ISO 22301 Foundation

Zehn Beispielfragen aus der Prüfung

Je eine pro Kompetenzbereich, genau wie im Simulator.

1. D2 ISO-22301-Anforderungen: Abschnitte 4 bis 10

   Brantford Foods besitzt ein ISO-22301-Zertifikat, wird jedes Jahr von seiner Zertifizierungsstelle im Rahmen eines Überwachungsaudits auditiert und alle zwei Jahre von zwei Großkunden auf Grundlage eines in den Lieferverträgen verankerten Auditrechts geprüft. Der BCMS-Manager hat deshalb das eigene Auditprogramm des Unternehmens eingestellt: Das BCMS werde bereits doppelt auditiert. Wie ist diese Entscheidung nach Abschnitt 9.2 zu beurteilen?

   1. Vertretbar, sofern die Kundenberichte und die Feststellungen aus den Überwachungsaudits in die Managementbewertung eingebracht und die daraus folgenden Maßnahmen bis zu ihrem Abschluss verfolgt werden.
   2. Nicht vertretbar: Abschnitt 9.2 verlangt, dass die Organisation ihr eigenes BCMS in geplanten Abständen intern auditiert; beide beschriebenen Audits sind externe Audits.
   3. Für das betreffende Jahr abgedeckt: Ein Überwachungsaudit prüft dasselbe BCMS anhand derselben Norm und erfüllt deshalb Abschnitt 9.2 für Brantford.
   4. Nicht vertretbar, allerdings aus einem anderen Grund: Ein Kundenaudit ist wegen der Geschäftsbeziehung nicht unabhängig; die Überwachungsaudits allein hätten genügt.

2. D1 Grundlagen und Konzepte eines BCMS

   In welchem Verhältnis steht ISO 22313 zu ISO 22301?

   1. Sie ergänzt die Anforderungen, die eine nach ISO 22301 zertifizierte Organisation beim nächsten Audit zusätzlich erfüllen muss.
   2. Sie ersetzt ISO 22301 als zertifizierbare Norm der ISO-22300-Familie; ISO 22301 unterstützt sie nun als Begriffssammlung.
   3. Sie bietet Leitlinien zur Anwendung der Anforderungen von ISO 22301; ihre Inhalte können deshalb nicht eigenständig als Anforderungen auditiert werden.
   4. Sie liefert das Vokabular, auf das ISO 22301 normativ verweist; ihre Definitionen entscheiden daher bei strittigen Begriffen.

3. D2 ISO-22301-Anforderungen: Abschnitte 4 bis 10

   Kestrel Pharma hat die Kühlkettenverteilung seiner Impfstoffe, eine priorisierte Tätigkeit, an einen Logistikdienstleister ausgelagert, der ein ISO-22301-Zertifikat besitzt. Der Kontinuitätsausschuss von Kestrel möchte sich vergewissern, dass der Dienstleister die Lieferungen innerhalb des von Kestrels eigener Business-Impact-Analyse festgelegten Zeitrahmens wiederaufnehmen kann. Welches Vorgehen entspricht den Anforderungen von ISO 22301?

   1. Den Dienstleister in das nach Abschnitt 9.2 geforderte interne Auditprogramm aufnehmen und den Besuch als internes Audit erfassen, weil die ausgelagerte Tätigkeit innerhalb des Anwendungsbereichs von Kestrels BCMS liegt.
   2. Den Dienstleister auf Grundlage des vertraglichen Auditrechts selbst auditieren, da das Zertifikat für dessen eigenen Anwendungsbereich und nicht für die Wiederanlaufzeiträume von Kestrel erteilt wurde.
   3. Sich auf die Zertifizierungsstelle verlassen, die den Dienstleister auditiert, und eine Kopie des Zertifikats ablegen, weil ein Drittparteienaudit gründlicher ist als alles, was Kestrel organisieren könnte.
   4. Den Dienstleister auffordern, sich selbst anhand der Wiederanlaufanforderungen von Kestrel zu bewerten, und dessen Bericht als das nach Abschnitt 9.2 erforderliche interne Audit von Kestrel behandeln.

