ISOISO-22301-Zertifizierung: Ablauf, Voraussetzungen, Checkliste
Eine ISO-22301-Zertifizierung bestätigt durch eine akkreditierte Zertifizierungsstelle, dass das Business-Continuity-Managementsystem einer Organisation die Anforderungen der Norm erfüllt. Geprüft wird in zwei Stufen; das Zertifikat gilt drei Jahre mit jährlichen Überwachungsaudits. Voraussetzung ist ein vollständig durchlaufener Managementzyklus.
- Zwei Auditstufen: Bereitschaft und Dokumentation (Stufe 1), Umsetzung vor Ort (Stufe 2).
- Vorher: BIA, Strategien, Pläne, mindestens eine Übung, internes Audit und Managementbewertung.
- Gültigkeit drei Jahre, jährliche Überwachungsaudits, danach Rezertifizierung.
- In Deutschland zertifizieren von der DAkkS akkreditierte Stellen.
Wie läuft die Zertifizierung ab?
| Schritt | Inhalt |
|---|---|
| 1. Gap-Analyse | Abgleich des Ist-Stands mit den Anforderungen der ISO 22301 |
| 2. Aufbau des BCMS | Kontext, Politik, BIA, Strategien, Pläne, Übungsprogramm, Dokumentation |
| 3. Internes Audit und Managementbewertung | Eigene Prüfung des Systems und Bewertung durch die Leitung |
| 4. Stufe-1-Audit | Prüfung von Dokumentation, Anwendungsbereich und Zertifizierungsbereitschaft |
| 5. Stufe-2-Audit | Prüfung der wirksamen Umsetzung vor Ort, Interviews, Stichproben, Übungsnachweise |
| 6. Zertifikat und Überwachung | Zertifikat für drei Jahre, jährliche Überwachungsaudits, Rezertifizierung |
Welche Voraussetzungen müssen erfüllt sein?
Auditoren wollen sehen, dass das BCMS gelebt wird, nicht nur dokumentiert ist. Die folgende Checkliste hilft bei der Einschätzung der Bereitschaft:
- Anwendungsbereich und BC-Politik sind festgelegt und von der Leitung freigegeben.
- Interessierte Parteien sowie gesetzliche und vertragliche Anforderungen sind ermittelt.
- Die Business-Impact-Analyse ist abgeschlossen; Wiederanlaufziele sind freigegeben.
- Eine Risikobeurteilung für die priorisierten Aktivitäten liegt vor.
- Strategien und Lösungen sind ausgewählt und die Ressourcen bereitgestellt.
- Krisenstab, Notfallteams, Notfallhandbuch und Wiederanlaufpläne sind vorhanden.
- Mindestens eine Übung ist durchgeführt und ausgewertet.
- Kennzahlen zur Wirksamkeit werden erhoben.
- Internes Audit und Managementbewertung sind durchgeführt.
- Abweichungen werden mit Korrekturmaßnahmen nachverfolgt.
Wovon hängen Aufwand und Kosten ab?
Der Auditaufwand richtet sich vor allem nach der Zahl der Beschäftigten im Anwendungsbereich, der Zahl der Standorte und der Komplexität der Prozesse. Kosten entstehen für die Auditor-Tage der Zertifizierungsstelle sowie intern für Aufbau und Pflege des Systems. Wer bereits ein ISO-27001- oder ISO-9001-System betreibt, kann ein kombiniertes Audit nutzen und Aufwand sparen.
Häufige Fragen zur Zertifizierung
Wie lange dauert es bis zur ISO-22301-Zertifizierung?
Im Mittelstand ist ein erster vollständiger Durchlauf mit BIA, Strategien, Plänen, Übung, internem Audit und Managementbewertung häufig in sechs bis zwölf Monaten realistisch. Dazu kommen einige Wochen für Stufe-1- und Stufe-2-Audit.
Wie lange ist ein ISO-22301-Zertifikat gültig?
Drei Jahre. In den beiden Jahren dazwischen finden Überwachungsaudits statt, danach eine Rezertifizierung.
Wer darf nach ISO 22301 zertifizieren?
Zertifizierungsstellen, die für ISO 22301 akkreditiert sind, in Deutschland durch die DAkkS. Die Anforderungen an die Kompetenz der Auditoren regelt ISO/IEC 17021-6.