ISO 22301 (Business Continuity Management)

Die ISO 22301:2019 ist der internationale Standard für Business Continuity Management Systeme (BCMS). Sie definiert die Anforderungen an Planung, Aufbau, Implementierung, Betrieb, Überwachung, Überprüfung, Aufrechterhaltung und kontinuierliche Verbesserung eines BCMS, das Organisationen befähigt, sich auf Betriebsunterbrechungen vorzubereiten, darauf zu reagieren und sich davon zu erholen. Der Standard wurde von der ISO erstmals 2012 veröffentlicht und 2019 aktualisiert, um ihn an die High Level Structure (HLS) der ISO-Managementsystemnormen anzupassen.

Was ist ISO 22301?

ISO 22301 bietet einen systematischen Rahmen für die organisatorische Resilienz. Der Standard stellt sicher, dass Organisationen kritische Geschäftsprozesse auch bei schwerwiegenden Störungen – von Naturkatastrophen und Cyberangriffen bis hin zu Pandemien und Lieferkettenausfällen – aufrechterhalten oder schnellstmöglich wiederherstellen können. Als Teil der ISO-Managementsystemfamilie ist ISO 22301 mit anderen Standards wie ISO 27001 (Informationssicherheit), ISO 9001 (Qualitätsmanagement) und ISO 31000 (Risikomanagement) kompatibel und kann integriert betrieben werden. Der Standard folgt dem Plan-Do-Check-Act (PDCA)-Zyklus und verlangt einen risikobasierten Ansatz bei der Identifizierung und Priorisierung kritischer Aktivitäten.

Für wen ist ISO 22301 relevant?

ISO 22301 ist branchenübergreifend anwendbar und besonders relevant für:

Finanzinstitute: Banken und Versicherungen, bei denen Business Continuity durch aufsichtsrechtliche Anforderungen (MaRisk, DORA) verpflichtend gefordert wird.
Kritische Infrastrukturen: Betreiber in den Bereichen Energie, Gesundheit, Transport und Telekommunikation, die unter KRITIS- oder NIS2-Regulierung ihre Betriebskontinuität nachweisen müssen.
IT-Dienstleister und Rechenzentren: Anbieter, die für ihre Kunden die Verfügbarkeit geschäftskritischer Services garantieren müssen.
Produktionsunternehmen: Hersteller mit komplexen Lieferketten, bei denen Unterbrechungen erhebliche wirtschaftliche Folgen haben.
Öffentliche Verwaltung: Behörden und Organisationen, die die Aufrechterhaltung öffentlicher Dienstleistungen sicherstellen müssen.

Zunehmend wird ISO 22301 auch als Voraussetzung in Ausschreibungen und Verträgen gefordert, insbesondere bei Dienstleistern, die geschäftskritische Prozesse für ihre Kunden betreiben.

Kernforderungen

ISO 22301 definiert einen strukturierten Ansatz für Business Continuity mit folgenden Kernelementen:

Business Impact Analyse (BIA): Systematische Analyse der Auswirkungen von Betriebsunterbrechungen auf die Organisation. Identifizierung kritischer Geschäftsprozesse, ihrer Abhängigkeiten und der maximal tolerierbaren Ausfallzeit (MTPD – Maximum Tolerable Period of Disruption).
Risikobewertung: Identifizierung und Bewertung von Bedrohungen und Schwachstellen, die zu Betriebsunterbrechungen führen können, sowie Festlegung von Risikobehandlungsmaßnahmen.
Business Continuity Strategien: Entwicklung von Strategien und Lösungen zur Vermeidung, Abschwächung und Bewältigung von Betriebsunterbrechungen, einschließlich alternativer Standorte, Ressourcen und Prozesse.
Business Continuity Pläne (BCP): Dokumentierte Verfahren zur Reaktion auf Störungen und Wiederherstellung kritischer Aktivitäten innerhalb definierter Zeitrahmen (RTO – Recovery Time Objective, RPO – Recovery Point Objective).
Incident Management: Strukturierter Prozess für die Erkennung, Eskalation, Kommunikation und Steuerung von Vorfällen, einschließlich Krisenkommunikation mit internen und externen Stakeholdern.
Übungen und Tests: Regelmäßige Durchführung von Übungen und Tests der BC-Pläne – von Tabletop-Übungen über funktionale Tests bis hin zu vollständigen Simulationen – mit dokumentierter Auswertung und Verbesserungsmaßnahmen.
Kontinuierliche Verbesserung: Managementbewertungen, interne Audits und systematische Auswertung von Vorfällen und Übungen zur fortlaufenden Optimierung des BCMS.