ISO 22301.

ISO 22301 ist die Anforderungsnorm für ein Business-Continuity-Managementsystem, ein BCMS. Sie legt fest, was eine Organisation tun muss, um kritische Abläufe während einer Störung aufrechtzuerhalten.

Was ISO 22301 tatsächlich verlangt

Das Wort System ist entscheidend. ISO 22301 ist kein Plan, den man einmal schreibt und ablegt. Es ist ein gesteuerter Zyklus.

Dieser Zyklus hat vier Teile:

• Verstehen, was Ihre Organisation tut.
• Entscheiden, welche Aktivitäten Sie nicht lange verlieren dürfen.
• Die Fähigkeit aufbauen, sie aufrechtzuerhalten oder schnell wiederherzustellen.
• Diese Fähigkeit durch Übungen, Bewertungen und Verbesserung verlässlich halten.

Da es sich um eine Anforderungsnorm handelt, kann eine akkreditierte Stelle Sie dagegen auditieren und zertifizieren. Das gibt einem Kunden oder einer Aufsichtsbehörde etwas Konkretes, dem sie vertrauen können.

Eine gemeinsame Struktur mit anderen ISO-Normen

ISO 22301 folgt der High-Level-Struktur, wie ISO 27001 und andere moderne ISO-Managementsystemnormen. Sie teilt daher dasselbe Gerüst:

• Kontext der Organisation
• Führung
• Planung
• Unterstützung
• Betrieb
• Bewertung der Leistung
• Verbesserung

Alles läuft über einen Plan-Do-Check-Act-Kreislauf. Das ist ein Vorteil, wenn Sie bereits ein Informationssicherheits-Managementsystem betreiben. Sie nutzen dieselbe Governance, dieselbe Risikosprache und dieselbe interne Auditmaschinerie erneut. Sie setzen die Kontinuität obendrauf, statt eine parallele Struktur aufzubauen.

Die Arbeit hinter dem Zertifikat

Drei Aktivitäten bilden den Kern eines Programms. Ein Praktiker verbringt die meiste Zeit hier, nicht mit Dokumentation.

Business-Impact-Analyse

Die BIA identifiziert Ihre priorisierten Aktivitäten. Sie ermittelt, wie schnell jede einzelne wieder verfügbar sein muss.

Daraus entstehen die Wiederanlaufzeiten. Diese Ziele steuern jede spätere Entscheidung. Ohne eine belastbare BIA ist Ihre Kontinuitätsstrategie reine Vermutung.

Risikobeurteilung

Hier prüfen Sie, was diese priorisierten Aktivitäten stören könnte. Beispiele sind:

• Ein Ransomware-Ausbruch
• Ein Lieferantenausfall
• Ein überflutetes Rechenzentrum

So adressiert Ihre Strategie echte Bedrohungen, nicht eine generische Checkliste.

Kontinuitätsstrategie und -pläne

Nun nutzen Sie die BIA und das Risikobild. Sie wählen, wie Sie jede Aktivität schützen und wiederherstellen. Dann schreiben Sie die Verfahren, die die Menschen tatsächlich befolgen, wenn das Licht ausgeht, und statten sie mit Ressourcen aus.

Warum Aufsichtsbehörden zunehmend darauf verweisen

ISO 22301 war einst eine stille Norm für operative Resilienz. Reife Organisationen führten sie freiwillig ein. Das hat sich geändert.

Finanzaufsichtsbehörden stützen sich nun auf DORA. Aufseher setzen NIS 2 durch. Beide erwarten inzwischen eine nachweisbare Kontinuitätsfähigkeit für kritische Abläufe. ISO 22301 ist der anerkannteste Weg, sie zu belegen.

Die Norm nennt keine bestimmte Regulierung. Doch ihre Disziplin deckt sich klar mit dem, was diese Regime verlangen:

• Priorisierte Aktivitäten
• Definierte Wiederherstellungsziele
• Getestete Pläne
• Abgebildete Abhängigkeiten

Die Zertifizierung dagegen erlaubt Ihnen, einer Aufsichtsbehörde mit einer unabhängigen Bescheinigung zu antworten, nicht mit einer Selbstbewertung.

Wie sie mit ISO 27001 zusammenhängt

Ein häufiger Verwechslungspunkt ist die Verbindung zu ISO 27001. Sie sind Geschwister, keine Ersatzlösungen.

• ISO 27001 regelt die Informationssicherheit. Sie schützt die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen.
• ISO 22301 regelt die Kontinuität. Sie hält das Geschäft während einer Störung am Laufen.

Die Verfügbarkeit ist die Brücke zwischen beiden. Eine Organisation, die Resilienz ernst nimmt, betreibt oft beide. Sie zertifiziert sie gemeinsam, um Audits und Managementbewertungen zu teilen.

Kontinuität ist die Antwort auf eine Frage, die Sicherheit allein nicht lösen kann. Was passiert, wenn die Prävention versagt und Sie trotzdem liefern müssen?