ISO 22301.
Järjestäkää liiketoiminnan jatkuvuus hallintajärjestelmäksi: priorisoiduista palveluista harjoiteltuihin ratkaisuihin ja sopivaan näyttöön.
- ISO 22301:2019 + Amd 1:2024
- Kirjoittaja: Jonathan Bezdek
- Tilanne: 22.10.2026
- Lukuaika: 5 min.
Lyhyt vastaus.
ISO 22301 on kansainvälinen liiketoiminnan jatkuvuuden hallintajärjestelmien eli BCMS-järjestelmien vaatimusstandardi. Se auttaa kaikenkokoisia organisaatioita varautumaan keskeytyksiin, jatkamaan tärkeitä palveluja ja palauttamaan toiminnan. ISO 22301:2019 yhdistää nämä kyvykkyydet jatkuvaan arviointiin ja parantamiseen. Riippumaton sertifiointi on yksi mahdollinen osoitus hallintajärjestelmästä määritellyllä soveltamisalalla.
ISO 22301 ja liiketoiminnan jatkuvuuden hallinta.
ISO 22301 tarkastelee organisaation jatkuvuutta jatkuvana johtamistehtävänä. Liiketoiminnan jatkuvuuden hallinta eli BCM yhdistää toiminnalliset prioriteetit keskeytystilanteiden ratkaisuihin ja kykyyn käyttää niitä. Jatkuvuuden hallintajärjestelmä eli BCMS järjestää työn vastuut ja ylläpidon. ISO:n julkinen kuvaus esittää valmistelun, toiminnan, arvioinnin ja parantamisen toisiinsa liittyvinä tehtävinä.
Julkaistu perusta on ISO 22301:2019 ja Amd 1:2024. Muutos lisää ilmastoon liittyviä täydennyksiä. Kyse ei ole uudesta ISO 22301:2024-perusversiosta. ISO:n tuotesivu mainitsee uudistustyön ja Committee Draft -luonnoksen. Kehitteillä oleva luonnos ei korvaa julkaistua standardia eikä muodosta tässä uutta siirtymäaikaa.
Varmuuskopio tai valmiussuunnitelma on osa jatkuvuustyötä. Hallintajärjestelmä kysyy lisäksi, mitä palvelua tarvitaan, mitkä henkilöt ja resurssit sitä tukevat, kuka päättää keskeytystilanteessa ja miten kokemukset siirtyvät seuraavaan suunnitelmaan. Olemassa oleva tiedosto osoittaa siksi ensisijaisesti suunnittelun. Ratkaisun toimivuus on arvioitava erikseen.
Kenelle jatkuvuuden hallinnan standardi sopii.
ISO:n julkaisijakuvauksen mukaan ISO 22301 sopii eri kokoisille ja eri toimialojen organisaatioille. Soveltamisala voi koskea selkeästi määriteltyjä organisaation osia. Ratkaisevia ovat asianomaiset palvelut ja niiden riippuvuudet, eivät pelkästään henkilöstömäärä tai olemassa olevat tietojärjestelmät.
Asiakkaat, sopimuskumppanit tai alakohtaiset säännökset voivat vaatia erityistä jatkuvuusnäyttöä. Selvittäkää siksi ensin arvioitava organisaatioyksikkö ja palvelu. Rajapinnat ovat tärkeitä myös ulkoistetuissa toiminnoissa: toimittaja voi suunnitella oman palautumisensa, vaikka asiakkaille toimitettava kokonaispalvelu tarvitsee edelleen lisäpäätöksiä.
Jatkuvuuden hallintajärjestelmän pääalueet.
Jatkuvuuden hallintajärjestelmä yhdistää liiketoiminnan prioriteetit, toteuttamiskelpoiset ratkaisut ja todennettavan toiminnan. Seuraavat alueet antavat yleiskuvan ISO 22301:stä. Ne eivät muodosta täydellistä vaatimuskohtaluetteloa tai määrättyä projektirakennetta.
Johto ja soveltamisala.
Vastuullinen johto antaa jatkuvuustyölle suunnan ja resurssit. ISO:n esite PUB100442 suosittelee tätä tukea nimenomaisesti aloitukseen. Toiminnassa tarkasteltavien palvelujen, osallistuvien yksiköiden ja päätösvaltuuksien on sovittava yhteen. Epäselvä laajuus jättää muutoin avoimeksi, kattaako suunnitelma vain teknisen komponentin vai tarvittavan kokonaispalvelun.
Vaikutukset ja prioriteetit.
