Сертификация ИСО 22301 (ISO 22301:2019) — сертификат непрерывности бизнеса

Сертификация ИСО 22301 (ISO 22301:2019) — сертификат непрерывности бизнеса

Сертификация ИСО 22301 (ISO 22301:2019) подтверждает, что в компании выстроена система управления непрерывностью бизнеса — порядок действий на случай, когда обычная работа прерывается: отказ ЦОД, пожар на складе, кибератака, уход ключевого поставщика. Мы оформляем сертификат ИСО 22301 под ключ: стоимость 35 000 ₽, срок от 1 дня с момента подачи документов, дистанционно по всей России, без выездного аудита и без доплат сверх названной суммы. Сертификат действует 3 года. Российский аналог стандарта — ГОСТ Р ИСО 22301-2021, идентичный перевод ISO 22301:2019. Ниже — что именно подтверждает документ, какими терминами заказчик спросит вас про непрерывность, из чего складывается цена и что нужно прислать, чтобы мы начали работу.

Что подтверждает сертификат ИСО 22301 (ISO 22301)

ИСО 22301 (ISO 22301:2019) — стандарт на систему управления непрерывностью бизнеса (BCMS, Business Continuity Management System). Предмет стандарта — не защита от инцидента, а способность организации продолжить работу или восстановиться в заранее определённый срок после того, как инцидент уже произошёл.

Сертификат по ИСО 22301 — документ о системе менеджмента, а не о продукции и не об отдельном объекте. В нём указываются: наименование и реквизиты организации, обозначение стандарта, область применения системы, срок действия и регистрационный номер, по которому запись находится в реестре системы добровольной сертификации.

Практический смысл документа для покупателя один: закрыть требование контрагента, который проверяет устойчивость поставщика. Требование по непрерывности приходит из договора, приложения об уровне сервиса (SLA) или анкеты поставщика — обязательной сертификации систем менеджмента непрерывности в России не установлено, закон этого сертификата не требует ни в одной отрасли.

Подробный разбор структуры стандарта по разделам — на странице стандарта ИСО 22301. Здесь речь об услуге: что входит в 35 000 ₽ и что для этого нужно.

Язык, на котором заказчик спросит вас про непрерывность

Анкета поставщика по непрерывности почти всегда написана терминами самого стандарта. Ниже — те, которые встречаются чаще всего, и то, что за ними стоит. Эта таблица нужна не для сертификата, а для разговора с заказчиком: она позволяет понять, о чём именно вас спрашивают, ещё до того как вы решите, заказывать документ или нет.

Здесь же полезно сказать прямо, чего сертификат не делает: он подтверждает наличие системы, но не отвечает за содержание ваших планов. Если RTO в анкете заказчика — четыре часа, а ваша реальная схема резервирования даёт сутки, документ эту разницу не закроет.

Отрасли, где требование появляется чаще всего

Непрерывность спрашивают там, где простой поставщика немедленно переходит в убыток или в регуляторный риск заказчика.

• Финансовый сектор. Банки, страховые и инвестиционные компании выстраивают управление операционным риском и распространяют требования на подрядчиков. Требование к вам возникает как условие работы с банком, а не как норма закона.
• IT, ЦОД и телеком. Операторы центров обработки данных, SaaS-провайдеры, интеграторы: прерывание сервиса означает прямые выплаты по SLA, поэтому непрерывность подрядчика проверяют на входе.
• Критическая информационная инфраструктура, энергетика, транспорт, водоснабжение. Здесь тема существует из-за требований к самим субъектам КИИ (Федеральный закон № 187-ФЗ), и подрядчики получают её отражением — через анкеты и договорные оговорки.
• Фармацевтика и здравоохранение. Непрерывность цепочки поставок лекарств и работы лабораторий, требования крупных дистрибьюторов.
• Аутсорсинг и сервисные компании. Непрерывность как условие рамочного договора: заказчик передал вам процесс и хочет знать, что будет, если у вас что-то откажет.

