Minimum viable company (MVC)

Die tijd is voorbij. Verstoring is niet langer een kwestie van óf, maar van wanneer. Cyberaanvallen kunnen complete organisaties platleggen. Cloudomgevingen en softwarecomponenten kunnen onverwacht uitvallen. Toeleveringsketens zijn gevoelig voor geopolitieke ontwikkelingen. Onvoorspelbaar weer en verstoringen in de energievoorziening kunnen elektriciteit, brandstofvoorziening en operationele locaties op grote schaal ontwrichten.

Deze verstoringen komen vaker voor, volgen elkaar sneller op en hebben meer impact dan organisaties soms aankunnen. Als het gaat om het vermogen om op een groot incident te reageren, geeft slechts zes procent van de organisaties aan op alle belangrijke aspecten ‘zeer capabel’ te zijn.

Jouw organisatie is afhankelijk van een kern van diensten en processen om operationeel te blijven wanneer zich een verstoring voordoet. Onze minimum viable company (MVC)-aanpak versterkt de weerbaarheid van jouw organisatie door te helpen bepalen welke capaciteiten, processen en afhankelijkheden essentieel zijn voor het leveren van jouw meest kritieke diensten.

Onze aanpak brengt bedrijfscontinuïteit, cyberweerbaarheid, operationele weerbaarheid, technologie, data en afhankelijkheden van derde partijen samen in een praktisch raamwerk. Door vooraf vast te stellen wat operationeel moet blijven en herstelopties te ontwerpen, kun je verstoringen beperken, het vertrouwen van stakeholders beschermen en herstellen binnen afgesproken uitvaltoleranties.

Een minimum viable company heeft de kleinst mogelijke set aan capaciteiten die operationeel moet blijven om de organisatie tijdens ernstige verstoringen draaiende te houden. Dit model bestaat uit drie componenten, waarmee organisaties tijdens een crisis kritieke strategische resultaten kunnen blijven realiseren:

1. Essentiële externe oplossingen en diensten
2. Essentiële interne activiteiten en processen
3. Essentiële onderliggende componenten

Als bestuurder wil je weten of jouw organisatie weerbaar genoeg is om een verstoring op te vangen wanneer die zich voordoet. Daarnaast speelt de vraag of investeringen in weerbaarheid aantoonbare waarde kunnen opleveren, in plaats van uitsluitend als kostenpost te worden beschouwd.

Door omzet te beschermen, kapitaal te behouden, regelgevingsrisico’s te verminderen, vertrouwen te behouden en herstel te versnellen, kunnen investeringen in weerbaarheid hun waarde aantonen. Het concept van een MVC speelt een belangrijke rol bij het aanpakken van deze uitdagingen tijdens de meest ernstige verstoringen.

Voor jou als bestuurder ligt er een duidelijke vraag: wat betekent ‘levensvatbaar’ werkelijk voor jouw organisatie als je kijkt naar verschillende soorten crises en de cyberdreigingen die voor jouw organisatie het belangrijkst zijn? Dat begint met bepalen wat absoluut operationeel moet blijven, in plaats van elk systeem en elke dienst als kritiek te beschouwen.

Samen brengen we jouw essentiële onderdelen en de onderlinge samenhang in kaart: de belangrijkste diensten, klantverplichtingen, interne processen, technologie en verbindingen met derde partijen, wettelijke vereisten, aanvaardbare impactniveaus en herstelprioriteiten. Zo ontstaat een helder beeld van hoe jouw MVC functioneert binnen het Nederlandse en bredere Europese cyberlandschap en op welke gebieden je je inspanningen als eerste moet richten. 

Het ontwerpen van oplossingen voor jouw MVC vertaalt ambities op het gebied van weerbaarheid naar praktische capaciteiten. Daarbij brengen we bestaande sterke punten op het gebied van bedrijfscontinuïteit, herstelvermogen, cybersecurity, supplychain, fysieke beveiliging en de bredere operationele weerbaarheid samen en stemmen we deze af op de afhankelijkheden die jouw meest kritieke diensten ondersteunen.

Het resultaat is een geïntegreerde aanpak voor weerbaarheid waarmee jouw organisatie verstoringen kan opvangen, de bedrijfsvoering kan aanpassen en kan blijven leveren wat er werkelijk toe doet.

De juiste oplossing kan bijvoorbeeld een handmatig alternatief proces zijn, een vervangende oplossing, een alternatieve leverancier of een betrouwbare ‘technologische reddingslijn’ waarop je kunt overschakelen wanneer je primaire omgeving gevaar loopt of niet langer kan worden vertrouwd. Elke ontwerpkeuze moet zakelijke, technologische, data-, derdepartij- en operationele vereisten samenbrengen, zodat ze als één geheel functioneren.

