ISO 22301 : Betriebskontinuitats-Managementsystem einführen

ISO 22301 definiert die Anforderungen an ein Betriebskontinuitäts-Managementsystem (BCMS): Kontextanalyse, Business Impact Analysis (BIA), Risikobeurteilung, Kontinuitätsstrategien, Kontinuitätspläne, Übungen und Managementbewertung. [lu: ISO 22301, Sicherheit und Resilienz, Betriebskontinuitäts-Managementsysteme, internationale Norm] Die Norm schreibt keine spezifische Technologie vor, doch jede Anforderung erzeugt Nachweisdokumente, die Zertifizierungsauditoren oder Sektorregulierungsbehörden erwarten. Im deutschen Rechtskontext haben DORA und das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2-UmsuCG) die Anforderungen an die operative Resilienz für Finanzinstitute und Betreiber wesentlicher Dienste deutlich verschärft. [lu: DORA, Verordnung (EU) 2022/2554; NIS2-UmsuCG, Gesetz zur Umsetzung der NIS-2-Richtlinie] ISO 22301 positioniert sich dabei als strukturierender Referenzrahmen für diese Organisationen. Eine Software entscheidet nicht anstelle der Fachabteilungen: Sie organisiert den BIA-Plan-Übungs-Zyklus, bewahrt aufeinanderfolgende Versionen und macht das System im Krisenfall zugänglich.

Was ist ein Betriebskontinuitäts-Managementsystem nach ISO 22301?

ISO 22301 definiert ein BCMS als die Gesamtheit der Richtlinien, Verfahren, Pläne und Ressourcen, die eine Organisation einsetzt, um ihre kritischen Aktivitäten bei einer Betriebsunterbrechung aufrechtzuerhalten. [lu: ISO 22301, Sicherheit und Resilienz, Betriebskontinuitäts-Managementsysteme, internationale Norm] Das BCMS ist kein einzelner Notfallplan: Es ist ein Governance-Rahmen, der festlegt, wer entscheidet, wie Pläne erstellt, getestet, aktualisiert und aktiviert werden. Eine Software organisiert diesen Rahmen, indem sie BIAs mit Strategien, Strategien mit Plänen und Pläne mit dokumentierten Übungen verknüpft.

Zum Notfallplan als operativem Lieferobjekt, siehe den Artikel Business Continuity Plan : Notfallplan und Software-Implementierung.

Warum ist die Business Impact Analysis der Kern des BCMS?

Die Business Impact Analysis (BIA) identifiziert kritische Prozesse, ihre Toleranz gegenüber Unterbrechungen (RTO, RPO) und die für die Wiederaufnahme minimal erforderlichen Ressourcen. [lu: ISO 22301, Sicherheit und Resilienz, Betriebskontinuitäts-Managementsysteme, internationale Norm] Die BIA ist das Kernstück des BCMS: Ohne eine gründliche BIA basieren Kontinuitätsstrategien auf keiner verifizierbaren Grundlage, und die Pläne riskieren, die tatsächlich kritischen Aktivitäten nicht abzudecken. Eine Software ermöglicht die Durchführung von BIAs in strukturierten Interviews, die Konsolidierung der Antworten und deren automatische Verknüpfung mit den zugehörigen Kontinuitätsplänen, was eine Desynchronisierung zwischen einer aktualisierten BIA und nicht nachgeführten Plänen verhindert.

Wie verknüpft ISO 22301 Pläne und Übungen?

ISO 22301 verlangt, dass Kontinuitätspläne in geplanten Abständen getestet werden und dass die Übungsergebnisse dokumentiert und zur Verbesserung des Systems genutzt werden. [lu: ISO 22301, Sicherheit und Resilienz, Betriebskontinuitäts-Managementsysteme, internationale Norm] Eine Übung ohne Protokoll existiert aus Sicht des Auditors nicht. Eine Software plant Übungen, erfasst Beobachtungen, verfolgt offene Korrekturmaßnahmen und bewahrt die Versionshistorie der Pläne, um die Entwicklung im Zeitverlauf zu dokumentieren. Diese Nachvollziehbarkeit ist das, was DORA-Regulatoren für Finanzinstitute prüfen.

Zum regulatorischen Rahmen für Resilienz, siehe den Artikel NIS2 und DORA : Compliance-Anforderungen und Vorbereitung.

Was ist der Zusammenhang zwischen ISO 22301 und dem Risikomanagement?

ISO 22301 verlangt eine Risikobeurteilung bezüglich Bedrohungen, die Betriebsunterbrechungen verursachen können, schreibt jedoch keine bestimmte Methode vor. [lu: ISO 22301, Sicherheit und Resilienz, Betriebskontinuitäts-Managementsysteme, internationale Norm] Die Organisation kann die Methode ihrer Wahl verwenden und muss die Ergebnisse dokumentieren. Eine unternehmensweite Risikomanagement-Software oder eine GRC-Plattform kann das BCMS mit bereits identifizierten Risikoszenarien speisen, was eine Verdoppelung des Analyseaufwands verhindert.

Zum unternehmensweiten Risikomanagement-Rahmen, siehe den Artikel Enterprise Risk Management (ERM) und Software.

Wie erleichtert eine ISO-22301-Software die Zugänglichkeit der Pläne im Krisenfall?

Eine in der Praxis oft unterschätzte Anforderung von ISO 22301 ist die Zugänglichkeit der Pläne bei einer tatsächlichen Betriebsstörung, insbesondere wenn das primäre Informationssystem nicht verfügbar ist. [lu: ISO 22301, Sicherheit und Resilienz, Betriebskontinuitäts-Managementsysteme, internationale Norm] Eine für die Betriebskontinuität konzipierte Software muss einen Offline-Zugriff oder den Zugriff von einer Backup-Infrastruktur aus ermöglichen. Die bei der Evaluierung zu stellende Frage lautet: Wie sind die Pläne zugänglich, wenn das primäre Netz oder der primäre Standort nicht verfügbar ist?

Häufig gestellte Fragen

Ist ISO 22301 in Deutschland obligatorisch? Nein, außer für Organisationen, denen ein Regulierungsbehörde die Zertifizierung oder die Konformität mit der Norm vorschreibt. Die Resilienzanforderungen von DORA und NIS2-UmsuCG schreiben ISO 22301 nicht vor, beziehen sich jedoch darauf als anerkannten Rahmen für bewährte Praktiken.

Benötigt man eine dedizierte Software oder ein Modul in einer GRC-Plattform? Die Antwort hängt vom Volumen der durchzuführenden BIAs, der Anzahl der zu pflegenden Pläne und dem Integrationsbedarf mit dem Risikomanagement ab. Ein Modul in einer GRC-Plattform ist geeignet, wenn Kontinuität ein Bereich unter mehreren ist; eine dedizierte Software ist geeignet, wenn Kontinuität der Kern des Systems ist und spezifische Übungs- und Offline-Zugriffsfunktionen erfordert.

Wie häufig müssen Kontinuitätspläne aktualisiert werden? ISO 22301 verlangt Tests und Revisionen in geplanten Abständen, ohne eine Mindesthäufigkeit festzulegen. Die gängige Praxis ist eine jährliche Revision und nach jeder wesentlichen organisatorischen oder technologischen Änderung.

Begleitet Optivalue.ai bei der BCMS-Einführung? Optivalue.ai begleitet Compliance- und Kontinuitätsteams durch eine Demonstration anhand eines realen Dossiers. Weitere Informationen: Demonstration anfordern.

---

Nach oben