Pożar serwerowni, atak ransomware, powódź, awaria zasilania, pandemia, utrata kluczowego dostawcy – każde z tych zdarzeń może w jednej chwili zatrzymać działalność organizacji. Pytanie nie brzmi "czy", lecz "kiedy" wystąpi zakłócenie – i czy firma będzie na nie przygotowana. ISO 22301 – System Zarządzania Ciągłością Działania (BCMS, Business Continuity Management System) to międzynarodowa norma która uczy organizacje jak przewidywać zakłócenia, przygotować się na nie i szybko wznowić krytyczne procesy biznesowe. W świecie rosnących zagrożeń – od cyberataków po zmiany klimatyczne – ciągłość działania stała się strategicznym priorytetem, a szkolenia z ISO 22301 jednym z dynamiczniej rosnących obszarów rynku szkoleń w Polsce.
Portal centrum.jakosci.pl agreguje oferty od blisko 4000 firm szkoleniowych. Nie jesteśmy jednostką certyfikującą ani nie prowadzimy własnych szkoleń. Naszym celem jest dostarczenie menedżerom ciągłości działania, specjalistom IT, compliance officerom i kadrze zarządzającej rzetelnej wiedzy, która pozwoli wybrać właściwe szkolenie ISO 22301 i skutecznie przygotować organizację do certyfikacji.
Czym jest ISO 22301 i kto powinien ją wdrożyć
ISO 22301 (pełna nazwa: Bezpieczeństwo i odporność – Systemy zarządzania ciągłością działania – Wymagania) to certyfikowalna norma określająca wymagania dla systemu który pozwala organizacji kontynuować dostarczanie produktów i usług na akceptowalnym poziomie podczas zakłóceń. Najnowsze wydanie to ISO 22301:2019.
W przeciwieństwie do ISO 19011 czy ISO 31000 (normy wytycznych), ISO 22301 jest normą wymagań – organizacja może wdrożyć system zarządzania ciągłością działania, poddać go ocenie jednostki certyfikującej i uzyskać akredytowany certyfikat.
Norma jest szczególnie wartościowa dla:
- Instytucji finansowych (banki, ubezpieczyciele – często wymagane przez regulatorów)
- Dostawców usług IT i centrów danych
- Podmiotów infrastruktury krytycznej
- Firm produkcyjnych z krytycznymi łańcuchami dostaw
- Organizacji obsługujących sektor publiczny i ochronę zdrowia
- Firm uczestniczących w przetargach gdzie odporność jest kryterium oceny
ISO 22301 a NIS2 i DORA – kontekst regulacyjny 2026
Ciągłość działania nabrała w ostatnich latach wymiaru regulacyjnego. Dwie regulacje sprawiają że ISO 22301 staje się jeszcze bardziej istotna:
NIS2 / Ustawa o KSC: Dyrektywa NIS2 (w Polsce wdrożona nowelizacją ustawy o Krajowym Systemie Cyberbezpieczeństwa, obowiązującą od kwietnia 2026) wymaga od podmiotów kluczowych i ważnych zarządzania ciągłością działania i ciągłością usług ICT. ISO 22301 dostarcza sprawdzonych ram dla spełnienia tych wymagań.
DORA (Digital Operational Resilience Act): Rozporządzenie UE o operacyjnej odporności cyfrowej sektora finansowego, obowiązujące od stycznia 2025. Nakłada na instytucje finansowe rygorystyczne wymagania dotyczące odporności operacyjnej – ISO 22301 jest naturalnym narzędziem wspierającym zgodność z DORA.
Szkolenia z ISO 22301 coraz częściej omawiają normę w kontekście tych regulacji – bo dla wielu organizacji ciągłość działania przestała być dobrą praktyką, a stała się wymogiem prawnym.
Kluczowe pojęcia i narzędzia BCMS – co obejmują szkolenia
System zarządzania ciągłością działania opiera się na kilku fundamentalnych narzędziach, które stanowią rdzeń każdego szkolenia:
BIA – Business Impact Analysis (Analiza Wpływu na Biznes)
Fundament całego BCMS. Celem BIA jest określenie wpływu potencjalnych zakłóceń na działania biznesowe – które procesy są krytyczne, jakie są finansowe i niefinansowe konsekwencje ich przerwania (w tym utrata wizerunku i zadowolenia klienta), oraz jak szybko procesy muszą zostać wznowione. BIA wyznacza priorytety całego systemu ciągłości działania.
Kluczowe parametry czasowe
Szkolenia uczą obliczania i stosowania krytycznych wskaźników:
- RTO (Recovery Time Objective) – maksymalny akceptowalny czas wznowienia procesu po zakłóceniu
- RPO (Recovery Point Objective) – maksymalny akceptowalny okres utraty danych (punkt do którego dane muszą być odzyskane)
- MAC / MTPD – minimalna akceptowana konfiguracja / maksymalny tolerowany okres zakłócenia, po którym skutki stają się nieakceptowalne dla organizacji
BCP – Business Continuity Plan (Plan Ciągłości Działania)
Zbiory instrukcji i procedur awaryjnych składające się na proces zarządzania kryzysowego – jak postępować podczas incydentu, jak odtworzyć infrastrukturę IT, jak komunikować się w kryzysie, jak ewakuować i wznawiać działania.
