ISO 22301:2019 ist die internationale Norm für Managementsysteme für die Betriebskontinuität (BCMS), veröffentlicht von der Internationalen Organisation für Normung unter dem offiziellen Titel: Sicherheit und Resilienz, Managementsysteme für die Betriebskontinuität, Anforderungen. Sie gibt Organisationen einen strukturierten Rahmen, um sich auf Störungen wie Cyberangriffe, Lieferantenausfälle, Strom- und IT-Ausfälle oder Naturkatastrophen vorzubereiten, darauf zu reagieren und sich davon zu erholen, sodass kritische Aktivitäten innerhalb vordefinierter Zeitrahmen weiterlaufen. Dieser Leitfaden erklärt Kapitel für Kapitel, was die Norm verlangt, wie Sie sie umsetzen und sich zertifizieren lassen und wie sie sich auf die EU-Verordnung DORA, die NIS2-Richtlinie und die Erwartungen der FINMA an die operationelle Resilienz abbilden lässt.
Wesentliche Unterscheidung
ISO 22301 ist die zertifizierbare Norm in der Normenfamilie zur Betriebskontinuität. ISO 22313 und ISO/TS 22317 bieten Anleitungen, aber nur ISO 22301 legt die Anforderungen fest, gegen die eine Organisation auditiert und zertifiziert werden kann.
Was ist ISO 22301?
Die aktuelle Ausgabe, ISO 22301:2019, hat die Version von 2012 abgelöst, die selbst aus der britischen Norm BS 25999 hervorging. Sie übernimmt Annex SL, die gemeinsame High-Level-Struktur von ISO 27001 und ISO 9001, weshalb sich die drei Normen sauber zu einem einzigen Managementsystem zusammenführen lassen. Das Ziel ist durchgängig die operationelle Verfügbarkeit: im Voraus zu wissen, welche Aktivitäten kritisch sind, wie schnell sie wiederhergestellt werden müssen und was bei einer Störung genau zu tun ist.
Wichtige Begriffe der Betriebskontinuität in ISO 22301
Begriff: BCMS
Begriff: BIA
Begriff: RTO
Begriff: RPO
Begriff: MTPD
Begriff: MBCO
MTPD vs. RTO
Diese beiden werden leicht verwechselt, und das ist ein häufiger Auditbefund. Der MTPD ist die vom Unternehmen gesetzte Obergrenze: der Punkt, ab dem eine Störung irreversiblen Schaden verursacht. Der RTO ist das operative Wiederherstellungsziel, das Sie planen und mit Ressourcen ausstatten, und er muss immer kürzer sein als der MTPD, damit ein Sicherheitspuffer bleibt. Wenn Ihr RTO Ihren MTPD erreicht oder überschreitet, schützt der Plan die Aktivität nicht wirklich.
ISO 22301 vs. ISO 27001: Unterschiede und wann man sie kombiniert
Die beiden Normen werden oft verwechselt. ISO 27001 schützt Informationen; ISO 22301 schützt die Fähigkeit der Organisation, den Betrieb aufrechtzuerhalten. Da beide Annex SL folgen, betreiben viele Organisationen ein einziges integriertes Managementsystem und lassen sich nach beiden zertifizieren.
ISO 22301 vs. ISO 27001 im Überblick
Dimension: Primärer Fokus
Dimension: Schützt
Dimension: Kernanalyse
Dimension: Struktur
Dimension: Zertifizierbar
Dimension: Verwandte Normen
Die Kapitel von ISO 22301 erklärt (Kapitel 4 bis 10)
Die Kapitel 1 bis 3 behandeln Anwendungsbereich, normative Verweise und Begriffe. Die zertifizierbaren Anforderungen stehen in den Kapiteln 4 bis 10 und folgen der Plan-Do-Check-Act-Logik.
Kapitelstruktur von ISO 22301:2019
Kapitel: Kapitel 4: Kontext
Kapitel: Kapitel 5: Führung
Kapitel: Kapitel 6: Planung
Kapitel: Kapitel 7: Unterstützung
Kapitel: Kapitel 8: Betrieb
Kapitel: Kapitel 9: Bewertung der Leistung
Kapitel: Kapitel 10: Verbesserung
Worauf sich Audits konzentrieren
Kapitel 8 ist das Herzstück der Norm und dort landet die meiste Aufmerksamkeit im Audit. Wenn Ihre BIA, Ihre RTO/RPO und Ihre getesteten Pläne schwach sind, gerät die Zertifizierung dort ins Stocken. Investieren Sie deshalb den grössten Aufwand in Kapitel 8.
