ISO 22301 · Business Continuity Management

Compliance · ISO 22301

ISO 22301:2019 ist die internationale Norm für Business Continuity Management Systems (BCMS). Sie ermöglicht die Wiederherstellung nach Vorfällen und erfüllt etwa 80 % der Pflichten aus NIS2 und DORA.

Business Continuity ist kein Luxus mehr: Sie ist Anforderung. NIS2 verlangt sie für wesentliche und wichtige Einrichtungen, DORA für Finanzunternehmen, und immer mehr Ausschreibungen verlangen sie als Voraussetzung. ISO 22301 liefert den international anerkannten Rahmen und ist zertifizierbar.

Was deckt das BCMS nach ISO 22301 ab?

• Identifikation kritischer Prozesse via BIA (Business Impact Analysis).
• Definition von RTO (Recovery Time Objective) und RPO (Recovery Point Objective).
• Risikoanalyse mit Fokus auf Verfügbarkeit.
• Wiederherstellungsstrategien (alternative Standorte, Cloud, Backup-Lieferanten).
• Business Continuity Plan und Disaster Recovery Plan.
• Kommunikation in Krisensituationen.
• Übungen und Simulationen (mindestens jährlich).
• Kontinuierliche Verbesserung und Managementbewertung.

Wesentliche Komponenten der Implementierung

1. Business Impact Analysis (BIA)

Identifikation der kritischen Prozesse, deren Unterbrechung das Geschäft am stärksten beeinträchtigt. Quantifizierung der Auswirkungen (finanziell, reputationell, rechtlich) je Stunde Ausfall. Festlegung der Maximum Tolerable Period of Disruption (MTPD).

2. Risikoanalyse

Konsistent mit ISO 31000, mit Fokus auf Bedrohungen für die Verfügbarkeit: Cyberangriffe, Naturkatastrophen, Provider-Ausfall, Pandemie, Personalausfall.

3. Wiederherstellungsstrategie

Für jeden kritischen Prozess die effizienteste Strategie auswählen: redundanter aktiv-aktiv Standort, Cold-Site, Cloud Failover, alternative Provider, manuelle Notfallprozesse. Investition gegen RTO/RPO ausbalancieren.

4. Business Continuity Plan

Dokumentation der Verantwortlichkeiten, Aktivierungsablauf, Krisenkommunikation, interne und externe Kontakte, Eskalationskriterien.

5. Übungen

Tabletop, technische Tests, vollständige Simulationen. Mindestens eine Übung pro Jahr je kritischem Prozess. Ergebnisse dokumentieren und Plan anpassen.

Zusammenhang mit anderen Normen

ISO 22301 wird häufig mit ISO 27001 (Anhang A.5.29-A.5.30 zu Business Continuity), dem ENS (Klausel op.cont) und NIS2/DORA integriert. Ein einheitliches BCMS erfüllt mehrere Normen mit geteilten Dokumenten und Übungen.

Praxisbeispiel: Krankenhaus mit 600 Betten

Ein Privatkrankenhaus in Kastilien und León implementierte ISO 22301, da NIS2 das Gesundheitswesen als wesentliche Einrichtung einstuft. BIA identifizierte 18 kritische Prozesse, von denen 6 RTO unter 4 Stunden benötigten. Investition 145.000 € in 9 Monaten (aktiv-aktiv Standort, redundante elektronische Patientenakte, Notfall-Kommunikation). Ergebnis bei realem Ransomware-Vorfall im Folgejahr: kritische Services in 78 Minuten wiederhergestellt; geschätzte vermiedene Verluste ca. 3,2 Mio. €.

Checkliste: 8 Schritte zur ISO 22301

1. Anwendungsbereich und kritische Services definieren.
2. BIA durchführen mit RTO/RPO je Prozess.
3. Risikoanalyse mit Fokus Verfügbarkeit.
4. Wiederherstellungsstrategien wählen.
5. BCP und DRP dokumentieren.
6. Team schulen und Krisenkommunikation einrichten.
7. Mindestens jährliche Übungen.
8. Internes Audit, Managementbewertung, externe Zertifizierung.

Autor: Ángel Ortega Castro · unabhängiger Berater für Strategie, Qualität und Digitalisierung für KMU.