Ein Notfallplan im Ordner ist noch kein Nachweis. Belegbar wird Business Continuity erst, wenn geforderte und tatsächliche Wiederherstellungszeit gegenübergestellt sind. CRISAM® führt kritische Prozesse, Abhängigkeiten, Pläne und Übungen in einem Modell zusammen.
Stand: 23. September 2026
| Abweichung | Prozess | Einstufung | Status |
|---|---|---|---|
| Wiederanlauf dauert länger als gefordert | Auftragsabwicklung | offen | |
| Kein Ausweichstandort für die Fertigung | Produktion | in Arbeit | |
| Übung seit dem letzten Zyklus ausgeblieben | Rechenzentrum | in Arbeit | |
| Alarmierungskette dokumentiert | Krisenstab | erledigt |
ISO 22301 ist die internationale Norm für Business-Continuity-Managementsysteme. Sie gibt einen Rahmen vor, mit dem Organisationen ein dokumentiertes Managementsystem planen, aufbauen, betreiben, überwachen, bewerten, aufrechterhalten und verbessern, um sich gegen störende Ereignisse zu schützen, deren Wahrscheinlichkeit zu senken und die Wiederherstellung sicherzustellen. Sie ist zertifizierbar.
In Deutschland steht daneben der BSI-Standard 200-4. Er gibt eine praxisnahe Anleitung, um ein Business Continuity Management System aufzubauen, und enthält ein Mapping auf die ISO 22301:2019.
Von der ersten Analyse bis zur laufenden Verbesserung. Was sich in der Übung nicht bewährt, fließt zurück in die Strategie.
Kritische Geschäftsprozesse, Ressourcen und Abhängigkeiten werden erfasst. Business Impact Analyse und Risikoanalyse bilden die Grundlage.
Aus der Analyse entsteht die Wiederherstellungsstrategie: Welcher Prozess muss wie schnell, mit welchen Mitteln und an welchem Ort wieder anlaufen?
Pläne, Verfahren, Verantwortlichkeiten und Ressourcen werden festgelegt und verfügbar gemacht, bevor der Ernstfall eintritt.
Der Plan wird praktisch erprobt, statt seine Wirksamkeit vorauszusetzen. Notfalltests und Übungen zeigen, ob die geforderten Zeiten erreichbar sind.
Ergebnisse aus Übungen, Audits und tatsächlichen Störungen fließen zurück. Der Zyklus beginnt mit aktualisierten Annahmen erneut.
Ändert sich ein Prozess, eine Abhängigkeit oder ein Dienstleister, beginnt der Zyklus für diesen Bereich erneut. Deshalb ist die Aktualität der Analyse wichtiger als der Umfang der Pläne.
Die Norm selbst ist nicht verpflichtend. Zur Pflicht wird Business Continuity durch Regulatorik, Kundenanforderungen und Aufsicht.
Die geforderte Wiederherstellungszeit (RTO) gibt an, wie lange ein Prozess ausfallen darf. Der zulässige Datenverlust (RPO) gibt an, wie viele Daten im Ernstfall verloren gehen dürfen. Beide Werte werden in der Business Impact Analyse festgelegt und im Test überprüft. Entscheidend ist die Abweichung zwischen geforderten und tatsächlich erreichten Werten.
Kein Prozess läuft isoliert wieder an. Er ist auf Anwendungen, Systeme, Standorte, Personen und Lieferanten angewiesen. Erst wenn diese Abhängigkeiten erfasst sind, lässt sich sagen, ob eine geforderte Zeit überhaupt erreichbar ist.
Ob ein Plan funktioniert, zeigt erst der Test. Prüfer, Kunden und Aufsichtsbehörden erwarten nachvollziehbar dokumentierte Tests, Übungen und Verbesserungsmaßnahmen.
