Wat is een Minimum Viable Company en hoe draagt het bij aan business continuity?
Stel dat je organisatie morgen getroffen wordt door een ransomware-aanval. Welke systemen heb je minimaal nodig om te blijven functioneren? Welke processen zijn echt kritiek? En hoe snel kun je die weer operationeel krijgen? Precies die vragen staan centraal bij het concept van de Minimum Viable Company. Voor organisaties die serieus nadenken over business continuity is dit een van de meest praktische en concrete concepten om te kennen en toe te passen.
Wat is een Minimum Viable Company precies?
Een Minimum Viable Company (MVC) is de minimale set aan systemen, applicaties, processen en mensen die een organisatie nodig heeft om na een cyberincident operationeel te blijven of snel te herstellen. Het gaat niet om volledig herstel, maar om het zo snel mogelijk opnieuw opstarten van de meest kritieke bedrijfsfuncties.
Denk aan de kern van je bedrijfsvoering: identiteitsbeheer, communicatie, kernapplicaties en toegang tot kritieke data. Die elementen samen vormen de basis waarop je organisatie kan draaien, ook als een groot deel van de IT-omgeving tijdelijk niet beschikbaar is. Het doel is helder: herstellen in uren, niet in weken.
Het concept sluit nauw aan op het idee van digitale weerbaarheid. Een organisatie die haar MVC kent, weet precies wat prioriteit heeft bij herstel en kan gerichter investeren in de bescherming van die kritieke onderdelen.
Waarom is een Minimum Viable Company belangrijk voor bedrijfscontinuïteit?
De Minimum Viable Company is belangrijk voor business continuity omdat het organisaties dwingt vooraf te bepalen wat echt essentieel is. Zonder die duidelijkheid leidt een cyberincident tot chaos, vertraging en onnodige schade. Met een goed gedefinieerde MVC weet iedereen direct wat er moet gebeuren en in welke volgorde.
Cyberincidenten zoals ransomware-aanvallen raken steeds vaker de kern van organisaties. Systemen worden versleuteld, back-ups worden aangetast en medewerkers kunnen niet meer bij hun werkbestanden. In die situatie is tijd letterlijk geld. Elke dag stilstand betekent gemiste omzet, gefrustreerde klanten en reputatieschade.
Een MVC-aanpak helpt op meerdere vlakken:
- Het verkort de hersteltijd aanzienlijk doordat prioriteiten vooraf zijn vastgesteld
- Het vermindert paniek en onduidelijkheid tijdens een incident
- Het maakt duidelijk welke systemen extra bescherming verdienen
- Het ondersteunt communicatie naar klanten, partners en toezichthouders
- Het versterkt de algehele digitale weerbaarheid van de organisatie
Business continuity is geen verzekering die je afsluit en vergeet. Het is een actief proces dat begint met weten wat je minimaal nodig hebt om te overleven als organisatie.
Welke systemen en processen horen bij een Minimum Viable Company?
De MVC bestaat uit de systemen en processen die direct noodzakelijk zijn voor de primaire bedrijfsvoering. Typisch gaat het om identiteits- en toegangsbeheer, communicatiemiddelen, kernapplicaties voor de primaire bedrijfsprocessen, kritieke data en de infrastructuur om die te bereiken.
Hoewel dit per organisatie verschilt, zijn er categorieën die vrijwel altijd terugkomen:
- Identiteit en toegang: Active Directory, Azure AD of een vergelijkbaar systeem. Zonder werkende identiteiten kunnen medewerkers nergens bij.
- Communicatie: E-mail, telefonie en samenwerkingstools zoals Microsoft Teams. Dit is de ruggengraat van interne en externe communicatie tijdens een crisis.
- Kernapplicaties: ERP, CRM of andere systemen die direct nodig zijn voor de primaire bedrijfsprocessen, zoals orderverwerking of klantbeheer.
- Kritieke data: Back-ups van essentiële bedrijfsdata, bij voorkeur in een geïsoleerde en schone omgeving.
- Financiële systemen: De mogelijkheid om betalingen te verwerken en financiële verplichtingen na te komen.
Processen zijn minstens zo belangrijk als systemen. Denk aan noodprocedures voor communicatie met klanten, escalatiepaden voor IT-herstel en heldere verantwoordelijkheden binnen het crisisteam. Een cyber resilience platform kan helpen om die systemen en processen structureel te bewaken en snel te herstellen.
Hoe verschilt een Minimum Viable Company van een disaster recovery plan?
Een disaster recovery plan (DRP) beschrijft hoe een organisatie haar volledige IT-omgeving herstelt na een incident. Een Minimum Viable Company richt zich op wat er minimaal nodig is om direct operationeel te blijven, nog voordat volledig herstel heeft plaatsgevonden. Het zijn complementaire concepten, geen alternatieven.
