Das Business-Continuity-Managementsystem nach ISO 22301: Aufbau und Führungsverantwortung

Problem in der Praxis

Eine häufige Konstellation: Eine Organisation erarbeitet Notfallpläne und lässt sich dafür sogar zertifizieren, aber die oberste Leitung hat die zugrunde liegende Politik nie wirklich mitgetragen, sondern nur unterschrieben. Im Alltag fehlt dem BCMS dann die Durchsetzungskraft, sobald es um Ressourcen oder unbequeme Entscheidungen geht.

Ein zweites Muster ist die Verwechslung von Zertifikat und Wirksamkeit: Ein Audit bestätigt ein funktionierendes, dokumentiertes Managementsystem, nicht dass jedes denkbare Szenario überstanden wird. Wo diese Unterscheidung fehlt, wiegt sich die Organisation in einer Sicherheit, die das Zertifikat allein nicht liefert.

Drittens wird das BCMS oft als abgeschlossenes Projekt behandelt: einmal aufgebaut, einmal auditiert, danach ruht es, bis das nächste Überwachungsaudit ansteht. Der eigentliche Wert eines Managementsystems, die fortlaufende Überprüfung und Anpassung, geht dabei verloren.

CISO-Einordnung

Auf der Ebene des Managementsystems verlangt ISO 22301 von der Organisation, Verantwortung sichtbar zu verankern: eine von der obersten Leitung getragene Politik, zugewiesene Rollen mit tatsächlicher Befugnis, und bereitgestellte Ressourcen. Was diese Elemente im Einzelnen umfassen müssen, ist der Originalnorm zu entnehmen; dieser Artikel definiert sie bewusst nicht neu.

Für die deutschsprachige Umsetzung existiert mit dem BSI-Standard 200-4 eine praxisnahe Anleitung, die ISO 22301 als Bezugsnorm führt und dafür ein eigenes Stufenmodell (Reaktiv-, Aufbau- und Standard-BCMS) beschreibt; dieses Stufenmodell gehört zu gs-bcm-007 und wird hier nicht wiederholt. Auf der Ebene der internationalen Norm selbst gibt es diese Stufung nicht: ISO 22301 beschreibt ein einheitliches Managementsystem, gegen das ein Audit entweder Konformität feststellt oder nicht.

Zum Normstand gehört auch, was sich gerade bewegt: ISO/TC 292 hat bereits ein Nachfolgeprojekt für eine dritte Ausgabe angestoßen (ISO/CD 22301), das sich Stand 2026-08-03 in einer frühen Entwurfsphase befindet; die Kommentarfrist ist geschlossen, ein Veröffentlichungstermin steht noch nicht fest. Keine Aussage, eine dritte Ausgabe gelte bereits oder stehe unmittelbar bevor, ist zum jetzigen Zeitpunkt zutreffend. Maßgeblich bleibt ISO 22301:2019 einschließlich Amd 1:2024.

Das PDCA-ähnliche Grundprinzip fortlaufender Verbesserung, das ISO 22301 mit anderen Managementsystemnormen teilt, insbesondere mit ISO/IEC 27001, schafft eine gemeinsame Klammer zwischen BCMS und ISMS. Wo diese beiden Systeme sich treffen und wo ihre Schutzziele auseinanderlaufen, vertieft iso22301-006.

Umsetzungsperspektive

Der erste Schritt ist, die Politik tatsächlich von der obersten Leitung tragen zu lassen, nicht nur formal unterschreiben zu lassen: Sie sollte erklären können, warum Kontinuität der Organisation wichtig ist, nicht nur, dass ein Dokument existiert.

Der zweite Schritt ist, Rollen mit echter Befugnis zu besetzen. Wer das BCMS operativ verantwortet, muss im Ernstfall Ressourcen mobilisieren und Entscheidungen durchsetzen können; eine Rolle ohne diese Befugnis ist ein Etikett, kein Managementsystem.

Der dritte Schritt ist, den Regelkreis tatsächlich zu betreiben: Überprüfung, Bewertung und Verbesserung gehören in einen festen Rhythmus, nicht nur in den Vorlauf zum nächsten Audit. Wie Übungen und die Verbesserungsschleife konkret aussehen, behandelt iso22301-004.

Der vierte Schritt ist eine bewusste Entscheidung über Zertifizierung: freiwillig anstreben, weil Kunden oder Aufsicht sie faktisch verlangen, oder die Norm ohne Zertifizierung als internen Maßstab nutzen. Beides ist legitim; unklar sollte nur nicht bleiben, welche der beiden Optionen gilt.

