Operasionele veerkragtigheid is die vermoë van 'n organisasie om operasionele ontwrigting te voorkom, daarby aan te pas, daarop te reageer, daarvan te herstel en daarvan te leer, sodat die dienste waarop kliënte staatmaak, aanhou werk. Britse reguleerders behandel dit nou as 'n verpligting op direksievlak, nie 'n IT-huishoudingstaak nie.
In die praktyk kan 'n operasioneel veerkragtige firma vier dinge doen:
- antisipeer die ontwrigtings wat sy belangrike dienste kan stop
- weerstaan hulle deur binne 'n ooreengekome vlak van skade te bly
- Herstel dienste binne 'n toleransie wat die besigheid vooraf vasgestel het
- aanpas en leer sodat dieselfde ontwrigting nie twee keer byt nie
Die verskuiwing wat die reguleerders gemaak het, is subtiel maar belangrik. In plaas daarvan om te vra “is julle stelsels veilig?”, vra hulle nou “as ’n diens faal, hoe erg sal kliënte en die mark benadeel word, en kan julle bewys dat julle binne die limiet wat julle gestel het, sal bly?”
Wat is operasionele veerkragtigheid?
Operasionele veerkragtigheid is 'n uitkoms, nie 'n beheermaatreël nie. Dit is die versekering dat 'n organisasie kan voortgaan om sy belangrikste dienste te lewer te midde van ontwrigting, of daardie ontwrigting nou 'n kuberaanval, 'n derdeparty-onderbreking, 'n mislukte verandering of 'n natuurlike gebeurtenis is. Dit neem aan dat ontwrigting sal plaasvind en fokus op die beperking van die skade, eerder as om te probeer om elke voorval te voorkom.
Dit maak dit breër as IT- rampherstel en meer spesifiek as algemene risikobestuur. Dit gaan oor die end-tot-end diens wat 'n kliënt ontvang, en oor die mense, prosesse, tegnologie, fasiliteite en verskaffers wat daaragter sit.
Begin jou gratis toets
Wil jy verken?
Sluit vandag aan vir jou gratis proeftydperk en kry al die voldoeningskenmerke wat ISMS.online kan bied, in die hand
Wat is die Britse operasionele veerkragtigheidsregulasies?
Die VK het een van die mees ontwikkelde operasionele veerkragtigheidsregimes ter wêreld. As jy in finansiële dienste werk, geld verskeie reëls gelyktydig, en hulle deel dieselfde onderliggende logika.
| Verordening | Op wie dit van toepassing is | Wat dit vereis |
|---|---|---|
| FCA PS21/3 | FCA-gereguleerde firmas (banke, versekeraars, beleggingsfirmas, betalings- en e-geldfirmas) | Identifiseer belangrike sakedienste, stel impaktoleransies vas, karteer en toets, met volle nakoming wat vanaf 31 Maart 2025 verwag word. |
| PRA SS1/21 | Banke, bouverenigings en PRA-aangewese beleggingsfirmas | Die PRA se ooreenstemmende verwagtinge oor operasionele veerkragtigheid, onder toesig van die FCA |
| Bank van Engeland | Finansiële markinfrastruktuur (betalingstelsels, CCP's, CSD's) | Operasionele veerkragtigheidsverwagtinge vir die firmas wat die finansiële stelsel aan die gang hou |
| DORA | EU-finansiële entiteite en hul IKT-verskaffers, insluitend Britse firmas wat die EU bedien | IKT-risikobestuur, voorvalrapportering, veerkragtigheidstoetsing en derdepartyrisiko, van krag sedert Januarie 2025 |
Die rigting van reis is konsekwent: meer sektore, meer ondersoek van derde partye, en 'n sterker verwagting dat jy veerkragtigheid kan bewys eerder as om dit te beweer . Die bedreigingsgeleide toetsbenadering wat die Bank van Engeland deur CBEST gebruik, versprei dieselfde bewys-eerste-ingesteldheid regdeur die bedryf.
Hoe bou jy operasionele veerkragtigheid?
Britse reguleerders het 'n duidelike metode uiteengesit, en dit werk net so goed buite finansiële dienste. Daar is vyf stappe:
- Identifiseer jou belangrike besigheidsdienste: die dienste wat, indien ontwrig, werklike skade aan kliënte of die mark sou veroorsaak.
- Stel impaktoleransiesdie maksimum vlak van ontwrigting wat elke diens kan ervaar voordat daardie skade ondraaglik word, gewoonlik uitgedruk as 'n tydsbeperking.
- KaartDokumenteer die mense, prosesse, tegnologie, fasiliteite en verskaffers waarvan elke diens afhanklik is.
- ToetsVoer ernstige maar aanneemlike scenario's uit om te sien of jy binne toleransie bly.
- Selfassessering en bewyseTeken aan wat jy gevind het, maak die leemtes reg en handhaaf 'n huidige, verdedigbare selfassessering.
Bestuur al u nakoming, alles op een plek
ISMS.online ondersteun meer as 100 standaarde en regulasies, wat jou 'n enkele platform bied vir al jou voldoeningsbehoeftes.
Elk van daardie stappe het besonderhede daaragter. Die operasionele veerkragtigheidsraamwerk stel die ses komponente volledig uiteen, die bewyse wat elkeen lewer en die volgorde om hulle in te bou.
