---

---

Inhaltsverzeichnis

1. Das Worst-Case-Konzept

2. Der BCM-Lifecycle

2.1 Managementphase 1: Policy und Programm-Management

2.2 Managementphase 2: Verankerung

2.3 Umsetzungsphase 1: Analyse

2.4 Umsetzungsphase 2: Design

2.5 Umsetzungsphase 3: Implementierung

2.6 Umsetzungsphase 4: Validierung

3. Aufbau und Betrieb eines BCMS

4. BCM und Schnittstellen zu anderen Disziplinen

4.1 BCM und IT Service Continuity Management (ITSCM)

4.2 BCM und Information Security Management (ISM)

4.3 BCM und Krisenmanagement

5. Was ist das Ziel des Business Continuity Management?

6. Wie kann Business Continuity Management meinem Unternehmen helfen?

7. Vorteile des Business Continuity Management für Unternehmen

8. FAQ

Das Business Continuity Management (BCM) hat sich im Laufe der Zeit weiterentwickelt und ist von einer rein technischen Vorsorge für IT-Systemausfälle in den 1980er-Jahren zu einem umfassenden Managementsystem geworden. BCM beschäftigt sich heute nicht nur mit der Absicherung von IT-Systemen, sondern mit allen wichtigen Ressourcen, die für das Überleben eines Unternehmens im Notfall von entscheidender Bedeutung sind. Einige wichtige Prinzipien und Verfahren haben sich im Laufe der Zeit etabliert und werden im weiteren Verlauf erläutert.

Das Worst-Case-Konzept

Beim Aufbau eines Business-Continuity-Management-Systems (BCMS) wird das sogenannte Worst-Case-Konzept angewandt. Hierbei wird nicht auf die Ursache für den Ausfall von Ressourcen geplant, sondern mit dem Ergebnis, nämlich mit dem Verlust von Gebäuden, Personal in zeitkritischen Prozessen, IT, Dienstleistungen/Lieferungen und Produktionsanlagen. Die Ursache für einen möglichen Verlust steht dabei nicht im Mittelpunkt der Betrachtungen.

Der BCM-Lifecycle

Basierend auf dem BCM-Modell des Business Continuity Institute (BCI) und den Anforderungen des ISO-Standards für BCM (ISO 22301), besteht der BCM-Lifecycle aus sechs Phasen. Diese beinhalten zwei Managementphasen und vier Umsetzungsphasen. Die Managementphasen stellen die Hauptaufgaben für die BCM-Verantwortlichen dar, während die Umsetzungsphasen in Zusammenarbeit mit verschiedenen Abteilungen des Unternehmens erfolgen. Das Vorgehen ist pragmatischer ausgerichtet und soll eine effiziente Umsetzung des BCM-Systems ermöglichen.


Quelle: Die sechs Phasen des BCM-Lifecycle (in Anlehnung an The Business Continuity Institute)

Managementphase 1: Policy und Programm-Management

In der ersten Phase des BCM-Lifecycles wird das BCM-Programm des Unternehmens oder der Organisation gestaltet. Die BCM-Policy wird dabei im Hinblick auf die Anforderungen an das Business Continuity Management festgelegt und schriftlich fixiert. Die Policy sollte verständlich und kurz gehalten sein (10 bis 15 Seiten) und die Motivation, Ziele, Verantwortlichkeiten und die geplante Umsetzung grob beschreiben. Diese Policy wird von den höchsten Managementebenen unterzeichnet und an alle Mitarbeiter kommuniziert, um das Fundament für die Implementierung des Business Continuity Programms zu schaffen. Im nächsten Schritt wird die Policy durch den BCM-Verantwortlichen ausgearbeitet, indem die Rahmenbedingungen in Form von Prozessbeschreibungen und Aufgabenbeschreibungen verfeinert werden. Anschließend werden die notwendigen Tools und Templates entwickelt, um das Programm-Management zu unterstützen. Das Programm-Management basiert dabei auf der BCM-Policy und setzt diese in der Praxis um.

