ISO 22301: Business Continuity Management verständlich erklärt

Ein Ausfall trifft jeden Betrieb irgendwann. Nämlich als Cyberangriff, als Stromausfall oder als Ausfall eines Schlüssellieferanten. Dabei ist die Frage nicht, ob es passiert. Sondern wie schnell Sie danach wieder arbeiten. Genau hier setzt ISO 22301 an. Der Standard beschreibt, wie ein Unternehmen den Betrieb auch in einer Krise aufrechterhält. Deshalb lohnt sich ein genauer Blick, gerade für KMU.

Dieser Beitrag erklärt den Standard in verständlicher Sprache. Zunächst geht es um seinen Kern. Danach um die einzelnen Bausteine eines Business Continuity Management Systems. Zudem klären wir die Kennzahlen RTO, RPO und MTPD. Und wir zeigen, wie die Norm mit ISO 27001 und NIS2 zusammenhängt. Das Ziel ist ein pragmatischer Einstieg. Also ein Weg, der auch mit begrenzten Mitteln funktioniert.

Was ISO 22301 regelt

ISO 22301 ist der internationale Standard für Business Continuity Management. Damit meint der Standard die Fähigkeit, wichtige Leistungen auch bei einer Störung zu erbringen. Die aktuelle Fassung stammt aus dem Jahr 2019. Sie beschreibt ein Managementsystem, kurz BCMS. Zudem folgt sie derselben Grundstruktur wie andere ISO-Managementnormen. Deshalb lässt sie sich gut mit bestehenden Systemen verbinden.

Der Kern ist einfach beschrieben. Zunächst identifiziert ein Betrieb seine kritischen Abläufe. Danach plant er, wie er diese Abläufe nach einem Vorfall rasch wieder aufnimmt. Somit geht es nicht nur um IT. Vielmehr betrifft der Standard die ganze Organisation. Also Personal, Standorte, Lieferanten und Prozesse. Den offiziellen Rahmen finden Sie direkt bei der ISO-Organisation zu ISO 22301.

Business Continuity, Notfall und Krise

Drei Begriffe werden oft vermischt. Zunächst der Notfall. Er ist ein akutes Ereignis, etwa ein Serverausfall. Danach die Krise. Sie bedroht den Fortbestand des Betriebs. Somit umfasst Business Continuity beides. Denn sie sorgt dafür, dass der Betrieb weiterläuft. Und zwar auf einem definierten Mindestniveau. Der Standard liefert dafür den strukturierten Rahmen. Ein reiner Notfallmanagement- und BCM-Ansatz baut genau darauf auf.

Warum der Standard für KMU zählt

Große Konzerne haben oft ganze Abteilungen für Kontinuität. Hingegen haben KMU das nicht. Trotzdem trifft sie ein Ausfall härter. Denn Rücklagen und Puffer fehlen. Ein Handwerksbetrieb ohne funktionierende Auftragsverwaltung steht schnell still. Deshalb ist ein einfacher, aber klarer Plan Gold wert. ISO 22301 gibt die Struktur vor, ohne den Betrieb zu überfordern. Denn der Standard skaliert mit der Größe des Unternehmens. Die österreichische Initiative onlinesicherheit.gv.at bietet KMU dazu praktische Hilfen.

Ein Zahlenbeispiel macht den Nutzen greifbar. Fällt die zentrale IT eines Betriebs mit 40 Beschäftigten einen Tag aus, ruhen viele Aufgaben. Bei Personalkosten von einigen Tausend Euro pro Tag summiert sich der Schaden schnell. Dazu kommen verlorene Aufträge und der Vertrauensverlust bei Kunden. Ein durchdachtes BCMS senkt genau diese Ausfallzeit. Somit rechnet sich der Aufwand oft schon beim ersten Vorfall.

Die Kernelemente eines BCMS

ISO 22301 ruht auf mehreren Bausteinen. Sie greifen ineinander und bilden einen Kreislauf. Nämlich den PDCA-Zyklus aus Planen, Umsetzen, Prüfen und Verbessern. Deshalb ist ein BCMS nie fertig. Es entwickelt sich mit dem Betrieb weiter. Wir gehen die wichtigsten Elemente der Reihe nach durch.

