ISO 22301: ISO 22301 ist die internationale Norm für Business-Continuity-Management-Systeme (BCMS): Sie legt fest, wie Unternehmen die Fortführung kritischer Geschäftsprozesse während und nach einer Störung systematisch planen und sicherstellen.
Die Norm folgt wie andere moderne Managementsystemnormen der High-Level-Structure mit den Kapiteln 4 bis 10, sodass sich ein bestehendes ISO-9001- oder ISO-27001-System strukturell leicht um ein BCMS erweitern lässt. Kernstück ist die Business Impact Analyse (BIA): Sie identifiziert kritische Prozesse, bewertet die Folgen eines Ausfalls über die Zeit und legt daraus zwei zentrale Kennwerte fest – die Recovery Time Objective (RTO, maximal tolerierbare Ausfallzeit) und den Recovery Point Objective (RPO, maximal tolerierbarer Datenverlust).
Auf Basis der BIA entwickelt das Unternehmen Wiederanlaufstrategien für kritische Ressourcen wie Personal, IT, Standorte und Lieferanten sowie konkrete Notfallpläne, die im Ernstfall Schritt für Schritt abgearbeitet werden. Regelmäßige Übungen – vom Tabletop-Test bis zur simulierten Vollübung – prüfen, ob die Pläne in der Praxis tatsächlich funktionieren, statt nur auf dem Papier zu existieren.
Von einem einfachen betrieblichen Notfallplan unterscheidet sich ISO 22301 durch den systematischen, auditierbaren Managementansatz: Verantwortlichkeiten, Ressourcen, Kommunikationswege und die kontinuierliche Verbesserung sind Teil des Systems, nicht nur ein einzelnes Dokument in der Schublade.
- Business Impact Analyse (BIA) als Ausgangspunkt jeder BCMS-Planung
- RTO und RPO als zentrale, messbare Zielgrößen
- Wiederanlaufstrategien plus konkrete, geübte Notfallpläne
- Struktur folgt der High-Level-Structure (Kapitel 4–10)
Relevanz für die Zertifizierung
KCERT zertifiziert aktuell fünf Normen – ISO 9001, 14001, 45001, 27001 und 50001 – im nicht akkreditierten Bereich; ISO 22301 gehört bislang nicht zum Angebot, und das kommunizieren wir offen. Wer bereits ISO 27001 anstrebt oder besitzt, deckt einen Teil des Themas ohnehin ab: Die Controls A.5.29 (Informationssicherheit bei Störungen) und A.5.30 (ICT-Bereitschaft für Business Continuity) aus Anhang A verlangen bereits Grundelemente der Notfallvorsorge. Wird von Kunden oder Ausschreibungen ausdrücklich ein ISO-22301-Zertifikat gefordert, führt der Weg aktuell zu einer anderen Zertifizierungsstelle – ein Hinweis, den KCERT lieber vorab gibt, als ein Zertifikat außerhalb des eigenen Portfolios in Aussicht zu stellen.
Häufige Fragen zu ISO 22301
Nein. KCERT zertifiziert im nicht akkreditierten Bereich ISO 9001, 14001, 45001, 27001 und 50001 – ISO 22301 gehört aktuell nicht zum Portfolio. Wer explizit ein BCMS-Zertifikat nach ISO 22301 benötigt, etwa wegen einer Kundenanforderung, sollte sich an eine Zertifizierungsstelle wenden, die diese Norm im Programm hat. Teile des Themas, etwa Notfallvorsorge für die IT, deckt bereits ISO 27001 über Anhang-A-Controls wie A.5.30 mit ab.
Vor allem Unternehmen mit hoher Abhängigkeit von durchgängigem Betrieb: IT-Dienstleister mit SLA-Verpflichtungen, Finanzdienstleister, Betreiber kritischer Infrastrukturen sowie Zulieferer, deren Ausfall ganze Lieferketten stoppen würde. Auch ohne gesetzliche Pflicht verlangen zunehmend Großkunden im Rahmen von Lieferantenaudits einen Nachweis über Notfallvorsorge und Wiederanlauffähigkeit, gerade in Branchen mit hoher Störanfälligkeit.
Ein einzelner Notfallplan beschreibt Maßnahmen für einen konkreten Störfall. ISO 22301 verlangt darüber hinaus ein vollständiges Managementsystem: eine Business Impact Analyse mit festgelegten RTO- und RPO-Werten, dokumentierte Wiederanlaufstrategien für alle kritischen Ressourcen, regelmäßige Übungen und eine kontinuierliche Verbesserung nach Kapitel 10 – auditierbar und nicht nur auf dem Papier vorhanden.