ISOHäufige Fragen zur ISO 22301 und zum Business Continuity Management
Was ist die ISO 22301?
Die ISO 22301 ist die internationale, zertifizierbare Norm für Business-Continuity-Managementsysteme (BCMS). Sie legt fest, wie eine Organisation sich auf Störungen vorbereitet, darauf reagiert und den Betrieb wiederherstellt. Aktuell gilt die ISO 22301:2019 mit der Ergänzung Amd 1:2024.
Was ist der Unterschied zwischen BCM und BCMS?
BCM ist die Disziplin der Kontinuitätsvorsorge. Ein BCMS ist das Managementsystem, das BCM dauerhaft steuert: mit Politik, Zielen, Verantwortlichkeiten, Audits und Verbesserung.
Ist die ISO 22301 Pflicht?
Nein, die Anwendung ist freiwillig. Gesetze wie NIS-2 und DORA sowie Kundenverträge verlangen aber zunehmend eine nachweisbare Kontinuitätsvorsorge. Ein BCMS nach ISO 22301 ist dafür ein anerkannter Weg.
Was ist der Unterschied zwischen ISO 22301 und ISO 22313?
Die ISO 22301 enthält die prüfbaren Anforderungen und ist zertifizierbar. Die ISO 22313 ist ein Leitfaden, der erläutert, wie diese Anforderungen in der Praxis umgesetzt werden können.
Was ist der Unterschied zwischen ISO 22301 und BSI-Standard 200-4?
Die ISO 22301 ist eine internationale Anforderungsnorm mit Zertifikat. Der BSI-Standard 200-4 ist ein deutscher Leitfaden mit stufenweisem Einstieg (Reaktiv-, Aufbau-, Standard-BCMS) und mit der ISO 22301 kompatibel.
Wie hängen ISO 22301 und ISO 27001 zusammen?
Beide folgen derselben Struktur und lassen sich integrieren. Die ISO/IEC 27001:2022 verlangt mit den Maßnahmen 5.29 und 5.30 Informationssicherheit bei Störungen und IKT-Bereitschaft für Business Continuity; das BCMS liefert dafür die Wiederanlaufziele.
Was ist eine Business-Impact-Analyse?
Die BIA ermittelt, welche Aktivitäten für Produkte und Dienstleistungen kritisch sind, welche Auswirkungen ein Ausfall über die Zeit hat und welche Wiederanlaufziele wie RTO und RPO daraus folgen.
Was ist der Unterschied zwischen RTO und RPO?
Die RTO legt fest, wie schnell ein Prozess oder System nach einer Störung wieder laufen muss. Die RPO legt fest, wie viel Datenverlust höchstens tolerierbar ist, und bestimmt damit die Backup-Intervalle.
Wie lange dauert die Einführung eines BCMS?
Das hängt von Größe und Komplexität ab. Im Mittelstand ist ein erster vollständiger Durchlauf mit BIA, Strategien, Plänen, Übung, internem Audit und Managementbewertung häufig in sechs bis zwölf Monaten realistisch.
Wie oft muss man Notfallpläne üben?
Die ISO 22301 verlangt ein Übungsprogramm in geplanten Abständen und bei wesentlichen Änderungen. In der Praxis ist mindestens eine Übung pro Jahr für die kritischsten Pläne üblich, ergänzt um jährliche Plan-Reviews.
Wie lange gilt ein ISO-22301-Zertifikat?
Drei Jahre, mit jährlichen Überwachungsaudits. Danach folgt eine Rezertifizierung.
Welche Software unterstützt ein BCMS nach ISO 22301?
Das BCMS-Modul der Plattform MGMSYS bildet Business-Impact-Analyse, Notfallpläne, Wiederanlaufstrategien, Übungen und Nachweise ab und ist mit ISO 27001, Datenschutz und Risikomanagement verknüpft.