Het verschil zit in scope en timing. Een DRP is gericht op volledig technisch herstel en kan dagen of weken duren. De MVC is gericht op de eerste uren en dagen: wat moet er nu draaien zodat de organisatie niet stilvalt?
Een handige manier om het onderscheid te zien:
- Disaster recovery plan: Herstel van de volledige IT-omgeving naar de situatie van voor het incident
- Minimum Viable Company: Snel opstarten van de minimale bedrijfsvoering zodat de organisatie kan blijven functioneren tijdens het herstelproces
In de praktijk werken ze samen. De MVC bepaalt wat als eerste hersteld moet worden binnen het DRP. Zonder een goed gedefinieerde MVC mist een disaster recovery plan de prioritering die nodig is voor effectief en snel herstel.
Hoe bepaal je de Minimum Viable Company van jouw organisatie?
Je bepaalt de Minimum Viable Company door systematisch in kaart te brengen welke systemen, processen en mensen direct noodzakelijk zijn voor de primaire bedrijfsvoering. Dit begint met een kritische analyse vanuit de bedrijfsdoelstellingen, niet vanuit de IT-architectuur.
Een praktische aanpak bestaat uit de volgende stappen:
- Breng de primaire bedrijfsprocessen in kaart: Wat moet er absoluut blijven draaien om klanten te bedienen en omzet te genereren?
- Identificeer de ondersteunende systemen: Welke applicaties en data zijn nodig voor die processen?
- Bepaal afhankelijkheden: Welke systemen zijn afhankelijk van andere systemen? Identiteit en netwerktoegang zijn vaak de eerste schakel.
- Stel herstelprioriteiten vast: In welke volgorde moeten systemen worden hersteld om zo snel mogelijk operationeel te zijn?
- Test en valideer: Simuleer een incident en controleer of de MVC in de praktijk werkt zoals bedacht.
Betrek hierbij niet alleen IT, maar ook de business. Directie, operationeel managers en proceseigenaren weten het beste welke functies echt kritiek zijn. Een risk assessment kan daarbij helpen om blinde vlekken te ontdekken en prioriteiten scherp te stellen.
Welke fouten maken organisaties bij het plannen van bedrijfscontinuïteit?
De meest gemaakte fout bij het plannen van business continuity is dat organisaties te veel focussen op technisch herstel en te weinig op operationele continuïteit tijdens een incident. Andere veelvoorkomende fouten zijn het niet testen van plannen, het vergeten van menselijke factoren en het behandelen van continuïteitsplanning als een eenmalig project.
Concrete valkuilen die we regelmatig tegenkomen:
- Back-ups die niet geïsoleerd zijn en daardoor ook versleuteld raken bij een ransomware-aanval
- Herstelplannen die nooit zijn getest en in de praktijk niet blijken te werken
- Onvoldoende aandacht voor identiteitsherstel, terwijl dit de basis is van alle andere systemen
- Geen duidelijke verantwoordelijkheden tijdens een incident, waardoor kostbare tijd verloren gaat
- Te brede scope bij het definiëren van de MVC, waardoor prioriteiten onduidelijk blijven
- Continuïteitsplanning als IT-verantwoordelijkheid behandelen in plaats van als bedrijfsbrede prioriteit
Een andere veelgemaakte fout is het onderschatten van de menselijke factor. Medewerkers die niet weten wat ze moeten doen tijdens een incident, of die onbewust bijdragen aan het risico via phishing of onveilig gedrag, kunnen de beste technische maatregelen ondermijnen.
Hoe OpenSight helpt met het bepalen en beschermen van jouw Minimum Viable Company
Wij helpen organisaties om hun Minimum Viable Company concreet te maken en te beschermen. Dat doen we niet met losse adviezen, maar met een aanpak die mensen, processen en technologie samenbrengt. Ons doel is dat jouw organisatie na een cyberincident herstelt in uren, niet in weken.
Wat we daarvoor doen:
- In kaart brengen van kritieke systemen, applicaties en data via een risk assessment
- Vaststellen van herstelprioriteiten op basis van jouw bedrijfsdoelstellingen
- Beschermen van identiteiten, endpoints en clouddata als fundament van de MVC
- Inrichten van geïsoleerde back-up- en herstelomgevingen zodat data altijd beschikbaar blijft
- Testen en valideren van continuïteitsplannen in de praktijk
- Trainen van medewerkers zodat zij weten wat te doen tijdens een incident
Of je nu net begint met nadenken over business continuity of je bestaande plannen wilt versterken, we denken graag met je mee. Bekijk onze aanpak rondom de Minimum Viable Company en ontdek hoe we jouw organisatie helpen om digitaal weerbaar te worden. Neem gerust contact met ons op voor een vrijblijvend gesprek.