Business Impact Analyse und Risikobewertung

Zunächst steht die Business Impact Analyse, kurz BIA. Sie beantwortet eine zentrale Frage. Nämlich: Welche Abläufe sind wirklich kritisch? Dabei bewertet die BIA, wie stark ein Ausfall den Betrieb trifft. Und zwar über die Zeit. Denn ein Ausfall von einer Stunde wiegt anders als einer von einer Woche. Danach folgt die Risikobewertung. Sie prüft, welche Gefahren die kritischen Abläufe bedrohen. Ein strukturiertes IT-Security-Audit liefert dafür oft die Grundlage.

Strategien, Pläne und Übungen

Aus der Analyse folgen die Kontinuitätsstrategien. Sie legen fest, wie ein Ablauf trotz Störung weiterläuft. Beispielsweise über einen Ausweichstandort oder ein Backup-System. Danach entstehen die Notfallpläne. Sie beschreiben konkrete Schritte, Rollen und Kontakte. Dabei ist ein guter Plan kurz und klar. Denn im Ernstfall zählt jede Minute. Wie so ein Plan aussieht, zeigt unser Beitrag zum IT-Notfallplan erstellen.

Pläne allein reichen jedoch nicht. Deshalb verlangt der Standard regelmäßige Übungen. Erst der Test zeigt, ob ein Plan funktioniert. Oft fällt dabei auf, dass eine Telefonliste veraltet ist. Oder dass ein Backup sich nicht sauber einspielen lässt. Genau solche Lücken deckt eine Übung auf. Somit ist sie kein Selbstzweck. Sie macht den Plan verlässlich.

Übungen gibt es in mehreren Stufen. Zunächst der einfache Durchsprech-Test am Tisch. Danach die Simulation eines konkreten Szenarios. Zum Schluss der Ernstfalltest mit echtem Wiederanlauf. Dabei reicht für den Start die kleine Variante. Sie kostet nur wenige Stunden und deckt schon viel auf. Deshalb sollten KMU früh mit einfachen Übungen beginnen. Denn ein ungetesteter Plan gibt nur trügerische Sicherheit.

Kontinuierliche Verbesserung

Der letzte Baustein ist die laufende Verbesserung. Nämlich nach jeder Übung und jedem echten Vorfall folgt eine Auswertung. Was hat funktioniert? Was nicht? Danach fließen die Erkenntnisse zurück in die Pläne. Somit schließt sich der PDCA-Kreis. Dieses Prinzip kennt jeder, der ein ISMS nach ISO 27001 betreibt. Denn auch dort steht die stetige Verbesserung im Zentrum. Wer ein Informationssicherheits-Programm aufbaut, kennt den Rhythmus bereits.

RTO, RPO und MTPD verstehen

Drei Kennzahlen bilden das Herz von ISO 22301. Nämlich RTO, RPO und MTPD. Zwar klingen sie technisch, sind aber leicht erklärt. Zudem entscheiden sie über die konkrete Ausgestaltung Ihrer Pläne. Deshalb lohnt es sich, die Begriffe sauber zu trennen.

Die drei Kennzahlen im Klartext

• RTO (Recovery Time Objective): die Zielzeit für den Wiederanlauf. Also wie schnell ein Ablauf nach der Störung wieder laufen soll. Beispiel: Die Auftragsannahme muss binnen vier Stunden zurück sein.
• RPO (Recovery Point Objective): der maximal tolerierbare Datenverlust. Also wie viel Arbeit im Fall der Fälle verloren gehen darf. Beispiel: höchstens die Daten der letzten Stunde.
• MTPD (Maximum Tolerable Period of Disruption): die maximale Ausfalldauer, bevor der Schaden untragbar wird. Sie bildet die absolute Obergrenze.

