Was ISO 22301 ist
ISO 22301 ist die internationale Norm für ein Business-Continuity-Managementsystem. Sie verlangt von einer Organisation, mit einer Business-Impact-Analyse zu verstehen, was weiterlaufen muss, Wiederherstellungsziele festzulegen, zu planen, wie sie erreicht werden, die Pläne in Übungen zu testen und sie zu verbessern. Sie ist zertifizierbar und hat dieselbe Struktur wie ISO 27001. Kundenfragebögen verwenden ihr Vokabular, auch wenn sie die Norm nie beim Namen nennen.
Was Kunden fragen
- Ob Sie einen Business-Continuity-Plan und einen Disaster-Recovery-Plan haben, wer dafür verantwortlich ist und wann sie zuletzt überprüft wurden.
- Ihre Ziele für Wiederherstellungszeit und Wiederherstellungspunkt (RTO und RPO) für den Dienst, den der Kunde kauft.
- Wie Backups erstellt werden, wie oft, wo sie liegen, ob sie verschlüsselt sind und wann zuletzt eine Wiederherstellung getestet wurde.
- Ob der Dienst in mehr als einem Rechenzentrum oder einer Verfügbarkeitszone läuft und was passiert, wenn eines davon ausfällt.
- Wann die Pläne zuletzt geübt wurden, was dabei herauskam und was danach geändert wurde.
- Wie und wie schnell Sie den Kunden über einen größeren Ausfall informieren würden.
- Was mit dem Dienst und den Daten des Kunden geschieht, wenn Ihr Unternehmen den Betrieb einstellt.
Antworten als Lieferant
Nennen Sie Zahlen und Daten. „Wir haben einen Disaster-Recovery-Plan“ beantwortet nichts; „RTO 8 Stunden und RPO 24 Stunden, tägliche verschlüsselte Backups in einer zweiten Region, Wiederherstellung im März getestet, Plan im Juni überprüft“ erledigt den ganzen Abschnitt. Wenn Ihr Hosting-Anbieter die Infrastruktur abdeckt, verweisen Sie auf dessen Zertifizierung und beschreiben Sie, was Sie selbst beitragen: Ihre Backups, Ihren Wiederherstellungstest, Ihren Kommunikationsplan. Seien Sie bei den Zielen ehrlich. Ein Prüfer, der bei einem kleinen Unternehmen eine RTO von vier Stunden sieht, wird fragen, wie sie getestet wurde.
Finanzkunden unter DORA und Einrichtungen, die unter NIS2 fallen, verlangen mehr Details zum Ausstieg und zur Kontinuität Ihrer eigenen Lieferanten. Die Ausstiegsfrage, also wie der Kunde seine Daten herausbekommt und zu einem anderen Anbieter wechselt, verdient eine eigene schriftliche Antwort.
In Responsemate
Der Kontinuitätsplan, der letzte Testbericht und die Backup-Richtlinie liegen als Nachweise mit Ablaufdatum in der Wissensdatenbank, sodass ein veralteter Test auffällt, bevor ein Kunde ihn entdeckt. Jede Zeile zur Kontinuität wird daraus entworfen, mit der Quelle daneben. Wissen in Responsemate.
Häufige Fragen
Was ist der Unterschied zwischen RTO und RPO?
Die Wiederherstellungszeit (Recovery Time Objective, RTO) gibt an, wie lange der Dienst ausfallen darf, bis er wiederhergestellt ist. Der Wiederherstellungspunkt (Recovery Point Objective, RPO) gibt an, wie viele Daten, gemessen in Zeit, verloren gehen dürfen. „RTO 8 Stunden, RPO 24 Stunden“ heißt: innerhalb von acht Stunden wieder verfügbar, mit höchstens einem Tag verlorener Änderungen.
Brauchen wir eine Zertifizierung nach ISO 22301?
Selten. Kunden aus dem Finanzsektor und aus kritischen Branchen fragen manchmal danach, aber die meisten akzeptieren einen dokumentierten Kontinuitätsplan, eine Business-Impact-Analyse und den Nachweis eines aktuellen Tests.