ISO 22301:2019 Система за управление на непрекъснатостта на бизнеса
Когато нещо се обърка — срив, пожар, кибератака, отпаднал доставчик — знаете кое е критично, колко време имате и кой какво прави.
- анализ на въздействието
- BIA
- време за възстановяване
- RTO
- задължителни клаузи (4–10)
- 7
- валидност на сертификата
- 3 г.
Третото издание е в разработка
Текущото издание е ISO 22301:2019 с Изменение 1:2024. Третото издание е на ранен етап на разработка през 2026 г., затова сертифицирането по сегашната версия е напълно актуално.
Какво е ISO 22301
ISO 22301 определя изискванията към система за управление на непрекъснатостта на бизнеса. Тя гарантира, че критичните дейности могат да продължат или да бъдат възстановени в приемливо време след прекъсване.
Сърцевината е анализът на въздействието върху бизнеса (BIA): кои дейности са критични, колко дълго могат да спрат и какви ресурси им трябват.
Стандартът е тясно свързан с изискванията за устойчивост в NIS2 и DORA и с ISO/IEC 27001 — контрол 5.30 „Готовност на ИКТ за непрекъсваемост на дейността“.
Колко струва един час престой?
ISO 22301 е за всяка организация, за която спирането струва скъпо — финансово, договорно или репутационно. Пресметнете поне пропуснатите приходи.
- ИТ, хостинг и SaaS
- Банки, застрахователи и платежни институции (DORA)
- Субекти по NIS2
- Логистика и куриери
- Производство „точно навреме“
- Здравеопазване и лаборатории
- Доставчици на държавата и общините
- Колцентрове и аутсорсинг
Сряда, 08:30 — няма ток, няма интернет
Авария спира тока и връзката в централния офис на логистична фирма. Ето как изглежда денят, когато планът за непрекъснатост е готов.
Прекъсване
Офисът е без ток и интернет. Поръчките спират.
- Сигнал до кризисния екип
- Оценка на въздействието
- Решение за активиране на плана
Активиране
Кризисният екип се събира онлайн за 15 минути.
- Роли по плана
- Съобщение до клиентите
- Връзка с доставчиците
Стратегия
Екипите минават на дистанционна работа и резервна връзка.
- Облачни системи
- Резервен 4G интернет
- Приоритет по анализа на въздействието
Възстановяване
Критичните дейности са възстановени преди своите RTO.
- Поръчки — за 3 часа
- Склад — за 6 часа
- Фактуриране — за 20 часа
Поуки
Прегледът след инцидента подобрява плана.
- Доклад след инцидента
- Обновен план и контакти
- Ново учение след 6 месеца
Една система — няколко изисквания
Непрекъснатостта вече е задължение по закон и по договор. ISO 22301 е признатият начин да го покриете и докажете.
NIS2 Непрекъснатост, архиви, възстановяване и управление на кризи Анализ на въздействието, стратегии, планове и учения DORA Политика за непрекъснатост на ИКТ и тестване на плановете Документирани планове и програма за учения ISO 27001 Контроли 5.29 и 5.30 — сигурност при прекъсване и готовност на ИКТ Пълна система вместо отделни контроли GDPR Наличност и възстановяване на личните данни (чл. 32) Срокове за възстановяване и допустима загуба на данни Клиенти Договорни SLA и въпросници за доставчици Сертификат вместо дълги въпросници Застрахователи Доказани мерки при кибер и имуществени полици Протоколи от учения и тестове План, който работи в 8:30 сутринта
Не дебел наръчник, а кратки и ясни планове, които хората познават, защото са ги упражнявали.
Безплатна консултация- Анализ на въздействието върху бизнеса (BIA)
- Срокове за възстановяване (RTO и RPO) по дейности
- Оценка на риска от прекъсване
- Стратегии за хора, обекти, ИТ и доставчици
- План за управление на инциденти и кризи
- Планове за възстановяване по дейности
- Учение с протокол и препоръки
- Вътрешен одит и преглед от ръководството
Устойчивост и сигурност — заедно
ISO 22301 има обща структура с ISO 27001 и е естествената основа за изискванията за устойчивост.
Структурата на стандарта
Клаузи 4–10 са задължителни. Практическата същност е в клауза 8 — от анализа до ученията.
Клауза 4 — Контекст на организацията
Продукти и услуги, заинтересовани страни, законови изисквания, обхват на системата.
