Checkliste Business Continuity
ISO 22301 Checkliste: So prüfen Sie Ihre Bereitschaft
Diese Checkliste folgt den Klauseln 4 bis 10 der ISO 22301:2019. Zu jedem Punkt steht, welchen Nachweis ein Betrieb dafür vorlegt. Können Sie die Punkte mit Ja beantworten, ist Ihr Business-Continuity-Managementsystem bereit für die Selbstbeurteilung.
01: Aufbau
So arbeiten Sie die ISO 22301 Checkliste durch
Die Norm ist nach der gemeinsamen Struktur der ISO-Managementsysteme gegliedert. Die Checkliste übernimmt diese Reihenfolge: zuerst Kontext und Führung, dann Planung und Unterstützung, danach der Betrieb, am Schluss Bewertung und Verbesserung.
Antworten Sie bei jedem Punkt ehrlich mit Ja oder Nein. Ein Ja gilt nur, wenn Sie ein Dokument, ein Protokoll oder ein Testergebnis zeigen können. Eine mündliche Absprache zählt nicht als Nachweis.
| Klausel | Thema | Wichtigster Nachweis |
|---|---|---|
| 4 | Kontext der Organisation | Geltungsbereich, Liste der interessierten Parteien |
| 5 | Führung | Business-Continuity-Politik, Rollenbeschrieb |
| 6 | Planung | Risikoliste, messbare Ziele |
| 7 | Unterstützung | Ressourcenplanung, Schulungsnachweise, Kontaktlisten |
| 8 | Betrieb | Business Impact Analyse, Pläne, Übungsprotokolle |
| 9 | Bewertung der Leistung | Auditbericht, Protokoll der Managementbewertung |
| 10 | Verbesserung | Massnahmenliste mit Ursache und Abschluss |
Klausel 8 enthält die eigentliche Notfallarbeit und braucht in der Regel am meisten Zeit. Die übrigen Klauseln sind kürzer, aber ebenso verbindlich.
02: Klausel 4 und 5
Kontext und Führung: Geltungsbereich, Politik, Rollen
Bevor Sie Pläne schreiben, legen Sie fest, was das System abdeckt und wer dafür verantwortlich ist. Diese fünf Punkte sind meist in wenigen Seiten erledigt.
Der Geltungsbereich ist festgelegt.
Sie wissen, welche Standorte, Dienstleistungen und Prozesse im System liegen. Nachweis: ein kurzes Scope-Dokument, Ausschlüsse mit Begründung.
Interessierte Parteien und ihre Erwartungen sind erfasst.
Kunden, Lieferanten, Versicherer und Aufsichtsstellen erwarten bestimmte Verfügbarkeiten. Nachweis: eine Liste mit den Anforderungen, dazu Verträge mit Verfügbarkeitszusagen oder ausgefüllte Lieferantenfragebogen.
Vertragliche und gesetzliche Pflichten sind bekannt.
Welche Wiederanlaufzeiten haben Sie Kunden zugesagt? Nachweis: eine Tabelle mit Vertrag, Zusage und zuständiger Person.
Die Geschäftsleitung hat eine Business-Continuity-Politik verabschiedet.
Nachweis: das unterzeichnete Dokument oder der Eintrag im Protokoll der Geschäftsleitung.
Rollen und Stellvertretungen sind zugewiesen.
Jemand leitet das System, jemand führt im Ernstfall den Krisenstab, und beide haben eine Vertretung. Nachweis: Organigramm oder Rollenbeschrieb mit Namen.
03: Klausel 6 und 7
Planung und Unterstützung: Ziele, Mittel, Kompetenz
Hier zeigt sich, ob das System im Alltag getragen wird. Ziele ohne Budget und Pläne ohne geschulte Leute bleiben Papier.
Risiken und Chancen des Systems sind beurteilt.
Nachweis: eine Risikoliste mit Verantwortlichen und Terminen.
Die Ziele sind messbar.
Ein Beispiel: Das Kernsystem läuft nach einem Ausfall innerhalb der vereinbarten Zeit wieder. Nachweis: ein Zielblatt mit Kennzahl und Frist.
Die nötigen Ressourcen sind bereitgestellt.
Dazu gehören Ausweichstandort, Zweitsystem und Backup. Nachweis: Budgetposition, Mietvertrag, Konfiguration der Datensicherung.
Kompetenz und Bewusstsein sind belegt.
Wer in Plänen eine Rolle hat, kennt sie. Nachweis: Schulungsliste, Einführungsunterlagen für neue Mitarbeitende.
Die Kommunikation im Störfall ist geregelt.
Nachweis: Alarmierungsliste mit Telefonnummern, Kontaktliste der wichtigsten Kunden und Lieferanten.
Dokumente sind gelenkt und auch bei Ausfall zugänglich.
Ein Notfallplan, der nur auf dem ausgefallenen Server liegt, hilft niemandem. Nachweis: Ablagekonzept mit Versionen, Freigabe und Offline-Kopie.
04: Klausel 8
Betrieb: Business Impact Analyse, RTO, RPO und Pläne
Dies ist der Kern der ISO 22301. Die Reihenfolge ist wichtig: Erst die Analyse sagt Ihnen, welche Pläne Sie brauchen.
Die Business Impact Analyse ist durchgeführt.
Sie haben Tätigkeiten priorisiert und ihre Abhängigkeiten von IT, Personal und Lieferanten erfasst. Nachweis: BIA-Tabelle mit den Folgen eines Ausfalls je Tätigkeit.
