IKT-Bereitschaft für Business Continuity nach ISO/IEC 27031:2025

Problem in der Praxis

Viele Business-Continuity-Pläne beschreiben Geschäftsprozesse, Ausweichstandorte und Personal sorgfältig, bleiben bei der Technologieabhängigkeit aber vage: die IT werde das schon wiederherstellen. Welche Infrastruktur, welche Anwendung, welche Datenbasis und welcher externe Dienstleister dafür konkret einstehen müssen, bleibt unbenannt.

Das umgekehrte Problem ist ebenso verbreitet. IT-Disaster-Recovery ist technisch oft gut ausgebaut, Backups laufen, ein Ausweichrechenzentrum steht bereit, aber diese Technik ist nicht an die vom Business-Continuity-Managementsystem vorgegebenen Wiederherstellungsziele der Geschäftsprozesse zurückgebunden. Die Technik erreicht dann ihr eigenes Ziel, nicht das Ziel des Geschäfts.

Drittens werden Abhängigkeiten von Drittparteien und Cloud-Anbietern häufig gar nicht in die eigene Bewertung der IKT-Bereitschaft aufgenommen, weil unterstellt wird, dass der Anbieter seine eigene Kontinuität schon organisiert. Und viertens zirkulieren in Verträgen, internen Richtlinien und Lieferantenfragebögen noch Verweise auf die zurückgezogene Fassung von 2011, ohne dass das auffällt.

CISO-Einordnung

Die Rahmendaten sind eindeutig: zweite Ausgabe, veröffentlicht am 16. Mai 2025, 33 Seiten, zuständig ISO/IEC JTC 1/SC 27 für Informationssicherheit, Cybersicherheit und Datenschutz, ICS-Klassifikation 35.030, mit der IEC als Mitherausgeber. Das Projekt wurde im Dezember 2020 genehmigt, die Publikationsfreigabe erfolgte im August 2024, die tatsächliche Veröffentlichung erst im Mai 2025, rund neun Monate später. Ersetzt wird die zurückgezogene erste Ausgabe von 2011, die im Titel noch "Guidelines" statt "Requirements" trug.

Eine deutsche Übernahme mit eigener DIN-EN-Kennung ist nicht auffindbar: DIN Media vertreibt die Ausgabe 2025 unter der internationalen Bezeichnung ISO/IEC 27031, mit einer deutschen Arbeitsübersetzung des Katalogtitels (Informationstechnik - Cybersicherheit - Informations- und Kommunikationstechnologische Bereitschaft für Geschäftskontinuität), aber ohne eigene DIN-EN-Nummer. Das ist ein Nicht-Auffinden über eine offene Katalogsuche, keine abschließend geprüfte Nichtexistenz.

Zentral für die Einordnung ist das fehlende "Requirements" im Titel. Schon die zurückgezogene Fassung von 2011 trug stattdessen "Guidelines"; mehrere unabhängige, wenn auch sekundäre Quellen bestätigen ausdrücklich, dass ISO/IEC 27031 keine zertifizierbare Norm ist, sondern ISO 22301 und ISO/IEC 27001 ergänzt. Eine wörtliche, aus der ISO-Haupttextseite selbst abgerufene Formulierung dazu liegt nicht vor, weil automatisierte Zugriffe dort blockiert werden; die Aussage stützt sich auf konvergente Sekundärquellen, nicht auf einen Primärtext. Für den CISO folgt daraus eine klare Entscheidung: keine eigenständige Zertifizierung nach ISO/IEC 27031 anstreben, sondern die Norm als Bewertungsraster innerhalb eines ISO-22301-Programms oder eines ISO/IEC-27001-ISMS nutzen. Den Zertifizierungsweg selbst, der ausschließlich ISO 22301 betrifft, behandelt iso22301-008.

Funktional lässt sich die Arbeitsteilung so beschreiben, ohne dass daraus eine Klauselauslegung wird: ISO 22301 trägt das Business-Continuity-Managementsystem insgesamt, mit Organisation, Prozessen, Personal, Standort und Lieferkette. ISO/IEC 27031 vertieft darin speziell die IKT-Bereitschaftsschicht, also die technologische Voraussetzung dafür, dass die vom Managementsystem gesetzten Wiederherstellungsziele erreichbar sind. ISO/IEC 27001 wiederum sichert die Informationssicherheit im Regelbetrieb. Der bereits freigegebene Artikel gs-bcm-007 führt dieselbe Zuordnung schon heute: ISO 22301 als die zertifizierbare Norm, ISO/IEC 27031 als Referenz für die Absicherung zeitkritischer IT-Services im Umfeld des BCM. Die Verzahnung mit dem ISMS im Einzelnen behandelt iso22301-006.

Umsetzungsperspektive

Der erste Schritt ist ein Abgleich der zirkulierenden Referenzen: Welche Ausgabe von ISO/IEC 27031 wird in Verträgen, internen Richtlinien und Lieferantenfragebögen zitiert? Verweise auf die Fassung von 2011 sind auf die aktuelle Ausgabe 2025 zu aktualisieren, weil die alte Fassung zurückgezogen ist.

Der zweite Schritt ist die explizite Benennung der Technologieabhängigkeitskette zeitkritischer Geschäftsprozesse, statt sie bei der Annahme enden zu lassen, die IT werde das schon regeln: welche Infrastruktur, welche Anwendung, welche Datenbasis, welcher externe Dienstleister trägt einen zeitkritischen Prozess, und ist diese Kette mit den Wiederherstellungszielen aus der Business Impact Analyse verknüpft.

