Wat is een Minimum Viable Company en hoe helpt het bij herstel?

Ransomware plat? Een Minimum Viable Company bepaalt wat écht kritiek is — herstel sneller dan ooit.

Kale serverrack in spaarzaam verlicht datacenter met één groen indicatielampje tussen rijen inactieve hardware en losse kabels.

Een cyberincident treft organisaties vaak op het meest onverwachte moment. Ransomware legt systemen plat, kritieke data is onbereikbaar en de druk om snel te handelen is enorm. In die chaos is één vraag bepalend: wat heeft de organisatie minimaal nodig om door te blijven draaien? Het concept van de Minimum Viable Company geeft daar een concreet antwoord op. In dit artikel leggen we uit wat een MVC inhoudt, waarom het essentieel is voor cyber resilience en hoe het herstel na een aanval versnelt.

Wat is een Minimum Viable Company precies?

Een Minimum Viable Company (MVC) is de minimale set aan systemen, applicaties, processen en identiteiten die een organisatie nodig heeft om operationeel te blijven na een ernstig cyberincident. Het gaat niet om alles herstellen, maar om de kern van de bedrijfsvoering zo snel mogelijk weer op te starten: identiteitsbeheer, communicatie, kernapplicaties en kritieke data.

Het begrip is afgeleid van het idee dat niet elk systeem even belangrijk is voor de dagelijkse bedrijfsvoering. Net zoals een startup begint met een minimum viable product om snel waarde te leveren, begint een organisatie na een aanval met het herstel van wat er echt toe doet. Denk aan het ERP-systeem, e-mail, productieaansturing of klantgerichte applicaties die direct omzet of dienstverlening raken.

Een MVC is daarmee geen noodoplossing of tijdelijke maatregel, maar een bewuste strategische keuze: welke onderdelen van de organisatie zijn zo kritiek dat ze als eerste hersteld moeten worden, en wat kan even wachten?

Waarom is het bepalen van een MVC zo belangrijk na een cyberincident?

Het bepalen van een MVC is cruciaal omdat organisaties zonder dit kader na een cyberincident kostbare tijd verliezen aan het herstellen van systemen in de verkeerde volgorde. Zonder prioritering dreigt herstel weken te duren in plaats van uren. Een MVC maakt herstel voorspelbaar, gecontroleerd en aanzienlijk sneller.

Wanneer een ransomware-aanval toeslaat, staat een IT-team onder enorme druk. Elk uur dat systemen stilliggen kost geld, beschadigt klantrelaties en vergroot de kans op reputatieschade. Zonder een vooraf vastgesteld herstelkader worden beslissingen ad hoc genomen, worden verkeerde prioriteiten gesteld en worden systemen hersteld die eigenlijk niet direct nodig zijn.

Daarnaast speelt compliance een rol. Wetgeving zoals NIS2 en ISO 27001 vereist dat organisaties aantoonbaar in staat zijn om hun dienstverlening te continueren na een incident. Een MVC is daarvoor een concrete onderbouwing: het laat zien dat de organisatie weet wat kritiek is en hoe ze dat beschermt en herstelt.

Welke systemen en processen horen in een Minimum Viable Company?

De inhoud van een MVC verschilt per organisatie, maar er zijn categorieën die vrijwel altijd terugkomen. De kern bestaat uit identiteitsbeheer, communicatie, kritieke bedrijfsapplicaties en toegang tot essentiële data. Wat precies in die categorieën valt, bepaalt het risicoprofiel en de aard van de bedrijfsvoering.

Typische onderdelen van een MVC zijn:

Identiteit en toegang: Active Directory, Azure AD of een vergelijkbaar systeem waarmee medewerkers veilig kunnen inloggen op kritieke omgevingen
Communicatie: e-mail en interne communicatietools zoals Microsoft Teams, zodat interne en externe afstemming mogelijk blijft
Kernapplicaties: ERP-systemen, CRM-platforms, productieaansturing of andere applicaties die direct raken aan omzet of dienstverlening
Kritieke data: klantdata, financiële gegevens en operationele informatie die nodig zijn om de bedrijfsprocessen te continueren
Beveiligde back-ups: schone, geïsoleerde kopieën van kritieke data waarmee herstel mogelijk is zonder het risico van herbesmetting
Basisinfrastructuur: netwerktoegang, DNS en eventuele OT-systemen die productie of levering ondersteunen

Processen horen ook in de MVC. Denk aan incidentrespons, communicatieprotocollen richting klanten en leveranciers, en beslissingsbevoegdheden tijdens een crisis. Technologie zonder procesbeschrijving is onvoldoende om snel en gecontroleerd te herstellen.

Hoe stel je een Minimum Viable Company vast voor jouw organisatie?

