ISO 22301 – Betriebskontinuität

Die ISO 22301 beschreibt, wie ein Unternehmen handlungsfähig bleibt, wenn etwas ausfällt. Gemeint ist nicht nur die IT. Gemeint sind auch der Brand in der Halle, der Ausfall des einzigen Lieferanten, die Grippewelle im Team oder die gesperrte Zufahrt zum Werk.

Die Norm verlangt keine Kataloge möglicher Katastrophen. Sie fragt nach den Prozessen, ohne die es wirklich nicht geht. Dann fragt sie, wie schnell diese wieder laufen müssen. Das klingt einfach. In der Praxis werden die meisten Systeme genau hier unsauber.

Wen sie betrifft

Unternehmen, deren Kunden eine belastbare Lieferfähigkeit vertraglich absichern wollen
Betriebe mit kritischen Abhängigkeiten: ein Standort, ein Lieferant, eine Person, eine Anlage
Organisationen im Anwendungsbereich der NIS-2-Regelungen, die ihre Handlungsfähigkeit nachweisen müssen – siehe NIS-2-Beratung
Dienstleister, die für ihre Auftraggeber Wiederanlaufzeiten zusagen sollen

Woran es in der Praxis hakt

Die Auswirkungsanalyse wird geschätzt statt erhoben

Die Business Impact Analyse entsteht am Schreibtisch. Jemand füllt eine Tabelle, weil die Norm sie verlangt. Mit den Fachbereichen spricht dabei niemand. Das Ergebnis liest sich vollständig und ist doch geraten.

Im Audit fällt das schnell auf. In der Analyse steht, ein Prozess dürfe zwei Tage ausfallen. Fragt man in der Buchhaltung nach, heißt es: nach vier Stunden geht hier nichts mehr. Solche Abweichungen verschieben die gesamte Planung. Aus ihnen folgen Zielzeiten, Ressourcen und Kosten. Zehn ehrlich erhobene Prozesse sind mehr wert als sechzig geschätzte.

Wiederanlaufzeiten ohne Realitätsabgleich

Zielzeiten werden gerne ambitioniert festgelegt. Vier Stunden für den Wiederanlauf klingen gut, besonders gegenüber Kunden. Nur gibt die vorhandene Technik das selten her. Die Rückspielung des Backups dauert allein länger. Ersatzteile haben Lieferzeiten. Und die eine Person, die den Prozess kennt, hat auch mal Urlaub.

Im Ernstfall ist ein solcher Plan wertlos. Er setzt Voraussetzungen voraus, die es im Betrieb nicht gibt. Wir prüfen deshalb jede Zielzeit gegen zwei Fragen: Was leistet die Technik heute? Wer ist verfügbar, um es zu tun? Eine ehrliche Zielzeit von 24 Stunden trägt weiter als eine schöne von vier.

Pläne werden nie geübt

Die Notfallpläne liegen vollständig vor, gegliedert und freigegeben. Nur hat niemand je durchgespielt, ob sie funktionieren. Die Norm verlangt genau das. Es ist der Punkt, der am häufigsten fehlt.

Übungen decken selten Dramatisches auf. Sie decken Banales auf, und das ist im Ernstfall genauso teuer. Telefonlisten sind veraltet. Zugänge hat nur eine Person. Das Passwort liegt im Tresor, und der Tresor ist zu. Diese Dinge findet man in zwei Stunden Trockenübung. Ohne Übung findet man sie am schlechtesten denkbaren Tag.

Verhältnis zu NIS-2 und Informationssicherheit

Handlungsfähigkeit bei Ausfällen ist kein reines Kontinuitätsthema. Sie ist auch eine Anforderung aus dem NIS-2-Umfeld. Wer dort Nachweise erbringen muss, kommt an Wiederanlauf, Krisenkommunikation und Notfallorganisation ohnehin nicht vorbei.

Genauso überschneidet sich die ISO 22301 mit ISO/IEC 27001. Die Informationssicherheitsnorm fordert Verfügbarkeit als Schutzziel und behandelt Kontinuität in eigenen Maßnahmen. Beide Normen greifen auf dieselben Analysen und Pläne zu.

Unser Rat: Wer beides angeht, sollte es zusammen planen. Eine gemeinsame Auswirkungsanalyse, ein Satz Pläne, ein Übungskalender. Getrennt aufgebaut entstehen zwei Systeme, die sich widersprechen. Mehr dazu unter NIS-2-Beratung.

Wie wir begleiten

Wir beginnen mit den Fachbereichen, nicht mit der Norm. In Gesprächen klären wir, welche Prozesse wirklich kritisch sind und ab wann es weh tut. Daraus entsteht eine Auswirkungsanalyse, die auf Aussagen beruht statt auf Annahmen.

Danach gleichen wir Zielzeiten mit der vorhandenen Technik und Personaldecke ab. Erst dann entstehen Strategien und Pläne. Details unter Managementsystem aufbauen.

Zum Schluss üben wir mit Ihnen und prüfen das System im internen Audit. Das gehört zusammen, siehe Interne Audits & GAP-Analysen.

Wer das bei uns macht

Marion Rammé – IRCA certified and registered QMS / EMS / OHSMS Lead Auditor #01194927, mit ISO 22301 im Kompetenzprofil

Ehrlich gesagt: Diese Norm wird bei uns von einer Person abgedeckt. Bei ISO 9001 oder ISO 45001 sind wir breiter aufgestellt. Wenn Sie eine durchgehende Vertretung brauchen, sagen wir Ihnen das vorher. Das Team im Detail

Häufige Fragen

Wie lange dauert es bis zur Zertifizierung?

Rechnen Sie mit sechs bis zwölf Monaten. Der Aufwand liegt weniger im Schreiben als im Erheben. Die Auswirkungsanalyse braucht Gespräche in allen Bereichen, und die kosten Termine. Wer schon ein Managementsystem betreibt, ist meist schneller fertig.

Was kostet das?

Projekte dieser Art bewegen sich typischerweise zwischen 10.000 und 50.000 Euro. Ausschlaggebend sind Unternehmensgröße, Zahl der Standorte und die Anzahl kritischer Prozesse. Die Gebühren der Zertifizierungsstelle kommen separat hinzu.

Wir haben doch schon einen IT-Notfallplan. Reicht das nicht?

Nein, der deckt nur einen Teil ab. Die ISO 22301 fragt nach dem ganzen Betrieb. Dazu gehören Personal, Gebäude, Lieferanten, Maschinen und Kommunikation. Ein IT-Notfallplan ist ein guter Baustein darin, aber eben nur einer.

Wie oft müssen Pläne geübt werden?

Die Norm nennt keine feste Zahl. Bewährt hat sich ein Übungskalender mit mindestens einer Übung pro Jahr je kritischem Prozess. Vieles lässt sich als Trockenübung am Tisch machen. Das kostet zwei Stunden und bringt fast immer Erkenntnisse.

Lohnt sich das für einen kleinen Betrieb?

Der Aufbau lohnt sich fast immer, das Zertifikat nicht zwingend. Kleine Betriebe haben oft die härtesten Abhängigkeiten, weil alles an wenigen Personen hängt. Ob Sie ein Zertifikat brauchen, hängt allein von Ihren Kunden ab. Das sagen wir Ihnen im Erstgespräch ehrlich.

Sprechen wir darüber

Das Erstgespräch ist kostenlos und unverbindlich.

Zum Kontakt