ISO 22301.
Business Continuity als Managementsystem organisieren: von priorisierten Leistungen über erprobte Lösungen bis zum passenden Nachweis.
- ISO 22301:2019 + Amd 1:2024
- Von Jonathan Bezdek
- Stand: 22.10.2026
- Fachlich freigegeben von Jonathan Bezdek am 22.10.2026
- Lesezeit: 7 Min.
Kurzantwort.
ISO 22301 ist die internationale Anforderungsnorm für Business Continuity Management Systeme, kurz BCMS. Sie hilft Organisationen jeder Größe, sich auf Unterbrechungen vorzubereiten, wichtige Leistungen fortzuführen und den Betrieb wiederherzustellen. ISO 22301:2019 verbindet diese Fähigkeiten mit laufender Bewertung und Verbesserung; eine unabhängige Zertifizierung ist ein möglicher Nachweis des Managementsystems im festgelegten Umfang.
ISO 22301 und Business Continuity Management.
ISO 22301 betrachtet die Kontinuität einer Organisation als fortlaufende Managementaufgabe. Business Continuity Management, kurz BCM, verbindet fachliche Prioritäten mit Lösungen für Unterbrechungen und der Fähigkeit, diese Lösungen anzuwenden. Ein BCMS organisiert die Verantwortung und Pflege dieser Arbeit. Die öffentliche ISO-Beschreibung nennt Vorbereitung, Betrieb, Bewertung und Verbesserung des Systems als zusammengehörige Aufgaben.
Die veröffentlichte Grundlage ist ISO 22301:2019 mit Amd 1:2024. Das Amendment ergänzt klimabezogene Änderungen; es ist keine neue Grundausgabe ISO 22301:2024. Die ISO-Produktseite führt eine Überarbeitung und einen Committee Draft auf. Ein Entwurf in Entwicklung ersetzt die veröffentlichte Norm nicht und begründet hier keine neue Umstellungsfrist.
Ein Backup oder ein Notfallplan ist ein Teil der Kontinuitätsarbeit. Ein BCMS fragt zusätzlich, welche Leistung benötigt wird, welche Personen und Ressourcen sie tragen, wer bei einer Unterbrechung entscheidet und wie Erfahrungen in die nächste Planung eingehen. Eine vorhandene Datei belegt deshalb zunächst die Planung; ob eine Lösung funktioniert, muss gesondert betrachtet werden.
Für wen die BCM-Norm geeignet ist.
ISO 22301 eignet sich nach der ISO-Herausgeberbeschreibung für Organisationen unterschiedlicher Größe und Branche. Der Geltungsbereich kann sich auf klar bestimmte Teile einer Organisation beziehen. Entscheidend sind die betroffenen Leistungen und ihre Abhängigkeiten, nicht allein die Zahl der Beschäftigten oder die vorhandenen IT-Systeme.
Kunden, Vertragspartner oder sektorale Vorschriften können besondere Kontinuitätsnachweise verlangen. Klären Sie deshalb zuerst, welche Organisationseinheit und welche Leistung beurteilt werden sollen. Auch bei ausgelagerten Tätigkeiten bleiben die Schnittstellen wichtig: Ein Lieferant kann seine eigene Wiederherstellung planen, während die durchgängige Leistung für Ihre Kunden weiterhin zusätzliche Entscheidungen braucht.
Die Hauptbereiche eines BCMS.
Ein BCMS verbindet geschäftliche Prioritäten, umsetzbare Lösungen und überprüfbaren Betrieb. Die folgenden Bereiche geben eine allgemeine Orientierung zur ISO 22301; sie bilden keine vollständige Klauselliste oder vorgegebene Projektgliederung ab.
Leitung und Geltungsbereich.
Eine verantwortliche Leitung gibt der Kontinuitätsarbeit Richtung und Ressourcen. Die ISO-Broschüre PUB100442 empfiehlt diesen Rückhalt ausdrücklich für den Einstieg. Im Betrieb müssen die betrachteten Leistungen, beteiligten Bereiche und Entscheidungsbefugnisse zusammenpassen. Ein unklarer Umfang lässt sonst offen, ob ein Plan nur eine technische Komponente oder die benötigte Gesamtleistung abdeckt.
Auswirkungen und Prioritäten.
Die Business-Impact-Analyse betrachtet, welche Folgen eine Unterbrechung im Zeitverlauf hat und welche Tätigkeiten deshalb Vorrang brauchen. Die öffentliche Beschreibung von ISO/TS 22317:2021 ordnet die BIA als eigenen Analyseprozess ein. Ihre Ergebnisse müssen für die zuständigen Fachbereiche verständlich sein; ein bloß technisch verfügbares Wiederherstellungsziel ist noch keine bestätigte geschäftliche Anforderung.