In der Praxis besteht Kapitel 8 aus vier Bausteinen, die aufeinander aufbauen: die BIA legt fest, was zählt; die Risikobeurteilung zeigt, was schiefgehen kann; die Kontinuitätsstrategien schliessen die Lücke; und die Übungen beweisen, dass alles funktioniert.
Der BCMS-Lebenszyklus (Plan-Do-Check-Act)
ISO 22301 folgt dem Plan-Do-Check-Act-Zyklus, der jedem Annex-SL-Managementsystem zugrunde liegt. Jede Phase ist bestimmten Kapiteln zugeordnet:
Flussdiagramm des Plan-Do-Check-Act-Zyklus von ISO 22301: Plan (Kapitel 4 bis 6: Kontext, Führung, BIA), Do (Kapitel 8: Kontinuitätsstrategien, BCP und DRP), Check (Kapitel 9: Übungen, internes Audit und Managementbewertung), Act (Kapitel 10: Verbesserung), das im Kreis zurück zu Plan führt.
Der BCMS-Lebenszyklus von ISO 22301
Phase: Plan
Phase: Do
Phase: Check
Phase: Act
In der Praxis ist dieser Zyklus keine einmalige Übung: Jede Runde schärft die BIA, verfeinert die Wiederherstellungsziele und schliesst die Lücken, die die letzte Übung aufgedeckt hat.
So setzen Sie ISO 22301 Schritt für Schritt um
Die Umsetzung erfolgt sequenziell: Sie können keine Kontinuitätsstrategien wählen, bevor Sie wissen, welche Aktivitäten kritisch sind und wie schnell sie wiederhergestellt werden müssen. Die Business-Impact-Analyse steuert alles Nachgelagerte.
- Den Anwendungsbereich des BCMS festlegen und das Engagement der obersten Leitung sichern
- Die Leitlinie und die Ziele zur Betriebskontinuität schreiben
- Die Business-Impact-Analyse (BIA) für kritische Aktivitäten durchführen
- RTO, RPO und MTPD für jede kritische Aktivität festlegen
- Eine Risikobeurteilung von Störungsszenarien durchführen
- Kontinuitätsstrategien auswählen und mit Ressourcen ausstatten
- Pläne zur Betriebskontinuität und zur Notfallwiederherstellung dokumentieren
- Mitarbeitende schulen und ein Bewusstseinsprogramm durchführen
- Die Pläne üben und testen, dann die gewonnenen Erkenntnisse festhalten
- Ein internes Audit und eine Managementbewertung durchführen
- Nichtkonformitäten schliessen, dann das Zertifizierungsaudit durchlaufen
Die häufigste Nichtkonformität
Auditoren stellen mehr Befunde für ungetestete Pläne aus als für fehlende Unterlagen. Ein Kontinuitätsplan ist nur so gut wie seine letzte Übung. ISO 22301:2019 (Kapitel 8.5) verlangt, dass Sie gegen Szenarien üben und testen, die für Ihr Risikoprofil realistisch sind, zum Beispiel einen Ransomware-Ausbruch oder den Ausfall eines kritischen Lieferanten, nicht generische Planspiele. Bewahren Sie die Nachweise auf: die Ergebnisse und die anschliessend vorgenommenen Verbesserungen sind genau das, was der Auditor sehen möchte.
Die Organisationen, die eine Krise gut überstehen, sind nicht die mit den dicksten Handbüchern, sondern die, die ihre Pläne zuletzt unter realistischen Bedingungen getestet haben.
Henri Haenni, Lead Trainer Betriebskontinuität, Abilene Academy
ISO 22301 und die regulatorische Landschaft: DORA, NIS2 und FINMA
Hier ist ISO 22301 strategisch wichtig geworden. Eine Welle von Resilienz-Regulierung verlangt genau die Fähigkeiten, die ISO 22301 aufbaut, und obwohl keines dieser Gesetze eine Zertifizierung nach ISO 22301 vorschreibt, gibt Ihnen die Umsetzung der Norm einen belegten, prüfbaren Rahmen, der sich auf jedes von ihnen abbilden lässt.