Acht Bausteine, die aufeinander aufbauen. Ohne Analyse gibt es keine Strategie, ohne Übung keinen Nachweis.
| Baustein | Grundlage | Was verlangt wird | So bilden Sie es in CRISAM® ab |
|---|---|---|---|
| Kontext und Anwendungsbereich | ISO 22301 | Festlegen, welche Standorte, Organisationseinheiten und Prozesse das Managementsystem umfasst, und die Erwartungen interessierter Parteien erheben | Kritische Geschäftsprozesse, Ressourcen und Abhängigkeiten werden zentral erfasst und miteinander verknüpft. |
| Führung und Leitlinie | ISO 22301 | Die oberste Leitung verantwortet das BCMS, gibt die Leitlinie vor und stellt Ressourcen und Verantwortlichkeiten bereit | Strukturen, Verantwortlichkeiten und Workflows sind klar definiert. KPI-basierte Dashboards liefern die Entscheidungsgrundlage für die Leitung. |
| Business Impact Analyse | ISO 22301, BSI 200-4 | Je Prozess bestimmen, welche Folgen ein Ausfall hat, ab wann sie untragbar werden und welche Ressourcen für den Wiederanlauf nötig sind | Business Impact Analysen und Risikoanalysen bilden die Grundlage für belastbare Wiederherstellungsstrategien. Abhängigkeiten sind direkt mit dem jeweiligen Prozess verknüpft. |
| Risikobeurteilung | ISO 22301, BSI 200-4 | Bedrohungen und Schwachstellen bewerten, die zu einer Unterbrechung führen können, und die Behandlung festlegen | Risiken, Kontrollen, Maßnahmen und Tests werden gemeinsam gesteuert, statt in getrennten Ablagen geführt zu werden. |
| Wiederherstellungsstrategie mit RTO und RPO | ISO 22301, BSI 200-4 | Festlegen, wie schnell jeder zeitkritische Prozess wieder anlaufen muss und wie viel Datenverlust zulässig ist, und die Mittel dafür bereitstellen | Identifizieren, bewerten und behandeln Sie Abweichungen zwischen geforderten und tatsächlichen Wiederherstellungszeiten strukturiert und nachvollziehbar. |
| Pläne und Verfahren | ISO 22301, BSI 200-4 | Dokumentierte Verfahren für Alarmierung, Krisenkommunikation, Notbetrieb und Wiederanlauf, mit benannten Verantwortlichen | Vordefinierte Inhalte, Kontrollziele und Bewertungsgrundlagen für Aufbau und Betrieb eines BCMS stehen bereit, ergänzt um praxisorientierte Checklisten und Fragen-Sets. |
| Test und Übung | ISO 22301, BSI 200-4 | Die Pläne in geplanten Abständen erproben, die Ergebnisse auswerten und Abweichungen in Maßnahmen überführen | CRISAM® unterstützt Audits, Notfalltests und Übungen und erleichtert die revisionssichere Nachweisführung gegenüber Prüfern, Kunden und weiteren Stakeholdern. |
| Bewertung, Audit und Verbesserung | ISO 22301 | Wirksamkeit messen, interne Audits durchführen, das System durch die Leitung bewerten lassen und fortlaufend verbessern | Standardisierte Management- und Auditberichte und eine nachvollziehbare Dokumentation von Tests, Übungen und Verbesserungsmaßnahmen schaffen jederzeit Transparenz über Reifegrad, Status und Abweichungen. |
Vom kritischen Prozess bis zum Nachweis für die Prüfung.
Jedem Prozess werden seine Abhängigkeiten zugeordnet: Anwendungen, Systeme, Standorte, Personen, Lieferanten. Ohne sie lässt sich keine Wiederanlaufzeit beurteilen.
Ein Prozess läuft nicht allein wieder an. Erst die Kette aus Anwendungen, Systemen, Standorten und Lieferanten zeigt, was erreichbar ist.
RTO und RPO gehören zusammenDie geforderte Wiederherstellungszeit sagt, wie lange es dauern darf. Der zulässige Datenverlust sagt, wie viel Arbeit verloren gehen darf.
Die Begründung zählt im AuditWarum ein Prozess als zeitkritisch gilt, muss nachvollziehbar sein, nicht nur die Einstufung selbst.
