ISO 22301.
Organizzare la continuità operativa come sistema di gestione: dalle prestazioni prioritarie alle soluzioni collaudate fino all'attestazione adatta.
- ISO 22301:2019 + Amd 1:2024
- Di Jonathan Bezdek
- Aggiornato al: 22/10/2026
- Tempo di lettura: 7 min.
Risposta breve.
ISO 22301 è la norma internazionale di requisiti per i sistemi di gestione della continuità operativa, in breve BCMS. Aiuta organizzazioni di ogni dimensione a prepararsi alle interruzioni, continuare le prestazioni importanti e ripristinare l'operatività. ISO 22301:2019 collega queste capacità a valutazione e miglioramento continui; una certificazione indipendente può attestare il sistema nell'ambito definito.
ISO 22301 e gestione della continuità operativa.
ISO 22301 considera la continuità di un'organizzazione un compito di gestione continuo. La gestione della continuità operativa, in breve BCM, collega priorità aziendali, soluzioni alle interruzioni e capacità di applicarle. Un BCMS organizza responsabilità e mantenimento di questo lavoro. La descrizione pubblica ISO considera preparazione, funzionamento, valutazione e miglioramento del sistema come compiti collegati.
La base pubblicata è ISO 22301:2019 con Amd 1:2024. L'emendamento aggiunge modifiche relative al clima; non è una nuova edizione di base ISO 22301:2024. La pagina del prodotto ISO riporta una revisione e un Committee Draft. Una bozza in sviluppo non sostituisce la norma pubblicata e non istituisce qui un nuovo termine di transizione.
Un backup o un piano di emergenza è parte del lavoro sulla continuità. Un BCMS chiede inoltre quale prestazione serva, quali persone e risorse la sostengano, chi decida durante un'interruzione e come le esperienze confluiscano nella pianificazione successiva. Un file esistente dimostra quindi anzitutto la pianificazione; il funzionamento di una soluzione richiede una valutazione separata.
A chi è adatta la norma BCM.
Secondo la descrizione dell'editore ISO, ISO 22301 è adatta a organizzazioni di dimensioni e settori diversi. L'ambito può riguardare parti chiaramente definite di un'organizzazione. Contano le prestazioni interessate e le loro dipendenze, non solo il numero di dipendenti o i sistemi IT disponibili.
Clienti, partner contrattuali o disposizioni settoriali possono richiedere attestazioni specifiche di continuità. Chiarite quindi prima quale unità organizzativa e quale prestazione debbano essere valutate. Anche nelle attività esternalizzate le interfacce restano importanti: un fornitore può pianificare il proprio ripristino, mentre la prestazione completa per i vostri clienti richiede ancora decisioni aggiuntive.
Gli ambiti principali di un BCMS.
Un BCMS collega priorità aziendali, soluzioni attuabili e operatività verificabile. Gli ambiti seguenti offrono un orientamento generale su ISO 22301; non rappresentano un elenco completo di clausole né una struttura di progetto prescritta.
Direzione e ambito di applicazione.
Una direzione responsabile fornisce orientamento e risorse al lavoro sulla continuità. La brochure ISO PUB100442 raccomanda espressamente tale sostegno per iniziare. Nell'operatività, prestazioni considerate, aree coinvolte e poteri decisionali devono essere coerenti. Un ambito poco chiaro lascia altrimenti aperto se un piano copra solo una componente tecnica o la prestazione complessiva necessaria.
Impatti e priorità.
L'analisi di impatto sulle attività considera le conseguenze di un'interruzione nel tempo e quali attività richiedano quindi priorità. La descrizione pubblica di ISO/TS 22317:2021 inquadra la BIA come processo di analisi autonomo. I risultati devono essere comprensibili alle funzioni competenti; un obiettivo di ripristino semplicemente disponibile sul piano tecnico non è ancora un requisito aziendale confermato.
Rischi e soluzioni di continuità.
Una soluzione di continuità deve corrispondere alle interruzioni attese e alle prestazioni necessarie. La notizia dell'editore ISO sull'edizione 2019 cita varie cause, tra cui problemi nella catena di approvvigionamento e attacchi informatici. Considerate quindi, oltre alla tecnologia, persone, sedi e servizi esterni. La decisione su una soluzione dovrebbe renderne riconoscibili presupposti e limiti.
Ruoli e piani di risposta.
Piani comprensibili traducono la scelta di una soluzione in lavoro eseguibile. La notizia ISO del 2019 evidenzia ruoli chiari e piani di risposta applicabili. Nell'operatività concreta comprendono attivazione della risposta, decisioni autorizzate, contatti raggiungibili e passaggi tra funzioni aziendali e tecnologia. Un sostituto dovrebbe poter riconoscere il risultato atteso.
Esercitazioni e valutazione delle prestazioni.
Un'esercitazione verifica una dichiarazione specifica sulla capacità di continuità. La brochure ISO raccomanda un'esercitazione di ripristino già per valutare lo stato iniziale. Una simulazione può verificare le decisioni, un test tecnico il ripristino di sistemi selezionati. Documentate l'ambito effettivamente verificato, affinché un risultato limitato non diventi una dichiarazione indimostrata sull'intera operatività.
Miglioramento e cambiamenti.
Un BCMS resta utile solo se evolve con l'organizzazione. La descrizione pubblica ISO 22301 collega espressamente la valutazione continua al miglioramento. Modifiche a prestazioni, fornitori, personale o percorsi di ripristino possono invalidare ipotesi precedenti. Le conoscenze acquisite richiedono quindi una gestione responsabile e una verifica tracciabile del risultato.
