Business Continuity Management

ISO 22301

ISO 22301 ist die internationale Norm für Business Continuity Management. Sie fragt, welche Ihrer Tätigkeiten nicht ausfallen dürfen, wie lange sie unterbrochen sein können, bevor der Schaden spürbar wird, und ob Sie Ihre Antwort erprobt statt nur aufgeschrieben haben.

Norm: ISO 22301:2019
Akkreditierung: EIAC
Typischer Zeitrahmen: Zehn bis vierzehn Wochen für einen Standort, und länger dort, wo die Auswirkungsanalyse zum ersten Mal durchgeführt wird. Ein System ohne abgeschlossene Übung kann die Stufe 2 nicht bestehen, deshalb setzt in der Regel das Übungsprogramm den Termin und nicht die Unterlagen.

Wer sie braucht

Banken, Versicherer und Zahlungsdienstleister, die den Erwartungen der Zentralbank genügen müssen; Rechenzentren, Telekommunikationsbetreiber und Managed-Service-Anbieter, die über Verfügbarkeit kontrahieren; Logistikbetriebe, Krankenhäuser und Versorgungsunternehmen. Sie taucht in Ausschreibungen in den VAE überall dort auf, wo eine Unterbrechung Ihrer Leistung zur Unterbrechung beim Auftraggeber wird.

Was die Norm verlangt

Business-Impact-Analyse: Bestimmen Sie die Tätigkeiten, die Ihre Produkte und Dienstleistungen erbringen, und legen Sie für jede fest, wie schnell sie wieder aufgenommen werden muss und was sie dafür braucht. Auf dieser Analyse ruht das übrige System, und ein ohne sie geschriebener Plan ist ein Plan für die Unterbrechung, die sich jemand vorgestellt hat, nicht für die, die wehtäte.
Risikobeurteilung: Beurteilen Sie, was diese priorisierten Tätigkeiten stören könnte. Die Norm verlangt nicht, dass Sie die Ursache vorhersagen; sie verlangt, dass Sie die Unterbrechung verstehen — eine Abhängigkeit von einem einzigen Lieferanten zählt also, ob er durch Brand, Sanktion oder Insolvenz ausfällt.
Business-Continuity-Strategien und -Lösungen: Wählen Sie aus und stellen Sie bereit, was Sie tatsächlich tun werden — Ausweichstandorte, Reservekapazität, mehrfach qualifiziertes Personal, Vereinbarungen mit Lieferanten — und zeigen Sie, dass die gewählten Lösungen die Zeitvorgaben der Auswirkungsanalyse einhalten. Auditoren prüfen, dass die in einer Strategie benannten Mittel existieren und verfügbar sind.
Dokumentierte Pläne und eine Reaktionsstruktur: Benannte Rollen mit der Befugnis, einen Plan auszulösen, ein Weg, Menschen zu erreichen, wenn die üblichen Systeme ausgefallen sind, und Verfahren, die so geschrieben sind, dass wer gerade Dienst hat sie anwenden kann. Wir erheben Feststellungen, wo die einzige Fassung eines Plans auf dem System liegt, das der Plan überleben soll.
Üben und Testen: Das ist der Abschnitt, der ein zertifiziertes System von einem dokumentierten trennt. Pläne müssen nach einem festgelegten Programm geübt, die Ergebnisse ehrlich aufgezeichnet werden — einschließlich dessen, was gescheitert ist — und die Pläne daraufhin geändert werden. Eine Übung, bei der nichts gescheitert ist, hat meist nichts geprüft.