Die Business Impact Analyse zeigt, ab wann ein Ausfall kritisch wird, und zwar je Prozess und Zeitfenster statt als Gesamteinschätzung.
| Prozess | 1 Stunde | 4 Stunden | 1 Tag | 3 Tage | 1 Woche | RTO |
|---|---|---|---|---|---|---|
| Auftragsabwicklung | 4 h | |||||
| Produktion Standort Süd | 24 h | |||||
| Kundenservice | 24 h | |||||
| Lohnabrechnung | 1 Woche | |||||
| Marketing und Kommunikation | 2 Wochen |
Gefordertes und heute Erreichtes stehen direkt nebeneinander. An der Abweichung dazwischen setzen die Maßnahmen an.
| Prozess | RTO gefordert | RTO tatsächlich | RPO gefordert | Ursache | Einstufung |
|---|---|---|---|---|---|
| Auftragsabwicklung | 4 h | 11 h | 1 h | Kein Ausweichsystem für das ERP | |
| Produktion Standort Süd | 24 h | 72 h | 4 h | Kein Ausweichstandort | |
| Rechenzentrum | 2 h | 5 h | 1 h | Wiederanlauf nicht geübt | |
| Kundenservice | 24 h | 26 h | 8 h | Telefonie hängt an einem Anbieter | |
| Lohnabrechnung | 1 Woche | 3 Tage | 1 Tag | keine Abweichung |
Aus jeder Abweichung entsteht eine Maßnahme mit Verantwortlichem und Termin. Der Fortschritt fließt in dieselbe Auswertung zurück, aus der die Abweichung stammt.
Erst die Auswertung macht eine Übung zum Nachweis. Umfang, Beteiligte, Ergebnis und die abgeleiteten Maßnahmen werden direkt am geprüften Plan dokumentiert.
| Übung | Art | Umfang | Ziel | Ergebnis | Maßnahmen |
|---|---|---|---|---|---|
| Ausfall ERP | Planbesprechung | Vertrieb, IT | RTO 4 h | 3 | |
| Wiederanlauf Rechenzentrum | Technischer Test | IT-Betrieb | RTO 2 h | 2 | |
| Alarmierung Krisenstab | Unangekündigt | Leitung | 30 Minuten | 1 | |
| Ausfall Telefonie | Planbesprechung | Kundenservice | RTO 24 h | 2 | |
| Evakuierung Standort Süd | Vollübung | Alle | Vollständigkeit | 1 | |
| Ausfall Spedition | Planbesprechung | Logistik, Einkauf | RTO 24 h | 2 |
| Übung | Offener Punkt | Verantwortlich |
|---|---|---|
| Ausfall ERP | Kein Ausweichsystem, Zielzeit nicht erreichbar | IT-Betrieb |
| Ausfall Spedition | Ersatzdienstleister nicht vertraglich gebunden | Einkauf |
Am Ende steht der Bericht, der Reifegrad, Abweichungen und geübte Pläne gegenüberstellt. Dieselbe Grundlage dient für Audit, Kundenanfrage und Aufsichtsgespräch.
| Nachweis | Inhalt | Stand | Verantwortlich | Status |
|---|---|---|---|---|
| Leitlinie Business Continuity | Freigabe durch die Leitung | 16.02.2026 | Geschäftsführung | |
| Business Impact Analyse | 64 Prozesse, 17 zeitkritisch | 03.09.2026 | BCM | |
| Wiederherstellungsstrategie | Je zeitkritischem Prozess | in Überarbeitung | BCM | |
| Notbetriebs- und Wiederanlaufpläne | 12 von 17 Prozessen | 12.08.2026 | Fachbereiche | |
| Übungsprotokolle | 11 Tests und Übungen | 15.09.2026 | BCM | |
| Managementbewertung | Bewertung des BCMS | geplant 02/2027 | Geschäftsführung |
Leitlinie, Ressourcen, Entscheidung im Ernstfall, Managementbewertung.
Business Impact Analyse, Strategie, Pläne, Übungsplanung und Auswertung.
