ISO 22301 Certified Business Continuity Manager (CBCM)

Der ISO 22301 Certified Business Continuity Manager (CBCM) ist eine Personenzertifizierung für Business Continuity Management (BCM) nach der Norm ISO 22301. Vergeben wird sie von Certified Information Security (CIS), das den CBCM als Expertenstufe seiner BCM-Zertifizierungen einordnet. Eine weitere Zertifizierungsstelle, die eine Zertifizierung unter diesem Namen vergibt, ließ sich nicht belegen (Stand 19.10.2026).

Was ist der CBCM?

ISO 22301 ist die internationale Norm für Business-Continuity-Managementsysteme (BCMS). Sie beschreibt einen Rahmen, mit dem Organisationen ein dokumentiertes Managementsystem planen, einführen, betreiben, überwachen, überprüfen, aufrechterhalten und fortlaufend verbessern. Ziel ist, sich gegen störende Vorfälle zu schützen, deren Wahrscheinlichkeit zu senken und die Wiederherstellung sicherzustellen. Aktuell ist die Ausgabe ISO 22301:2019 mit der Änderung ISO 22301:2019/Amd 1:2024; eine Neufassung ist bei ISO in Arbeit.

Laut CIS bescheinigt der CBCM die Fähigkeit, Incident-Management-Pläne (IMPs) und Reaktionsverfahren zu entwickeln, mit denen die strategischen BCM-Ziele erreicht werden, sowie deren Einführung, Test und Pflege zu steuern. Als Kompetenzen nennt CIS unter anderem:

• alternative Wiederanlaufstrategien auswählen, mit denen kritische Funktionen innerhalb der vorgegebenen Wiederanlaufzeit (Recovery Time Objective, RTO) und des tolerierbaren Datenverlusts (Recovery Point Objective, RPO) weiterlaufen
• Pläne und Verfahren für die Kommunikation mit internen Stakeholdern während eines Vorfalls entwickeln, abstimmen und bewerten
• Beschäftigte und ihre Familien nach einem Vorfall unterstützen und anleiten

In Deutschland beschreibt das Bundesamt für Sicherheit in der Informationstechnik (BSI) mit dem BSI-Standard 200-4 den Aufbau eines BCMS. Zum Standard gehört ein Anforderungskatalog mit einem Mapping auf ISO 22301:2019. Eine Zertifizierung nach dem BSI-Standard 200-4 ist laut BSI derzeit nicht geplant.

Für wen ist der CBCM gedacht?

CIS erkennt Berufserfahrung aus Funktionen an, in denen Betriebskontinuität zum Alltag gehört. Genannt werden unter anderem:

• Business-Continuity-Manager und Manager für operationelle Risiken
• Betriebs- und Abteilungsleitungen sowie Mitglieder von Lenkungsausschüssen und Teamleitungen für Business Continuity und Disaster Recovery
• IT-, Qualitäts-, Facility- und Personalmanager, Fachleute für Informationssicherheit sowie Verantwortliche für Notfall-, Gesundheits- und Arbeitsschutz
• interne und externe Auditoren, die BCM-Praktiken prüfen, sowie Beraterinnen und Berater

Voraussetzungen

• Mitgliedschaft im CIS Body of Certified Professionals
• Teilnahme an drei Pflichtkursen: Policy Workshop: ISO 31000 Enterprise Risk Management, Policy Workshop: ISO 22301 Business Continuity Management sowie Deploy, Exercise, and Certify Business Continuity Management
• bestandene Prüfungen RM101, BCMS101 und BCMS102
• mindestens fünf Jahre einschlägige Berufserfahrung
• Antrag auf Zertifizierung bei der Zertifizierungsabteilung von CIS

Bestimmte Zertifikate anderer Stellen ersetzen laut CIS jeweils sechs Monate der geforderten Erfahrung, darunter ABCP und CBCP von DRI International. Alle von CIS zertifizierten Personen verpflichten sich auf den Code of Ethics von CIS.

Ablauf und Prüfung

Für den CBCM sind drei Prüfungen zu bestehen:

• RM101: Risikomanagement auf Basis von ISO 31000, 31010 und 27005 (Kontext, Risikobeurteilung, Risikobehandlung, Risikoakzeptanz, Risikokommunikation, Überwachung und Überprüfung)
• BCMS101: Planung und Strategie eines BCMS nach ISO 22301 und ISO 22313, unter anderem Business Impact Analysis (BIA) und BCM-Strategie
• BCMS102: Einführung, Übung und Zertifizierung eines BCMS, unter anderem Business-Continuity- und Incident-Management-Pläne

Die Prüfungen laufen online über das Lernmanagementsystem von CIS. Sie sind Open-Book-Prüfungen ohne externe Aufsicht. Jede Prüfung umfasst 65 zufällig ausgewählte Fragen und muss nach dem Start innerhalb von 70 Minuten abgeschlossen sein; bestanden ist ab 75 Prozent. Eine gekaufte Prüfung ist innerhalb von 48 Stunden zu beginnen und abzuschließen. Nach Prüfung der Ergebnisse und Unterlagen durch das Zertifizierungskomitee versendet CIS digitale Zertifikate und Badges innerhalb von zehn Werktagen.

