ISO 22301

Q: Was ist die ISO 22301?

ISO 22301 ist der international anerkannte Standard für den Aufbau und die Zertifizierung eines Business-Continuity-Management-Systems. Die Norm verbindet Risikomanagement, Notfallvorsorge und Wiederanlauf, damit kritische Geschäftsprozesse auch bei schweren Ereignissen oder Katastrophen möglichst stabil bleiben.

ISO 22301 schafft einen verlässlichen Rahmen, um Unternehmen auf schwere Betriebsunterbrechungen vorzubereiten und kritische Leistungen abzusichern. Dieser Artikel erklärt, wie ein BCMS aufgebaut wird und was für die Zertifizierung wichtig ist.

ISO 22301 – Auf einen Blick

Was ist die ISO 22301?

Mit ISO 22301 erhalten Firmen einen international anerkannten Rahmen, um ihre Geschäftskontinuität systematisch abzusichern und ein zertifizierbares BCMS aufzubauen.

Welchen Zweck erfüllt ein BCMS?

Kritische Geschäftsprozesse bleiben durch ein BCMS auch bei schweren Störungen möglichst verfügbar oder können kontrolliert wieder anlaufen.

Wie werden besonders wichtige Prozesse bestimmt?

Eine Prozesslandkarte macht zentrale Abläufe und Abhängigkeiten sichtbar, während die Business-Impact-Analyse Ausfallfolgen und Wiederanlaufzeiten bewertet.

Wann greifen Business-Continuity-Pläne?

Bei Betriebsunterbrechungen regeln Business-Continuity-Pläne die Alarmierung, Zuständigkeiten, Sofortmaßnahmen und Wiederherstellung.

EN ISO 22301:2019: Der Standard für betriebliches Kontinuitätsmanagement

Die EN ISO 22301:2019 ist der internationale Standard für Business Continuity Management, auf Deutsch betriebliches Kontinuitätsmanagement. Sie definiert die Anforderungen an ein zertifizierbares Business-Continuity-Management-System (BCMS). Damit können Organisationen kritische Geschäftsprozesse bei schweren Störungen fortführen oder innerhalb festgelegter Fristen wiederherstellen.

Veröffentlicht wurde die aktuelle Ausgabe ISO 22301:2019 im Oktober 2019, sie ersetzte die Fassung von 2012. Sie eignet sich für Unternehmen aller Größen und Branchen. Cyberangriffe, Naturkatastrophen, Stromausfälle, Lieferengpässe oder der Ausfall zentraler IT-Systeme stehen dabei ebenso im Fokus wie interne Fehler und personelle Engpässe.

Durch die Harmonized Structure lässt sich das BCMS in bestehende Managementsysteme integrieren. Gemeinsame Strukturen für Planung, Dokumentation, interne Audits und Managementbewertung erleichtern etwa die Verbindung mit ISO 9001 oder ISO 27001. Ein prozessorientierter Ansatz sorgt dafür, dass kritische Abläufe, Abhängigkeiten und Verantwortlichkeiten systematisch erfasst werden.

Für die laufende Steuerung orientiert sich ISO 22301 am PDCA-Zyklus und verlangt eine kontinuierliche Prüfung und Verbesserung des BCMS. Eine unabhängige ISO-Zertifizierung bestätigt anschließend, dass die Anforderungen der Norm umgesetzt und belastbare Vorkehrungen für Ausnahmesituationen geschaffen wurden.

Beratung zur ISO 22301

CSM Consulting unterstützt Sie beim Aufbau eines praxistauglichen BCMS. Gemeinsam bereiten wir Ihr Unternehmen gezielt auf die ISO-22301-Zertifizierung vor.

Unternehmensweite Resilienz: Business-Continuity-Management als Erfolgsfaktor

Business-Continuity-Management stärkt die Widerstandsfähigkeit des gesamten Unternehmens. Globalisierung, Outsourcing und komplexe Lieferketten erhöhen die Abhängigkeiten zwischen Standorten, Lieferanten, IT und Produktion. Schon eine einzelne Unterbrechung kann mehrere Geschäftsprozesse gleichzeitig treffen und das wirtschaftliche Potenzial ganzer Wertschöpfungsketten beeinträchtigen.

Die ISO 22301 fordert deshalb eine ganzheitliche Risikobetrachtung auf allen Ebenen der Organisation. Business-Continuity-Management stärkt die Widerstandsfähigkeit des gesamten Unternehmens. Das BCMS begrenzt Ausfälle, schützt die Lieferfähigkeit und eröffnet Chancen für die gezielte Entwicklung robusterer Prozesse.

