Was ist ISO 22301?
ISO 22301 legt fest, was ein Managementsystem leisten muss, mit dem eine Organisation zeitkritische Leistungen bei einer Unterbrechung fortführt oder in festgelegter Zeit wieder aufnimmt. Sie ist eine Anforderungsnorm; zertifiziert wird das Managementsystem einer Organisation. Herausgeber ist allein die ISO, die Bezeichnung lautet deshalb ISO 22301, nicht ISO/IEC 22301.
Was zu einem Business Continuity Management insgesamt gehört und wie es aufgebaut wird, beschreibt der Leitfaden Business Continuity Management System aufbauen.
Welche Fassung gilt?
| Dokument | Stand | Bedeutung |
|---|---|---|
| ISO 22301:2019 | Oktober 2019 | geltende internationale Fassung |
| ISO 22301:2019/Amd 1:2024 | Februar 2024 | Änderung 1 „Climate action changes“ |
| DIN EN ISO 22301:2020-06 | Juni 2020 | deutsche Fassung, ersetzt DIN EN ISO 22301:2014-12 |
| DIN EN ISO 22301/A1:2024-12 | Dezember 2024 | deutsche Fassung der Änderung 1 |
Die Änderung 1 ist keine Neuausgabe; wer nach der deutschen Fassung arbeitet, braucht beide Dokumente. Ergänzend nennt der BSI-Standard 200-4 unter anderem ISO 22313:2020 als Leitfaden zur Anwendung von ISO 22301 und ISO/TS 22317:2021 für die Business-Impact-Analyse.
ISO 22301 oder BSI-Standard 200-4?
Der BSI-Standard 200-4 beschreibt den Aufbau eines BCMS in drei Stufen: Reaktiv-BCMS, Aufbau-BCMS und Standard-BCMS. Nach dem Standard ist die Stufe Standard-BCMS konform zu den Anforderungen der ISO 22301:2019. Institutionen mit vollständig eingeführtem und betriebenem Standard-BCMS erreichen damit die Reife, um nach ISO 22301 zertifizierungsfähig zu sein. Eine Zertifizierung zum BSI-Standard selbst ist laut BSI derzeit nicht geplant (Stand: Oktober 2026).
Daraus folgt eine Entscheidungsregel:
| Ausgangslage | Weg |
|---|---|
| Kunde, Ausschreibung oder Vertrag verlangt ein Zertifikat | Aufbau nach ISO 22301 oder bis zur Stufe Standard-BCMS nach BSI-Standard 200-4, dann Zertifizierung nach ISO 22301 |
| knappe Ressourcen, kein Zertifikat gefordert | Einstieg mit Reaktiv-BCMS oder Aufbau-BCMS nach BSI-Standard 200-4, später Ausbau zum Standard-BCMS |
| ISMS nach ISO/IEC 27001 vorhanden | BCMS auf den vorhandenen Managementsystem-Prozessen aufbauen; Business-Impact-Analyse und Pläne ergänzen |
| Arbeit mit IT-Grundschutz | BSI-Standard 200-4 mit seinen Dokumentvorlagen; der Anforderungskatalog des BSI enthält ein Mapping auf ISO 22301:2019 |
Wer den Weg über den BSI-Standard wählt, findet eine Gliederung in der Notfallplan-Vorlage und Beispieltexte in den Hilfsmitteln des BSI.
Verlangen NIS2 oder DORA ISO 22301?
Keines der beiden Regelwerke verlangt ein Zertifikat nach ISO 22301. Beide verlangen aber Geschäftsfortführung:
| Regelwerk | Fundstelle | Was verlangt wird |
|---|---|---|
| BSIG | § 30 Abs. 2 Satz 2 Nr. 3 | Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement als Mindestmaßnahme |
| DORA | Art. 11 Abs. 1 der Verordnung (EU) 2022/2554 | eine umfassende IKT-Geschäftsfortführungsleitlinie als Teil des IKT-Risikomanagementrahmens |
§ 30 BSIG gilt für besonders wichtige und wichtige Einrichtungen. Nach § 28 Abs. 5 BSIG gilt er grundsätzlich nicht für Betreiber öffentlicher Telekommunikationsnetze, Anbieter öffentlich zugänglicher Telekommunikationsdienste und Energieunternehmen, die den §§ 5c bis 5e EnWG unterliegen. Nach § 28 Abs. 6 BSIG gilt er auch nicht für Finanzunternehmen nach DORA. Ein BCMS nach ISO 22301 ist eine Möglichkeit, diese Pflichten strukturiert umzusetzen und zu belegen.
Verhältnis zu ISO/IEC 27001
ISO beschreibt ISO 22301 als integrierbar mit anderen ISO-Managementsystemnormen. Mit ISO/IEC 27001 lassen sich deshalb Leitung, Kompetenz, dokumentierte Information, internes Audit und Managementbewertung gemeinsam führen. Getrennt bleibt die Analyse: Ein ISMS geht von Risiken für Vertraulichkeit, Integrität und Verfügbarkeit aus, ein BCMS von der Ausfallwirkung auf Geschäftsprozesse.
Anhang A von ISO/IEC 27001 enthält mit 5.29 die Informationssicherheit bei Störungen und mit 5.30 die IKT-Bereitschaft für Business Continuity. Beide Maßnahmen sichern Informationen und IKT während einer Unterbrechung; Business-Impact-Analyse, Kontinuitätsstrategien und Pläne für die Geschäftsprozesse liefert erst ein BCMS.