Definition
Internationaler Standard für Business Continuity Management Systeme (BCMS). Hilft Organisationen, potenzielle Bedrohungen zu identifizieren und die Fähigkeit zur Aufrechterhaltung kritischer Geschäftsprozesse bei Krisen sicherzustellen. Ergänzt klassische Risikomanagementansätze durch konkrete Notfallpläne und Wiederanlaufstrategien.
In der Praxis
Business Continuity scheitert in der Praxis selten am Konzept, sondern an der Ernsthaftigkeit: Die Business Impact Analysis wird als Formularübung abgehakt, die Notfallpläne liegen im Schrank, und niemand hat je getestet, ob die Produktion nach einem Brand oder einem Ransomware-Befall tatsächlich wieder anläuft. Klassiker aus der Beratung: Die Geschäftsleitung nennt RTO- und RPO-Werte, von denen die IT zum ersten Mal im Audit hört — dann stellt sich heraus, dass das Backup-Konzept den geforderten Wiederanlauf gar nicht hergibt. BCM ist Geschäftsprozess-Sicht, kein IT-Notfallhandbuch: Es geht um priorisierte Geschäftsprozesse, Lieferanten, Personal und Kommunikation, nicht nur um Server. Wer Automotive-Kunden hat, kennt die Logik aus den Notfallplan-Anforderungen der IATF 16949 — ISO 22301 macht daraus ein vollständiges, zertifizierbares Managementsystem mit Übungsprogramm und Managementbewertung. Mein Rat: Spielen Sie erst die zehn kritischsten Prozesse realistisch durch, bevor Sie über ein Zertifikat nachdenken.
Verwandte Begriffe
Häufige Fragen zu ISO 22301
Wo liegt der Unterschied zwischen einem BCMS nach ISO 22301 und klassischem IT-Notfallmanagement?
IT-Notfallmanagement — Disaster Recovery — betrachtet die Wiederherstellung von IT-Systemen und Daten. Ein BCMS nach ISO 22301 startet eine Ebene höher: Die Business Impact Analysis priorisiert Geschäftsprozesse danach, welcher Ausfall dem Unternehmen wann wie stark schadet, und leitet daraus Wiederanlaufziele ab (ISO 22301:2019). Die IT-Wiederherstellung ist dann nur eine Teilmenge neben Ersatzbeschaffung, Personalverfügbarkeit, Ausweichflächen und Krisenkommunikation. Praktisch heißt das: RTO- und RPO-Werte dürfen nicht die IT allein definieren, sondern müssen aus der Geschäftsprozess-Priorisierung abgeleitet werden. Wer BCM als IT-Thema abstellt, hat das Konzept nicht verstanden.
Sind wir gesetzlich verpflichtet, Business-Continuity-Maßnahmen vorzuhalten?
Eine allgemeine gesetzliche BCMS-Pflicht für alle Unternehmen gibt es nicht. Für Einrichtungen im Anwendungsbereich von NIS-2 sieht es anders aus: § 30 Abs. 1 BSIG n.F. verpflichtet besonders wichtige und wichtige Einrichtungen zu Risikomanagementmaßnahmen, zu denen nach Abs. 2 auch Krisenmanagement und Geschäftsfortführung gehören. Branchenspezifisch kommen Anforderungen hinzu — die IATF 16949 verlangt dokumentierte, regelmäßig bewertete Notfallpläne für alle Produktionsprozesse, inklusive Kunden-Benachrichtigung bei Lieferunterbrechungen (Kapitel 6.1.2.3). Und auch ohne formale Pflicht fragen Kunden und Versicherer zunehmend nach belastbarer Kontinuitätsplanung. Ein BCMS nach ISO 22301 ist der sauberste Weg, diese Erwartungen gebündelt und auditierbar zu erfüllen.
Wie testen wir unsere Notfallpläne sinnvoll, ohne den Betrieb lahmzulegen?
Bauen Sie ein gestuftes Übungsprogramm auf, wie es ISO 22301 vorsieht. Am unteren Ende stehen Tabletop-Übungen: Das Krisenteam spielt ein Szenario — etwa Ransomware-Befall am Freitagabend — am Konferenztisch durch und prüft, ob Rollen, Eskalationswege und Entscheidungsvorlagen passen. Darüber liegen technische Tests, etwa der echte Restore-Test von Backups oder der Wiederanlauf einer kritischen Anlage aus dem Stand. Die volle Simulation mit Evakuierung oder Produktionsumzug ist die Ausnahme, nicht die Regel. Wichtig ist die Dokumentation: Jede Übung erzeugt Feststellungen, die als Korrekturmaßnahme in die Planüberarbeitung fließen müssen. Ein getesteter Plan mit zehn gefundenen Schwächen ist mehr wert als ein ungetestetes Werk im Schrank.