Der zertifizierbare internationale Standard für Business-Continuity-Managementsysteme (BCMS) macht aus Notfallordnern gelebte Widerstandsfähigkeit – mit Business-Impact-Analyse (BIA), klaren Wiederanlaufzielen und einem verbindlichen Übungsprogramm.
ISO 22301:2019 „Security and resilience – Business continuity management systems – Requirements“ definiert die Anforderungen an ein Managementsystem für die Geschäftsfortführung (Business Continuity Management System, BCMS): Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung. Weil die Norm der Harmonized Structure (Annex SL) folgt, lässt sie sich nahtlos in ein bestehendes ISO-27001-Managementsystem integrieren – und sie ist der zertifizierbare Standard für Business Continuity Management.
Das Herzstück ist Kapitel 8 (Betrieb): Business-Impact-Analyse (BIA) und Risikobeurteilung ermitteln, welche Prozesse wie schnell wieder laufen müssen; daraus entstehen Business-Continuity-Strategien, -Lösungen, -Pläne und -Verfahren, die ein Übungs- und Testprogramm regelmäßig auf die Probe stellt. Das Amendment 1:2024 ergänzt die Kontextanalyse um den Klimawandel. Flankiert wird die Norm von ISO 22313 (Umsetzungsleitfaden), ISO/TS 22317 (BIA), ISO/TS 22318 (Lieferketten-Kontinuität) und ISO 22361 (Krisenmanagement).
Sechs Elemente entscheiden darüber, ob Ihr BCMS im Ernstfall trägt.
Welche Prozesse sind kritisch, welche Ressourcen brauchen sie, und ab wann wird eine Unterbrechung existenzbedrohend? Die BIA – methodisch vertieft in ISO/TS 22317 – liefert priorisierte Zeitvorgaben und ist die Grundlage aller weiteren Entscheidungen.
Die Norm verlangt, Unterbrechungsrisiken für die priorisierten Prozesse systematisch zu identifizieren, zu analysieren und zu bewerten – vom IT-Ausfall über Standortverlust bis zu Lieferketten- und Personalrisiken.
Aus BIA und Risikobild entstehen Business-Continuity-Strategien und konkrete Lösungen: redundante Systeme, Ausweicharbeitsplätze, alternative Lieferanten, Wiederanlaufreihenfolgen – dimensioniert an Wiederanlaufzeit (Recovery Time Objective, RTO) und maximal tolerierbarem Datenverlust (Recovery Point Objective, RPO).
Business-Continuity-Pläne, Wiederanlaufpläne und eine Reaktionsstruktur (Response Structure) legen fest, wer im Ernstfall was, wann und mit welchen Befugnissen tut – inklusive Warn- und Kommunikationsverfahren für interne und externe Adressaten.
ISO 22301 fordert programmatisches Üben und Testen: von Tabletop-Übungen (Planbesprechungen) bis zu technischen Wiederanlauftests. Erst geübte Pläne sind belastbare Pläne – und jede Übung liefert dokumentierte Verbesserungen und Audit-Nachweise.
Die oberste Leitung trägt das BCMS: Business-Continuity-Politik, Rollen, Ressourcen, messbare Ziele und Management-Review. Dank Annex-SL-Struktur teilt ISO 22301 diese Mechanik mit ISO 27001 – ein integriertes Managementsystem vermeidet Doppelarbeit.
Ein zertifiziertes BCMS ist der belastbarste Einzelnachweis für die Kontinuitätspflichten aus NIS2, DORA, ISO 27001 und KRITIS.
Die NIS2-Richtlinie verlangt ausdrücklich die Aufrechterhaltung des Betriebs – einschließlich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. ISO 22301 liefert genau diese Fähigkeiten als geschlossenes, zertifizierbares System: vom Plan bis zum dokumentierten Übungsnachweis.
Die EU-Verordnung über die digitale operationale Resilienz im Finanzsektor fordert unter anderem eine IKT-Geschäftsfortführungsleitlinie, Wiederanlauf- und Wiederherstellungspläne sowie regelmäßige Tests. Ein BCMS nach ISO 22301 strukturiert diese Pflichten und verzahnt sie mit dem IKT-Risikomanagement.
Die Annex-A-Controls A.5.29 (Informationssicherheit bei Störungen) und A.5.30 (IKT-Bereitschaft für Business Continuity) setzen BCM-Fähigkeiten voraus, ohne das Wie zu regeln. ISO 22301 füllt genau diese Lücke – im gemeinsamen Annex-SL-Rahmen mit Ihrem ISMS.