Gültigkeit und Rezertifizierung

Der CBCM läuft in einem dreijährigen Zertifizierungszyklus. In diesem Zyklus sind 120 CPE-Credits (Continuing Professional Education) zu erwerben, mindestens 20 pro Jahr. Zusätzlich ist jährlich die Annual Maintenance Fee (AMF) zu zahlen. CPE-Nachweise müssen nicht eingereicht, bei einer Stichprobenprüfung aber vorgelegt werden. Werden Mindest-CPE und AMF nicht erfüllt, wird die Zertifizierung ausgesetzt; holen Inhaber die Anforderungen nicht innerhalb von 60 Tagen nach, wird sie entzogen.

Anbieter

Zertifizierungsstelle ist Certified Information Security (CIS). CIS bietet die erforderlichen Kurse und Prüfungen selbst an und vergibt die Zertifizierung nach Freigabe durch sein Zertifizierungskomitee. Zum selben Programm gehört der ISO 22301 Certified Business Continuity Strategist (CBCS).

Kosten

CIS nennt beim Einzelerwerb folgende Kosten (Stand 19.10.2026):

• Mitgliedschaft: 100,00 USD (Aufnahmegebühr 20,00 USD und Mitgliedsbeitrag 80,00 USD), danach jährlich im Januar 80,00 USD
• Pflichtkurse im Online-Selbststudium: 399,95 USD (ISO 31000), 299,95 USD (ISO 22301) und 299,95 USD (Deploy, Exercise, and Certify)
• Prüfungen RM101, BCMS101 und BCMS102 zusammen: 300,00 USD
• optionale Übungsprüfungen für alle drei Prüfungen: 225,00 USD

Alternativ verkauft CIS ein Komplettpaket als Gutschein, das Mitgliedschaft, Kurse, Übungsprüfungen und Prüfungen umfasst.

Abgrenzung zu verwandten Zertifizierungen

Die Prüfungen BCMS101 und BCMS102 verlangt CIS auch für den CBCS. Der CBCM ist laut CIS die Expertenstufe. Nicht zu verwechseln ist der CBCM mit dem Certified Business Continuity Professional (CBCP) von DRI International: Dieser beruht auf den Professional Practices for Business Continuity Management von DRI International, verlangt mehr als zwei Jahre Erfahrung und eine eigene Prüfung, die Qualifying Examination.

Häufige Fragen zu ISO 22301 Certified Business Continuity Manager (CBCM)

Was versteht man unter einem Certified Business Continuity Manager (CBCM)?

Gemeint ist die Zertifizierung ISO 22301 Certified Business Continuity Manager von Certified Information Security (CIS). Sie bescheinigt nach Angabe von CIS, dass die zertifizierte Person Incident-Management-Pläne und Reaktionsverfahren für ein BCMS nach ISO 22301 entwickeln und deren Einführung, Test und Pflege steuern kann. Voraussetzung sind drei Pflichtkurse, drei bestandene Prüfungen und mindestens fünf Jahre Berufserfahrung.

Für wen ist eine CBCM-Zertifizierung besonders relevant?

CIS ordnet den CBCM als Expertenstufe ein. Anerkannt wird Erfahrung unter anderem aus Business Continuity Management, operationellem Risikomanagement, Betriebs- und Abteilungsleitung, IT-, Qualitäts-, Facility- und Personalmanagement, Informationssicherheit, Notfall- und Arbeitsschutz sowie aus der Prüfung von BCM-Praktiken als Auditor.

Welche Voraussetzungen sind für die Erlangung der CBCM-Zertifizierung erforderlich?

CIS verlangt die Mitgliedschaft im CIS Body of Certified Professionals, die Teilnahme an drei Pflichtkursen, die bestandenen Prüfungen RM101, BCMS101 und BCMS102 sowie mindestens fünf Jahre einschlägige Berufserfahrung. Zertifikate wie ABCP oder CBCP von DRI International ersetzen jeweils sechs Monate dieser Erfahrung.

Welchen Nutzen hat BCM für Unternehmen?

Nach ISO 22301 dient ein Business-Continuity-Managementsystem dazu, eine Organisation gegen störende Vorfälle zu schützen, deren Wahrscheinlichkeit zu verringern und die Wiederherstellung sicherzustellen. Die Norm legt dafür Anforderungen an Planung, Einführung, Betrieb, Überwachung, Überprüfung, Aufrechterhaltung und fortlaufende Verbesserung eines dokumentierten Managementsystems fest.

Wie bleibt man nach der Erlangung der CBCM-Zertifizierung aktuell?

CBCM-Inhaber müssen im dreijährigen Zertifizierungszyklus 120 CPE-Credits erwerben (mindestens 20 pro Jahr) und jährlich die Annual Maintenance Fee zahlen. In der Regel gibt es einen CPE-Credit je Stunde Weiterbildung; für die normale berufliche Tätigkeit werden grundsätzlich keine Credits vergeben.