ISO 22301.
Organisera verksamhetskontinuitet som ett ledningssystem: från prioriterade leveranser via prövade lösningar till lämpliga underlag.
- ISO 22301:2019 + Amd 1:2024
- Av Jonathan Bezdek
- Aktuellt per: 2026-10-22
- Lästid: 6 min.
Kort svar.
ISO 22301 är den internationella kravstandarden för ledningssystem för kontinuitet, BCMS. Den hjälper organisationer av alla storlekar att förbereda sig för avbrott, upprätthålla viktiga leveranser och återställa driften. ISO 22301:2019 förenar dessa förmågor med löpande utvärdering och förbättring. Oberoende certifiering är ett möjligt intyg om ledningssystemet inom fastställd omfattning.
ISO 22301 och kontinuitetshantering.
ISO 22301 behandlar organisationens kontinuitet som en fortlöpande ledningsuppgift. Business Continuity Management, BCM, förenar verksamhetens prioriteringar med lösningar för avbrott och förmågan att använda dem. Ett BCMS organiserar ansvaret för och underhållet av arbetet. ISO:s offentliga beskrivning anger förberedelse, drift, utvärdering och förbättring av systemet som sammanhängande uppgifter.
Den publicerade grunden är ISO 22301:2019 med Amd 1:2024. Tillägget innehåller klimatrelaterade ändringar. Det är ingen ny grundutgåva ISO 22301:2024. ISO:s produktsida anger en revidering och ett Committee Draft. Ett utkast under utveckling ersätter inte den publicerade standarden och medför här ingen ny övergångsfrist.
En säkerhetskopia eller beredskapsplan är en del av kontinuitetsarbetet. Ett BCMS frågar dessutom vilken leverans som behövs, vilka personer och resurser som bär upp den, vem som beslutar vid avbrott och hur erfarenheter tas in i nästa planering. En befintlig fil styrker därför i första hand planeringen. Om en lösning fungerar måste bedömas separat.
Vem kontinuitetsstandarden passar för.
Enligt ISO:s utgivarbeskrivning passar ISO 22301 organisationer av olika storlek och i olika branscher. Omfattningen kan avse tydligt bestämda delar av en organisation. Avgörande är berörda leveranser och deras beroenden, inte enbart antalet anställda eller befintliga IT-system.
Kunder, avtalspartner eller sektorsbestämmelser kan kräva särskilda kontinuitetsunderlag. Klargör därför först vilken organisationsenhet och vilken leverans som ska bedömas. Även vid utlagd verksamhet förblir gränssnitten viktiga: en leverantör kan planera sin egen återställning medan den sammanhängande leveransen till era kunder fortfarande kräver ytterligare beslut.
Huvudområdena i ett BCMS.
Ett BCMS kopplar samman verksamhetsprioriteringar, genomförbara lösningar och verifierbar drift. Följande områden ger allmän orientering om ISO 22301. De utgör ingen fullständig klausullista eller föreskriven projektstruktur.
Ledning och omfattning.
En ansvarig ledning ger kontinuitetsarbetet riktning och resurser. ISO-broschyren PUB100442 rekommenderar uttryckligen detta stöd vid starten. I driften måste aktuella leveranser, medverkande områden och beslutsbefogenheter hänga ihop. En oklar omfattning lämnar annars öppet om en plan täcker endast en teknisk komponent eller den fullständiga leverans som behövs.
Konsekvenser och prioriteringar.
Verksamhetskonsekvensanalysen bedömer vilka följder ett avbrott får över tid och vilka aktiviteter som därför behöver prioriteras. Den offentliga beskrivningen av ISO/TS 22317:2021 anger BIA som en egen analysprocess. Resultaten måste vara begripliga för ansvariga verksamhetsområden. Ett tekniskt tillgängligt återställningsmål är inte i sig ett bekräftat verksamhetskrav.
Risker och kontinuitetslösningar.
En kontinuitetslösning måste passa förväntade avbrott och nödvändiga leveranser. ISO:s utgivarmeddelande om utgåva 2019 nämner olika orsaker, bland annat leveranskedjeproblem och cyberangrepp. Beakta därför utöver teknik även människor, anläggningar och externa tjänster. Beslutet om en lösning bör tydliggöra dess förutsättningar och begränsningar.
Roller och responsplaner.
Begripliga planer omsätter ett lösningsbeslut i utförbart arbete. ISO-meddelandet från 2019 framhåller tydliga roller och användbara responsplaner. I konkret drift ingår aktivering av responsen, behöriga beslut, nåbara kontakter och överlämning mellan verksamhet och teknik. En ersättare bör kunna se vilket resultat som förväntas.
Övningar och prestationsutvärdering.
En övning prövar ett bestämt påstående om kontinuitetsförmågan. ISO-broschyren rekommenderar en återställningsövning redan för att bedöma utgångsläget. En skrivbordsövning kan pröva beslut och ett tekniskt test återställningen av valda system. Dokumentera den faktiskt prövade omfattningen så att ett begränsat resultat inte blir ett obevisat påstående om hela driften.
Förbättring och förändringar.
Ett BCMS förblir användbart endast om det utvecklas med organisationen. Den offentliga ISO 22301-beskrivningen kopplar uttryckligen löpande utvärdering till förbättring. Ändringar i leveranser, leverantörer, personal eller återställningsvägar kan ogiltigförklara tidigare antaganden. Insikter behöver därför ansvarig hantering och spårbar kontroll av resultatet.
