamiteiten die leiden tot uitval van netwerken en/of diensten met
impact op bedrijven en/of instellingen die binnen de definitie vitale infrastructuur vallen,
kunnen leiden tot ernstige maatschappelijke en/of economische impact en zelfs
maatschappelijke ontwrichting.
Om de continuïteit van netwerken en/of diensten te verbeteren en de impact van incidenten
en calamiteiten te verminderen is een integrale aanpak van de continuïteit van netwerken
en/of diensten op bestuurlijk niveau wenselijk. Dit vraagt om een holistische aanpak
waarbij men bestuurt, evalueert en bewaakt en oog heeft voor de diverse afhankelijkheden
die binnen de continuïteitsketen bestaan. Hoe groter de omzet van de aanbieder hoe groter
ook de noodzaak wordt om alle processen die de continuïteit van netwerken en/of diensten
raken te integreren en te beschrijven in één vastgesteld continuïteitssysteem met een
vastgesteld continuïteitsplan.
Met dit uitgangspunt kan men werken aan de volgende stappen, te weten:
1. Voortdurende proportionele verbetering van het continuïteitssysteem;
2. Voortdurende proportionele verbetering van het beperken van de impact van incidenten
en majeure calamiteiten.
Naar aanleiding van de enquête kunnen wij echter concluderen dat op dit punt verdere
ontwikkeling en verbetering noodzakelijk is.
Figuur 2. Het continuïteitssysteem: oog hebben voor de maatschappelijke en economische impact van
incidenten.
Pagina 6 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Inhoudsopgave
INLEIDING 9
1 ONDERZOEKSVRAGEN EN METHODIEK 13
1.1 Onderzoeksvragen 13
1.2 Methode van onderzoek 14
2 DOEL VAN DIT RAPPORT 15
3 VERLOOP VAN HET ONDERZOEK 16
4 BEVINDINGEN NALEVING ZORG- EN MELDPLICHT CONTINUÏTEIT 17
4.1 Inleiding 17
4.2 Naleving zorgplicht continuïteit 17
4.3 Gebruik loket meldplicht 20
5 BEVINDINGEN KWALITEIT VAN HET CONTINUÏTEITSPLAN 21
5.1 Inleiding 21
5.2 Continuïteitsplan 23
5.3 Governance 23
5.4 Service management 24
5.5 BCM/ ICT Readiness: inclusief crisis- en herstelplannen 26
5.6 Integraal risico management 26
6 OVERIGE BEVINDINGEN 28
6.1 Vitale infrastructuur 28
7 CONCLUSIE 29
7.1 Stand van zaken naleving zorg- en meldplicht 29
7.2 Kwaliteit van het continuïteitsplan 31
7.3 Overige conclusies 34
BIJLAGE I AANBIEDINGSBRIEF EN ENQUÊTE 37
Pagina 7 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
BIJLAGE II RESULTATEN ENQUÊTE 0-METING ZORG- EN MELDPLICHT
CONTINUÏTEIT 48
Continuïteitsplan 48
Goed bestuur inzake continuïteit van netwerken en/of diensten (Governance) 49
Management van de dienstverlening (Service management) 51
Integraal risicobeheer continuïteit 56
Vitale infrastructuur 59
Meldplicht continuïteit 61
BIJLAGE III BESLUIT CONTINUÏTEIT 62
BIJLAGE IV AFKORTINGEN EN VERKLARENDE WOORDENLIJST 64
Pagina 8 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Inleiding
Elektronische communicatie is voor burgers en bedrijven steeds belangrijker geworden. In
het dagelijks leven zijn wij in hoge mate afhankelijk geworden van elektronische
communicatiediensten. Deze afhankelijkheid is groter dan men doorgaans beseft en wordt
ook wel “telekwetsbaarheid” genoemd. Incidenten op dit terrein kunnen economisch en
maatschappelijk veel schade aanrichten. De Europese Commissie heeft lidstaten
voorgeschreven om maatregelen te nemen die de betrouwbaarheid van openbare
elektronische communicatienetwerken en openbare elektronische communicatiediensten
(hierna: netwerken en/of diensten) moet vergroten.
Hoofdstuk 11a ‘continuïteit’
Om het vertrouwen van bedrijfsleven en maatschappij in elektronische communicatie te
stimuleren, heeft de Europese Commissie twee nieuwe verplichtingen opgesteld, die in de
Telecommunicatiewet (hierna: Tw) zijn opgenomen: de zorg- en meldplicht continuïteit.
Zorgplicht continuïteit
Aanbieders van openbare elektronische communicatienetwerken en openbare elektronische
communicatiediensten (hierna: aanbieders) zijn verplicht passende technische en
organisatorische maatregelen te nemen om de risico’s voor de veiligheid en integriteit van
netwerken en/of diensten te beheersen. Voor aanbieders van openbare telefoniediensten
geldt, bij verstoringen of uitval van elektriciteit, zelfs de verplichting om alle noodzakelijke
maatregelen te treffen. Het doel hiervan is de continuïteit en beschikbaarheid van
netwerken en/of diensten zoveel als mogelijk te waarborgen. Het gaat hierbij om inbreuken
op de veiligheid en een verlies aan integriteit van het netwerk en/of de dienst. Het gaat
hierbij nadrukkelijk niet om inbreuken op de persoonsgegevens (privacy).
Meldplicht continuïteit
Aanbieders zijn verplicht om bij inbreuken op de veiligheid en/of een (gedeeltelijk) verlies
aan integriteit melding te maken van dit incident bij Agentschap Telecom.
Sinds 5 juni 2012 is hoofdstuk 11a “continuïteit” van de Tw (hierna: zorg- en meldplicht
continuïteit) van kracht geworden. Het Besluit continuïteit openbare elektronische
communicatienetwerken en -diensten (hierna: Besluit continuïteit) is per 1 januari 2013 van
kracht.
Besluit continuïteit 3
Het Besluit continuïteit bevat regelgeving met betrekking tot de technische en
organisatorische maatregelen om de risico’s te beperken die de veiligheid en de integriteit
van netwerken en/of diensten bedreigen. Daarnaast bevat de regelgeving over de
meldplicht bij inbreuken op de veiligheid en verliezen van integriteit, de verstrekking van
informatie voor de beoordeling van de veiligheid en de integriteit en de aanwijzing van
inbreuken op de veiligheid en verliezen van integriteit van netwerken en/of diensten. 4
Aanbieders
De zorg- en meldplicht continuïteit geldt voor alle aanbieders in Nederland. Uit de
doelgroepanalyse van Agentschap Telecom komen drie doelgroepen naar voren:
1. Netwerkaanbieders;
2. Dienstenaanbieders met eigen netwerk;
3. Dienstenaanbieders zonder eigen netwerk.
3 Stb. 2012, 514. Besluit van 19 oktober 2012, houdende nadere regels met betrekking tot technische en organisatorische
eisen ter beperking van risico's voor de veiligheid en de integriteit, de meldplicht van inbreuken op de veiligheid en verliezen
van integriteit, de verstrekking van informatie voor de beoordeling van de veiligheid en de integriteit en de aanwijzing van
inbreuken op de veiligheid en verliezen van integriteit van openbare elektronische communicatienetwerken en -diensten
(Besluit continuïteit openbare elektronische communicatienetwerken en -diensten).
4 Deze regelgeving is vastgelegd in het document minimale eisen continuïteitsplan.
Pagina 9 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Aanbieders zijn verplicht zich op te laten nemen in het register. 5 Ook aanbieders die dit
hebben nagelaten, vallen echter binnen het bereik van de zorg- en meldplicht continuïteit.
Missie Agentschap Telecom
De missie van Agentschap Telecom is: “Wij waarborgen de beschikbaarheid van moderne
en betrouwbare telecommunicatie in en voor Nederland”. Agentschap Telecom houdt
toezicht op zowel de zorg- als meldplicht continuïteit.
Maatschappelijk belang centraal
Bij het uitvoeren van de missie van Agentschap Telecom staat het maatschappelijk belang
centraal, zo ook bij het toezicht op de zorg- en meldplicht continuïteit. Met het oog op het
maatschappelijk belang is het vanzelfsprekend dat men de continuïteit van netwerken en/of
diensten verbetert en de maatschappelijke en economische impact van incidenten en
calamiteiten tot het minimum beperkt.
Juist incidenten en calamiteiten die leiden tot uitval van netwerken en/of diensten met
impact op bedrijven en/of instellingen die binnen de definitie vitale infrastructuur vallen
kunnen leiden tot ernstige maatschappelijke en/of economische impact en zelfs
maatschappelijke ontwrichting. Derhalve heeft het leveren van diensten en netwerken aan
de bedrijven en/of instellingen die binnen de vitale infrastructuur vallen bij de uitvoering
van dit onderzoek de bijzondere aandacht van de onderzoekers.
Agentschap Telecom als toezichthouder
Agentschap Telecom streeft naar betrouwbare netwerken en/of diensten. In haar rol als
toezichthouder op de continuïteit van netwerken en/of diensten vormt zowel
regelconformiteit als beleidsconformiteit een belangrijk middel. Regelconformiteit is onder
meer het toezien op de naleving van de gestelde regels en het eventueel sanctioneren van
de overtreder. Concreet betekent dit dat Agentschap Telecom erop toeziet of er
daadwerkelijk passende technische en organisatorische maatregelen zijn getroffen en of
deze zijn vastgelegd in een continuïteitsplan.
Beleidsconformiteit betekent dat Agentschap Telecom een signalerende en adviserende
functie vervult bij het realiseren van beleidsdoelstellingen. Hierbij wordt gekeken of de
praktijk bij de aanbieder ook daadwerkelijk bijdraagt aan een zo goed mogelijk geborgde
continuïteit voor de klanten van de aanbieders, met als doel het voorkomen van
maatschappelijke en economische impact als gevolg van uitval. Het agentschap doet dit
door middel van audits waarbij niet alleen gekeken wordt naar de strikte naleving van de
regels. Met name wordt gekeken naar de praktijk van de aanbieder. Daarmee wordt
getoetst of de aanbieders daadwerkelijk gestalte hebben gegeven aan de in de
continuïteitsplannen beschreven maatregelen. Relevante bevindingen in algemene zin
kunnen onderwerp van gesprek zijn met de beleidskern van het ministerie van Economische
Zaken.
Sturingsfilosofie
Toezicht sluit aan op de laatste ontwikkelingen in het werkveld en op de beleidsprioriteiten
van de minister van Economische Zaken.
Daarom houden wij toezicht vanuit de volgende sturingsfilosofie:
Toezicht is verantwoordelijk voor het inspectietoezicht en draagt daarmee bij aan
het stelsel;
Toezicht heeft aandacht voor lastendrukvermindering en draagt hieraan bij door
selectief en slagvaardig te zijn;
Toezicht heeft vertrouwen in zelfregulering;
Toezicht is toegankelijk;
Toezicht is expliciet voor risicoaanvaarding;
Er is aandacht voor scheiding toezicht/uitvoering en toezicht/sanctionering;
De nationale en supranationale dimensie worden gelijkgeschakeld.
5 De OPTA houdt dit register bij.
Pagina 10 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
De ontwikkelingen in het werkveld van Agentschap Telecom leiden tot een veranderende rol
van toezicht. Toezicht verschuift van “iron hand”, de handhavende toezichthouder, naar
“invisible hand”, een toezichthouder die op afstand door middel van informatievergaring en
monitoring het toezichtveld observeert, analyseert en reguleert door het toepassen van
passende interventies. Reden voor deze verschuiving is het loslaten van de specifieke eisen
binnen vergunningen (flexibilisering) en de toename van vergunningsvrije banden. Tevens
moet Toezicht steeds vaker een groter toezichtveld overzien.
Onafhankelijke positie
Als toezichthouder verzamelt Agentschap Telecom informatie en brengt hiermee zijn
oordeel tot stand, onafhankelijk van andere partijen. Op deze wijze levert het agentschap
een bijdrage aan de doelstellingen van de zorg- en meldplicht continuïteit. Agentschap
Telecom stelt zelfstandig haar prioriteiten in het toezicht vast en acht dit van groot belang
om onafhankelijk te zijn bij het interveniëren en bij publicatie van onderzoeksresultaten
over de naleving van de zorg- en meldplicht continuïteit.
Toezicht in de praktijk
Agentschap Telecom kan bij het toezicht de volgende instrumenten inzetten:
Voorlichting;
Onderzoek;
Administratieve controles;
Inspecties;
Audits.
Hieronder volgt een toelichting. Voorkomen is beter dan genezen. Dit is een belangrijk
uitgangspunt van Agentschap Telecom. Daarom steekt het agentschap veel energie in
voorlichting en ondersteuning. Om inzicht te krijgen in de praktijksituatie bij de aanbieders,
vraagt Agentschap Telecom de continuïteitsplannen van de relevante aanbieders op. Het
continuïteitsplan van aanbieders moet voldoen aan wet- en regelgeving. Daarnaast is het
van belang dat relevante processen zijn ingericht, die leiden tot het voortdurend monitoren
en verbeteren van de continuïteit van netwerken en/of diensten. Het agentschap controleert
zowel het continuïteitsplan als de onderhavige processen. Agentschap Telecom zet
systeemtoezicht in om tot een optimale verbetering te komen van de
continuïteitsbeheersing door de aanbieder. Dit leidt tot kwaliteitsverhoging bij de aanbieder.
Systeemtoezicht ziet toe op datgene wat een organisatie doet om te verzekeren dat de
regels worden nageleefd en de risico’s worden beheerst.
Werken de processen, strategieën en procedures gericht op het borgen van
maatschappelijke belangen afdoende? Beheerst het bedrijf zijn processen zodanig dat de
risico’s op maatschappelijke en economische schade aanvaardbaar zijn? De hierbij
verzamelde informatie wordt niet getoetst aan een wettelijke eis maar aan systeemeisen,
neergelegd in een normenkader wat tijdens invoering van de zorg- en meldplicht
continuïteit is getoetst bij de grootste aanbieders.
Leidraad voor kwaliteitsverbetering
Agentschap Telecom hanteert bij het uitoefenen van het toezicht op de zorg- en meldplicht
continuïteit een normenkader. Dit kader is gebaseerd op verschillende internationale
kwaliteitsstandaarden met als doel:
1. het verbeteren van de bedrijfscontinuïteit bij aanbieders;
2. het borgen van de continuïteit van netwerken en/of diensten;
3. een betere voorbereiding op calamiteiten en incidenten bij aanbieders.
Ook willen we hiermee bereiken dat men oog heeft voor beheersing van de risico’s die
eventueel afbreuk kunnen doen aan de continuïteit van netwerken en/of diensten bij
aanbieders. Dit normenkader bevat die processen die de continuïteit van netwerken en/of
diensten raken.