Risiken und Kontinuitätslösungen.
Eine Kontinuitätslösung muss zu den erwarteten Unterbrechungen und den benötigten Leistungen passen. Die ISO-Herausgebermeldung zur Ausgabe 2019 nennt verschiedene Ursachen, darunter Lieferkettenprobleme und Cyberangriffe. Betrachten Sie daher neben Technik auch Menschen, Standorte und externe Dienste. Die Entscheidung für eine Lösung sollte ihre Voraussetzungen und Grenzen erkennbar machen.
Rollen und Reaktionspläne.
Verständliche Pläne übersetzen eine Lösungsentscheidung in ausführbare Arbeit. Die ISO-Meldung von 2019 hebt klare Rollen und anwendbare Reaktionspläne hervor. Im konkreten Betrieb gehören dazu die Auslösung der Reaktion, befugte Entscheidungen, erreichbare Kontakte und die Übergabe zwischen Fachbereich und Technik. Eine Vertretung sollte erkennen können, welches Ergebnis von ihr erwartet wird.
Übungen und Leistungsbewertung.
Eine Übung prüft eine bestimmte Aussage über die Kontinuitätsfähigkeit. Die ISO-Broschüre empfiehlt eine Wiederherstellungsübung bereits zur Einschätzung des Ausgangsstands. Ein Planspiel kann Entscheidungen prüfen, ein technischer Test die Wiederherstellung ausgewählter Systeme. Dokumentieren Sie den tatsächlich geprüften Umfang, damit aus einem begrenzten Ergebnis keine unbewiesene Aussage über den gesamten Betrieb wird.
Verbesserung und Änderungen.
Ein BCMS bleibt nur brauchbar, wenn es mit der Organisation weiterentwickelt wird. Die öffentliche ISO-22301-Beschreibung verbindet die laufende Bewertung ausdrücklich mit Verbesserung. Änderungen an Leistungen, Lieferanten, Personal oder Wiederherstellungswegen können frühere Annahmen entkräften. Erkenntnisse brauchen deshalb eine verantwortliche Bearbeitung und eine nachvollziehbare Prüfung des Ergebnisses.
ISO 22301 schrittweise anwenden.
Leistung abgrenzen.
Wählen Sie als praktischen Einstieg eine wichtige Leistung und halten Sie fest, welche Organisationsteile, Kunden und Schnittstellen zum betrachteten Umfang gehören.
Prioritäten bestätigen.
Lassen Sie die fachlich Verantwortlichen die Auswirkungen einer Unterbrechung und das benötigte Betriebsniveau bewerten, statt Ziele allein aus vorhandenen technischen Möglichkeiten abzuleiten.
Abhängigkeiten bewerten.
Erfassen Sie die benötigten Menschen, Informationen, Systeme, Standorte und Lieferanten und prüfen Sie, welche Voraussetzungen bei einer Unterbrechung gleichzeitig ausfallen können.
Lösungen und Rollen umsetzen.
Vereinbaren Sie tragfähige Ausweich- und Wiederherstellungswege mit Zuständigkeiten, Entscheidungsbefugnissen und den dafür tatsächlich verfügbaren Ressourcen.
Begrenzt und nachvollziehbar üben.
Planen Sie eine sichere Übung mit benanntem Szenario und Erfolgskriterien und halten Sie Ergebnisse einschließlich ausgelassener Teile und notwendiger Hilfestellungen fest.
Erkenntnisse nachhalten.
Weisen Sie notwendige Verbesserungen einer verantwortlichen Person zu und prüfen Sie die betroffene Fähigkeit erneut, bevor Sie den Befund als behoben betrachten.
Was die ISO-22301-Zertifizierung aussagt.
Eine ISO-22301-Zertifizierung ist ein unabhängiger Nachweis zum Managementsystem im ausgewiesenen Geltungsbereich. Die ISO-Broschüre PUB100442 beschreibt die Zertifizierung als freiwillige Entscheidung. Nach der ISO-Seite zu Certification prüfen und zertifizieren externe Stellen; ISO selbst vergibt keine Zertifikate. Eine konkrete vertragliche Nachweisanforderung ist zusätzlich zu klären.