Ocena ryzyka i strategie ciągłości
Identyfikacja zagrożeń mogących zakłócić działalność oraz opracowanie strategii minimalizacji ryzyka i zapewnienia ciągłości krytycznych funkcji. ISO 22301 ściśle współpracuje tu z metodologią zarządzania ryzykiem z ISO 31000.
Testowanie i ćwiczenia
Plan ciągłości działania który nigdy nie był testowany jest bezwartościowy. Norma wymaga regularnego testowania scenariuszy (ćwiczenia symulacyjne, testy techniczne) by zweryfikować skuteczność planów i przeszkolić personel.
Struktura HLS i integracja z innymi normami
ISO 22301 jest oparta na strukturze HLS (High Level Structure) i działa w cyklu PDCA (Plan-Do-Check-Act), co umożliwia łatwą integrację z innymi systemami zarządzania:
- ISO 27001 (bezpieczeństwo informacji) – najczęstsza integracja; ciągłość usług ICT jest wspólnym obszarem
- ISO 9001 (jakość) – wspólna struktura zarządzania
- ISO 31000 (zarządzanie ryzykiem) – metodologia oceny ryzyka wspiera BIA
- ISO 22316 (odporność organizacyjna) – szersza koncepcja resilience
Ścieżki szkoleniowe ISO 22301
1. Wymagania normy ISO 22301 – szkolenie wprowadzające
Kurs dla osób które chcą zrozumieć normę przed wdrożeniem lub uczestniczą w projekcie BCMS.
- Czas trwania: 1–2 dni (8–16 godzin)
- Charakterystyka: Omówienie wszystkich wymagań normy, model PDCA w kontekście ciągłości działania, identyfikacja procesów krytycznych i ryzyk, podstawy BIA, kluczowe role w BCMS, Minimalna Akceptowana Konfiguracja (MAC), podstawowe techniki zapewniania ciągłości.
- Dla kogo: Menedżerowie, specjaliści IT, compliance officerowie, osoby uczestniczące we wdrożeniu BCMS, kadra zarządzająca.
2. Menedżer Ciągłości Działania / Pełnomocnik BCMS wg ISO 22301
Szkolenie dla osoby odpowiedzialnej za wdrożenie i utrzymanie systemu w organizacji.
- Czas trwania: 2–3 dni (16–24 godziny)
- Charakterystyka: Kompleksowe przygotowanie do roli menedżera ciągłości działania: przeprowadzenie BIA, ocena ryzyka, wyznaczanie RTO/RPO/MTPD, opracowanie planów ciągłości działania (BCP) i planów odtwarzania po awarii (DRP), strategie ciągłości, projektowanie i prowadzenie testów, przygotowanie do certyfikacji. Kursy z egzaminem oferują certyfikat menedżera/managera ciągłości działania.
- Dla kogo: Menedżerowie ciągłości działania, pełnomocnicy BCMS, kierownicy IT, risk managerowie, osoby budujące system od podstaw.
3. Audytor Wewnętrzny ISO 22301
Kwalifikacja dla organizacji certyfikowanych lub przygotowujących się do certyfikacji.
- Czas trwania: 2 dni (16 godzin)
- Charakterystyka: Techniki audytowania BCMS zgodnie z metodologią ISO 19011. Specyfika audytu ISO 22301 – jak weryfikować kompletność i aktualność BIA, jak ocenić realność planów ciągłości, jak sprawdzić czy testy są przeprowadzane i dokumentowane. Warsztaty z planowania audytów i dokumentowania niezgodności.
- Dla kogo: Audytorzy wewnętrzni systemów zarządzania, menedżerowie ciągłości działania zarządzający programem audytów.
4. Audytor Wiodący ISO 22301 (Lead Auditor)
Najwyższy poziom kwalifikacji, przygotowujący do prowadzenia audytów certyfikujących.
- Czas trwania: 5 dni (40 godzin) z egzaminem
- Charakterystyka: Zaawansowane audytowanie BCMS, zarządzanie programem audytów, audytowanie w kontekście regulacji (NIS2, DORA), klasyfikacja niezgodności. Kursy z akredytacją CQI/IRCA lub PECB są najczęściej wybierane przez kandydatów na audytorów jednostek certyfikujących.
- Dla kogo: Audytorzy zewnętrzni, osoby planujące pracę w jednostkach certyfikujących.
Jak wybrać odpowiednie szkolenie ISO 22301
- Warsztaty z BIA: Analiza Wpływu na Biznes to najtrudniejszy praktycznie element BCMS. Sprawdź czy szkolenie zawiera ćwiczenia z przeprowadzania BIA na przykładach – samo omówienie teorii nie wystarcza.