Оговорка, которую мы делаем сознательно: наш сертификат не подтверждает соответствие Федеральному закону № 187-ФЗ, требованиям Банка России или любому другому нормативному акту, и мы такого соответствия не обещаем. Он подтверждает соответствие системы менеджмента требованиям ИСО 22301 — этого достаточно для анкеты контрагента и недостаточно для разговора с регулятором.

Сколько стоит сертификация ИСО 22301 и что входит в цену

Цена не зависит от численности сотрудников, количества площадок и оборота: это фиксированная стоимость позиции, а не расчёт по размеру организации. Отдельной оплаты органа по сертификации в нашей модели нет — сумма в таблице закрывает работу целиком.

Нужно понять, закроет ли наш документ формулировку вашего заказчика? Оставьте заявку — пришлите строку требования из договора или анкеты, разберём её и ответим до выставления счёта.

ИСО 22301 рядом с ИСО 27001 и ИСО 9001: как считается цена

Чаще всего ИСО 22301 просят не в одиночку: в IT рядом стоит ИСО 27001 (ISO 27001) по информационной безопасности, в производстве и услугах — ИСО 9001 (ISO 9001) по менеджменту качества.

Здесь важно не пообещать лишнего. Комплектной позиции, в которую входит ИСО 22301, в нашем прайсе нет: пакетные комплекты собраны из других стандартов. Значит, два документа — это две позиции и их сумма, а не пакетная цена со скидкой, и скидку на такую пару мы не обещаем. Полный перечень позиций и комплектов — на странице цен.

Внедрение системы и оформление сертификата — разные работы с разными сроками

Это главный источник путаницы вокруг ИСО 22301, и он стоит отдельного объяснения, потому что в открытых источниках эти две вещи постоянно называют одним словом «сертификация».

Построение самой системы непрерывности — ваш внутренний проект. Он действительно занимает месяцы: определить критические процессы, провести BIA, оценить риски, выбрать стратегии резервирования, написать планы BCP, провести учения. Это работа вашей команды и привлечённых консультантов по непрерывности. Мы эту работу не выполняем: консультационного внедрения BCMS, разработки планов BCP и проведения учений мы не оказываем.

Оформление сертификата — наша работа, и она измеряется днями. Мы принимаем заявку и комплект документов, проводим экспертизу представленных сведений о системе и области применения, оформляем сертификат и вносим запись в реестр. Срок — от 1 дня с момента подачи документов.

Отсюда практический вывод для планирования: если у вас уже есть работающая система непрерывности и её документы, срок ограничен оформлением. Если системы нет, срок определяет ваш проект по её построению, а не наша процедура.

Отдельно про схему: существует международная схема сертификации через аккредитованный орган с выездным аудитом в два этапа — эту услугу мы не оказываем. Если ваш заказчик письменно требует сертификат конкретного аккредитованного органа, выяснить это нужно до оплаты; наш документ такое требование не закрывает. Подробный разбор двух путей и ситуаций, в которых требование возникает, — в статье «Сертификат ИСО 22301: сколько стоит и как заказать».

Что мы делаем и что нужно от вас

Ничего сверх этого списка не требуется: командировок, визитов в офис и очных аудитов в нашей схеме нет.

Список выглядит выполнимым? Отправьте заявку с реквизитами и формулировкой области применения — назовём точный срок под ваш комплект.

Область применения BCMS: вся компания или критический контур

Область применения — строка, которая будет напечатана в сертификате, и одновременно первое, что сверит ваш заказчик. Для систем непрерывности у неё есть особенность, которой нет у большинства других стандартов: BCMS почти никогда не охватывает организацию целиком.

Стандарт прямо допускает ограничить область критическими процессами. IT-компания может включить в область только сервисный центр обработки данных; производственная компания — основную площадку, но не вспомогательный склад; сервисная — линию поддержки, на которую распространяется SLA заказчика.

