Fast jede Organisation hat Backups. Nur sehr wenige wissen, wie lange es nach einer schweren Störung tatsächlich dauern würde, den Betrieb wieder aufzunehmen, oder welche Prozesse zuerst zurückkommen müssen. Genau diese Lücke, zwischen Backups haben und Kontinuität haben, bringt ISO 22301 in Ordnung. In diesem Artikel erläutere ich, was die Norm verlangt, wie Sie eine Auswirkungsanalyse durchführen, die wirklich beim Entscheiden hilft, was RTO und RPO bedeuten, wenn es um Geld geht, warum ein nie geprüfter Plan nicht zählt und wie all das zu dem passt, was ISO 27001, NIS 2 und DORA bereits von Ihnen verlangen.
Was ISO 22301 ist und welches Problem sie löst
ISO 22301:2019 ist die internationale Norm für Managementsysteme zur Geschäftskontinuität. Sie ist kein Handbuch zur IT-Wiederherstellung: Sie ist ein Rahmen, mit dem eine Organisation feststellt, welche Tätigkeiten sie nicht verlieren darf, für wie lange, und was sie bereithält, um sie aufrechtzuerhalten, wenn etwas ausfällt.
Der Unterschied zu einem Notfallwiederherstellungsplan liegt in Umfang und Zweck. Die Wiederherstellung betrachtet Systeme; die Kontinuität betrachtet das Geschäft: Menschen, Standorte, Lieferanten, Prozesse und Daten. Ein gespiegeltes Rechenzentrum ist nichts wert, wenn das Team, das den kritischen Prozess betreibt, nicht arbeiten kann und niemand entschieden hat, wer die Krise ausruft.
Wie die anderen Normen für Managementsysteme folgt sie der High Level Structure des Annex SL, mit ihren Kapiteln zu Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Wenn Ihre Organisation bereits mit ISO 27001 arbeitet, wird Ihnen das Gerüst vertraut vorkommen, und ein großer Teil des Systems lässt sich wiederverwenden.
Die BIA: wo alles Weitere entschieden wird
Die Business-Impact-Analyse, kurz BIA, ist das Element, das den Rest der Norm trägt. Hier beantworten Sie eine unbequeme Frage: Wenn diese Tätigkeit stillsteht, was passiert dann, und ab wann beginnt es wehzutun.
Eine BIA, die beim Entscheiden hilft, misst die Auswirkung über die Zeit, nicht zu einem einzigen Zeitpunkt. Derselbe Ausfall eines Fakturierungsdienstes kann zwei Stunden lang belanglos sein, nach acht Stunden lästig und nach drei Tagen gravierend, wenn Zahlungsfristen anstehen. Dieses Zeitprofil legt anschließend die Prioritäten und das Budget fest.
Eine gut durchgeführte BIA liefert drei Dinge, die Sie überall sonst verwenden werden: die priorisierten Tätigkeiten, die maximal tolerierbare Unterbrechungsdauer für jede davon und die Mindestressourcen, die nötig sind, um sie aufrechtzuerhalten, einschließlich der Lieferanten, von denen Sie abhängen, ohne es je aufgeschrieben zu haben.
Der häufigste Fehler, den ich in Projekten sehe, ist eine BIA nach Abteilungen statt nach Tätigkeiten. Eine Abteilung wird nicht unterbrochen: ein Prozess wird es, und der läuft fast immer über mehrere Abteilungen und einen externen Lieferanten.
RTO und RPO, an einem Fall erklärt
Das sind die beiden Zahlen, die die Investition bestimmen, und sie werden ständig verwechselt. Es hilft, sie an einem Beispiel festzumachen.
Stellen Sie sich ein Lohnabrechnungsbüro vor. Die RTO, Recovery Time Objective, ist die Zeit, die der Dienst ausfallen darf, bevor der Schaden inakzeptabel wird: sagen wir acht Arbeitsstunden. Die RPO, Recovery Point Objective, ist die Datenmenge, deren Verlust Sie sich leisten können, gemessen in Zeit: Läuft das Backup über Nacht, beträgt die RPO vierundzwanzig Stunden, und das bedeutet, dass ein Ausfall um achtzehn Uhr einen ganzen Arbeitstag vernichtet, der von Hand nachgeholt werden muss.
Die praktische Folge ist unmittelbar: Die RPO zu senken kostet Technologie (Replikation, häufigere Backups), und die RTO zu senken kostet Vorbereitung (Bereitschaftsumgebungen, eingeübte Abläufe, geschulte Menschen). Beide auf null zu setzen ist eine teure Illusion, und sie ohne BIA festzulegen ist Raterei.
Es gibt eine dritte Zahl, die vergessen wird und darüber entscheidet, ob die anderen beiden glaubwürdig sind: die maximal tolerierbare Unterbrechungsdauer. Liegt die von Ihnen festgelegte RTO darüber, schützt der Plan nichts: Er dokumentiert lediglich, wann er scheitern wird.