Typische Fehler

1. Die BCMS-Politik wird formuliert und unterschrieben, aber nie sichtbar von der obersten Leitung vertreten.
2. Rollen werden benannt, aber ohne die Befugnis ausgestattet, im Ernstfall tatsächlich zu handeln.
3. Das BCMS wird als einmaliges Zertifizierungsprojekt behandelt statt als fortlaufender Regelkreis.
4. Ein Zertifikat wird mit tatsächlicher Kontinuitätsfähigkeit verwechselt.
5. Die Organisation wartet auf die dritte Ausgabe der ISO 22301, obwohl diese sich noch in früher Entwurfsphase befindet, und vernachlässigt die fällige Pflege der aktuellen Ausgabe.
6. Das BSI-Stufenmodell und die ISO-22301-Anforderungen werden vermischt, als wären Zwischenstufen ein Teil der internationalen Norm selbst.

Risiken und Trade-offs

Ein vollständiges BCMS nach ISO 22301 bindet erhebliche Ressourcen und Managementaufmerksamkeit; das ist gegen den tatsächlichen Reifebedarf der Organisation abzuwägen, ein Punkt, den gs-bcm-007 für die deutschsprachige Praxis mit seinem Stufenmodell adressiert. Ein zu schwach getragenes BCMS wirkt dagegen nach außen vollständig, versagt aber genau dann, wenn echte Entscheidungsbefugnis gefragt ist.

Zertifizierung selbst ist ein Trade-off: Sie schafft externe Nachweisbarkeit gegenüber Kunden und Aufsicht, kostet aber Aufwand für Auditvorbereitung und laufende Überwachungsaudits. Wer ohne Zertifizierungsdruck arbeitet, kann die Norm schlanker als internen Maßstab nutzen, verzichtet dann aber auf den externen Nachweis.

Schließlich besteht das Risiko einer verzögerten Anpassung an künftige Normänderungen: Wer die Entwicklung von ISO/CD 22301 ignoriert, wird von einer künftigen dritten Ausgabe möglicherweise unvorbereitet getroffen; wer ihr dagegen schon jetzt vorgreift, richtet sein Managementsystem an einem noch nicht verabschiedeten Entwurf aus.

Entscheidungspunkte

• Trägt und erklärt die oberste Leitung die BCMS-Politik persönlich, oder wurde sie nur unterschrieben?
• Wer hält die zentrale BCMS-Rolle, und mit welcher tatsächlichen Entscheidungsbefugnis im Ernstfall?
• Streben wir eine Zertifizierung an, und wenn ja, mit welchem Zeithorizont und welchem Anlass?
• Ist der Regelkreis aus Überprüfung und Verbesserung ein fester Termin oder nur Vorbereitung auf das nächste Audit?
• Beobachten wir den Fortschritt von ISO/CD 22301, ohne der aktuellen Ausgabe die fällige Pflege zu entziehen?

Praktische Empfehlungen

1. Lassen Sie die oberste Leitung die BCMS-Politik aktiv vertreten, nicht nur unterschreiben; das entscheidet über die Durchsetzungskraft im Ernstfall.
2. Statten Sie die zentrale BCMS-Rolle mit echter Ressourcen- und Entscheidungsbefugnis aus.
3. Betreiben Sie den Regelkreis aus Überprüfung und Verbesserung als festen Termin, unabhängig vom nächsten Audit.
4. Treffen Sie die Zertifizierungsfrage explizit und dokumentiert, statt sie unausgesprochen zu lassen.
5. Halten Sie BSI-Stufenmodell und ISO-22301-Anforderungen begrifflich getrennt, wenn Sie beide gemeinsam nutzen.
6. Beobachten Sie ISO/CD 22301 im regulären Zyklus, ohne Entscheidungen auf einen noch nicht terminierten Entwurf zu stützen.

Relevante Normreferenzen

• ISO 22301:2019 (Security and resilience - Business continuity management systems - Requirements): zertifizierbare Anforderungsnorm für das BCMS, aktuelle Ausgabe (Referenz).
• ISO 22301:2019/Amd 1:2024 (Climate action changes): geltende Ergänzung (Referenz).
• ISO/CD 22301: Entwurf einer dritten Ausgabe, frühe Entwurfsphase, kein Veröffentlichungstermin (Referenz).
• DIN EN ISO 22301: deutsche Anwendungsnorm zur ISO 22301:2019 (Referenz).
• BSI-Standard 200-4: deutschsprachige Umsetzungsanleitung mit eigenem Stufenmodell, siehe gs-bcm-007 (Referenz).
• ISO/IEC 27001: strukturelles Gegenstück auf ISMS-Seite, vertieft in iso22301-006 (Referenz).