RTO und RPO sind je kritischer Tätigkeit festgelegt.
Die Wiederanlaufzeit (RTO) sagt, wie lange eine Tätigkeit stillstehen darf. Die Datenverlustgrenze (RPO) sagt, wie viel Datenstand verloren gehen darf. Nachweis: Werte in der BIA, von der Leitung freigegeben.
Störungsrisiken sind beurteilt und behandelt.
Betrachtet werden Szenarien wie IT-Ausfall, Lieferengpass, Brand oder Pandemie. Nachweis: Risikobeurteilung mit Massnahmen.
Strategien und Lösungen sind umgesetzt.
Ausweichstandort, Zweitlieferant, Heimarbeit, Wiederherstellungsverfahren: Was Sie planen, muss vorhanden sein. Nachweis: Strategiepapier, Verträge, Ergebnis eines Restore-Tests.
Business-Continuity-Pläne und Krisenorganisation sind dokumentiert.
Jeder Plan nennt Auslöser, Verantwortliche, Schritte und Kontakte. Nachweis: Planordner oder Wiki, Alarmierungsplan.
Die Pläne wurden geübt.
Nachweis: Übungsprotokoll mit Datum, Teilnehmenden, Ergebnis und daraus abgeleiteten Verbesserungen.
Ein Plan, der noch nie geübt wurde, gilt als offener Punkt. Eine kleine Tischübung mit dem Krisenstab reicht, um Punkt 6 zu belegen, sofern Sie sie protokollieren.
05: Klausel 9 und 10
Überprüfen und verbessern: Audit, Bewertung, Massnahmen
Das System muss sich selbst kontrollieren und aus Fehlern lernen. Fünf Nachweise genügen dafür.
Überwachung und Messung laufen.
Nachweis: Auswertung von Kennzahlen, zum Beispiel Ergebnis der Restore-Tests oder Erreichbarkeit der Alarmierungsliste.
Ein internes Audit hat stattgefunden.
Die prüfende Person soll nicht ihren eigenen Bereich beurteilen. Nachweis: Auditplan und Auditbericht.
Die Geschäftsleitung hat das System bewertet.
Nachweis: Protokoll mit Entscheiden zu Ressourcen, Zielen und Änderungen.
Abweichungen sind behandelt.
Nachweis: Massnahmenliste mit Ursache, Korrektur und Abschlussdatum.
Verbesserungen fliessen in die Pläne ein.
Nachweis: geänderte Planversionen nach einer Übung oder einem echten Vorfall.
06: Zertify
Von der Checkliste zum ISO 22301 Zertifikat
Bei Zertify beantworten Sie 34 Ja/Nein-Fragen zur ISO 22301. Dreizehn davon sind Muss-Fragen, die Sie alle mit Ja beantworten müssen. Von den übrigen 21 Fragen brauchen Sie mindestens 14 Ja. Die Fragen decken die Kernpunkte ab, nicht jede einzelne Anforderung der Norm. Diese Checkliste geht deshalb tiefer als die Selbstbeurteilung und eignet sich als Vorbereitung.
Es gibt keinen Audit vor Ort. SICE prüft jede Beurteilung, bevor das Zertifikat ausgestellt wird. Nach bestandener Beurteilung und Zahlung liegt es innerhalb von 4 Stunden vor. Ihre Kunden können es über Nummer und QR-Code auf einer öffentlichen Seite verifizieren.
Das Zertifikat kostet CHF 749 im ersten Jahr, danach CHF 499 pro Jahr inklusive jährlichem Online-Re-Audit. Es gilt drei Jahre und ist jederzeit auf das Ende des laufenden Jahres kündbar.
07: FAQ
Häufige Fragen zur ISO 22301 Checkliste
Dokumentiert sein müssen unter anderem der Geltungsbereich, die Business-Continuity-Politik, die Ziele, die Ergebnisse der Business Impact Analyse, die Pläne sowie die Ergebnisse von Übungen, internem Audit und Managementbewertung. Wie umfangreich die Dokumente sind, entscheiden Sie nach Grösse und Komplexität Ihres Betriebs.
Die RTO (Recovery Time Objective) ist die Zeit, in der eine Tätigkeit nach einem Ausfall wieder laufen muss. Die RPO (Recovery Point Objective) ist der Zeitraum, für den Sie Datenverlust hinnehmen können. Bei einer RPO von vier Stunden darf Ihre letzte Sicherung also höchstens vier Stunden alt sein.
Die Norm verlangt regelmässige Übungen, legt aber keinen festen Takt fest. Sie bestimmen die Häufigkeit nach Kritikalität der Tätigkeiten und nach Änderungen im Betrieb. Üben Sie mindestens einmal im Jahr und nach jeder grösseren Änderung an Systemen oder Standorten.
Ja. Ein kleiner Betrieb legt einen engeren Geltungsbereich fest und hat weniger kritische Tätigkeiten. Die Punkte bleiben dieselben, der Umfang der Nachweise ist kleiner. Eine BIA-Tabelle und ein Notfallplan von wenigen Seiten können genügen.
Nein. Die Norm schreibt keine Software vor. Tabellen, ein Dokumentenordner und ein Übungsprotokoll genügen, solange Versionen gelenkt sind und die Dokumente im Ernstfall erreichbar bleiben.
08: Leitfaden
Verwandte Seiten
Wissen Sie, wo Ihr Betrieb steht?
Beantworten Sie die 34 Fragen zur ISO 22301 und sehen Sie, ob Sie bestehen.
Kostenlos und ohne Registrierung.