Tot slot verwachten wij dat aanbieders zorg dragen voor continue verbetering van het
beheer en de beheersfunctie in relatie tot zowel de netwerken en/of diensten. In dit licht
Pagina 11 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
kunnen aanbieders achtereenvolgens de volgende internationale kwaliteitstandaarden, de
NEN-ISO normen, als leidraad voor kwaliteit hanteren:
1. Corporate Governance of Information Technology (CGIT);
2. Business Continuity Management Systems (BCMS);
3. Risk Management (RM);
4. ICT readiness for Business Continuity (IRBC);
5. ICT Service Management System (SMS).
Hierbij geeft:
1. de NEN-ISO 38500 norm (CGIT): concrete aanbevelingen voor goed bestuur van ICT;
2. de NEN-ISO 22301 norm (BCMS): concrete aanbevelingen om de bedrijfscontinuïteit in
algemene zin te beheren, te beheersen en steeds verder te verbeteren;
3. de NEN-ISO 31000 norm (RM): concrete aanbevelingen met betrekking tot het beheren
van risico´s welke eventueel afbreuk kunnen doen aan de continuïteit van het
communicatienetwerk en/of -dienst en het beheer steeds verder te verbeteren;
4. de NEN-ISO 27031 norm (IRBC): concrete aanbevelingen om het ICT kapitaal in
gereedheid te brengen en weerbaar te maken zodat de continuïteit van uw
communicatienetwerk en –dienst steeds beter voorbereid is waar het incidenten en
calamiteiten betreft;
5. en de NEN-ISO 20000 norm (SMS): concrete aanbevelingen voor de inrichting van
kwalitatief goed beheer van ICT dienstverlening, inclusief incident– en problem
management zodat de continuïteit van het netwerk en/of dienst steeds verder verbetert.
Met de bovenstaande leidraad wordt gedoeld op die processen die gericht zijn op het nemen
van “passende technische en organisatorische maatregelen” om de risico’s voor de
veiligheid en integriteit van netwerken en/of diensten te beheren en te beheersen, inclusief
het systeem wat zorg draagt voor voortdurende verbetering.
Het staat aanbieders uiteraard vrij om gebruik te maken van alternatieve kaders, normen
en/of best practices zoals bijvoorbeeld COBIT, ITIL etc. om de bovengenoemde processen
die de continuïteit van netwerken en/of diensten raken te adresseren en in te richten.
Leeswijzer
In dit rapport worden de resultaten weergegeven uit de 0-meting. In hoofdstuk 1 worden
de onderzoeksvragen en de methodiek van onderzoek toegelicht. Vervolgens beschrijft
hoofdstuk 2 het doel van het rapport. Het verloop van het onderzoek wordt in hoofdstuk 3
toegelicht. Hoofdstuk 4 bevat de bevindingen bij de aanbieders in het licht van de naleving
van de zorg- en meldplicht continuïteit. In hoofdstuk 5 worden de bevindingen bij
aanbieders op gebied van de kwaliteit van het continuïteitsplan toegelicht. De overige
bevindingen worden in hoofdstuk 6 weergegeven. De conclusies staan in hoofdstuk 7, waar
ook de onderzoeksvraag wordt beantwoord. De resultaten van de enquête worden in bijlage
II weergegeven.
Pagina 12 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
1 Onderzoeksvragen en methodiek
De aanleiding tot het uitvoeren van een 0-meting is aangegeven in het
“Toezichtarrangement Continuïteit”. De doelstelling van de 0-meting is om inzicht te krijgen
in hoeverre aanbieders voldoen aan de wet- en regelgeving vlak na het moment van
inwerkingtreding van de zorg- en meldplicht continuïteit en vlak voor de inwerkingtreding
van het Besluit continuïteit. Het verkregen inzicht wordt gebruikt als input voor het
opstellen van de risicoanalyse van de doelgroep om het toezicht selectief en slagvaardig uit
te kunnen voeren.
Het uitvoeren van de 0-meting en de hierop volgende meting is een middel om inzicht te
krijgen wat het effect is geweest van de inspanningen van Agentschap Telecom betreffende
haar toezichtactiviteiten. Door de resultaten van de 0-meting te vergelijken met de
bijbehorende resultaten van een vervolgmeting kan het verschil in de mate van naleving
worden bepaald. Dit zal overigens te zijner tijd in een separaat onderzoek worden
uitgevoerd. Daarmee ontstaat input voor de evaluatie van de effectiviteit van de
gehanteerde interventiemix en gekozen aanpak.
1.1 Onderzoeksvragen
De centrale onderzoeksvraag is:
In welke mate verwachten de aanbieders te voldoen aan de verplichtingen ten aanzien van
de zorg- en meldplicht continuïteit op het moment van inwerkingtreding van de wet- en
regelgeving?
De deelvragen zijn:
1. Wat is de stand van zaken ten aanzien van de zorg- en meldplicht continuïteit op het
moment van inwerkingtreding van de wet- en regelgeving; in welke mate verwachten de
aanbieders te voldoen aan hun verplichtingen? Zijn aanbieders in het bezit van een
continuïteitsplan? Indien men nog geen continuïteitsplan heeft, wanneer denkt men
hierover te beschikken?
2. Wat is de kwaliteit van het continuïteitsplan?
Beschrijven de aanbieders de risico’s inclusief de maatregelen die men heeft
genomen om deze risico’s te adresseren? Hebben aanbieders, bij het beschrijven van
de risico’s in het continuïteitsplan, rekening gehouden met majeure calamiteiten zoals
grootschalige uitval van elektriciteit en/of ICT?
Zijn in ieder geval de meest relevante processen door de aanbieders ingericht en
beschreven in het continuïteitsplan? Gedoeld wordt op die processen die gericht zijn
op het nemen van “passende technische en organisatorische maatregelen” om de
risico’s voor de veiligheid en integriteit van netwerken en/of diensten te beheren en
te beheersen inclusief het systeem dat zorg draagt voor voortdurende verbetering.
Onder de meest relevante processen welke gericht zijn op het beheren en beheersen van de
continuïteit van netwerken en/of diensten wordt verstaan:
1. Corporate Governance of Information Technology (CGIT);
2. Business Continuity Management System (BCMS);
3. Risk Management System (RMS);
4. ICT readiness for Business Continuity (IRBC);
5. ICT Service Management System (SMS).
Deze processen zijn de leidraad voor kwaliteitsverbetering van het beheer en het beheersen
van de continuïteit van netwerken en/of diensten.
Om inzicht te krijgen in de bovenstaande onderzoeksvragen zijn de enquêtevragen
opgesteld.
Pagina 13 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
1.2 Methode van onderzoek
Bepalen van de doelgroep
Om de benodigde informatie te verkrijgen is gekozen voor het verzenden van een enquête
aan de aanbieders. 6 Om de betrouwbaarheid te verhogen zijn de vragen in de enquête
gesloten gesteld. De aanbieders zijn wettelijk verplicht mee te werken aan de enquête.
Vooraf was al bekend dat niet alle aanbieders op basis van de door hun aangeboden
netwerken en/of diensten relevant zijn voor de eisen van de zorg- en meldplicht continuïteit.
Bijvoorbeeld aanbieders van netwerken of diensten waarover uitsluitend programma´s (TV
en Radio) worden verspreid. Deze zijn niet meegenomen in het onderzoek.
Om te bepalen welke omvang een aanbieder heeft, wordt een klasse naar grootte
gehanteerd op basis van de omzet. Deze zijn:
1. Klein: 0 - 2 miljoen euro;
2. Middel: 2 – 20 miljoen euro;
3. Groot: 20 miljoen euro of meer.
Mailing
Op 2 oktober 2012 is een brief verstuurd naar de aanbieders met als bijlage de enquête,
bestaande uit 29 vragen en twee aanvullende verzoeken. In deze brief is de aanbieders
verzocht de vragen te beantwoorden en de ingevulde enquête te retourneren binnen de
gestelde termijn van drie weken. De aanvullende vragen betreffen het toezenden van een
actuele versie van het continuïteitsplan en een lijst met klanten welke binnen de vitale
infrastructuur 7 vallen.
De wettelijke verplichtingen zijn toegelicht in de aanbiedingsbrief. Deze brief vindt u samen
met de enquêtevragen terug in bijlage I van dit rapport.
De doorlooptijd van het onderzoek (inclusief voorbereiding) heeft circa vijf maanden in
beslag genomen.
6 Er is voor gekozen om de gehele bekende populatie, de bij OPTA ingeschreven aanbieders aan te schrijven.
7 Vitale infrastructuren zijn ketens van vergelijkbare partijen waarvan het vanuit maatschappelijk oogpunt cruciaal is dat zij
blijven functioneren. Daarom wordt ook wel gesproken van vitale sectoren.
Pagina 14 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
2 Doel van dit rapport
Agentschap Telecom brengt met de uitvoering van dit onderzoek in beeld wat het niveau
van naleving is van de zorg- en meldplicht continuïteit. 8
Ten eerste dient de 0-meting om het huidige niveau van naleving zichtbaar te maken. Door
de 0- en (de op een later tijdstip uit te voeren) 1-meting te vergelijken kunnen de
verbeteringen in de naleving zichtbaar worden gemaakt. Dit zal in een separaat traject
gebeuren. Daarnaast dient de uitkomst van dit onderzoek als input voor de risicoanalyse
(op doelgroep, niet op individueel niveau) die de basis vormt voor de verder te houden
inspecties en audits. Er wordt voor de uitvoering van het toezicht door het agentschap
bepaald welke verbeterpunten er opgepakt moeten worden om de markt in beweging te
krijgen en te houden richting betere naleving.
Voor de beleidskern van het ministerie van Economische Zaken geeft deze rapportage
inzicht in het halen van de beleidsdoelen van de zorg- en meldplicht continuïteit op het
moment van inwerkingtreding van de wet- en regelgeving. Deze regelgeving is nieuw,
waardoor het van belang is dat aan de beleidsmakers wordt teruggekoppeld wat het
nalevingsniveau is. Met dit rapport worden mogelijke aandachtspunten in de uitvoering van
de zorg- en meldplicht continuïteit inzichtelijk gemaakt.
Tot slot, maar niet minder belangrijk Agentschap Telecom koppelt het resultaat van de 0meting
terug aan de markt. De aanbieders hebben meegewerkt aan de enquête. Het is dan
zorgvuldig hen ook te laten delen in het resultaat. Aanbieders kunnen aan de hand van dit
geanonimiseerde rapport zien in welke mate de markt voldoet aan de huidige wet- en
regelgeving, en waar zij zelf mogelijk verbeterpunten hebben. Ook wordt hiermee duidelijk
voor de markt waar accenten komen te liggen in het toezicht.
8 In de inleiding wordt verder ingegaan op de algemene doelstelling van het onderzoek.
Pagina 15 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
3 Verloop van het onderzoek
In totaal zijn 632 aanbieders aangeschreven. De eerste reactie hierop was beperkt,
waardoor het noodzakelijk was om na drie weken aan 358 aanbieders een eerste rappel te
verzenden. De 198 aanbieders die hier nog niet op reageerden zijn na twee weken
aangeschreven met een laatste, aangetekend, rappel. De aanbieders die vervolgens nog
geen reactie hebben gegeven zijn, voor zover mogelijk, gebeld om te vragen om
opheldering.
Van de 632 aangeschreven aanbieders hebben 563 (89%) de vragenlijst ingevuld
geretourneerd binnen de daarvoor gestelde termijnen.
De overige 69 aanbieders (11%) zijn niet bij de uitvoering van dit onderzoek betrokken. Dit
omdat de aanbieders niet binnen de daartoe gestelde termijn hebben aangeleverd. De
redenen hiervoor zijn onder andere aanbieders die zijn afgevallen in verband met mogelijk
faillissement, mogelijke overname en het vermoedelijk staken van de activiteiten.
Uiteindelijk is er in vier gevallen een rapport van bevindingen opgemaakt wegens het niet
reageren op de vordering tot het leveren van informatie. Hiervoor is een sanctietraject
opgestart met als doel de aanbieders te bewegen alsnog te reageren.
In totaal hebben 63 van de 563 respondenten aangegeven:
Een netwerk of dienst aan te bieden waarover uitsluitend programma´s (TV en
radio) worden verspreid;
Een besloten netwerk aan te bieden;
Dat sprake is van een faillissement, een overname of het staken van de
activiteiten.
Deze aanbieders worden in 2013 nader onderzocht om een beeld te vormen in hoeverre
deze aanbieders vallen onder de zorg- en meldplicht.
Uiteindelijk hebben 500 aanbieders een valide set antwoorden aangeleverd die is
meegenomen in dit onderzoek.
Pagina 16 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
4 Bevindingen naleving zorg- en meldplicht continuïteit
4.1 Inleiding
Sinds 5 juni 2012 is de zorg- en meldplicht continuïteit van kracht. Deze wet is een
onderdeel geworden van hoofdstuk 11a van de Tw. Vanaf 1 januari 2013 is het Besluit
continuïteit van kracht.
Besluit continuïteit
Het Besluit continuïteit bevat regelgeving met betrekking tot de technische- en
organisatorische maatregelen om de risico’s te beperken die de veiligheid en de integriteit
van netwerken en/of diensten bedreigen. Eveneens bevat de regelgeving over de meldplicht
van inbreuken op de veiligheid en verliezen van integriteit, de verstrekking van informatie
voor de beoordeling van de veiligheid en de integriteit en de aanwijzing van inbreuken op
de veiligheid en verliezen van integriteit van netwerken en/of diensten.
4.2 Naleving zorgplicht continuïteit
In de enquête is een aantal vragen gesteld die een directe relatie heeft met de artikelen die
zijn opgenomen in hoofdstuk 11a van de Tw en/of in het Besluit continuïteit dat vanaf 1
januari 2013, dus enkele weken na het inleveren van de antwoorden op de enquête, van
kracht is geworden.
Deze vragen zijn:
1. Beschikt u over een vastgesteld continuïteitsplan?
2. Wanneer verwacht u wel te beschikken over een vastgesteld continuïteitsplan?
3. Bij uitbesteding bent u er ook verantwoordelijk voor dat derden de verplichtingen als
bedoeld in de zorgplicht continuïteit naleven. Heeft u deze verplichtingen in een
schriftelijke overeenkomst vastgelegd en verwijst u in uw continuïteitsplan naar deze
overeenkomst?
4. Heeft u in het continuïteitsplan die risico’s beschreven die de continuïteit, van uw
netwerken en/of diensten, bedreigen?
5. Heeft u in het continuïteitsplan de maatregelen beschreven welke u neemt om deze
risico’s te adresseren?
6. Heeft u in het continuïteitsplan, bij het beschrijven van de risico’s, ook rekening
gehouden met grootschalige uitval van elektriciteit en/of ICT?
Op de volgende pagina’s worden de bevindingen in het licht van de naleving van de zorg-
en meldplicht continuïteit naar aanleiding van de resultaten van deze enquêtevragen
volgordelijk behandeld.
Pagina 17 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Ad Vraag 1.
Beschikt u over een vastgesteld continuïteitsplan?
Figuur 3. Meer dan driekwart van de aanbieders geeft aan niet te beschikken over een continuïteitsplan
op het moment van de enquête.
Meer dan driekwart van de aanbieders (76%) geeft aan, op het moment van de enquête,
vlak voor de inwerkingtreding van het Besluit continuïteit (dat inwerking treedt op 1 januari
2013), niet te beschikken over een vastgesteld continuïteitsplan. Op dat moment was het
overigens nog niet verplicht om te beschikken over een vastgesteld continuïteitsplan.
Ad Vraag 2.
Wanneer verwacht u wel te beschikken een vastgesteld continuïteitsplan?
Van de aanbieders die aangeven nog niet of bijna te beschikken over een vastgesteld
continuïteitsplan (in onderstaande tekst staat deze groep voor 100%) geeft 41% aan het
continuïteitsplan, binnen één tot zes maanden af te ronden en vast te stellen. Van de
aanbieders die aangeven nog niet of bijna te beschikken over een vastgesteld
continuïteitsplan geeft 3% aan om binnen één maand, 6% aan om binnen drie maanden,
32 % binnen zes maanden en 59% over meer dan zes maanden, het continuïteitsplan af te
gaan ronden en vast te gaan stellen.
Ad Vraag 3.
Heeft u deze verplichtingen in een schriftelijke overeenkomst vastgelegd en verwijst u in
uw continuïteitsplan naar deze overeenkomst?