Wichtig ist das Verhältnis der Werte. Die RTO muss stets unter der MTPD liegen. Andernfalls droht der Schaden zu groß zu werden. Ein Beispiel verdeutlicht das. Verträgt ein Betrieb höchstens 24 Stunden Ausfall, ist das die MTPD. Die RTO sollte dann klar darunter liegen. Etwa bei acht Stunden. Somit bleibt Puffer für Unvorhergesehenes.

Kennzahlen im direkten Vergleich

Dazu stellt die folgende Tabelle die drei Größen gegenüber. Sie zeigt, welche Frage jede Kennzahl beantwortet und wofür sie zählt.

Diese Werte legen Sie nicht willkürlich fest. Vielmehr leiten Sie sie aus der BIA ab. Denn nur die Analyse zeigt, was ein Ablauf wirklich verträgt. Zudem beeinflussen die Kennzahlen direkt die Kosten. Eine RTO von wenigen Minuten verlangt teure Technik. Eine RTO von einem Tag ist deutlich günstiger. Deshalb ist die ehrliche Einschätzung so wichtig. Sie verhindert, dass Sie zu viel oder zu wenig investieren. Ein guter externer CISO hilft bei dieser Abwägung.

ISO 22301 und ISO 27001 im Zusammenspiel

ISO 22301 und ISO 27001 ergänzen sich eng. Denn beide Normen berühren das Thema Kontinuität. ISO 27001 schützt Informationen. Der Business-Continuity-Standard sichert den gesamten Betrieb. Deshalb greifen sie an einer klaren Schnittstelle ineinander. Wer eine Norm kennt, findet sich in der anderen schnell zurecht.

Die Controls A.5.29 und A.5.30

Zudem verlangt ISO 27001 in Anhang A zwei Controls zur Kontinuität. Zunächst A.5.29. Es sorgt dafür, dass die Informationssicherheit auch in einer Störung erhalten bleibt. Also dass Vertraulichkeit und Integrität nicht wegbrechen. Danach A.5.30. Es zielt auf die technische Wiederanlauffähigkeit der IT. Also darauf, dass Systeme innerhalb der RTO wieder laufen. Beide Controls verlangen dokumentierte und getestete Regelungen.

Genau hier setzt ISO 22301 an. Der Standard liefert die Methode, um A.5.29 und A.5.30 sauber umzusetzen. Denn er beschreibt BIA, Strategien und Pläne im Detail. Somit ist die Norm der natürliche Partner für diese Controls. Ein ISO-27001-Zertifikat allein belegt jedoch kein vollständiges BCMS. Das leistet erst ein eigenes Business-Continuity-System. Wie Sie ein ISMS strukturiert aufsetzen, lesen Sie im Beitrag zu den Schritten beim ISMS-Aufbau.

Ein System, doppelter Nutzen

Für KMU ist die Verbindung ein Vorteil. Denn viele Elemente lassen sich teilen. Etwa die Risikobewertung, das Dokumentenmanagement, die interne Auditlogik. All das nutzen beide Normen. Deshalb müssen Sie das Rad nicht zweimal erfinden. Wer bereits ein ISMS betreibt, hat den halben Weg zum BCMS schon zurückgelegt. Genau diese Synergie senkt den Aufwand spürbar. Wir richten die Sicherheitsrichtlinien nach ISO 27001 von Anfang an so aus, dass die Kontinuität mitgedacht ist. Auch die Vorbereitung auf Ransomware-Angriffe profitiert davon.

ISO 22301 und die NIS2-Pflichten

ISO 22301 spielt auch bei NIS2 eine Rolle. Denn die NIS2-Richtlinie verlangt Business Continuity ausdrücklich. Somit trifft die Norm genau einen wunden Punkt vieler Betriebe. Artikel 21 nennt Backup-Management und Wiederherstellung als Pflicht. Deshalb ist Kontinuität kein Kür-Thema mehr. Für viele Betriebe wird sie zur gesetzlichen Anforderung. Ein Blick auf die Details lohnt sich.

