Business Continuity
ISO 22301 Pflicht: Wann das Zertifikat verlangt wird
Aus der Norm selbst ergibt sich keine Pflicht, sich nach ISO 22301 zertifizieren zu lassen. Zur Pflicht wird sie in der Praxis, wenn ein Kunde, eine Ausschreibung oder ein Rahmenvertrag den Nachweis fordert. Dann zählt, wie schnell Sie ihn liefern können.
01: Rechtslage
Ist ISO 22301 Pflicht?
ISO 22301:2019 ist eine internationale Norm für Business-Continuity-Managementsysteme. Sie ist freiwillig. Kein Unternehmen muss sich nach ihr zertifizieren lassen, nur weil sie existiert.
Verbindlich wird die Norm durch Dritte. Ein Kunde schreibt sie in den Lieferantenvertrag, eine Ausschreibung nennt sie als Eignungskriterium, ein Auftraggeber verlangt sie vor dem Vertragsabschluss. Ob für Ihre Branche zusätzliche Vorgaben zur Betriebskontinuität gelten, klären Sie mit Ihrem Auftraggeber oder der zuständigen Aufsichtsstelle. Auf dieser Seite nennen wir bewusst keine Vorschriften, die wir nicht belegen können.
02: Praxis
Wann ISO 22301 faktisch verlangt wird
Die Pflicht entsteht fast immer mit einer konkreten Anfrage. Fünf Situationen kommen im Geschäftsalltag vor.
- Lieferantenfragebogen
- Der Einkauf einer Bank, einer Versicherung oder eines Industrieunternehmens fragt, ob Sie ein zertifiziertes BCMS betreiben. Bei einem Nein müssen Sie erklären, wie Sie Ausfälle sonst abdecken.
- Ausschreibung
- Öffentliche und private Ausschreibungen können ISO 22301 als Eignungsnachweis verlangen. Fehlt das Zertifikat bei der Eingabe, ist das Angebot unter Umständen nicht zulässig.
- Rahmenvertrag und SLA
- Verfügbarkeit und Wiederanlaufzeiten stehen im Vertrag. Der Kunde will belegt sehen, dass Sie diese Zusagen organisatorisch abgesichert haben.
- Kundenaudit
- Kunden prüfen ihre Lieferanten per Fragebogen oder vor Ort. Ein Zertifikat mit Nummer verkürzt die Rückfragen.
- Branchenerwartung
- In Logistik, IT-Dienstleistung, Gesundheitswesen und Energieversorgung vergleichen Auftraggeber Anbieter auch danach, wer einen Kontinuitätsnachweis vorlegen kann.
03: Übersicht
Wer verlangt was, und was legen Sie vor?
Lesen Sie die Anfrage genau. Steht dort «zertifiziert nach ISO 22301» oder «Zertifizierung durch eine Zertifizierungsstelle mit Audit vor Ort»? Der zweite Wortlaut verlangt die klassische Route. Fragen Sie im Zweifel beim Kunden nach, welche Form des Nachweises er akzeptiert.
| Situation | Forderung | Ihr Nachweis |
|---|---|---|
| Lieferantenfragebogen | Angabe, ob ein zertifiziertes BCMS besteht | Zertifikatsnummer und Link zur Verifizierungsseite |
| Ausschreibung | Zertifikat als Eignungsnachweis | PDF des Zertifikats mit QR-Code |
| Kundenaudit | Einsicht in Pläne und Übungen | Business-Continuity-Pläne, BIA, Übungsprotokolle |
| Rahmenvertrag | Zusage von Wiederanlaufzeiten | RTO und RPO aus der Business Impact Analyse |
04: Inhalt
Was ISO 22301 von Ihrem Betrieb verlangt
Wer ein Zertifikat vorlegt, braucht die Praxis dahinter. Die Norm folgt der High Level Structure: Die Kapitel 4 bis 10 behandeln Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung. Die Kernpunkte im Betrieb sind diese sechs.
Business Impact Analyse
Sie ermitteln, welche Tätigkeiten kritisch sind, und legen eine Rangfolge fest.
RTO und RPO
Für jede kritische Tätigkeit bestimmen Sie, wie schnell sie wieder laufen muss und wie viel Datenverlust tragbar ist.
Risikobeurteilung
Sie beurteilen, welche Störungen eintreten können, und behandeln die relevanten Risiken.
Strategien und Lösungen
Sie setzen um, was die Analyse verlangt, zum Beispiel Datensicherung, Ausweichstandort oder einen zweiten Lieferanten.
