De flesta team behandlar kontinuitet som ett dokument de skriver en gång. Någon tar fram en plan under en certifiering, sparar den på en delad enhet och går vidare. Sedan slås en leverantör ut, ett datacenter översvämmas eller ett kritiskt system slutar fungera, och planen visar sig vara ett år gammal. Ingen vet vem som äger beslutet, och återställningstiden är en gissning.

Kontinuitet är egentligen ett ledningsproblem, inte ett dokumentproblem. Du behöver veta vilka aktiviteter som håller verksamheten vid liv, hur länge du klarar dig utan dem och exakt vad du gör när de stannar. Och du behöver kunna bevisa att du är redo innan något går fel. Det är vad ISO 22301 kräver, och det är så OptiTech driver kontinuitet som en del av ett sammankopplat program.

Vad ett ledningssystem för kontinuitet är

ISO 22301 är den internationella standarden för ett ledningssystem för kontinuitet, på engelska business continuity management system eller BCMS. Ordet "system" är viktigt. En plan är en ögonblicksbild. Ett ledningssystem är det löpande sättet du upptäcker vad som kan störa dig, beslutar hur du ska fortsätta arbeta, testar beslutet och håller det aktuellt när verksamheten förändras.

Ett BCMS täcker hela cykeln. Du sätter kontinuitetsmål, analyserar dina risker och konsekvenser, bygger rutiner för respons och återställning, utbildar personerna som ska driva dem, övar planerna och går igenom resultaten. ISO 22301 lägger allt det i samma struktur som moderna ISO-standarder, så att ledarskap, omfattning och ständig förbättring finns med från början i stället för att skruvas på i efterhand.

Börja med en konsekvensanalys

Kärnan i varje BCMS är konsekvensanalysen för verksamheten, på engelska business impact analysis eller BIA. Det är här du slutar gissa och tar reda på vad som faktiskt spelar roll. Du listar dina aktiviteter och frågar sedan vad som händer om var och en stannar: hur snabbt växer skadan, vem drabbas och hur länge tål du avbrottet.

Ur analysen kommer två tal som styr allt annat. Ditt mål för återställningstid (RTO) är hur snabbt en aktivitet måste vara igång igen. Ditt mål för återställningspunkt (RPO) är hur mycket färskt arbete du har råd att förlora. Analysen kartlägger också beroenden, alltså de personer, leverantörer och system som varje kritisk aktivitet vilar på, så att du inte blir överraskad när en liten leverantör visar sig vara en enskild felkälla.

Katastrofåterställning är en del, inte helheten

Många använder "katastrofåterställning" och "kontinuitet" som om de betyder samma sak. Det gör de inte. Katastrofåterställning, på engelska disaster recovery eller DR, handlar om att återställa teknik: att få igång system och data efter ett avbrott. Kontinuitet är bredare. Den håller hela verksamheten igång, inklusive människorna, processerna, lokalerna och kommunikationen, medan återställningen pågår.

DR är en avgörande del av kontinuiteten, men det är en delmängd. En perfekt DR-rutin hjälper inte om personalen inte når kunderna, dina leverantörer ligger nere eller ingen vet vem som får aktivera planen. Ett BCMS sätter DR i sitt sammanhang, så att den tekniska återställningen och den mänskliga responsen rör sig tillsammans.

Vägen till certifiering

Certifiering enligt ISO 22301 följer samma rytm som andra ISO-standarder. Ett ackrediterat organ gör en revision i två steg. Steg 1 kontrollerar att ditt BCMS är utformat och dokumenterat. Steg 2 kontrollerar att det fungerar i praktiken, att du har gjort konsekvensanalysen, byggt planerna, utbildat folk och övat dem. Klarar du båda får du ett certifikat, oftast giltigt i tre år.

Certifikatet är inte målsnöret. Övervakningsrevisioner sker varje år, och du omcertifierar i slutet av cykeln. Mellan revisionerna håller du systemet levande med internrevisioner, ledningens genomgångar och övningar. Det är precis här en ren dokumentansats faller, för bevisen måste vara aktuella, inte hoprafsade veckan innan revisorn kommer.

Så kompletterar den ISO 27001

Om du redan driver ISO 27001 är du närmare ISO 22301 än du kanske tror. Båda standarderna delar samma ryggrad för ledningssystem: engagemang från ledningen, definierad omfattning, riskbaserat tänkande, internrevision och ständig förbättring. Processerna du byggde för 27001 följer med rakt av.

De två standarderna överlappar också i innehåll. ISO 27001 innehåller kontroller för kontinuitet och för beredskap inom informations- och kommunikationsteknik. ISO 22301 går djupare på samma mark. Driver du dem tillsammans bygger du bevisen en gång och använder dem två. Dina kontinuitetsövningar, din konsekvensanalys och dina återställningsrutiner uppfyller båda ramverken i stället för att ligga i separata pärmar som sakta glider isär.

Vem har nytta av det

Certifiering för kontinuitet lönar sig mest för företag som andra är beroende av. Är du leverantör till större bolag eller offentlig sektor besvarar ISO 22301 frågorna om motståndskraft i varje upphandling innan de ens ställs. Verkar du i en reglerad bransch ligger den i linje med kraven på motståndskraft i ramverk som DORA och NIS2, så att ett program täcker flera skyldigheter.

Även utan ett krav är ett BCMS värt det för varje verksamhet där stillestånd kostar riktiga pengar eller förtroende. Det gör "vi löser det när det händer" till en testad, ägd och bevisbar förmåga, vilket är precis vad en orolig kund vill se.

Kontinuitet som en del av ett program

Här går kontinuitet oftast fel: den drivs för sig själv, av ett annat team, i andra verktyg, frånkopplad från resten av efterlevnadsarbetet. Så ruttnar bevisen och revisionen blir en stress.

OptiTech behandlar kontinuitet som en del av ett enda sammankopplat program. I OptiTech Console ligger dina ISO 22301-kontroller bredvid dina kontroller för ISO 27001, SOC 2, GDPR, NIS2 och DORA på samma ställe. Varje kontroll kopplas till bevisen som styrker den, din konsekvensanalys, dina testresultat, dina återställningsrutiner och ledningens genomgångar. När en aktivitet, ägare eller leverantör ändras uppdaterar du det en gång, och alla ramverk som vilar på det förblir aktuella.

Eftersom allt lever i ett program kan ditt trust center visa kunderna att du tar motståndskraft på allvar utan en enda mejltråd. Och eftersom OptiTech håller datalagring enbart inom EU, i Stockholm och Frankfurt, respekterar programmet som bevisar din kontinuitet samma gränser som dina kunder förväntar sig.

Kom igång

Du behöver inte certifiera allt första dagen. En realistisk första omgång ser ut så här:

1. Gör en konsekvensanalys för dina mest kritiska aktiviteter och sätt ett RTO och RPO för var och en.
2. Kartlägg beroendena, alltså personerna, leverantörerna och systemen som varje aktivitet behöver, och flagga enskilda felkällor.
3. Bygg och tilldela planerna, med tydliga ägare för både den tekniska återställningen och den mänskliga responsen.
4. Öva, dokumentera och koppla ihop det med ditt bredare program så att bevisen förblir aktuella och ditt trust center kan visa dem.

ISO 22301 belönar de företag som behandlar kontinuitet som en vana snarare än ett dokument. Bygg analysen en gång, håll den aktuell, så får både dina revisorer och dina kunder samma tydliga svar.

Redo att driva kontinuitet som en del av ett sammankopplat program? Boka en demo och se hur OptiTech knyter ihop dina kontroller och bevis över alla ramverk.