Bij 65% van de aanbieders zijn deze verplichtingen niet of gedeeltelijk in een schriftelijke
overeenkomst vastgelegd en wordt hiernaar verwezen in het continuïteitsplan. Bij
uitbesteding aan derden blijft de aanbieder verantwoordelijk voor het naleven van de zorg-
en meldplicht continuïteit.
Ad Vraag 4.
Heeft u in het continuïteitsplan die risico’s beschreven die de continuïteit, van uw netwerken
en/of diensten, bedreigen?
Bij 26% van de aanbieders zijn die risico’s in het continuïteitsplan beschreven die de
continuïteit, van de eigen netwerken en/of diensten, bedreigen en 21% van de aanbieders
voldoet hier gedeeltelijk aan.
Pagina 18 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Figuur 4. Iets minder dan driekwart van de aanbieders heeft in het continuïteitsplan niet of gedeeltelijk
die risico’s beschreven die de continuïteit van de eigen aangeboden netwerken en/of diensten
bedreigen.
Bij 74% van de aanbieders zijn de risico’s niet of gedeeltelijk in het continuïteitsplan
beschreven en voldoen ze niet aan de verplichtingen welke in het Besluit continuïteit zijn
vastgelegd.
Ad Vraag 5.
Heeft u in het continuïteitsplan de maatregelen beschreven welke u neemt om deze risico’s
te adresseren?
Figuur 5. Iets minder dan driekwart van de aanbieders heeft in het continuïteitsplan niet of gedeeltelijk
die maatregelen beschreven die men neemt om de risico’s te adresseren.
Bij 71% van de aanbieders zijn de maatregelen die men neemt om de risico’s te adresseren
niet of gedeeltelijk in het continuïteitsplan beschreven en voldoen ze niet aan de
verplichtingen welke in het Besluit continuïteit zijn vastgelegd.
Ad Vraag 6.
Heeft u in het continuïteitsplan, bij het beschrijven van de risico’s, ook rekening gehouden
met grootschalige uitval van elektriciteit en/of ICT?
Meer dan de helft van de aanbieders (52%) geeft aan dat men bij het beschrijven van de
risico’s, geen rekening heeft gehouden met grootschalige uitval van elektriciteit en/of ICT
beschreven in het continuïteitsplan. Hierdoor voldoen ze niet aan de verplichtingen welke in
de regelgeving zijn vastgelegd.
Pagina 19 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Figuur 6. Meer dan de helft van de aanbieders heeft in het continuïteitsplan bij het beschrijven van de
risico’s, geen rekening gehouden met grootschalige uitval van elektriciteit en/of ICT.
4.3 Gebruik loket meldplicht
Heeft u uw inloggegevens aangevraagd en ontvangen? Het betreft hier de inloggegevens
die u nodig heeft om incidenten, met (mogelijke) maatschappelijke en/of economische
impact, bij het loket Meldplicht te melden?
Een totaal van 31% van de aanbieders heeft bij inwerkingtreding van de zorg- en
meldplicht continuïteit de inloggegevens aangevraagd en ontvangen. Het betreft hier de
inloggegevens die men nodig heeft om incidenten, met (mogelijke) maatschappelijke en/of
economische impact, bij het loket Meldplicht elektronisch te melden.
Een totaal van 69% van de aanbieders heeft bij inwerkingtreding van de zorg- en
meldplicht continuïteit de inloggegevens (nog) niet aangevraagd en/of ontvangen.
Aanbieders zijn verplicht om bij inbreuken op de veiligheid en/of een (gedeeltelijk) verlies
aan integriteit melding te maken van dit incident bij Agentschap Telecom.
Figuur 7. Een totaal van 31% van de aanbieders heeft bij inwerkingtreding van de zorg- en meldplicht
continuïteit de inloggegevens aangevraagd en ontvangen.
Pagina 20 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
5 Bevindingen kwaliteit van het continuïteitsplan
5.1 Inleiding
Waar het gaat om de continuïteit van netwerken en/of diensten zijn de belangen groot.
De onderhavige materie is complex en kent vele invalshoeken. Een kleine toelichting is hier
op zijn plaats.
Vier basale processen
Er zijn vier processen die de continuïteit van netwerken en/of diensten, elk op een eigen
wijze, adresseren. Het proces “Business Continuity Management” (het beheer van de
bedrijfscontinuïteit) en het proces “Integraal Risk Management” (het integraal risicobeheer)
zijn processen die vanuit de optiek van de bedrijfsvoering de continuïteit van netwerken
en/of diensten adresseren. Het proces “ICT Service Management” (het management van de
dienstverlening) en het proces “ICT Readiness” (ICT weerbaarheid) zijn processen die veel
meer vanuit de optiek van de ICT de continuïteit van netwerken en/of diensten benaderen.
Samenvattend kijkt men dus en/of vanuit het oogpunt van de bedrijfsvoering en/of vanuit
het oogpunt van de ICT functie naar de continuïteit van netwerken en/of diensten.
Het belang van integrale aansturing
Het is van het belang de inzichten vanuit beide segmenten, dus vanuit deze vier processen,
niet alleen met elkaar te delen maar ook te combineren. Voor een juiste aansturing en om
de verschillende belangen op juiste wijze te adresseren is het noodzakelijk om het thema
continuïteit van netwerken en/of diensten integraal en holistisch op bestuurlijk niveau te
beheren en te beheersen. Die belangen die zich vanuit de hoek van de bedrijfsvoering
manifesteren dienen waar mogelijk zoveel mogelijk op lijn te worden gebracht met de
belangen vanuit de ICT functie en andersom.
1. Bestuurlijke invalshoek
Naast het op lijn brengen van de verschillende belangen zal men invulling moeten geven
aan de drie hoofdtaken; besturen, evalueren en bewaken van het strategische thema;
continuïteit van netwerken en/of diensten. Hierbij spelen vragen zoals: Is er voldoende
budget vrijgemaakt? Wordt het budget gebruikt om de juiste dingen te doen, op het juiste
moment en op de juiste plek? Zijn wij voldoende voorbereid op grote calamiteiten? Zijn de
verantwoordelijkheden op de juiste manier belegd? Zakelijke belangen staan vaak loodrecht
tegenover de kwaliteitsbelangen, waar trekt men de grens? Kortom de betrokkenheid van
de directie is van groot belang om richting te geven aan dit strategische thema.
2. ICT Technische invalshoek
De bestuurlijke intentie zal vervolgens op de juiste wijze moeten worden vertaald. Hier is
sprake van de ICT technische invalshoek. Hoe geeft men invulling aan de weerbaarheid en
robuustheid van de netwerken en/of diensten? Hierbij speelt de levenscyclus en de
inrichting van de diensten en de gerelateerde ICT (componenten) een rol. Het service
management proces, oftewel het management van de dienstverlening, adresseert de
levenscyclus van dienst en/of netwerk (of elementen hiervan); de levenscyclus van
strategie naar ontwerp, van ontwerp naar transitie, van transitie naar operatie en van
operatie naar uitfasering. Bij het opstellen van de servicestrategie is kwalitatief financieel
management een vereiste. Bij het opstellen van een goede dienst- en/of netwerkontwerp
zijn onder andere elementen als de kwaliteit van de dienstverlening, het beheer van de
beschikbaarheid, de capaciteit en de continuïteit en de informatiebeveiliging zaken die men
in een vroeg stadium al dient te adresseren. Tijdens de implementatie, transitie of
verandering bedreigen weer andere kwetsbaarheden de continuïteit van netwerken en/of
diensten. Uiteindelijk spelen in de operatie processen zoals incident management,
proble(e)m management, change management en de continue verbetering van de service
prestatie bij het beheren en beheersen van de continuïteit van netwerken en/of diensten
een sleutelrol.
Pagina 21 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
3. Crisismanagement
Het is van belang dat bedrijven en instellingen zich zo goed mogelijk voorbereiden op een
mogelijke crisissituatie. Hiertoe worden de meest kritieke- en waardevolle processen,
diensten, elementen etc. in kaart gebracht en worden mogelijke crisisscenario’s voorbereid,
uitgedacht en geadresseerd. Met name in de Telecommunicatiesector is men hierbij in
toenemende mate afhankelijk van ICT. De continuïteit van netwerken en/of diensten kent
dus ook vanuit deze invalshoek een invulling die op bestuurlijk niveau wordt ingezet en op
de juiste wijze naar de operatie moet worden vertaald. Bij de beschrijving van hoe te
handelen tijdens majeure calamiteiten en/of een crisissituatie is het crisismanagement
proces belangrijk, inclusief crisismanagement team, de continuïteit – en herstelplannen, de
crisisoefeningen en ook de inventarisatie van mogelijke crisisscenario’s. Ook hier is er
sprake van een directe relatie, juist in de Telecommunicatiesector, met de continuïteit van
netwerken en/of diensten. Op welke crisisscenario’s bereid men zich voor? Is er sprake van
een centraal punt waar men werkt tijdens crisis en heeft men de beschikking over die
informatie die op dat moment relevant is? Wat is de maximaal toelaatbare hersteltijd voor
uitval van specifieke kritieke elementen en/of processen? Welke maatregelen kunnen op
voorhand worden genomen om de impact te verminderen?
4. Integraal Risico Management
De continuïteit van netwerken en/of diensten wordt binnen verschillende processen en
vanuit verschillende invalshoeken bezien. Een adequate aansturing vereist dan ook een
integrale holistische benadering en aanpak, juist daar waar het gaat om het in kaart
brengen van de bestaande- en toekomstige risico’s. Er is sprake van een complexe keten
van afhankelijkheden waar het de continuïteit van netwerken en/of diensten betreft. De
continuïteitsketen is afhankelijk van een groot aantal complexe fysieke en virtuele schakels.
Op elk van de afzonderlijke schakels kunnen volledig andere bedreigingen de totale keten
op negatieve wijze beïnvloeden.
Het zorg dragen voor continuïteit gaat vanzelfsprekend verder dan alleen het opstellen van
een continuïteitsplan.
Figuur 8. Continuïteit van netwerken en/of diensten: de meest relevante processen
Voor alle duidelijkheid worden met de in figuur 8 genoemde processen die processen
bedoeld die de continuïteit van netwerken en/of diensten raken en die gericht zijn op het
nemen van “passende technische en organisatorische maatregelen” om de risico’s voor de
veiligheid en integriteit van netwerken en/of diensten te beheren en te beheersen. Samen
vormen deze processen (hierna te noemen de continuïteitsprocessen) het
continuïteitssysteem dat zorg draagt voor voortdurende verbetering.
Kwaliteit van het continuïteitsplan
Het adequaat inrichten en continu verbeteren van deze processen die de continuïteit van
netwerken en/of diensten direct raken en het integraal aansturen van continuïteit op
bestuurs- en/of directieniveau zijn uiteindelijk bepalend voor de kwaliteit van het
continuïteitssysteem van een onderneming of instelling. Een adequate inrichting van alle
continuïteitsprocessen zal uiteindelijk de kwaliteit en effectiviteit van het totale
continuïteitssysteem bepalen.
Pagina 22 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Bij de uitvoering van dit onderzoek hebben de onderzoekers een beoordeling gegeven over
de kwaliteit van het continuïteitsplan. Let wel, hierbij geven de onderzoekers geen oordeel
over een adequate inrichting van deze continuïteitsprocessen.
In dit onderzoek beperken de onderzoekers zich tot het doen van een uitspraak die
betrekking heeft op de kwaliteit van het continuïteitsplan puur op basis van het al dan niet
aanwezig zijn van een beschrijving van de continuïteitsprocessen (zie figuur 8) in het
continuïteitsplan.
5.2 Continuïteitsplan
Van de aanbieders geeft 24% aan dat zij beschikken over een vastgesteld continuïteitsplan.
De overigen geven aan niet (46%) te beschikken over een vastgesteld continuïteitsplan of
bezig te zijn met de voorbereiding van het continuïteitsplan (30%).
Figuur 9. Beschikt u over een vastgesteld continuïteitsplan?
Meer dan driekwart van de aanbieders (76%) geeft aan, op het moment van de enquête,
niet te beschikken over een vastgesteld continuïteitsplan.
Van de aanbieders die aangeven nog niet of bijna te beschikken over een vastgesteld
continuïteitsplan (in onderstaande tekst staat deze groep voor 100%) geeft 41% aan het
continuïteitsplan, binnen één tot zes maanden af te ronden en vast te stellen. Van de
aanbieders die aangeven nog niet of bijna te beschikken over een vastgesteld
continuïteitsplan geeft 3% aan om binnen één maand, 6% aan om binnen drie maanden,
32 % binnen drie maanden en 59% over meer dan drie maanden, het continuïteitsplan af
te gaan ronden en vast te gaan stellen.
5.3 Governance
Specifieke richtlijnen en beleid
Wanneer specifiek wordt gekeken naar goed bestuur van continuïteit, komt het volgende
beeld naar voren. Ten tijde van deze nalevingsmeting zijn er vanuit bestuurlijk oogpunt
duidelijke richtlijnen en doelstellingen afgegeven met betrekking tot de continuïteit en de
beschikbaarheid bij 53% van de aanbieders. Bij 18% van de aanbieders is er geen sprake
van specifiek beleid met betrekking tot de continuïteit en de beschikbaarheid, bij 16% van
de aanbieders is dit in voorbereiding en bij 13% van de aanbieders is er (nog) niet specifiek
maar wel gedeeltelijk beleid opgesteld op dit punt.
Specifieke rapportage met betrekking tot de eigen prestatie
Bij 61% van de aanbieders wordt regelmatig specifiek op directieniveau gerapporteerd daar
waar het de geleverde prestatie van de organisatie betreft met betrekking tot de
continuïteit en de beschikbaarheid. Bij 11% van de aanbieders gebeurt dit gedeeltelijk. Bij
Pagina 23 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
10% van de aanbieders is een dergelijke rapportage in voorbereiding en bij 18% van de
aanbieders wordt er (nog) niet gerapporteerd.
Specifieke rapportage met betrekking tot prestatie van leveranciers
Bij 44% van de aanbieders wordt regelmatig specifiek op directieniveau gerapporteerd daar
waar het de geleverde prestatie van de organisatie betreft met betrekking tot de
continuïteit en de beschikbaarheid. Bij 23% van de aanbieders gebeurt dit gedeeltelijk. Bij
10% van de aanbieders is een dergelijke rapportage in voorbereiding en bij 23% van de
aanbieders wordt er (nog) niet gerapporteerd.
Uit de bovenstaande resultaten uit de enquête blijkt dat 18 tot 23% van de aanbieders
weinig tot geen bestuurlijke aandacht heeft waar het gaat om de continuïteit van netwerken
en/of diensten. Hier wordt gedoeld op tenminste twee van de drie bestuurlijke hoofdtaken,
te weten:
Het besturen met name het geven van richtlijnen en beleid;
Het bewaken van de eigen prestatie of die van derden (leveranciers etc.).
5.4 Service management
Beschrijving van vitale service management processen
Bij 21% van de aanbieders is het proces incident management beschreven in het
continuïteitsplan en bij 6% van de aanbieders is dit proces gedeeltelijk beschreven. Bij 37%
van de aanbieders is het proces incident management niet beschreven in het
continuïteitsplan en 36% van de aanbieders werkt aan de voorbereiding hiervan.
Bij 17% van de aanbieders is het proces proble(e)m management beschreven in het
continuïteitsplan en bij 6% van de aanbieders is dit proces gedeeltelijk beschreven. Bij 42%
van de aanbieders is het proces proble(e)m management niet beschreven in het
continuïteitsplan en 35% van de aanbieders werkt aan de voorbereiding hiervan.