Managementphase 2: Verankerung

Die Verankerungsphase im BCM-Lifecycle hat das Ziel, das Bewusstsein für das Thema Business Continuity Management (BCM) in der gesamten Organisation zu schaffen und es in bestehende Prozesse zu integrieren. Hierfür wird ein begleitendes Schulungs- und Awareness-Programm für alle Mitarbeiter entwickelt. Außerdem sollen die Prinzipien des BCM in möglichst vielen Prozessen der Organisation verankert werden, wie beispielsweise im Onboarding-Prozess neuer Mitarbeiter oder in Checklisten für Großprojekte. Durch die Verankerung von BCM-Aspekten in Geschäftsprozessen soll die Widerstandsfähigkeit der Organisation erhöht werden.

Umsetzungsphase 1: Analyse

Die Analysephase ist ein wichtiger Bestandteil des BCM-Lebenszyklus, da sie die Grundlage für die weiteren Phasen bildet. In dieser Phase werden die Geschäftsprozesse des Unternehmens untersucht, um festzustellen, welche Prozesse unbedingt erforderlich sind, um den Betrieb aufrechtzuerhalten. Diese Informationen werden dann genutzt, um die Prioritäten für den Notbetrieb festzulegen. Zusätzlich werden in der Analysephase Bedrohungen, die das Unternehmen treffen können, untersucht und bewertet. Diese Bedrohungen werden in Form einer Bedrohungsanalyse identifiziert, und die Ergebnisse werden genutzt, um mögliche Schwachstellen zu eliminieren und alternative Ressourcen zu finden. Durch die Analysephase wird ein besseres Verständnis für die Bedrohungen und Risiken des Unternehmens erlangt, was es ermöglicht, eine angemessenere und effektivere BCM-Strategie zu entwickeln.

Umsetzungsphase 2: Design

Während der Analysephase werden die zeitkritischen Geschäftsprozesse ermittelt, ihre Abhängigkeiten bestimmt und die Auswirkungen bei verschiedenen Schadensszenarien festgestellt. In der Design-Phase werden dann Lösungen für Szenarien wie Gebäudeausfall, Personalausfall, IT-Ausfall und Lieferanten-/Dienstleisterausfall identifiziert, bewertet und von der Führung ausgewählt. Diese Lösungen bestehen aus organisatorischen und technischen Maßnahmen, die dazu beitragen, die entstehenden Risiken im Falle eines Schadens zu minimieren. Dabei werden diese Maßnahmen sowohl proaktiv als auch reaktiv eingesetzt, um das Ausmaß des Schadens zu begrenzen und eine existenzielle Bedrohung des Unternehmens zu verhindern. Am Ende der Design-Phase müssen die Lösungsoptionen für jeden Standort in einem Konzept zusammengefasst werden, das dem Management inklusive Kosten-Nutzen-Analyse als Entscheidungsgrundlage präsentiert wird.

Umsetzungsphase 3: Implementierung

Während der Implementierungsphase werden die Business-Continuity-Pläne (BCPs) auf Basis der ausgewählten Lösungen formuliert. Abhängig von der Größe und Komplexität des Unternehmens werden entweder ein gemeinsamer Plan für alle Szenarien oder einzelne Pläne für jedes Szenario erstellt. Diese Pläne bieten bei einem kritischen Vorfall eine Orientierung für die betroffenen Bereiche und sorgen dafür, dass der Wiederanlauf möglichst schnell innerhalb der festgelegten Zeiträume erfolgt. Die BCPs enthalten detaillierte Informationen über Prioritäten, Vorgehensweisen, Verantwortlichkeiten und Ressourcen, die erforderlich sind, um eine Krisensituation zu bewältigen und den Normalbetrieb so schnell wie möglich wiederherzustellen. Außerdem wird in dieser Phase die Organisation für den Umgang mit einer Krise festgelegt, darunter ein Krisenstab, ein Assistenz- und Serviceteam (AST) sowie operative Reaktionsteams.

