Unternehmensresilienz: Unternehmensresilienz bezeichnet die Fähigkeit einer Organisation, Störungen, Krisen oder unerwartete Ereignisse zu erkennen, ihnen standzuhalten und sich anschließend zügig wieder auf das Kerngeschäft auszurichten.
Resilienz ist keine einzelne Norm, sondern ein Querschnittsthema, zu dem mehrere Managementsysteme jeweils einen Baustein beitragen, statt es vollständig für sich zu beanspruchen.
| Baustein | Relevante Norm | Fokus |
|---|---|---|
| Prozessstabilität | ISO 9001 | Robuste, gelenkte Kernprozesse |
| Informationssicherheit | ISO 27001 | Schutz vor und Reaktion auf Cybervorfälle |
| Arbeitsschutz | ISO 45001 | Notfallvorsorge, Schutz der Beschäftigten |
| Umwelt- und Lieferrisiken | ISO 14001 | Klima- und Ressourcenrisiken |
Alle genannten Normen verlangen bereits in Kapitel 6.1 eine risikobasierte Betrachtung von Chancen und Risiken sowie eine Analyse des Kontexts der Organisation – beides zentrale Bausteine von Resilienz, auch ohne eigenständiges Resilienz-Zertifikat. Speziell für Informationssicherheit ergänzt Anhang A der ISO 27001 mit Kontinuitätsaspekten der Informationssicherheit während einer Störung, etwa Redundanz kritischer Systeme.
Die einzige Norm, die Resilienz beziehungsweise Business Continuity als eigenständiges, zertifizierbares Managementsystem beschreibt, ist ISO 22301. Sie verlangt unter anderem definierte Wiederanlaufzeiten, Business-Impact-Analysen und eine eigene formale Auditierung – ein deutlich höherer Formalisierungsgrad, als er für die meisten KMU verhältnismäßig ist. ISO 31000 wiederum liefert als Leitfaden Methodik fürs Risikomanagement, ist selbst aber nicht zertifizierbar.
In der Praxis zeigt sich Resilienz weniger an Dokumenten als an konkretem Verhalten im Ernstfall: Kann die Produktion trotz Lieferengpass zügig auf einen Alternativlieferanten umschwenken, funktioniert die Notfallkommunikation auch bei Ausfall des Hauptstandorts, und sind Verantwortlichkeiten für Krisenentscheidungen vorab geklärt, statt erst während der Krise improvisiert zu werden.
Relevanz für die Zertifizierung
Radikale Ehrlichkeit an dieser Stelle: KCERT zertifiziert ISO 9001, 14001, 45001, 27001 und 50001, aber nicht die dedizierte Business-Continuity-Norm ISO 22301. Wer eine BCM-Zertifizierung vertraglich vorweisen muss, braucht eine dafür akkreditierte Stelle. Für die meisten Mittelständler ist das aber kein Nachteil: Unternehmensresilienz lässt sich in der Praxis meist proportional über die Risiko- und Notfallvorsorge-Kapitel eines bereits vorhandenen ISO-Systems aufbauen, statt eine zusätzliche, aufwendige Zertifizierung anzustreben, die über den tatsächlichen Bedarf hinausgeht. Ein integriertes Managementsystem, das mehrere ISO-Normen bündelt, deckt in der Praxis meist schon einen Großteil dessen ab, was Kunden unter Resilienz erwarten.
Häufige Fragen zu Unternehmensresilienz
Nein. KCERT zertifiziert ISO 9001, 14001, 45001, 27001 und 50001 im nicht akkreditierten Bereich. Für eine ISO-22301-Zertifizierung, die explizit von Kunden oder Ausschreibungen verlangt wird, ist eine dafür akkreditierte Zertifizierungsstelle notwendig. Elemente von Resilienz lassen sich aber bereits über bestehende ISO-Systeme abdecken.
Teilweise. ISO 9001 verlangt risikobasiertes Denken und eine Kontextanalyse, was zur Resilienz beiträgt, deckt aber nicht den vollen Umfang eines formalen Business-Continuity-Managements ab, etwa definierte Wiederanlaufzeiten für einzelne Systeme. Für umfassendere Resilienz empfiehlt sich die Kombination mehrerer Normen, etwa ISO 9001 mit ISO 27001 oder ISO 45001.
Risikomanagement, etwa nach ISO 31000, identifiziert und bewertet einzelne Risiken systematisch. Unternehmensresilienz ist das übergeordnete Ergebnis: die tatsächliche Fähigkeit, trotz eingetretener Störungen handlungsfähig zu bleiben. Gutes Risikomanagement ist eine wesentliche Voraussetzung für Resilienz, aber nicht automatisch damit identisch.