Certyfikacja ISO 22301 - System Zarządzania Ciągłością Działania

Certyfikacja ISO 22301 pozwala niezależnie ocenić System Zarządzania Ciągłością Działania (SZCD / BCMS) w określonym zakresie certyfikacji. Po przeprowadzeniu audytu, weryfikacji wyników procesu i pozytywnej decyzji certyfikacyjnej może zostać wydany certyfikat potwierdzający zgodność systemu z wymaganiami normy.

PN-EN ISO 22301:2020-04 określa wymagania dla systemu zarządzania, którego zadaniem jest przygotowanie organizacji na zakłócenia, reagowanie na nie oraz odzyskiwanie zdolności do działania. Norma jest przeznaczona dla organizacji różnych typów i wielkości, a zakres jej zastosowania zależy od środowiska operacyjnego i złożoności organizacji.

Dla kogo jest certyfikacja ISO 22301?

Certyfikacja jest przeznaczona przede wszystkim dla organizacji, które posiadają wdrożony System Zarządzania Ciągłością Działania i potrzebują niezależnego potwierdzenia jego zgodności z wymaganiami normy. Istotnym warunkiem jest potrzeba utrzymania dostaw wyrobów lub usług na wcześniej określonym, akceptowalnym poziomie podczas zakłócenia albo wykazania zdolności do realizacji własnych zobowiązań w zakresie ciągłości działania.

Może to dotyczyć m.in.: organizacji z sektorów usług cyfrowych i IT, finansów, telekomunikacji, przemysłu i logistyki, ochrony zdrowia czy administracji publicznej. Samo funkcjonowanie w danej branży nie oznacza jednak automatycznie potrzeby certyfikacji –  znaczenie mają procesy organizacji, jej zobowiązania oraz wymagania klientów, umów lub postępowań zakupowych.

Co obejmuje System Zarządzania Ciągłością Działania?

SZCD obejmuje systemowe podejście do ochrony organizacji przed skutkami zakłóceń oraz do przygotowania, reagowania i odtwarzania zdolności do działania. W praktyce w systemie analizowane są m.in. wpływ zakłóceń na kluczowe działania, ryzyka, przyjęte strategie ciągłości, zasady reagowania oraz plany i procedury stosowane w sytuacjach zakłócających funkcjonowanie organizacji.

• kontekst organizacji, zakres SZCD oraz odpowiedzialności związane z ciągłością działania,
• analiza wpływu na działalność, tj. BIA, oraz ocena ryzyka zakłóceń w zakresie objętym SZCD,
• strategie i rozwiązania służące utrzymaniu lub odtworzeniu priorytetowych działań,
• plany, procedury i zasady komunikacji na wypadek zakłócenia,
• monitorowanie, przegląd i doskonalenie systemu, w tym audyt wewnętrzny i przegląd zarządzania.

Przed rozpoczęciem właściwego procesu certyfikacji organizacja powinna posiadać wdrożony SZCD oraz zrealizować działania wymagane do jego oceny, w tym analizę wpływu na działalność – BIA, ocenę ryzyka zakłóceń, określenie strategii i rozwiązań ciągłości działania, ustanowienie planów i procedur, ćwiczenia lub testowanie przyjętych rozwiązań, audyt wewnętrzny oraz przegląd zarządzania.

Czego certyfikat ISO 22301 nie gwarantuje?

Certyfikat nie jest gwarancją, że w organizacji nie wystąpią awarie, cyberincydenty, przerwy w dostawach ani inne zakłócenia. Potwierdza wynik niezależnej oceny systemu zarządzania w określonym zakresie. Nie zastępuje także obowiązków prawnych, regulacyjnych lub kontraktowych właściwych dla konkretnej organizacji ani nie jest certyfikacją pojedynczego planu ciągłości działania lub planu Disaster Recovery.

Aktualna wersja ISO 22301 i zmiana A1

Aktualnie opublikowaną normą międzynarodową jest ISO 22301:2019. Jej polskim odpowiednikiem jest PN-EN ISO 22301:2020-04. Do normy opublikowano zmianę ISO 22301:2019/Amd 1:2024, wprowadzoną w Polsce jako PN-EN ISO 22301:2020-04/A1:2025-03, dotyczącą uwzględnienia kwestii zmian klimatu w kontekście organizacji oraz wymagań właściwych stron zainteresowanych.Trwają prace nad kolejną edycją ISO 22301, ale nowa wersja nie została jeszcze opublikowana, dlatego nie należy przedstawiać jej jako obowiązującej podstawy certyfikacji.

Kiedy warto rozważyć certyfikację ISO 22301?

