ISO 22301 im Jahr 2026 - Betriebskontinuität ohne Verfahrenstheater

Was ISO 22301 ist und für wen sie gilt

ISO 22301:2019 ^[1] - vollständiger Titel: Security and resilience - Business continuity management systems - Requirements - ist die zweite Ausgabe der Norm und löste die Fassung von 2012 ab. In Polen ist sie als PN-EN ISO 22301 übernommen und das einzige Dokument der Familie 223xx, das Anforderungen enthält und damit zertifizierbar ist. Die übrigen Dokumente der Familie sind Leitfäden:

• ISO 22313 ^[2] - Leitfaden zur Anwendung der ISO 22301, Kapitel für Kapitel.
• ISO/TS 22317 ^[3] - Leitfaden zur Business Impact Analysis (BIA).
• ISO/TS 22318 - Betriebskontinuität in der Lieferkette.
• ISO 22331 - Auswahl der Kontinuitätsstrategie.
• ISO 22398 - Übungs- und Testprogramme.

Stand der Norm im August 2026. In Kraft ist die Ausgabe von 2019 zusammen mit der Änderung ISO 22301:2019/Amd 1:2024, der sogenannten Klimaänderung, die ISO im Februar 2024 in mehreren Dutzend Managementsystemnormen gleichzeitig eingeführt hat. Sie ergänzt die Kapitel 4.1 und 4.2 um die Pflicht zu prüfen, ob der Klimawandel für den Kontext der Organisation relevant ist und ob interessierte Parteien dies erwarten. Für ein BCMS ist das naheliegender als für andere Systeme, denn Hochwasser, Hitze oder Stromausfall sind typische Störungsszenarien. Die Norm selbst trägt im ISO-Katalog den Status International Standard to be revised (Stufe 90.92), was eine Entscheidung zur Vorbereitung einer weiteren Ausgabe bedeutet - bis zu deren Veröffentlichung gilt jedoch die Fassung von 2019.^[1]

Für wen sie in der Praxis gilt

Die Norm ist branchenneutral, die tatsächliche Nachfrage kommt jedoch aus drei Gruppen:

1. Einrichtungen unter dem polnischen KSC-Gesetz und NIS2 - Betriebskontinuität, Verwaltung von Sicherungskopien, Notfallwiederherstellung und Krisenmanagement sind in Artikel 21 der NIS2-Richtlinie ^[5] ausdrücklich unter den Risikomanagementmaßnahmen genannt. Siehe den Artikel zum KSC-Gesetz und den Artikel zu NIS2.
2. Der Finanzsektor unter DORA ^[6] - die Verordnung verlangt eine Leitlinie für die IKT-Betriebskontinuität sowie Reaktions- und Wiederherstellungspläne samt deren regelmäßiger Erprobung.
3. Anbieter kritischer Dienste - ein ISO-22301-Zertifikat wird zunehmend zur Ausschreibungsanforderung oder zur Vertragsbedingung eines Abnehmers, der selbst NIS2 unterliegt und sein Lieferkettenrisiko steuern muss.

Einrichtungen mit öffentlichen Aufgaben, die unter KRI ^[8] fallen (Gesetzblatt 2024 Pos. 773), müssen ein ISMS betreiben, und § 19 Abs. 3 der Verordnung räumt ihnen eine Konformitätsvermutung ein, wenn sie es auf PN-ISO/IEC 27001 samt zugehörigen Normen stützen. Betriebskontinuität ist Teil eines solchen Systems, ISO 22301 ist hier also eine natürliche Erweiterung und keine zusätzliche Bürokratie.

Aufbau der Norm - Kapitel 4 bis 10

ISO 22301 verwendet die harmonisierte Struktur der Managementsystemnormen (Annex SL), dieselbe wie ISO 27001 ^[4], ISO 9001 oder ISO 14001. Das ist keine formale Randnotiz: Eine Organisation mit eingeführtem ISMS kann ein BCMS integrieren, ohne ein zweites, paralleles Managementsystem aufzubauen.