Von der Strategie zu einem Plan, den jemand tatsächlich ausführt
Sind die Ziele festgelegt, verlangt die Norm, Kontinuitätsstrategien zu wählen und sie in konkrete Abläufe zu übersetzen. Die üblichen Optionen sind, die Tätigkeit anderswo aufrechtzuerhalten, sie auf einen vereinbarten manuellen Betrieb zu reduzieren, sie an einen Dritten zu übertragen oder das Risiko ausdrücklich und schriftlich zu akzeptieren.
Das Risiko zu akzeptieren ist eine legitime Antwort, und das sollte gesagt werden, denn die Scheu, es aufzuschreiben, führt dazu, dass Pläne erfunden werden, die niemand je ausführen wird. Nicht legitim ist, nicht entschieden zu haben.
Auf der Seite des Plans trennt einen nützlichen von einem dekorativen, dass er vier Fragen beantwortet, ohne dass jemand etwas interpretieren muss: wer entscheidet, ihn zu aktivieren, wer informiert wird und über welchen Kanal, wenn gerade die Unternehmens-E-Mail ausgefallen ist, was in den ersten zwei Stunden passiert und wie Sie zur Normalität zurückkehren, der Teil, der fast immer fehlt.
Möchten Sie sich als ISO 22301 Lead Implementer zertifizieren lassen?
Offizielle PECB-Schulung mit einem praktizierenden Berater, in Ihrem Tempo oder mit Einzelbegleitung.
Ein ungeprüfter Plan ist kein Plan
Hier trennen sich Managementsysteme, die funktionieren, von denen, die nur in einem Ordner existieren. Die Norm verlangt ein Programm von Übungen und Tests, und das nicht als Formalität: Ein Plan, der nie ausgeführt wurde, enthält ausnahmslos falsche Annahmen.
Die Übungen reichen von leicht bis schwer, und Sie müssen nicht mit der teuersten beginnen: Schreibtischprüfung, Planübung am Tisch mit den tatsächlichen Verantwortlichen, Simulation einer bestimmten Komponente und schließlich ein Test mit echtem Failover. Jede Stufe deckt andere Dinge auf.
Der Wert der Übung liegt nicht darin, sie zu bestehen. Er liegt in der Liste dessen, was schiefgelaufen ist, mit einem Verantwortlichen und einem Datum hinter jeder Zeile.
Kontinuität beweist sich nicht am Tag des Vorfalls: Sie beweist sich am Tag der Übung. Wer nur das Dokument hat, entdeckt seine falschen Annahmen im denkbar schlechtesten Moment, und unter den Augen der Kunden.
Wie sie zu ISO 27001, NIS 2 und DORA passt
Das ist der Teil, der für alle am wichtigsten ist, die bereits in einem Compliance-Programm stecken, weil er vermeidet, dieselbe Arbeit zweimal zu bezahlen.
Mit ISO/IEC 27001 ist die Überschneidung erheblich: gemeinsame High Level Structure, Kontextanalyse, dokumentierte Information, internes Audit und Managementbewertung. Was ISO 27001 als eine einzelne Maßnahme behandelt, die Kontinuität, entwickelt ISO 22301 zu einem vollständigen System.
NIS 2 verlangt sie ausdrücklich: Zu den Maßnahmen ihres Artikels 21 gehört die Aufrechterhaltung des Betriebs, einschließlich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Ein System nach ISO 22301 ist der geordnetste Weg, diesen Block gegenüber einer Behörde nachzuweisen.
Und für Finanzunternehmen geht DORA noch weiter: Sie verlangt eine Leitlinie zur IKT-Geschäftsfortführung, Reaktions- und Wiederherstellungspläne sowie regelmäßige Tests mit dokumentierten Ergebnissen. Die Konzepte sind dieselben, und die Arbeit ist fast vollständig wiederverwendbar.
In einem realen Projekt bedeutet das: Die BIA, die Sie für ISO 22301 durchführen, trägt die Entscheidungen in den drei anderen Rahmenwerken mit. Es lohnt sich, sie einmal richtig zu machen.
Schulung und Zertifizierung
Wenn Sie den Schritt zur offiziellen PECB-Zertifizierung gehen möchten, gibt es je nach Bedarf drei Stufen. ISO 22301 Foundation, um den Rahmen und das Vokabular zu beherrschen. Lead Implementer, wenn Sie das Managementsystem aufbauen werden. Lead Auditor, wenn Sie es auditieren werden, auf eigene Rechnung oder für eine Zertifizierungsstelle.
Alle drei können Sie im Selbststudium absolvieren, mit den offiziellen PECB-Unterlagen und in Ihrem Tempo, oder mit Begleitung in Einzelsitzungen mit mir, wenn Sie lieber an Ihrem eigenen Fall arbeiten als an einem Lehrbuchbeispiel. Die Begleitung findet auf Englisch statt.