ISO 22301:2019 definiert Anforderungen an ein Business Continuity Management System (BCMS). Die Norm strukturiert, wie eine Organisation Unterbrechungen vorbereitet, darauf reagiert und priorisierte Leistungen wiederherstellt. Die 2024 veröffentlichte Änderung zu Klimaschutzaspekten ist bei Aufbau, Audit und Zertifizierung mitzuberücksichtigen. Eine neue Ausgabe befindet sich in Entwicklung; bis zu ihrer Veröffentlichung bleibt ISO 22301:2019 mit Amendment 1:2024 die aktuelle publizierte Grundlage.
Was ein BCMS leisten soll
Ein BCMS ist mehr als eine Sammlung von Notfallplänen. Es verbindet Unternehmenskontext, Verantwortung, Business Impact Analyse (BIA), Risikobewertung, Kontinuitätsstrategien, Reaktionspläne, Übungen und Verbesserung.
Die direkte Antwort auf die Kernfrage lautet: Welche priorisierten Produkte und Dienstleistungen müssen nach einer Störung in welcher Zeit und mit welchen Mindestressourcen wieder anlaufen?
BIA, RTO und RPO sauber verwenden
Die BIA untersucht Auswirkungen über die Zeit und identifiziert priorisierte Aktivitäten sowie ihre Ressourcenabhängigkeiten. Daraus werden Wiederanlaufziele abgeleitet:
- RTO (Recovery Time Objective): Zielzeit bis zur Wiederaufnahme einer Aktivität oder Ressource.
- RPO (Recovery Point Objective): tolerierbarer Datenverlust, ausgedrückt als Zeitraum.
- Mindestbetriebsniveau: Leistung, die während der Wiederherstellung erreicht werden muss.
- Maximum Tolerable Period of Disruption: Zeitpunkt, ab dem die Auswirkungen nicht mehr tragbar sind.
RTO und RPO sind Managementziele, keine automatisch garantierten technischen Werte. Sie müssen mit Architektur, Backup, Personal, Lieferanten und Übungsergebnissen zusammenpassen.
Aufbau in sieben Arbeitsschritten
- Scope und Kontext: kritische Leistungen, Standorte, rechtliche Pflichten und externe Abhängigkeiten festlegen.
- Governance: BCMS-Verantwortung, Eskalation und Entscheidungsbefugnisse zuweisen.
- BIA und Risiken: Auswirkungen, Zeitkritikalität, Single Points of Failure und Ressourcen erfassen.
- Strategien: Ausweichverfahren, Redundanz, Ersatzstandorte, Lieferantenoptionen und manuelle Notprozesse auswählen.
- Pläne: Alarmierung, Lagebild, Kommunikation, Wiederanlauf und Rückkehr in den Normalbetrieb dokumentieren.
- Üben und testen: Szenarien von Tabletop bis technischem Wiederherstellungstest risikobasiert planen.
- Verbessern: Ergebnisse, Vorfälle, Auditfeststellungen und Änderungen in Maßnahmen überführen.
Was eine Übung nachweisen sollte
Ein Termin im Kalender allein ist kein Wirksamkeitsnachweis. Ein gutes Übungsprotokoll enthält Szenario, Ziel, Scope, Teilnehmer, Entscheidungszeitpunkte, erreichte RTO/RPO, Abweichungen, Verantwortliche und Fristen für Korrekturen. Besonders wertvoll sind Tests echter Abhängigkeiten: Identitätsdienste, Wiederherstellung aus Backups, alternative Kommunikation und kritische Dienstleister.
Verhältnis zu DORA, NIS2 und ISO 27001
ISO 22301 kann die systematische Umsetzung regulatorischer Resilienzanforderungen unterstützen, ersetzt sie aber nicht. DORA enthält eigene Anforderungen an IKT-Geschäftsfortführung, Wiederherstellung, Tests und Vorfallmeldungen. NIS2 beziehungsweise nationale Umsetzungsvorschriften verlangen risikogerechte Sicherheits- und Kontinuitätsmaßnahmen. ISO/IEC 27001 betrachtet Informationssicherheitsrisiken; ISO 22301 setzt den Schwerpunkt auf die Kontinuität priorisierter Produkte und Dienstleistungen.
Auch eine Zertifizierung garantiert nicht, dass jeder Vorfall ohne Ausfall bewältigt wird. Sie bestätigt für einen definierten Scope, dass das Managementsystem gegen die Normanforderungen bewertet wurde.
Aufwand und Kosten belastbar planen
Eine allgemeingültige Kostenspanne wäre irreführend. Entscheidend sind Scope, Zahl der Standorte, Prozesskomplexität, bestehende Notfallvorsorge, Testtiefe, Zertifizierungswunsch und interner Aufwand. Holen Sie Angebote mit identischem Scope ein und trennen Sie Beratung, technische Maßnahmen, interne Personentage und Zertifizierungskosten.
Vision Compliance verbindet Business Continuity und Vorfallmanagement mit Informationssicherheit, regulatorischen Pflichten und realistischen Übungen.
Quellen und Prüfung
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.