ISO 22301 Business Continuity
ISO 22301 für Finanzbranche: Nachweis für Banken, Versicherer und ihre Lieferanten
ISO 22301 zeigt Ihren Auftraggebern in der Finanzbranche, dass Ihr Betrieb bei einem Ausfall weiterliefert. Sie beantworten 34 Ja/Nein-Fragen online und erhalten das Zertifikat innert 4 Stunden nach bestandener Selbstbewertung und Zahlung. Jedes Zertifikat ist öffentlich per Nummer und QR-Code prüfbar.
01: Nachfrage
Warum fragen Kunden in der Finanzbranche nach ISO 22301?
Banken und Versicherungen lagern Teile ihres Betriebs aus: Rechenzentrum, Zahlungsabwicklung, Druck und Versand, Schadenbearbeitung, Kundenservice. Fällt der Dienstleister aus, steht auch der Auftraggeber. Deshalb enthalten Lieferantenfragebögen und Ausschreibungen Fragen nach Notfall- und Wiederanlaufplänen.
Auf eine solche Frage antworten viele Anbieter mit einem Konzept in einem internen Ordner. Ein Zertifikat nach ISO 22301 liegt dem Angebot als Beleg bei, den die Einkaufsabteilung ablegen und später wieder prüfen kann. Es belegt, dass Ihr Betrieb ein Business-Continuity-Managementsystem (BCMS) führt: Die kritischen Tätigkeiten sind bekannt, die Wiederanlaufzeiten festgelegt, die Pläne geübt.
Gefragt werden auch kleine Anbieter, etwa ein IT-Dienstleister für Finanzinstitute, eine Treuhandgesellschaft, ein Vermittlerbüro oder ein Business-Process-Dienstleister. Ob ein Auftraggeber das Zertifikat verlangt oder nur eine Auskunft, legt er selbst fest. Fragen Sie vor dem Start nach.
02: Risiken
Welche Prozesse und Risiken der Finanzbranche deckt ISO 22301 ab?
Die Norm fragt nicht nach der Ursache, sondern nach der Wirkung. Ob ein IT-Ausfall, ein Brand, ein Lieferengpass oder eine Pandemie die Arbeit stoppt: Entscheidend ist, wie schnell die wichtigen Tätigkeiten wieder laufen. In der Finanzbranche hängt fast alles an IT-Systemen und an wenigen externen Anbietern. Genau dort setzt die Norm an.
- Kritische Tätigkeit
- Eine Tätigkeit, deren Ausfall rasch Schaden verursacht. Beispiele: Zahlungsausgang, Abwicklung von Wertschriftenaufträgen, Auszahlung von Versicherungsleistungen, Zugang zum Kundenportal. Die Business Impact Analyse ordnet sie nach Priorität.
- Wiederanlaufzeit (RTO)
- Die Zeit, bis eine Tätigkeit wieder läuft. Ein Kundenportal muss etwa nach wenigen Stunden wieder erreichbar sein, die Monatsberichte dürfen einen Tag warten.
- Datenverlustgrenze (RPO)
- Die Datenmenge, die höchstens verloren gehen darf, gemessen in Zeit. Gebuchte Transaktionen dürfen nicht fehlen, ein Offertentwurf vom Vorabend darf es.
- Ausfall eines Dienstleisters
- Fällt ein Cloud-Anbieter, ein Kartenabwickler oder ein Rechenzentrum aus, braucht es eine Strategie: einen zweiten Anbieter, einen manuellen Notbetrieb oder vertraglich zugesicherte Wiederanlaufzeiten.
- Krisenorganisation
- Wer entscheidet bei einem Cyberangriff, wer informiert Kunden und Geschäftsleitung, wer erreicht wen, wenn das Mailsystem steht? Die Norm verlangt, dass das schriftlich geregelt ist.
- Personalausfall
- Eine Grippewelle oder eine Pandemie legt Teams lahm. Vertretungsregeln und Heimarbeitsplätze sichern, dass Abschlüsse und Kundenanfragen weiterlaufen.
03: Umsetzung
Wie erfüllt ein Finanzdienstleister die Kernanforderungen?
Die operativen Anforderungen stehen in Kapitel 8 (Betrieb). Kapitel 9 verlangt, dass Sie die Wirksamkeit messen und intern bewerten, Kapitel 10 die laufende Verbesserung. Die Tabelle zeigt, wie das in einem kleinen oder mittleren Finanzdienstleister aussehen kann.
| Anforderung | Beispiel aus der Praxis |
|---|---|
| Business Impact Analyse mit priorisierten Tätigkeiten | Ein Vermögensverwalter listet Handelsaufträge, Reporting, Kundenkommunikation und Fakturierung auf und stuft ein, welche Tätigkeit zuerst wieder laufen muss. |
| RTO und RPO festlegen | Der Zahlungsverkehr hat eine Wiederanlaufzeit von wenigen Stunden, die interne Ablage einen Arbeitstag. Das Backup der Buchungsdaten läuft entsprechend häufig. |
| Risiken von Störungen beurteilen und behandeln | Ein IT-Dienstleister für Versicherer bewertet den Ausfall des Hauptrechenzentrums und des Internetanbieters und legt für beides eine Massnahme fest. |
| Strategien und Lösungen umsetzen | Ein zweiter Standort oder ein zweiter Cloud-Bereich nimmt kritische Systeme auf. Für den Notfall liegen Papierformulare für Zahlungsfreigaben bereit. |
| Pläne und Krisenorganisation dokumentieren | Ein Krisenstab mit benannten Stellvertretungen und eine Telefonkette, die ohne Firmenmail funktioniert. |
| Pläne üben und verbessern | Einmal im Jahr wird ein Systemausfall durchgespielt. Was nicht funktioniert hat, wird im Plan angepasst und mit Datum vermerkt. |
Für eine eigene BCM-Abteilung ist ein kleiner Betrieb zu klein. Entscheidend ist, dass die Antworten schriftlich vorliegen, jemand dafür zuständig ist und die Übungen stattfinden.