Клауза 5 — Лидерство
Ангажираност на ръководството, политика за непрекъснатост, роли и отговорности.
Клауза 6 — Планиране
Рискове и възможности, цели за непрекъснатост, планиране на промени.
Клауза 7 — Поддръжка
Ресурси, компетентност, осведоменост, комуникация, документирана информация.
Клауза 8 — Дейност
BIA и оценка на риска, стратегии и решения, планове за непрекъснатост, програма за учения.
Клауза 9 — Оценяване на изпълнението
Наблюдение, оценка на документацията и способностите, вътрешен одит, преглед.
Клауза 10 — Подобряване
Несъответствия, коригиращи действия, непрекъснато подобрение.
Ключовите елементи на клауза 8
Тук е практическата същност на стандарта — от анализа на въздействието до отработените учения.
- 01
Анализ на въздействието (BIA)
Кои дейности са критични и какво струва всеки час прекъсване.
- 02
Срокове за възстановяване
Максимално допустимо прекъсване, време за възстановяване (RTO) и допустима загуба на данни.
- 03
Оценка на риска
Какви прекъсвания са вероятни и как да се намалят.
- 04
Стратегии и решения
Резервни площадки, архиви, алтернативни доставчици, дистанционна работа.
- 05
Планове за непрекъснатост
Кой, какво и в какъв ред прави при инцидент.
- 06
Учения и тестове
Плановете се проверяват на практика, преди да потрябват.
Какво печелите
Устойчивост при срив
Критичните услуги се връщат в договорени срокове.
Основа за NIS2 и DORA
Признатата рамка за изискванията за непрекъснатост и възстановяване.
Доверие на клиентите
Договорите все по-често изискват доказана непрекъснатост.
По-малки загуби
По-кратко прекъсване означава по-малко пропуснати приходи.
Ясни роли при криза
Никой не импровизира, когато няма време.
Синергия с ISO 27001
Обща структура и общи контроли за ИКТ готовност.
Пътят до сертификата
Шест етапа с ясен резултат на всеки от тях.
- 01 1–2 седм.
Обхват и контекст
Кои продукти, услуги и локации влизат в системата.
- 02 2–4 седм.
BIA и оценка на риска
Критични дейности, срокове за възстановяване, рискове.
- 03 2–3 седм.
Стратегии
Решения за ресурси, хора, ИТ и доставчици.
- 04 2–4 седм.
Планове за непрекъснатост
Планове за реакция и възстановяване.
- 05 1–2 седм.
Учение и вътрешен одит
Проверка на плановете на практика.
- 06 Етап 1 + 2
Сертификационен одит
Етап 1 и Етап 2 от акредитиран орган.
Срок и цена — от какво зависят
Цената зависи основно от броя критични дейности и от ИТ зависимостта. Ето факторите — и калкулатор на срока.
Служители и локации
Определят обема на работа и одиторските дни.
Критични дейности
Колко продукта и услуги трябва да бъдат защитени.
ИТ зависимост
Системи, облачни услуги, архиви и резервни решения.
Доставчици
Критични доставчици и техните планове.
Учения
Мащабът на ученията и тестовете.
Такса за сертификация
Плаща се отделно на сертифициращия орган.
01 Каква е разликата между план за непрекъснатост и ISO 22301?
Планът за непрекъснатост (BCP) е документ. ISO 22301 е цялата система около него — анализ, стратегии, учения, отговорности и подобрение.
02 Свързан ли е с NIS2 и DORA?
Да. И двата регламента изискват мерки за непрекъснатост, архиви и възстановяване. ISO 22301 е признатата рамка за изпълнението им.
03 Може ли заедно с ISO 27001?
Да — структурата е обща, а контролите за непрекъснатост от Annex A на ISO 27001 се покриват естествено.
04 Колко често трябва учения?
Стандартът изисква програма от учения и тестове на планирани интервали. На практика — поне веднъж годишно и след значими промени.
05 Колко време отнема?
Обикновено 3 до 6 месеца, в зависимост от броя критични дейности. Използвайте калкулатора за ориентир.
Няма такъв въпрос в списъка — задайте го директно и ще ви отговорим.
Първата консултация е безплатна
Разкажете ни за фирмата и целта си. Ще получите ясен план и оферта до 1 работен ден.