Liiketoiminnan vaikutusanalyysi tarkastelee keskeytyksen seurauksia ajan kuluessa ja sen vuoksi etusijalle asetettavia toimintoja. ISO/TS 22317:2021:n julkinen kuvaus määrittää BIA:n omaksi analyysiprosessikseen. Tulosten on oltava vastuullisten toimintayksiköiden ymmärrettävissä. Pelkkä teknisesti mahdollinen palautumistavoite ei vielä ole vahvistettu liiketoimintavaatimus.
Riskit ja jatkuvuusratkaisut.
Jatkuvuusratkaisun on vastattava odotettuja keskeytyksiä ja tarvittavia palveluja. ISO:n julkaisijatiedote vuoden 2019 versiosta mainitsee eri syitä, kuten toimitusketjuongelmat ja kyberhyökkäykset. Tarkastelkaa siksi tekniikan lisäksi ihmisiä, toimipaikkoja ja ulkoisia palveluja. Ratkaisupäätöksen on hyvä osoittaa sen edellytykset ja rajat.
Roolit ja toimintasuunnitelmat.
Ymmärrettävät suunnitelmat muuttavat ratkaisupäätöksen suoritettavaksi työksi. ISO:n vuoden 2019 tiedote korostaa selkeitä rooleja ja sovellettavia toimintasuunnitelmia. Konkreettisessa toiminnassa tähän kuuluvat reagoinnin käynnistäminen, valtuutetut päätökset, tavoitettavat yhteystiedot ja siirtymät toimintayksikön ja tekniikan välillä. Sijaisen on voitava ymmärtää häneltä odotettu tulos.
Harjoitukset ja suorituskyvyn arviointi.
Harjoitus testaa tiettyä väitettä jatkuvuuskyvystä. ISO:n esite suosittelee palautumisharjoitusta jo lähtötilanteen arviointiin. Pöytäharjoitus voi arvioida päätöksiä, tekninen testi valittujen järjestelmien palauttamista. Dokumentoikaa todellinen testattu laajuus, jotta rajatusta tuloksesta ei johdeta todistamatonta väitettä koko toiminnasta.
Parantaminen ja muutokset.
Jatkuvuuden hallintajärjestelmä säilyy hyödyllisenä vain kehittyessään organisaation mukana. ISO 22301:n julkinen kuvaus yhdistää jatkuvan arvioinnin nimenomaisesti parantamiseen. Palvelujen, toimittajien, henkilöstön tai palautumisreittien muutokset voivat kumota aiempia oletuksia. Havainnot tarvitsevat siksi vastuullisen käsittelyn ja tuloksen jäljitettävän arvioinnin.
ISO 22301:n vaiheittainen soveltaminen.
Rajatkaa palvelu.
Valitkaa käytännön aluksi tärkeä palvelu ja kirjatkaa tarkasteluun kuuluvat organisaation osat, asiakkaat ja rajapinnat.
Vahvistakaa prioriteetit.
Pyytäkää toiminnasta vastaavia arvioimaan keskeytyksen vaikutukset ja tarvittava toimintataso sen sijaan, että tavoitteet johdettaisiin vain nykyisistä teknisistä mahdollisuuksista.
Arvioikaa riippuvuudet.
Kartoittakaa tarvittavat ihmiset, tiedot, järjestelmät, toimipaikat ja toimittajat sekä arvioikaa, mitkä edellytykset voivat keskeytyksessä poistua samanaikaisesti.
Toteuttakaa ratkaisut ja roolit.
Sopikaa toteuttamiskelpoisista vara- ja palautumisratkaisuista vastuineen, päätösvaltuuksineen ja tosiasiallisesti käytettävissä olevine resursseineen.
Harjoitelkaa rajatusti ja jäljitettävästi.
Suunnitelkaa turvallinen harjoitus nimettyine skenaarioineen ja onnistumiskriteereineen sekä kirjatkaa tulokset, pois jätetyt osat ja tarvittu apu.
Seuratkaa havaintoja.
Osoittakaa tarvittavat parannukset vastuuhenkilölle ja arvioikaa asianomainen kyvykkyys uudelleen ennen havainnon katsomista korjatuksi.
Mitä ISO 22301 -sertifiointi osoittaa.
ISO 22301 -sertifiointi on riippumaton osoitus hallintajärjestelmästä ilmoitetulla soveltamisalalla. ISO:n esite PUB100442 kuvaa sertifioinnin vapaaehtoiseksi päätökseksi. ISO:n Certification-sivun mukaan ulkoiset elimet tarkastavat ja sertifioivat. ISO itse ei myönnä sertifikaatteja. Konkreettinen sopimukseen perustuva näyttövaatimus on selvitettävä lisäksi.
