_1762866128417-DS2_OO1j.png)
Worum es bei ISO 22301 geht
ISO 22301 ist die internationale Norm für Business-Continuity-Managementsysteme (BCMS). Sie beschreibt, wie eine Organisation sich auf Störungen vorbereitet, darauf reagiert und sich davon erholt – egal ob Cyberangriff, Ausfall eines Lieferanten, Brand, Pandemie oder Stromausfall. Im Mittelpunkt steht die Frage: Welche Leistungen müssen wir in welcher Zeit wiederherstellen, und wie gelingt das?
Die Norm folgt der Harmonized Structure und lässt sich mit ISO 9001, ISO 27001 und anderen Managementsystemen kombinieren. Ergänzende Hinweise zur Umsetzung liefert ISO 22313. In Deutschland orientieren sich viele Organisationen zusätzlich am BSI-Standard 200-4 zum Business Continuity Management.
Die wichtigsten Begriffe
| Begriff | Bedeutung |
|---|---|
| Business Impact Analyse (BIA) | Analyse, welche Auswirkungen der Ausfall von Tätigkeiten über die Zeit hat, und Festlegung von Prioritäten |
| Maximal tolerierbare Ausfallzeit (MTPD) | Zeitraum, nach dem die Auswirkungen eines Ausfalls nicht mehr akzeptabel sind |
| Recovery Time Objective (RTO) | Zeit, in der eine Tätigkeit nach einer Störung wieder aufgenommen sein muss |
| Recovery Point Objective (RPO) | Maximal akzeptabler Datenverlust, gemessen als Zeitraum vor der Störung |
| Minimum Business Continuity Objective (MBCO) | Mindestniveau an Leistung, das während der Störung erbracht werden muss |
| Business-Continuity-Plan | Dokumentierte Vorgehensweise zur Reaktion auf eine Störung und zur Wiederherstellung |
Kernanforderungen aus Kapitel 8
- 1
Business Impact Analyse und Risikobeurteilung (8.2)
Tätigkeiten priorisieren, Abhängigkeiten von Personal, IT, Gebäuden und Lieferanten ermitteln, Risiken für diese Ressourcen bewerten.
- 2
Business-Continuity-Strategien (8.3)
Lösungen auswählen, wie priorisierte Tätigkeiten innerhalb der RTO fortgeführt oder wiederhergestellt werden – etwa Ausweichstandort, Zweitlieferant oder manuelle Verfahren.
- 3
Pläne und Verfahren (8.4)
Reaktionsstruktur, Alarmierung, Kommunikation, Wiederanlauf und Rückkehr zum Normalbetrieb dokumentieren.
- 4
Übungsprogramm (8.5)
Pläne regelmäßig üben – vom Planspiel bis zum vollständigen Test – und die Ergebnisse auswerten.
- 5
Bewertung der Dokumentation und Fähigkeiten (8.6)
Prüfen, ob Pläne aktuell und wirksam sind, und Verbesserungen umsetzen.
So unterstützt docxpert Ihr BCMS
Übungen planen und auswerten
Ein Notfallplan, der nie geübt wurde, ist eine Hypothese. ISO 22301 verlangt deshalb ein Übungsprogramm, das die Wirksamkeit der Strategien und Pläne über die Zeit nachweist. Sinnvoll ist eine Steigerung des Anspruchs:
| Übungsart | Aufwand | Was sie zeigt |
|---|---|---|
| Plandurchsprache | Gering | Sind Pläne verständlich, vollständig und bekannt? |
| Planspiel (Tabletop) | Mittel | Funktionieren Entscheidungswege und Kommunikation im Krisenstab? |
| Technischer Test | Mittel bis hoch | Lassen sich Systeme und Daten innerhalb von RTO und RPO wiederherstellen? |
| Vollübung | Hoch | Greifen Organisation, Technik und Dienstleister im Zusammenspiel? |
Dokumentieren Sie zu jeder Übung Ziel, Szenario, Beteiligte, Beobachtungen und Maßnahmen. Diese Nachweise sind im Audit besonders gefragt. Leiten Sie aus jeder Übung konkrete Verbesserungen ab und prüfen Sie bei der nächsten Übung, ob sie gewirkt haben.
Ein BCMS in sechs Schritten aufbauen
- 1
Auftrag und Geltungsbereich
Die Leitung legt fest, welche Standorte, Produkte und Dienstleistungen einbezogen sind, und benennt Verantwortliche für das BCM.
- 2
Business Impact Analyse
Mit den Fachbereichen kritische Tätigkeiten, Ausfallfolgen, RTO, RPO und Abhängigkeiten ermitteln.
