Der Zertifizierungsweg zu ISO 22301

Problem in der Praxis

Organisationen starten ein Business-Continuity-Projekt mit dem Ziel Zertifikat und übersehen dabei, dass frühe Ausbaustufen eines Business-Continuity-Managementsystems, etwa die Einstiegsstufen nach dem BSI-Standard 200-4, für eine ISO-22301-Zertifizierung nicht ausreichen. Nur ein vollständiges Managementsystem ist zertifizierungsfähig; das wird häufig erst spät im Projekt sichtbar.

Ein zweites Muster ist der Versuch, ISO/IEC 27031 als eigenständiges Zertifizierungsziel zu behandeln, obwohl es dafür kein Verfahren gibt. Das bindet Erwartung und mitunter Budget an ein Ziel, das nicht existiert.

Drittens werden Zertifikate von Dienstleistern oder Standorten häufig ungeprüft als gleichwertig akzeptiert, ohne Akkreditierungsstatus, Geltungsbereich und Gültigkeit zu verifizieren.

CISO-Einordnung

Norm-spezifisch für ISO 22301 ist zunächst die Zertifizierungsgrundlage: Zertifiziert wird gegen die zweite Ausgabe ISO 22301:2019 einschließlich des Amendments Amd 1:2024. Ein Nachfolgeprojekt für eine dritte Ausgabe (ISO/CD 22301) befindet sich Stand dieses Tracks in einer frühen Entwurfsstufe, ohne genanntes Publikationsdatum; Zertifizierungsplanung sollte sich deshalb auf die geltende Ausgabe stützen, nicht auf eine noch nicht veröffentlichte Fassung.

Das Rollenmodell zwischen Norm, Zertifizierungsstelle und Akkreditierungsstelle ist dasselbe arbeitsteilige Modell, das iso9001-001 für ISO 9001 ausführlich beschreibt: Die ISO zertifiziert nicht selbst, unabhängige Zertifizierungsstellen stellen die Zertifikate aus, Akkreditierungsstellen wie die DAkkS bestätigen deren Kompetenz auf Grundlage der DIN EN ISO/IEC 17021-1, und akkreditierte Zertifikate lassen sich über IAF CertSearch verifizieren. Dieses Modell gilt für ISO 22301 unverändert; es wird hier nicht neu aufgebaut.

Ausdrücklich ausgenommen bleibt ISO/IEC 27031:2025. Ohne "Requirements" im Titel ist sie nach der in diesem Track verwendeten Quellenlage keine eigenständig zertifizierbare Norm; das ist ausführlich in iso22301-005 begründet. Es gibt keinen Zertifizierungsweg nach ISO/IEC 27031; die Norm wird als Referenz innerhalb eines Managementsystems nach ISO 22301 oder ISO/IEC 27001 genutzt, nicht als eigenes Auditziel.

Ein wichtiger Kontrast liegt in der deutschsprachigen Umsetzungsanleitung: Der BSI-Standard 200-4 führt ein Stufenmodell aus Reaktiv-, Aufbau- und Standard-BCMS, von dem nach Darstellung in gs-bcm-007 nur das Standard-BCMS konform zu ISO 22301 und damit zertifizierungsfähig ist. Wer auf ein ISO-22301-Zertifikat hinarbeitet, muss diese Zielstufe von Beginn an einplanen, statt sie erst am Ende des Projekts festzustellen.

Freiwilligkeit und faktische Verbindlichkeit fallen auch hier auseinander: Die Zertifizierung selbst ist freiwillig, die Norm lässt sich auch mit internen Audits anwenden. In Branchen mit hoher Abhängigkeit von Kontinuität wird ein Zertifikat gleichwohl zunehmend vertraglich oder im Rahmen von Ausschreibungen verlangt, ähnlich wie bereits für ISO 9001 beschrieben.

Umsetzungsperspektive

Der erste Schritt ist die Festlegung der Zielstufe: Reicht eine interne Umsetzung nach ISO 22301 ohne externe Zertifizierung, oder ist ein Zertifikat das Ziel? Diese Entscheidung sollte am Anfang des Projekts stehen, nicht erst kurz vor einem möglichen Audit.

Der zweite Schritt ist, bei Zertifizierungsabsicht die Ausbaustufe des Business-Continuity-Managementsystems von Beginn an auf das vollständige, zertifizierungsfähige Managementsystem auszurichten, statt in einer bewusst schlankeren Einstiegsstufe zu verbleiben.

Der dritte Schritt ist die Wahl und Prüfung der Zertifizierungsstelle: Ist sie für den Geltungsbereich ISO 22301 akkreditiert, und lässt sich das über IAF CertSearch verifizieren? Das Vorgehen entspricht dem in iso9001-001 beschriebenen Weg.