• Kapitel 4 - Kontext der Organisation. Geltungsbereich des BCMS, interessierte Parteien, rechtliche und regulatorische Anforderungen. Hier fällt die Entscheidung, welche Prozesse überhaupt in das System aufgenommen werden.
• Kapitel 5 - Führung. Leitlinie zur Betriebskontinuität, Rollen und Verantwortlichkeiten, Engagement der obersten Leitung. Ohne eine Entscheidung der Geschäftsführung über die hinnehmbare Ausfallzeit ist alles Weitere Raten.
• Kapitel 6 - Planung. Risiken und Chancen, Kontinuitätsziele, Planung von Änderungen.
• Kapitel 7 - Unterstützung. Ressourcen, Kompetenz, Bewusstsein, Kommunikation, dokumentierte Information.
• Kapitel 8 - Betrieb. Der Kern der Norm: BIA, Risikobeurteilung, Kontinuitätsstrategien und -lösungen, Pläne, Reaktionsstruktur, Übungsprogramm.
• Kapitel 9 - Bewertung der Leistung. Überwachung und Messung, internes Audit, Managementbewertung.
• Kapitel 10 - Verbesserung. Nichtkonformitäten, Korrekturmaßnahmen, fortlaufende Verbesserung.

Praktische Schlussfolgerung: Kapitel 8 macht etwa 70 Prozent der Einführungsarbeit aus, und die Kapitel 4 bis 7 sind die Bedingung dafür, dass diese Arbeit überhaupt Sinn ergibt. Organisationen, die mit dem Schreiben von Plänen beginnen und mit dem Kontext enden, schreiben in der Regel Pläne für Prozesse, die sich als unwesentlich erweisen.

Die BIA und die vier Kennzahlen, die alles bestimmen

Die Business Impact Analysis (BIA) ^[3] stellt fest, wie schnell die Folgen einer Unterbrechung jedes Prozesses wachsen und welche Ressourcen er zum Wiederanlauf benötigt. Ergebnis einer BIA ist kein Bericht, sondern vier Zahlen je Prozess.

MTPD - maximal tolerierbare Ausfalldauer

Der Punkt, ab dem die Folgen einer Störung für die Organisation nicht mehr hinnehmbar sind - Liquiditätsverlust, Vertragsstrafen, Verlust der Zulassung, irreversibler Reputationsschaden. Den MTPD legt das Geschäft fest, nicht die IT.

RTO - angestrebte Wiederanlaufzeit

Die Zeit, in der ein Prozess oder System wiederhergestellt sein soll. Sie muss kürzer als der MTPD sein - die Differenz ist der Sicherheitspuffer. Ein RTO gleich dem MTPD bedeutet einen Plan ohne Reserve, der die erste Verzögerung nicht übersteht.

RPO - angestrebter Wiederherstellungspunkt

Der maximal zulässige Datenverlust, ausgedrückt in Zeit. Praktisch ist das RPO die erforderliche Sicherungsfrequenz: ein RPO von 15 Minuten bei nächtlicher Sicherung ist keine Leitlinie, sondern ein Widerspruch.

MBCO - mindestens akzeptables Leistungsniveau

Das Niveau, auf dem die Organisation während einer Störung arbeiten muss. Üblicherweise deutlich unterhalb des Normalbetriebs - und genau darum geht es. Das MBCO erlaubt eine günstigere Ausweichlösung, weil diese nicht die volle Produktionsleistung nachbilden muss.

Der häufigste Fehler: RTO und RPO werden von der IT-Abteilung danach festgelegt, was die vorhandene Infrastruktur leisten kann. Das kehrt die Reihenfolge um - die Kennzahlen sollen sich aus der Toleranz des Geschäfts ergeben, und die Lücke zwischen Anforderung und Leistungsfähigkeit ist genau das, was die BIA offenlegen und einer Investitionsentscheidung zuführen soll.