Tillämpa ISO 22301 stegvis.
Avgränsa leveransen.
Börja praktiskt med att välja en viktig leverans och dokumentera vilka organisationsdelar, kunder och gränssnitt som ingår i den aktuella omfattningen.
Bekräfta prioriteringar.
Låt verksamhetsansvariga bedöma avbrottens konsekvenser och nödvändig driftsnivå i stället för att enbart härleda mål ur befintliga tekniska möjligheter.
Bedöm beroenden.
Kartlägg nödvändiga människor, information, system, anläggningar och leverantörer och pröva vilka förutsättningar som kan falla bort samtidigt vid ett avbrott.
Genomför lösningar och roller.
Kom överens om genomförbara reserv- och återställningsvägar med ansvar, beslutsbefogenheter och faktiskt tillgängliga resurser.
Öva avgränsat och spårbart.
Planera en säker övning med angivet scenario och framgångskriterier och dokumentera resultat, inklusive utelämnade delar och nödvändig hjälp.
Följ upp insikter.
Tilldela nödvändiga förbättringar en ansvarig person och pröva den berörda förmågan på nytt innan iakttagelsen betraktas som åtgärdad.
Vad ISO 22301-certifieringen säger.
En ISO 22301-certifiering är ett oberoende intyg om ledningssystemet inom angiven omfattning. ISO-broschyren PUB100442 beskriver certifieringen som ett frivilligt beslut. Enligt ISO:s sida om Certification granskar och certifierar externa organ. ISO utfärdar själv inga certifikat. Ett konkret avtalskrav på underlag behöver dessutom klargöras.
Det konkreta underlaget måste passa organisationen och leveransen som bedöms. Kontrollera utfärdare, angiven omfattning, referensversion och aktuell status inklusive giltighetsdatum. En certifiering lovar varken avbrottsfri drift eller att varje återställningsmål nås i varje situation. Aktuella planer, övningsresultat och hanterade insikter behövs fortfarande för den egna styrningen.
ISO 22301 och andra ramverk.
ISO 27001 organiserar informationssäkerhet, medan ISO 22301 gäller kontinuiteten i prioriterade leveranser. Båda kan beröra samma operativa beroenden. IT-Grundschutz erbjuder med BSI-Standard 200-4 en annan metodisk ingång till kontinuitetsarbete utan att alla underlag därmed blir likvärdiga. NIS2 innehåller egna lagkrav som ett BCMS-certifikat inte generellt uppfyller. ISO 9001 kopplar kvalitetsmål till processansvar och utvärdering. Gemensamma ledningsrutiner kan underlätta samarbete, men respektive fackmål ska prövas separat.
I Secani.
Secani innehåller en redaktionell arbetskatalog för ISO 22301 baserad på utgåva 2019 med Amd 1:2024. Profiluppgifter skiljer bland annat mellan flera anläggningar, kritiska leverantörer och IKT-återställning. Katalogen är ett strukturerat hjälpmedel vars normativa detaljgranskning återstår. Den ansvariga organisationen måste fortsatt själv genomföra och pröva sina kontinuitetslösningar.
Nästa steg.
Börja med en viktig leverans och dess verksamhetsansvariga. Kom överens om vad som ska fortsätta fungera vid ett avbrott och vilka beroenden som måste vara tillgängliga. Välj sedan en begränsad övning som prövar ett av dessa antaganden. Det observerade resultatet ger en tillförlitlig grund för nästa beslut.
Källor.
- ISO 22301:2019 – offentlig utgivarbeskrivning och status
- ISO 22301:2019/Amd 1:2024
- ISO-broschyr PUB100442: Business continuity, 2019
- ISO 22313:2020 – genomförandevägledning för BCMS
- ISO/TS 22317:2021 – verksamhetskonsekvensanalys
- ISO: Certification – externa certifieringsorgan
- ISO: Building resilience, utgivarmeddelande den 31 oktober 2019
Vanliga frågor.
Nej. En säkerhetskopia är bara en del av återställningsförmågan. Nödvändiga människor, åtkomster, applikationer och verksamhetsrutiner måste också beaktas. Ett BCMS organiserar dessa förmågor och deras löpande underhåll.
Nej. Verksamhetskonsekvensanalysen bedömer följderna av ett avbrott. RTO beskriver ett mål för återställningstid och RPO den acceptabla förlusten av aktuella data. Storheterna hänger ihop men besvarar olika frågor.
Nej. Enligt ISO-broschyren är certifiering ett frivilligt beslut om hur arbetet ska styrkas. Krav från kunder eller avtalspartner ska prövas dessutom. Ett BCMS kan drivas även utan certifikat.
Det kan inte avgöras generellt. Övningsplaneringen måste passa aktuell omfattning, risker, förändringar och tillämpliga krav. Ett begränsat test styrker endast den förmåga som faktiskt prövats.
Kontinuitet behöver prövade antaganden.
Diskutera hur ni kan strukturera ert kontinuitetsarbete i Secani.
Denna sida beskriver publicerade standarder övergripande. Relevant standardversion och kraven som gäller för er organisation är avgörande.