ISO 22301.
Organiser forretningskontinuitet som et ledelsessystem: fra prioriterede ydelser gennem afprøvede løsninger til passende dokumentation.
- ISO 22301:2019 + Amd 1:2024
- Af Jonathan Bezdek
- Status: 22.10.2026
- Læsetid: 6 min.
Kort svar.
ISO 22301 er den internationale kravstandard for ledelsessystemer for forretningskontinuitet, forkortet BCMS. Den hjælper organisationer af alle størrelser med at forberede sig på afbrydelser, videreføre vigtige ydelser og genoprette driften. ISO 22301:2019 forbinder disse evner med løbende vurdering og forbedring; uafhængig certificering er en mulig dokumentation af ledelsessystemet inden for det fastlagte omfang.
ISO 22301 og Business Continuity Management.
ISO 22301 betragter organisationens kontinuitet som en løbende ledelsesopgave. Business Continuity Management, forkortet BCM, forbinder faglige prioriteter med løsninger til afbrydelser og evnen til at anvende løsningerne. Et BCMS organiserer ansvar og vedligeholdelse af dette arbejde. ISO’s offentlige beskrivelse nævner forberedelse, drift, vurdering og forbedring af systemet som sammenhængende opgaver.
Det offentliggjorte grundlag er ISO 22301:2019 med Amd 1:2024. Ændringen tilføjer klimarelaterede ændringer; det er ikke en ny grundudgave ISO 22301:2024. ISO’s produktside angiver en revision og et Committee Draft. Et udkast under udvikling erstatter ikke den offentliggjorte standard og medfører her ingen ny overgangsfrist.
En backup eller beredskabsplan er en del af kontinuitetsarbejdet. Et BCMS spørger desuden, hvilken ydelse der kræves, hvilke personer og ressourcer der understøtter den, hvem der beslutter ved en afbrydelse, og hvordan erfaringer indgår i næste planlægning. En eksisterende fil dokumenterer derfor først og fremmest planlægningen; om en løsning fungerer, skal vurderes særskilt.
Hvem BCM-standarden egner sig til.
Ifølge ISO’s udgiverbeskrivelse egner ISO 22301 sig til organisationer af forskellige størrelser og brancher. Anvendelsesområdet kan omfatte klart bestemte dele af en organisation. De berørte ydelser og deres afhængigheder er afgørende, og ikke blot antallet af ansatte eller de eksisterende IT-systemer.
Kunder, aftalepartnere eller sektorregler kan kræve særlig kontinuitetsdokumentation. Afklar derfor først, hvilken organisationsenhed og ydelse der skal vurderes. Grænseflader forbliver også vigtige ved outsourcede aktiviteter: En leverandør kan planlægge sin egen genopretning, mens den samlede ydelse til Deres kunder fortsat kræver yderligere beslutninger.
Hovedområderne i et BCMS.
Et BCMS forbinder forretningsmæssige prioriteter, gennemførlige løsninger og kontrollerbar drift. Følgende områder giver generel orientering om ISO 22301; de udgør ikke en fuldstændig klausulliste eller en fast projektstruktur.
Ledelse og anvendelsesområde.
En ansvarlig ledelse giver kontinuitetsarbejdet retning og ressourcer. ISO-brochuren PUB100442 anbefaler udtrykkeligt denne opbakning i starten. I driften skal de betragtede ydelser, involverede områder og beslutningsbeføjelser passe sammen. Et uklart omfang lader ellers stå åbent, om en plan kun dækker en teknisk komponent eller den nødvendige samlede ydelse.
Konsekvenser og prioriteter.
Forretningskonsekvensanalysen undersøger, hvilke følger en afbrydelse har over tid, og hvilke aktiviteter der derfor skal prioriteres. Den offentlige beskrivelse af ISO/TS 22317:2021 beskriver BIA som en selvstændig analyseproces. Resultaterne skal være forståelige for de ansvarlige fagområder; et rent teknisk tilgængeligt genopretningsmål er endnu ikke et bekræftet forretningskrav.
Risici og kontinuitetsløsninger.
En kontinuitetsløsning skal passe til de forventede afbrydelser og de nødvendige ydelser. ISO’s udgivermeddelelse om 2019-udgaven nævner forskellige årsager, herunder forsyningskædeproblemer og cyberangreb. Betragt derfor også mennesker, lokationer og eksterne tjenester sammen med teknikken. Beslutningen om en løsning bør gøre dens forudsætninger og grænser synlige.
Roller og reaktionsplaner.
Forståelige planer omsætter en løsningsbeslutning til udførbart arbejde. ISO-meddelelsen fra 2019 fremhæver klare roller og anvendelige reaktionsplaner. I den konkrete drift omfatter dette aktivering af reaktionen, bemyndigede beslutninger, tilgængelige kontaktpersoner og overdragelse mellem fagområde og teknik. En stedfortræder bør kunne se, hvilket resultat der forventes.
Øvelser og præstationsevaluering.
En øvelse efterprøver et bestemt udsagn om kontinuitetsevnen. ISO-brochuren anbefaler en genopretningsøvelse allerede til vurdering af udgangspunktet. En skrivebordsøvelse kan efterprøve beslutninger, en teknisk test genopretningen af udvalgte systemer. Dokumenter det faktisk undersøgte omfang, så et begrænset resultat ikke bliver til et ubevist udsagn om hele driften.
Forbedring og ændringer.
