ISO 22301:2019 · Kapitel 8.1 bis 8.3
Ihr Notfallplan hilft wenig, wenn der Ausfall beim Lieferanten stattfindet.
Die Norm für Betriebskontinuität verlangt, Abhängigkeiten zu ermitteln – und die wichtigsten davon sitzen ausserhalb des Unternehmens. Eine Business-Impact-Analyse ohne Lieferanten ist unvollständig.
ISO 22301 fragt, welche Tätigkeiten wie schnell wieder laufen müssen und was dafür nötig ist. Zu den benötigten Ressourcen zählen ausdrücklich Partner und Lieferanten. Wer eine Wiederanlaufzeit von 24 Stunden zusagt, muss wissen, ob der Zulieferer der kritischen Komponente das überhaupt tragen kann.
In der Praxis scheitert es an zwei Stellen: Die Abhängigkeitsliste ist unvollständig, weil Dienstleister ohne Warenlieferung fehlen. Und verdeckte Konzentration bleibt unentdeckt, weil drei Lieferanten denselben Vorlieferanten nutzen.
Was übersehen wird
- Einzelquellen ohne qualifizierte Alternative – das häufigste Kontinuitätsrisiko überhaupt.
- Gemeinsame Vorlieferanten hinter scheinbar unabhängigen Bezugsquellen.
- IT-Dienstleister, deren Ausfall den Betrieb schneller stoppt als eine fehlende Lieferung.
- Spezialwerkzeuge oder Formen, die bei einem Lieferanten lagern.
Was die Norm verlangt
- 8.1
- Ausgegliederte Prozesse steuern; die Verantwortung für die Kontinuität bleibt beim Unternehmen.
- 8.2.2
- In der Business-Impact-Analyse alle benötigten Ressourcen ermitteln, Partner und Lieferanten eingeschlossen.
- 8.2.3
- Risiken für die priorisierten Tätigkeiten beurteilen – auch solche aus der Lieferkette.
- 8.3
- Strategien und Lösungen festlegen: Zweitquelle, Bestandspuffer, Verlagerung, Vereinbarungen.
- 8.5
- Übungen durchführen, die den Ausfall eines kritischen Lieferanten einschliessen.
Wie SCRM das abbildet
Abhängigkeitsgraph
Vorlieferanten sichtbar – verdeckte Konzentration fällt auf, bevor sie zuschlägt.
Kritikalität nach Wirkung
Eingestuft nach Ausfallfolge und Ersetzbarkeit, nicht nach Bestellwert.
Ersatzquellen dokumentiert
Zu jeder kritischen Position eine geprüfte Alternative statt einer Vermutung.
Kontaktwege
Erreichbarkeit im Notfall hinterlegt und turnusmässig bestätigt.
Häufige Fragen
Wie tief muss die Abhängigkeitsanalyse gehen?
So tief, wie die Wiederanlaufzeit es verlangt. Bei einer Zusage von 24 Stunden reicht die erste Stufe selten – bei unkritischen Tätigkeiten schon.
Reicht eine Zweitquelle auf dem Papier?
Nein. Eine nicht qualifizierte Alternative ist im Ernstfall keine. Die Freigabe gehört vor den Vorfall, nicht danach.
Wie hängt das mit DORA und NIS2 zusammen?
Beide verlangen Resilienz und Ausstiegsfähigkeit bei Dienstleistern. Ein nach 22301 geführtes System liefert dafür einen grossen Teil der Grundlage.