ISO 22301 er den internationale standard for forretningskontinuitet (BCMS - et ledelsessystem, der skal holde driften kørende under afbrydelser). Den er frivillig og bruges af både private og offentlige organisationer. Følger I den, skal I analysere konsekvenserne af driftsstop, lægge planer og afprøve dem gennem øvelser.
I skal afklare interne og eksterne forhold, interessenternes behov og ledelsessystemets omfang, før I bygger videre.
Pkt. 4En business impact analysis (BIA - hvad et driftsstop koster, og hvor hurtigt aktiviteter skal være oppe igen) og en risikovurdering er fundamentet for planlægningen.
Pkt. 8.2Ud fra analysen vælger I strategier og skriver dokumenterede planer med roller, kommunikation og konkrete handlinger under en afbrydelse.
Pkt. 8.3-8.4Planerne afprøves gennem øvelser. Ledelsessystemet forbedres løbende efter Plan-Do-Check-Act (planlæg, udfør, kontrollér, forbedr) - blandt andet med intern audit (egen kontrol af, om systemet virker) og ledelsens gennemgang.
Pkt. 8.5 og pkt. 9-10ISO 22301 følger den fælles struktur for ISO's ledelsessystemstandarder - Annex SL, i dag officielt kaldet den harmoniserede struktur - og bygger på Plan-Do-Check-Act. Samme struktur går igen i fx ISO 9001 og ISO/IEC 27001. Det gør flere ledelsessystemer lettere at kombinere.
ISO 22301 rummer de krav, man kan certificeres efter. ISO 22313:2020 vejleder om at indføre dem, og ISO/TS 22317:2021 går i dybden med business impact analysis (BIA).
Standarden fik i februar 2024 et tillæg (ISO 22301:2019/Amd 1:2024). I skal tage stilling til, om klimaforandringer er et relevant forhold, når konteksten afklares (pkt. 4.1 og 4.2).
ISO har sat en revision i gang, men der er endnu ikke udgivet en ny udgave. ISO 22301:2019 med klimatillægget gælder fortsat.
Standarden er frivillig, og der føres ikke offentligt tilsyn med den. Vil I certificeres, sker vurderingen af et uafhængigt certificeringsorgan, som selv skal være akkrediteret (godkendt til at udstede certifikater) af et nationalt akkrediteringsorgan. Figuren nedenfor viser, hvem der godkender hvem.
Dansk Standard udgiver og sælger den danske udgave (DS/EN ISO 22301) og holder kurser. De fører ikke tilsyn med, om standarden overholdes.
ISO 22301 er frivillig, mens beredskabsloven, NIS2, CER og DORA er bindende regler. Standarden kan bruges som fælles metode til reglernes krav om kontinuitet og beredskab, men erstatter dem ikke. Den supplerer ofte ISO/IEC 27001 (informationssikkerhed).
Nej. ISO 22301 er en frivillig international standard, ikke en lov. Ingen er forpligtet til at følge den. Den kan dog bruges som ramme til at opfylde lovkrav om beredskab og kontinuitet, fx under NIS2.
ISO 22301 indeholder de krav, man kan certificeres efter. ISO 22313:2020 er en vejledning til at indføre kravene, og ISO/TS 22317:2021 er en mere detaljeret vejledning til business impact analysis (analyse af konsekvenserne ved driftsstop).
Ja. En organisation kan blive certificeret af et uafhængigt certificeringsorgan, der gennemgår ledelsessystemet. Certificeringsorganet skal være akkrediteret af et nationalt akkrediteringsorgan - i Danmark DANAK - men ISO 22301-certifikater udstedes i praksis ofte under udenlandsk akkreditering, fx UKAS eller RvA.
Få en uforpligtende gennemgang af, hvad der gælder for jer, og hvordan I dokumenterer beredskabet.
Kontakt for en gennemgangSkal I omsætte kravene til en konkret beredskabsplan?