ISO 22301 und die EU-Verordnung DORA
Der Digital Operational Resilience Act (DORA), der ab dem 17. Januar 2025 für EU-Finanzunternehmen gilt, verlangt eine IKT-Leitlinie zur Betriebskontinuität (Artikel 11) sowie IKT-Reaktions- und Wiederherstellungspläne (Artikel 12). Diese bilden sich direkt auf die BIA, die dokumentierten Pläne, das Testregime und die Managementbewertung von ISO 22301 ab, ergänzt um IKT-spezifische RTO/RPO, die IKT-Kontinuität von Drittparteien und das Informationsregister für kritische Anbieter.
ISO 22301 und die NIS2-Richtlinie
Die NIS2-Richtlinie führt Betriebskontinuität, einschliesslich Backup-Management, Notfallwiederherstellung und Krisenmanagement, ausdrücklich unter ihren geforderten Sicherheitsmassnahmen auf (Artikel 21). NIS2 verlangt keine ISO 22301, aber ihre Umsetzung erfüllt die Pflicht weitgehend und liefert belastbare Nachweise bei aufsichtsrechtlichen Prüfungen, was angesichts der erheblichen Bussgelder und der Verantwortlichkeit der Leitungsorgane wichtig ist.
ISO 22301 und das FINMA-Rundschreiben 2023/1 (die Schweizer Perspektive)
Für Schweizer Finanzinstitute setzt das FINMA-Rundschreiben 2023/1 zu operationellen Risiken und Resilienz den anerkannten Mindeststandard. Es verlangt die Identifikation kritischer Funktionen, vom Verwaltungsrat genehmigte Toleranzen für Störungen, eine BIA mit RTO/RPO, Kontinuitäts- und Wiederherstellungspläne sowie Tests gegen schwerwiegende, aber plausible Szenarien, dieselben Bausteine, die ISO 22301 liefert. Das ist der Heimvorteil für eine Schweizer Organisation: ein zertifiziertes BCMS wird zum Betriebsmodell hinter den FINMA-Resilienzerwartungen.
Die Schweizer Erwartung
Das FINMA-Rundschreiben 2023/1 setzt klare Erwartungen an die operationelle Resilienz: die Identifikation kritischer Geschäftsdienstleistungen, die Festlegung von Auswirkungstoleranzen für jede davon und Tests gegen schwerwiegende, aber plausible Szenarien. Der Nachweis dieser Tests ist oft der schwierigste Teil, und genau hier schliesst ein getestetes, auf ISO 22301 basierendes BCMS die Lücke.
Auch Schweizer Unternehmen ohne Sitz in der EU sind betroffen: Wer als IKT-Dienstleister für EU-Finanzunternehmen tätig ist, fällt über die Vertragskette in den Anwendungsbereich von DORA, und wer wesentliche Dienste in der EU erbringt, kann von NIS2 erfasst werden. Ein auf ISO 22301 basierendes BCMS liefert die gemeinsame Nachweisbasis für beide Seiten der Grenze.
Ein Thema zieht sich durch alle drei Regime: Resilienz lässt sich nicht auslagern. DORA prüft das IKT-Drittparteienrisiko genau, NIS2 verlangt Sicherheit in der Lieferkette, und die FINMA erwartet die Überwachung kritischer ausgelagerter Funktionen. ISO 22301 beantwortet dies in Kapitel 8, das verlangt, dass Kontinuitätsvorkehrungen ausgelagerte Prozesse und wichtige Lieferanten abdecken, sodass Drittparteien innerhalb des Anwendungsbereichs Ihres BCMS liegen und nicht in einem blinden Fleck daneben.
Die praktische Erkenntnis lautet Konvergenz: Statt für jede Regulierung ein eigenes Projekt zu betreiben, können Organisationen ein einziges ISO-22301-Managementsystem aufbauen und es auf DORA, NIS2 und FINMA zugleich abbilden. Die folgende Gegenüberstellung zeigt, wie dieselben Fähigkeiten alle vier erfüllen.