Betreiber kritischer Anlagen müssen die Verfügbarkeit ihrer kritischen Dienstleistungen absichern und dies gegenüber dem BSI nachweisen. Ein BCMS nach ISO 22301 gilt dafür als anerkannter Stand der Technik für Vorsorge, Wiederanlauf und Krisenorganisation.
In vier Schritten von der ersten Analyse zum zertifizierungsreifen BCMS.
Wir definieren Geltungsbereich und Business-Continuity-Politik, identifizieren mit Ihren Fachbereichen die kritischen Prozesse und leiten in der BIA priorisierte Wiederanlaufziele (RTO/RPO) ab – abgestimmt mit Ihrer IT.
Wir entwickeln passende Kontinuitätsstrategien und dokumentieren Business-Continuity-Pläne, Wiederanlaufpläne und die Krisenorganisation – pragmatisch, rollenbasiert und im Ernstfall tatsächlich benutzbar.
Wir bauen Ihr Übungs- und Testprogramm auf: Tabletop-Übungen, Kommunikationstests, technische Wiederanlauftests. Die Ergebnisse fließen dokumentiert in die Verbesserung – und liefern zugleich die Audit-Nachweise.
Wir begleiten internes Audit, Management-Review und das Zertifizierungsaudit (Stufe 1 und 2) – und verankern das BCMS anschließend im Regelbetrieb: Kennzahlen, Reviews und jährliche Übungszyklen.
Vier kurze Fragen zeigen Ihnen in zwei Minuten, wo Ihr Business Continuity Management heute steht.
1Gibt es eine aktuelle Business-Impact-Analyse (BIA), die Ihre kritischen Prozesse und deren Abhängigkeiten abbildet?
2Sind RTO und RPO je kritischem Prozess definiert und mit der IT abgestimmt?
3Wurden Ihre Business-Continuity- und Notfallpläne im letzten Jahr geübt oder getestet?
4Ist eine Krisenorganisation mit Rollen, Vertretungen und Kommunikationswegen benannt?
Der Selbstcheck ist eine erste Orientierung und ersetzt keine formale BIA oder Gap-Analyse.
Primärquellen zur Normenfamilie und passende Leistungen von VamiSec.
Antworten zu ISO 22301 in der Praxis.
Ja. ISO 22301 ist der zertifizierbare Managementsystem-Standard für Business Continuity. Die Zertifizierung läuft wie bei ISO 27001: Stufe-1-Audit (Dokumentationsprüfung), Stufe-2-Audit (Wirksamkeitsprüfung), danach jährliche Überwachungsaudits und die Re-Zertifizierung nach drei Jahren.
Die Business-Impact-Analyse (BIA) fragt nach den Folgen einer Unterbrechung – unabhängig von der Ursache – und liefert Prioritäten und Zeitziele (RTO/RPO). Die Risikobeurteilung fragt nach den möglichen Ursachen und deren Wahrscheinlichkeit. ISO 22301 verlangt beides, denn erst zusammen ergeben sie belastbare Kontinuitätsstrategien.
ISO 27001 verlangt in den Controls A.5.29 und A.5.30 Kontinuitätsfähigkeiten, regelt aber nicht das Wie. ISO 22301 liefert das vollständige BCMS inklusive BIA, Strategien und Übungsprogramm – und deckt auch Nicht-IT-Szenarien wie Standort- oder Personalausfall ab. Dank identischer Annex-SL-Struktur lassen sich beide Systeme integriert betreiben und auditieren.
Ein zertifiziertes BCMS ist der stärkste Einzelnachweis für die Kontinuitätspflichten aus NIS2 Art. 21 Abs. 2 lit. c und für die DORA-Anforderungen an IKT-Geschäftsfortführung und Tests. Beide Rechtsakte verlangen darüber hinaus weitere Maßnahmen, etwa Meldeprozesse – den Kontinuitätskern deckt ISO 22301 ab, und die Nachweise entstehen im laufenden Systembetrieb.
Das ISO-weite „Climate action changes“-Amendment vom Februar 2024 ergänzt Kapitel 4: Organisationen müssen bestimmen, ob der Klimawandel für ihr BCMS relevant ist, und klimabezogene Anforderungen interessierter Parteien berücksichtigen. Für die Praxis heißt das: Extremwetter-, Lieferketten- und Standortszenarien gehören in Kontextanalyse und BIA.
Wir bauen Ihr BCMS nach ISO 22301 auf – integriert mit ISO 27001, abgestimmt auf NIS2, DORA und KRITIS, bis zur Zertifizierung und darüber hinaus.