Applicare ISO 22301 passo dopo passo.
Delimitare la prestazione.
Come avvio pratico, scegliete una prestazione importante e registrate quali parti dell'organizzazione, clienti e interfacce rientrano nell'ambito considerato.
Confermare le priorità.
Fate valutare ai responsabili di funzione gli impatti di un'interruzione e il livello operativo necessario, anziché derivare gli obiettivi solo dalle possibilità tecniche esistenti.
Valutare le dipendenze.
Rilevate persone, informazioni, sistemi, sedi e fornitori necessari e verificate quali presupposti possano venir meno contemporaneamente durante un'interruzione.
Attuare soluzioni e ruoli.
Concordate percorsi alternativi e di ripristino praticabili con responsabilità, poteri decisionali e risorse effettivamente disponibili.
Esercitarsi in modo circoscritto e tracciabile.
Pianificate un'esercitazione sicura con scenario e criteri di successo definiti e registrate i risultati, comprese parti escluse e assistenza necessaria.
Seguire le conoscenze acquisite.
Assegnate i miglioramenti necessari a una persona responsabile e verificate nuovamente la capacità interessata prima di considerare risolto il rilievo.
Cosa attesta la certificazione ISO 22301.
Una certificazione ISO 22301 è un'attestazione indipendente del sistema di gestione nell'ambito dichiarato. La brochure ISO PUB100442 descrive la certificazione come scelta volontaria. Secondo la pagina ISO Certification, organismi esterni verificano e certificano; ISO non rilascia certificati. Occorre inoltre chiarire eventuali requisiti contrattuali concreti di attestazione.
L'attestazione concreta deve corrispondere all'organizzazione e alla prestazione considerate. Verificate organismo emittente, ambito dichiarato, versione di riferimento e stato attuale, compresa la data di validità. Una certificazione non promette operatività senza interruzioni né il raggiungimento di ogni obiettivo di ripristino in ogni situazione. Per il governo interno restano necessari piani aggiornati, risultati delle esercitazioni e gestione delle conoscenze acquisite.
ISO 22301 e altri framework.
ISO 27001 organizza la sicurezza delle informazioni, mentre ISO 22301 considera la continuità delle prestazioni prioritarie; entrambi i compiti possono riguardare le stesse dipendenze operative. Con BSI-Standard 200-4, IT-Grundschutz offre un ulteriore approccio metodologico alla continuità, senza rendere equivalenti tutte le attestazioni. NIS2 contiene requisiti legali propri che un certificato BCMS non soddisfa in modo generale. ISO 9001 collega obiettivi di qualità, responsabilità dei processi e valutazione; procedure di gestione comuni possono facilitare la collaborazione, ma i rispettivi obiettivi specifici richiedono verifiche separate.
- ISO 27001Inquadrare sicurezza delle informazioni e ambito di un ISMS.
- IT-GrundschutzComprendere la metodologia BSI e i suoi standard per l'organizzazione della sicurezza.
- NIS2Considerare separatamente gli obblighi legali dei soggetti interessati.
- ISO 9001Inquadrare gestione della qualità e responsabilità condivisa dei processi.
In Secani.
Secani contiene un catalogo redazionale di lavoro ISO 22301 basato sull'edizione 2019 con Amd 1:2024. I dati del profilo distinguono, tra l'altro, più sedi, fornitori critici e ripristino TIC. Il catalogo è uno strumento strutturato per il quale la verifica normativa di dettaglio è ancora in sospeso. L'organizzazione responsabile deve continuare ad attuare e collaudare autonomamente le proprie soluzioni di continuità.
Prossimo passo.
Iniziate da una prestazione importante e dalla relativa persona responsabile di funzione. Concordate cosa deve continuare a funzionare durante un'interruzione e quali dipendenze devono essere disponibili. Scegliete poi un'esercitazione limitata che verifichi una di queste ipotesi. Il risultato osservato fornisce una base solida per la decisione successiva.
Fonti.
- ISO 22301:2019: descrizione pubblica dell'editore e stato
- ISO 22301:2019/Amd 1:2024
- Brochure ISO PUB100442: Business continuity, 2019
- ISO 22313:2020: guida all'attuazione del BCMS
- ISO/TS 22317:2021: analisi di impatto sulle attività
- ISO: Certification, organismi di certificazione esterni
- ISO: Building resilience, notizia dell'editore del 31 ottobre 2019
Domande frequenti.
No. Un backup è solo parte della capacità di ripristino; occorre considerare anche persone, accessi, applicazioni e procedure aziendali necessari. Un BCMS organizza queste capacità e il loro mantenimento continuo.
No. La Business Impact Analysis valuta le conseguenze di un'interruzione; l'RTO descrive un obiettivo di tempo di ripristino, l'RPO la perdita accettabile di dati recenti. Sono grandezze collegate, ma rispondono a domande diverse.
No. Secondo la brochure ISO, la certificazione è una scelta volontaria di attestazione; i requisiti di clienti o partner contrattuali richiedono un'ulteriore verifica. Un BCMS può essere gestito anche senza certificato.
Non si può affermare in generale. La pianificazione delle esercitazioni deve corrispondere ad ambito, rischi, cambiamenti e requisiti applicabili. Un test limitato dimostra solo la capacità effettivamente verificata.
La continuità richiede ipotesi verificate.
Parliamo di come strutturare il vostro lavoro sulla continuità in Secani.
Questa pagina inquadra le norme pubblicate in termini generali. Fanno fede la versione pertinente della norma e i requisiti applicabili alla vostra organizzazione.