Bij 19% van de aanbieders is het proces change management beschreven in het
continuïteitsplan en bij 4% van de aanbieders is dit proces gedeeltelijk beschreven. Bij 43%
van de aanbieders is het proces change management niet beschreven in het
continuïteitsplan en 34% van de aanbieders werkt aan de voorbereiding hiervan.
Bij 37 tot 43% van de aanbieders zijn de meest relevante processen met betrekking tot het
management van de dienstverlening in het licht van de continuïteit van netwerken en/of
diensten vooralsnog niet beschreven in het continuïteitsplan.
Maximum toelaatbare hersteltijd na storing
Bij 31% van de aanbieders is de maximum toelaatbare hersteltijd na storing
vastgesteld en beschreven in het continuïteitsplan, bij 29% van de aanbieders niet, bij 33%
van de aanbieders is men bezig met de voorbereiding hiervan. Bij 7% van de aanbieders is
de maximum toelaatbare hersteltijd na storing gedeeltelijk vastgesteld en beschreven in
het continuïteitsplan.
Bij 29% van de aanbieders is de maximum toelaatbare hersteltijd na storing niet
vastgesteld en beschreven in het continuïteitsplan. Deze bevinding heeft ook een relatie
met BCM/ICT Readiness namelijk bij het opstellen van de herstelplannen geeft men aan wat
de maximaal toelaatbare hersteltijd is bij storing van kritieke processen en onderdelen.
Registratie incidenten
Bij 57% van de aanbieders worden incidenten op eenduidige wijze geregistreerd waarbij de
mogelijke impact, urgentie en de verwachte hersteltijd eveneens is aangegeven. Bij 14%
van de aanbieders gebeurt dit niet, bij 16% van de aanbieders is men bezig met de
voorbereiding hiervan en bij 13% van de aanbieders worden incidenten gedeeltelijk volgens
de bovenstaande voorwaarden geregistreerd.
Pagina 24 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Ondanks het feit dat 37% van de aanbieders het proces incident management vooralsnog
niet heeft beschreven in het continuïteitsplan, registreert een groep (14%) van de
aanbieders hun incidenten niet op eenduidige wijze, waarbij de mogelijke impact, urgentie
en de verwachte hersteltijd eveneens is aangegeven.
Prioriteren van incidenten met maatschappelijke en/of economische impact
Bij 52% van de aanbieders is er sprake van het prioriteren van incidenten met
maatschappelijke en/of economische impact. Bij 27% van de aanbieders niet, bij 14% van
de aanbieders is men bezig met de voorbereiding hiervan en bij 7% van de aanbieders
worden incidenten met maatschappelijke en/of economische impact gedeeltelijk
geprioriteerd.
Bij 27% van de aanbieders is er geen sprake van het prioriteren van incidenten met
maatschappelijke en/of economische impact.
Verouderde onderdelen van de infrastructuur
Bij 13% van de aanbieders is in het continuïteitsplan omschreven welk deel van de
infrastructuur op korte termijn aan vervanging toe is. Bij 54% van de aanbieders niet, bij
29% van de aanbieders is men bezig met de voorbereiding hiervan en bij 4% van de
aanbieders is in het continuïteitsplan gedeeltelijk omschreven welk deel van de
infrastructuur op korte termijn aan vervanging toe is.
Bij 37% van de aanbieders zijn er met betrekking tot verouderde onderdelen van de
infrastructuur, naast spare part management, additionele passende technische en
organisatorische maatregelen genomen teneinde de continuïteit over dit verouderde
gedeelte te kunnen garanderen. Bij 41% van de aanbieders niet en bij 22% van de
aanbieders is men bezig met de voorbereiding hiervan.
Bij 47% van de aanbieders is er met betrekking tot verouderde onderdelen van de
infrastructuur, een verhoogde paraatheid/ alertheid, bijvoorbeeld in de vorm van
monitoring, ingesteld. Bij 42% van de aanbieders niet en bij 11% van de aanbieders
voldoet hier gedeeltelijk aan.
Bij 54% van de aanbieders is in het continuïteitsplan niet omschreven, welk deel van de
infrastructuur op korte termijn aan vervanging toe is. Bij 41% van de aanbieders zijn er
met betrekking tot verouderde onderdelen van de infrastructuur, naast spare part
management, geen additionele passende technische en organisatorische maatregelen
genomen en bij 42% is er geen sprake van een verhoogde paraatheid/ alertheid, teneinde
de continuïteit over dit verouderde gedeelte te kunnen garanderen.
Actueel overzicht van de huidige leveranciers
Bij 47% van de aanbieders is een actueel overzicht van de huidige leveranciers en/of
service partners op het gebied van ICT en Technische Infrastructuur (hierna TI), welke een
relatie hebben met de continuïteit van uw netwerken en/of diensten, opgenomen in het
continuïteitsplan. Bij 39% van de aanbieders is dit niet het geval en 14% van de aanbieders
voldoet hier gedeeltelijk aan.
Bij 39% van de aanbieders is een actueel overzicht van de huidige leveranciers en/of
service partners op het gebied van ICT en TI, niet opgenomen in het continuïteitsplan.
Pagina 25 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
5.5 BCM/ ICT Readiness: inclusief crisis- en herstelplannen
Figuur 10. Heeft u in het continuïteitsplan, bij het beschrijven van de risico’s, ook rekening gehouden
met grootschalige uitval van elektriciteit en/of ICT?
Bij 52% van de aanbieders heeft men, bij het beschrijven van de risico’s in het
continuïteitsplan, geen rekening gehouden met grootschalige uitval van elektriciteit en/of
ICT.
Bij 46% van de aanbieders heeft men, in geval van grootschalige uitval van elektriciteit
en/of ICT, de dan in werking tredende kritieke processen en activiteiten niet in het
continuïteitsplan beschreven.
5.6 Integraal risico management
Risico’s beschreven, inclusief kans en impact
Bij 26% van de aanbieders zijn die risico’s in het continuïteitsplan beschreven die de
continuïteit, van de eigen netwerken en/of diensten, bedreigen. Bij 53% van de aanbieders
is dit niet het geval en 21% van de aanbieders voldoet hier gedeeltelijk aan.
Bij 24% van de aanbieders zijn de risico’s in het continuïteitsplan beschreven waarbij
eveneens de kans van het optreden van het risico en de impact bij het optreden van het
risico wordt vermeld. Bij 58% van de aanbieders is dit niet het geval en 24% van de
aanbieders voldoet hier gedeeltelijk aan.
Bij 53% van de aanbieders zijn de risico’s die de continuïteit, van de eigen netwerken en/of
diensten bedreigen, niet beschreven in het continuïteitsplan. Bij 58% van de aanbieders
zijn de risico´s niet zodanig beschreven dat ook de kans op het optreden van het risico en
de mogelijke impact bij optreden van het risico is beschreven in het continuïteitsplan.
Pagina 26 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Passende maatregelen om risico’s te adresseren
Bij 52% van de aanbieders heeft men de maatregelen welke men neemt om deze risico’s te
adresseren niet in het continuïteitsplan beschreven.
Figuur 11. Heeft u in het continuïteitsplan de maatregelen beschreven welke u neemt om deze risico’s
te adresseren?
Pagina 27 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
6 Overige bevindingen
6.1 Vitale infrastructuur
Wij kunnen concluderen dat 36% van de aanbieders zich er bewust van is dat men
netwerken en/of diensten levert aan bedrijven en/of instellingen die binnen de definitie
vitale infrastructuur vallen en dat de directie hiervan op de hoogte is. Het betreft hier in
totaal 180 aanbieders van verschillende omvang.
Van deze 180 aanbieders heeft 38% beschreven welke additionele maatregelen zijn
genomen, teneinde de continuïteit en de beschikbaarheid te kunnen garanderen, voor wat
betreft de levering van netwerken en/of diensten aan bedrijven en/of instellingen die
binnen de definitie vitale infrastructuur vallen.
Figuur 12. Heeft u een actueel overzicht van die zakelijke klanten (bedrijven en/of instellingen), die
binnen de definitie “vitale infrastructuur” vallen en die u netwerken en/of diensten levert, opgenomen
in het continuïteitsplan?
Van deze groep van 180 aanbieders beschikt 26% over een actueel overzicht van deze
zakelijke klanten die binnen de definitie vitale infrastructuur vallen. Aan hen levert men
netwerken en/of diensten en heeft men dit overzicht opgenomen in het continuïteitsplan. Er
is echter wel bij 52% van de aanbieders sprake van het prioriteren van incidenten met
maatschappelijke en/of economische impact.
Pagina 28 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
7 Conclusie
In dit hoofdstuk staat de beantwoording van de onderzoeksvraag, inclusief de afgeleide
onderzoeksvragen centraal: In welke mate verwachten de aanbieders te voldoen aan de
verplichtingen ten aanzien van de zorg- en meldplicht continuïteit op het moment van
inwerkingtreding van de wet- en regelgeving?
De deelvragen zijn:
1. Wat is de stand van zaken ten aanzien van de zorg- en meldplicht continuïteit op het
moment van inwerkingtreding van de wet- en regelgeving; in welke mate verwachten de
aanbieders te voldoen aan hun verplichtingen? Zijn aanbieders in het bezit van een
continuïteitsplan? Indien men nog geen continuïteitsplan heeft, wanneer denkt men
hierover te beschikken?
2. Wat is de kwaliteit van het continuïteitsplan?
Beschrijven de aanbieders de risico’s inclusief de maatregelen die men heeft
genomen om deze risico’s te adresseren? Hebben aanbieders, bij het beschrijven van
de risico’s in het continuïteitsplan, rekening gehouden met majeure calamiteiten zoals
grootschalige uitval van elektriciteit en/of ICT?
Zijn in ieder geval de meest relevante processen door de aanbieders ingericht en
beschreven in het continuïteitsplan? Gedoeld wordt op die processen die gericht zijn
op het nemen van “passende technische en organisatorische maatregelen” om de
risico’s voor de veiligheid en integriteit van netwerken en/of diensten te beheren en
te beheersen inclusief het systeem dat zorg draagt voor voortdurende verbetering.
Verder leiden de bevindingen uit de voorgaande hoofdstukken tot een aantal conclusies. De
belangrijkste conclusies worden eveneens in dit hoofdstuk weergegeven.
7.1 Stand van zaken naleving zorg- en meldplicht
Continuïteitsplan
Meer dan driekwart van de aanbieders (76%) geeft aan, op het moment van de enquête,
dus enkele weken voor de inwerkingtreding van het Besluit continuïteit, niet te beschikken
over een vastgesteld continuïteitsplan.
Om te bepalen welke omvang een aanbieder heeft, wordt een klasse naar grootte
gehanteerd op basis van de omzet. Deze zijn:
1. Klein: 0 - 2 miljoen euro;
2. Middel: 2 – 20 miljoen euro;
3. Groot: 20 miljoen euro of meer.
Van de aanbieders die aangeven nog niet te beschikken over een vastgesteld
continuïteitsplan, kan, na analyse, het merendeel gekenmerkt worden als “middelgroot” of
“klein”. De grotere netwerkaanbieders bevinden zich niet in deze categorie.
Om verdere verdieping aan te brengen naar aanleiding van de conclusie dat meer dan
driekwart van de aanbieders geen continuïteitsplan heeft, hebben wij onderzocht waar wij
de grotere aanbieders, 13% van het totaal, kunnen plaatsen. De meerderheid (77%) van
de grote netwerkaanbieders beschikt op het moment van de enquête over een vastgesteld
continuïteitsplan. Bij 16% van de grote aanbieders is het continuïteitsplan in voorbereiding
en 7% beschikt niet over een vastgesteld continuïteitsplan (en is ook niet in voorbereiding).
Wanneer beschikt men wel over een vastgesteld continuïteitsplan?
Van de aanbieders die aangeven nog niet of bijna te beschikken over een vastgesteld
continuïteitsplan 9 geeft 41% aan het continuïteitsplan, binnen één tot zes maanden af te
9 Deze groep staat voor 100%.
Pagina 29 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
ronden en vast te stellen. Van de aanbieders die aangeven nog niet of bijna te beschikken
over een vastgesteld continuïteitsplan geeft 3% aan om binnen één maand (tijdig), 6% aan
om binnen drie maanden, 32 % binnen zes maanden en 59% over meer dan zes maanden,
het continuïteitsplan af te gaan ronden en vast te gaan stellen. Bij het nader doorrekenen
van deze resultaten kan worden geconcludeerd dat bij de inwerkingtreding van het Besluit
continuïteit (1 januari 2013) 74% niet tijdig voldoet aan de wet- en regelgeving door niet
tijdig te beschikken over een vastgesteld continuïteitsplan. 10 Hiermee is de hoofdvraag van
het onderzoek beantwoord.
Naleving van de wetgeving bij uitbesteding aan derden
Bij 65% van de aanbieders zijn deze verplichtingen niet of slechts gedeeltelijk in een
schriftelijke overeenkomst vastgelegd en wordt hiernaar verwezen in het continuïteitsplan.
Deze groep loopt een verhoogt risico aangaande het niet naleven van de zorg- en
meldplicht continuïteit door derden. Bij uitbesteding is de aanbieder verantwoordelijk voor
het naleven van zorg- en meldplicht continuïteit bij uitbesteding aan derden.
Beschrijven van de risico’s inclusief passende maatregelen
Iets minder dan driekwart van de aanbieders (71%) geeft aan dat de maatregelen die men
neemt om de risico’s te adresseren niet of slechts gedeeltelijk heeft beschreven in het
continuïteitsplan.
Beschrijven risicoscenario: grootschalige uitval van elektriciteit
Meer dan de helft van de aanbieders (52%) geeft aan dat bij het beschrijven van de
risico’s, in het continuïteitsplan geen rekening is gehouden met grootschalige uitval van
elektriciteit en/of ICT.
Eindconclusie: in welke mate verwachten aanbieders te voldoen aan de
verplichtingen?
Van de aanbieders verwacht 26% aan de belangrijkste verplichting te voldoen ten aanzien
van de zorg- en meldplicht continuïteit op het moment van inwerkingtreding van de wet- en
regelgeving, namelijk het tijdig in het bezit zijn van een vastgesteld continuïteitsplan.
Figuur 13. Verwachten aanbieders tijdig te voldoen aan wet- en regelgeving door tijdig te beschikken
over een vastgesteld continuïteitsplan?
10 Meer dan driekwart van de aanbieders (76%) geeft aan, op het moment van de enquête, vlak voor de inwerkingtreding van
het Besluit continuïteit op 1 januari 2013, niet te beschikken over een vastgesteld continuïteitsplan. Op dat moment was het
nog niet verplicht om te beschikken over een vastgesteld continuïteitsplan. Deze verplichting is enkele weken later ingegaan
namelijk op 1 januari 2013. Van de aanbieders die tijdens de enquête aangaven niet of nog niet te voldoen geeft 3% aan
binnen 1 maand te beschikken over een continuïteitsplan. Afgerond correspondeert deze 3% van 76% van de aanbieders die
aangaven niet te beschikken over een continuïteitsplan tijdens de enquête, met 2% van het totale aantal aanbieders (100%).
Deze 2% is opgeteld bij aanbieders die tijdens de enquête aangaven al te beschikken over een vastgesteld continuïteitsplan.
Dit betekent dat 24% + 2% = 26% verwacht te beschikken over een vastgesteld continuïteitsplan op 1 januari 2013.
Pagina 30 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Grote diensten- en netwerkaanbieders
Om verdere verdieping aan te brengen naar aanleiding van de conclusie dat 74% van de
aanbieders geen continuïteitsplan heeft, hebben wij onderzocht waar wij de grotere
aanbieders, 13% van het totaal, kunnen plaatsen.
