Riadenie kontinuity (ISO 22301)

Nekupujete normu. Kupujete to, čo už musíte mať

Väčšina textov o ISO 22301 začína tým, že je to medzinárodne uznávaný štandard. Je to pravda a čitateľa to nezaujíma.

Podstatnejšie je, že kontinuitu od vás už vyžadujú tri režimy naraz — a väčšina organizácií na ne odpovedá troma samostatnými dokumentáciami, ktoré si navzájom protirečia.

Zákon o kybernetickej bezpečnosti. Vyhláška č. 227/2025 Z. z. žiada v § 5 analýzu funkčného vplyvu a v nej určenie jedného údaja — cieľová doba obnovy. Katalóg bezpečnostných opatrení k nej pridáva ciele procesu riadenia kontinuity, požiadavky na obnovu prevádzky a pravidelné testovanie záložných kópií aj plánov riešenia incidentov.

DORA. Celé nariadenie je o prevádzkovej odolnosti. Kontinuita a obnova v ňom nie sú prílohou, ale jadrom.

ISO/IEC 27001. Pripravenosť informačných a komunikačných technológií na kontinuitu je súčasťou opatrení, ktoré sa pri certifikácii posudzujú.

ISO 22301 tie požiadavky nezdvojuje — usporiada. Jeden systém, jedna analýza vplyvov, jedna sada plánov, jeden plán testovania. To je celý úžitok normy a nič iné sľubovať netreba.

Čo to znamená prakticky

Riadenie kontinuity nie je dokument. Sú to štyri veci, ktoré musia existovať a musia sa udržiavať.

• Analýza funkčného vplyvu. Ktoré činnosti neznesú výpadok, ako dlho ho znesú a čo sa stane, keď sa prekročí. Bez nej sú plány dohady.

• Cieľová doba obnovy pre každú kritickú činnosť. Nie jedno číslo pre celú firmu — každá činnosť má vlastné.

• Plány, ktoré niekto vie použiť. Plán kontinuity, plán obnovy technológií a plán krízovej komunikácie. Napísané tak, aby ich zvládol človek v službe, nie ich autor.

• Testovanie. Plán, ktorý sa neotestoval, je predpoklad. Interval pre samotný plán predpis neurčuje — riadi sa kritickosťou činnosti. Pre záložné kópie ho však určuje: katalóg bezpečnostných opatrení k vyhláške č. 227/2025 Z. z. žiada ich testovanie aspoň raz ročne.

Ako s tým vieme pomôcť

Štyri spôsoby, ktoré sa dajú kombinovať aj brať samostatne. Rozsah sa určuje po vstupnom posúdení stavu.

Výkon role manažéra kontinuity. Ak nemáte interného človeka, prevezmeme rolu: správa systému, koordinácia analýzy vplyvov, riadenie rizík kontinuity a pravidelný výstup pre vedenie.

Dokumentácia. Politika kontinuity, plán kontinuity činností, plán obnovy technológií a plán krízovej komunikácie. Vrátane analýzy funkčného vplyvu, z ktorej vychádzajú.

Testovanie. Od stolových cvičení až po simuláciu skutočného výpadku. Výstupom je vyhodnotenie s nálezmi a odporúčaniami, nie potvrdenie o účasti.

Odborné konzultácie. Posúdenie súčasného stavu, priebežná podpora, príprava na audit alebo na certifikačné posúdenie.

Kde končí naša úloha

Certifikát ISO 22301 vydáva akreditovaný certifikačný orgán, nie poradca. Ten istý subjekt nesmie systém stavať aj certifikovať — je to požiadavka na nestrannosť a platí bez výnimky.

Pripravujeme vás na certifikáciu a sprevádzame vás ňou. Samotné posúdenie vykoná niekto iný.

Pre koho to má zmysel

Kontinuita zaváži tam, kde výpadok stojí peniaze v hodinách, nie v dňoch — a tam, kde ho vidí niekto zvonku.

Výroba a priemysel · Energetika · Zdravotníctvo · Finančný sektor · Štátna správa a samospráva · logistika a IT služby

Súvisí s tým

Kontinuita vychádza z tých istých vstupov ako analýza a riadenie rizík — z rovnakého inventára aktív a z rovnakého registra rizík. Ak riešite aj zákon o kybernetickej bezpečnosti, začnite kvalifikátorom na stránke k zákonu.