Выбор влияет на результат напрямую. Слишком узкая область — заказчик увидит, что процесс, который он вам передал, в неё не попал, и вернёт документ. Слишком широкая, вида «вся деятельность организации», вызывает встречный вопрос: подтверждена ли непрерывность действительно всех подразделений. Рабочий ориентир — включить те процессы, которые участвуют в исполнении договора с заказчиком, задавшим требование.

Если формулировка требования у вас на руках, пришлите её вместе с заявкой: область удобнее согласовать до оформления, чем переоформлять документ после.

Чего сертификат ИСО 22301 не делает

• Не заменяет сам план непрерывности. Документ подтверждает систему, но в кризис работает не он, а ваш BCP.
• Не подтверждает соответствие нормативным требованиям — ни 187-ФЗ, ни требованиям Банка России, ни отраслевым положениям.
• Не является сертификатом аккредитованного органа по международной схеме — эту услугу мы не оказываем.
• Не даёт прав на знак соответствия для маркетинговых материалов.
• Не отменяет проверку со стороны заказчика. Крупный контрагент нередко после получения документа присылает собственную анкету — и это нормальная практика.

Какая редакция стандарта будет в сертификате

Действующая редакция международного стандарта — ISO 22301:2019, она опубликована в октябре 2019 года и заменила редакцию 2012 года. Российский аналог — ГОСТ Р ИСО 22301-2021, идентичный перевод ISO 22301:2019, утверждён Приказом Росстандарта от 19.11.2021 № 1554-ст.

Разницы в требованиях между ними нет: ГОСТ Р ИСО 22301-2021 — перевод, а не самостоятельная редакция. Поэтому, если заказчик написал в анкете «ГОСТ Р ИСО 22301», а в вашем сертификате указан ИСО 22301 (ISO 22301:2019), речь об одном и том же наборе требований. Какое обозначение указать в документе, согласуем при оформлении — исходим из того, как требование сформулировано у вашего контрагента.

Что вы получаете по итогам

• Сертификат соответствия системы менеджмента требованиям ИСО 22301 (ISO 22301:2019) со сроком действия 3 года.
• Электронную копию в день оформления — её обычно и прикладывают к анкете или в тендерный пакет.
• Запись в реестре системы добровольной сертификации, по которой контрагент проверяет подлинность документа по регистрационному номеру.
• Согласованную формулировку области применения — ту, которую увидит и сверит заказчик.

Частые ошибки при заказе сертификата ИСО 22301

1. Заказывают документ, не прочитав формулировку требования. В анкетах встречается «сертификат ИСО 22301», «сертификат аккредитованного органа» и «наличие системы непрерывности» — это три разных требования: первое и третье мы закрываем, а сертификат аккредитованного органа мы не оформляем, и подменить его нашим документом нельзя.
2. Берут область применения «на всю организацию» по умолчанию. Для BCMS это чаще вредит, чем помогает: широкая область вызывает встречные вопросы, на которые нужно отвечать документами.
3. Путают срок оформления со сроком построения системы и планируют проект исходя из «от 1 дня», не имея ни BIA, ни планов.
4. Заказывают ИСО 22301, когда заказчику нужен ИСО 27001. Непрерывность и информационная безопасность пересекаются в реестре рисков, но это разные документы с разным предметом.
5. Согласовывают область применения после оформления. Переоформление из-за неверной строки — самая частая причина потери времени.

Итог

Сертификация ИСО 22301 (ISO 22301:2019) закрывает требование контрагента о непрерывности бизнеса: стоимость 35 000 ₽ под ключ, срок от 1 дня, дистанционно, без доплат, документ действует 3 года. Построение самой системы непрерывности — отдельный проект вашей команды, и мы его не выполняем; оформление сертификата на уже существующую систему занимает дни. Главное, что стоит согласовать заранее, — формулировка области применения: именно её сверит ваш заказчик.

