ISO 22301 i plan ciągłości działania: analiza BIA krok po kroku.

Zespół INTRAQ · 8 listopada 2026 · 6 min czytania

W SKRÓCIE

ISO 22301:2019 to międzynarodowa norma systemu zarządzania ciągłością działania.
Analiza BIA wskazuje krytyczne procesy oraz ich RTO i RPO.
Plan ciągłości działania (BCP) opisuje, jak utrzymać kluczowe usługi w czasie zakłócenia.
Plan, którego nikt nie testował, zwykle nie zadziała.

Czym jest ISO 22301

ISO 22301:2019 to norma określająca wymagania dla systemu zarządzania ciągłością działania (BCMS). Pomaga organizacji przygotować się na zakłócenia, reagować na nie i wracać do normalnej pracy w akceptowalnym czasie. Ma podobną strukturę jak ISO/IEC 27001, dlatego oba systemy łatwo łączyć.

Najważniejsze pojęcia

BIA (Business Impact Analysis) – analiza wpływu przerwy w działaniu na organizację.
RTO (Recovery Time Objective) – maksymalny akceptowalny czas przywrócenia procesu lub systemu.
RPO (Recovery Point Objective) – maksymalna akceptowalna utrata danych mierzona czasem.
MTPD – maksymalny tolerowany okres zakłócenia, po którym skutki stają się nieakceptowalne.
BCP – plan ciągłości działania; DRP – plan odtwarzania systemów IT.

Analiza BIA krok po kroku

Spisz procesy realizowane przez każdą komórkę organizacyjną.
Dla każdego procesu oceń skutki przerwy: finansowe, prawne, wizerunkowe i dla mieszkańców lub klientów.
Ustal, po jakim czasie skutki stają się poważne – to wyznacza MTPD i RTO.
Określ, ile danych można stracić – to wyznacza RPO.
Wskaż zasoby, od których proces zależy: systemy, ludzi, dostawców, pomieszczenia.
Uszereguj procesy według krytyczności i zatwierdź wyniki z kierownictwem.

Co powinien zawierać plan ciągłości działania

Zakres i scenariusze, których dotyczy.
Role, zastępstwa i dane kontaktowe zespołu kryzysowego.
Kryteria uruchomienia planu i sposób komunikacji.
Działania obejściowe pozwalające pracować bez systemu.
Kolejność i sposób odtwarzania systemów oraz danych.
Warunki powrotu do normalnej pracy.

Testowanie planów

Plan ciągłości działania sprawdza się w ćwiczeniach. Najprostsza forma to przegląd przy stole, podczas którego zespół przechodzi scenariusz krok po kroku. Bardziej zaawansowane są testy techniczne, np. odtworzenie serwera z kopii zapasowej i zmierzenie, czy mieści się w założonym RTO. Wnioski z testów trzeba wprowadzać do planów.

Pytania i odpowiedzi

Czy BIA jest wymagana przez ustawę o KSC?

Ustawa wymaga od podmiotów kluczowych i ważnych zapewnienia ciągłości działania. Analiza BIA jest standardowym sposobem ustalenia, które procesy i systemy chronić w pierwszej kolejności, i jest oczekiwana podczas audytu.

Jak często testować plan ciągłości działania?

Co najmniej raz w roku oraz po istotnych zmianach w organizacji lub infrastrukturze IT.

Czym różni się RTO od RPO?

RTO określa, jak szybko trzeba przywrócić proces lub system. RPO określa, ile danych można stracić, czyli jak stara może być ostatnia kopia zapasowa.