Was regelt der BSI-Standard 200-4?
Der BSI-Standard 200-4 beschreibt, wie eine Organisation dafür sorgt, dass zeitkritische Geschäftsprozesse bei einem Ausfall von Personal, Gebäuden, IT oder Dienstleistern weiterlaufen oder rechtzeitig wieder anlaufen. Er löst den BSI-Standard 100-4 zum Notfallmanagement ab. Maßgeblich ist Version 1.0 vom Mai 2023. Ausgangspunkt sind die Geschäftsprozesse; ein IT-Wiederanlaufplan ist eines der Ergebnisse des Business Continuity Managements.
Als BSI-Standard ist er rechtlich nicht verbindlich. Er ist eine Möglichkeit, Pflichten zur Kontinuitätsvorsorge umzusetzen, etwa die Aufrechterhaltung des Betriebs nach § 30 Abs. 2 Satz 2 Nr. 3 BSIG für besonders wichtige und wichtige Einrichtungen. Nach § 28 Abs. 6 BSIG gilt § 30 nicht für Finanzunternehmen nach DORA, für die Artikel 11 DORA die Kontinuität regelt. Nach Abs. 5 gilt § 30 grundsätzlich nicht für Telekommunikationsanbieter und Energieanlagen unter den §§ 5c bis 5e EnWG.
Wie ein BCMS Schritt für Schritt entsteht, beschreibt der Ratgeber BCMS aufbauen.
Das Stufenmodell: drei Stufen
Der Standard sieht drei Ausbaustufen vor.
| Stufe | Umfang | Wofür sie gedacht ist |
|---|---|---|
| Reaktiv-BCMS | nur ausgewählte zeitkritische Geschäftsprozesse und Ressourcen, abgesichert mit vorhandenen Mitteln oder kleineren Investitionen | schnell auf Notfälle reagieren können; stark vereinfachte Einstiegsstufe, die nach einem BCM-Zyklus zum Aufbau- oder Standard-BCMS weiterzuentwickeln ist |
| Aufbau-BCMS | ein eingeschränkter Umfang an Geschäftsprozessen, gewählt so, dass möglichst viele der zeitkritischsten darin liegen | Einstieg mit begrenzten Ressourcen |
| Standard-BCMS | alle Geschäftsprozesse im Geltungsbereich | vollständiges BCMS; nach dem Standard konform zu ISO 22301:2019 |
Die Kennzahlen der Business-Impact-Analyse
Die Business-Impact-Analyse bestimmt, welche Geschäftsprozesse zeitkritisch sind und wie schnell ihre Ressourcen wieder verfügbar sein müssen. Der Standard verwendet diese Kenngrößen:
| Kenngröße | Deutsch | Bedeutung |
|---|---|---|
| MTPD | maximal tolerierbare Ausfallzeit (MTA) | wie lange ein Geschäftsprozess höchstens ausfallen darf, bevor nicht tolerierbare Auswirkungen eintreten |
| RTO | geforderte Wiederanlaufzeit (WAZ) | Zeitraum vom Ausrufen des Notfalls bis zur geforderten Inbetriebnahme der Notfalllösung; für Prozesse und Ressourcen |
| RPO | maximal zulässiger Datenverlust | wie alt verfügbare Daten höchstens sein dürfen; daraus folgt der Datensicherungszyklus |
| MBCO | Notbetriebsniveau | wie leistungsfähig der Notbetrieb sein soll |
| RTA | tatsächliche Wiederanlaufzeit | real erreichbarer Zeitraum ab Ausruf des Notfalls bis zur produktiven Notfalllösung einer Ressource |
Die RTO muss nach dem Standard zwingend kürzer sein als die MTPD, weil die Reaktionszeit bis zum Ausrufen des Notfalls von der MTPD abgezogen wird. Diese BAO-Reaktionszeit reicht vom Erkennen und Alarmieren über das Zusammentreten der besonderen Aufbauorganisation bis zur Entscheidung; der Standard empfiehlt, sie zentral festzulegen und einen zeitlichen Puffer einzuplanen.
Rechenbeispiel: geforderte und tatsächliche Wiederanlaufzeit
Beispiel (fiktiv): Die Zahlen sind frei gewählt und dienen ausschließlich der Veranschaulichung. Die Auftragsannahme eines Großhändlers darf höchstens 24 Stunden ausfallen (MTPD). Die BAO-Reaktionszeit ist zentral auf 4 Stunden festgelegt, der Puffer auf 2 Stunden.
| Schritt | Rechnung | Ergebnis |
|---|---|---|
| RTO des Prozesses | 24 h − 4 h Reaktionszeit − 2 h Puffer | höchstens 18 h |
| RTO der Ressource ERP-System | übernimmt die Vorgabe des Prozesses | höchstens 18 h |
| RTA des ERP-Systems | gemessen in der letzten Wiederherstellungsübung: Rücksicherung und Test | 22 h |
| Soll-Ist-Vergleich | 22 h RTA gegen 18 h RTO | Lücke von 4 h |
Die Lücke ist eine Entscheidung für die Leitung. Sie kann die RTA senken lassen, etwa durch eine Ersatzumgebung, die nicht erst aufgebaut werden muss, oder einen Notbetrieb ohne ERP vorsehen, der die Auftragsannahme für die Differenz trägt. Nutzen mehrere Prozesse dasselbe System, gilt für das System die kürzeste RTO aller abhängigen Prozesse. Liegen noch keine Übungsergebnisse vor, lässt der Standard eine realistische Schätzung der RTA durch eine fachkundige Person zu; ersetzen Sie sie durch den in einer Übung gemessenen Wert, sobald er vorliegt.
Verhältnis zu ISO 22301 und zur Zertifizierung
Nach dem Standard ist das Standard-BCMS konform zu ISO 22301:2019; mit einem vollständig umgesetzten Standard-BCMS kann eine Organisation die Reife für eine Zertifizierung nach ISO 22301 erreichen. Ein Anforderungskatalog mit allen MUSS- und SOLLTE-Anforderungen des Standard-BCMS enthält dafür ein Mapping auf ISO 22301:2019.
Eine Zertifizierung nach dem BSI-Standard 200-4 selbst ist laut der Seite des BSI zum Standard derzeit noch nicht geplant (Stand: Oktober 2026). Zertifiziert wird nach ISO 22301.
Der Standard lässt sich ohne ISMS einführen. Wo eines besteht, liefern Prozess- und Asset-Inventar und die Einstufung der Verfügbarkeit direkte Eingaben für die Business-Impact-Analyse. Wie ein ISMS aufgebaut wird, zeigt der Ratgeber ISMS einführen.