Business Continuity für Dienstleister
ISO 22301 für Dienstleister: Zertifikat online erhalten
ISO 22301:2019 zeigt Ihren Kunden, dass Ihre Leistung auch bei einem Ausfall weiterläuft. Sie beantworten 34 Ja/Nein-Fragen online und erhalten das Zertifikat innert 4 Stunden, sobald die Bewertung bestanden und die Zahlung eingegangen ist. Ein Audit vor Ort entfällt.
01: Nachfrage
Warum Kunden von Dienstleistern ISO 22301 verlangen
Ein Dienstleister liefert keine Ware, die im Lager liegt. Fällt das Rechenzentrum, das Supportsystem oder die Abrechnungsplattform aus, steht beim Kunden der Betrieb still. Darum fragen Einkaufsabteilungen bei Dienstleistern früh und genau nach.
In Lieferantenfragebogen und Ausschreibungen kommen immer dieselben Fragen: Gibt es einen Notfallplan? Wie schnell sind Sie nach einem Ausfall wieder erreichbar? Wann wurde der Ernstfall zuletzt geübt? Ein Zertifikat nach ISO 22301:2019 beantwortet das mit einem einzigen Dokument.
Bei einem Kundenaudit müssen Sie nicht mehr Einzelnachweise zusammensuchen. Das Zertifikat trägt eine Nummer und einen QR-Code. Beide führen auf eine öffentliche Prüfseite, auf der Ihr Kunde die Gültigkeit selbst kontrolliert.
02: Begriffe
Die wichtigsten Begriffe aus Sicht eines Dienstleisters
Der Standard arbeitet mit wenigen Kernbegriffen. Sie lassen sich an Ihrem Tagesgeschäft konkret machen.
- Kritische Tätigkeit
- Ein Prozess, ohne den Sie Ihre Leistung nicht erbringen können. Beispiele: die Ticketannahme im Kundensupport, der Lohnlauf bei einem Treuhandbüro, das Monitoring bei einem IT-Betreiber.
- Business Impact Analyse
- Die Untersuchung, was ein Ausfall jeder Tätigkeit kostet und in welcher Reihenfolge Sie wieder anlaufen. Ein Outsourcing-Dienstleister stellt dabei fest, dass die Rechnungsstellung einen Tag warten kann, die Auftragsannahme nicht.
- Wiederanlaufzeit (RTO)
- Die Zeit, in der eine Tätigkeit nach einer Störung wieder laufen muss. Für das Kundenportal eines Hosting-Anbieters können das zum Beispiel vier Stunden sein.
- Datenverlustgrenze (RPO)
- Der höchste Datenverlust, den Sie hinnehmen können, gemessen in Zeit. Wenn ein Dokumentenverwalter stündlich sichert, liegt sein RPO bei einer Stunde.
- Business-Continuity-Plan
- Die dokumentierte Anleitung für den Ausfall: wer was in welcher Reihenfolge tut, mit Telefonnummern und Zugangswegen. Er liegt auch offline vor, falls das Firmennetz ausfällt.
- Krisenorganisation
- Das Team, das bei einem Vorfall entscheidet und kommuniziert. Bei einem kleinen Dienstleister sind das oft die Geschäftsleitung, die IT-Verantwortliche und die Leiterin Kundendienst.
03: Risiken
Welche Störungen ISO 22301 bei Dienstleistern abdeckt
Der Standard verlangt, dass Sie Störungen beurteilen und behandeln, bevor sie eintreten. Die folgende Tabelle zeigt typische Fälle und wie das Managementsystem darauf antwortet.
| Störung | Beispiel beim Dienstleister | Massnahme im BCMS |
|---|---|---|
| IT-Ausfall | Das Ticketsystem ist einen Vormittag nicht erreichbar. | Ausweichverfahren mit Telefon und Notfallpostfach, Wiederanlaufzeit für das System festgelegt. |
| Ausfall von Personal | Eine Grippewelle legt das halbe Supportteam lahm. | Stellvertretungen pro kritischer Tätigkeit, Priorisierung der Kundenanfragen. |
| Ausfall eines Unterlieferanten | Der Cloud- oder Telekomanbieter hat eine längere Störung. | Bewertung der Abhängigkeit, zweite Anbindung oder alternative Lösung vorbereitet. |
| Gebäude nicht nutzbar | Ein Brand im Haus sperrt das Büro. | Arbeit im Homeoffice oder an einem Ersatzstandort, Zugriff auf Pläne auch ohne Büro. |
| Datenverlust | Eine fehlerhafte Aktualisierung zerstört Kundendaten. | Sicherung nach festgelegtem RPO, Wiederherstellung wird getestet. |
04: Umsetzung
So erfüllt ein Dienstleister die Kernanforderungen
Die Anforderungen folgen dem üblichen Aufbau der ISO-Managementsysteme (Kapitel 4 bis 10). Das Herzstück liegt in Kapitel 8, dem operativen Teil. In der Praxis arbeiten Sie diese Schritte ab.
Tätigkeiten auflisten und priorisieren
Sie führen alle Leistungen auf, die Kunden von Ihnen beziehen, und bewerten, wie schnell ein Ausfall schmerzt. Das Ergebnis ist die Business Impact Analyse.