4. D1 Grundlagen und Konzepte eines BCMS

   Eine nach ISO/IEC 27001 zertifizierte Organisation erwägt die Einführung eines BCMS nach ISO 22301. Welche Aussage beschreibt das Verhältnis zwischen beiden Normen?

   1. ISO 22301 ist eine der Verfügbarkeit von Informationen gewidmete Erweiterung von ISO/IEC 27001; ihre Anforderungen werden daher bereits durch vorhandene Sicherheitsmaßnahmen erfüllt.
   2. Eine Zertifizierung nach ISO/IEC 27001 ist Voraussetzung für eine Zertifizierung nach ISO 22301, weil ein BCMS auf einem Informationssicherheitsmanagementsystem beruht.
   3. Es sind eigenständige Managementsystemnormen mit derselben harmonisierten Struktur: ISO/IEC 27001 behandelt Informationssicherheit, ISO 22301 die Kontinuität von Produkten und Dienstleistungen.
   4. Beide Normen überschneiden sich so weit, dass bei Konformität mit einer Norm die Konformität mit der anderen automatisch vermutet und ein Audit nach einer der beiden als Nachweis für beide anerkannt wird.

5. D2 ISO-22301-Anforderungen: Abschnitte 4 bis 10

   Eine Krankenhausgruppe hat bei der Einführung ihres BCMS vor drei Jahren die für die Kontinuität ihrer Dienstleistungen geltenden Gesetze und Vorschriften ermittelt und die Liste abgelegt. Seitdem hat niemand sie überprüft. Was verlangt Abschnitt 4.2 von der Organisation?

   1. Die vollständigen Texte der geltenden Gesetze, Vorschriften und Kodizes in die dokumentierte Information des BCMS zu übernehmen, damit die Beschäftigten sie auffinden und einsehen können.
   2. Die Liste der rechtlichen, regulatorischen und vertraglichen Anforderungen erneut zu prüfen, sobald eine Störung, eine Beschwerde oder ein Audit einen Verstoß offengelegt hat.
   3. Die Verantwortung für rechtliche und regulatorische Anforderungen auf die Rechtsabteilung zu übertragen, die außerhalb der Grenzen des BCMS liegt.
   4. Einen Prozess zu betreiben, der die geltenden Anforderungen ermittelt, den Zugang zu ihnen ermöglicht und sie bewertet, sowie diese dokumentierte Information aktuell zu halten.

6. D1 Grundlagen und Konzepte eines BCMS

   Welche Aussage gibt am besten wieder, was Business Continuity nach ISO 22301 bedeutet?

   1. Die Fähigkeit einer Organisation, Produkte und Dienstleistungen während einer Störung innerhalb annehmbarer Zeiträume mit vorher festgelegter Kapazität weiter bereitzustellen.
   2. Die Gesamtheit technischer Maßnahmen, mit denen die Informationssysteme der Organisation verfügbar und ihre Daten in einem zweiten Rechenzentrum gesichert bleiben.
   3. Das vollständige Ausbleiben von Störungen, das durch die vorherige Beseitigung sämtlicher Ursachen erreicht wird, welche priorisierte Tätigkeiten unterbrechen könnten.
   4. Der Prozess, die Organisation mit derselben Personalstärke und Kapazität exakt in den Zustand vor dem Vorfall zurückzuführen.

7. D2 ISO-22301-Anforderungen: Abschnitte 4 bis 10

   Bei der Gestaltung eines BCMS behauptet ein Manager, jede von irgendeiner interessierten Partei geäußerte Erwartung müsse zu einer Anforderung des Systems werden. Wie ist dies anhand von Abschnitt 4.2 zu beurteilen?

   1. Die Sichtweise ist zu eng: Abschnitt 4.2 erkennt Kunden, Behörden und Anteilseigner an, deren Erwartungen die Organisation binden, nicht jedoch Lieferanten oder Beschäftigte.
   2. Der Manager hat recht: Sobald die Organisation eine Erwartung erfasst hat, macht Abschnitt 4.2 daraus eine Anforderung des BCMS.
   3. Die Aussage ist zu weit gefasst: Nach Abschnitt 4.2 muss die Organisation bestimmen, welche interessierten Parteien und welche ihrer Anforderungen für das BCMS relevant sind.
   4. Die Frage kommt zu früh: Die Anforderungen interessierter Parteien werden durch die Business-Impact-Analyse bestimmt, die zu diesem Zeitpunkt noch nicht durchgeführt wurde.

