Business-Continuity-Plan (BCP): So implementieren Sie ihn mit dedizierter Software
Was ein BCP abdeckt, was ISO 22301 fordert und wen es betrifft
Ein Business-Continuity-Plan (BCP) ist die dokumentierte Sammlung von Verfahren und Maßnahmen, die sicherstellen, dass eine Organisation ihre kritischen Tätigkeiten während und nach einer Störung aufrechterhalten oder in einem definierten Zeitrahmen wiederaufnehmen kann. Das Ziel ist nicht die Vermeidung von Störungen, sondern die Vorbereitung auf ihre Bewältigung. ISO 22301 (Quelle: ISO 22301:2019, Sicherheit und Resilienz, Business-Continuity-Managementsysteme) definiert die Anforderungen an ein Business-Continuity-Managementsystem (BCMS). Die Norm gilt für alle Organisationstypen und -größen; ihre Anwendung hängt vom Risikokontext und den regulatorischen Anforderungen ab. DORA und NIS2, die Kontinuitätspläne für Finanz- und wesentliche Einrichtungen vorschreiben, verweisen explizit auf die Notwendigkeit dokumentierter Kontinuitätsverfahren. Optivalue.ai begleitet Organisationen bei der Strukturierung ihres BCP, quellenbasiert und geprüft nach den Anforderungen der ISO 22301 und der anwendbaren Regelwerke.
Business-Impact-Analyse: kritische Prozesse identifizieren
Die Business-Impact-Analyse (BIA) ist die analytische Grundlage jedes BCP. Sie identifiziert, welche Tätigkeiten für die Organisation kritisch sind, d.h. welche bei einem Ausfall innerhalb welcher Frist zu nicht akzeptablen Auswirkungen führen würden. Die BIA erhebt für jeden Prozess: maximale tolerierbare Ausfallzeit (Maximum Tolerable Period of Disruption, MTPD), Wiederherstellungszeitpunkt (Recovery Time Objective, RTO), Ressourcenabhängigkeiten und die Auswirkungen auf andere Prozesse, Kunden oder regulatorische Pflichten (Quelle: ISO 22301:2019, Abschnitt 8.2). Die BIA muss mit den betroffenen Prozessverantwortlichen durchgeführt und von der Geschäftsleitung bestätigt werden. Ohne diese Etappe fehlt die objektive Grundlage für die Priorisierung von Wiederanlaufmaßnahmen.
Wiederanlaufstrategien: Szenarien wählen und dokumentieren
Für jeden als kritisch identifizierten Prozess werden Wiederanlaufstrategien entwickelt. Eine Strategie beschreibt, wie der Prozess bei Ausfall des primären Mittels oder Standorts fortgeführt werden kann. ISO 22301 (Quelle: ISO 22301:2019, Abschnitt 8.3) fordert, dass die Strategien die definierten RTOs einhalten können. Typische Strategien umfassen: Ausweich-Standorte, manuelle Alternativverfahren, Lieferanten- und Partnervereinbarungen, redundante IT-Systeme und Notfallkommunikationswege. Jede Strategie wird hinsichtlich ihrer Realisierbarkeit und ihrer Kosten bewertet. Das regulatorisches Monitoring, das neue Kontinuitätspflichten identifiziert, stellt sicher, dass neue gesetzliche Anforderungen frühzeitig in die Strategieüberprüfung einfließen. Die Entscheidung für eine Strategie trifft die Geschäftsleitung auf Basis der BIA-Ergebnisse.
Tests und Übungen: warum und wie häufig
Ein BCP, der nie getestet wurde, bietet keine verlässliche Grundlage für die Krisenbewältigung. ISO 22301 (Quelle: ISO 22301:2019, Abschnitt 8.5) fordert die regelmäßige Durchführung von Tests und Übungen zur Überprüfung der Kontinuitätsverfahren. Tests können verschiedene Formen annehmen: Tischübungen (Tabletop Exercises), in denen Szenarien durchgespielt werden, bis hin zu vollständigen Simulationstests, in denen Verfahren real aktiviert werden. Das Ergebnis jedes Tests wird dokumentiert: Verlauf, festgestellte Abweichungen und vereinbarte Verbesserungsmaßnahmen. Die Häufigkeit der Tests richtet sich nach der Kritikalität der Prozesse und den regulatorischen Anforderungen. DORA schreibt für Finanzentitäten spezifische Testfrequenzen für die IKT-Kontinuität vor (Quelle: Verordnung (EU) 2022/2554, Artikel 26).
