ISO 22301:2019 – Anforderungen an ein Business-Continuity-Managementsystem
Die ISO 22301 „Sicherheit und Resilienz – Business-Continuity-Managementsysteme – Anforderungen“ ist die zertifizierbare internationale Norm für BCM. Die erste Ausgabe erschien im Mai 2012, die aktuelle Fassung ist die ISO 22301:2019; in Deutschland gilt sie als DIN EN ISO 22301.
Für wen gilt die Norm?
Die ISO 22301 ist branchen- und größenunabhängig. Sie eignet sich für Industrie und Mittelstand ebenso wie für Dienstleister, Behörden oder Krankenhäuser. Entscheidend ist nicht die Größe, sondern wie stark die Organisation – und ihre Kunden – von der ununterbrochenen Erbringung bestimmter Leistungen abhängen.
Aufbau nach der Harmonisierten Struktur
Wie ISO 9001 oder ISO/IEC 27001 folgt die ISO 22301 der Harmonisierten Struktur (früher „High Level Structure“) für Managementsystemnormen. Die Anforderungen stehen in den Kapiteln 4 bis 10:
| Kapitel | Thema | Worum es in der Praxis geht |
|---|---|---|
| 4 | Kontext der Organisation | Interne und externe Einflüsse, interessierte Parteien und ihre Erwartungen, gesetzliche und vertragliche Pflichten, Anwendungsbereich des BCMS. |
| 5 | Führung | Verantwortung der obersten Leitung, BC-Politik, Rollen und Befugnisse. |
| 6 | Planung | Umgang mit Risiken und Chancen für das BCMS, messbare BC-Ziele, geplante Änderungen am Managementsystem. |
| 7 | Unterstützung | Ressourcen, Kompetenz, Bewusstsein, Kommunikation und gelenkte dokumentierte Information. |
| 8 | Betrieb | Das fachliche Herzstück: Business-Impact-Analyse und Risikobeurteilung, Strategien und Lösungen, BC-Pläne und -Verfahren, Übungsprogramm, Bewertung der Dokumentation und Fähigkeiten. |
| 9 | Bewertung der Leistung | Überwachung und Messung, internes Audit, Managementbewertung. |
| 10 | Verbesserung | Umgang mit Nichtkonformitäten, Korrekturmaßnahmen, fortlaufende Verbesserung. |
Kapitel 8 im Detail – der BCM-Kern
8.2 Business-Impact-Analyse und Risikobeurteilung
Die Organisation ermittelt, welche Aktivitäten ihre Produkte und Dienstleistungen tragen, wie sich ein Ausfall über die Zeit auswirkt und bis wann sie spätestens wieder laufen müssen. Die Risikobeurteilung ergänzt, welche Bedrohungen diese Aktivitäten unterbrechen könnten. Mehr zur Business-Impact-Analyse.
8.3 Strategien und Lösungen
Auf Basis der Analyse werden Optionen ausgewählt: Ausweichstandorte, Redundanzen, alternative Lieferanten, manuelle Ersatzverfahren, Vertretungsregeln oder Versicherungen – jeweils mit den dafür nötigen Ressourcen.
8.4 Business-Continuity-Pläne und -Verfahren
Gefordert sind eine Reaktionsstruktur (z. B. Krisen- und Notfallstab), Warn- und Kommunikationswege sowie Pläne, die im Ereignisfall konkret anleiten: wer was in welcher Reihenfolge tut und wie der Normalbetrieb wiederhergestellt wird.
8.5 Übungsprogramm und 8.6 Bewertung
Pläne müssen regelmäßig geübt und die Ergebnisse ausgewertet werden. Zusätzlich ist zu prüfen, ob Dokumentation und Fähigkeiten nach Änderungen, Übungen oder echten Vorfällen noch angemessen sind. Mehr zu Strategien, Plänen und Übungen.
Was hat sich gegenüber 2012 geändert?
- Die Anforderungen wurden gestrafft und weniger vorschreibend formuliert; der Fokus liegt stärker auf Ergebnissen als auf festgelegten Dokumenten.
- Der Betriebsteil (Kapitel 8) wurde neu gegliedert, insbesondere die Abschnitte zu Strategien und Lösungen sowie zu Plänen und Verfahren.
- Die Planung von Änderungen am BCMS ist als eigener Punkt aufgenommen.
- Mit der Ergänzung ISO 22301:2019/Amd 1:2024 ist ausdrücklich zu betrachten, ob der Klimawandel für die Organisation ein relevantes Thema ist und ob interessierte Parteien Anforderungen dazu haben (Kapitel 4).
Zertifizierung nach ISO 22301
Die Zertifizierung erfolgt durch eine akkreditierte Zertifizierungsstelle in zwei Stufen (Dokumentenprüfung und Umsetzungsaudit), danach folgen jährliche Überwachungsaudits und nach drei Jahren die Rezertifizierung. Voraussetzung sind ein vollständiger Durchlauf des Managementzyklus – einschließlich interner Audits, Übungen und Managementbewertung.
Hinweis: Diese Seite fasst die Norm in eigenen Worten zusammen und ersetzt nicht den Normtext. Der verbindliche Wortlaut ist bei ISO bzw. DIN Media erhältlich.
ISO 22301 Schritt für Schritt umsetzen – mit MGMSYS
Business-Impact-Analyse, Notfallpläne, Wiederanlaufstrategien, Übungen und Nachweise in einer Plattform: Das BCMS-Modul von MGMSYS führt Sie entlang der Anforderungen der ISO 22301 – gehostet in Deutschland und verzahnt mit Informationssicherheit (ISO 27001), Datenschutz und Risikomanagement.