RTO und RPO festlegen
Pro kritischer Tätigkeit halten Sie fest, wie lange sie stillstehen darf und wie viele Daten verloren gehen dürfen. Diese Werte sind Ihre Messlatte.
Risiken beurteilen und behandeln
Sie prüfen, was die Tätigkeiten gefährdet, etwa ein einzelner Server, eine einzige Person mit Spezialwissen oder ein Anbieter ohne Alternative, und entscheiden über Massnahmen.
Strategien umsetzen
Aus den Massnahmen werden Lösungen: Replikation in ein zweites Rechenzentrum, ein Vertrag mit einem Ersatzanbieter, ein Notfallarbeitsplatz.
Pläne und Krisenorganisation dokumentieren
Die Pläne sind kurz und gehören den Personen, die sie im Ernstfall brauchen. Rollen, Vertretungen und Meldewege stehen schwarz auf weiss.
Üben und verbessern
Mindestens einmal pro Jahr spielen Sie einen Ausfall durch, vom Alarm bis zur Rückkehr in den Normalbetrieb. Was nicht klappt, fliesst in den Plan zurück.
05: Mit Zertify
So erhalten Sie das Zertifikat mit Zertify
Sie beantworten online 34 Ja/Nein-Fragen zu Ihrem Business-Continuity-Management. 13 davon sind Muss-Fragen, die alle mit Ja beantwortet sein müssen. Sie bilden die Kernpunkte der Bewertung, nicht jede Anforderung des Standards. Bei den übrigen 21 Fragen braucht es mindestens 14 Ja-Antworten. Ein Konto ist für den Kauf nicht nötig.
Das Zertifikat stellt Zertify im Rahmen einer Lizenz von SICE (Swiss Institute of Certification and Education) aus. SICE prüft jede Bewertung, bevor das Zertifikat ausgestellt wird. Es ist drei Jahre gültig und jährlich durch ein kurzes Online-Re-Audit bestätigt.
Die Kosten betragen CHF 749 im ersten Jahr, danach CHF 499 pro Jahr inklusive Online-Re-Audit. Das Abonnement verlängert sich jährlich automatisch. Sie können es jederzeit im Kundenkonto auf das Ende des laufenden Jahres kündigen, danach endet das Zertifikat mit dem bezahlten Jahr. Die Preise verstehen sich für Kunden in der Schweiz und in Liechtenstein inklusive 8.1% MWST. Wer mehrere Standards kombiniert, erhält 20% Rabatt bei zwei und 30% bei drei oder mehr Standards, auch auf die jährliche Gebühr.
06: Vorbereitung
Was Sie vor der Selbstbewertung bereitlegen sollten
Die Fragen lassen sich schneller beantworten, wenn Sie drei Dinge zur Hand haben: die Liste Ihrer kritischen Tätigkeiten mit Wiederanlaufzeiten, die aktuellen Notfallpläne samt Kontaktliste und das Protokoll der letzten Übung. Fehlt eines davon, zeigt Ihnen die Bewertung genau, wo die Lücke liegt.
Ob der Online-Weg zu Ihrem Kunden passt, hängt von dessen Vorgaben ab. Manche Kunden verlangen ein Audit vor Ort durch eine Zertifizierungsstelle, andere genügt ein überprüfbares Zertifikat. Fragen Sie im Zweifel im Einkauf nach, bevor Sie sich entscheiden.
07: FAQ
Häufige Fragen zu ISO 22301 für Dienstleister
Das hängt von Ihren Kunden ab. Verlangt ein Kunde im Lieferantenfragebogen oder in der Ausschreibung einen Nachweis, ist ein Zertifikat der direkteste Weg. Der Standard lässt sich auch mit wenigen Mitarbeitenden umsetzen, weil der Aufwand mit der Zahl der kritischen Tätigkeiten wächst.
Das Zertifikat liegt innert 4 Stunden vor, nachdem Sie die Selbstbewertung bestanden und bezahlt haben. Die Zeit davor hängt davon ab, wie weit Ihre Pläne bereits dokumentiert sind.
CHF 749 im ersten Jahr, danach CHF 499 pro Jahr inklusive Online-Re-Audit. Das Abonnement ist jederzeit auf das Ende des laufenden Jahres kündbar. Wer mehrere Standards wählt, erhält 20% oder 30% Rabatt.
Ja. Jedes Zertifikat lässt sich öffentlich über die Zertifikatsnummer oder den QR-Code auf dem PDF verifizieren. Der Kunde sieht auf der Prüfseite, ob das Zertifikat gültig ist.
Nein. Die 13 Muss-Fragen müssen alle mit Ja beantwortet sein. Von den übrigen 21 Fragen genügen 14 Ja-Antworten. Wer nicht besteht, sieht, welche Punkte noch offen sind.
08: Leitfaden
Weiterführende Seiten
Prüfen Sie, wo Ihr Betrieb bei ISO 22301 steht
Die Selbstbewertung mit 34 Fragen zeigt Ihnen sofort, ob Sie das Zertifikat erhalten.
Kostenlos und ohne Registrierung.