Wie Software die BCP-Dokumentation, Tests und Aktualisierungen strukturiert
Dedizierte BCP-Software strukturiert den gesamten BCMS-Zyklus. Die BIA wird in einem geführten Workflow durchgeführt, der die Erhebung der MTPD- und RTO-Werte sowie der Ressourcenabhängigkeiten unterstützt. Kontinuitätspläne werden nach einer einheitlichen Vorlage erstellt, die die Pflichtabschnitte nach ISO 22301 abdeckt. Tests werden geplant, durchgeführt und protokolliert, mit automatischer Erinnerung für fällige Testtermine. Aktualisierungspflichten nach Organisationsänderungen werden durch Benachrichtigungen an benannte Verantwortliche ausgelöst. Optivalue.ai prüft die hinterlegten Pläne quellenbasiert und stellt sicher, dass die Nachweise den Anforderungen von ISO 22301, DORA und NIS2 entsprechen.
FAQ
Was ist der Unterschied zwischen einem Business-Continuity-Plan und einem IT-Notfallplan?
Ein Business-Continuity-Plan deckt die Aufrechterhaltung kritischer Tätigkeiten der gesamten Organisation ab, unabhängig von der Art der Störung. Ein IT-Notfallplan (IT-Wiederanlaufplan oder DRP, Disaster Recovery Plan) konzentriert sich auf die Wiederherstellung der IT-Systeme nach einem Ausfall. Der IT-Notfallplan ist ein Teilplan des BCP: Er definiert, wie und in welchem Zeitrahmen die IT-Systeme wiederhergestellt werden, damit die im BCP definierten RTOs erreicht werden können.
Was ist die maximale tolerierbare Ausfallzeit (MTPD) und wie wird sie ermittelt?
Die MTPD ist die maximale Zeitspanne, innerhalb derer ein Prozess oder eine Tätigkeit unterbrochen sein darf, bevor irreversible Auswirkungen für die Organisation eintreten (Quelle: ISO 22301:2019, Abschnitt 3). Sie wird durch die BIA ermittelt, in der Prozessverantwortliche die Auswirkungen eines Ausfalls über verschiedene Zeitspannen bewerten. Die MTPD bildet die Obergrenze für den RTO: Die Wiederherstellungszeit muss kürzer sein als die MTPD.
Wie oft muss ein BCP überprüft und aktualisiert werden?
ISO 22301 (Quelle: ISO 22301:2019, Abschnitt 10) fordert eine kontinuierliche Verbesserung des BCMS, einschließlich einer regelmäßigen Überprüfung der Pläne. Eine Aktualisierungspflicht entsteht bei wesentlichen Organisationsänderungen, nach Tests mit festgestellten Abweichungen und nach der Aktivierung des Plans in einem realen Ereignis. Die Praxis zeigt, dass eine jährliche Überprüfung als Mindestetappe gilt.
Wer muss einen BCP haben?
Eine gesetzliche Pflicht zur Einrichtung eines BCP besteht für bestimmte Sektoren: Finanzentitäten nach DORA (Quelle: Verordnung (EU) 2022/2554), wesentliche und wichtige Einrichtungen nach NIS2 (Quelle: Richtlinie (EU) 2022/2555) und Betreiber kritischer Infrastrukturen nach nationalem Recht. Außerhalb dieser Pflichten empfiehlt ISO 22301 die Einrichtung eines BCMS für alle Organisationen, deren Unterbrechung erhebliche Auswirkungen auf Kunden, Partner oder die Öffentlichkeit hätte.
Fordern Sie eine Demo von Optivalue.ai an
Nach oben
Zum gleichen Thema