De meerderheid (77%) van de grote dienst- en netwerkaanbieders beschikt op het moment
van de enquête over een vastgesteld continuïteitsplan. Bij 16% van de grote aanbieders is
het continuïteitsplan in voorbereiding en 7% beschikt niet over een vastgesteld
continuïteitsplan.
Figuur 14. De meerderheid van de grote aanbieders beschikt over een vastgesteld continuïteitsplan ten
tijde van de enquête.
7.2 Kwaliteit van het continuïteitsplan
Inleiding
Bij de uitvoering van dit onderzoek hebben de onderzoekers een beoordeling gegeven over
de kwaliteit van het continuïteitsplan. Let wel, hierbij geven de onderzoekers geen oordeel
over een adequate inrichting van de continuïteitsprocessen.
In dit onderzoek beperken de onderzoekers zich tot het doen van een uitspraak die
betrekking heeft op de kwaliteit van het continuïteitsplan puur op basis van het al dan niet
aanwezig zijn van een beschrijving van de continuïteitsprocessen in het continuïteitsplan.
Verhoging van de bewustwording van alle relevante afhankelijkheden, risico’s en
kwetsbaarheden op alle niveaus (niet alleen operationeel) en een goed continuïteitsbeleid
bij aanbieders is van evident belang. Dit moet uiteindelijk leiden tot een verbetering van de
continuïteit van netwerken en/of diensten.
Om eerste indruk te krijgen van de maatregelen en de wijze waarop aanbieders om gaan
met de continuïteit van netwerken en/of diensten zijn er in de enquête verschillende vragen
gesteld. Die moeten duidelijkheid verschaffen over de mate van het continuïteitsbewustzijn
bij de aanbieders en een indruk geven van de kwaliteit van het continuïteitsplan.
Continuïteitsplan
Door het ontbreken van het continuïteitsplan, ontbreekt niet alleen een vastgestelde
eenduidige integrale aanpak van het strategische thema continuïteit, ook ontbreekt een
eenduidige integrale aanpak van de continuïteitsrisico´s, inclusief mitigerende maatregelen.
Mogelijke crisisscenario´s en herstelplannen worden ook niet eenduidig en integraal in het
kader van de continuïteit van netwerken en/of diensten geadresseerd. Dit heeft tot gevolg
dat er onnodige kwetsbaarheden blijven bestaan waar het de continuïteit van netwerken
en/of diensten betreft.
Pagina 31 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Governance proces
Uit de enquête blijkt dat 18 tot 23% van de aanbieders weinig bestuurlijke aandacht heeft
waar het gaat om de continuïteit van netwerken en/of diensten. Hier wordt gedoeld op
tenminste twee van de drie bestuurlijke hoofdtaken, te weten:
Het besturen: door middel van het geven van richtlijnen en het opstellen van
beleid;
Het bewaken van de eigen prestatie of die van derden (leveranciers etc.).
Klanten mogen van aanbieders verwachten dat ze, vanuit een vanzelfsprekende
maatschappelijke en economische verantwoordelijkheid, op adequate wijze zorg dragen
voor de continuïteit van netwerken en/of diensten. Het is opmerkelijk dat zo weinig
aanbieders (26%) vooralsnog verwachten tijdig te beschikken over een continuïteitsplan.
Service management proces
Beschrijving van vitale service management processen
Bij 37 tot 43% van de aanbieders zijn de meest relevante service management processen,
te weten; incident-, proble(e)m en change management processen vooralsnog niet
beschreven in het continuïteitsplan.
Wij kunnen hieruit concluderen dat de kwaliteit van het continuïteitsplan op dit punt bij
meer dan een derde van de aanbieders (37 tot 43%) nog onder het gewenste niveau ligt.
Registratie incidenten
Echter ondanks het feit dat 37% van de aanbieders het proces incident management
vooralsnog niet heeft beschreven in het continuïteitsplan, registreert slechts een kleine
groep (14%) van de aanbieders hun incidenten niet op eenduidige wijze, waarbij de
mogelijke impact, urgentie en de verwachte hersteltijd eveneens is aangegeven.
Wij kunnen derhalve concluderen dat het proces incident management of delen daarvan,
ondanks dat het proces zelf niet in het continuïteitsplan is beschreven, bij het overgrote
gedeelte (86%) van de aanbieders wel of gedeeltelijk is geïmplementeerd.
Actueel overzicht van de huidige leveranciers
Bij slechts 39% van de aanbieders is een actueel overzicht van de huidige leveranciers
en/of service partners op het gebied van ICT en TI, niet opgenomen in het continuïteitsplan.
Het beheren en beheersen van de (prestatie) van de leveranciers is vaak een belangrijke
schakel/afhankelijkheid in de continuïteitsketen. Bij het integraal adresseren van
continuïteit is tenminste het invoegen van een actueel overzicht van de huidige leveranciers
en/of service partners op het gebied van ICT en TI in het continuïteitsplan van belang. We
kunnen uit de resultaten van de enquête concluderen dat op dit punt de kwaliteit van het
continuïteitsplan bij meer dan een derde van de aanbieders (39%) nog onder het gewenste
kwaliteitsniveau ligt.
Samenvattend kan worden geconcludeerd dat bij meer dan een derde van de aanbieders de
kwaliteit van het continuïteitsplan op het gebied van service management nog onder het
gewenste kwaliteitsniveau ligt.
BCM/ ICT Readiness proces
Maximum toelaatbare hersteltijd na storing
Bij 29% van de aanbieders is de maximum toelaatbare hersteltijd na storing niet
vastgesteld en beschreven in het continuïteitsplan. Deze bevinding heeft ook een relatie
met BCM/ICT Readiness namelijk bij het opstellen van de herstelplannen geeft men aan wat
de maximaal toelaatbare hersteltijd is bij storing van kritieke processen en onderdelen
bijvoorbeeld in de ICT infrastructuur.
Dit is met name van belang om een duidelijk beeld te krijgen van de prioriteiten tijdens het
crisismanagement proces dat wordt gestart als gevolg majeure bedrijfskritieke storingen.
Pagina 32 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Grootschalige uitval van elektriciteit en/of ICT
Bij 52% van de aanbieders heeft men, bij het beschrijven van de risico’s in het
continuïteitsplan, geen rekening gehouden met grootschalige uitval van elektriciteit en/of
ICT.
Figuur 15. Heeft u in het continuïteitsplan, bij het beschrijven van de risico’s, ook rekening gehouden
met grootschalige uitval van elektriciteit en/of ICT?
Grote diensten- en netwerkaanbieders
Om verdere verdieping aan te brengen naar aanleiding van de conclusie dat 52% van de
aanbieders geen rekening heeft gehouden met grootschalige uitval van elektriciteit en/of
ICT, hebben wij onderzocht waar wij de grotere aanbieders, 13% van het totaal, kunnen
plaatsen.
De meerderheid (85%) van de grote dienst- en netwerkaanbieders heeft, bij het
beschrijven van de risico’s, rekening gehouden met grootschalige uitval van elektriciteit
en/of ICT, 15% heeft hier geen rekening mee gehouden.
Figuur 16. De meerderheid (85%) van de grote netwerkaanbieders heeft, bij het beschrijven van de
risico’s, rekening gehouden met grootschalige uitval van elektriciteit en/of ICT.
Bij 46% van de aanbieders heeft men, in geval van grootschalige uitval van elektriciteit
en/of ICT, de dan in werking tredende kritieke processen en activiteiten niet in het
continuïteitsplan beschreven.
Samenvattend kan worden geconcludeerd dat bij meer dan een derde van de aanbieders de
kwaliteit van het continuïteitsplan op het gebied van BCM/ ICT Readiness proces nog onder
het gewenste kwaliteitsniveau ligt.
Pagina 33 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Risico management proces
Risico’s beschreven, inclusief kans en impact
Bij 53% van de aanbieders zijn de risico’s die de continuïteit, van de eigen netwerken en/of
diensten bedreigen, niet in het continuïteitsplan. Bij 58% van de aanbieders zijn de risico´s
niet zodanig beschreven dat ook de kans op het optreden van het risico en de mogelijke
impact bij optreden van het risico is beschreven in het continuïteitsplan.
Passende maatregelen om risico’s te adresseren
Bij 52% van de aanbieders heeft men de maatregelen om deze risico’s te adresseren niet in
het continuïteitsplan beschreven.
Figuur 17. Heeft u in het continuïteitsplan de maatregelen beschreven welke u neemt om deze risico’s
te adresseren?
Samenvattend kan worden geconcludeerd dat bij meer dan de helft van de aanbieders de
kwaliteit van het continuïteitsplan op het gebied van het beschrijven van zowel de risico’s
als de maatregelen onder het gewenste kwaliteitsniveau ligt.
Eindconclusie: wat is de kwaliteit van het continuïteitsplan?
Samenvattend kan worden geconcludeerd dat bij meer dan een derde en op sommige
punten bij meer dan de helft van de aanbieders de kwaliteit van het continuïteitsplan in
relatie met de meest relevante continuïteitsprocessen nog onder het gewenste
kwaliteitsniveau ligt.
Uit de enquête blijkt dat 18 tot 23% van de aanbieders weinig bestuurlijke aandacht heeft
waar het gaat om de continuïteit van netwerken en/of diensten. Hier wordt gedoeld op
tenminste twee van de drie bestuurlijke hoofdtaken, te weten:
Het besturen: door middel van het geven van richtlijnen en het opstellen van
beleid;
Het bewaken van de eigen prestatie of die van derden (leveranciers etc.).
Het is opmerkelijk dat meer dan driekwart van de aanbieders (74%) verwacht niet tijdig te
beschikken over een vastgesteld continuïteitsplan op het moment van inwerkingtreding van
de zorg- en meldplicht continuïteit en het Besluit continuïteit.
7.3 Overige conclusies
Vitale infrastructuur
Wij kunnen concluderen dat 36% van de aanbieders zich er bewust van is dat men
netwerken en/of diensten levert aan bedrijven en/of instellingen die binnen de definitie
vitale infrastructuur vallen en dat de directie hiervan op de hoogte is. Het betreft hier in
totaal 180 aanbieders van verschillende omvang.
Pagina 34 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Van deze 180 aanbieders heeft 38% beschreven welke additionele maatregelen er zijn
genomen, teneinde de continuïteit en de beschikbaarheid te kunnen garanderen, voor wat
betreft de levering van netwerken en/of diensten aan bedrijven en/of instellingen die
binnen de definitie vitale infrastructuur vallen. Van deze groep van 180 aanbieders beschikt
26% over een actueel overzicht van deze zakelijke klanten die binnen de definitie vitale
infrastructuur vallen. Aan hen levert men netwerken en/of diensten en heeft men dit
overzicht eveneens opgenomen in het continuïteitsplan. Er is echter wel bij 52% van de
aanbieders sprake van het prioriteren van incidenten met maatschappelijke en/of
economische impact.
Bij het leveren van netwerken en/of diensten aan bedrijven en/of instellingen die binnen de
definitie “vitale infrastructuur” vallen is er sprake van gedeelde verantwoordelijkheden.
Vanzelfsprekend is het zo dat deze vitale bedrijven en instellingen een eigen
verantwoordelijkheid hebben teneinde zich te vergewissen van het feit dat men beschikt
over een optimale ICT verbinding.
Echter ontslaat dit de aanbieder niet van de maatschappelijke verantwoordelijkheid alert te
zijn op het leveren van passende netwerken en/of diensten aan bedrijven en/of instellingen
die binnen de definitie vitale infrastructuur vallen en navraag te doen of de verbinding een
vitaal karakter heeft.
Integrale aanpak continuïteit
De continuïteit van netwerken en/of diensten kent vele invalshoeken. Er is sprake van
diverse afhankelijkheden die in sterke mate de totale continuïteitsketen (figuur 18)
beïnvloeden. “De keten is zo sterk als de zwakste schakel”.
Met de inwerkingtreding van de zorg- en meldplicht continuïteit is het van belang dat men
de continuïteit van netwerken en/of diensten verbetert en de maatschappelijke en
economische impact van incidenten en calamiteiten tot het minimum weet te beperken.
Daar waar aanbieders zich met name richten op de financiële gevolgen en/of de gevolgen in
relatie met mogelijke imagoschade naar aanleiding van incidenten en calamiteiten is het
van belang dat men ook oog heeft voor de economische en/of maatschappelijke schade die
wordt aangericht.
Juist incidenten en calamiteiten die leiden tot uitval van netwerken en/of diensten met
impact op bedrijven en/of instellingen die binnen de definitie vitale infrastructuur vallen
kunnen leiden tot ernstige maatschappelijke en/ of economische impact en zelfs
maatschappelijke ontwrichting.
Om de continuïteit van netwerken en/of diensten te verbeteren en de impact van incidenten
en calamiteiten te verminderen is een integrale aanpak van de continuïteit van netwerken
en/of diensten op bestuurlijk niveau wenselijk. De continuïteit van netwerken en/of
diensten vraagt om een integrale en holistische aanpak waarbij men bestuurt, evalueert en
bewaakt en oog heeft voor de diverse afhankelijkheden die binnen de continuïteitsketen
bestaan. Hoe groter de omzet van de aanbieder hoe groter ook de noodzaak wordt om alle
processen die de continuïteit van netwerken en/of diensten raken te integreren en te
beschrijven in één vastgesteld continuïteitssysteem met een vastgesteld continuïteitsplan.
Vanuit dit uitgangspunt kan men werken aan de volgende stappen, te weten:
1. Voortdurende proportionele verbetering van het continuïteitssysteem;
2. Voortdurende proportionele verbetering van het beperken van de impact van incidenten
en majeure calamiteiten.
Pagina 35 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Naar aanleiding van de enquête kunnen wij echter concluderen dat op dit punt verdere
ontwikkeling en verbetering noodzakelijk is.
Figuur 18. Het continuïteitssysteem: oog hebben voor de maatschappelijke en economische impact van
incidenten.
Pagina 36 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Bijlage I Aanbiedingsbrief en enquête
Retouradres Postbus 450 9700 AL Groningen
Datum 2 oktober 2012
Betreft Verzoek om informatie ten behoeve van de nulmeting continuiteit
Geachte heer, mevrouw,
Per 5 juni 2012 is de gewijzigde Telecommunicatiewet in werking getreden 11 die ook van
toepassing is of kan zijn op uw organisatie. De wijzigingen betreffen onder andere de zorg-
en meldplicht continuïteit. 12 Agentschap Telecom is belast met het toezicht op naleving van
de Telecommunicatiewet, onder meer wat betreft de zorg- en meldplicht continuïteit. Ik
vraag uw medewerking aan de nulmeting die Agentschap Telecom als toezichthouder
uitvoert.
Niet vrijblijvend
De beantwoording van deze vragenlijst is niet vrijblijvend. Agentschap Telecom is
gerechtigd namens de Minister deze inlichtingen te vorderen voor haar toezichtactiviteiten.
Tijdens inspecties en audits kan de feitelijke situatie worden vergeleken met de door u
ingevulde antwoorden.
Nulmeting en toezicht
Het doel van deze nulmeting is te inventariseren wat de beginsituatie is bij de aanbieders
ten aanzien van de zorgplicht. Na een bepaalde periode gaat het agentschap met een
volgende meting na of er verschuivingen optreden in de mate waarin de aanbieders de
verplichtingen uit de Telecommunicatiewet naleven.