Der vierte Schritt ist, ISO/IEC 27031 bewusst aus der Zertifizierungsplanung herauszuhalten: Sie fließt als Bewertungsmaßstab in die IKT-Bereitschaft ein, nicht als eigenes Auditziel, und sollte entsprechend auch nicht im Zertifizierungsbudget auftauchen.

Typische Fehler

1. Eine Einstiegsstufe des Business-Continuity-Managementsystems wird als ausreichend für eine ISO-22301-Zertifizierung angenommen, obwohl nur das vollständige Managementsystem zertifizierungsfähig ist.
2. Es wird eine eigenständige Zertifizierung nach ISO/IEC 27031 angestrebt, die es nicht gibt.
3. Der ISO selbst wird fälschlich eine Zertifizierungsfunktion zugeschrieben, statt der arbeitsteiligen Rolle von Zertifizierungsstelle und Akkreditierungsstelle.
4. Lieferanten- oder Standortzertifikate werden ohne Prüfung von Akkreditierung, Geltungsbereich und Gültigkeit akzeptiert.
5. Die Zertifizierungsplanung wird bereits auf eine dritte, noch nicht veröffentlichte Ausgabe ausgerichtet.

Risiken und Trade-offs

Ein zu früh gesetztes Zertifizierungsziel kann eine Organisation dazu verleiten, Ausbaustufen zu überspringen, statt Kontinuitätsfähigkeit stufengerecht aufzubauen. Das Zertifikat entsteht dann auf einem dünneren Fundament, als das Ausstellungsdatum suggeriert.

Der Verzicht auf eine Zertifizierung spart Aufwand und Kosten, kann in Branchen mit faktischer Marktzugangsvoraussetzung aber zum Ausschlusskriterium in Ausschreibungen werden. Diese Abwägung sollte bewusst und auf Managementebene getroffen werden, nicht implizit.

Die Erwartung, auch ISO/IEC 27031 ließe sich zertifizieren, führt im ungünstigsten Fall zu Budget- und Zeitplanung für ein nicht existierendes Ziel. Das Risiko ist rein planerisch, aber real und lässt sich durch frühzeitige Klärung vollständig vermeiden.

Entscheidungspunkte

• Ist ein ISO-22301-Zertifikat Managementziel, oder reicht eine interne Umsetzung ohne externe Zertifizierung?
• Ist die aktuelle Ausbaustufe unseres Business-Continuity-Managementsystems auf das für eine Zertifizierung erforderliche vollständige Managementsystem ausgelegt, und mit welchem Zieldatum?
• Ist die gewählte Zertifizierungsstelle für den Geltungsbereich ISO 22301 akkreditiert, und wie wird das verifiziert?
• Ist im Haus klar kommuniziert, dass es für ISO/IEC 27031 keinen eigenen Zertifizierungsweg gibt?

Praktische Empfehlungen

1. Legen Sie die Zielstufe, interne Umsetzung oder Zertifikat, am Anfang des Projekts fest, nicht erst kurz vor einem möglichen Audit.
2. Richten Sie die Ausbaustufe des Business-Continuity-Managementsystems bei Zertifizierungsabsicht von Beginn an auf das vollständige Managementsystem aus.
3. Prüfen Sie die Akkreditierung der Zertifizierungsstelle für den Geltungsbereich ISO 22301 über IAF CertSearch, analog zum in iso9001-001 beschriebenen Vorgehen.
4. Kommunizieren Sie intern klar, dass ISO/IEC 27031 kein eigenes Zertifizierungsziel ist, sondern als Referenz in die IKT-Bereitschaftsbewertung einfließt.
5. Stützen Sie Ihre Zertifizierungsplanung auf die geltende Ausgabe ISO 22301:2019 einschließlich Amd 1:2024, nicht auf eine noch nicht veröffentlichte dritte Ausgabe.

Relevante Normreferenzen

• ISO 22301:2019 einschließlich Amd 1:2024: zertifizierbare Anforderungsnorm, geltender Zertifizierungsgegenstand (Referenz).
• ISO/IEC 27031:2025: nicht eigenständig zertifizierbare Rahmennorm, kein eigener Zertifizierungsweg, vertieft in iso22301-005 (Referenz).
• DIN EN ISO/IEC 17021-1: Grundlage der Akkreditierung von Zertifizierungsstellen für Managementsysteme, Rollenteilung ausführlich in iso9001-001 (Referenz).
• BSI-Standard 200-4: Stufenmodell, nur das vollständige Managementsystem ist zertifizierungsfähig, vertieft in gs-bcm-007 (Referenz).