Für Unternehmen ergeben sich daraus vor allem vier Vorteile:

Frühzeitige Risikosteuerung: Ein risikobasierter Ansatz macht Bedrohungen und Schwachstellen sichtbar, bevor sie den Geschäftsbetrieb beeinträchtigen.

Stabile Betriebsabläufe: Dokumentierte Verfahrensanweisungen schaffen klare Zuständigkeiten und verkürzen Reaktionszeiten.

Robustere Lieferketten: Eine risikobasierte Lieferantenbewertung zeigt kritische Abhängigkeiten und mögliche Alternativen.

Schutz von Ruf und Marktposition: Geordnete Krisenkommunikation und ein schneller Wiederanlauf begrenzen Schäden und erhalten Vertrauen.

Business Impact Analysis und Risiken bewerten

Die Geschäftsauswirkungsanalyse (Business Impact Analysis, BIA) und die Risikobewertung schaffen die gemeinsame Entscheidungsgrundlage für ein wirksames BCMS. Während die BIA besonders zeitkritische Geschäftsprozesse sichtbar macht, untersucht die Risikobewertung mögliche Ursachen, Bedrohungen und Schwachstellen.

Kritische Geschäftsprozesse mit der BIA bestimmen

Im Mittelpunkt der Geschäftsauswirkungsanalyse stehen Produkte, Leistungen und Prozesse, die für die Geschäftskontinuität entscheidend sind. Dabei bewertet das Unternehmen, welche finanziellen, rechtlichen und operativen Auswirkungen eine Unterbrechung im Zeitverlauf hätte.

Eine Prozesslandkarte macht sichtbar, welche Ressourcen und Schnittstellen für einen Prozess unverzichtbar sind. Dazu zählen IT-Systeme, Mitarbeiter, Gebäude, Maschinen, Lieferanten und externe Dienstleister.

Zu den wichtigsten Ergebnissen der BIA gehören:

Maximal tolerierbare Ausfallzeit: Sie beschreibt, wie lange eine Unterbrechung höchstens andauern darf, bevor der entstehende Schaden unvertretbar wird.

Angestrebte Wiederanlaufzeit: Die Recovery Time Objective, kurz RTO, legt fest, innerhalb welchen Zeitraums ein Prozess wiederhergestellt werden soll.

Prioritäten für den Wiederanlauf: Besonders kritische Geschäftsprozesse erhalten zuerst Personal, IT und weitere benötigte Ressourcen.

Bedrohungen und Schwachstellen bewerten

Die Risikobewertung betrachtet mögliche Ursachen einer Betriebsunterbrechung. Dazu gehören Cyberangriffe, Stromausfälle, Naturkatastrophen, technische Defekte, Lieferengpässe oder der Verlust von Schlüsselpersonen.

Der risikobasierte Ansatz bewertet Eintrittswahrscheinlichkeit, Schadensausmaß und bereits vorhandene Schutzmaßnahmen gemeinsam. Für die strukturierte Analyse können Unternehmen Methoden wie FMEA, Qualitätswerkzeuge (Q7) oder ein Turtle-Diagramm nutzen. Entscheidend ist eine nachvollziehbare Dokumentation der Ergebnisse.

Business-Continuity-Management-System: Anforderungen und Umsetzung

Ein Business-Continuity-Management-System (BCMS) übersetzt die Ergebnisse aus BIA und Risikobewertung in konkrete Schutz- und Wiederanlaufmaßnahmen. Die ISO 22301 fordert dafür belastbare Strategien, klare Zuständigkeiten und praxistaugliche Pläne für kritische Betriebsabläufe. Ihre Umsetzung ist mäßig komplex und kann je nach Größe und Ausgangslage organisatorische oder technische Herausforderungen mit sich bringen.

Kontinuitätsstrategien festlegen

Kontinuitätsstrategien legen fest, wie zentrale Prozesse bei einem Ausfall weitergeführt oder innerhalb definierter Fristen wiederhergestellt werden. Die Auswahl richtet sich nach Branche, Risikolage, Wiederanlaufzielen und verfügbaren Ressourcen.

Typische Optionen sind:

Redundante IT und Technik: Ersatzsysteme, Datensicherungen und Notstrom sichern die Aufrechterhaltung wichtiger Funktionen.

