Wenn ein Cyber-Angriff die Produktivsysteme lahmlegt oder ein Brand das Rechenzentrum trifft, entscheidet sich in den ersten Stunden, ob ein Unternehmen handlungsfähig bleibt. Genau für diese Phase – die operative Reaktion im akuten Moment – bietet die internationale Norm ISO 22320:2018 einen erprobten Rahmen. Sie beschreibt, wie Organisationen ihre Führung, Koordination und Kommunikation in der Lage so aufstellen, dass Entscheidungen schnell und nachvollziehbar getroffen werden können, statt im Krisenmoment improvisiert zu werden.
ISO 22320:2018
„Sicherheit und Resilienz – Notfallmanagement – Leitlinien für die Vorfallbewältigung“ (englischer Originaltitel: Security and resilience – Emergency management – Guidelines for incident management). Die Norm ist ausdrücklich ein Leitfaden, keine zertifizierbare Anforderungsnorm. Sie liefert Organisationen jeder Größe eine Struktur für Führung, Koordination und Informationsmanagement während eines Schadensereignisses. Die heute gültige Fassung von 2018 löste die ältere Version von 2011 ab, die noch als Anforderungsnorm konzipiert war.
Was die Norm im Kern regelt
ISO 22320 konzentriert sich auf die unmittelbare Bewältigung eines Vorfalls und gliedert diese in drei eng verzahnte Handlungsfelder. Anders als ein vollständiges Managementsystem schreibt die Norm keine Dokumentenpyramide vor, sondern beschreibt, welche Funktionen in der akuten Lage zuverlässig zusammenspielen müssen.
Führung und Entscheidungsstruktur
Im Zentrum steht eine klare Befehls- und Entscheidungsstruktur mit benannten Rollen und Eskalationsbefugnissen. Wer die Lage führt, wer Entscheidungen freigibt und wer in Vertretung übernimmt, ist vorab festgelegt – damit im Ernstfall keine Zeit mit Zuständigkeitsfragen verloren geht. Die Norm orientiert sich dabei am Gedanken eines abgestuften Führungssystems, wie es auch im behördlichen Einsatzwesen üblich ist.
Koordination und Zusammenarbeit
In größeren Lagen sind mehrere Stellen beteiligt – interne Teams, Dienstleister, gegebenenfalls Behörden und Rettungskräfte. ISO 22320 legt besonderen Wert darauf, wie diese Akteure ihre Maßnahmen aufeinander abstimmen, Schnittstellen definieren und Ressourcen gemeinsam einsetzen, ohne dass parallele oder widersprüchliche Anweisungen entstehen.
Informationsmanagement
Eine belastbare Reaktion setzt voraus, dass Informationen strukturiert erfasst, bewertet und an die richtigen Stellen weitergegeben werden. Die Norm beschreibt, wie ein verlässliches Lagebild entsteht und wie die Kommunikation nach innen und außen über benannte Rollen läuft, sodass alle Beteiligten auf demselben Informationsstand handeln.
Warum strukturierte Vorfallbewältigung den Unterschied macht
Die Bedrohungslage für mittelständische Unternehmen hat sich in den vergangenen Jahren spürbar verschärft. Ransomware-Angriffe, Ausfälle von Cloud-Diensten und der plötzliche Wegfall von Schlüsselpersonal treffen Organisationen heute mit einer Regelmäßigkeit, die eine geübte Reaktionsfähigkeit zur Pflicht macht. Die folgenden Werte verdeutlichen, in welchem Umfeld sich Vorfallbewältigung heute bewegt.
266 Tsd. €
durchschnittlicher Schaden durch einen erfolgreichen Cyber-Angriff bei kleinen und mittleren Unternehmen in Deutschland.
3 Felder
Führung, Koordination und Informationsmanagement – die drei Handlungsfelder, die ISO 22320 für die akute Lage zusammenführt.
2018
aktuelle Fassung der Norm, in der ISO 22320 vom Anforderungsdokument zum praxisorientierten Leitfaden weiterentwickelt wurde.
Schadenswert: Branchenerhebungen zur Cyber-Schadenslage im deutschen Mittelstand; Werte variieren je nach Unternehmensgröße und Vorfall.