Готовы оформить сертификат ИСО 22301? Оставьте заявку — ответим в течение рабочего дня, назовём срок и скажем, закрывает ли наш документ требование вашего контрагента.

Частые вопросы об ИСО 22301

От чего зависит цена сертификации ИСО 22301 (ISO 22301)?

Стоимость под ключ — 35 000 ₽. Цена фиксированная: она не зависит от численности сотрудников, количества площадок и оборота компании. Отдельной оплаты органа по сертификации и доплат за оформление в нашей модели нет, названная сумма закрывает работу целиком. Если рядом нужен второй стандарт, это вторая позиция прайса, и её стоимость складывается с первой.

Заказчик назвал дату в анкете — успеем ли оформить сертификат ИСО 22301 к сроку?

Со стороны оформления — да: от 1 дня с момента подачи документов. Этот срок относится к оформлению сертификата на систему, которая у вас уже выстроена. Если системы непрерывности пока нет, срок определяет ваш внутренний проект по её построению — анализ воздействия на бизнес, планы BCP и учения занимают месяцы, и эту работу мы не выполняем.

Кто на самом деле требует сертификат ИСО 22301 — регулятор или ваш контрагент?

Не государство. Обязательной сертификации систем менеджмента непрерывности в России не установлено, и ни одна отрасль не обязана иметь этот документ по закону. Требование создаёт контрагент — оно приходит из договора, приложения об уровне сервиса или анкеты поставщика. Поэтому решение о заказе стоит принимать, глядя на формулировку требования, а не на отраслевую принадлежность.

Должна ли система непрерывности уже работать на момент заказа сертификата ИСО 22301?

Да, сертификат выдаётся на существующую систему, а не вместо неё. Построение BCMS — ваш внутренний проект: определение критических процессов, BIA, оценка рисков, планы BCP, учения. Консультационного внедрения, разработки планов и проведения учений мы не оказываем. Наша часть начинается, когда система и её документы есть.

Заказчик требует подтверждение непрерывности от аккредитованного органа — что здесь можем мы, а что нет?

Это две разные схемы. Мы оформляем сертификат системы добровольной сертификации: дистанционно, по результатам экспертизы документов, с регистрацией в реестре, срок от 1 дня. Международная схема через аккредитованный орган предполагает выездной аудит в два этапа и другие сроки и бюджет — эту услугу мы не оказываем. Если заказчик письменно требует именно аккредитованный орган, выяснить это нужно до оплаты.

У нас уже есть ИСО 27001 — закрывает ли он требование по непрерывности?

Нет, не закрывает. ИСО 27001 (ISO 27001) отвечает на вопрос «защищены ли мои данные у вас», ИСО 22301 — на вопрос «продолжите ли вы работать, когда у вас что-то откажет». Реестр рисков и часть анализа у них пересекаются, поэтому в IT-секторе их часто просят вместе. Но это два отдельных документа с разным предметом, и одним другой не закрывается. По прайсу это две позиции: 35 000 ₽ и 35 000 ₽.

Что писать в области применения, если процессы распределены по нескольким площадкам?

Включать те процессы и площадки, которые участвуют в исполнении договора с заказчиком, задавшим требование. BCMS по ИСО 22301 не обязана охватывать организацию целиком — стандарт прямо допускает ограничение критическим контуром. Пришлите формулировку требования вместе с заявкой: область удобнее согласовать до оформления, чем переоформлять документ после.

Что будет с сертификатом, если изменится структура компании или добавится площадка?

Сертификат выдаётся на согласованную область применения. Если изменения выходят за её границы — например, заказчик передал вам процесс на новой площадке, которой в области нет, — документ на эту площадку не распространяется, и область нужно переоформлять. Поэтому при планируемом расширении лучше сразу заложить его в формулировку, а не ограничиваться текущим контуром.