Wiederanlauf von Systemen, technische Tests, Ausweichlösungen.
Notbetriebsverfahren, Abhängigkeiten, Wiederanlauffähigkeit der Lieferanten.
CRISAM® betrachtet Business Continuity nicht isoliert, sondern als Bestandteil eines integrierten Managementsystems. Risiken, Kontrollen, Maßnahmen und Tests werden gemeinsam gesteuert.
CRISAM® unterstützt beide Standards und stellt praxisorientierte Checklisten und Fragen-Sets zur Verfügung.
Kontrollziele und Bewertungsgrundlagen für Aufbau und Betrieb eines BCMS sind enthalten, ergänzt durch regelmäßige Inhaltsaktualisierungen.
Durch die Integration in angrenzende Managementsysteme wie ISMS, Risikomanagement oder IKS entsteht ein gemeinsames Modell statt dreier Ablagen. Wie CRISAM® BCM abbildet, steht unter Business Continuity Management.
Beide beschreiben ein Business Continuity Management System, aber mit unterschiedlichem Anspruch. ISO 22301 ist eine internationale Norm und zertifizierbar. Der BSI-Standard 200-4 gibt eine praxisnahe Anleitung, um ein BCMS in der eigenen Institution aufzubauen und zu etablieren, und stellt ein Mapping auf die ISO 22301:2019 bereit, um die Kompatibilität aufzuzeigen. Die beiden Standards schließen sich also nicht aus.
| Kriterium | ISO 22301 | BSI-Standard 200-4 |
|---|---|---|
| Herausgeber | Internationale Organisation für Normung | Bundesamt für Sicherheit in der Informationstechnik |
| Ausgabe | ISO 22301:2019, zweite Ausgabe, Oktober 2019 | Modernisierte Fassung, als Dokument beim BSI abrufbar |
| Charakter | Anforderungsnorm, zertifizierbar | Anleitung mit Stufenmodell, nicht eigenständig zertifizierbar |
| Einstieg | Das vollständige Managementsystem von Anfang an | Drei Stufen: Reaktiv-BCMS, Aufbau-BCMS und Standard-BCMS |
| Verhältnis zueinander | Der internationale Bezugspunkt | Der Anforderungskatalog enthält ein Mapping auf die ISO 22301:2019 |
| Typischer Anlass | Kunden, Ausschreibungen, internationale Konzernvorgaben | Öffentliche Auftraggeber, Verwaltung, Nähe zum IT-Grundschutz |
| Abbildung in CRISAM® | BCMS Knowledge Pack mit Kontrollzielen und Bewertungsgrundlagen | Dieselben Inhalte, zusätzlich auf den BSI-Standard bezogen |
Wer aus dem IT-Grundschutz kommt, findet im BSI-Standard 200-4 die vertraute Systematik und kann über die Stufen einsteigen. Wer international nachweisen muss, braucht die Zertifizierung nach ISO 22301. In beiden Fällen bleiben Business Impact Analyse, Abhängigkeiten und Übungen dieselben. Eine Übersicht aller Regelwerke, die CRISAM® abdeckt, finden Sie unter Normen und Standards.
Der erste Schritt hängt davon ab, wo Sie heute stehen.
Dann beginnen Sie mit der Business Impact Analyse. Erst wenn kritische Prozesse, Ressourcen und Abhängigkeiten erfasst sind, lässt sich sagen, ob die vorhandenen Pläne zu den geforderten Zeiten passen.
Dann steht die Gegenüberstellung im Mittelpunkt. Geforderte und tatsächliche Wiederherstellungszeiten stehen nebeneinander, die Abweichung wird bewertet und in Maßnahmen überführt.
Dann ergänzen Sie Business Continuity, ohne ein zweites System einzuführen. Prozesse, Assets und Risiken sind bereits modelliert, die BCM-Sicht baut darauf auf.
Sie benötigen dafür die CRISAM® GRC Plattform, das CRISAM® BCMS Modul und das BCMS Knowledge Pack. In der Demo besprechen wir Ihre Ausgangslage und zeigen, was davon bei Ihnen bereits vorhanden ist.
ISO 22301 ist die internationale Norm für Business-Continuity-Managementsysteme. Sie gibt einen Rahmen vor, mit dem Organisationen ein dokumentiertes Managementsystem planen, aufbauen, betreiben, überwachen, bewerten, aufrechterhalten und verbessern, um sich gegen störende Ereignisse zu schützen, deren Wahrscheinlichkeit zu senken und die Wiederherstellung sicherzustellen. Sie ist zertifizierbar.
Gültig ist ISO 22301:2019, die zweite Ausgabe, veröffentlicht im Oktober 2019. In Deutschland steht daneben der BSI-Standard 200-4, der eine praxisnahe Anleitung zum Aufbau eines Business Continuity Management Systems gibt.
Beide beschreiben ein Business Continuity Management System, aber mit unterschiedlichem Anspruch. ISO 22301 ist eine internationale Norm und zertifizierbar. Der BSI-Standard 200-4 gibt eine praxisnahe Anleitung, um ein BCMS in der eigenen Institution aufzubauen und zu etablieren, und stellt ein Mapping auf die ISO 22301:2019 bereit, um die Kompatibilität aufzuzeigen. Die beiden Standards schließen sich also nicht aus.
Die Business Impact Analyse bestimmt je Prozess, welche Folgen ein Ausfall hat, ab wann diese Folgen untragbar werden und welche Ressourcen für den Wiederanlauf nötig sind. Sie ist die Grundlage für die Wiederherstellungsstrategie. In CRISAM® werden kritische Geschäftsprozesse, Ressourcen und Abhängigkeiten zentral erfasst, Business Impact Analysen und Risikoanalysen bilden die Grundlage für belastbare Wiederherstellungsstrategien.
Die geforderte Wiederherstellungszeit (RTO) gibt an, wie lange ein Prozess ausfallen darf. Der zulässige Datenverlust (RPO) gibt an, wie viele Daten im Ernstfall verloren gehen dürfen. Beide Werte werden in der Business Impact Analyse festgelegt und im Test überprüft. Entscheidend ist die Abweichung zwischen geforderten und tatsächlich erreichten Werten.
NIS2 nennt Business Continuity und Backup-Management als einen der Maßnahmenbereiche nach dem Stand der Technik. DORA verlangt von Finanzunternehmen, die digitale operationale Resilienz regelmäßig zu testen. Dazu kommen Anforderungen aus Kundenverträgen und von Aufsichtsbehörden. ISO 22301 selbst ist freiwillig, wird aber häufig als Nachweis verlangt.
Entscheidend ist, ob Analyse, Pläne, Übungen und Nachweise in einem gemeinsamen Modell verknüpft sind. CRISAM® erfasst kritische Prozesse, Ressourcen und Abhängigkeiten zentral, stellt vordefinierte Inhalte, Kontrollziele und Bewertungsgrundlagen bereit, unterstützt relevante Standards wie ISO 22301 und BSI 200-4 und liefert standardisierte Berichte sowie KPI-basierte Dashboards zu Reifegrad, Status und Abweichungen.
Durch die Dokumentation von Umfang, Beteiligten, Zielzeit, Ergebnis und den daraus abgeleiteten Maßnahmen. CRISAM® unterstützt Audits, Notfalltests und Übungen und erleichtert die revisionssichere Nachweisführung gegenüber Prüfern, Kunden und weiteren Stakeholdern. Eine Übung ohne Auswertung ist kein Nachweis.
Die Angaben zur Norm und zum BSI-Standard auf dieser Seite stammen aus den folgenden Quellen.
Die Angaben geben den Stand der genannten Quellen zum oben angeführten Prüfstand wieder.
In der Demo gehen wir Ihren Fall durch: kritische Prozesse, Business Impact Analyse, die Abweichung zwischen geforderten und tatsächlichen Wiederherstellungszeiten und den abschließenden Bericht.
Bleiben wir in Kontakt
Telefon
Newsletter
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
