ISO 22301 Beratung: Handlungsfähig bleiben, wenn es ernst wird

Ja. Beide Normen haben dieselbe Struktur. Wir nutzen vorhandene Prozesse, Rollen und Dokumente und vermeiden doppelte Arbeit.

Nicht zwingend. Viele Unternehmen bauen ihr BCM nach ISO 22301 auf, um NIS‑2 oder DORA zu erfüllen. Die Zertifizierung ist dann ein optionaler Nachweis gegenüber Kunden.

Die BIA ermittelt, welche Geschäftsprozesse zeitkritisch sind, wie lange sie ausfallen dürfen und welche Ressourcen sie brauchen. Sie ist die Grundlage für alle weiteren BCM-Maßnahmen und für Ihren Action Plan. Mit unserem BIA Readiness Assessment starten Sie strukturiert.

Die Kosten hängen davon ab, was Sie erreichen wollen und was schon vorhanden ist. Wichtige Faktoren sind:

• Anzahl der Standorte und Geschäftsprozesse in der BIA
• vorhandene Notfallpläne und ein bestehendes ISMS
• Umfang der Übungen
• ob Sie eine Zertifizierung anstreben

Das hängt vom Geltungsbereich, der Zahl der zeitkritischen Prozesse und Ihren vorhandenen Strukturen ab. Wer bereits ein ISMS nach ISO 27001 betreibt, kommt meist schneller voran, weil Rollen, Dokumentenlenkung und Audits schon existieren. Nach der Business Impact Analyse erhalten Sie einen realistischen Zeitplan bis zur ersten Übung und, falls gewünscht, bis zum Zertifizierungsaudit.

Die NIS‑2-Richtlinie zählt die Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement ausdrücklich zu den Risikomanagementmaßnahmen. DORA verlangt von Finanzunternehmen eine Leitlinie zur IKT-Geschäftsfortführung sowie Reaktions- und Wiederherstellungspläne, die regelmäßig getestet werden. Ein BCMS nach ISO 22301 liefert die Strukturen und Nachweise, mit denen Sie beide Anforderungen erfüllen. Wie weit Sie die DORA-Anforderungen bereits erfüllen, zeigt das DORA Readiness Assessment. Auch die RKE-Richtlinie verlangt von kritischen Einrichtungen Maßnahmen, um auf Vorfälle zu reagieren und den Betrieb wiederherzustellen.

IT-Notfallmanagement stellt Systeme und Daten nach einem Ausfall wieder her. Business Continuity Management geht weiter: Es betrachtet alle Ressourcen, die ein zeitkritischer Geschäftsprozess braucht, also auch Personal, Gebäude, Lieferanten und Kommunikation. Die Business Impact Analyse legt fest, wie schnell welcher Prozess wieder laufen muss. Daraus leiten sich die Anforderungen an den IT-Wiederanlauf ab. Ein IT-Notfallplan ist damit ein Baustein Ihres BCM.

ISO 22301 verlangt ein Übungsprogramm, mit dem Sie Ihre Pläne regelmäßig prüfen. Bewährt hat sich ein schrittweises Vorgehen:

• Planbesprechung am Tisch mit den Verantwortlichen
• Stabsübung anhand eines realistischen Szenarios
• technische Wiederanlauftests ausgewählter Systeme

Wir konzipieren und moderieren die Übungen, werten sie aus und leiten Verbesserungen für Ihre Pläne ab.