ISO 22301

Klienci i przetargi pytają o certyfikat ISO 22301, gdy ich działanie zależy od tego, że Twoja usługa nie przestaje działać. Certyfikat pokazuje, że jednostka certyfikująca sprawdziła Twój system zarządzania ciągłością działania, w zakresie, który wybrałeś, względem normy. ISO opisuje normę jako ramy do planowania, prowadzenia, przeglądu i doskonalenia udokumentowanego systemu, który chroni przed zakłóceniami i pozwala po nich wrócić do pracy.

Norma pyta, jak utrzymujesz ciągłość przez cały rok. Firmie, która robi to pierwszy raz, najwięcej daje pętla: ustal, czego firma nie może stracić, wyznacz limity, zaplanuj, przećwicz, sprawdź.

ISO wykazuje ISO 22301:2019 jako opublikowaną, edycja 2, z października 2019 r., oraz jedną poprawkę z 2024 r. zatytułowaną „climate action changes”. W dniu sprawdzenia tej strony ISO pokazywało normę jako przeznaczoną do rewizji, z nową wersją w opracowaniu. ISO publikuje też osobny dokument z wytycznymi do stosowania normy. Zanim podpiszesz umowę, która wskazuje edycję, sprawdź stronę ponownie i zapytaj jednostkę certyfikującą, względem której edycji audytuje.

Wybierasz jednostkę certyfikującą i uzgadniasz zakres. Jednostka audytuje system względem normy i decyduje, czy wydać certyfikat. ISO podaje, że nie prowadzi certyfikacji ani nie wydaje certyfikatów, a firma nie może być certyfikowana przez ISO. ISO pisze też, że akredytacja jednostki certyfikującej nie jest obowiązkowa, ale radzi ją sprawdzić, i wskazuje globalną bazę do weryfikacji certyfikatu.

To, co dzieje się po wydaniu certyfikatu, jak często jednostka wraca i jak długo certyfikat obowiązuje, ustala jednostka certyfikująca w swoim schemacie. Strony ISO nie podają cyklu, więc ta strona go nie podaje. Zapytaj na piśmie, zanim się zobowiążesz.

Prawdopodobnie nie dla prawa. Przepisy, które tu mają znaczenie, wymagają ciągłości własnymi słowami. NIS2 wymienia wśród środków ciągłość działania, taką jak zarządzanie kopiami zapasowymi i odtwarzanie po awarii, oraz zarządzanie kryzysowe. DORA wymaga od podmiotów finansowych polityki ciągłości działania w zakresie ICT i udokumentowanych polityk kopii zapasowych. Zapytaj prawnika i swój organ nadzoru, jak traktują certyfikat, jeśli w ogóle.

Możliwie dla sprzedaży. Klienci, których własna ciągłość zależy od Twojej, pytają o niego w ankietach i przetargach. Zanim zobowiążesz się do cyklu certyfikacji, ustal, którzy z nich zaakceptowaliby plan i zapis odtworzenia.

Firma, która wykonała pracę nad kopiami zapasowymi i odtwarzaniem, ma limity odtwarzania, zapis odtworzenia i krótki plan kryzysowy. To materiał wyjściowy dla normy. Dodajesz pisemną analizę wpływu na biznes, program ćwiczeń, audyt wewnętrzny i przegląd zarządzania.

Certyfikat obejmuje tylko zakres, który wybrałeś, więc certyfikat na jedną usługę nic nie mówi o Twoich pozostałych systemach. Pokazuje datę i wystawcę, a nie pokazuje, że plan zadziałał w dniu prawdziwego incydentu. Nie jest zgodnością z NIS2 ani z DORA. Gdy organ pyta o coś spoza zakresu, certyfikat nie odpowiada. Norma jest płatna i na potrzeby tej strony nie została przeczytana w całości, więc numery klauzul sprawdź w swojej licencjonowanej kopii.