ISOISO 22301 und verwandte Normen: ISO 22313, BSI 200-4, ISO 27001 im Vergleich
Die ISO 22301 ist die zertifizierbare Kernnorm für Business Continuity Management. Ergänzend gibt es Leitfäden wie ISO 22313 (Anwendung), ISO/TS 22317 (Business-Impact-Analyse) und ISO/TS 22318 (Lieferkette), für die IT die ISO/IEC 27031, in Deutschland den BSI-Standard 200-4 sowie regulatorische Pflichten aus NIS-2 und DORA.
- ISO 22301 = Anforderungen (zertifizierbar); ISO 22313 = Leitfaden zur Umsetzung.
- BSI-Standard 200-4 bietet einen stufenweisen Einstieg und ist mit ISO 22301 kompatibel.
- ISO/IEC 27001:2022 verlangt mit den Maßnahmen 5.29 und 5.30 Kontinuität der Informationssicherheit und IKT-Bereitschaft.
- NIS-2 (Art. 21) und DORA (Art. 11) machen Kontinuitätsvorsorge zur Pflicht.
Welche Normen gehören zur ISO-22300-Familie?
| Norm | Inhalt |
|---|---|
| ISO 22300 | Begriffe für Sicherheit und Resilienz |
| ISO 22301 | Anforderungen an ein BCMS (zertifizierbar) |
| ISO 22313 | Leitfaden zur Anwendung der ISO 22301 mit Empfehlungen aus der Praxis |
| ISO 22316 | Grundsätze und Merkmale organisationaler Resilienz |
| ISO/TS 22317 | Leitfaden für die Business-Impact-Analyse |
| ISO/TS 22318 | Kontinuität in der Lieferkette |
ISO 22301 oder BSI-Standard 200-4?
Beide verfolgen dasselbe Ziel. Die ISO 22301 ist international anerkannt und zertifizierbar; der BSI-Standard 200-4 ist ein deutscher Leitfaden mit stufenweisem Einstieg, der sich besonders für Organisationen eignet, die mit BCM beginnen oder im IT-Grundschutz arbeiten.
| Kriterium | ISO 22301 | BSI-Standard 200-4 | ISO/IEC 27001:2022 |
|---|---|---|---|
| Herausgeber | ISO (international) | BSI (Deutschland) | ISO/IEC (international) |
| Art | Anforderungsnorm | Leitfaden/Methodik | Anforderungsnorm für ISMS |
| Zertifizierbar | Ja | Kein eigenes Zertifikat | Ja |
| Einstieg | Vollständiges Managementsystem | Stufen: Reaktiv-, Aufbau-, Standard-BCMS | BCM nur als Teil (Maßnahmen 5.29, 5.30) |
| Schwerpunkt | Gesamte Organisation | Gesamte Organisation, IT-nah | Informationssicherheit |
| Gut geeignet für | Nachweis gegenüber Kunden und Aufsicht | Einstieg, Behörden, IT-Grundschutz | Organisationen mit ISMS |
Wie hängen IT-Normen und BCM zusammen?
- ISO/IEC 27031 beschreibt, wie IT-Services so vorbereitet werden, dass sie die Wiederanlaufziele der BIA erfüllen (IKT-Bereitschaft für Business Continuity).
- ISO/IEC 27001:2022 enthält mit 5.29 (Informationssicherheit bei Störungen) und 5.30 (IKT-Bereitschaft für Business Continuity) direkte Schnittstellen zum BCM.
Welche Gesetze verlangen Kontinuitätsvorsorge?
- NIS-2-Richtlinie: Art. 21 nennt unter den Risikomanagementmaßnahmen ausdrücklich die Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement.
- DORA: Finanzunternehmen benötigen nach Art. 11 eine IKT-Geschäftsfortführungsleitlinie sowie Reaktions- und Wiederherstellungspläne, die regelmäßig getestet werden.
- Kundenanforderungen: In Lieferketten, etwa Automotive oder Medizintechnik, werden Kontinuitätsnachweise zunehmend vertraglich gefordert.
Ein BCMS nach ISO 22301 schafft dafür eine gemeinsame Grundlage, auf die sich diese Anforderungen abbilden lassen.
Rechtsstand dieser Übersicht: 02.11.2026. Rechtliche Anforderungen im Einzelfall prüfen.