Was NIS2 zur Kontinuität fordert

NIS2 zählt in Artikel 21 mehrere Bereiche auf. Darunter das Backup-Management, die Notfallwiederherstellung und das Krisenmanagement. Genau diese Punkte deckt der Standard methodisch ab. Somit ist er ein direkter Weg zur Erfüllung dieser Pflicht. Wer betroffen ist, findet in der Norm eine bewährte Blaupause. Die volle Liste der Pflichten erklärt unser Beitrag zu den NIS2-Maßnahmen nach Artikel 21. Ob Sie überhaupt betroffen sind, klärt der Beitrag zur NIS2-Betroffenheit.

Dabei unterstützt die europäische Cybersicherheitsagentur. So liefert die ENISA Leitfäden zur Umsetzung der NIS2-Anforderungen. Zudem bietet das deutsche BSI mit seinem Standard zum Notfallmanagement eine praxisnahe Methodik. Beide Quellen ergänzen die ISO-Norm sinnvoll. Denn sie übersetzen die abstrakten Vorgaben in konkrete Schritte.

Ein Fundament für mehrere Pflichten

Ein BCMS nach ISO 22301 zahlt auf mehrere Ziele ein. Es erfüllt NIS2-Anforderungen. Es stützt die ISO-27001-Controls. Und es schützt den Betrieb ganz praktisch. Deshalb ist die Investition selten für nur einen Zweck. Vielmehr deckt sie mehrere Anforderungen gleichzeitig ab. Das macht die Norm auch für Betriebe interessant, die noch kein ISMS haben. Wie NIS2 und ISO 27001 zusammenhängen, erklärt der Beitrag zum ISMS-Aufbau im Detail. Bei Fragen zur konkreten Umsetzung stehen wir über die Kontaktseite bereit.

Zertifizierung: sinnvoll für KMU?

Die Frage nach dem Zertifikat stellt sich früher oder später. Muss ein KMU ISO 22301 zertifizieren lassen? Die kurze Antwort lautet: meist nicht zwingend. Denn Umsetzung und Zertifikat sind zwei verschiedene Dinge. Denn der Nutzen entsteht durch das System selbst. Nicht durch das Zertifikat an der Wand. Trotzdem gibt es Fälle, in denen sich die Zertifizierung lohnt.

Wann sich das Zertifikat lohnt

Ein Zertifikat schafft Vertrauen nach außen. Denn große Kunden verlangen es zunehmend als Nachweis. Ebenso öffentliche Auftraggeber in Ausschreibungen. Wer in solchen Märkten arbeitet, gewinnt mit dem Zertifikat Aufträge. Zudem zwingt die externe Prüfung zur Disziplin. Denn ein Auditor deckt Lücken auf, die intern gern übersehen werden. Somit hebt die Zertifizierung das Niveau. Ähnlich wie bei einem Compliance-Audit im Datenschutz.

Der pragmatische Einstieg ohne Zertifikat

Viele KMU fahren gut mit einem anderen Weg. Sie setzen die Methodik des Standards um, verzichten aber auf die formale Zertifizierung. Somit sparen sie die Kosten für die Prüfstelle. Und sie erhalten trotzdem den vollen Schutz. Denn die Pläne, Übungen und Kennzahlen wirken auch ohne Siegel. Dieser Weg ist gerade zu Beginn sinnvoll. Später lässt sich das Zertifikat immer noch nachholen.

Der Einstieg gelingt in überschaubaren Schritten. Zunächst bestimmen Sie die zwei oder drei kritischsten Abläufe. Danach erstellen Sie für diese eine einfache BIA. Daraus leiten Sie RTO, RPO und MTPD ab. Darauf folgt ein knapper Notfallplan je Ablauf. Zum Schluss testen Sie die Pläne einmal im Jahr. Somit haben Sie ein funktionierendes Mini-BCMS. Es lässt sich später jederzeit ausbauen. Wichtig ist der erste Schritt. Denn ein grober Plan schlägt jede Improvisation im Ernstfall. Wer den Aufbau begleitet haben möchte, erhält über unsere BCM-Beratung Unterstützung.