Et BCMS forbliver kun brugbart, hvis det udvikles med organisationen. Den offentlige ISO 22301-beskrivelse forbinder udtrykkeligt løbende vurdering med forbedring. Ændringer i ydelser, leverandører, personale eller genopretningsveje kan afkræfte tidligere antagelser. Indsigter kræver derfor ansvarlig behandling og sporbar kontrol af resultatet.
Anvend ISO 22301 trin for trin.
Afgræns ydelsen.
Vælg som praktisk begyndelse en vigtig ydelse, og dokumenter, hvilke organisationsdele, kunder og grænseflader der indgår i det betragtede omfang.
Bekræft prioriteter.
Lad de fagligt ansvarlige vurdere konsekvenserne af en afbrydelse og det nødvendige driftsniveau frem for alene at udlede mål af eksisterende tekniske muligheder.
Vurder afhængigheder.
Registrer nødvendige mennesker, informationer, systemer, lokationer og leverandører, og undersøg, hvilke forudsætninger der kan svigte samtidig ved en afbrydelse.
Implementer løsninger og roller.
Aftal holdbare alternative løsninger og genopretningsveje med ansvar, beslutningsbeføjelser og de ressourcer, der faktisk er til rådighed.
Øv afgrænset og sporbart.
Planlæg en sikker øvelse med et angivet scenarie og succeskriterier, og dokumenter resultater inklusive udeladte dele og nødvendig hjælp.
Følg op på indsigter.
Tildel nødvendige forbedringer til en ansvarlig person, og efterprøv den berørte evne igen, før De betragter fundet som afhjulpet.
Hvad ISO 22301-certificeringen siger.
En ISO 22301-certificering er uafhængig dokumentation for ledelsessystemet inden for det angivne anvendelsesområde. ISO-brochuren PUB100442 beskriver certificering som en frivillig beslutning. Ifølge ISO’s side om Certification vurderer og certificerer eksterne organer; ISO udsteder ikke selv certifikater. Et konkret kontraktligt dokumentationskrav skal desuden afklares.
Den konkrete dokumentation skal passe til den betragtede organisation og ydelse. Undersøg udsteder, angivet omfang, referenceudgave og aktuel status inklusive gyldighedsdato. En certificering lover hverken uafbrudt drift eller opfyldelse af alle genopretningsmål i enhver situation. Aktuelle planer, øvelsesresultater og behandlede indsigter er fortsat nødvendige for egen styring.
ISO 22301 og andre rammeværker.
ISO 27001 organiserer informationssikkerhed, mens ISO 22301 ser på kontinuiteten af prioriterede ydelser; begge opgaver kan vedrøre de samme driftsafhængigheder. IT-Grundschutz giver med BSI-Standard 200-4 en anden metodisk tilgang til kontinuitetsarbejdet, uden at al dokumentation dermed er ligeværdig. NIS2 indeholder egne lovkrav, som ikke generelt opfyldes med et BCMS-certifikat. ISO 9001 forbinder kvalitetsmål med procesansvar og evaluering; fælles ledelsesprocedurer kan lette samarbejdet, men de enkelte fagmål skal fortsat undersøges særskilt.
I Secani.
Secani indeholder et redaktionelt ISO 22301-arbejdskatalog baseret på 2019-udgaven med Amd 1:2024. Profiloplysninger skelner blandt andet mellem flere lokationer, kritiske leverandører og IKT-genopretning. Kataloget er et struktureret hjælpemiddel, hvis normative detailkontrol udestår. Den ansvarlige organisation skal fortsat selv implementere og afprøve sine kontinuitetsløsninger.
Næste skridt.
Begynd med en vigtig ydelse og dens fagligt ansvarlige person. Aftal, hvad der skal fungere videre ved en afbrydelse, og hvilke afhængigheder der skal være tilgængelige. Vælg derefter en begrænset øvelse, som efterprøver en af disse antagelser. Det observerede resultat giver et holdbart grundlag for den næste beslutning.
Kilder.
- ISO 22301:2019 – offentlig udgiverbeskrivelse og status
- ISO 22301:2019/Amd 1:2024
- ISO-brochure PUB100442: Business continuity, 2019
- ISO 22313:2020 – implementeringsvejledning til BCMS
- ISO/TS 22317:2021 – forretningskonsekvensanalyse
- ISO: Certification – eksterne certificeringsorganer
- ISO: Building resilience, udgivermeddelelse af 31. oktober 2019
Ofte stillede spørgsmål.
Nej. En backup er kun en del af genopretningsevnen; nødvendige mennesker, adgange, applikationer og faglige procedurer skal også medregnes. Et BCMS organiserer disse evner og den løbende vedligeholdelse.
Nej. Forretningskonsekvensanalysen vurderer følgerne af en afbrydelse; RTO beskriver et mål for genopretningstid, RPO det acceptable tab af aktuelle data. Størrelserne hænger sammen, men besvarer forskellige spørgsmål.
Nej. Ifølge ISO-brochuren er certificering en frivillig dokumentationsbeslutning; krav fra kunder eller aftalepartnere skal desuden undersøges. Et BCMS kan også drives uden certifikat.
Det kan ikke siges generelt. Øvelsesplanlægningen skal passe til det betragtede omfang, risici, ændringer og gældende krav. En begrænset test dokumenterer kun den faktisk afprøvede evne.
Kontinuitet kræver efterprøvede antagelser.
Tal om, hvordan De strukturerer Deres kontinuitetsarbejde i Secani.
Denne side forklarer offentliggjorte standarder generelt. Den relevante standardudgave og de krav, der gælder for Deres organisation, er afgørende.