ISO 22301
Verbinden Sie BIA, Wiederanlaufstrategien, BC-Pläne, Übungen und Management-Review nach ISO 22301 mit denselben Prozessen, Assets und Verantwortlichen, die ISMS, DSMS und AIMS tragen.
Eine Maßnahme, mehrere Standards
Standards überschneiden sich weit mehr, als sie sich unterscheiden. Eine einmal erfasste Maßnahme wird jedem Framework zugeordnet, dessen Anforderung sie beantwortet. Das zweite Audit erbt den Nachweis aus dem ersten.
Eine Maßnahme
Lieferanten- und Dienstleisterprüfung
Von der Maßnahme zur Richtlinie
Eine Maßnahme ist keine Zeile in einem Register. Sie gehört zu einem Managementsystem und wird von den Richtlinien und Verfahren getragen, die Ihr Team tatsächlich liest. Deshalb läuft sie durch beides.
Eine Maßnahme
Lieferanten- und Dienstleisterprüfung
Managementsysteme
Richtlinien und Verfahren
01
ISO 22301 steht in KaitoSec gleichberechtigt neben ISMS, DSMS und AIMS auf einem Datenmodell. Ein im ISMS erkanntes Risiko wird zum BC-Szenario, ein kritisches Asset speist Maßnahmenauswahl und Wiederanlauf gleichzeitig, das Management-Review deckt alle vier ab. Keine parallelen Register, keine Silo-Übergaben.
02
Stage 1 prüft Ihre Dokumentation, Stage 2 die gelebte Umsetzung, danach folgen jährliche Überwachungsaudits im Drei-Jahres-Zyklus. KaitoSec zeigt pro Anforderung, welche Nachweise stehen und wo Lücken sind, damit Sie den Audittermin am Reifegrad ausrichten.
03
Sie planen Tabletop-Walkthroughs, funktionale Tests und Großübungen und führen sie durch. Befunde, Lessons Learned und Folgemaßnahmen fließen an den getesteten BC-Plan zurück. ISO-22301-, NIS2- und DORA-Nachweise entstehen aus der Arbeit, nicht im Nachgang.
01
Die Norm verlangt beides als Fundament: Auswirkungen verstehen und Continuity-Risiken bewerten. Sie führen die BIA prozess-, service- oder assetbezogen durch, bewerten Risiken am selben Objekt und definieren RTO, RPO, MTPD und MBCO pro Prozess. Register und Objekte sind dieselben wie im ISMS, nichts wird doppelt erfasst.
02
Aus den BIA-Ergebnissen entstehen Continuity-Anforderungen, aus denen Sie Strategien und Lösungen ableiten. Jede Option dokumentiert Kosten, Machbarkeit und Ressourcenbedarf, denn die Norm verlangt eine begründete Auswahl, nicht nur ein Ergebnis.
03
BC-Pläne erfassen Rollen, Aktivierung, Kommunikation und Entscheidungsbefugnisse. Versionierung, Freigabe, Verteilung und Bestätigung laufen im selben Workflow wie bei Richtlinien. So kennt jede Rolle ihren Teil, bevor sie ihn braucht.
04
Die Norm verlangt ein fortlaufendes Übungsprogramm mit definierten Zielen, vom Tabletop-Walkthrough über den funktionalen Test bis zur Großübung. Befunde und Folgemaßnahmen dokumentieren Sie direkt am getesteten Plan; die Übungshistorie ist im Audit lückenlos nachweisbar.
05
Kennzahlen, internes Audit und Management-Review sind in der Norm eigene Pflichten. KaitoSec führt Übungsergebnisse, Vorfälle und Review-Beschlüsse an einem Ort zusammen; jede Verbesserung bleibt auf ihren Auslöser zurückführbar.
Nein. Das BCMS-Modul kann auch ohne Zertifizierungsziel genutzt werden. Wenn Sie ISO 22301 anstreben, verbinden Sie Anforderungen, BIA, Pläne, Übungen und Reviews. Für andere Pflichten lassen sich passende Nachweise wiederverwenden, sofern der konkrete Scope dies trägt.
NIS2 Artikel 21 verlangt ausdrücklich Business Continuity und Krisenmanagement. DORA verlangt von Finanzunternehmen digitale operationelle Resilienz, einschließlich einer IKT-Geschäftsfortführungsleitlinie. Ein BCMS nach ISO 22301 erfüllt beides und liefert die Nachweise, die Aufsichtsbehörden erwarten. KaitoSec mappt ISO-22301-Anforderungen auf NIS2-Maßnahmen und DORA-Artikel auf einem Datenmodell.
Ein BC-Plan deckt die Gesamtreaktion ab: welche Prozesse weiterlaufen, wer entscheidet, wie die Organisation kommuniziert, wie eskaliert wird. Ein Disaster-Recovery-Plan deckt die technische Wiederherstellung von Systemen ab. KaitoSec führt beides und hält die Beziehungen explizit, kein Plan driftet gegen den anderen.
ISO 22301, NIS2 und DORA erwarten regelmäßige Tests, typischerweise mindestens jährlich für kritische Pläne und häufiger für hochkritische Prozesse. KaitoSec plant, dokumentiert und verfolgt Übungen am selben Ort wie die Pläne selbst, die Kadenz ist ohne manuelle Aufzeichnung nachweisbar.
Asset-Register, Risikoinventar und Richtlinienbibliothek bleiben bestehen; das BCMS erweitert sie um BIA, Wiederanlaufstrategien, BC-Pläne, Übungen und Krisenaktivierung. Ihre ISBs arbeiten im selben Workspace, das Management-Review deckt beide Systeme ab, Audit-Nachweise entstehen aus einer Quelle. Unser BCM-Wissen vertieft BIA, Wiederanlaufstrategien und Übungen.