Frequently Asked Questions
Hoe lang duurt het om een Minimum Viable Company te definiëren?
De doorlooptijd hangt af van de omvang en complexiteit van je organisatie, maar reken gemiddeld op twee tot zes weken voor een eerste, werkbare definitie. Dat omvat het in kaart brengen van kritieke processen, het identificeren van afhankelijkheden en het valideren van de uitkomsten met zowel IT als de business. Het is verstandig om daarna minimaal jaarlijks te herijken, zodat de MVC actueel blijft naarmate je IT-omgeving en bedrijfsprocessen veranderen.
Wat als onze kritieke systemen draaien bij een externe leverancier of in de cloud — geldt de MVC dan nog steeds?
Absoluut, en juist dan is het extra belangrijk. Bij cloudgebaseerde of uitbestede systemen ben je afhankelijk van de herstelmogelijkheden én de SLA's van je leverancier. Breng in kaart welke herstelgaranties er contractueel zijn afgesproken, of jouw leverancier een eigen MVC-aanpak hanteert, en hoe je toegang behoudt tot kritieke data als de leverancier zelf getroffen wordt. Zorg ook dat je nooit volledig afhankelijk bent van één externe partij voor een kritieke bedrijfsfunctie.
Hoe vaak moeten we onze continuïteitsplannen testen om er zeker van te zijn dat ze werken?
Een goede vuistregel is minimaal één keer per jaar een volledige simulatie uitvoeren, aangevuld met kleinere tests na elke significante wijziging in je IT-omgeving of bedrijfsprocessen. Denk aan tabletop-oefeningen waarbij het crisisteam een scenario doorloopt, maar ook aan technische hersteltest waarbij je daadwerkelijk systemen terugzet vanuit back-ups. Plannen die nooit getest zijn, geven een vals gevoel van veiligheid en falen vaak precies op het moment dat je ze het hardst nodig hebt.
Welke rol speelt identiteitsbeheer in de MVC en waarom wordt dat zo vaak als eerste prioriteit genoemd?
Identiteitsbeheer — zoals Active Directory of Azure AD — is de absolute basis van vrijwel alle andere systemen. Als medewerkers niet kunnen inloggen, kunnen ze ook niet bij e-mail, applicaties of data, ongeacht of die systemen zelf nog functioneren. Bij een ransomware-aanval wordt identiteitsinfrastructuur dan ook vaak bewust aangevallen om herstel te vertragen. Daarom is het herstellen en beschermen van identiteiten altijd de eerste stap in een effectieve MVC-strategie.
Moeten kleine en middelgrote bedrijven ook een MVC opstellen, of is dit alleen relevant voor grote organisaties?
De MVC is juist voor het MKB een bijzonder waardevol concept, omdat kleinere organisaties doorgaans minder reservecapaciteit hebben en een cyberincident relatief harder aankomt. De aanpak hoeft niet complex te zijn: zelfs een beknopte lijst van vijf tot tien kritieke systemen en bijbehorende herstelstappen geeft al een enorm voordeel ten opzichte van geen plan hebben. Schaal de aanpak af naar de omvang van je organisatie, maar sla de stap niet over.
Hoe betrek ik de directie en niet-technische stakeholders bij het opstellen van de MVC?
Koppel de MVC expliciet aan bedrijfsrisico's en financiële impact in plaats van aan technische details. Laat zien wat een dag stilstand concreet kost in termen van omzet, klantverlies en reputatieschade, en vraag directie en proceseigenaren om te prioriteren welke functies absoluut door moeten draaien. Die business-gedreven aanpak zorgt voor draagvlak, betere prioriteiten én een MVC die aansluit op wat de organisatie écht nodig heeft — niet alleen op wat IT belangrijk vindt.
Wat is het verschil tussen een Recovery Time Objective (RTO) en hoe verhoudt zich dat tot de MVC?
Een Recovery Time Objective (RTO) is de maximaal acceptabele hersteltijd voor een systeem of proces — dus hoe lang je organisatie het zonder dat systeem kan stellen. De MVC helpt je om voor elk kritiek onderdeel een realistische RTO te bepalen en vervolgens te zorgen dat je herstelplan die doelstelling ook daadwerkelijk haalt. Systemen die in de MVC zijn opgenomen, krijgen de kortste RTO's en de hoogste herstelprioriteit, wat direct vertaalt naar concrete investeringskeuzes in back-up, redundantie en herstelcapaciteit.
Related Articles
- Hoe zorg je dat je team weet wat te doen bij een systeemstoring?
- Wat is de invloed van een cyberincident op lopende contracten en SLA's?
- Wat is een disaster recovery plan en wat staat erin?
- Hoe weet je of je organisatie klaar is voor een onverwachte IT-uitval?
- Wat is het verschil tussen een hot site en een cold site bij disaster recovery?