Der dritte Schritt ist eine bewusste Absage an ein falsches Ziel: ISO/IEC 27031 liefert keinen eigenen Zertifizierungsweg, und ein Projekt sollte dafür kein Budget einplanen. Sinnvoll investiert ist dieser Aufwand stattdessen in die Nutzung der Norm als Bewertungsmaßstab innerhalb bestehender BCMS- und ISMS-Audits und -Übungen.

Der vierte Schritt betrifft Drittparteien und Cloud-Anbieter: Wiederherstellungszusagen sollten nicht nur vertraglich vereinbart, sondern auch nachweisbar sein, etwa über Testberichte oder Auditnachweise des Anbieters, statt implizit vorauszusetzen, dass ein Provider seine eigene Kontinuität schon ausreichend organisiert.

Typische Fehler

1. Die Business Impact Analyse endet bei der Annahme, die IT werde schon wiederherstellen; die konkrete Technologieabhängigkeitskette bleibt unbenannt.
2. IT-Disaster-Recovery ist technisch vorhanden, aber nicht auf die vom Business-Continuity-Managementsystem gesetzten Wiederherstellungsziele der Geschäftsprozesse zurückgeführt.
3. Abhängigkeiten von Drittparteien und Cloud-Anbietern fehlen in der eigenen Bewertung der IKT-Bereitschaft.
4. Verträge, Richtlinien und Lieferantenfragebögen zitieren noch die zurückgezogene Fassung von 2011.
5. Es wird eine eigenständige Zertifizierung nach ISO/IEC 27031 angestrebt, obwohl die Norm dafür kein Verfahren vorsieht.

Risiken und Trade-offs

Wer die IKT-Bereitschaft nur implizit über ein allgemeines Informationssicherheitsmanagement mitlaufen lässt, übersieht leicht die BCM-spezifische Fragestellung. Sie lautet nicht, ob eine Information vertraulich und unversehrt bleibt, sondern ob die Technologie im Ausfall rechtzeitig wieder zur Verfügung steht. Beide Fragen überlappen sich, sind aber nicht identisch, und ein gutes Ergebnis bei der einen sagt wenig über die andere aus.

Eine sehr detaillierte technische Bewertung der IKT-Bereitschaft bindet erheblichen Aufwand; eine zu oberflächliche Bewertung liefert dagegen Scheinsicherheit, weil das Programm formal auf eine Referenz verweist, die inhaltlich nie durchgearbeitet wurde. Der Aufwand sollte sich an der Kritikalität der jeweiligen Technologie für die zeitkritischen Prozesse bemessen, nicht an einer pauschalen Vollständigkeit.

Drittparteien- und Cloud-Abhängigkeiten lassen sich vertraglich absichern, aber nicht vollständig kontrollieren. Die Verantwortung für die eigene Geschäftsfortführung bleibt im eigenen Haus, auch wenn ein Teil der Technologie ausgelagert ist.

Entscheidungspunkte

• Welche Ausgabe von ISO/IEC 27031 zirkuliert aktuell in unseren Verträgen, Richtlinien und Lieferantenfragebögen, und muss sie aktualisiert werden?
• Ist die Technologieabhängigkeitskette unserer zeitkritischen Prozesse benannt und mit den Wiederherstellungszielen der Business Impact Analyse verknüpft?
• Wird die IKT-Bereitschaft als eigenständige Bewertung im BCMS- und ISMS-Regelbetrieb geführt, oder verläuft sie implizit und ungeprüft?
• Wie weisen wir Wiederherstellungszusagen von Drittparteien und Cloud-Anbietern nach, statt sie nur vertraglich zu vereinbaren?

Praktische Empfehlungen

1. Prüfen Sie, welche Ausgabe von ISO/IEC 27031 in Verträgen, Richtlinien und Lieferantenfragebögen zitiert wird, und lösen Sie Verweise auf die zurückgezogene Fassung von 2011 ab.
2. Bilden Sie die Technologieabhängigkeitskette zeitkritischer Prozesse explizit ab, statt sie bei der Annahme enden zu lassen, die IT regele das schon.
3. Verknüpfen Sie die IKT-Bereitschaftsbewertung ausdrücklich mit der Business Impact Analyse, statt sie getrennt zu führen.
4. Verlangen Sie von Drittparteien und Cloud-Anbietern nachweisbare, nicht nur vertraglich behauptete Wiederherstellungszusagen.
5. Nutzen Sie ISO/IEC 27031 als Bewertungsmaßstab innerhalb bestehender BCMS- und ISMS-Audits, nicht als Ziel einer eigenen Zertifizierung.

Relevante Normreferenzen

• ISO/IEC 27031:2025: Rahmennorm für die IKT-Bereitschaft im Kontext von Business Continuity, zweite Ausgabe, nicht eigenständig zertifizierbar (Referenz).
• ISO/IEC 27031:2011: zurückgezogene erste Ausgabe, abgelöst durch die Ausgabe 2025, nur zur Einordnung genannt (Referenz).
• ISO 22301:2019: zertifizierbares Business-Continuity-Managementsystem, das die IKT-Bereitschaft nach ISO/IEC 27031 einrahmt; Zertifizierungsweg vertieft in iso22301-008 (Referenz).
• ISO/IEC 27001: Informationssicherheits-Managementsystem, gemeinsamer Ausschuss ISO/IEC JTC 1/SC 27; Verzahnung vertieft in iso22301-006 (Referenz).