Warum Organisationen sich zertifizieren lassen

Beantwortet die Abschnitte zu Kontinuität und Widerstandsfähigkeit in Ausschreibungen der Finanzbranche und der öffentlichen Hand mit einem unabhängigen Zertifikat statt mit einer Selbstauskunft
Gibt Kunden, die über Verfügbarkeit kontrahieren, einen Nachweis einer dritten Seite hinter der Zusage
Macht aus der Kontinuität ein System mit benannten Rollen, erprobter Reaktion und Überprüfungszyklus statt eines Dokuments, das einer Person gehört

Was das Honorar bestimmt

Unter unserer Akkreditierung wird die Auditdauer durch festgelegte Kriterien bestimmt, nicht durch Verhandlung. Dies sind die Faktoren, die sie bewegen, damit Sie sehen, woher Ihr Angebot kommt:

Anzahl der priorisierten Tätigkeiten und Anzahl der unterschiedlichen Produkte und Dienstleistungen im Geltungsbereich
Anzahl der Mitarbeitenden sowie wie viele Standorte, Rechenzentren und Betriebsorte erfasst sind
Komplexität der Abhängigkeiten, insbesondere die Abstützung auf ausgelagerte Anbieter, deren Vereinbarungen nachgewiesen werden müssen
Ob bereits ein Übungsprogramm läuft, da der Nachweis des Übens das ist, womit das Audit die meiste Zeit verbringt

Wie das Audit abläuft

01
Zertifizierung
Stufe 1 und Stufe 2
Zwei Stufen. Die Stufe 1 ist eine Dokumentenprüfung und Informationserhebung; die Stufe 2 ist das Audit, das über die Zertifizierung entscheidet.
02
1. jährliche Überwachung
Erstes Folgeaudit
Ein Folgeaudit im ersten Jahr des Zyklus, das bestätigt, dass das System weiterhin arbeitet und dass die Korrekturmaßnahmen wirksam waren.
03
2. jährliche Überwachung
Zweites Folgeaudit
Das zweite Folgeaudit, im letzten Jahr vor der Rezertifizierung, das die Teile des Systems abdeckt, die im ersten Jahr nicht in der Stichprobe waren.
04
Rezertifizierung
Erneuerungsaudit für den nächsten Zyklus
Ein Erneuerungsaudit vor Ablauf des Zertifikats, das das gesamte Managementsystem und seine Leistung über die vollen drei Jahre bewertet.

Mehr erfahren

Fragen, die uns gestellt werden

Ist das dasselbe wie ein Notfallwiederherstellungsplan?

Nein, und dieser Unterschied ist der Kern der Norm. Die Notfallwiederherstellung stellt Technik wieder her. ISO 22301 geht von den Tätigkeiten aus, die die Organisation weiter erbringen muss, ermittelt, wie schnell jede wieder aufgenommen werden muss, und behandelt Technik als eines der Mittel, das rechtzeitig verfügbar sein muss. Ein Wiederherstellungsplan für die Systeme ist ein Teil davon, niemals das Ganze.

Müssen wir vor dem Audit eine vollständige Übung durchführen?

Sie müssen geübt haben, und Sie müssen zeigen können, was die Übung zutage gefördert hat und was sich daraufhin geändert hat. Die Norm schreibt keinen Umfang vor, deshalb wiegt eine gezielte Übung einer priorisierten Tätigkeit schwerer als ein Durchgang durch alles. Ein System, das nie geübt wurde, ist nicht umgesetzt.

Kann sie zusammen mit ISO 9001 zertifiziert werden?

Ja. Beide folgen der harmonisierten Struktur, sodass Managementbewertung, internes Audit, Dokumentenlenkung und Korrekturmaßnahmen gemeinsame Abschnitte sind. Wir fassen die Audits zusammen, wo Geltungsbereiche und Standorte es erlauben, was das Audit verkürzt und das Honorar senkt.

Deckt sie die Informationssicherheit ab?

Nur dort, wo ein Sicherheitsvorfall eine Unterbrechung ist, von der man sich erholen muss. ISO 22301 regelt die Fortführung von Tätigkeiten; die Maßnahmen, die einen Sicherheitsvorfall verhindern und erkennen, gehören zu ISO/IEC 27001, einer eigenen Norm außerhalb dessen, was wir zertifizieren.

Verwandte Normen

QualitätsmanagementISO 9001ISO 9001 ist die internationale Norm für ein Qualitätsmanagementsystem.

Verwandte Branchen

Aktuelles