Czym jest ISO 22301?
ISO 22301 określa wymagania dotyczące ustanowienia, wdrożenia, utrzymania i ciągłego doskonalenia Systemu Zarządzania Ciągłością Działania (BCMS, Business Continuity Management System). Celem systemu jest ochrona organizacji przed zakłóceniami, zmniejszenie prawdopodobieństwa ich wystąpienia, przygotowanie skutecznej reakcji oraz odtworzenie priorytetowych działań w zaplanowanym czasie i zakresie. Aktualne wydanie to ISO 22301:2019 (druga edycja, zastąpiła wydanie z 2012 roku); praktyczne wytyczne wdrożeniowe zawiera towarzysząca norma ISO 22313.
Norma jest zbudowana na zharmonizowanej strukturze systemów zarządzania (Annex SL), wspólnej z ISO 27001 i ISO 9001: rozdziały 4-10 obejmują kontekst organizacji, przywództwo, planowanie, wsparcie, działania operacyjne, ocenę efektów i doskonalenie. Sercem normy jest rozdział 8: analiza wpływu na biznes (BIA), ocena ryzyka zakłóceń, strategie i rozwiązania ciągłości, plany ciągłości działania oraz program ćwiczeń i testów.
Kogo dotyczy?
Certyfikacja ISO 22301 jest dobrowolna i dostępna dla każdej organizacji, niezależnie od wielkości i branży. Najczęściej wdrażają ją organizacje, dla których przerwa w działaniu oznacza natychmiastowe straty lub odpowiedzialność wobec klientów: dostawcy usług IT i chmurowych, centra danych, instytucje finansowe, operatorzy usług kluczowych, firmy logistyczne i produkcyjne oraz podmioty administracji publicznej.
Ciągłość działania coraz częściej przestaje być wyłącznie dobrą praktyką i staje się wymaganiem prawnym lub kontraktowym. Dyrektywa NIS 2 (artykuł 21 ustęp 2 litera c) wymaga od podmiotów kluczowych i ważnych środków zapewniających ciągłość działania, zarządzanie kopiami zapasowymi i przywracanie normalnego działania po incydencie oraz zarządzanie kryzysowe. Rozporządzenie DORA (artykuły 11-12) nakłada na podmioty finansowe obowiązek posiadania polityki ciągłości działania ICT oraz planów reagowania i przywracenia sprawności. Wdrożony BCMS według ISO 22301 to najkrótsza droga do wykazania spełnienia tych wymagań, a także kontroli A.5.29 i A.5.30 z ISO/IEC 27001.
Kluczowe pojęcia: BIA, RTO, RPO
Fundamentem BCMS jest analiza wpływu na biznes (BIA, Business Impact Analysis). Organizacja identyfikuje w niej działania priorytetowe, czyli procesy, których przerwanie najszybciej i najdotkliwiej uderza w klientów, finanse, zgodność z prawem i reputację, oraz ocenia, jak skutki zakłócenia narastają w czasie. Z BIA wynikają parametry czasowe: maksymalny tolerowany czas przestoju (MTPD), docelowy czas odtworzenia (RTO, czyli po jakim czasie proces musi znowu działać) oraz docelowy punkt odtworzenia (RPO, czyli jak dużą utratę danych organizacja może zaakceptować).
Na podstawie BIA i oceny ryzyka organizacja dobiera strategie i rozwiązania ciągłości (na przykład redundancję infrastruktury, lokalizację zapasową, pracę zdalną, dostawców alternatywnych), a następnie dokumentuje plany ciągłości działania (BCP) i plany odtworzenia ICT (DR). Skuteczność całości weryfikuje program ćwiczeń: od ćwiczeń sztabowych po techniczne testy przywracania systemów z pomiarem faktycznie osiągniętych czasów względem RTO i RPO.
Struktura wymagań
Wymagania normy podlegające audytowi obejmują rozdziały 4-10 i układają się w cykl PDCA. Zaplanuj (rozdziały 4-7): zrozumienie kontekstu i wymagań stron zainteresowanych, zakres BCMS, polityka i cele ciągłości, role, kompetencje, świadomość i nadzorowana dokumentacja. Wykonaj (rozdział 8): BIA i ocena ryzyka, strategie i rozwiązania, struktura reagowania na incydenty z procedurami ostrzegania i komunikacji, plany ciągłości oraz program ćwiczeń i testowania.
