Die meisten Unternehmen sind heute in ihrem alltäglichen Betrieb von IT-Systemen abhängig. Fallen diese Systeme durch unvorhergesehene Ereignisse aus, kann das weitreichende Folgen haben und große Schäden verursachen. Deshalb ist es wichtig, Ausfallzeiten so gering wie möglich zu halten oder nach Möglichkeit ganz zu vermeiden. Ein zentrales Konzept mit diesem Ziel ist das sogenannte Business Continuity Management.

Was versteht man unter Business Continuity?

Unter Business Continuity versteht man die Fähigkeit eines Unternehmens, auch in Krisensituationen die Geschäftsprozesse aufrechtzuerhalten und schnellstmöglich wiederherzustellen. Krisensituationen können beispielsweise durch unvorhergesehene Ereignisse wie

• Naturkatastrophen wie Überschwemmungen oder Erdbeben
• Cyberangriffe
• Stromausfälle oder Brände
• Politische Umbrüche und Unruhen
• Epidemien oder Pandemien
• Unerwartete Abgänge oder krankheitsbedingte Ausfälle von wichtigen Mitarbeitenden
• Menschliche Fehler

entstehen. In solchen Situationen ist es für Unternehmen essentiell, Ausfallzeiten möglichst gering zu halten, um den Betrieb zu gewährleisten oder möglichst schnell wieder aufzunehmen und so Schäden zu minimieren.

Warum Business Continuity Management wichtig ist

Unvorhergesehene Ereignisse können jedes Unternehmen treffen, deshalb ist Business Continuity Management ein wichtiges Konzept für Unternehmen, unabhängig von Größe oder Branche. Ziel des Business Continuity Managements ist es, für den Ernstfall gewappnet zu sein und für die Stabilität der Geschäftsprozesse zu sorgen.

Ein gut durchdachtes Business Continuity Management hilft Unternehmen, Risiken zu erkennen und Ausfälle zu vermeiden oder zumindest zu minimieren. Dabei geht es nicht nur um technische Aspekte wie Datensicherung oder Notstromversorgung, sondern auch um organisatorische Maßnahmen wie die Erstellung von Notfallplänen und die Schulung der Mitarbeitenden. Deshalb ist es wichtig, dass alle relevanten Bereiche des Unternehmens einbezogen werden und ein ganzheitlicher Ansatz verfolgt wird. Nur so kann gewährleistet werden, dass das Unternehmen in jeder Situation handlungsfähig bleibt und langfristig erfolgreich agieren kann.

Inhalte des Business Continuity Managements

Im Business Continuity Management geht es darum, die Geschäftsprozesse stabil zu halten, nach Vorfällen so schnell und sicher wie möglich wiederherzustellen und im Notfall zügig und richtig reagieren zu können. Um die möglichen Risiken gezielt zu identifizieren und entsprechende Pläne und Maßnahmen zu entwickeln, ist zu Beginn eine Analyse der Geschäftsprozesse essentiell. Ein Überblick über Zusammenhänge und Schnittstellen, eine Definition der geschäftskritischen Prozesse und eine Festlegung der maximal tolerierbaren Ausfallzeiten bilden die Grundlage, um entsprechende Maßnahmen und Notfallpläne zu entwickeln.

Anschließend wird ein Business Continuity Plan entwickelt, der in der Regel drei Kernaspekte umfasst:

1. Stabilität: Im Unternehmen werden Vorkehrungen getroffen, damit Systeme bei Zwischenfällen oder Unterbrechungen nicht vollständig ausfallen, sondern zentrale Funktionen weiterhin sichergestellt sind. Dazu gehören auch die regelmäßige Sicherung von Daten und dass die Geschäftsprozesse des Unternehmens so flexibel gestaltet sind, dass schnell auf Veränderungen reagiert werden kann.
2. Recovery: Wenn Systeme ausfallen, ist es wichtig, die Ausfallzeiten möglichst gering zu halten und die Systeme schnell und sicher wiederherzustellen. Recoverypläne strukturieren diesen Prozess und legen Verantwortlichkeiten und Reihenfolgen für eine zügige Wiederherstellung fest.
3. Notfall: Wenn die vorbeugenden Maßnahmen durch ein Ereignis außer Kraft gesetzt werden, greift ein Notfallplan als letzte Option. Darin werden konkrete Strategien festgelegt (und in regelmäßigen Abständen geübt), wie im Falle von verschiedenen Krisensituationen zu reagieren ist. Der Übergang in einen Notfallbetrieb sowie die Rückkehr in den Normalbetrieb sind ebenfalls im Notfallplan abgedeckt.

Was unterscheidet Business Continuity Management von Incident Management und Risikomanagement?

Incident Management bezieht sich auf Vorfälle der Informationssicherheit. Wenn also beispielsweise ein Einbruch in das IT-System erfolgt oder der Verdacht auf Manipulation besteht, dann greift das Incident Management.

Business Continuity Management ist weiter gefasst und beinhaltet jegliche Vorfälle, die die Geschäftsabläufe stören. Wenn im Incident Management aus Verdachtsfällen konkrete Informationssicherheitsvorfälle werden, dann sind diese auch relevant für das Business Continuity Management. 

Risikomanagement hat zum Ziel, die Risiken eines Unternehmens zu identifizieren, zu beurteilen und auf Basis der Einschätzung Gefahrenpotenziale abzuschätzen und zu minimieren. Risikomanagement bildet also eine wichtige Basis für das Business Continuity Management, das aufgrund der identifizierten Risiken konkrete Pläne und Maßnahmen entwickeln kann.

BCM nach ISO 22301

Beim Business Continuity Management ist der praktische Ansatz essentiell – wie zum Beispiel durch die regelmäßige Überprüfung der IT-Infrastruktur und das Training der Mitarbeiterinnen und Mitarbeiter. Nur wenn alle im Unternehmen wissen, wie sie in einer Notsituation handeln müssen, können Ausfälle minimiert werden. 

Eine Möglichkeit, Business Continuity Management umzusetzen, ist die Implementierung eines BCM-Systems nach ISO 22301. Im Grunde stellt die Norm vergleichbare Anforderungen wie andere Managementsystemstandards. Sie bietet einen umfassenden Ansatz zur Identifizierung und Bewertung von Risiken sowie zur Entwicklung von Notfallplänen und Strategien zur Wiederherstellung der Geschäftskontinuität. Ein BCM-System nach ISO 22301 beinhaltet außerdem regelmäßige Überprüfungen und Tests, um sicherzustellen, dass das System effektiv bleibt und den sich ändernden Bedürfnissen des Unternehmens gerecht wird.

Eine Zertifizierung im Rahmen des BCM und die Vorbereitung auf Notfälle kann nicht nur den Schaden für das Unternehmen minimieren, sondern auch das Vertrauen von Kunden und Partnern stärken und so einen Wettbewerbsvorteil schaffen.

Fazit

Zusammenfassend lässt sich sagen, dass Business Continuity ein essentieller Bestandteil für jedes Unternehmen ist. Die Umsetzung erfordert eine sorgfältige Planung und Vorbereitung, um im Ernstfall schnell und effektiv handeln zu können. Die Identifikation von Risiken sowie die Erstellung von Notfallplänen sind dabei besonders wichtig. Auch die regelmäßige Überprüfung und Aktualisierung der Maßnahmen sollte nicht vernachlässigt werden, um stets auf dem neuesten Stand zu bleiben. Nur so kann langfristig die Geschäftskontinuität gewährleistet werden und mögliche Schäden minimiert werden.

Informieren Sie sich gerne hier über unser neues Seminar zum Thema: „Business Continuity Manager (TÜV)“.

geschrieben von
Annika Brockhaus, für die isits AG International School of IT Security