Verschillende onderdelen van jouw organisatie kunnen verschillende MVC-inrichtingen nodig hebben. Denk bijvoorbeeld aan een minimaal levensvatbare frabriek voor kapitaalintensieve bedrijfsactiviteiten of een minimaal levensvatbaar bedrijf voor specifieke dienstverlening. We werken samen met jou aan het ontwikkelen en testen van deze opties, zodat ze praktisch en weerbaar zijn en klaarstaan wanneer dat het meest nodig is. 

Het bepalen van jouw minimum viable company is slechts het begin. Om vast te stellen of deze in de praktijk standhoudt, is het essentieel om jouw MVC te toetsen aan de scenario’s die voor jouw organisatie het meest relevant zijn en de grootste impact kunnen hebben.

Dat kunnen uitdagingen rond digitale soevereiniteit zijn, cyberincidenten, tekortkomingen in risicobeheer voor derden of andere verstoringen die specifiek zijn voor jouw operationele omgeving en risicoprofiel. Door deze scenario’s toe te passen, worden kwetsbaarheden, afhankelijkheden en moeilijke keuzes zichtbaar voordat zich daadwerkelijk een crisis voordoet. Zo kun je de capaciteiten versterken die nodig zijn om kritieke activiteiten onder druk draaiende te houden.

Een weerbare MVC hangt ook af van de mate waarin je technologie-afhankelijkheden en afhankelijkheden van derde partijen beheerst. Digitale soevereiniteit helpt inzichtelijk te maken waar de controle ligt over kritieke data, infrastructuur en toegang. Risicobeheer voor derden of ketenrisicobeheer geeft inzicht in de leveranciers, dienstverleners en digitale platforms waarvan jouw essentiële activiteiten afhankelijk zijn.

Door concentratierisico’s te identificeren, het toezicht te versterken en werkbare alternatieven en noodplannen te ontwikkelen, kun je helpen jouw organisatie operationeel te houden wanneer een kritieke leverancier of technologische omgeving niet beschikbaar is of niet langer kan worden vertrouwd. 

Digitale soevereiniteit en strategie

Wat betekenen digitale soevereiniteit, cloudstrategie, eigenaarschap van data en technologische weerbaarheid voor jouw organisatie?

Lees meer over digitale soevereiniteit en cloudstrategie

Risicobeheer van derden

Hoe goed begrijp en beheers je de leveranciers, dienstverleners en digitale platforms waarvan jouw kritieke activiteiten afhankelijk zijn?

Ontdek meer over risicobeheer van derden

Je wilt erop kunnen vertrouwen dat de cyber- en weerbaarheidsinrichting van jouw MVC bestand is tegen ernstige dreigingen uit de praktijk. Samen toetsen we jouw aanpak aan uitdagende, maar realistische scenario’s die aansluiten bij het huidige dreigingslandschap.

Deze tests maken inzichtelijk hoe verschillende onderdelen van jouw organisatie, mensen, systemen, data, locaties en partners, in de praktijk van elkaar afhankelijk zijn. Tegelijkertijd krijgt jouw managementteam de mogelijkheid om daadwerkelijke besluitvorming uit te oefenen, zodat je voorbereid bent en als één team kunt handelen wanneer het er echt toe doet.

Deze tests helpen ook om kritieke afhankelijkheden te valideren, waaronder externe dienstverleners en belangrijke technologiediensten, MVC-scenario's en de volgorde van herstelactiviteiten, verder aan te scherpen en verbeterkansen te identificeren voordat zich daadwerkelijk een verstoring voordoet. Zo help je ervoor te zorgen dat jouw herstelstrategie praktisch, gecoördineerd en effectief is wanneer dat het meest nodig is.

Jouw MVC-raamwerk staat centraal in de manier waarop je de weerbaarheid binnen de gehele organisatie bestuurt en voortdurend versterkt. Duidelijk eigenaarschap, regelmatige scenariotests, toezicht vanuit de directie en een vaste actualisatiecyclus zorgen ervoor dat je MVC blijft aansluiten op veranderingen in jouw organisatie, operationele model en risicoprofiel.

Kritieke weerbaarheidsindicatoren geven het bestuur concreet inzicht in de vraag of kritieke capaciteiten actueel, getest en voldoende bekend zijn en of de organisatie in staat is om binnen afgesproken toleranties en risicobereidheid operationeel te blijven.