- 3
Risiken bewerten
Bedrohungen für die benötigten Ressourcen bewerten – Personal, IT, Gebäude, Lieferanten, Informationen.
- 4
Strategien auswählen
Für jede kritische Tätigkeit eine Lösung festlegen und die nötigen Ressourcen vorhalten.
- 5
Pläne dokumentieren und schulen
Krisenstabsplan, Notfall- und Wiederanlaufpläne erstellen, freigeben und die Beteiligten schulen.
- 6
Üben, auditieren, verbessern
Übungen durchführen, intern auditieren, in der Managementbewertung bewerten und Erkenntnisse umsetzen.
Praxistipps
- Mit der BIA beginnen: Ohne Prioritäten werden Notfallpläne zu umfangreich und im Ernstfall nicht genutzt.
- Pläne kurz halten: Checklisten und klare Rollen helfen in Stresssituationen mehr als ausführliche Texte.
- Offline-Verfügbarkeit sichern: Notfallpläne müssen auch erreichbar sein, wenn IT-Systeme ausfallen.
- Lieferanten einbeziehen: Kritische Dienstleister sollten eigene Kontinuitätsvorkehrungen nachweisen.
- Nach jedem Vorfall lernen: Echte Störungen sind die besten Übungen – werten Sie sie strukturiert aus.
Häufige Fragen
Was ist der Unterschied zwischen BCM und IT-Notfallmanagement?
IT-Notfallmanagement konzentriert sich auf die Wiederherstellung von IT-Systemen. BCM betrachtet die gesamte Organisation – Personal, Standorte, Lieferanten und Prozesse – und legt fest, welche Geschäftstätigkeiten wie schnell wieder laufen müssen. IT-Notfallpläne sind ein Teil davon.
Wie oft sollte eine Business Impact Analyse aktualisiert werden?
Mindestens jährlich und bei wesentlichen Änderungen, etwa neuen Produkten, Standorten, IT-Systemen oder Lieferanten. Die Norm verlangt, dass die BIA in festgelegten Abständen und bei Änderungen überprüft wird.
Ist ISO 22301 für kleine Unternehmen sinnvoll?
Ja, in angepasstem Umfang. Gerade kleine Unternehmen hängen oft von wenigen Personen, Kunden oder Lieferanten ab. Schon eine einfache BIA und wenige, geübte Notfallpläne erhöhen die Widerstandsfähigkeit deutlich.
Gibt es für ISO 22301 eine automatische Gap-Analyse in docxpert?
Derzeit ist für ISO 22301 kein eigener Anforderungskatalog hinterlegt. Die 19 Vorlagen zeigen aber, welche Normkapitel sie abdecken, und die BCM-Inhalte sind auch über ISO 27001 und NIS2 abgedeckt.
Wie oft müssen Notfallpläne geübt werden?
Die Norm legt kein festes Intervall fest. Üblich ist mindestens eine Übung pro Jahr für jeden kritischen Plan, ergänzt um technische Wiederherstellungstests nach größeren Änderungen.
Wer gehört in den Krisenstab?
Typischerweise Geschäftsleitung, Kommunikation, IT, Personal, Standortverantwortliche und je nach Szenario Fachbereiche. Wichtig sind benannte Vertretungen und klare Entscheidungsbefugnisse.
Wie leite ich Wiederanlaufziele aus einer Business Impact Analyse ab?
Bewerten Sie für jede kritische Aktivität, welche Auswirkungen eine Unterbrechung nach unterschiedlichen Zeiträumen hätte. Berücksichtigen Sie Abhängigkeiten von Personal, Standorten, Informationen, Lieferanten und unterstützenden Technologien. Daraus können Sie priorisieren, welche Leistungen zuerst wiederhergestellt werden müssen und welche Mindestkapazität dafür erforderlich ist. Recovery Time Objective und Recovery Point Objective sollten aus dieser Analyse und den tolerierbaren Folgen abgeleitet werden, nicht aus technisch erreichbaren Werten allein. Dokumentieren Sie Annahmen, Datenquellen, Verantwortliche und die Freigabe durch Prozessverantwortliche. Prüfen Sie anschließend, ob vorhandene Strategien diese Ziele praktisch erfüllen und ob vertragliche Zusagen von Dienstleistern dazu passen. Wiederholen Sie die Analyse bei größeren Geschäftsänderungen und nutzen Sie Übungen, um unrealistische Ziele oder übersehene Abhängigkeiten sichtbar zu machen.