ISO 22301 für IT-Branche: Zertifikat online erhalten

Ein IT-Dienstleister betreibt Systeme, auf denen andere Firmen ihre Rechnungen schreiben, ihr Lager steuern oder ihre Kunden bedienen. Fällt der Dienst aus, steht beim Kunden der Betrieb still. Der Einkauf prüft deshalb, ob ein Anbieter seine Ausfälle im Griff hat.

Im Lieferantenfragebogen steht dann die Frage nach einem Business-Continuity-Managementsystem. Manche Ausschreibungen verlangen ein Zertifikat nach ISO 22301 oder einen gleichwertigen Nachweis. Ein Kundenaudit fragt nach dem letzten Wiederanlauftest und nach den Namen der Verantwortlichen. Wer im Angebot nur eine Beschreibung vorweisen kann, steht gegenüber einem Mitbewerber mit Zertifikat schlechter da.

Das Zertifikat ersetzt keine Service Levels im Vertrag. Es zeigt, dass hinter den Zusagen ein dokumentiertes System steht: Prioritäten, Wiederanlaufzeiten, Pläne und Übungen.

• Die Norm ISO 22301 im Überblick

Die Norm schreibt keine bestimmten Szenarien vor. Sie verlangt, dass Sie die Störungen kennen, die Ihren Betrieb treffen können, und für jede eine Antwort haben. In IT-Betrieben sind das häufig diese Fälle:

Ausfall von Rechenzentrum oder Cloud-Region

Der Hosting-Standort fällt aus, und Kundenportal, Mailserver und Datenbanken sind gleichzeitig nicht erreichbar. Gefragt ist ein zweiter Standort oder ein erprobter Weg, Systeme anderswo neu aufzubauen.

Ransomware und Datenverlust

Produktivsysteme sind verschlüsselt, die Backups womöglich auch. Entscheidend ist, wie viele Stunden an Daten verloren gehen dürfen und wie schnell ein sauberer Stand zurückgespielt ist.

Ausfall eines Unterlieferanten

Der Telekomanbieter, der Zahlungsdienst oder der Lizenzgeber liefert nicht mehr. Der Plan benennt Alternativen und legt fest, wer sie aktiviert.

Fehlerhafte Änderung im Betrieb

Ein Update oder eine Konfigurationsänderung legt den Dienst lahm. Rückfallpläne und klare Freigaben begrenzen den Schaden.

Ausfall von Schlüsselpersonen

Der einzige Administrator für ein Altsystem ist krank oder kündigt. Vertretungen, Pikettregelung und Dokumentation müssen den Wissensträger ersetzen können.

Gebäude- oder Pandemieausfall

Das Büro ist unzugänglich, das Team arbeitet von zu Hause. Der Support muss dennoch erreichbar bleiben.

Die Anforderungen sind für IT-Betriebe keine fremde Welt. Vieles gibt es bereits als Monitoring, Backup-Konzept oder Pikettliste. ISO 22301 verlangt, diese Teile zu einem System zu verbinden und zu belegen. Die Werte in der Tabelle sind Beispiele, keine Vorgaben.

• ISO für kleine und mittlere Unternehmen

Wer die Fragen der Selbstbewertung ehrlich beantworten will, sollte vorher die Grundlagen im Betrieb prüfen. Diese Reihenfolge hat sich bewährt:

1. 01

   Kritische Dienste auflisten

   Halten Sie fest, welche Dienste Kunden am härtesten treffen, wenn sie ausfallen, und wer dafür verantwortlich ist.

2. 02

   Zeiten mit den Verträgen abgleichen

   Prüfen Sie, ob Ihre Wiederanlaufzeiten zu den Zusagen in Ihren Service Levels passen. Oft versprechen Verträge mehr, als die Technik heute liefert.

3. 03

   Pläne schriftlich festhalten

   Ein Plan, der nur im Kopf des Teamleiters existiert, zählt nicht. Schreiben Sie Schritte, Zuständigkeiten und Kontakte auf.

4. 04

   Wiederherstellung testen

   Spielen Sie ein Backup in eine Testumgebung zurück und messen Sie die Dauer. Das Protokoll ist Ihr Beleg.

5. 05

   Selbstbewertung ausfüllen

   Beantworten Sie jede Frage mit Ja nur dann, wenn die Massnahme im Betrieb besteht und Sie sie belegen können.

Die Selbstbewertung umfasst 34 Ja/Nein-Fragen zu ISO 22301. 13 davon sind Muss-Fragen, die Sie alle mit Ja beantworten müssen. Sie bilden die Kernpunkte der Bewertung und decken nicht jede einzelne Anforderung der Norm ab. Von den übrigen 21 Fragen müssen mindestens 14 mit Ja beantwortet sein. Das Ausfüllen kostet nichts.

Das Zertifikat stellt Zertify im Rahmen einer Lizenz von SICE aus, dem Swiss Institute of Certification and Education. SICE prüft jede Bewertung, bevor das Zertifikat ausgestellt wird. Nach bestandener Bewertung und Zahlung liegt es innerhalb von 4 Stunden vor. Ein Konto brauchen Sie für den Kauf nicht.

Der Preis beträgt CHF 749 im ersten Jahr, danach CHF 499 pro Jahr inklusive des jährlichen Online-Re-Audits. Das Zertifikat gilt 3 Jahre. Das Abonnement verlängert sich jährlich automatisch und lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen. Dann endet das Zertifikat mit dem bezahlten Jahr. Für Schweizer Kunden und Kunden in Liechtenstein sind 8.1 % Mehrwertsteuer im Preis enthalten.

Viele IT-Dienstleister führen zusätzlich ISO 27001. Bei zwei Normen gilt ein Rabatt von 20 %, ab drei Normen von 30 %, jeweils auch auf die jährliche Gebühr.

• Kostenlose Selbstbewertung starten
• Preise ansehen
• ISO 27001 für Informationssicherheit

Das Zertifikat ist ein PDF mit Zertifikatsnummer und QR-Code. Der Einkauf Ihres Kunden scannt den Code oder gibt die Nummer auf der öffentlichen Prüfseite ein und sieht sofort, ob das Zertifikat gültig ist. Sie müssen keine Kopien beglaubigen oder auf Rückfragen warten.

Jedes Jahr bestätigt ein kurzer Online-Re-Audit, dass Ihr System weiterhin besteht. Das Zertifikat beruht auf einer Selbstbewertung ohne Audit vor Ort. Der klassische Weg über eine Zertifizierungsstelle mit Audit im Betrieb sieht anders aus, Aufwand und Kosten unterscheiden sich. Wie sich beide Wege vergleichen, lesen Sie im Leitfaden.

• Zertifizierungswege vergleichen
• So funktioniert es