ISO 22301

Was ist ISO 22301?

ISO 22301:2019 ist eine internationale Norm mit Anforderungen an ein Business-Continuity-Managementsystem (BCMS), mit dem Organisationen ihre Geschäftskontinuität gegenüber Störungen systematisch vorbereiten, aufrechterhalten und fortlaufend verbessern können.

Technische Einordnung: Die Norm beschreibt einen systematischen Managementansatz für die Geschäftskontinuität. Ihr Gegenstand reicht damit über einen einzelnen Notfall- oder Wiederanlaufplan hinaus.

Für wen und in welchem Umfang ist die Norm anwendbar?

ISO 22301 legt Anforderungen für Einrichtung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines BCMS fest. Sie ist auf Organisationen oder Teile davon unabhängig von Art, Größe und Natur anwendbar. Umfang und Ausgestaltung richten sich nach Kontext, Betriebsumfeld und Komplexität der jeweiligen Organisation. Aus dieser generischen Anwendbarkeit folgt keine allgemeine gesetzliche Anwendungspflicht.

Wann wird ISO 22301 relevant?

Die Norm wird relevant, wenn eine Organisation ein BCMS aufbauen, betreiben, verbessern oder dessen Konformität nachweisen will. Ein bereits eingetretener Notfall ist dafür kein notwendiger Auslöser. Ob ein Gesetz, ein Vertrag oder ein Programm die Anwendung verlangt, ist außerhalb der Norm für den konkreten Fall gesondert zu prüfen.

Warum ist die Norm kein einzelner Notfallplan?

ISO 22301 beschreibt ein Managementsystem und ist daher nicht mit einem einzelnen Notfall- oder Wiederanlaufplan gleichzusetzen. Eine Organisation kann die Norm ohne Zertifizierung anwenden. ISO entwickelt Normen, führt aber selbst keine Zertifizierung durch. Auch eine gesetzliche oder vertragliche Pflicht lässt sich nicht allein aus der Existenz der Norm ableiten.

Welche Fristen und Schwellenwerte gibt es?

Die autoritative ISO-Produktinformation weist keine allgemeine Einführungsfrist und keinen einheitlichen numerischen Schwellenwert für Organisationen aus. Veröffentlichungs- und Überprüfungsdaten der Norm sind keine Einführungsfristen. Organisationsbezogene Zeit- oder Leistungsziele sowie externe Vorgaben müssen gesondert festgelegt beziehungsweise geprüft werden. Konkrete Zielwerte lassen sich aus der frei zugänglichen Produktinformation nicht ableiten.

Welche Fassung ist veröffentlicht?

Veröffentlicht ist ISO 22301:2019, Ausgabe 2 vom Oktober 2019. Dazu gehört das veröffentlichte Amendment ISO 22301:2019/Amd 1:2024. Bei Angaben zur aktuellen Fassung ist dieses Amendment zu berücksichtigen. ISO/CD 22301 ist ein in Entwicklung befindlicher Committee Draft und noch keine veröffentlichte Ersatznorm; er ersetzt die veröffentlichte Ausgabe daher nicht.

Wie sollte ein BCMS gesteuert werden?

Praxisempfehlung: Die Geschäftsleitung sollte ein BCMS als fortlaufenden Managementprozess veranlassen und Planung, Umsetzung, Betrieb, Überwachung, Überprüfung, Aufrechterhaltung und Verbesserung an Kontext und Bedürfnissen der Organisation ausrichten. Das ist keine Aussage über eine allgemeine gesetzliche Einführungs- oder Zertifizierungspflicht.

Häufige Fehlannahmen

• „ISO 22301 ist nur ein Notfallplan.“ Nein. Die Norm betrifft ein Business-Continuity-Managementsystem und nicht nur ein einzelnes Dokument.
• „Wer die Norm anwendet, muss sich zertifizieren lassen.“ Nein. Eine Organisation kann ISO 22301 ohne Zertifizierung anwenden; ISO selbst zertifiziert nicht.
• „Die Norm gilt gesetzlich für jede Organisation.“ Nein. Eine allgemeine Pflicht folgt weder aus ihrer Existenz noch aus ihrer größen- und branchenunabhängigen Anwendbarkeit.
• „ISO/CD 22301 hat die Ausgabe von 2019 bereits ersetzt.“ Nein. Der Committee Draft befindet sich noch in Entwicklung und ist keine veröffentlichte Ersatznorm.
• „Das Veröffentlichungsdatum ist die Einführungsfrist für Organisationen.“ Nein. Veröffentlichungs- und Überprüfungsdaten sind keine allgemeinen Einführungsfristen.

Was die Geschäftsleitung tun sollte

Praxisempfehlung: Die folgenden Schritte dienen der nachvollziehbaren Steuerung und werden nicht als wörtliche Normvorgaben oder allgemeine Rechtspflichten ausgegeben.

1. Kontext, Betriebsumfeld und Bedürfnisse der Organisation erfassen und daraus den Anwendungsumfang des BCMS bestimmen.
2. Planung, Umsetzung und Betrieb des BCMS als zusammenhängenden Managementprozess veranlassen.
3. Verantwortlichkeiten sowie Abläufe für Überwachung und Überprüfung festlegen.
4. Aufrechterhaltung und fortlaufende Verbesserung organisieren und wesentliche Entscheidungen und Überprüfungen nachvollziehbar dokumentieren.
5. Gesondert prüfen, ob im konkreten Fall ein Konformitätsnachweis oder eine externe gesetzliche, vertragliche oder programmbedingte Anforderung besteht.

Für die Geschäftsleitung

Die Reichweite von ISO 22301 umfasst ein fortlaufend gesteuertes BCMS, dessen Ausgestaltung zum Kontext und zur Komplexität der Organisation passen muss. Zu entscheiden sind insbesondere Anwendungsumfang, Verantwortlichkeiten und Steuerungsabläufe; eine Zertifizierung folgt daraus nicht automatisch. Als Nachweis sollten die getroffenen Entscheidungen, Überprüfungen und Verbesserungsmaßnahmen konsistent dokumentiert werden.

Quellen

Quellenbindung: Die Publikationsangaben bezeichnen autoritative ISO-Herausgeberquellen, keine Rechtsquellen. Definition, Reichweite, Managementprozess und allgemeine Produktangaben stützen sich auf die ISO-Broschüre; Zertifizierungs-, Editions-, Amendment- und Entwurfsstatus werden durch die jeweils bezeichneten ISO-Veröffentlichungen belegt. Die frei zugänglichen Fundstellen ersetzen nicht den vollständigen kostenpflichtigen Normtext.

• ISO – ISO 22301: Business continuity (Seiten 1–2: BCMS-Gegenstand, organisationsübergreifende Anwendbarkeit, Managementsystem- und Kontinuitätsbezug)
• ISO – Certification (Abschnitt „ISO does not perform certification“: Rolle von ISO und externen Zertifizierungsstellen)
• ISO/TC 292 – Will ISO 22301 be revised? (ISO 22301:2019 und Ergebnis der periodischen Überprüfung)
• ISO/TC 292 – Projects (Working Group 2: ISO 22301 als laufendes Revisionsprojekt)
• ISO Update – März 2024 (Veröffentlichung von ISO 22301:2019/Amd 1:2024)
• ISO Update – April 2026 (ISO/CD 22301 als in Bearbeitung befindliche Revision; kein veröffentlichter Ersatz für ISO 22301:2019)