Umsetzungsphase 4: Validierung

Die letzte Phase des Business Continuity Management (BCM) Lifecycles, die Validierung, ist unterteilt in drei Bereiche: Testen/Üben, Pflege und Überprüfung.
Die entwickelten Pläne für die Reaktionsstruktur werden jährlich in realitätsnahen Tests und Übungen auf allen Ebenen überprüft, um Fehler zu identifizieren und die Lösungen und Pläne zu verbessern.
Die Pflege bezieht sich auf die regelmäßige Überprüfung und Aktualisierung der Dokumente.
Die Überprüfung dient der Qualitätssicherung und umfasst Selfassessments, interne oder externe Audits, stichprobenartige Kontrollen durch den BC-Manager, Überprüfungen von kritischen Lieferanten und Dienstleistern, sowie jährliche Überprüfungen durch das Management basierend auf dem Reporting des BC-Managers.

Aufbau und Betrieb eines BCMS

Die Implementierung eines Business Continuity Management Systems (BCMS) ist komplex und erfordert einen nicht unerheblichen personelle Aufwand. Es ist wichtig, zwischen dem Aufbau und dem Betrieb des BCMS zu unterscheiden. Um den Aufbau zu vereinfachen, ist es ratsam, erfahrene externe Experten hinzuzuziehen, wenn keine eigenen Mitarbeiter über das entsprechende Wissen verfügen. Für den Betrieb des BCMS ist es bei mittelgroßen Unternehmen mit 1000 Mitarbeitern an einem Standort erforderlich, eine Vollzeitstelle für einen BC-Manager zu bereitstellen. Kleinere Standorte können mit weniger Personalaufwand auskommen.

Für ein Einführungsprojekt sollte man sich ein Jahr Zeit nehmen, um den BCM-Lifecycle durchzuführen. Das verhindert eine Überlastung der Organisation und passt optimal zum BCM-Lifecycle.

BCM und Schnittstellen zu anderen Disziplinen

Es gibt eine falsche Vorstellung darüber, was BCM wirklich beinhaltet, da nicht alles, was als BCM bezeichnet wird, auch tatsächlich BCM ist. Hier sind einige Unterscheidungen zu beachten:

BCM und IT Service Continuity Management (ITSCM)

Das IT Service Continuity Management (ITSCM) ist ein Teilbereich des BCM, der proaktiv eingesetzt wird, um IT-Ausfälle und deren Risiken abzusichern. Das ITSCM hat seine Ursprünge in den 1980er-Jahren, als Disaster-Recovery-Konzepte entwickelt wurden. Ähnlich wie beim BCM wird auch das ITSCM über einen Lifecycle betrieben, der fast deckungsgleich mit dem BCM-Lifecycle ist. Das ITSCM konzentriert sich auf wenige, technische Ausfallszenarien wie den Ausfall eines Rechenzentrums, die Nichterreichbarkeit eines Rechenzentrums und den Ausfall der Netzwerkverbindungen. Es basiert auf den Ergebnissen der Business-Impact-Analyse des BCM und legt besonderes Augenmerk auf die geforderte Wiederanlaufzeit eines IT-Service. Auf dieser Grundlage werden Lösungskonzepte erarbeitet, die im weiteren Verlauf des ITSCM-Lifecycles weiterverarbeitet werden.

BCM und Information Security Management (ISM)

Die Schnittstelle zwischen dem BCM und dem Information Security Management (ISM) ergibt sich aus dem Teilbereich des BCM bezüglich der IT Services (ITSCM). Das Hauptaugenmerk der Informationssicherheit liegt auf der Einhaltung der festgelegten Sicherheitsziele für die Unternehmensdaten. Die bekanntesten Sicherheitsziele sind die Einhaltung von Vertraulichkeit (Confidentiality), Integrität (Integrity), Verfügbarkeit (Continuity) und Authentizität (Authenticity) von Informationen. Beim Aufbau eines ISM-Systems wird eine Analyse des Schutzbedarfs durchgeführt, die wiederum Ergebnisse für die Gap-Analyse (Lückenanalyse) für das ITSCM liefert.. Da sich das ITSCM nicht mit Szenarien wie Hackerangriffen beschäftigt, ist es wichtig, mit dem ISM zu klären, wer diese Szenarien plant. Aus BCM-Sicht bedeutet der IT-Ausfall, dass man manuelle Workarounds oder alternative technische Verfahren entwickelt. Ist ein Angriff aber erfolgreich, müssen Pläne existieren, die beschreiben, wie nach einem solchen Angriff durch die Organisation reagiert werden soll.