Der konkrete Nachweis muss zur betrachteten Organisation und Leistung passen. Prüfen Sie die ausstellende Stelle, den ausgewiesenen Umfang, die Bezugsfassung und den aktuellen Status einschließlich Gültigkeitsdatum. Eine Zertifizierung verspricht weder unterbrechungsfreien Betrieb noch das Erreichen jedes Wiederherstellungsziels in jeder Lage. Für die eigene Steuerung bleiben aktuelle Pläne, Übungsergebnisse und bearbeitete Erkenntnisse erforderlich.
ISO 22301 und andere Frameworks.
ISO 27001 organisiert Informationssicherheit, während ISO 22301 die Kontinuität priorisierter Leistungen betrachtet; beide Aufgaben können dieselben betrieblichen Abhängigkeiten betreffen. IT-Grundschutz bietet mit BSI-Standard 200-4 einen weiteren methodischen Zugang zur Kontinuitätsarbeit, ohne dass damit jeder Nachweis gleichwertig wäre. NIS2 enthält eigene gesetzliche Anforderungen, die durch ein BCMS-Zertifikat nicht pauschal erfüllt sind. ISO 9001 verbindet Qualitätsziele mit Prozessverantwortung und Bewertung; gemeinsame Managementabläufe können die Zusammenarbeit erleichtern, die jeweiligen Fachziele bleiben gesondert zu prüfen.
- ISO 27001Informationssicherheit und den Geltungsbereich eines ISMS einordnen.
- IT-GrundschutzDie BSI-Methodik und ihre Standards zur Sicherheitsorganisation verstehen.
- NIS2Die gesetzlichen Pflichten betroffener Einrichtungen gesondert betrachten.
- ISO 9001Qualitätsmanagement und gemeinsame Prozessverantwortung einordnen.
In Secani.
Secani enthält einen redaktionellen ISO-22301-Arbeitskatalog auf Grundlage der Ausgabe 2019 mit Amd 1:2024. Profilangaben unterscheiden unter anderem mehrere Standorte, kritische Lieferanten und IKT-Wiederherstellung. Der Katalog ist eine strukturierte Arbeitshilfe mit ausstehender normativer Detailprüfung. Die verantwortliche Organisation muss ihre Kontinuitätslösungen weiterhin selbst umsetzen und erproben.
Nächster Schritt.
Beginnen Sie mit einer wichtigen Leistung und ihrer fachlich verantwortlichen Person. Vereinbaren Sie, was bei einer Unterbrechung weiter funktionieren soll und welche Abhängigkeiten dafür verfügbar sein müssen. Wählen Sie anschließend eine begrenzte Übung, die eine dieser Annahmen überprüft. Das beobachtete Ergebnis liefert eine belastbare Grundlage für die nächste Entscheidung.
Quellen.
- ISO 22301:2019 – öffentliche Herausgeberbeschreibung und Status
- ISO 22301:2019/Amd 1:2024
- ISO-Broschüre PUB100442: Business continuity, 2019
- ISO 22313:2020 – Umsetzungshilfe zum BCMS
- ISO/TS 22317:2021 – Business-Impact-Analyse
- ISO: Certification – externe Zertifizierungsstellen
- ISO: Building resilience, Herausgebermeldung vom 31. Oktober 2019
Häufige Fragen.
Nein. Ein Backup ist nur ein Teil der Wiederherstellungsfähigkeit; die benötigten Menschen, Zugänge, Anwendungen und fachlichen Abläufe müssen ebenfalls berücksichtigt werden. Ein BCMS organisiert diese Fähigkeiten und ihre laufende Pflege.
Nein. Die Business-Impact-Analyse bewertet die Folgen einer Unterbrechung; das RTO beschreibt ein Wiederherstellungszeitziel, das RPO den akzeptablen Verlust aktueller Daten. Diese Größen hängen zusammen, beantworten aber unterschiedliche Fragen.
Nein. Nach der ISO-Broschüre ist die Zertifizierung eine freiwillige Nachweisentscheidung; Anforderungen von Kunden oder Vertragspartnern sind zusätzlich zu prüfen. Ein BCMS kann auch ohne Zertifikat betrieben werden.
Das lässt sich nicht pauschal sagen. Die Übungsplanung muss zum betrachteten Umfang, den Risiken, Veränderungen und anwendbaren Anforderungen passen. Ein begrenzter Test belegt nur die tatsächlich geprüfte Fähigkeit.
Kontinuität braucht geprüfte Annahmen.
Besprechen Sie, wie Sie Ihre Kontinuitätsarbeit in Secani strukturieren.
Diese Seite ordnet veröffentlichte Normen allgemein ein. Maßgeblich sind die einschlägige Normfassung und die für Ihre Organisation geltenden Anforderungen.