Jede Schutzmaßnahme kann versagen. Business Continuity Management setzt genau dort an, wo Prävention endet: Es beantwortet nicht die Frage, wie ein Ausfall verhindert wird, sondern wie lange die Organisation ihn aushält und wie sie ihre Leistungserbringung in dieser Zeit aufrechterhält. Bezugspunkt sind Geschäftsprozesse und die Leistungen, die Kunden, Aufsicht und Lieferkette erwarten, nicht einzelne Systeme.
Wie unterscheidet sich BCM von der Informationssicherheit?
Ein ISMS steuert Risiken für Vertraulichkeit, Integrität und Verfügbarkeit und arbeitet überwiegend vorbeugend. BCM übernimmt den Fall, der trotzdem eintritt. Beide Systeme nutzen dieselben Vorarbeiten – Prozesslandkarte, Asset- und Dienstleisterinventar, Schutzbedarf im Bereich Verfügbarkeit – und liefern einander Eingaben, ersetzen sich aber nicht. Wer BCM als Unterkapitel des ISMS führt, unterschätzt regelmäßig den Abstimmungsaufwand mit den Fachbereichen außerhalb der IT. Wo beide Teams dieselbe Arbeit doppelt machen, was sich zusammenlegen lässt und was bewusst getrennt bleiben sollte, behandelt der Beitrag BCM und ISMS gemeinsam betreiben.
Wie läuft der BCM-Prozess ab?
| Phase | Inhalt | Ergebnis |
|---|---|---|
| Initiierung | Leitlinie, Geltungsbereich, Rollen, Mandat der Leitung | BCM-Leitlinie und Auftrag |
| Analyse | Business-Impact-Analyse, ergänzende Risikoanalyse | zeitkritische Prozesse, Zeitvorgaben, Ressourcenbedarf |
| Strategie | Auswahl der Bewältigungsoptionen je Ressourcenklasse | begründete Kontinuitätsstrategien |
| Umsetzung | Vorsorgemaßnahmen, Notfallorganisation, Pläne, Alarmierung | dokumentierte und verfügbare Verfahren |
| Aufrechterhaltung | Tests, Übungen, Reviews, Nachpflege bei Änderungen | belegte Wirksamkeit |
Der Zyklus folgt derselben Logik wie andere Managementsysteme. Nur ist die letzte Phase hier nicht optional: Ein Plan, der nie geübt wurde, ist eine Vermutung.
Warum kommt die Strategie vor dem Notfallplan?
Am häufigsten wird abgekürzt, indem sofort Pläne geschrieben werden. Sinnvoller ist die umgekehrte Reihenfolge. Zuerst wird je Ressourcenklasse (Personal, Gebäude, IT-Systeme, Dienstleister, Betriebsmittel, Informationen) entschieden, mit welcher Option ein Ausfall überbrückt wird. Zur Wahl stehen unter anderem Redundanz, Ausweichstandorte, manuelle Ersatzverfahren, vorbereitete Ersatzbeschaffung, vertraglich zugesicherte Leistungen Dritter und die bewusste Inkaufnahme des Ausfalls. Erst diese Entscheidung macht die Zeitvorgaben aus der Business-Impact-Analyse tragfähig, und erst danach lohnt sich ein Plan.
Welche Pläne, Rollen und Übungen braucht ein BCM?
Aus den Strategien entstehen Geschäftsfortführungspläne für den Notbetrieb, Wiederanlauf- und Wiederherstellungspläne für die Rückkehr in den Normalbetrieb sowie die Notfallorganisation mit Alarmierung, Vertretungen und Kommunikationswegen. Geübt wird abgestuft: Plandurchsprache am Tisch, Stabsübung, Funktionstest einzelner Verfahren und schließlich der Wiederanlauf unter realistischen Bedingungen. Einen normativ vorgegebenen Übungsturnus gibt es nicht; er ist risikoorientiert festzulegen, zu begründen und einzuhalten.
Welche Standards und Vorgaben verlangen BCM?
International ist ISO 22301:2019 der Referenzpunkt, seit 2024 ergänzt um die Änderung Amd 1:2024. In Deutschland ist es der BSI-Standard 200-4 in der Version 1.0 vom Mai 2023, der den BSI-Standard 100-4 ablöst.
Der praktische Unterschied liegt im Einstieg: Der BSI-Standard erlaubt einen gestuften Aufbau, und die Stufen sind keine Reifegrade im Nachhinein, sondern vorab wählbare Ausbaupfade. Jedes Kapitel des Standards ist markiert, für welche Stufe es gilt.
| Stufe | Was sie leistet | Verhältnis zu ISO 22301 |
|---|---|---|
| Reaktiv-BCMS | stellt zuerst die Reaktionsfähigkeit her: Alarmierung, Zuständigkeiten, Bewältigungsorganisation; tiefe Analysen werden bewusst zurückgestellt | keine Konformität beabsichtigt |
| Aufbau-BCMS | ergänzt eine strukturierte Business-Impact-Analyse und dokumentierte Pläne | Zwischenschritt |
| Standard-BCMS | vollständiges Managementsystem mit Strategien, Übungsprogramm und Verbesserung | konform zu den Anforderungen der ISO 22301:2019, damit zertifizierungsfähig nach ISO 22301 |
Zum BSI-Standard selbst gibt es kein Zertifikat; eine Zertifizierung ist laut BSI derzeit nicht geplant.
Unabhängig von den Standards verlangen mehrere Rechtsakte Kontinuitätsvorsorge ausdrücklich: Der Maßnahmenkatalog des § 30 Abs. 2 BSIG nennt unter anderem die Aufrechterhaltung des Betriebs einschließlich Backup- und Krisenmanagement, und die Verordnung (EU) 2022/2554 (DORA) verlangt von Finanzunternehmen in Kapitel II Vorgaben zur Betriebskontinuität samt regelmäßiger Erprobung.
Woran scheitert BCM im Ernstfall?
- Die Zeitvorgaben stammen aus dem Wunschdenken der Fachbereiche und sind technisch nicht hinterlegt.
- Pläne beschreiben den Wiederanlauf von Systemen, nicht die Fortführung des Geschäftsprozesses.
- Dienstleister sind im Plan fest eingeplant, vertraglich aber zu nichts verpflichtet.
- Die Notfalldokumentation liegt ausschließlich in der Umgebung, deren Ausfall sie behandelt.
- Nach Änderungen an Prozessen, Standorten oder Dienstleistern wird die Analyse nicht nachgezogen.
Wo BCM und Informationssicherheit denselben Bestand brauchen
BCM und Informationssicherheit werden meist getrennt organisiert und arbeiten doch an derselben Frage: Was hängt woran. In Rizzqo existiert diese Struktur einmal. Ein Geschäftsprozess ist ein primärer Wert, die Anwendungen, Systeme, Standorte, Dienstleister und Personalfunktionen darunter sind unterstützende Werte, und der Anspruch des Prozesses, insbesondere an die Verfügbarkeit, wird entlang der Kette weitergereicht.
Daraus folgen zwei praktische Dinge. Der Betreiber eines nachgelagerten Systems sieht, welcher Prozess am Ende von ihm abhängt, und kann eine Wiederanlaufvorgabe daran begründen statt am technischen Gefühl. Und ein gemeinsamer Ausfallpunkt fällt in der Zahl der Verknüpfungen auf, bevor er sich realisiert. Die Zeitvorgaben, Notfallpläne und Übungen selbst entstehen weiterhin im Kontinuitätsmanagement; Rizzqo hält die Abhängigkeiten darunter, die beide Disziplinen brauchen.