ISO 22301 ist der Standard für Business Continuity Management. Ein gutes BCMS sorgt nicht nur dafür, dass Sie nach einer Störung schnell wieder anlaufen – es macht Ihre Organisation und Ihre Prozesse von vornherein widerstandsfähiger: Störungen werden unwahrscheinlicher, treffen Sie weniger hart und sind schneller beherrscht. Im Audit prüfe ich beide Seiten – die Resilienz im Normalbetrieb und die Wiederherstellungsfähigkeit im Ernstfall.
Resilienz, nicht nur Wiederherstellung
Resilienz heißt, Störungen zu antizipieren, ihnen standzuhalten, sich anzupassen und gestärkt aus ihnen hervorzugehen. Ein reifes BCMS erhöht die Robustheit Ihrer kritischen Prozesse, reduziert Single Points of Failure, stärkt Lieferketten- und IT-Resilienz und verankert Reaktions- und Anpassungsfähigkeit in der Organisation – lange bevor es zum Ernstfall kommt. Die Wiederherstellungsfähigkeit ist dabei ein wichtiger Baustein, aber nur einer von mehreren.
Was im Audit geprüft wird
Im Mittelpunkt stehen die Business Impact Analyse (BIA), die Risikobeurteilung, Ihre Strategien zur Aufrechterhaltung und zum Wiederanlauf sowie die Notfallpläne. Geprüft wird, ob Wiederanlaufzeiten (RTO) und tolerierbare Datenverluste (RPO) sauber abgeleitet sind, ob die Strategien zu den priorisierten Tätigkeiten passen – und ob sie die Prozesse tatsächlich robuster machen.
Geübt, nicht nur dokumentiert
Ein BCMS ist nur so gut wie seine Tests. Übungen schärfen die Reaktionsfähigkeit und decken Schwachstellen auf, bevor sie real werden. Ich lege besonderen Wert darauf, dass Übungen tatsächlich stattgefunden haben, dass Lessons Learned in die Pläne und Prozesse zurückfließen und dass Verantwortlichkeiten und Alarmierungswege im Stresstest belastbar sind.
Schwerpunkte, die wir u. a. betrachten
- Robustheit und Redundanz kritischer Prozesse, Reduktion von Single Points of Failure
- Lieferketten- und IT-Resilienz
- Anpassungs- und Reaktionsfähigkeit der Organisation
- Business Impact Analyse und Priorisierung kritischer Tätigkeiten
- Wiederanlaufzeiten (RTO) und Datenverlusttoleranz (RPO)
- Strategien zur Aufrechterhaltung und zum Wiederanlauf
- Notfall-, Krisen- und Kommunikationspläne
- Übungen, Tests und Auswertung (Lessons Learned)
- Verzahnung mit Informationssicherheit (ISO 27001) und IT