Alternative Arbeitsorte: Ausweichstandorte oder mobile Arbeitsplätze schaffen Handlungsspielraum bei einem Standortausfall.

Vertretungsregelungen: Kritisches Wissen und Entscheidungsbefugnisse werden auf mehrere Mitarbeiter verteilt.

Abgesicherte Lieferketten: Ersatzlieferanten und eine Qualitätssicherungsvereinbarung (QSV) reduzieren einseitige Abhängigkeiten.

Manuelle Ersatzverfahren: Übergangslösungen halten Prozesse aufrecht, wenn IT-Systeme oder Maschinen ausfallen.

Die gewählten Maßnahmen werden anschließend in Verfahrensanweisungen dokumentiert und regelmäßig an neue Rahmenbedingungen angepasst.

Business-Continuity-Plan für den Ernstfall

Der Business-Continuity-Plan, auch Kontinuitätsplan genannt, bündelt alle Vorgaben für die Reaktion auf eine konkrete Störung. Er legt fest, wer entscheidet, welche Maßnahmen zuerst greifen und wie priorisierte Prozesse kontrolliert wieder anlaufen.

Im Ernstfall muss der Plan schnell erfassbar sein. Kurze Checklisten, eindeutige Ansprechpartner und klar gegliederte Abläufe ermöglichen auch unter Zeitdruck eine sichere Orientierung. Die Einbindung in das zentrale QM-Handbuch oder eine vergleichbare Systemdokumentation stellt sicher, dass der Business-Continuity-Plan gelenkt, aktualisiert und im Unternehmen zugänglich bleibt.

Ein praxistauglicher Plan enthält insbesondere:

Auslösekriterien und Eskalationsstufen

Rollen, Verantwortlichkeiten und Vertretungen

Alarmierungs- und Kommunikationswege

Sofortmaßnahmen zur Schadensbegrenzung

benötigte Mindestressourcen

Reihenfolge für Wiederanlauf und Wiederherstellung

Vorgaben für die Rückkehr in den Normalbetrieb

Das BCMS im Ernstfall wirksam halten

Ein BCMS bleibt nur wirksam, wenn Rollen, Kommunikation und Notfallpläne regelmäßig überprüft werden. Übungen zeigen, ob die vorgesehenen Maßnahmen auch unter Zeitdruck greifen und kritische Prozesse innerhalb der festgelegten Fristen wieder anlaufen.

Rollen und Krisenkommunikation regeln

Bei schweren Störungen müssen Entscheidungen schnell und eindeutig getroffen werden. Deshalb legt das Unternehmen bereits im Vorfeld fest, wer den Krisenstab führt, welche Fachbereiche beteiligt sind und wie Informationen weitergegeben werden.

Typische Aufgaben verteilen sich auf:

Geschäftsführung: trifft strategische Entscheidungen und stellt notwendige Ressourcen bereit.

Krisenstab: bewertet die Situation, koordiniert Maßnahmen und setzt Prioritäten.

IT und Betrieb: sichern Systeme, Anlagen und kritische Betriebsabläufe.

Personal und Kommunikation: informieren Mitarbeiter, Kunden, Partner, Behörden und Medien.

Fachbereiche: setzen die vorgesehenen Notfall- und Wiederanlaufpläne operativ um.

Klare Meldewege verhindern widersprüchliche Aussagen und unnötige Verzögerungen. Vorlagen für Alarmierung, Lageberichte und externe Kommunikation erhöhen zusätzlich die Sicherheit. Abweichungen während einer Krise werden dokumentiert und über das bestehende Fehlermanagement weiterbearbeitet.

Notfallpläne testen und verbessern

Ein Notfallplan zeigt seine Qualität erst in der Übung. Die ISO 22301 verlangt daher regelmäßige Tests, mit denen Unternehmen prüfen, ob Zuständigkeiten, Ressourcen und angestrebte Wiederanlaufzeiten realistisch sind.

Je nach Risikolage kommen unterschiedliche Formate infrage:

Schreibtisch- und Tabletop-Übungen

Alarmierungs- und Kommunikationstests

technische Wiederherstellung einzelner IT-Systeme

Simulationen eines Standort- oder Prozessausfalls

umfassende Krisenübungen mit mehreren Bereichen

Nach jedem Test werden Resultate, Verzögerungen und Schwachstellen ausgewertet. Erreicht ein kritischer Prozess seine Recovery Time Objective nicht, müssen Ursachen und Maßnahmen nachvollziehbar dokumentiert werden. Die gewonnenen Erkenntnisse fließen in Pläne, Schulungen und die Managementbewertung ein.