Operasionele veerkragtigheid teenoor besigheidskontinuïteit
Die twee is verwant, maar nie dieselfde nie. Besigheidskontinuïteit is een van die vermoëns wat operasionele veerkragtigheid lewer: dit fokus op die hou van kritieke prosesse aan die gang en die herstel daarvan na 'n voorval, en dit is geanker in ISO 22301. Operasionele veerkragtigheid is die breër, uitkomsgefokusde dissipline wat die impaktoleransies bepaal wat kontinuïteit dan moet nakom. Sien besigheidsveerkragtigheid teenoor besigheidskontinuïteit vir die volledige vergelyking.
Hoe operasionele veerkragtigheid inpas by sakeveerkragtigheid
Operasionele veerkragtigheid beantwoord 'n spesifieke vraag: kan jou dienste aanhou loop? Besigheidsveerkragtigheid is die breër prentjie, en dit is waar die meeste ontwrigting nou ontstaan, in sekuriteit, privaatheid en KI-risiko. Bestuur daardie drie as een stelsel, die Veerkragtigheidslus , en operasionele veerkragtigheid word baie makliker om te bereik, want jy pak die oorsake van ontwrigting aan, nie net die reaksie oefen nie.
Daarom is operasionele veerkragtigheid die toegangspoort tot sakeveerkragtigheid , en waarom die finansiële firmas wat die verste voor is op PS21/3 ook diegene is wat in gekoppelde, sertifiseerbare bestuur belê. Ons gids oor veerkragtigheid vir finansiële dienste gaan dieper in op die sektor.
Operasionele veerkragtigheid per sektor
Operasionele veerkragtigheid word in elke sektor anders gemonitor. Hierdie gidse gaan dieper in op wie vra en wat hulle verwag om te sien.
- Finansiële dienste en betalingsDORA, FCA en Bank van Engeland verwagtinge.
- Bestuurde IT en sagtewareBewys van veerkragtigheid teenoor ondernemingskliënte wat jou oudit.
- Telekommunikasie en netwerkePligte van die Wet op Telekommunikasiesekuriteit en netwerkbeskikbaarheid.
- Gesondheidsorg en gesondheidstegnologieNHS DSPT, pasiëntveiligheid en kliniese kontinuïteit.
Waarom ISMS.online kies vir operasionele veerkragtigheid?
Die meeste gereedskap help jou om blokkies af te merk. ISMS.online help jou om veerkragtigheid te bou wat jy kan bewys.
- Een gekoppelde stelselbestuur inligtingsekuriteit, dataprivaatheid en KI-beheer saam in 'n enkele platform, nie drie afgesonderde gereedskap nie.
- Sertifiseerbaar deur ontwerpElke aksie stem ooreen met ISO 27001, ISO 27701, ISO 42001 en ISO 22301, dus is jou veerkragtigheid bewysbaar.
- Bewyse op aanvraagtoon aan reguleerders, ouditeure en kliënte bewys van veerkragtigheid, nie beloftes nie.
- Ingelig deur diepgaande kundigheidBegeleide implementering deur regte spesialiste, nie aanrakinglose outomatisering wat die risiko verberg nie.
- Deurlopend, nie periodiek nie'n Regstreekse oorsig van jou risiko en beheermaatreëls, in plaas van 'n jaarlikse geskarrel voor 'n oudit.
- Gebou vir gereguleerde markteontwerp vir organisasies waar sekuriteit, privaatheid en vertroue die koopbesluit dryf.
Verken die ISMS.online-sakeveerkragtigheidsplatform om te sien hoe dit in die praktyk werk.
Vrae & Antwoorde
Wat is operasionele veerkragtigheid in eenvoudige terme?
Operasionele veerkragtigheid is jou vermoë om die dienste te bly lewer waarop mense staatmaak, selfs wanneer iets verkeerd loop. Dit neem aan dat ontwrigting sal plaasvind en fokus op die beperking van die skade en vinnige herstel, eerder as om elke enkele voorval te probeer voorkom.
Wat is 'n impaktoleransie?
'n Impaktoleransie is die maksimum hoeveelheid ontwrigting wat 'n belangrike besigheidsdiens kan verduur voordat dit ondraaglike skade aan kliënte of die mark veroorsaak. Dit word gewoonlik as 'n tydsbeperking gestel, byvoorbeeld die langste wat 'n betalingsdiens onbeskikbaar kan wees, en dit gee die besigheid 'n duidelike teiken om teen te toets.
Is DORA van toepassing op Britse firmas?
Dit kan. DORA is van toepassing op EU-finansiële entiteite en die IKT-verskaffers wat hulle bedien, dus is Britse firmas met EU-bedrywighede of EU-kliënte dikwels in die bestek. Britse firmas het ook hul eie regime deur die FCA en PRA, so die meeste bestuur albei gelyktydig.
Wat is die verskil tussen operasionele veerkragtigheid en kuberveerkragtigheid?
Kuberveerkragtigheid gaan spesifiek oor die weerstaan en herstel van kuberaanvalle. Operasionele veerkragtigheid is breër: dit dek enige ontwrigting van belangrike dienste, of die oorsaak nou 'n kuberaanval, 'n verskaffersfout, 'n stelselonderbreking of 'n fisiese gebeurtenis is. Kuberveerkragtigheid is een inset tot operasionele veerkragtigheid.