Op grond van het register van openbare telecommunicatie aanbieders (OPTA) blijkt dat uw
organisatie binnen de reikwijdte van deze wetgeving valt. 13 Ik verzoek u daarom
onderstaande vragen te beantwoorden. De gegevens die u verstrekt zullen vertrouwelijk
worden behandeld. De geanonimiseerde uitkomst van deze nulmeting kan worden gebruikt
om het parlement op hoofdlijnen te informeren over de huidige stand van zaken.
11
Wijziging van de Telecommunicatiewet ter implementatie van de herziene telecommunicatierichtlijnen
12
Hoofdstuk 11a Telecommunicatiewet
13
NB Aanbieders dienen zich verplicht op te laten nemen in het register van OPTA. Ook als een aanbieder dit heeft nagelaten,
valt hij alsnog binnen de scope van de wet.
Pagina 37 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Vragenlijst
In bijlage II treft u de vragen aan. Ik verzoek u de ingevulde vragenlijst, binnen drie weken
na dagtekening van deze brief te retourneren naar:
Agentschap Telecom
t.a.v. Afdeling veiligheid
antwoordnummer 7234
3800 TE Amersfoort
of via het e-mail adres informatieveiligheid@agentschaptelecom.nl
Wetgeving
In bijlage I vindt u de toelichting op zorg- en meldplicht continuïteit. Voor meer informatie
betreffende de wettelijke eisen waaraan aanbieders moeten voldoen verwijs ik u graag naar
de website van Agentschap Telecom, thema veiligheid, zorg- en meldplicht continuïteit.
Mocht u naar aanleiding van deze brief vragen hebben of zijn er zaken niet duidelijk dan
kunt u contact opnemen met de heer M.T. Beemer.
Hoogachtend,
De Minister van Economische Zaken,
Landbouw en Innovatie, namens deze,
A.C. van Emous
Hoofd afdeling Veiligheid
Agentschap Telecom
Pagina 38 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
BIJLAGE I (Aanbiedingsbrief)
Zorg- en meldplicht continuïteit 14
Het nieuw Europees regelgevend kader 15 is omgezet in nationale wetgeving, in de
gewijzigde Telecommunicatiewet. Het nieuwe artikel 13bis van de Kaderrichtlijn
introduceert een aantal verplichtingen vanuit de optiek van de continuïteit van netwerken
en dienstverlening met behulp van deze netwerken.
De eerste nieuwe verplichting betreft de veiligheid van openbare elektronische
communicatienetwerken en openbare elektronische communicatiediensten. Ten aanzien van
die veiligheid was vanuit de optiek van de privacy reeds in de bijzondere privacyrichtlijn de
verplichting opgenomen voor aanbieders van openbare elektronische communicatiediensten
om passende technische en organisatorische maatregelen te treffen om de veiligheid van de
geboden diensten te garanderen. In de wet is deze verplichting te vinden in artikel 11.3. De
Kaderrichtlijn voegt hier vanuit het perspectief van de continuïteit een verplichting ten
aanzien van lidstaten aan toe om ervoor te zorgen dat ondernemingen die openbare
elektronische communicatienetwerken of openbare elektronische communicatiediensten
aanbieden, passende technische en organisatorische maatregelen nemen om risico’s die de
veiligheid bedreigen goed te beheersen. De te nemen maatregelen moeten er toe leiden dat
de gevolgen van de incidenten voor de onderling verbonden netwerken en daarover
plaatsvindende dienstverlening zo beperkt mogelijk zijn.
De tweede nieuwe verplichting die artikel 13bis in het leven roept ziet toe op de integriteit
van openbare elektronische communicatienetwerken netwerken. Lidstaten moeten ervoor
zorgen dat ondernemingen die openbare elektronische communicatienetwerken aanbieden
alle nodige maatregelen nemen om te zorgen voor de integriteit van hun netwerken zodat
men zorg draagt voor de continuïteit van de via de netwerken geleverde diensten. Om aan
de genoemde verplichtingen te voldoen worden aanbieders van openbare elektronische
communicatienetwerken en openbare elektronische communicatiediensten verplicht
passende technische- en organisatorische maatregelen te treffen om de risico’s die de
veiligheid, integriteit, continuïteit en beschikbaarheid van deze diensten en netwerken
bedreigen te beheersen. Bij verstoring van de elektriciteitsvoorziening of technische storing
moeten zelfs alle noodzakelijke maatregelen worden genomen om de uitval te repareren.
Dat gaat duidelijk verder dan ‘passende maatregelen’.
14 Onderstaand stuk is gebaseerd op Kamerstukken II, vergaderjaar 2010–2011, 32 549, nr. 3 (Memorie van Toelichting (MvT).
15 Het Europese kader op het terrein van elektronische communicatie bestaat uit een vijftal richtlijnen: richtlijn 2002/21/EG
(de zogenoemde Kaderrichtlijn), richtlijn 2002/22/EG (de Universele dienstrichtlijn), richtlijn 2002/58/EG (de Bijzondere
privacyrichtlijn), richtlijn 2002/19/EG (de Toegangsrichtlijn) en richtlijn 2002/20/EG (de Machtigingsrichtlijn). Deze
richtlijnen zijn in het Nederlands recht voornamelijk omgezet in de Telecommunicatiewet en de daarop gebaseerde
regelgeving.
Pagina 39 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Meldplicht
Een derde uit artikel 13bis van de Kaderrichtlijn voorvloeiende nieuwe verplichting is de
meldplicht voor veiligheidsinbreuken en het verlies van integriteit in het geval deze een
belangrijk effect hebben gehad op de continuïteit van het netwerk of de daarover geleverde
diensten. Er is voor gekozen de meldingen te laten plaatsvinden bij de Minister van
Economische Zaken, Landbouw en Innovatie. Ernstige verstoringen van de continuïteit van
de netwerken en de daarover plaatsvindende dienstverlening zijn immers ook van belang in
het kader van buitengewone omstandigheden. De meldingsplichten in het kader van
continuïteit sluiten dan ook goed aan bij de reeds in het kader van hoofdstuk 14
plaatsvindende meldplicht van verstoringen van de continuïteit van de dienstverlening. De
meldplichten voor aanbieders van openbare elektronische communicatienetwerken en
openbare elektronische communicatiediensten in verband met integriteit en veiligheid staan
in beginsel naast de nieuw in te voeren meldplicht voor aanbieders van openbare
elektronische communicatiediensten ten aanzien van veiligheidsinbreuken die leiden tot het
ongewenst vrijkomen van persoonsgegevens. Dat wil echter niet zeggen dat er in de
praktijk geen overlap kan zijn. Een veiligheidsinbreuk kan immers tegelijkertijd leiden tot
een belangrijk effect op de continuïteit en het ongewild vrijkomen van persoonsgegevens.
Om administratieve lasten zo veel mogelijk te beperken is ervoor gezorgd dat beide
meldingen praktisch gezien bij eenzelfde meldpunt kunnen worden gedaan; Loket
meldplicht Telecomwet van het Agentschap Telecom. De meldingen van privacy inbreuken
worden direct doorgestuurd naar OPTA.
Pagina 40 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
BIJLAGE II (Aanbiedingsbrief)
Verzoek om informatie
Verzoek om informatie in verband met de nulmeting inzake de mate van naleving van de
Telecommunicatiewet, wat betreft de zorg- en meldplicht continuïteit.
De beantwoording van de vragen is niet vrijblijvend. Tijdens onze inspecties en audits kan
Agentschap Telecom de feitelijke situatie vergelijken met de door u ingevulde antwoorden.
Vestiging- & contactgegevens:
Bedrijfsnaam:
Straat:
Postcode:
Plaats:
Postadres:
Postbus:
Postcode:
Plaats:
Algemeen telefoonnummer vestiging:
Continuïteitsfunctionaris:
Naam:
Telefoon:
E-mail:
Registratienummer Kamer van Koophandel:
Staat uw onderneming ingeschreven bij de OPTA?
□ Ja
□ Nee
NB Graag aankruisen wat van toepassing is.
OPTA registratienummers:
1.
2.
NB. Aan het eind van deze vragenlijst vindt u de verklarende woordenlijst.
Pagina 41 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Omvang van uw onderneming naar omzetgegevens:
1. In welke categorie valt uw onderneming wanneer u de totale omzet uit
telecommunicatiediensten van uw onderneming beschouwt?
□ 0 - 2 miljoen euro
□ 2 - 20 miljoen euro
□ 20 miljoen euro of meer
2. Uw organisatie biedt een netwerk of dienst aan waarover uitsluitend programma´s (TV
en Radio) worden verspreid.
□ Ja (Wanneer u deze optie aankruist behoeft u de navolgende vragen NIET te
beantwoorden, u kunt het formulier retourneren naar Agentschap Telecom.)
□ Nee (Wanneer u deze optie aankruist vragen wij u de navolgende vragen te
beantwoorden. Na het beantwoorden van ALLE vragen kunt u het formulier retourneren
naar Agentschap Telecom.)
Continuïteitsplan
NB Wij verzoeken u een actuele versie van uw huidige continuïteitsplan toe te zenden.
3. Beschikt uw organisatie over een vastgesteld continuïteitsplan?
□ Ja (Wanneer u deze optie aankruist gaat u verder naar vraag 5.)
□ Nee (Wanneer u deze optie aankruist gaat u verder naar vraag 4.)
□ Het plan is in de maak (Wanneer u deze optie aankruist gaat u verder naar vraag 4.)
4. Geef hieronder aan wanneer u verwacht wel over een vastgesteld continuïteitsplan te
beschikken, is dat
□ Binnen 1 maand
□ Binnen 3 maanden
□ Binnen 3-6 maanden
□ Over meer dan 6 maanden
5. Zijn er vanuit de directie duidelijke richtlijnen en doelstellingen afgegeven m.b.t. de
continuïteit en de beschikbaarheid van uw telecommunicatie diensten en/of netwerken?
□ Ja
□ Nee
□ Gedeeltelijk
□ Er wordt momenteel gewerkt aan de voorbereiding hiervan
Pagina 42 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
6. Wordt er regelmatig op directieniveau gerapporteerd waar het de geleverde prestatie van
de organisatie betreft m.b.t. de continuïteit en de beschikbaarheid van uw
telecommunicatie diensten en/of netwerken?
□ Ja
□ Nee
□ Gedeeltelijk
□ Er wordt momenteel gewerkt aan de voorbereiding hiervan
7. Wordt er regelmatig op directieniveau gerapporteerd waar het de geleverde prestatie van
“leveranciers” van ICT als TI betreft m.b.t. de continuïteit en de beschikbaarheid van uw
diensten?
□ Ja
□ Nee
□ Gedeeltelijk
□ Er wordt momenteel gewerkt aan de voorbereiding hiervan
8. Heeft u de majeure incidenten welke zich hebben voorgedaan vanaf juni 2012
opgenomen in de bijlage van uw continuïteitsplan incl. oorzaak en verbetermaatregelen ter
voorkoming van herhaling en is uw directie van deze incidenten incl. oorzaak en
verbetermaatregelen op de hoogte gebracht?
□ Ja
□ Nee
□ Gedeeltelijk
□ Er wordt momenteel gewerkt aan de voorbereiding hiervan
9. Op welk niveau wordt of is het continuïteitsplan vastgesteld?
□ Bestuur, Directie
□ Management Team
□ Afdelingsmanager
□ Anders
10. Heeft u in uw continuïteitsplan beschreven hoe u het proces “incident management”
heeft ingericht?
□ Ja
□ Nee
□ Gedeeltelijk
□ Er wordt momenteel gewerkt aan de voorbereiding hiervan
Pagina 43 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
11. Heeft u bij het mogelijk optreden van een majeure calamiteit de maximum toelaatbare
hersteltijd na een onderbreking van ICT diensten (incl. telefonie) vastgelegd en beschreven
in het continuïteitsplan?
□ Ja
□ Nee
□ Gedeeltelijk
□ Er wordt momenteel gewerkt aan de voorbereiding hiervan
12. Worden binnen uw onderneming incidenten op eenduidige wijze geregistreerd en wordt
hierbij de mogelijke impact, urgentie en de verwachte hersteltijd aangegeven?
□ Ja
□ Nee
□ Gedeeltelijk
□ Er wordt momenteel gewerkt aan de voorbereiding hiervan
13. Is er sprake van het prioriteren van het oplossen van incidenten op basis van de
maatschappelijke en/of economische impact in de samenleving van het incident?
□ Ja
□ Nee
□ Gedeeltelijk
□ Er wordt momenteel gewerkt aan de voorbereiding hiervan
14. Heeft u in uw continuïteitsplan beschreven hoe u het proces “proble(e)m management”
heeft ingericht?
□ Ja
□ Nee
□ Gedeeltelijk
□ Er wordt momenteel gewerkt aan de voorbereiding hiervan
15. Heeft u in uw continuïteitsplan beschreven hoe u het proces “change management
(wijzigingsbeheer)” incl. het evaluatieproces heeft ingericht?
□ Ja
□ Nee
□ Gedeeltelijk
□ Er wordt momenteel gewerkt aan de voorbereiding hiervan
Pagina 44 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
16. Heeft u in het continuïteitsplan omschreven welk deel van uw infrastructuur op korte
termijn aan vervanging toe is?
□ Ja
□ Nee
□ Gedeeltelijk
□ Er wordt momenteel gewerkt aan de voorbereiding hiervan
17. Heeft u m.b.t. de in vraag 16 bedoelde onderdelen van de infrastructuur, naast spare
part management, additionele passende technische en organisatorische maatregelen
genomen ten einde de continuïteit over dit verouderde gedeelte te kunnen garanderen?
□ Ja
□ Nee
□ Er wordt momenteel gewerkt aan de voorbereiding hiervan
18. Heeft u m.b.t. de in vraag 16 bedoelde onderdelen van de infrastructuur een verhoogde
paraatheid/ alertheid, bijvoorbeeld in de vorm van monitoring, ingesteld?
□ Ja
□ Nee
□ Gedeeltelijk
19. Bij uitbesteding bent u er ook verantwoordelijk voor dat derden de verplichtingen als
bedoeld in de zorgplicht continuïteit naleven. Heeft u deze verplichtingen in een schriftelijke
overeenkomst vastgelegd en verwijst u in uw continuïteitsplan naar deze overeenkomst?
□ Ja
□ Nee
□ Gedeeltelijk
20. Heeft u een actueel overzicht van uw huidige “leveranciers” en/of service partners op
het gebied van ICT en TI, welke een relatie hebben met de continuïteit van uw diensten
en/of netwerken, opgenomen in het continuïteitsplan?
□ Ja
□ Nee
□ Gedeeltelijk
Pagina 45 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
21. Heeft u in het continuïteitsplan die risico’s beschreven die de continuïteit, van uw
openbare elektronische communicatienetwerken en uw openbare elektronische
communicatiediensten, bedreigen?
□ Ja
□ Nee
□ Gedeeltelijk
22. Heeft u in het continuïteitsplan, bij het beschrijven van de risico’s, ook de kans van het
optreden van het risico en de impact bij het optreden van het risico omschreven?
□ Ja
□ Nee
□ Gedeeltelijk
23. Heeft u in het continuïteitsplan de maatregelen beschreven welke u neemt om deze
risico’s te adresseren?
□ Ja
□ Nee
□ Gedeeltelijk
24. Heeft u in het continuïteitsplan, bij het beschrijven van de risico’s, ook rekening
gehouden met grootschalige uitval van elektriciteit en/of ICT?
□ Ja
□ Nee
25. Heeft u in geval van grootschalige uitval van elektriciteit en/of ICT de dan in werking
tredende kritieke processen en activiteiten in het continuïteitsplan, beschreven m.b.t. het
waarborgen van de continuïteit van uw telecommunicatie diensten en netwerken?