Niezależna certyfikacja może być istotna, gdy organizacja chce udokumentować systemowe podejście do ciągłości działania wobec klientów i partnerów albo gdy certyfikat jest wskazany w wymaganiach umowy, postępowania zakupowego, łańcucha dostaw lub innych zasadach współpracy. W każdym przypadku należy sprawdzić, jaki dokładnie rodzaj potwierdzenia jest wymagany.

Certyfikacja ISO 22301 – jakie działania obejmuje?

Certyfikacja ISO 22301 to proces niezależnej oceny, który po pozytywnej decyzji certyfikacyjnej potwierdza, że System Zarządzania Ciągłością Działania został oceniony jako zgodny z wymaganiami normy w określonym zakresie certyfikacji. Organizacja powinna wcześniej wdrożyć SZCD, w tym przeprowadzić analizę wpływu na działalność (BIA) i ocenę ryzyka, określić strategie i rozwiązania w zakresie ciągłości działania, ustanowić i wdrożyć plany oraz procedury ciągłości działania, a także prowadzić ćwiczenia lub testowanie przyjętych rozwiązań. Przed certyfikacją należy również przeprowadzić audyt wewnętrzny i przegląd zarządzania.

Poniżej przedstawiamy główne etapy, które prowadzą do uzyskania certyfikatu ISO 22301:

1. Audyt certyfikujący – składający się z  2 etapów: 

ETAP I – ocena gotowości organizacji do Etapu II, obejmująca przegląd informacji o organizacji, zakresie certyfikacji, lokalizacjach, procesach objętych Systemem Zarządzania Ciągłością Działania, dokumentacji SZCD, analizie wpływu na działalność (BIA), ocenie ryzyka, przyjętych rozwiązaniach i planach ciągłości działania, a także statusie zaplanowania i przeprowadzenia audytu wewnętrznego oraz przeglądu zarządzania, w zakresie niezbędnym do oceny gotowości do Etapu II.

• Analiza samooceny klienta – przekażemy Ci formularz samooceny, który należy uzupełnić
• Audytor oceni formularz oraz przekazaną dokumentację

Całość lub część działań audytowych może być realizowana z wykorzystaniem technologii ICT wyłącznie wtedy, gdy ocena ryzyka i możliwości zastosowania ICT, zakres certyfikacji, wymagania poufności i bezpieczeństwa informacji, możliwości techniczne oraz uzgodnienia z klientem pozwalają na skuteczne i obiektywne zebranie dowodów audytowych.

ETAP II

• Przegląd wdrożonego systemu zarządzania – weryfikacja, czy organizacja działa zgodnie z wymaganiami normy
• Audyt – analiza procesów, dokumentacji oraz sposobu funkcjonowania Systemu Zarządzania Ciągłością Działania
• Wywiady z pracownikami – rozmowy z kluczowym personelem w celu potwierdzenia znajomości i stosowania przyjętych zasad oraz procedur ciągłości działania
• Ocena zgodności i skuteczności działań – sprawdzenie, czy organizacja realizuje wymagania normy w praktyce,w tym w zakresie przygotowania do reagowania na zakłócenia oraz utrzymania lub odtworzenia priorytetowych działań na wcześniej określonym, akceptowalnym poziomie
• Identyfikacja niezgodności i obszarów do doskonalenia
• Podsumowanie wyników audytu – przedstawienie wniosków, wstępnego raportu i omówienie dalszych kroków.

2. Raport i rekomendacja
Sporządzenie i weryfikacja raportu z audytu oraz przekazanie wyników procesu do niezależnej decyzji certyfikacyjnej. Rekomendacja audytora nie jest równoznaczna z wydaniem certyfikatu.

3. Decyzja i wydanie certyfikatu
Po pozytywnej decyzji jednostki może zostać wydany certyfikat ISO 22301 na trzyletni cykl certyfikacji. Utrzymanie certyfikacji wymaga przeprowadzania audytów nadzoru oraz utrzymywania przez organizację warunków pozwalających na utrzymanie certyfikatu.

4. Pierwszy audyt nadzoru
Musi odbyć się do 12 miesięcy od daty podjęcia decyzji certyfikacyjnej.

5. Drugi audyt nadzoru
Powinien zostać przeprowadzony do 24 miesięcy od decyzji certyfikacyjnej, przy czym należy zachować zasadę, że audyt nadzoru odbywa się co najmniej raz w roku.

6.Recertyfikacja
Przed upływem trzyletniego okresu ważności certyfikatu należy złożyć wniosek o ponowną certyfikację i przeprowadzić audyt ponownej certyfikacji w terminie umożliwiającym podjęcie decyzji certyfikacyjnej przed zakończeniem cyklu. Po pozytywnej decyzji możliwe jest wydanie certyfikatu na kolejny cykl.