Konkreettisen näytön on vastattava tarkasteltavaa organisaatiota ja palvelua. Tarkistakaa myöntäjä, ilmoitettu soveltamisala, viiteversio ja nykyinen tila voimassaolopäivineen. Sertifiointi ei lupaa keskeytymätöntä toimintaa eikä jokaisen palautumistavoitteen saavuttamista kaikissa tilanteissa. Omaan ohjaukseen tarvitaan edelleen ajantasaiset suunnitelmat, harjoitustulokset ja käsitellyt havainnot.
ISO 22301 ja muut viitekehykset.
ISO 27001 järjestää tietoturvaa, kun taas ISO 22301 tarkastelee priorisoitujen palvelujen jatkuvuutta. Molemmat voivat koskea samoja toiminnallisia riippuvuuksia. IT-Grundschutz tarjoaa BSI-standardin 200-4 kautta toisen menetelmällisen lähestymistavan jatkuvuustyöhön. Tämä ei tee kaikesta näytöstä samanarvoista. NIS2 sisältää omat lakisääteiset vaatimuksensa, joita jatkuvuuden hallintajärjestelmän sertifikaatti ei yleisesti täytä. ISO 9001 yhdistää laatutavoitteet prosessivastuuseen ja arviointiin. Yhteiset hallintamenettelyt voivat helpottaa yhteistyötä, mutta kunkin aihealueen tavoitteet on arvioitava erikseen.
- ISO 27001Tutustukaa tietoturvaan ja sen hallintajärjestelmän soveltamisalaan.
- IT-GrundschutzTutustukaa BSI:n menetelmään ja turvallisuusorganisaation standardeihin.
- NIS2Tarkastelkaa soveltamisalaan kuuluvien toimijoiden lakisääteisiä velvollisuuksia erikseen.
- ISO 9001Tutustukaa laadunhallintaan ja yhteiseen prosessivastuuseen.
Secanissa.
Secani sisältää toimituksellisen ISO 22301 -työluettelon vuoden 2019 version ja muutoksen Amd 1:2024 pohjalta. Profiilitiedoissa erotellaan muun muassa useat toimipaikat, kriittiset toimittajat ja TVT-palautuminen. Luettelo on jäsennelty apuväline, jonka yksityiskohtainen normatiivinen arviointi on vielä tekemättä. Vastuullisen organisaation on edelleen itse toteutettava ja harjoiteltava jatkuvuusratkaisunsa.
Seuraava vaihe.
Aloittakaa tärkeästä palvelusta ja sen toiminnallisesta vastuuhenkilöstä. Sopikaa, minkä on toimittava keskeytyksen aikana ja minkä riippuvuuksien on oltava käytettävissä. Valitkaa sitten rajattu harjoitus, joka testaa yhden näistä oletuksista. Havaittu tulos antaa luotettavan perustan seuraavalle päätökselle.
Lähteet.
- ISO 22301:2019 – julkinen julkaisijakuvaus ja tila
- ISO 22301:2019/Amd 1:2024
- ISO-esite PUB100442: Business continuity, 2019
- ISO 22313:2020 – jatkuvuuden hallintajärjestelmän toteutusohje
- ISO/TS 22317:2021 – liiketoiminnan vaikutusanalyysi
- ISO: Certification – ulkoiset sertifiointielimet
- ISO: Building resilience, julkaisijatiedote 31.10.2019
Usein kysytyt kysymykset.
Ei. Varmuuskopio on vain osa palautumiskykyä. Myös tarvittavat ihmiset, pääsyoikeudet, sovellukset ja toiminnalliset menettelyt on huomioitava. Jatkuvuuden hallintajärjestelmä järjestää nämä kyvykkyydet ja niiden jatkuvan ylläpidon.
Eivät. Liiketoiminnan vaikutusanalyysi arvioi keskeytyksen seurauksia. RTO kuvaa palautumisaikatavoitetta ja RPO hyväksyttävää uusimpien tietojen menetystä. Nämä suureet liittyvät toisiinsa, mutta vastaavat eri kysymyksiin.
Ei. ISO:n esitteen mukaan sertifiointi on vapaaehtoinen todentamispäätös. Asiakkaiden tai sopimuskumppanien vaatimukset on arvioitava lisäksi. Jatkuvuuden hallintajärjestelmää voidaan ylläpitää myös ilman sertifikaattia.
Yleispätevää vastausta ei ole. Harjoitussuunnittelun on vastattava tarkasteltavaa laajuutta, riskejä, muutoksia ja sovellettavia vaatimuksia. Rajattu testi osoittaa vain todella testatun kyvykkyyden.
Jatkuvuus tarvitsee testattuja oletuksia.
Keskustelkaa siitä, miten jäsennätte jatkuvuustyönne Secanissa.
Tämä sivu antaa yleiskuvan julkaistuista standardeista. Ratkaisevia ovat asianomainen standardiversio ja organisaatioonne sovellettavat vaatimukset.