□ Ja
□ Nee
□ Gedeeltelijk
26. Levert u telecommunicatie diensten en/of netwerken aan bedrijven en/of instellingen
die binnen de definitie “vitale infrastructuur” vallen en is uw directie hiervan op de hoogte?
□ Ja
□ Nee
Pagina 46 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
27. Heeft u beschreven welke additionele maatregelen zijn genomen, ten einde de
continuïteit en de beschikbaarheid te kunnen garanderen, voor wat betreft de levering van
telecommunicatie diensten en/of netwerken aan bedrijven en/of instellingen die binnen de
definitie “vitale infrastructuur” vallen?
□ Ja
□ Nee
28. Heeft u een actueel overzicht van die zakelijke klanten (bedrijven en/of instellingen),
die binnen de definitie “vitale infrastructuur” vallen en die u telecommunicatie diensten
en/of netwerken levert, opgenomen in het continuïteitsplan.
NB Indien van toepassing vragen wij een overzicht van de zakelijke klanten die binnen de
vitale infrastructuur vallen.
□ Ja
□ Nee
29. Heeft u uw inloggegevens aangevraagd en ontvangen? Het betreft hier de
inloggegevens die u nodig heeft om incidenten, met (mogelijke) maatschappelijke en/of
economische impact, bij het loket Meldplicht te melden.
□ Ja
□ Nee
NB Voor informatie omtrent het loket Meldplicht verwijzen wij u graag onze website
http://www.meldplichttelecomwet.nl
Pagina 47 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Bijlage II Resultaten enquête 0-meting zorg- en meldplicht
continuïteit
De antwoorden en de geanonimiseerde resultaten op de enquête vragen worden in dit
hoofdstuk weergegeven.
Continuïteitsplan
Van de aanbieders geeft 24% aan dat zij beschikken over een vastgesteld continuïteitsplan.
De overige geven aan nog niet (46%) beschikken over een vastgesteld continuïteitsplan of
bezig te zijn met de voorbereiding van een continuïteitsplan (30%).
Figuur 1. Beschikt u over een vastgesteld continuïteitsplan?
Van de aanbieders die aangeven nog niet of bijna te beschikken over een vastgesteld
continuïteitsplan (in onderstaande grafiek staat deze groep voor 100%) geeft 41% aan het
continuïteitsplan, binnen één tot zes maanden af te ronden en vast te stellen. Van de
aanbieders die aangeven nog niet of bijna te beschikken over een vastgesteld
continuïteitsplan geeft 3% aan om binnen één maand, 6% aan om binnen drie maanden,
32 % binnen zes maanden en 59% over meer dan zes maanden, het continuïteitsplan af te
gaan ronden en vast te gaan stellen.
Figuur 2. Wanneer verwacht u wel te beschikken een vastgesteld continuïteitsplan?
Pagina 48 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Goed bestuur inzake continuïteit van netwerken en/of diensten (Governance)
Specifieke bestuurlijke richtlijnen en beleid
Wanneer specifiek wordt gekeken naar goed bestuur van continuïteit, komt het volgende
beeld naar voren. Ten tijde van deze nalevingsmeting zijn er vanuit bestuurlijk oogpunt
duidelijke richtlijnen en doelstellingen afgegeven met betrekking tot de continuïteit en de
beschikbaarheid bij 53% van de aanbieders. Bij 18% van de aanbieders is er geen sprake
van specifiek beleid met betrekking tot de continuïteit en de beschikbaarheid, bij 16% van
de aanbieders is dit in voorbereiding en bij 13% van de aanbieders is er (nog) niet specifiek
echter wel gedeeltelijk beleid opgesteld op dit punt.
Figuur 3. Zijn er vanuit de directie duidelijke richtlijnen en doelstellingen afgegeven met betrekking
tot de continuïteit en de beschikbaarheid?
Specifieke bestuurlijke rapportage met betrekking tot de eigen prestatie
Bij 61% van de aanbieders wordt regelmatig specifiek op directieniveau gerapporteerd daar
waar het de geleverde prestatie van de organisatie betreft met betrekking tot de
continuïteit en de beschikbaarheid. Bij 11% van de aanbieders gebeurt dit wel echter niet
specifiek maar gedeeltelijk. Bij 10% van de aanbieders is een dergelijke rapportage in
voorbereiding en bij 18% van de aanbieders wordt er (nog) niet gerapporteerd.
Figuur 4. Wordt er regelmatig op directieniveau gerapporteerd waar het de geleverde prestatie van de
organisatie betreft met betrekking tot de continuïteit en de beschikbaarheid?
Specifieke bestuurlijke rapportage met betrekking tot de prestatie van leveranciers
Bij 44% van de aanbieders wordt regelmatig specifiek op directieniveau gerapporteerd daar
waar het de geleverde prestatie van leveranciers betreft met betrekking tot de continuïteit
en de beschikbaarheid. Bij 23% van de aanbieders gebeurt dit wel echter niet specifiek
Pagina 49 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
maar gedeeltelijk. Bij 10% van de aanbieders is een dergelijke rapportage in voorbereiding
en bij 23% van de aanbieders wordt er (nog) niet gerapporteerd.
Figuur 5. Wordt er regelmatig op directieniveau gerapporteerd waar het de geleverde prestatie van
“leveranciers” van ICT als TI betreft?
Rapportage en betrokkenheid directie bij majeure incidenten
Bij 14% van de aanbieders wordt de directie van recente majeure incidenten inclusief
oorzaak en verbetermaatregelen op de hoogte gebracht en bij 6% van de aanbieders wordt
de directie gedeeltelijk voorgelicht. Bij 23% van de aanbieders is de directie wel op de
hoogte echter gedeeltelijk en bij 57% van de aanbieders wordt er (nog) niet op dergelijke
wijze gerapporteerd bij majeure incidenten.
Figuur 6. Is uw directie van recente majeure incidenten inclusief oorzaak en verbetermaatregelen op de
hoogte?
Vaststellen continuïteitsplan
Bij 65% van de aanbieders wordt het continuïteitsplan vastgesteld door het bestuur of de
directie. Bij 6% van de aanbieders wordt het continuïteitsplan vastgesteld door de
afdelingsmanager en bij 19% wordt het continuïteitsplan vastgesteld door het Management
Team. Bij 10% van de aanbieders wordt het continuïteitsplan anders vastgesteld.
Pagina 50 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Figuur 7. Op welk niveau wordt of is het continuïteitsplan vastgesteld?
Management van de dienstverlening (Service management)
Beschrijving proces incident management in het continuïteitsplan
Bij 21% van de aanbieders is het proces incident management beschreven in het
continuïteitsplan en bij 6% van de aanbieders is dit proces gedeeltelijk beschreven. Bij 37%
van de aanbieders is het proces incident management niet beschreven in het
continuïteitsplan en 36% van de aanbieders werkt aan de voorbereiding hiervan.
Figuur 8. Heeft u in uw continuïteitsplan beschreven hoe u het proces incident management heeft
ingericht?
Maximum toelaatbare hersteltijd na storing
Bij 31% van de aanbieders is de maximum toelaatbare hersteltijd na storing
vastgesteld en beschreven in het continuïteitsplan, bij 29% van de aanbieders niet. Bij 33%
van de aanbieders is men bezig met de voorbereiding hiervan en bij 7% van de aanbieders
is de maximum toelaatbare hersteltijd na storing gedeeltelijk vastgesteld en beschreven in
het continuïteitsplan.
Pagina 51 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Figuur 9. Heeft u bij het mogelijk optreden van een majeure calamiteit de maximum toelaatbare
hersteltijd na een onderbreking van ICT diensten (inclusief telefonie) vastgelegd en beschreven in het
continuïteitsplan?
Registratie incidenten
Bij 57% van de aanbieders wordt binnen de onderneming incidenten op eenduidige wijze
geregistreerd waarbij de mogelijke impact, urgentie en de verwachte hersteltijd eveneens is
aangegeven, bij 14% van de aanbieders niet. Bij 16% van de aanbieders is men bezig met
de voorbereiding hiervan en bij 13% van de aanbieders worden incidenten gedeeltelijk
volgens de bovenstaande randvoorwaarden geregistreerd.
Figuur 10. Worden binnen uw onderneming incidenten op eenduidige wijze geregistreerd en wordt
hierbij de mogelijke impact, urgentie en de verwachte hersteltijd aangegeven?
Prioriteren van incidenten met maatschappelijke en/of economische impact
Bij 52% van de aanbieders is er sprake van het prioriteren van incidenten met
maatschappelijke en/of economische impact, bij 27% van de aanbieders niet. Bij 14% van
de aanbieders is men bezig met de voorbereiding hiervan en bij 7% van de aanbieders
worden incidenten met maatschappelijke en/of economische impact gedeeltelijk
geprioriteerd.
Pagina 52 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Figuur 11. Is er sprake van het prioriteren van het oplossen van incidenten op basis van de
maatschappelijke en/of economische impact in de samenleving van het incident?
Beschrijving proces proble(e)m management in het continuïteitsplan
Bij 17% van de aanbieders is het proces proble(e)m management beschreven in het
continuïteitsplan en bij 6% van de aanbieders is dit proces gedeeltelijk beschreven. Bij 42%
van de aanbieders is het proces proble(e)m management niet beschreven in het
continuïteitsplan en 35% van de aanbieders werkt aan de voorbereiding hiervan.
Figuur 12. Heeft u in uw continuïteitsplan beschreven hoe u het proces proble(e)m management heeft
ingericht?
Beschrijving proces change management in het continuïteitsplan
Bij 19% van de aanbieders is het proces change management beschreven in het
continuïteitsplan en bij 4% van de aanbieders is dit proces gedeeltelijk beschreven. Bij 43%
van de aanbieders is het proces change management niet beschreven in het
continuïteitsplan en 34% van de aanbieders werkt aan de voorbereiding hiervan.
Pagina 53 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Figuur 13. Heeft u in uw continuïteitsplan beschreven hoe u het proces change management inclusief
evaluatieproces heeft ingericht?
Vervanging gedateerde infrastructuur
Bij 13% van de aanbieders is in het continuïteitsplan omschreven welk deel van de
infrastructuur op korte termijn aan vervanging toe is, bij 54% van de aanbieders niet. Bij
29% van de aanbieders is men bezig met de voorbereiding hiervan en bij 4% van de
aanbieders is in het continuïteitsplan gedeeltelijk omschreven welk deel van de
infrastructuur op korte termijn aan vervanging toe is.
Figuur 14. Heeft u in het continuïteitsplan omschreven welk deel van uw infrastructuur op korte termijn
aan vervanging toe is?
Additionele maatregelen ten behoeve van gedateerde infrastructuur
Bij 37% van de aanbieders zijn er met betrekking tot verouderde onderdelen van de
infrastructuur, naast spare part management, additionele passende technische en
organisatorische maatregelen genomen teneinde de continuïteit over dit verouderde
gedeelte te kunnen garanderen. Bij 41% van de aanbieders is dit niet het geval en bij 22%
van de aanbieders is men bezig met de voorbereiding hiervan.
Pagina 54 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Figuur 15. Heeft u met betrekking tot verouderde onderdelen van de infrastructuur, naast spare part
management, additionele passende technische en organisatorische maatregelen genomen teneinde de
continuïteit over dit verouderde gedeelte te kunnen garanderen?
Verhoogde alertheid bij gedateerde infrastructuur
Bij 47% van de aanbieders is er met betrekking tot verouderde onderdelen van de
infrastructuur, een verhoogde paraatheid/ alertheid, bijvoorbeeld in de vorm van
monitoring, ingesteld. Bij 42% van de aanbieders is dit niet het geval en 11% van de
aanbieders voldoet hier gedeeltelijk aan.
Figuur 16. Heeft u met betrekking tot de in vraag 16 bedoelde onderdelen van de infrastructuur een
verhoogde paraatheid/ alertheid, bijvoorbeeld in de vorm van monitoring, ingesteld?
Naleving regelgeving continuïteit bij uitbesteding aan derden
Bij uitbesteding zijn aanbieders er ook verantwoordelijk voor dat derden de verplichtingen
als bedoeld in de wet- en regelgeving met betrekking tot continuïteit naleven. Bij 35% van
de aanbieders zijn deze verplichtingen in een schriftelijke overeenkomst vastgelegd en
wordt hiernaar verwezen in het continuïteitsplan. Bij 40% van de aanbieders is dit niet het
geval en 25% van de aanbieders voldoet hier gedeeltelijk aan.
Pagina 55 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Figuur 17. Bij uitbesteding bent u er ook verantwoordelijk voor dat derden de verplichtingen als
bedoeld in de zorgplicht continuïteit naleven. Heeft u deze verplichtingen in een schriftelijke
overeenkomst vastgelegd en verwijst u in uw continuïteitsplan naar deze overeenkomst?
Actueel overzicht leveranciers/ service partners in het continuïteitsplan
Bij 47% van de aanbieders is een actueel overzicht van de huidige leveranciers en/of
service partners op het gebied van ICT en TI, welke een relatie hebben met de continuïteit
van netwerken en/of diensten, opgenomen in het continuïteitsplan.
Bij 39% van de aanbieders is dit niet het geval en 14% van de aanbieders voldoet hier
gedeeltelijk aan.
Figuur 18. Heeft u een actueel overzicht van uw huidige leveranciers en/of service partners op het
gebied van ICT en TI, welke een relatie hebben met de continuïteit van uw netwerken en/of diensten,
opgenomen in het continuïteitsplan?
Integraal risicobeheer continuïteit
Continuïteitsrisico’s beschreven in het continuïteitsplan
Bij 26% van de aanbieders zijn die risico’s in het continuïteitsplan beschreven die de
continuïteit, van de eigen netwerken en/of diensten, bedreigen.
Bij 53% van de aanbieders is dit niet het geval en 21% van de aanbieders voldoet hier
gedeeltelijk aan.
Pagina 56 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Figuur 19. Heeft u in het continuïteitsplan die risico’s beschreven die de continuïteit, van uw netwerken
en/of diensten, bedreigen?
Beschrijving risico’s inclusief kans en impact
Bij 24% van de aanbieders zijn de risico’s in het continuïteitsplan beschreven waarbij
eveneens de kans van het optreden van het risico en de impact bij het optreden van het
risico worden vermeld. Bij 58% van de aanbieders is dit niet het geval en 18% van de
aanbieders voldoet hier gedeeltelijk aan.
Figuur 20. Heeft u in het continuïteitsplan, bij het beschrijven van de risico’s, ook de kans van het
optreden van het risico en de impact bij het optreden van het risico omschreven?
Risico’s adresseren: passende maatregelen
Bij 29% van de aanbieders zijn de maatregelen welke men neemt om deze risico’s te
adresseren in het continuïteitsplan beschreven. Bij 52% van de aanbieders is dit niet het
geval en 19% van de aanbieders voldoet hier gedeeltelijk aan.
Pagina 57 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Figuur 21. Heeft u in het continuïteitsplan de maatregelen beschreven welke u neemt om deze risico’s
te adresseren?
Rekening houden met grootschalige uitval van elektriciteit en/of ICT
Bij 48% van de aanbieders heeft men, bij het beschrijven van de risico’s in het
continuïteitsplan, rekening gehouden met grootschalige uitval van elektriciteit en/of ICT. Bij
52% van de aanbieders is dit niet het geval.
Figuur 22. Heeft u in het continuïteitsplan, bij het beschrijven van de risico’s, ook rekening gehouden
met grootschalige uitval van elektriciteit en/of ICT?