- Kontekst regulacyjny: Jeśli Twoja organizacja podlega NIS2 lub DORA, wybierz szkolenie które omawia ISO 22301 w kontekście tych regulacji – pozwoli to połączyć wdrożenie BCMS z wymaganiami prawnymi.
- Trener z praktyką wdrożeniową: Najlepsze szkolenia prowadzą praktycy którzy budowali systemy BCMS i przeprowadzali firmy przez certyfikację – znają realne wyzwania, nie tylko teorię normy.
Najczęściej zadawane pytania
Czy ISO 22301 to norma certyfikowalna?
Tak. ISO 22301 to norma wymagań – organizacja może wdrożyć system zarządzania ciągłością działania (BCMS), poddać go ocenie akredytowanej jednostki certyfikującej i uzyskać formalny certyfikat. To odróżnia ją od norm wytycznych jak ISO 19011 czy ISO 31000. Certyfikat ISO 22301 jest cenionym dowodem odporności organizacyjnej, często wymaganym w przetargach i przez kontrahentów.
Ile kosztuje szkolenie z ISO 22301 w Polsce?
Jednodniowe szkolenia wprowadzające kosztują od 800 do 1500 PLN netto. Dwu-trzydniowe kursy menedżera ciągłości działania to wydatek od 1800 do 3500 PLN netto. Kursy z certyfikatem (np. menedżer BCMS, Lead Auditor) z egzaminem są droższe – Lead Auditor z akredytacją CQI/IRCA lub PECB to koszt od 5000 do 9000 PLN netto.
Czym różni się BCP od DRP?
BCP (Business Continuity Plan – Plan Ciągłości Działania) to szeroki plan obejmujący wszystkie aspekty kontynuowania działalności podczas zakłócenia – procesy biznesowe, ludzi, komunikację, lokalizacje. DRP (Disaster Recovery Plan – Plan Odtwarzania po Awarii) to węższy, techniczny plan dotyczący odtwarzania infrastruktury IT i danych. DRP jest zazwyczaj częścią szerszego BCP. Szkolenia ISO 22301 omawiają oba, z naciskiem na to że ciągłość działania to znacznie więcej niż tylko backup danych.
Co to jest BIA i dlaczego jest tak ważna?
BIA (Business Impact Analysis – Analiza Wpływu na Biznes) to fundament całego systemu zarządzania ciągłością działania. Polega na zidentyfikowaniu które procesy są krytyczne dla organizacji, jakie są konsekwencje ich przerwania (finansowe i niefinansowe) oraz jak szybko muszą zostać wznowione. To na podstawie BIA wyznacza się parametry RTO, RPO i MTPD oraz priorytety całego systemu. Źle przeprowadzona BIA powoduje że firma chroni niewłaściwe procesy – dlatego to najczęściej omawiany i ćwiczony element szkoleń.
Jak ISO 22301 ma się do NIS2 i DORA?
NIS2 (i polska ustawa o KSC) oraz DORA to regulacje wymagające od organizacji zarządzania ciągłością działania i odpornością operacyjną. ISO 22301 nie jest tożsama z tymi regulacjami, ale dostarcza sprawdzonych ram które znacząco ułatwiają spełnienie ich wymagań. Organizacja certyfikowana na ISO 22301 ma solidny fundament do wykazania zgodności z wymaganiami NIS2 dotyczącymi ciągłości usług czy z wymaganiami DORA dotyczącymi odporności operacyjnej sektora finansowego.
Jak długo trwa wdrożenie ISO 22301 i uzyskanie certyfikatu?
Dla średniej organizacji realistyczny harmonogram to 9–15 miesięcy. Kluczowe i czasochłonne etapy to przeprowadzenie rzetelnej BIA, opracowanie i przetestowanie planów ciągłości działania oraz przeprowadzenie co najmniej jednego pełnego cyklu testów i audytów wewnętrznych przed audytem certyfikującym. Organizacje posiadające już ISO 27001 mają ułatwiony start – mogą zaadaptować część dokumentacji i procesów zarządzania ryzykiem.
Czy ISO 22301 dotyczy tylko zagrożeń IT i cyberataków?
Nie – to częste nieporozumienie. ISO 22301 obejmuje wszystkie rodzaje zakłóceń: katastrofy naturalne (powódź, pożar), awarie infrastruktury (zasilanie, woda), utratę kluczowego personelu lub dostawcy, pandemie, zakłócenia łańcucha dostaw oraz oczywiście zagrożenia cybernetyczne. Ciągłość usług ICT jest ważnym, ale tylko jednym z obszarów. System zarządzania ciągłością działania ma charakter całościowy – chroni zdolność organizacji do funkcjonowania niezależnie od źródła zakłócenia.
Aktualne dane z bazy Centrum Jakości:
17 aktywnych szkoleń od
3 firm szkoleniowych.