8. D1 Grundlagen und Konzepte eines BCMS

   Welche Beschreibung entspricht den Erwartungen von ISO 22301 an einen Business-Continuity-Plan?

   1. Ein Risikobehandlungsplan, der ausgewählte Präventionsmaßnahmen, deren Verantwortliche, Fristen und Budgets sowie die bewerteten Ursachen, Eintrittswahrscheinlichkeiten und Auswirkungen dokumentiert, um Störungen vor ihrem Eintritt zu verhindern.
   2. Dokumentierte Information, die der Organisation bei der Reaktion auf eine Störung sowie bei Wiederaufnahme und Wiederherstellung ihrer Produkte und Dienstleistungen als Anleitung dient.
   3. Ein technisches Wiederherstellungsverfahren, das IT-Systeme und ihre Daten in den Zustand vor der Störung zurückführt.
   4. Eine von der obersten Leitung genehmigte und interessierten Parteien zugänglich gemachte Erklärung der Business-Continuity-Verpflichtungen der Organisation.

9. D2 ISO-22301-Anforderungen: Abschnitte 4 bis 10

   Ein Versorgungsunternehmen möchte eines seiner vier Servicezentren aus dem Anwendungsbereich des BCMS herausnehmen, weil dieses Zentrum in zwei Jahren geschlossen werden soll. Was erlaubt ISO 22301?

   1. Der Ausschluss ist gültig, sofern für das Zentrum eine gesonderte Vorkehrung besteht, die mit Kunden, Aufsichtsbehörde und lokalen Behörden vereinbart und jährlich überprüft wird.
   2. Der Ausschluss ist unzulässig: Sobald eine Organisation Konformität mit ISO 22301 anstrebt, müssen alle von ihr betriebenen Standorte, Tätigkeiten und Funktionen bis zu ihrer tatsächlichen Stilllegung im BCMS-Anwendungsbereich liegen.
   3. Es ist keine Formalität erforderlich, weil Abschnitt 4.3 die Grenzen, Anwendbarkeit und Ausschlüsse des BCMS der kaufmännischen Entscheidung der Organisation überlässt.
   4. Der Ausschluss ist zulässig, wenn er dokumentiert und erläutert wird und weder die Fähigkeit noch die Verantwortung der Organisation beeinträchtigt, die Kontinuität ihrer Produkte und Dienstleistungen sicherzustellen.

10. D1 Grundlagen und Konzepte eines BCMS

    Welches Ergebnis wird von der Business-Impact-Analyse (BIA) und nicht von der Risikobeurteilung hervorgebracht?

    1. Die Bestimmung der priorisierten Tätigkeiten und der Zeitrahmen, innerhalb derer jede von ihnen wiederaufgenommen werden muss.
    2. Eine Entscheidung über die Risikobehandlungsoptionen, welche die Organisation auf die von ihr als nicht vertretbar bewerteten Bedrohungen anwenden wird.
    3. Eine Bewertung, ob die vorhandenen Schutzmaßnahmen die Wahrscheinlichkeit einer Störung auf einem vertretbaren Niveau halten.
    4. Eine priorisierte Liste der Bedrohungen, welche die Tätigkeiten unterbrechen könnten, einschließlich ihrer Wahrscheinlichkeit und möglichen Ursachen.

Beantworten Sie dieselben zehn Fragen im Simulator und sehen Sie die Erklärung zu jeder Option, auch zu den falschen. Er öffnet sich ohne Registrierung →

Zur offiziellen Prüfung: Format, Dauer und Anzahl der Fragen legt die zertifizierende Stelle fest; sie können sich ändern. Bitte prüfen Sie sie vor der Anmeldung in deren Unterlagen. Dieses Material trainiert die Norm, nicht die Prüfung einer bestimmten Stelle, und hilft daher auch bei einer Zertifizierung anderswo.