04: Mit Zertify
Wie kommen Sie mit Zertify zum Zertifikat ISO 22301?
Zertify stellt das Zertifikat im Rahmen einer Lizenz von SICE (Swiss Institute of Certification and Education) aus. Es beruht auf einer Online-Selbstbewertung, ein Audit vor Ort findet nicht statt. Die Fragen decken die Kernpunkte der Norm ab, nicht jede einzelne Anforderung.
Selbstbewertung beantworten
34 Ja/Nein-Fragen. Die 13 Kernfragen müssen alle mit Ja beantwortet sein, von den übrigen 21 mindestens 14.
Bezahlen
Sie brauchen dafür kein Kundenkonto. Das Konto richten Sie später ein, um Ihr Abonnement zu verwalten.
Prüfung durch SICE
SICE prüft jede Selbstbewertung, bevor das Zertifikat ausgestellt wird. Das Zertifikat liegt innert 4 Stunden nach bestandener Bewertung und Zahlung vor.
Zertifikat vorlegen
Das PDF trägt eine Zertifikatsnummer und einen QR-Code. Ihr Kunde prüft beides auf der öffentlichen Verifikationsseite.
Der Preis beträgt CHF 749 (EUR 749) im ersten Jahr, danach CHF 499 (EUR 499) pro Jahr inklusive der jährlichen Online-Rezertifizierung. Das Zertifikat gilt 3 Jahre. Für Kunden in der Schweiz und in Liechtenstein sind 8.1% MWST enthalten.
Das Abonnement verlängert sich jährlich automatisch. Sie kündigen im Kundenkonto jederzeit auf das Ende des laufenden Jahres, das Zertifikat endet dann mit dem bezahlten Jahr. Wer zusätzlich ISO 27001 oder eine weitere Norm benötigt, erhält 20% Rabatt bei zwei Normen und 30% ab drei, auch auf die Jahresgebühr.
05: Vergleich
Online-Zertifikat oder klassischer Weg mit Audit vor Ort?
Beim klassischen Weg prüft eine Zertifizierungsstelle Ihren Betrieb vor Ort. Das bindet Mitarbeitende für mehrere Tage und braucht einen Termin, der oft Wochen im Voraus vereinbart wird. Beim Zertify-Zertifikat beantworten Sie die Fragen, wann es Ihnen passt. Jedes Jahr bestätigt ein kurzes Online-Re-Audit, dass Ihr Betrieb die Anforderungen weiterhin erfüllt.
Welcher Weg zu Ihrem Auftraggeber passt, entscheidet dessen Vorgabe. Verlangt eine Ausschreibung ausdrücklich einen Audit vor Ort, ist der klassische Weg richtig. Genügt ein verifizierbarer Nachweis für den Lieferantenfragebogen, spart der Online-Weg Zeit und Kosten. Klären Sie das vor dem Start mit der Einkaufsabteilung des Kunden.
06: FAQ
Häufige Fragen zu ISO 22301 in der Finanzbranche
Das hängt vom Auftraggeber ab. Einige fragen im Lieferantenfragebogen oder in der Ausschreibung nach einem zertifizierten BCMS, andere genügt eine Beschreibung Ihrer Notfallpläne. Fragen Sie bei Ihrem Kunden nach, welchen Nachweis er akzeptiert.
Das Zertifikat liegt innert 4 Stunden vor, nachdem Sie die Selbstbewertung bestanden und bezahlt haben. Wie lange Sie für die 34 Fragen brauchen, hängt davon ab, wie weit Ihre Dokumentation zu Business Impact Analyse, Wiederanlaufzeiten und Plänen bereits ist.
CHF 749 (EUR 749) im ersten Jahr, danach CHF 499 (EUR 499) pro Jahr inklusive jährlichem Online-Re-Audit. Das Zertifikat gilt 3 Jahre. Das Abonnement können Sie jederzeit auf das Ende des laufenden Jahres kündigen.
Es ist sinnvoll. Die Selbstbewertung prüft die Kernpunkte der Norm, und dazu gehören Wiederanlaufzeiten und Datenverlustgrenzen. Wer die Werte aus der Business Impact Analyse dokumentiert hat, kann die Fragen belegt beantworten.
Jedes Zertifikat hat eine Nummer und einen QR-Code auf dem PDF. Ihr Kunde gibt die Nummer auf der öffentlichen Verifikationsseite ein oder scannt den Code und sieht, ob das Zertifikat gültig ist.
07: Leitfaden
Weiterführende Seiten
Prüfen Sie, ob Ihr Betrieb ISO 22301 erfüllt
Beantworten Sie die 34 Fragen der Selbstbewertung und erfahren Sie sofort, ob Sie bestehen.
Kostenlos und ohne Registrierung.