Kontinuitätsstrategien und -pläne

Sind die Kennzahlen bekannt, verlangt die Norm die Wahl einer Strategie, die sie erfüllt, und deren anschließende Festschreibung in Plänen. Eine deckungsgleiche Methodik der Notfallplanung beschreibt NIST SP 800-34 ^[7]. Die üblichen Varianten:

• Redundanz - zweiter Standort, Cluster, synchrone Replikation. Am teuersten, mit dem kürzesten RTO.
• Wiederherstellung aus der Sicherung - Backup nach dem Schema 3-2-1 mit einer Offline- oder unveränderlichen (immutable) Kopie, die Ransomware standhält. Siehe Hardening.
• Ausweich- oder manuelle Lösung - der Prozess wird bis zur Wiederherstellung des Systems von Hand geführt. Günstig, zeitlich begrenzt, muss geübt sein.
• Verlagerung zu einem Dienstleister - Auslagerung des Prozesses für die Dauer der Störung. Setzt einen vor dem Ereignis geschlossenen Vertrag voraus, nicht einen währenddessen.
• Akzeptanz - die bewusste Entscheidung, einen Prozess nicht kurzfristig wiederherzustellen. Zulässig, sofern dokumentiert und von der Leitung genehmigt.

Kontinuitätspläne müssen von einer Person ausführbar sein, die an ihrer Erstellung nicht beteiligt war, um drei Uhr nachts, ohne Zugang zum Intranet. Daher die Anforderungen der Norm: klare Auslösekriterien, zugewiesene Rollen, Kontaktdaten, Verfahren der internen und externen Kommunikation sowie eine Kopie des Plans außerhalb der wiederherzustellenden Umgebung.

Übungen, Tests und internes Audit

Kapitel 8 verlangt ein Übungs- und Testprogramm. Die Norm gibt kein starres Intervall vor - die Häufigkeit soll sich aus der Kritikalität des Prozesses und den Ergebnissen der Risikobeurteilung ergeben. Die Praxis, die wir bei Kunden anwenden:

1. Stabsrahmenübung (Tabletop) - mindestens einmal jährlich für jeden kritischen Prozess. Das Team bespricht ein Szenario am Tisch, ohne Produktivsysteme anzufassen.
2. Technischer Wiederherstellungstest - vierteljährlich. Wiederherstellung einer zufällig gewählten Sicherungskopie in eine isolierte Umgebung und Prüfung der Vollständigkeit der Daten.
3. Vollübung oder Umschaltung - alle 12 bis 24 Monate, für Organisationen mit kurzer RTO-Anforderung.

Jede Übung endet mit einem Bericht samt Erkenntnissen und Einträgen in den Korrekturmaßnahmenplan. Eine Übung, die erfolgreich verlief und nicht eine einzige Erkenntnis hervorbrachte, bedeutet meist, dass das Szenario zu milde war.

Das interne Audit (Kapitel 9) prüft die Konformität des Systems mit der Norm und dessen Wirksamkeit. Es sollte von einer vom auditierten Bereich unabhängigen Person durchgeführt werden - in kleineren Organisationen üblicherweise extern. Siehe IT-Sicherheitsaudit.

Bezug zu ISO 27001, KSC/NIS2, DORA und KRI

ISO 22301 und ISO 27001

ISO 27001 ^[4] schützt die Information - ihre Vertraulichkeit, Integrität und Verfügbarkeit. ISO 22301 schützt die Handlungsfähigkeit der Organisation - auch dann, wenn das Problem nicht die Information ist, sondern fehlende Menschen, ein fehlendes Gebäude oder ein ausgefallener Lieferant. Der Berührungspunkt ist ausdrücklich benannt: Die Fassung der ISO 27001 von 2022 enthält in Anhang A die Maßnahmen A.5.29 (Informationssicherheit während einer Störung) und A.5.30 (IKT-Bereitschaft für die Betriebskontinuität). Die Maßnahmen selbst beschreibt ISO 27002.