Ein Wort zu den Kosten. Die reine Methodik kostet vor allem Zeit, kaum Geld. Die Zertifizierung durch eine akkreditierte Stelle verursacht dagegen laufende Gebühren. Diese hängen von der Betriebsgröße ab. Deshalb sollten Sie den Nutzen ehrlich prüfen. Bringt das Siegel neue Aufträge? Dann rechnet es sich. Dient es nur der eigenen Beruhigung? Dann reicht oft die reine Umsetzung von ISO 22301. Die Entscheidung liegt bei Ihnen und Ihrer Marktsituation.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Was ist ISO 22301 in einem Satz?

Es ist der internationale Standard für Business Continuity Management. Er beschreibt, wie ein Unternehmen wichtige Abläufe auch bei einer Störung aufrechterhält. Zudem legt er den Aufbau eines Managementsystems dafür fest. Somit sichert er den Betrieb im Ernstfall.

Worin unterscheiden sich RTO und RPO?

Die RTO gibt die Zielzeit für den Wiederanlauf an. Also wie schnell ein Ablauf zurück sein muss. Der RPO beschreibt den maximal tolerierbaren Datenverlust. Also wie viel Arbeit verloren gehen darf. Beide Werte leiten Sie aus der Business Impact Analyse ab.

Brauche ich ISO 27001, um ISO 22301 zu nutzen?

Nein, der Standard funktioniert eigenständig. Dennoch ergänzen sich beide Normen gut. Denn das BCMS hilft, die Kontinuitäts-Controls A.5.29 und A.5.30 aus ISO 27001 umzusetzen. Wer ein ISMS betreibt, hat den halben Weg schon zurückgelegt.

Erfüllt ISO 22301 die NIS2-Anforderungen?

Zu einem großen Teil ja. NIS2 verlangt in Artikel 21 Backup, Wiederherstellung und Krisenmanagement. Genau diese Punkte deckt der Standard methodisch ab. Somit ist er ein direkter Weg zur Erfüllung dieser Kontinuitätspflicht.

Muss ein KMU ISO 22301 zertifizieren lassen?

Meist nicht zwingend. Der Nutzen entsteht durch das System selbst, nicht durch das Zertifikat. Es lohnt sich vor allem, wenn große Kunden oder Ausschreibungen es verlangen. Andernfalls reicht oft die reine Umsetzung der Methodik.

Wie starte ich klein mit einem BCMS?

Beginnen Sie mit den zwei bis drei kritischsten Abläufen. Erstellen Sie dafür eine einfache Business Impact Analyse. Leiten Sie RTO, RPO und MTPD ab und schreiben Sie einen knappen Notfallplan. Testen Sie ihn einmal im Jahr. Somit entsteht ein funktionierendes Mini-BCMS.

Was bedeutet MTPD im BCM?

MTPD steht für Maximum Tolerable Period of Disruption. Also für die maximale Ausfalldauer, bevor der Schaden untragbar wird. Sie bildet die absolute Obergrenze. Die RTO muss stets deutlich darunter liegen, damit Puffer bleibt.

Fazit: Vorbereitung schlägt Improvisation

ISO 22301 gibt Unternehmen eine klare Struktur für den Ernstfall. Zunächst analysieren Sie die kritischen Abläufe. Danach legen Sie mit RTO, RPO und MTPD fest, was diese Abläufe vertragen. Zum Schluss stehen erprobte Notfallpläne. Somit ersetzen Sie hektische Improvisation durch einen ruhigen, geübten Ablauf. Genau das entscheidet in einer Krise über den Schaden.

Für KMU ist der pragmatische Weg der richtige. Ein kleines, funktionierendes BCMS schlägt ein perfektes Konzept in der Schublade. Zudem zahlt ein BCMS gleich auf mehrere Ziele ein. Es stützt ISO 27001, erfüllt NIS2-Pflichten und schützt den Betrieb. Der beste Zeitpunkt für den ersten Schritt ist jetzt. Denn der nächste Ausfall wartet nicht auf Ihren Plan.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren