Überblick
Business Continuity Management (BCM) organisiert die Fähigkeit eines Unternehmens, kritische Produkte und Dienstleistungen während einer Störung auf einem akzeptablen Niveau fortzuführen und geordnet wiederherzustellen.
BCM beginnt bei Geschäftsanforderungen. Eine Business Impact Analysis bestimmt kritische Aktivitäten, Abhängigkeiten, maximale tolerierbare Ausfallzeiten und Wiederanlaufziele. Daraus folgen Strategien, Pläne, Ressourcen, Übungen und kontinuierliche Verbesserung.
Die zentralen Bausteine
Business Impact Analysis
Kritische Leistungen, Auswirkungen, Zeitziele und Abhängigkeiten bestimmen.
Strategien
Optionen für Personal, Standorte, Technik, Lieferanten und Kommunikation festlegen.
Pläne
Rollen, Eskalation, Handlungsabläufe und Entscheidungsbefugnisse dokumentieren.
Übungen
Annahmen testen, Lücken erkennen und Wiederherstellungsfähigkeit belegen.
Business Impact Analysis
Die BIA bewertet, welche Folgen ein Ausfall über die Zeit verursacht. Sie betrachtet finanzielle, operative, rechtliche, sicherheitsbezogene und reputative Auswirkungen.
| Begriff | Bedeutung |
|---|---|
| MTPD / MAO | Maximal tolerierbarer Zeitraum einer Unterbrechung. |
| RTO | Zielzeit für die Wiederherstellung einer Aktivität oder eines Dienstes. |
| RPO | Maximal tolerierbarer Datenverlust, ausgedrückt als Zeitspanne. |
| MBCO | Mindestniveau, auf dem eine Leistung während der Störung erbracht werden muss. |
| Abhängigkeiten | Personal, Anwendungen, Daten, Standorte, Lieferanten, Energie und Kommunikation. |
BCM-Lebenszyklus
| Phase | Ergebnis |
|---|---|
| Kontext und Governance | Scope, Politik, Rollen, Ziele und Verpflichtungen. |
| BIA und Risikobewertung | Priorisierte Leistungen, Zeitziele und Störungsszenarien. |
| Continuity-Strategien | Ausgewählte Lösungen für Ressourcen und Abhängigkeiten. |
| Pläne und Verfahren | Krisenorganisation, Wiederanlauf, Kommunikation und Eskalation. |
| Übungen und Tests | Nachweise über Durchführbarkeit und Leistungsfähigkeit. |
| Bewertung und Verbesserung | Kennzahlen, Audits, Managementreview und Korrekturmaßnahmen. |
Business Continuity und IT Disaster Recovery
IT Disaster Recovery ist ein Bestandteil des BCM. Es konzentriert sich auf die Wiederherstellung von IT-Services, Daten und Infrastruktur. Business Continuity umfasst zusätzlich Personal, Produktion, Gebäude, Lieferanten, Kommunikation und alternative Betriebsverfahren.
| BCM | IT Disaster Recovery |
|---|---|
| Geschäftsleistungen im Mittelpunkt | IT-Services und Daten im Mittelpunkt |
| Umfasst Organisation, Prozesse und Ressourcen | Umfasst technische Wiederherstellung |
| Legt geschäftliche Zeitziele fest | Setzt technische Wiederherstellung innerhalb dieser Ziele um |
| Beinhaltet Krisenkommunikation und Ersatzverfahren | Beinhaltet Runbooks, Restore, Failover und technische Tests |
Übungen und Nachweise
Pläne werden erst durch Übungen belastbar. Geeignete Formate reichen von Dokumentenreviews und Tabletop-Übungen bis zu technischen Wiederherstellungstests und vollständigen Szenarioübungen.
Ergebnisse sollten Annahmen, Teilnehmer, Ablauf, Abweichungen, Entscheidungen, Maßnahmen, Verantwortliche und Fristen dokumentieren. Wiederholte Tests zeigen, ob Verbesserungen wirksam sind.
Typische Fehler
Ist ein Backup bereits Business Continuity?
Nein. Backups sind ein technischer Baustein. BCM umfasst geschäftliche Prioritäten, Organisation, Wiederanlauf, Kommunikation und weitere Ressourcen.
Sind Notfallpläne ohne Tests ausreichend?
Nein. Ungeprüfte Pläne enthalten häufig veraltete Kontakte, unrealistische Zeiten oder nicht verfügbare Abhängigkeiten.
Müssen alle Prozesse gleich schnell wieder anlaufen?
Nein. Prioritäten folgen den Auswirkungen und den festgelegten Zeit- und Leistungszielen.
Wer verantwortet BCM?
Die Geschäftsleitung gibt Rahmen und Ressourcen vor. Fachbereiche, IT, Produktion, Einkauf, Kommunikation und weitere Funktionen tragen zur Umsetzung bei.