Eine Organisation mit funktionierendem ISMS kann ein BCMS schrittweise einführen: Kontext, Leitlinie, Kompetenzen, internes Audit und Managementbewertung sind gemeinsam; hinzu kommen BIA, Strategien, Pläne und Übungen.

ISO 22301 sowie KSC und NIS2

Das novellierte polnische KSC-Gesetz, in Kraft seit dem 3. April 2026, überführt die Risikomanagementmaßnahmen aus Artikel 21 der NIS2 ^[5] in nationales Recht - darunter Betriebskontinuität, Sicherungskopien, Notfallwiederherstellung und Krisenmanagement. Ein ISO-22301-Zertifikat entbindet von keiner gesetzlichen Pflicht, vereinfacht aber den Konformitätsnachweis im Audit nach Artikel 15 erheblich.

ISO 22301 und DORA

DORA ^[6] gilt für den Finanzsektor seit dem 17. Januar 2025 und verlangt eine Leitlinie für die IKT-Betriebskontinuität, Reaktions- und Wiederherstellungspläne sowie deren regelmäßige Erprobung. ISO 22301 liefert eine fertige Methodik, deckt DORA aber nicht vollständig ab - außerhalb bleiben unter anderem das Informationsregister zu IKT-Dienstleistern, die Meldung von Vorfällen an die Aufsichtsbehörde und TLPT-Tests.

ISO 22301 und KRI

Die KRI-Verordnung (Gesetzblatt 2024 Pos. 773) verpflichtet Einrichtungen mit öffentlichen Aufgaben zum Betrieb eines ISMS (§ 19 Abs. 1) und zu einem jährlichen internen Audit der Informationssicherheit (§ 19 Abs. 2 Nr. 14). Die Stützung des Systems auf PN-ISO/IEC 27001 ist nicht vorgeschrieben - sie begründet eine Konformitätsvermutung (§ 19 Abs. 3). Betriebskontinuität ist Teil dieses Systems, in den Kommunen meist in Gestalt von Wiederherstellungsplänen für Fachverfahren und öffentliche Register. Siehe KRI-Compliance-Audit.

Zertifizierung - Ablauf und Kosten

Das Zertifikat stellt eine akkreditierte Zertifizierungsstelle aus, nicht der Berater, der das System eingeführt hat - dasselbe Unabhängigkeitsprinzip wie beim KSC-Audit. Der Ablauf:

1. Stage 1 - Durchsicht der Dokumentation und der Bereitschaft. Prüfung von Geltungsbereich, Leitlinie, BIA, Plänen und Nachweisen aus dem internen Audit.
2. Stage 2 - Audit der Umsetzung in der Organisation. Gespräche mit Prozessverantwortlichen, Durchsicht der Nachweise aus Übungen, Prüfung der Wirksamkeit.
3. Entscheidung und Ausstellung des Zertifikats - gültig 3 Jahre.
4. Überwachungsaudits - jährlich, in engerem Umfang.
5. Rezertifizierung - im dritten Jahr, in vollem Umfang.

Ein realistischer Einführungszeitraum für eine mittelgroße Organisation liegt bei 6 bis 12 Monaten. Der größte Einzelposten ist nicht das Audit, sondern die technische Lösung, die durch RTO und RPO erzwungen wird - deshalb lohnt es sich, die BIA vor der Entscheidung über eine Zertifizierung durchzuführen und nicht danach.