Het vaststellen van een MVC begint met een grondige analyse van welke systemen, applicaties en processen direct bijdragen aan de kernactiviteiten van de organisatie. Dit is een gezamenlijk traject waarbij IT, operatie en directie betrokken moeten zijn, omdat de prioriteiten niet alleen technisch maar ook strategisch zijn.

Een praktische aanpak bestaat uit de volgende stappen:

Inventariseer alle digitale assets en breng in kaart welke systemen en applicaties de organisatie gebruikt
Bepaal de kritikaliteit van elk systeem: wat is de impact als dit systeem 1 uur, 1 dag of 1 week uitvalt?
Identificeer afhankelijkheden tussen systemen, zodat duidelijk wordt welke systemen eerst hersteld moeten worden om andere te kunnen starten
Stel herstelprioriteiten vast op basis van impact op omzet, klantrelaties, veiligheid en compliance
Documenteer de MVC inclusief verantwoordelijkheden, contactpersonen en herstelstappen per systeem
Test en valideer de MVC periodiek met herstelscenario’s, zodat het plan ook in de praktijk werkt

Een risk assessment is een goed startpunt voor dit proces. Het geeft inzicht in de grootste kwetsbaarheden en helpt om herstelprioriteiten te koppelen aan daadwerkelijke risico’s.

Wat is het verschil tussen een MVC en een business continuity plan?

Een Minimum Viable Company is specifieker en actiegerichter dan een business continuity plan (BCP). Waar een BCP beschrijft hoe de organisatie op brede continuïteitsrisico’s reageert, richt een MVC zich uitsluitend op de minimale technische en operationele kern die na een cyberincident als eerste hersteld moet worden.

Een BCP is doorgaans een breed document dat meerdere scenario’s omvat: brand, stroomuitval, pandemie, uitval van leveranciers. Het beschrijft beleid, verantwoordelijkheden en algemene herstelstrategieën. Een MVC is concreter: het benoemt specifieke systemen, applicaties en processen met bijbehorende hersteltijden en prioriteiten.

De twee concepten vullen elkaar aan. Een goed BCP bevat idealiter een MVC als onderdeel van het cyberincidentscenario. Maar organisaties die alleen een BCP hebben zonder een uitgewerkte MVC, merken in de praktijk dat het plan te abstract is om snel te handelen op het moment dat ransomware toeslaat. De MVC maakt het BCP uitvoerbaar in de context van een cyberaanval.

Hoe helpt een MVC bij sneller herstel na ransomware of een aanval?

Een MVC versnelt herstel na ransomware doordat de organisatie vooraf heeft bepaald wat als eerste hersteld moet worden, hoe dat herstel verloopt en wie daarvoor verantwoordelijk is. In plaats van uren of dagen te verliezen aan afstemming en prioritering, kan het IT-team direct handelen volgens een vastgesteld plan.

Bij een ransomware-aanval is tijd de meest kritieke factor. Elke beslissing die tijdens de aanval genomen moet worden, kost tijd. Een MVC elimineert een groot deel van die beslismomentjes: de prioriteiten staan vast, de herstelstappen zijn gedocumenteerd en de verantwoordelijkheden zijn belegd. Dat maakt het verschil tussen herstellen in uren en herstellen in weken.

Daarnaast zorgt een MVC ervoor dat herstel gecontroleerd verloopt. Zonder MVC bestaat het risico dat systemen worden hersteld vanuit besmette back-ups, of dat herbesmetting optreedt doordat de aanvaller nog aanwezig is in de omgeving. Een goed uitgewerkte MVC omvat ook schone, geïsoleerde back-ups en een herstelpad dat rekening houdt met de integriteit van de omgeving. Meer over hoe dat technisch wordt ingevuld, lees je op onze pagina over het cyber resilience platform.

Hoe OpenSight helpt met de Minimum Viable Company

Wij helpen organisaties om van inzicht naar uitvoering te gaan. Een MVC opstellen klinkt overzichtelijk, maar in de praktijk vraagt het om diepgaande kennis van zowel de technische omgeving als de bedrijfsdoelstellingen. Dat is precies waar wij het verschil maken.

Wat we concreet doen:

We brengen samen met jouw organisatie de kritieke systemen, applicaties en processen in kaart
We stellen herstelprioriteiten vast op basis van impact, risico en afhankelijkheden
We zorgen voor schone, geïsoleerde back-ups en een getest herstelpad via partners zoals Commvault
We documenteren de MVC als uitvoerbaar plan, inclusief verantwoordelijkheden en communicatieprotocollen
We testen het plan met herstelscenario’s zodat het ook onder druk werkt
We integreren de MVC in bredere cyber resilience maatregelen, zoals identity protection en recovery

Ons uitgangspunt is altijd hetzelfde: herstellen in uren, niet in weken. Wil je weten hoe jouw organisatie ervoor staat en wat de minimale kern is die jij moet beschermen? Bekijk onze MVC-dienstverlening en ontdek hoe we samen jouw digitale weerbaarheid structureel versterken.

