Was das ISO-22301-Zertifikat für Avectris bedeutet

Avectris hat als erster Schweizer Serviceprovider das Zertifikat "Business Continuity Management nach ISO 22301" erlangt. Die Norm sagt, wie Unternehmen in Bedrohungslagen handeln sollen. Sie verifiziert, wie Firmen ihre Handlungsfähigkeit, ihre kritischen Betriebsprozesse und die IT-Services für Kunden aufrechterhalten.

Für die Zertifizierung definierte Avectris Anforderungen an ein Krisenmanagementsystem und priorisierte potenzielle Störfälle. Ein besonderes Augenmerk lag dabei auf den Cyber-Security-Ereignissen, deren Eintrittswahrscheinlichkeit stetig steigt.

Gemäss der Zertifizierungsstelle haben sich erst drei Grossunternehmen in der Schweiz verpflichtet, ihre Business-Continuity-Management-Systeme jährlich nach der Norm zu prüfen: Die SBB, die Post und Suva.

Die Redaktion hat mit Avectris-CEO Thomas Wettstein über die Bedeutung der ISO-22301-Zertifizierung gesprochen.

Avectris ist als erster Schweizer IT-Dienstleister ISO 22301 zertifiziert. Was beinhaltet diese Zertifizierung?

Die Norm ISO 22301 legt Anforderungen an ein Business-Continuity-Management-System fest, das Avectris vor Störfällen schützt, die Wahrscheinlichkeit dieser Ereignisse verringert und sicherstellt, dass man sich innert vertretbarer Frist davon erholt. Avectris schützt mithilfe dieser internationalen Norm ihre betriebliche Kontinuität und somit die für Kunden bereitgestellten IT-Services. Damit geben wir unseren Kunden noch mehr Sicherheit, dass sie auch im Schadenfall mit einem Partner zusammenarbeiten, welcher für solche Situationen optimal vorbereitet ist.

Die Norm ISO 22301 existiert seit 2012. Dennoch ist die Liste der zertifizierten Unternehmen klein – was sind die Gründe?

Ein zertifiziertes Management-System baut man nicht von heute auf morgen. Man startet mit kleinen Schritten, bis zur Zertifizierungsreife vergehen oftmals Jahre. Auch wir haben "klein" gestartet. Der Hauptfokus lag zu Beginn auf "Disaster Recovery Planung" und "IT Service Continuity Management". Vor 10 Jahren begann der Aufbau eines eigentlichen Krisenmanagements und eines Business-Continuity-Management-Systems. Als die Norm ISO 22301 veröffentlicht wurde, nutzten wir sie als Referenz für alle künftigen Arbeiten an Dokumenten und Prozessen. Damals schon war es uns wichtig, unser BCM-System jährlich zu prüfen und aktiv zu leben. Nicht alle Unternehmen sind in der komfortablen Lage, ausgewiesene Experten als Mitarbeitende zu haben, die sich mit Herzblut dieser Thematik annehmen können und über eine Betriebsmannschaft zu verfügen, für die BCM einen so hohen Stellenwert hat.

Was bedeutet die Zertifizierung für Avectris und Ihre Kunden?

Die Zertifizierung ist ein weiterer wichtiger Meilenstein in unserer Positionierung als Betreiber kritischer IT-Infrastrukturen. Das Zertifikat ist drei Jahre lang gültig und die Reife und Wirksamkeit unseres BCM-Systems wird jedes Jahr durch eine akkreditierte Zertifizierungsstelle im Rahmen eines Überwachungsaudits überprüft. Jedes dritte Jahr stellen wir uns der Rezertifizierung. Unsere Kunden profitieren in zweierlei Hinsicht: Erstens können sie sich sicher sein, dass Avectris alle erwarteten und unerwarteten Ereignisse übersteht und dass die angebotenen IT-Services sowie die Geschäftsdaten – auch im schlimmsten Fall – schnellstmöglich wieder zur Verfügung stehen. Zweitens stellen unsere Berater ihre Erfahrungen rund um einen erfolgreichen Auf- und Ausbau eines BCM-Systems gerne unseren Kunden zur Verfügung.

Wie können sich Unternehmen erfolgreich gegen Cyber-Kriminalität wappnen?

Die Frage ist nicht "ob" man angegriffen wird, sondern "wann" und "wie häufig". Darum gilt es zu verhindern, dass Betriebsunterbrüche überhaupt eintreten. Dies bedeutet geeignete Schutzmassnahmen gegen Cyber-Kriminalität, Phishing, Viren und Schadsoftware – sowohl proaktiv als auch reaktiv - zu treffen und die notwendigen Wiederanlaufpläne zu etablieren. Avectris betreibt deshalb seit 2007 ein nach ISO 27001 zertifiziertes IT-Security-Management-System. Die jüngere Vergangenheit hat gezeigt, dass der nachhaltige Schutz fortlaufend verbessert werden muss. Tut man das nicht, kann das unangenehme Folgen haben. Verschlüsselungs-Trojaner legten bereits ganze Spitäler lahm und regelmässig hört man von Datendiebstählen. Business Continuity Management ist heute für alle Unternehmen ein zentrales Thema. Es gibt leider keinen einhundertprozentigen Schutz. Aber mit vorbereiteten und erprobten Disaster-Recovery- und Business-Continuity-Plänen können die meisten Vorfälle mit geringstmöglichem Schaden gemeistert werden. Ein etabliertes Krisenmanagement hilft bei der Behandlung von nicht planbaren Ereignissen. Avectris bietet Services an, die auf einem zertifizierten BCM-System basieren und unterstützt Kunden mit Beratungsleistungen, die ein BCM-System in ihrem Unternehmen aufbauen oder dieses optimieren wollen.