Business Continuity Management
ISO 22301 Anforderungen: was die Norm von Ihrem Betrieb verlangt
ISO 22301:2019 verlangt ein Managementsystem, mit dem Ihr Betrieb bei IT-Ausfall, Lieferengpass, Brand oder Pandemie weiterarbeiten kann. Die Norm folgt den Klauseln 4 bis 10. Auf dieser Seite sehen Sie, was jede Klausel bedeutet und welche Unterlagen Sie dazu führen.
01: Überblick
Was fordert ISO 22301 im Kern?
Die Norm beschreibt ein Business-Continuity-Managementsystem, kurz BCMS. Sie schreibt keine bestimmte Technik vor. Sie verlangt, dass Sie Ihre kritischen Tätigkeiten kennen, tolerierbare Ausfallzeiten festlegen und für den Ernstfall Pläne haben, die schon einmal geübt wurden.
Für Zulieferer von Banken und Versicherungen, für IT-Dienstleister und für Logistikbetriebe ist das oft die Frage im Lieferantenfragebogen: Was passiert bei Ihnen, wenn das Rechenzentrum steht oder das Lager unzugänglich ist? ISO 22301 liefert dafür die Struktur und einen Nachweis.
02: Klauseln 4 bis 7
Kontext, Führung, Planung und Unterstützung
Die ersten vier Anforderungsklauseln legen das Fundament. Sie gelten für jede ISO-Norm mit gleicher Grundstruktur und sind in einem kleinen Betrieb schnell umgesetzt.
- Klausel 4, Kontext der Organisation
- Sie halten fest, welche Anspruchsgruppen etwas von Ihnen erwarten, etwa Kunden, Aufsichtsstellen oder Versicherer, und welchen Geltungsbereich Ihr BCMS hat. Üblich ist ein kurzes Dokument mit Geltungsbereich und Liste der Anforderungen.
- Klausel 5, Führung
- Die Geschäftsleitung setzt eine Business-Continuity-Politik in Kraft und weist Rollen zu. Nachweis ist die unterzeichnete Politik und eine Rollenbeschreibung, wer im Ernstfall entscheidet.
- Klausel 6, Planung
- Sie beurteilen Risiken und Chancen für das BCMS und setzen messbare Ziele, zum Beispiel eine maximale Dauer bis zum Wiederanlauf des Auftragssystems. Dokumentiert werden Zielliste und Massnahmenplan.
- Klausel 7, Unterstützung
- Ressourcen, Kompetenzen, Bewusstsein, Kommunikation und dokumentierte Information gehören hierher. Typisch sind Schulungsnachweise, eine Notfallkontaktliste und eine Regel zur Lenkung von Dokumenten.
03: Klausel 8
Betrieb: Analyse, Strategien, Pläne und Übungen
Klausel 8 ist das Herzstück von ISO 22301 und der Teil, der in der Praxis die meiste Arbeit macht. Hier unterscheidet sich ein BCMS am deutlichsten von einem blossen Notfallordner.
Business Impact Analyse
Sie bewerten, welche Tätigkeiten bei Ausfall am schnellsten Schaden anrichten, und ordnen sie nach Priorität. Das Ergebnis ist eine Liste kritischer Prozesse mit Abhängigkeiten, etwa von Systemen, Personal und Lieferanten.
Wiederanlaufzeit und Datenverlust festlegen
Für jede kritische Tätigkeit bestimmen Sie die Wiederanlaufzeit (RTO) und die Grenze für den Datenverlust (RPO). Diese Werte steuern alle weiteren Entscheide, vom Backup-Rhythmus bis zum Ausweichstandort.
Risiken beurteilen und behandeln
Sie prüfen, welche Störungen wahrscheinlich sind und wie sie sich auf die kritischen Tätigkeiten auswirken. Für untragbare Risiken legen Sie Massnahmen fest.
Strategien und Lösungen umsetzen
Dazu zählen Ausweichstandorte, Zweitlieferanten, Remote-Arbeit oder redundante Systeme. Entscheidend ist, dass die Lösung die festgelegte Wiederanlaufzeit tatsächlich erreicht.
Pläne und Krisenorganisation dokumentieren
Business-Continuity-Pläne beschreiben, wer was in welcher Reihenfolge tut. Die Krisenorganisation regelt Alarmierung, Entscheidungswege und Kommunikation nach innen und aussen.
Pläne üben
Eine Übung kann ein Tischtest mit dem Führungsteam oder ein Wiederherstellungstest des Backups sein. Das Protokoll mit den gefundenen Lücken ist der Nachweis.
04: Klauseln 9 und 10
Bewertung und Verbesserung des BCMS
Ein Plan, der nie überprüft wird, veraltet innerhalb eines Jahres. Die beiden letzten Klauseln sorgen dafür, dass das System lebt.