BCM und Krisenmanagement

Das Krisenmanagement (CM) tritt in Aktion, wenn das Business Continuity Management (BCM) an seine Grenzen stößt und eine Krise zu handhaben hat, die durch das BCM nicht verhindert werden konnte. Dies kann der Fall sein, wenn eine Störung oder ein kritischer Vorfall, aufgrund von nicht verfügbaren Ressourcen oder Überschreitung des vorher festgelegten Zeitrahmens, zu einer Krise führt. Da die Szenarien, die das BCM behandelt (Ausfall von Gebäuden, Personal, IT und kritischen Dienstleistern/Lieferanten), oft auch kritische Vorfälle sind, ist es sinnvoll, die Krisenorganisation so früh wie möglich einzuschalten. Die Krisenorganisation ist in strategische (Krisenstab), taktische (Assistenz- und Serviceteam, gegebenenfalls Lagezentrum) und operative (Reaktionsteams der Fachbereiche) Bereiche unterteilt.

Im Krisenfall übernimmt das Krisenmanagement die strategische Führung und die taktische Koordination. Das BCM bereitet die Business-Continuity-Pläne vor, die im Krisenfall von dem Krisenstab aktiviert werden. Eine gute Kommunikation innerhalb und außerhalb der Organisation ist für beide Systeme (BCM und CM) von entscheidender Bedeutung und sollte bei der Planung berücksichtigt werden. Das BCM ist ein stark präventiv ausgerichtetes Managementsystem, das Business-Continuity-Pläne bereitstellt und die operativen Teams durch Übungen auf den Krisenfall vorbereitet. Der Krisenstab übernimmt auf strategischer Ebene, wenn die BC-Pläne nicht ausreichen, wenn Situationen auftreten, die nicht vom BCM abgedeckt werden, oder wenn Notfallressourcen nicht funktionieren.

  Was ist das Ziel des Business Continuity Management?

• BCM identifiziert potenzielle Bedrohungen und minimiert die daraus entstehenden Risiken. 

• Förderung der Widerstandsfähigkeit der Organisation und Vorbereitung einer Reaktion auf ein Worst-Case-Szenario dank etablierter Verfahren für mögliche Verluste von kritischen Ressourcen (Mitarbeiter, Gebäude, IT und Lieferanten). 

• Sicherstellung der Kontinuität der zeitkritischen Geschäftsprozesse durch Entwicklung von Notfallplänen mit analytischen Methoden, Entlastung der Mitarbeiter während einer Krise und Festlegung von Prioritäten für die Rückkehr in den Normalbetrieb. 

• Erfüllung von Anforderungen innerhalb der Organisation sowie der von Kunden und sonstigen Interessensvertretern. 

  Wie kann Business Continuity Management meinem Unternehmen helfen?

  Vorteile des Business Continuity Management für Unternehmen

• Identifikation aktueller und zukünftiger Bedrohungen und Bereitstellung wirksamer Reaktionsprozesse. 

• Stärkung der Widerstandsfähigkeit des Unternehmens. 

• Vermeidung oder Minimierung der Auswirkungen einer Unterbrechung von Geschäftsprozessen. 

• Gewährleistung von wesentlichen Aufgaben und Prozessen im Worst-Case. 

• Minimierung von Ausfallzeiten und Verkürzung von Wiederanlaufzeiten. 

• Erfüllung gesetzlicher, regulativer und kundeseitiger Anforderungen. 

• Nachweisbare Widerstandsfähigkeit gegenüber Kunden und Lieferanten sowie im Falle von Due Diligence. 

  FAQ

Was heißt BCM?
Warum ist BCM wichtig?