Die häufigsten Fehler

1. Ein Kontinuitätsplan, von der IT für die IT geschrieben. Es entsteht ein Dokument über die Wiederherstellung von Servern, in dem kein Wort darüber steht, wie der Kundendienst drei Tage ohne System arbeiten soll.
2. RTO und RPO aus den Möglichkeiten der Infrastruktur abgeleitet. Umgekehrte Reihenfolge - die Kennzahlen sollen eine Anforderung sein, keine Beschreibung des Ist-Zustands.
3. Sicherungen ohne Wiederherstellungstest. Der Klassiker, der in jedem Audit wiederkehrt: Kopien werden erstellt, wiederhergestellt hat sie nie jemand. Siehe IT-Sicherheitsaudit.
4. Der Plan liegt nur in dem System, das gerade ausgefallen ist. Eine Kopie des Plans muss außerhalb der wiederherzustellenden Umgebung existieren - auch auf Papier.
5. Lieferanten ausgeklammert. Betriebskontinuität endet nur auf dem Papier an der Grenze der Organisation. Ein kritischer Lieferant ohne eigenen Plan ist ein einzelner Ausfallpunkt.
6. Übungen zur Bestätigung einer These. Ein Szenario, so gewählt, dass es vor der Geschäftsführung gut aussieht. Eine Übung soll Schwachstellen finden, nicht bestätigen, dass es keine gibt.
7. Das Zertifikat als Ziel. Ein System, das ausschließlich für das Audit existiert, erweist sich nach der ersten echten Störung als unbekannt für jene, die es ausführen sollten.

Häufige Fragen

Worin unterscheidet sich ISO 22301 von ISO 27001?

ISO 27001 errichtet ein Informationssicherheits-Managementsystem und schützt Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. ISO 22301 errichtet ein Managementsystem für Betriebskontinuität und betrifft das Überleben der gesamten Organisation: Menschen, Standorte, Lieferanten und Prozesse.

Beide Normen haben dieselbe Struktur der Kapitel 4 bis 10, die Integration ist deshalb naheliegend. Berührungspunkt sind die Maßnahmen A.5.29 und A.5.30 aus Anhang A der ISO 27001:2022.

Was bedeuten MTPD, RTO, RPO und MBCO?

MTPD - die maximal tolerierbare Ausfalldauer, nach der die Folgen nicht mehr hinnehmbar sind. RTO - die angestrebte Wiederanlaufzeit eines Prozesses oder Systems, stets kürzer als der MTPD. RPO - der maximal zulässige Datenverlust in Zeit ausgedrückt, also die erforderliche Sicherungsfrequenz. MBCO - das Mindestleistungsniveau während einer Störung.

Alle vier ergeben sich aus der BIA, entschieden wird durch die Leitung - nicht durch die IT-Abteilung.

Ist ISO 22301 verpflichtend?

Die Norm nicht - die Zertifizierung ist freiwillig. Verpflichtend ist die Betriebskontinuität selbst: NIS2 nennt sie zusammen mit Sicherungskopien, Notfallwiederherstellung und Krisenmanagement unter den Maßnahmen aus Artikel 21, und DORA verpflichtet Finanzunternehmen zu einer Leitlinie für die IKT-Betriebskontinuität.

ISO 22301 ist der am weitesten verbreitete Weg, die Erfüllung dieser Pflichten zu belegen.

Wie lange dauern Einführung und Zertifizierung?

Für eine mittelgroße Organisation 6 bis 12 Monate: Kontext und BIA, Strategiewahl, Pläne, erste Übungen, internes Audit, Managementbewertung.

Die Zertifizierung verläuft zweistufig (Stage 1 für die Dokumentation, Stage 2 für die Umsetzung). Eine akkreditierte Stelle stellt das Zertifikat für 3 Jahre aus, mit jährlichen Überwachungsaudits und Rezertifizierung im dritten Jahr.

Wie oft sollten Kontinuitätspläne getestet werden?

Die Norm verlangt ein Übungsprogramm, gibt aber kein Intervall vor - die Häufigkeit soll sich aus Risikoanalyse und Kritikalität des Prozesses ergeben.

Marktübliche Praxis: eine Stabsrahmenübung mindestens einmal jährlich für jeden kritischen Prozess und ein technischer Wiederherstellungstest jedes Quartal. Eine Sicherung, die nie wiederhergestellt wurde, ist kein Nachweis von Betriebskontinuität - sie ist eine Annahme.