- Klausel 9, Bewertung der Leistung
- Sie messen, ob Ziele erreicht werden, führen interne Audits durch und halten eine Managementbewertung ab. Nachweise sind Auditbericht, Kennzahlen und das Protokoll der Geschäftsleitung.
- Klausel 10, Verbesserung
- Abweichungen, Beinahe-Vorfälle und Übungsergebnisse führen zu Korrekturmassnahmen. Eine einfache Massnahmenliste mit Verantwortlichen und Terminen genügt, solange sie gepflegt wird.
05: Nachweise
Welche Dokumente Sie typischerweise führen
ISO 22301 verlangt dokumentierte Information, aber keine feste Dokumentenliste. Für einen Betrieb mit 20 bis 200 Mitarbeitenden hat sich die folgende Auswahl bewährt.
| Themenbereich | Typischer Nachweis | Inhalt in Kürze |
|---|---|---|
| Geltungsbereich | Dokument zum Anwendungsbereich | Standorte, Dienstleistungen, Ausschlüsse |
| Politik und Rollen | Business-Continuity-Politik | Ziele, Verantwortliche, Unterschrift der Leitung |
| Business Impact Analyse | Tabelle kritischer Prozesse | Priorität, RTO, RPO, Abhängigkeiten |
| Risikobeurteilung | Risikoregister | Störungsszenarien, Bewertung, Massnahmen |
| Pläne | Continuity- und Krisenpläne | Alarmierung, Ablauf, Kontaktliste |
| Übungen | Übungsprotokoll | Szenario, Teilnehmende, Erkenntnisse |
| Überprüfung | Auditbericht und Managementbewertung | Befunde, Entscheide, Massnahmen |
06: Mit Zertify
Wie Zertify die Anforderungen prüft
Bei Zertify beantworten Sie online 34 Ja-Nein-Fragen zu ISO 22301. 13 davon sind Muss-Fragen, die alle mit Ja beantwortet sein müssen. Von den übrigen 21 Fragen braucht es mindestens 14 Ja. Die Fragen decken die Kernpunkte der Norm ab, nicht jede einzelne Anforderung.
Das Zertifikat stellt Zertify unter Lizenz von SICE aus. SICE prüft jede Selbstbewertung, bevor das Zertifikat erscheint. Nach bestandener Bewertung und Zahlung liegt es innerhalb von 4 Stunden vor. Ihr Kunde kann es über Zertifikatsnummer oder QR-Code auf dem PDF öffentlich prüfen.
Das Zertifikat kostet CHF 749 im ersten Jahr, danach CHF 499 pro Jahr inklusive des kurzen Online-Re-Audits. Es gilt 3 Jahre. Wenn Ihr Kunde ausdrücklich ein Audit vor Ort verlangt, finden Sie im Vergleich der Zertifizierungswege den klassischen Weg über eine Zertifizierungsstelle.
07: FAQ
Häufige Fragen zu den Anforderungen von ISO 22301
Die Anforderungen stehen in den Klauseln 4 bis 10: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Die Klauseln 1 bis 3 enthalten Anwendungsbereich, Verweise und Begriffe. Die meiste Arbeit liegt in Klausel 8.
Ja. Ohne sie lassen sich Wiederanlaufzeiten und Datenverlustgrenzen nicht begründen. Die Analyse kann in einem kleinen Betrieb eine Tabelle mit den kritischen Prozessen sein, solange Priorität, RTO und RPO nachvollziehbar festgelegt sind.
Die RTO ist die Zeit, innerhalb der eine Tätigkeit nach einem Ausfall wieder laufen muss. Die RPO ist der Zeitraum, für den Datenverlust noch tragbar ist. Eine RPO von vier Stunden bedeutet, dass die letzte Datensicherung nicht älter sein darf.
Die Norm nennt keinen festen Rhythmus. Sie verlangt ein Übungsprogramm, das zu Ihren Risiken passt, und die Auswertung der Ergebnisse. Für kritische Prozesse ist mindestens eine Übung pro Jahr üblich.
Ja, besonders wenn Sie Banken, Versicherungen oder Industriekunden beliefern. Der Aufwand richtet sich nach der Grösse und der Zahl der kritischen Tätigkeiten. Ein Betrieb mit einem Standort und wenigen Prozessen hat entsprechend schlanke Unterlagen.
08: Ratgeber
Weiterführende Seiten
Prüfen Sie, wie weit Ihr Betrieb bei ISO 22301 ist
Die Selbstbewertung mit 34 Fragen zeigt, welche Anforderungen Sie bereits erfüllen.
Kostenlos und ohne Registrierung.