ISO 22301 mit ISO 9001 und ISO 27001 verbinden

ISO 22301 lässt sich in bestehende Managementsysteme integrieren. Gemeinsame Strukturen für Risikobewertung, Dokumentation, Audits und Managementbewertung reduzieren Doppelarbeit und erleichtern die Pflege des BCMS.

Grundlage dafür ist die Harmonized Structure. Moderne ISO-Managementsystemnormen folgen derselben übergeordneten Gliederung und verwenden vergleichbare Kernbegriffe. Unternehmen können Verantwortlichkeiten, Berichtswege und zentrale Verfahren dadurch normübergreifend organisieren.

Mit der ISO 9001 entstehen Synergien bei Prozessen, Lieferfähigkeit und Qualitätszielen. Erkenntnisse aus der Business-Impact-Analyse können direkt in die Prozesslandkarte und die bestehende Systemdokumentation einfließen.

Besondere Bedeutung hat die Verbindung mit der ISO 27001, da viele Betriebsunterbrechungen auf der technischen Seite durch Cyberangriffe, Datenverluste oder IT-Ausfälle entstehen. Abgestimmte Risikoanalysen, Wiederherstellungsverfahren und Notfallpläne sorgen hier für klare Schnittstellen.

Andere Managementsysteme sind keine Voraussetzung für ISO 22301, können die Einführung und dauerhafte Pflege des BCMS jedoch erleichtern.

Ablauf der ISO-22301-Zertifizierung

Die ISO-22301-Zertifizierung prüft, ob das Business-Continuity-Management-System die Anforderungen der Norm erfüllt und im Unternehmen wirksam umgesetzt wird. Zugleich dient sie Kunden und Partnern als Nachweis für die Zuverlässigkeit der betrieblichen Krisenvorsorge.

Das ausgestellte Zertifikat besitzt eine Gültigkeit von drei Jahren. Jährliche Überwachungsaudits prüfen, ob das BCMS weiterhin wirksam angewendet und verbessert wird.

Der weitere Ablauf umfasst typischerweise:

Vorbereitung: Ein internes Projektteam plant die Einführung, verteilt Verantwortlichkeiten und schließt erkannte Lücken. Je nach Größe und Ausgangslage kann dieser Schritt mehrere Monate dauern.

Stufe-1-Audit: Die Zertifizierungsstelle prüft Dokumentation, Geschäftsauswirkungsanalyse, Geltungsbereich, Risikobewertung und grundsätzliche Auditbereitschaft.

Stufe-2-Audit: Auditoren bewerten die praktische Umsetzung. Im Mittelpunkt stehen Kontinuitätsstrategien, Notfallpläne, Übungen, Mitarbeiterkenntnisse und Nachweise zur Verbesserung.

Bearbeitung von Abweichungen: Festgestellte Mängel werden analysiert und innerhalb vereinbarter Fristen behoben.

Zertifikatserteilung: Nach erfolgreicher Bewertung erhält das Unternehmen das ISO-22301-Zertifikat.

Überwachung und Rezertifizierung: Jährliche Audits prüfen die weitere Anwendung. Nach drei Jahren folgt die Rezertifizierung.

Häufige Fragen und Antworten

Was ist die ISO 22301?

ISO 22301 ist der international anerkannte Standard für den Aufbau und die Zertifizierung eines Business-Continuity-Management-Systems. Die Norm verbindet Risikomanagement, Notfallvorsorge und Wiederanlauf, damit kritische Geschäftsprozesse auch bei schweren Ereignissen oder Katastrophen möglichst stabil bleiben.

Ist BCM verpflichtend?

Business Continuity Management, kurz BCM, ist für Unternehmen grundsätzlich freiwillig, kann in regulierten Branchen oder durch vertragliche Anforderungen jedoch vorgeschrieben sein. Unabhängig davon unterstützt BCM die Sicherstellung wichtiger Leistungen und hilft der Geschäftsführung, existenzbedrohende Risiken frühzeitig zu erkennen.

Welcher Standard gilt für Geschäftskontinuität?

Der maßgebliche zertifizierbare Standard für Geschäftskontinuität ist die EN ISO 22301:2019. Ergänzend bietet ISO 22313:2020 eine praxisnahe System-Anleitung mit hilfreichen Ergänzungen zur Umsetzung; durch die High-Level-Structure lässt sich das System zudem mit ISO 9001 und ISO 27001 verbinden.