Gegenüberstellung: ISO 22301 abgebildet auf DORA, NIS2 und FINMA
Fähigkeit: Auswirkungsanalyse
Fähigkeit: Kontinuitäts- und Wiederherstellungspläne
Fähigkeit: Tests und Übungen
Fähigkeit: Governance
Fähigkeit: Drittparteienrisiko
Fähigkeit: Verbesserung
ISO-22301-Zertifizierung: Ablauf, Zeitrahmen und Kosten
Organisationen werden von einer akkreditierten Zertifizierungsstelle durch ein zweistufiges Audit zertifiziert und erhalten die Zertifizierung anschliessend über einen Dreijahreszyklus mit jährlichen Überwachungsaudits aufrecht. Der Weg verläuft wie folgt:
- Gap-Analyse gegen die Anforderungen von ISO 22301
- Das BCMS umsetzen und lange genug betreiben, um Aufzeichnungen zu erzeugen
- Stufe-1-Audit: Prüfung der Dokumentation und der Bereitschaft
- Stufe-2-Audit: Prüfung der Umsetzung und der Wirksamkeit
- Zertifikat ausgestellt, gültig für einen Dreijahreszyklus
- Jährliche Überwachungsaudits zur Aufrechterhaltung des Zertifikats
- Rezertifizierung am Ende des Dreijahreszyklus
Zeitrahmen und Kosten hängen von der Grösse der Organisation, der Anzahl der Standorte, dem Reifegrad bestehender Kontinuitätsvorkehrungen und der Zertifizierungsstelle ab. Für eine mittelgrosse Organisation sind sechs bis zwölf Monate vom Start bis zum Zertifikat eine realistische Planungsannahme. Beachten Sie, dass die Gebühren der Zertifizierungsstelle von den Kosten für die Schulung Ihres Umsetzungs- und Auditteams getrennt sind.
Unabhängig von Ihrer Grösse erwartet ein Auditor eine Kernmenge dokumentierter Information:
Die dokumentierte Information, die Auditoren sehen möchten
Dokument: Anwendungsbereich und Leitlinie des BCMS
Dokument: BIA- und Risikobeurteilungsmethode
Dokument: Pläne zur Betriebskontinuität (BCP und DRP)
Dokument: Übungsaufzeichnungen und Ergebnisse
Schulung und berufliche Zertifizierung zu ISO 22301
Individuelle PECB-Zertifizierungen bauen die Kompetenz auf, ein BCMS umzusetzen oder zu auditieren. Wählen Sie die Stufe, die zu Ihrer Rolle passt:
Welcher ISO-22301-Kurs ist der richtige für Sie?
Kurs: Foundation
Kurs: Lead Implementer
Kurs: Lead Auditor
Warum bei Abilene Academy schulen
Abilene Academy ist der einzige PECB Titanium Partner der Schweiz und bietet Schulungen zu ISO 22301 Foundation, Lead Implementer und Lead Auditor auf Deutsch, Englisch, Französisch und Spanisch an, mit dem regulatorischen Kontext (DORA, NIS2, FINMA), der direkt in die Lehre eingebaut ist.
Ob Sie ein BCMS von Grund auf aufbauen oder ein bestehendes gegen die regulatorischen Erwartungen von 2026 abgleichen: Die passende PECB-Zertifizierung verkürzt den Weg von Monaten des Ausprobierens zu einer strukturierten, prüfungssicheren Umsetzung.
Fazit: ein Managementsystem, mehrere Regelwerke
ISO 22301 ist mehr als ein Zertifikat an der Wand. Richtig umgesetzt wird die Norm zum operativen Rückgrat, das eine Organisation durch Cybervorfälle, Lieferantenausfälle und Infrastrukturstörungen trägt, ohne dass kritische Dienste zum Stillstand kommen.
Für regulierte Schweizer und europäische Organisationen ist der eigentliche Gewinn die Konvergenz: Ein einziges, getestetes BCMS erfüllt gleichzeitig die Kontinuitätsanforderungen von DORA, NIS2 und dem FINMA-Rundschreiben 2023/1. Der nächste Schritt besteht darin, Ihr Team so auszubilden, dass es dieses System aufbauen und aufrechterhalten kann.