ISO 22320 und ISO 22301 – zwei Normen, die zusammengehören
In der Praxis werden ISO 22320 und ISO 22301 häufig verwechselt, obwohl sie unterschiedliche Fragen beantworten. ISO 22301 beschreibt das übergeordnete Business-Continuity-Management-System – also die strategische Frage, wie ein Unternehmen kritische Prozesse über einen längeren Zeitraum aufrechterhält und nach einer Störung wieder anläuft. ISO 22320 setzt eine Ebene darunter an und strukturiert die operative Reaktion im akuten Moment. Wer beide Ebenen sauber verzahnt, schließt die Lücke zwischen dem strategischen Plan und dem konkreten Handeln in der Lage.
ISO 22320 — Vorfallbewältigung
Leitfaden für die operative Reaktion: Führung, Koordination und Informationsmanagement während eines Schadensereignisses. Beantwortet die Frage, wie im akuten Moment gehandelt wird. Nicht zertifizierbar.
ISO 22301 — Business Continuity
Zertifizierbares Managementsystem für die Geschäftsfortführung: Business Impact Analyse, Wiederanlaufpläne, Wiederanlaufzeiten und kontinuierliche Verbesserung. Beantwortet die Frage, wie das Unternehmen handlungsfähig bleibt.
Für den Aufbau eines vollständigen, zertifizierungsfähigen Managementsystems ist die BCM-Beratung nach ISO 22301 der passende Rahmen. Geht es zunächst um eine pragmatische, geübte Reaktionsfähigkeit ohne den vollen Zertifizierungsaufwand, ist der Einstieg über die Notfall- und Krisenmanagement-Beratung häufig der direktere Weg. ISO 22320 liefert in beiden Fällen die methodische Grundlage für die operative Reaktionsebene.
Zum Mitnehmen
ISO 22320 ist kein Zertifikat, sondern ein bewährter Bauplan für die Stunden, in denen es darauf ankommt. Eine Organisation, die ihre Führungs-, Koordinations- und Kommunikationswege vorab festgelegt und geübt hat, reagiert in der Lage strukturiert statt improvisiert – und genau das entscheidet darüber, ob ein Vorfall beherrschbar bleibt oder zur existenziellen Krise wird.
Häufige Fragen
Kann man sich nach ISO 22320 zertifizieren lassen?
Nein. ISO 22320:2018 ist ausdrücklich als Leitfaden konzipiert und enthält keine zertifizierbaren Anforderungen. Wer ein zertifizierbares Managementsystem benötigt – etwa weil ein Konzern, Großkunde oder Cyber-Versicherer den Nachweis fordert – baut dieses nach ISO 22301 auf. ISO 22320 kann dabei als methodische Grundlage für die operative Reaktionsebene dienen.
Worin unterscheidet sich ISO 22320 von ISO 22301?
ISO 22301 beschreibt das übergeordnete Business-Continuity-Management-System mit Business Impact Analyse, Wiederanlaufplänen und Wiederanlaufzeiten. ISO 22320 setzt eine Ebene darunter an und strukturiert die operative Vorfallbewältigung im akuten Moment – Führung, Koordination und Informationsmanagement. Die beiden Normen ergänzen sich und werden in der Praxis sinnvoll miteinander verzahnt.
Für welche Unternehmen ist ISO 22320 relevant?
Die Norm richtet sich an Organisationen jeder Größe und Branche. Besonders relevant ist sie für Unternehmen, die im Ernstfall mehrere interne und externe Stellen koordinieren müssen, sowie für Organisationen, die ihre Reaktionsfähigkeit nachweisbar strukturieren möchten – etwa im Rahmen regulatorischer Anforderungen oder als Bestandteil eines umfassenderen Business-Continuity-Managements.
Reicht ISO 22320 als alleinige Grundlage für die Krisenvorsorge?
ISO 22320 deckt die operative Reaktion ab, nicht aber die vorgelagerte Analyse und Planung. Welche Prozesse kritisch sind, welche Wiederanlaufzeiten gelten und welche Wiederherstellungsmaßnahmen angemessen sind, klärt eine Business Impact Analyse im Rahmen eines Business-Continuity-Managements. Für eine belastbare Krisenvorsorge sollten beide Ebenen zusammengeführt werden.