Pläne und Krisenorganisation
Business-Continuity-Pläne und die Krisenorganisation sind dokumentiert, mit klaren Zuständigkeiten.
Üben und verbessern
Sie üben die Pläne regelmässig und passen sie nach den Erkenntnissen an.
05: Zertify
ISO 22301 online nachweisen
Das Zertifikat von Zertify beruht auf einer Selbstbeurteilung im Internet. Ein Audit vor Ort findet nicht statt. Zertify stellt das Zertifikat unter Lizenz von SICE aus, dem Swiss Institute of Certification and Education. SICE prüft jede Beurteilung, bevor das Zertifikat ausgestellt wird.
Die Beurteilung umfasst 34 Ja-Nein-Fragen. 13 davon sind Muss-Fragen und müssen alle mit Ja beantwortet werden. Von den übrigen 21 Fragen brauchen Sie mindestens 14 Ja. Es sind die Kernfragen der Beurteilung, nicht jede einzelne Anforderung der Norm. Nach bestandener Beurteilung und Zahlung erhalten Sie das Zertifikat innerhalb von 4 Stunden.
Es kostet CHF 749 im ersten Jahr, danach CHF 499 pro Jahr inklusive jährlichem Online-Re-Audit. Das Zertifikat gilt 3 Jahre. Das Abonnement verlängert sich jährlich automatisch und lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen. Dann endet das Zertifikat mit dem bezahlten Jahr. Für Kunden in der Schweiz und in Liechtenstein sind 8.1 % MwSt enthalten. Zum Kauf brauchen Sie kein Konto.
Jedes Zertifikat lässt sich öffentlich über Nummer und QR-Code verifizieren. Ihr Kunde prüft es selbst, ohne bei Ihnen nachzufragen.
06: Vorgehen
Der Kunde fragt nach ISO 22301: so gehen Sie vor
Bei einer Anfrage mit Frist hilft eine feste Reihenfolge.
Anfrage lesen
Klären Sie, welche Form des Nachweises der Kunde akzeptiert und bis wann er ihn braucht.
Selbstbeurteilung durchführen
Die 34 Fragen zeigen, wo Sie stehen. Fehlt etwas, etwa eine dokumentierte BIA oder ein geübter Plan, schliessen Sie diese Lücke zuerst.
Zertifikat beziehen
Nach bestandener Beurteilung und Zahlung liegt das Zertifikat als PDF vor.
Nachweis weitergeben
Senden Sie dem Einkauf das PDF und den Link zur Verifizierungsseite. Zertifikatsnummer und QR-Code stehen auf dem Dokument.
Jährlich bestätigen
Das kurze Online-Re-Audit hält das Zertifikat aktuell, bis die 3 Jahre abgelaufen sind.
07: FAQ
Häufige Fragen zu ISO 22301 Pflicht
Die Norm selbst schreibt keine Zertifizierung vor. Eine Bank kann das Zertifikat aber im Lieferantenvertrag oder im Fragebogen verlangen. Lesen Sie die Anforderung genau und fragen Sie bei Unklarheit beim Einkauf nach.
Nur wenn die Ausschreibung es als Eignungsnachweis nennt. Prüfen Sie die Unterlagen auf den genauen Wortlaut und die Eingabefrist. Das Zertifikat sollte vor der Eingabe vorliegen.
Das entscheidet Ihr Kunde. Das Zertifikat von Zertify beruht auf einer Online-Selbstbeurteilung, wird von SICE geprüft und ist öffentlich verifizierbar. Verlangt eine Anfrage ausdrücklich ein Audit vor Ort durch eine Zertifizierungsstelle, ist die klassische Route gefragt.
Das Zertifikat gilt 3 Jahre. Jedes Jahr bestätigt ein kurzes Online-Re-Audit, dass es aktuell bleibt. Die Gebühr dafür ist in der Jahresgebühr enthalten.
Nein. Die Muss-Fragen setzen voraus, dass die Kernelemente vorhanden sind, etwa Business Impact Analyse, Wiederanlaufzeiten und dokumentierte Pläne. Die Selbstbeurteilung zeigt Ihnen, was noch fehlt.
08: Leitfaden
Weiterführende Seiten
Prüfen Sie, ob Sie ISO 22301 heute bestehen
Die Selbstbeurteilung mit 34 Fragen zeigt Ihnen, wo Ihr Betrieb steht.
Kostenlos und ohne Registrierung.