Sprawdź (rozdział 9): monitorowanie i pomiary skuteczności, audyty wewnętrzne oraz przegląd zarządzania z udziałem najwyższego kierownictwa. Działaj (rozdział 10): postępowanie z niezgodnościami, działania korygujące i ciągłe doskonalenie. Audytor oczekuje, że system będzie żywy: BIA aktualizowana po zmianach, ćwiczenia przeprowadzane zgodnie z harmonogramem, a wnioski z ćwiczeń i rzeczywistych incydentów widoczne w kolejnych wersjach planów.
Jak wygląda certyfikacja?
Certyfikat wydaje niezależna, akredytowana jednostka certyfikująca. Audyt certyfikacyjny przebiega w dwóch etapach: Stage 1 to przegląd dokumentacji i gotowości (zakres, polityka, BIA, strategie, plany), a Stage 2 to weryfikacja wdrożenia. Audytor prześledzi wybrane procesy krytyczne od BIA przez strategię po plan i wyniki jego przetestowania, porozmawia z zespołem kryzysowym i sprawdzi zapisy z ćwiczeń.
Certyfikat jest ważny 3 lata, z corocznymi audytami nadzoru i pełną recertyfikacją przed końcem cyklu. Czas wdrożenia zależy od wielkości organizacji i dojrzałości istniejących praktyk, typowo od 3 do 9 miesięcy. Do audytu warto podchodzić po przeprowadzeniu co najmniej jednego pełnego cyklu: BIA, wdrożone strategie, przeprowadzone ćwiczenie z wnioskami, audyt wewnętrzny i przegląd zarządzania. ISO 22301 dobrze łączy się z ISO/IEC 27001 w audyt zintegrowany, bo znaczna część dokumentacji systemowej jest wspólna.
Co daje wdrożenie?
Wdrożony BCMS zamienia deklaracje o odporności w zweryfikowaną, przećwiczoną zdolność organizacji do przetrwania zakłócenia.
- Krótsze i mniej kosztowne przestoje: priorytety odtwarzania, plany i przećwiczone procedury zamiast improwizacji w kryzysie.
- Wiarygodność wobec klientów i regulatorów: certyfikat odpowiada na pytania o ciągłość działania w przetargach, kwestionariuszach dostawców i umowach SLA.
- Spełnienie wymagań NIS 2 (artykuł 21 ustęp 2 litera c), DORA (artykuły 11-12) oraz kontroli ciągłości ISO/IEC 27001 (A.5.29, A.5.30) jedną, spójną pracą.
- Świadome decyzje inwestycyjne: BIA pokazuje, które procesy naprawdę wymagają redundancji, a gdzie wystarczą prostsze rozwiązania.
- Niższe ryzyko utraty klientów po incydencie dzięki przygotowanej komunikacji kryzysowej i realnym czasom odtworzenia.
Jak pomaga Guardiso?
Guardiso prowadzi Cię przez budowę BCMS krok po kroku: od pierwszej samooceny, przez BIA i plany, po program ćwiczeń i dowody dla audytora.
- Komplet 31 wymagań ISO 22301 (klauzule 4-10) tworzony automatycznie po włączeniu standardu, z opisami, statusami wdrożenia i właścicielami.
- Polityka ciągłości działania, plany BC/DR i procedury komunikacji kryzysowej generowane z szablonów i dopasowywane do organizacji.
- Rejestr ryzyk obejmujący scenariusze zakłóceń, powiązany z kontrolami i planami postępowania.
- Zadania cykliczne pilnujące żywotności systemu: coroczna aktualizacja BIA, ćwiczenia zgodnie z harmonogramem, testy odtworzeniowe kopii zapasowych, przeglądy list kontaktowych.
- Zbieranie dowodów w jednym miejscu: raporty z ćwiczeń, wyniki testów DR, protokoły przeglądów zarządzania, gotowe do pokazania audytorowi.
- Mapowanie krzyżowe na ISO 27001, NIS 2 i DORA: praca wykonana w BCMS zalicza wymagania ciągłości w pokrewnych ramach.