Veelgestelde vragen

Hoe lang duurt het om een Minimum Viable Company op te stellen?

De doorlooptijd hangt af van de omvang en complexiteit van de organisatie, maar reken gemiddeld op twee tot zes weken voor een eerste uitgewerkte MVC. Dit omvat de inventarisatie van digitale assets, het bepalen van kritikaliteit en afhankelijkheden, en het documenteren van herstelstappen. Het is raadzaam om niet te wachten op een incident: hoe eerder de MVC is vastgesteld en getest, hoe groter het voordeel bij een daadwerkelijke aanval.

Hoe vaak moet je een MVC herzien en bijwerken?

Een MVC is geen statisch document en moet minimaal één keer per jaar worden herzien, maar ook bij significante veranderingen in de IT-omgeving, zoals migraties naar de cloud, nieuwe kernapplicaties of organisatorische wijzigingen. Vergeet ook niet de MVC bij te werken na elk gesimuleerd of daadwerkelijk incident, zodat geleerde lessen direct worden verwerkt. Een verouderde MVC kan tijdens een crisis meer kwaad dan goed doen.

Wat als onze meest kritieke systemen bij een externe leverancier of in de cloud draaien?

Cloud- en SaaS-omgevingen veranderen de MVC niet fundamenteel, maar voegen wel een extra dimensie toe: je bent mede afhankelijk van de beschikbaarheid en herstelcapaciteit van je leverancier. Zorg dat je contractuele afspraken hebt over Recovery Time Objectives (RTO) en Recovery Point Objectives (RPO), en dat je weet hoe snel een leverancier kan herstellen bij een incident aan hun kant. Neem deze externe afhankelijkheden expliciet op in je MVC, inclusief escalatiepaden en alternatieve werkwijzen als een cloudservice tijdelijk onbereikbaar is.

Welke veelgemaakte fouten maken organisaties bij het opstellen van een MVC?

Een veelvoorkomende fout is dat de MVC puur technisch wordt ingevuld zonder betrokkenheid van operationele of zakelijke stakeholders, waardoor kritieke bedrijfsprocessen over het hoofd worden gezien. Een andere valkuil is het opnemen van te veel systemen in de MVC, waardoor het plan onuitvoerbaar wordt onder druk. Tot slot vergeten organisaties regelmatig om de MVC te testen: een plan dat nooit is gevalideerd met een herstelscenario, geeft een vals gevoel van veiligheid.

Hoe verhouden RTO en RPO zich tot de Minimum Viable Company?

Recovery Time Objective (RTO) en Recovery Point Objective (RPO) zijn onlosmakelijk verbonden met de MVC: voor elk systeem in de MVC moet je weten hoe snel het hersteld moet zijn (RTO) en hoeveel dataverlies acceptabel is (RPO). Deze doelstellingen bepalen welke technische maatregelen nodig zijn, zoals de frequentie van back-ups en de inrichting van geïsoleerde herstelomgevingen. Zonder concrete RTO- en RPO-doelstellingen per MVC-component blijft het herstelplan te abstract om op te sturen tijdens een incident.

Kunnen kleine en middelgrote bedrijven ook een MVC opstellen, of is dit alleen weggelegd voor grote organisaties?

Een MVC is juist voor het mkb bijzonder waardevol, omdat kleinere organisaties doorgaans minder herstelcapaciteit en minder IT-personeel hebben om ad hoc beslissingen te nemen tijdens een crisis. De MVC hoeft voor een kleinere organisatie ook minder complex te zijn: soms volstaat een beknopt document met vijf tot tien kritieke systemen en bijbehorende herstelstappen. Het principe blijft hetzelfde: weten wat je minimaal nodig hebt om door te draaien, maakt het verschil tussen overleven en omvallen na een aanval.

Hoe zorgen we ervoor dat medewerkers buiten IT ook weten wat ze moeten doen tijdens een cyberincident?

De MVC moet verder gaan dan een technisch IT-document: zorg dat communicatieprotocollen, beslissingsbevoegdheden en noodprocedures ook voor niet-technische medewerkers begrijpelijk en toegankelijk zijn. Denk aan een beknopte crisiskaart of draaiboek voor leidinggevenden, met daarin wie ze moeten bellen, hoe interne en externe communicatie verloopt en welke processen handmatig kunnen worden voortgezet. Regelmatige oefeningen, ook met operationele teams en management, zorgen ervoor dat iedereen weet wat zijn of haar rol is op het moment dat het er echt toe doet.