Beschrijving van de in werking tredende kritieke processen bij grootschalige uitval van
elektriciteit en/of ICT (crisisplan)
Bij 35% van de aanbieders heeft men, in geval van grootschalige uitval van elektriciteit
en/of ICT, de dan in werking tredende kritieke processen en activiteiten in het
continuïteitsplan beschreven in het licht van het waarborgen van de continuïteit van de
eigen netwerken en/of diensten, 19% van de aanbieders voldoet hier gedeeltelijk aan. Bij
46% van de aanbieders is dit niet het geval.
Pagina 58 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Figuur 23. Heeft u in geval van grootschalige uitval van elektriciteit en/of ICT de dan in werking
tredende kritieke processen en activiteiten in het continuïteitsplan, beschreven met betrekking tot
het waarborgen van de continuïteit van uw netwerken en/of diensten?
Vitale infrastructuur
Bewustwording van levering van netwerken en/of diensten aan bedrijven en/of instellingen
binnen de vitale infrastructuur
Figuur 24. Levert u netwerken en/of diensten aan bedrijven en/of instellingen die binnen de definitie
vitale infrastructuur vallen en is uw directie hiervan op de hoogte?
Tijdens de inwerkingtreding van de zorg- en meldplicht continuïteit levert 36% van de
aanbieders, naar eigen waarneming, netwerken en/of diensten aan bedrijven en/of
instellingen die binnen de definitie vitale infrastructuur vallen en is de directie hiervan op de
hoogte. Het betreft hier in totaal 180 aanbieders van verschillende omvang. Naar eigen
waarneming zegt 64% van de aanbieders geen netwerken en/of diensten aan bedrijven
en/of instellingen te leveren die binnen de definitie vitale infrastructuur vallen of wanneer
dit wel het geval is, is de directie hiervan niet op de hoogte.
Pagina 59 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Additionele maatregelen ten behoeve van de continuïteit van levering van netwerken en/of
diensten aan bedrijven en/of instellingen binnen de vitale infrastructuur
Figuur 25. Heeft u beschreven welke additionele maatregelen zijn genomen, teneinde de continuïteit en
de beschikbaarheid te kunnen garanderen, voor wat betreft de levering van netwerken en/of diensten
aan bedrijven en/of instellingen die binnen de definitie vitale infrastructuur vallen?
Van deze 180 aanbieders die netwerken en/of diensten leveren aan vitale klanten heeft
38% beschreven welke additionele maatregelen zijn genomen, teneinde de continuïteit en
de beschikbaarheid te kunnen garanderen, voor wat betreft de levering van netwerken
en/of diensten aan bedrijven en/of instellingen die binnen de definitie vitale infrastructuur
vallen. Bij 62% van de aanbieders zijn geen additionele maatregelen getroffen.
Actueel overzicht van klanten binnen vitale infrastructuur in continuïteitsplan
Van deze 180 aanbieders die netwerken en/of diensten leveren aan vitale klanten beschikt
26% over een actueel overzicht van die klanten (bedrijven en/of instellingen), die binnen
de definitie vitale infrastructuur vallen en waaraan men netwerken en/of diensten levert en
heeft men dit overzicht opgenomen in het continuïteitsplan. Bij 74% van de aanbieders is
er geen actueel overzicht opgenomen in het continuïteitsplan.
Figuur 26. Heeft u een actueel overzicht van die zakelijke klanten (bedrijven en/of instellingen), die
binnen de definitie vitale infrastructuur vallen en die u netwerken en/of diensten levert, opgenomen in
het continuïteitsplan?
Pagina 60 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Meldplicht continuïteit
Loket meldplicht; inloggegevens aangevraagd en ontvangen
Figuur 27. Heeft u uw inloggegevens aangevraagd en ontvangen? Het betreft hier de inloggegevens die
u nodig heeft om incidenten, met (mogelijke) maatschappelijke- en/of economische impact, bij het
loket Meldplicht te melden?
Een totaal van 31% van de aanbieders heeft bij inwerkingtreding van de regelgeving de
inloggegevens aangevraagd en ontvangen. Het betreft hier de inloggegevens die men nodig
heeft om incidenten, met (mogelijke) maatschappelijke- en/of economische impact, bij het
loket Meldplicht te melden.
Een totaal van 69% van de aanbieders heeft bij inwerkingtreding van de zorg- en
meldplicht continuïteit de inloggegevens (nog) niet aangevraagd en/of ontvangen.
Pagina 61 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Bijlage III Besluit continuïteit
Het Besluit continuïteit openbare elektronische communicatienetwerken en -diensten bevat
de volgende onderdelen, te weten; begripsbepalingen, technische en organisatorische
maatregelen, meldplicht en informatieplicht en de slotbepalingen
§ 1. Begripsbepalingen
Artikel 1
In dit besluit en de daarop berustende bepalingen wordt verstaan onder:
a. wet: Telecommunicatiewet;
b. aanbieder: aanbieder van een openbaar elektronisch communicatie netwerk of van een
openbare elektronische communicatiedienst;
c. melding: kennisgeving als bedoeld in artikel 11a.2, eerste lid, van de wet;
d. meldpunt: door Onze Minister aangewezen instantie waar de aanbieder een melding
doet.
§ 2. Technische en organisatorische maatregelen
Artikel 2
1. De aanbieder beschikt over een continuïteitsplan dat in ieder geval de volgende
onderdelen bevat:
a. de maatregelen, bedoeld in artikel 11a.1, eerste lid, van de wet, alsmede, voor zover
van toepassing, de maatregelen, bedoeld in artikel 11a.1, tweede lid, van de wet;
b. de aanwijzing van een ter zake kundige functionaris die binnen zijn organisatie
verantwoordelijk en beschikbaar is voor het nemen en uitvoeren van de maatregelen,
bedoeld onder a;
c. de aanwijzing van de functionaris, bedoeld in artikel 9, eerste lid.
2. De aanbieder verstrekt de contactgegevens van de in het eerste lid, onder b, bedoelde
functionaris en wijzigingen daarvan onverwijld aan Onze Minister. 3. Bij ministeriële
regeling kunnen, ter uitvoering van bindende EU-rechtshandelingen, nadere regels
worden gesteld omtrent de maatregelen, bedoeld in artikel 11a.1, eerste en tweede lid,
van de wet.
Artikel 3
De aanbieder inventariseert, beoordeelt en evalueert regelmatig, mede aan de hand van de
in artikel 11a.2, eerste lid, van de wet bedoelde meldingen, de risico’s voor de veiligheid en
voor de integriteit van zijn netwerken en diensten. Hij verwerkt de resultaten hiervan in het
continuïteitsplan, bedoeld in artikel 2.
Artikel 4
De aanbieder zorgt ervoor dat bij hem werkzame personen die betrokken zijn bij de voor de
veiligheid en de integriteit van zijn netwerk relevante processen op de hoogte zijn van de
inhoud van het continuïteitsplan, bedoeld in artikel 2, en zorgt ervoor dat die personen te
allen tijde over dit continuïteitsplan kunnen beschikken.
Artikel 5
1. De aanbieder zorgt voor een deugdelijke beveiliging van zijn netwerk of dienst door:
a. de fysieke toegang tot gebouwen of faciliteiten en
b. de elektronische toegang tot informatie en informatie verwerkende systemen die van
belang zijn voor de veiligheid of integriteit van zijn netwerk of dienst uitsluitend toe
te staan aan daartoe gemachtigde personen.
2. De aanbieder legt de voor hem werkzame personen die betrokken zijn bij de voor de
veiligheid en integriteit van zijn netwerk relevante processen een
geheimhoudingsverplichting op.
Pagina 62 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
§ 3. Meldplicht en informatieplicht
Artikel 6
1. Bij ministeriële regeling kunnen inbreuken op de veiligheid of verliezen van integriteit als
bedoeld in artikel 11a.2, eerste lid, van de wet, worden aangewezen waarvan Onze
Minister in ieder geval onverwijld in kennis gesteld moet worden.
2. Bij deze aanwijzing neemt Onze Minister de aard en de omvang van de inbreuk of het
verlies en de mogelijke gevolgen ervan in aanmerking, daarbij uitgaand van:
a. de bereikbaarheid van alarmnummers;
b. de aard en het aantal van de getroffen gebruikers;
c. de omvang van het getroffen gebied;
d. de verwachte duur van de inbreuk of het verlies.
Artikel 7
1. De aanbieder doet de in artikel 11a.2, eerste lid, van de wet bedoelde melding bij het
meldpunt.
2. De melding bevat in ieder geval:
a. het tijdstip van aanvang van de inbreuk of het verlies;
b. de aard en de omvang van de inbreuk of het verlies;
c. op welk netwerk of bij welke dienst de inbreuk of het verlies heeft plaatsgevonden;
d. een prognose van de hersteltijd.
3. Bij ministeriële regeling kunnen nadere regels worden gesteld omtrent de wijze waarop
de melding plaatsvindt.
Artikel 8
1. Indien de aanbieder melding heeft gedaan van een inbreuk op de veiligheid of een
verlies van integriteit als bedoeld in artikel 11a.2, eerste lid, van de wet, verstrekt hij
Onze Minister zo spoedig mogelijk doch in ieder geval binnen vier weken na beëindiging
van de inbreuk of van het verlies van integriteit alle informatie omtrent:
a. wanneer de inbreuk of het verlies is beëindigd;
b. welke maatregelen zijn genomen om de inbreuk of het verlies te beëindigen;
c. welke maatregelen zijn genomen om herhaling van de inbreuk of het verlies te
voorkomen.
2. Bij ministeriële regeling kunnen nadere regels worden gesteld omtrent de wijze waarop
de in het eerste lid bedoelde verstrekking plaatsvindt.
Artikel 9
1. De aanbieder wijst een in Nederland gevestigde functionaris aan die verantwoordelijk is
voor het doen van de in artikel 7 bedoelde melding en die tevens optreedt als eerste
aanspreekpunt van de aanbieder voor het meldpunt in geval van een inbreuk op de
veiligheid of een verlies van integriteit als bedoeld in artikel 11a.2, eerste lid, van de wet.
2. De in het eerste lid bedoelde functionaris is te allen tijde voor het meldpunt bereikbaar
door middel van elektronische communicatie.
3. De aanbieder verstrekt de contactgegevens van de in het eerste lid bedoelde
functionaris en wijzigingen daarvan onverwijld aan het meldpunt.
§ 4. Slotbepalingen
Artikel 10
Dit besluit treedt in werking met ingang van 1 januari 2013.
Pagina 63 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Bijlage IV Afkortingen en verklarende woordenlijst
Verklaring van afkortingen
BCM Business Continuity Management
BCMS Business Continuity Management System
CGIT Corporate governance of information technology
ICT Informatie Communicatie Technologie
IRBC ICT readiness for Business Continuity
ISO International Organization for Standardization
ISP Internet Service Provider
RM Integraal Risk Management
RMS Risk Management System
SMS ICT Service Management System
TI Technische Infrastructuur
Tw Telecommunicatiewet
Pagina 64 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Verklarende woordenlijst
Change management (wijzigingsbeheer)
Het proces dat verantwoordelijk is voor het beheersen van de levenscyclus van alle
wijzigingen, om verbeteringen met minimale verstoring van de IT-diensten uit te voeren.
Continuïteit
De mate waarin abonnees/gebruikers daadwerkelijk ononderbroken gebruik kunnen maken
van het netwerk/de dienst wanneer zij dat wensen.
Continuïteit en beschikbaarheid
De mate waarin abonnees/gebruikers daadwerkelijk ononderbroken gebruik kunnen maken
van de door hen gewenste volledige capaciteit van het netwerk/de dienst wanneer zij dat
wensen.
Evaluatieproces van een change
Het proces dat verantwoordelijk is voor de formele beoordeling van een nieuwe of
gewijzigde IT-dienst om te garanderen dat de risico’s onder controle zijn en om te helpen
bepalen of de wijziging geautoriseerd wordt.
Governance (goed bestuur) van ICT
Garandeert daadwerkelijke implementatie van richtlijnen en strategie en dat vereiste
processen op de juiste manier worden gevolgd. Governance bevat het
definiëren van rollen en verantwoordelijkheden, meten en rapporteren, nemen van acties
om elke geïdentificeerde kwestie op te lossen en op de juiste manier te besturen.
Herstel tijd (recovery time)
De maximum hersteltijd van een telecommunicatiedienst en/of ICT dienst na een
onderbreking. Voor elke telecommunicatie en/of ICT dienst is een beoogde hersteltijd
afgesproken en vastgelegd.
Incident management
Het proces dat verantwoordelijk is voor het beheer van de levenscyclus van alle incidenten.
Incidentbeheer garandeert dat de normale service productie zo snel
mogelijk is hersteld en dat de impact op de bedrijfsvoering minimaal is.
Proble(e)m management
Het proces dat verantwoordelijk is voor het beheren van de levenscyclus van alle
problemen. Probleembeheer voorkomt incidenten op pro-actieve wijze en beperkt de impact
van incidenten die niet kunnen worden voorkomen. Het probleem management proces
identificeert de onbekende onderliggende, wortel van het probleem dat het incident heft
veroorzaakt en stelt een permanente oplossing voor teneinde het incident in de toekomst te
voorkomen.
Risico (risk) management
Het proces dat verantwoordelijk is voor het identificeren, beoordelen en beheersen van
risico's.
Systeemtoezicht
Toezicht dat toeziet op datgene wat een organisatie doet om te borgen dat de regels
worden nageleefd en de risico’s worden beheerst.
Pagina 65 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Veiligheid en integriteit
De mate waarin het netwerk/de dienst in staat is weerstand te bieden aan opzettelijk
menselijk handelen, niet-opzettelijk menselijk handelen en natuurlijke invloeden, die
mogelijk leiden tot verminderde beschikbaarheid & continuïteit.
Vitale infrastructuur
Vitale infrastructuren zijn ketens van vergelijkbare partijen waarvan het vanuit
maatschappelijk oogpunt cruciaal is dat zij blijven functioneren. Daarom wordt ook wel
gesproken van vitale sectoren.
Momenteel zijn dat de volgende:
1. Chemische en nucleaire industrie
2. Drinkwatersector (drinkwatervoorziening)
3. Energiesector (elektriciteit, aardgas en olie)
4. Financiële sector (betalingsdiensten, financiële overdracht overheid)
5. Gezondheid (spoedeisende hulp, geneesmiddelen, vaccins, nucleaire geneeskunde)
6. Waterbeheer (beheren waterkwaliteit, keren en beheren waterkwantiteit)
7. Openbaar bestuur (diplomatieke communicatie, informatieverstrekking overheid,
krijgsmacht, besluitvorming)
8. Openbare Orde en Veiligheid (opsporing, handhaving, fysieke veiligheid)
9. Rechtsorde (rechtspraak, gevangeniswezen)
10.Telecommunicatie (telefonie, radio, satelliet, omroep, internet, post)
11.Transport (hoofdwegen, vaarwegen, spoor, Mainport Schiphol, Mainport Rotterdam)
12.Voedsel(keten)
Omdat het om infrastructuren gaat, is de aandacht met name gericht op het ketenaspect,
dus de continuïteit van het stromen van producten, diensten en informatie door de
onderliggende processen. Wat betreft fysieke veiligheid hebben de hulpdiensten met name
te maken met de vitale sectoren “Energie”, “Gezondheid”, “Waterbeheer”, “Openbare Orde
en Veiligheid”, “Rechtsorde”, “Telecommunicatie” en “Transport”.
Pagina 66 van 67

Toezicht zorg- en meldplicht continuïteit, de 0-meting
Pagina 67
van 67