Na kratko
ISO 22301 določa zahteve za sistem vodenja neprekinjenega poslovanja. Jedro je analiza vpliva na poslovanje (BIA), iz katere izhajajo strategije, načrti in vaje. Uvedemo ga samostojno ali kot nadgradnjo sistema po ISO/IEC 27001 in zahtev ZInfV-1 – z eno notranjo presojo in enim vodstvenim pregledom.
Za koga je ISO 22301 smiseln?
- za zavezance po ZInfV-1, ki morajo imeti politiko in načrt neprekinjenega poslovanja z oceno vpliva na poslovanje ter načrt obnovitve sistemov;
- za organizacije s certifikatom ISO/IEC 27001, ki želijo kontrole A.5.29 in A.5.30 podpreti s celovitim sistemom;
- za ponudnike storitev, od katerih kupci zahtevajo dokazljivo razpoložljivost;
- za proizvodna podjetja, pri katerih izpad sistema pomeni zastoj proizvodnje in dobav.
Kaj vključuje sistem vodenja neprekinjenega poslovanja?
- analiza vpliva na poslovanje (BIA) z RTO, RPO in MTPD;
- ocena tveganj za motnje poslovanja;
- strategije in rešitve neprekinjenega poslovanja;
- načrti neprekinjenega poslovanja in obnovitve;
- krizno komuniciranje;
- vaje in testiranje;
- notranja presoja in vodstveni pregled.
Kaj pomenijo RTO, RPO in MTPD?
| Pojem | Pomen |
|---|---|
| MTPD | najdaljše sprejemljivo obdobje motnje – čas, po katerem bi bile posledice izpada dejavnosti nesprejemljive |
| RTO | ciljni čas obnovitve – v katerem času je treba po motnji ponovno vzpostaviti dejavnost ali vir; krajši od MTPD |
| RPO | ciljna točka obnovitve – do katerega trenutka morajo biti podatki obnovljeni, torej največja sprejemljiva izguba podatkov |
Vrednosti morajo biti utemeljene v BIA in preverjene z vajami – pavšalni RTO in RPO sta pri presoji in nadzoru pogosta ugotovitev.
Kako poteka uvedba ISO 22301?
Uporabljamo enak okvir petih faz kot pri ISO/IEC 27001; vsaka faza se zaključi s predanimi rezultati.
Analiza obstoječega stanja
Kontekst, obseg sistema, obstoječi načrti in odvisnosti.
Rezultat: poročilo o analizi vrzeli z akcijskim načrtom.
BIA in ocena tveganj
Kritične dejavnosti, viri in dobavitelji, RTO, RPO in MTPD, tveganja za motnje.
Rezultat: analiza vpliva na poslovanje in register tveganj.
Strategije
Izbira rešitev za ljudi, prostore, informacijske sisteme, podatke in dobavitelje.
Rezultat: strategije neprekinjenega poslovanja, potrjene pri vodstvu.
Načrti
Načrti neprekinjenega poslovanja in obnovitve, krizni tim in krizno komuniciranje.
Rezultat: dokumentirani načrti in postopki.
Vaje in priprava na certifikacijo
Program vaj, izvedba vaje, notranja presoja, vodstveni pregled in podpora na certifikacijski presoji.
Rezultat: poročilo o vaji, poročilo o notranji presoji in zapisnik vodstvenega pregleda.
Kako se ISO 22301 povezuje z ZInfV-1, ISO 27001 in ISO 9001?
- ZInfV-1: neprekinjeno poslovanje in krizno upravljanje sta del ukrepov za obvladovanje tveganj. Več o ZInfV-1
- ISO/IEC 27001: kontroli A.5.29 (varnost informacij med motnjo) in A.5.30 (pripravljenost IKT na neprekinjeno poslovanje). Več o ISO 27001
- ISO 9001: enaka struktura zahtev omogoča en integriran sistem vodenja. Več o ISO 9001
Veljavna izdaja: ISO 22301:2019 z dopolnilom Amd 1:2024 (podnebne spremembe).
Pogosta vprašanja o ISO 22301
Ali je ISO 22301 obvezen za zavezance po ZInfV-1?
Ne. ZInfV-1 med varnostno dokumentacijo zahteva politiko in načrt neprekinjenega poslovanja z oceno vpliva na poslovanje ter načrt obnovitve sistemov. ISO 22301 je sistematičen okvir, s katerim to izpolnite in dokažete; certifikat ni pogoj.
Kakšna je razlika med načrtom neprekinjenega poslovanja in načrtom obnovitve IT?
Načrt neprekinjenega poslovanja določa, kako organizacija ob motnji nadaljuje kritične dejavnosti – ljudje, prostori, dobavitelji in komuniciranje. Načrt obnovitve IT je njegov tehnični del: kako v zahtevanem času obnoviti sisteme in podatke.
Ali lahko ISO 22301 uvedemo skupaj z ISO 27001?
Da. Standarda imata enako strukturo zahtev, zato vzpostavimo eno dokumentacijo, eno notranjo presojo in en vodstveni pregled; certifikacijski organ lahko izvede kombinirano presojo.
Kako pogosto je treba izvajati vaje?
Standard zahteva vaje in testiranje v načrtovanih presledkih in ob pomembnih spremembah. Pogostost določite v programu vaj glede na kritičnost dejavnosti; rezultati vaj se uporabijo za izboljšave načrtov.
Katera izdaja standarda velja?
ISO 22301:2019 z dopolnilom Amd 1:2024, ki dodaja upoštevanje podnebnih sprememb pri razumevanju organizacije in njenega konteksta.
Viri
- ISO 22301:2019 – Security and resilience – Business continuity management systems – Requirements (ISO)
- ISO/IEC 27001:2022 – Information security management systems – Requirements (ISO)
- URSIV – Pojasnila k ZInfV-1, različica 1.4 (januar 2026)
Zadnja posodobitev: · Pripravila ekipa Regulus Ai
Želite oceniti, katere dejavnosti so za vas kritične?
Dogovorite uvodni posvet