Was ist ISO 22301?
ISO 22301 ist die internationale Norm für Business Continuity Management Systeme (BCMS). Sie beschreibt, wie eine Organisation ihre kritischen Aktivitäten identifiziert, die Auswirkungen von Störungen analysiert, Wiederanlaufziele festlegt und Pläne, Ressourcen und eine Struktur für die Reaktion auf Vorfälle aufbaut, damit der Betrieb auch im Ernstfall weiterläuft.
Die aktuelle Fassung ISO 22301:2019 folgt derselben High-Level-Struktur (Kapitel 4–10) wie ISO 27001 und ISO 9001 und lässt sich daher in bestehende Managementsysteme integrieren. Das Zertifikat stellt eine akkreditierte Zertifizierungsstelle nach einem zweistufigen Audit aus; es gilt drei Jahre mit jährlichen Überwachungsaudits.
Für wen ist die ISO 22301 Zertifizierung wichtig?
- Banken, Fintechs und Versicherer, bei denen DORA und NIS2 dokumentierte Kontinuitäts- und Wiederherstellungsfähigkeiten erwarten
- Rechenzentren, SaaS-Anbieter und Hosting-Unternehmen, deren Kunden auf die Verfügbarkeit angewiesen sind
- Logistikunternehmen und Hersteller in kritischen Lieferketten
- Zulieferer der öffentlichen Hand und Betreiber kritischer Infrastrukturen
- Organisationen, die Kunden, Aufsichtsbehörden oder Versicherern nachweisen müssen, dass sie Störungen in vereinbarten Zeiträumen bewältigen
Was die ISO 22301 Selbstbewertung prüft
- Kontext, interessierte Parteien, rechtliche Anforderungen und Anwendungsbereich des BCMS (Kapitel 4)
- Führung, Business-Continuity-Politik, Rollen und Verantwortlichkeiten (Kapitel 5)
- Business Impact Analysis (BIA), Risikobeurteilung sowie RTO und RPO für kritische Aktivitäten (Kapitel 6 und 8)
- Kontinuitätsstrategien und -lösungen, Pläne und Verfahren, Struktur für die Reaktion auf Vorfälle, Warnung und Kommunikation (Kapitel 8)
- Übungs- und Testprogramm sowie Bewertung der Pläne (Kapitel 8–9)
- Leistungsüberwachung, internes Audit, Managementbewertung und Verbesserung (Kapitel 9–10)
Typische Lücken vor dem ISO 22301 Audit
- Keine Business Impact Analysis oder eine, die mehrere Jahre alt ist und das Geschäft nicht mehr abbildet
- Wiederanlaufzeit (RTO) und maximal tolerierbarer Datenverlust (RPO) sind nicht definiert oder nicht mit den Fachbereichen abgestimmt
- Notfallpläne existieren auf dem Papier, wurden aber nie geübt
- Die Kontinuität wichtiger Lieferanten und ausgelagerter Dienste wurde nicht bewertet
- Es gibt keinen Krisenkommunikationsplan für Mitarbeitende, Kunden, Behörden und Medien
Von der Selbstbewertung zur Zertifizierung
Die Selbstbewertung zeigt Ihren aktuellen Stand. Planen Sie mit dem Lückenbericht die nächsten Schritte, aktualisieren Sie BIA und Pläne, führen Sie Übungen durch und trainieren Sie das Auditgespräch im BALTUM KI-Auditsimulator. Die Zertifizierung selbst führt eine akkreditierte Zertifizierungsstelle Ihrer Wahl durch. BALTUM ist unabhängige Software und stellt keine Zertifikate aus.