Business-Continuity-Management

Q: Welche Rolle spielt Business-Continuity-Management bei der NIS 2?

NIS2 verlangt von betroffenen Organisationen geeignete Maßnahmen, um die Betriebsfähigkeit auch bei Sicherheitsvorfällen und größeren Störungen zu erhalten. Ein etabliertes Business-Continuity-Management unterstützt Betreiber dabei, kritische Abläufe vorzubereiten, Wiederanlauf zu planen und die eigene Resilienz gegenüber Krisen zu erhöhen.

Q: Was macht ein BCM-Manager?

Ein BCM-Manager koordiniert die Planung, Entwicklung und Pflege des Business-Continuity-Managements im Unternehmen. Dazu gehören unter anderem Business-Impact-Analyse, Abstimmung mit Fachbereichen, Übungen sowie die Weiterentwicklung von Notfall- und Wiederanlaufplänen.

Business-Continuity-Management (BCM) richtet sich an Unternehmen, die auch bei größeren Störungen verlässlich handlungsfähig bleiben müssen. Der Artikel zeigt Verantwortlichen aus Management, IT und Organisation, wie sich Geschäftskontinuität strukturiert planen und dauerhaft absichern lässt.

BCM – Auf einen Blick

Was ist Business-Continuity-Management?

Business-Continuity-Management sorgt dafür, dass kritische Geschäftsprozesse auch bei schweren Störungen weiterlaufen oder innerhalb definierter Zeiten wiederhergestellt werden können.

Warum ist BCM für Unternehmen wichtig?

Ein wirksames BCM begrenzt Ausfallzeiten, finanzielle Schäden und operative Folgen und stärkt damit die Resilienz in Krisen.

Welche Bestandteile gehören zu einem Business-Continuity-Management?

Zu den zentralen Bausteinen zählen Business-Impact-Analysis, Risikoanalyse, BCM-Strategien, Notfall- und Wiederanlaufpläne sowie regelmäßige Tests.

Wie lässt sich Business-Continuity-Management umsetzen?

Unternehmen starten mit Scope und Verantwortlichkeiten, bestimmen kritische Prozesse und entwickeln darauf aufbauend passende Maßnahmen, Pläne und Übungen.

Was versteht man unter Business-Continuity-Management (BCM)?

Business-Continuity-Management (BCM) ist ein ganzheitlicher Ansatz für den Umgang mit schweren Störungen und Ereignissen, die wichtige Geschäftsprozesse oder den gesamten Geschäftsbetrieb beeinträchtigen können. Ziel ist es, die Betriebsfähigkeit auch im Krisenfall möglichst aufrechtzuerhalten oder schnell wiederherzustellen.

Dabei betrachtet BCM weit mehr als den Ausfall einzelner IT‑Systeme. Auch Lieferketten, Standorte, Mitarbeiter, technische Anlagen oder externe Dienstleister können für kritische Prozesse entscheidend sein. Das klassische Notfallmanagement ist dabei ein wichtiger Bestandteil, während BCM den gesamten organisatorischen Rahmen für die Geschäftskontinuität schafft.

Als kontinuierlicher Managementprozess wird BCM regelmäßig überprüft und an neue Risiken, Abhängigkeiten und Veränderungen im Unternehmen angepasst.

Warum ist Business-Continuity-Management wichtig?

Schwere Störungen können innerhalb kurzer Zeit mehrere Bereiche eines Unternehmens treffen. Ein Cyberangriff, Stromausfall, Brand oder der Ausfall eines wichtigen Lieferanten reicht mitunter aus, um zentrale Abläufe zum Stillstand zu bringen.

Ein funktionierendes Business-Continuity-Management begrenzt solche Auswirkungen und verbessert die Handlungsfähigkeit in Krisenzeiten. Laut der US-amerikanischen Bundesbehörde für Katastrophenschutz FEMA (Federal Emergency Management Agency) nehmen rund 25 Prozent der Unternehmen nach einem Katastrophenfall ihren Betrieb dauerhaft nicht wieder auf. Vorbereitete Strukturen für Wiederanlauf und Geschäftskontinuität sind deshalb besonders wichtig.

Auch regulatorische Anforderungen erhöhen die Bedeutung von BCM. NIS2, die DORA-Verordnung und Vorgaben für KRITIS verlangen in ihren jeweiligen Anwendungsbereichen belastbare Strukturen für Resilienz, Vorsorge und die Aufrechterhaltung wichtiger Funktionen.

Business Continuity zuverlässig aufbauen

CSM Consulting bringt Struktur in komplexe Abhängigkeiten, klare Zuständigkeiten und belastbare Notfallpläne – damit Ihr Business-Continuity-Management im Ernstfall trägt.

Die wichtigsten Bestandteile eines Business-Continuity-Managements

Business-Continuity-Management beginnt mit der Frage, welche Geschäftsprozesse ein Unternehmen nach einer schweren Störung zuerst wieder benötigt. Daraus leiten sich Wiederanlaufziele, Ausweichlösungen und konkrete Pläne für den Krisenfall ab.

Business-Impact-Analysis (BIA)

Die Business-Impact-Analysis (BIA) zeigt, welche Prozesse für den Betrieb besonders wichtig sind und wie sich eine längere Unterbrechung auswirken würde. Sie bildet damit eine der fundamentalen Grundlagen für das weitere BCM.

Untersucht werden beispielsweise finanzielle Verluste, rechtliche Folgen, Auswirkungen auf Kunden sowie Abhängigkeiten von IT-Systemen, Standorten oder Lieferanten. Für besonders kritische Prozesse lassen sich anschließend Wiederanlaufziele festlegen:

RTO (Recovery Time Objective): Zeitraum, innerhalb dessen ein Prozess wieder verfügbar sein soll
RPO (Recovery Point Objective): maximal tolerierbarer Datenverlust gemessen in Zeit
Priorität: Reihenfolge, in der Geschäftsprozesse wiederhergestellt werden

Risikoanalyse und BCM-Strategie

Nach der BIA richtet sich der Blick auf konkrete Risiken und Bedrohungen. Ein Stromausfall verlangt andere Maßnahmen als ein Cyberangriff, ein Brand oder der Ausfall eines kritischen Dienstleisters.

Die Risikoanalyse bewertet solche Szenarien und ihre möglichen Folgen für kritische Prozesse. Ein risikobasierter Ansatz hilft dabei, Ressourcen auf die Gefährdungen mit den größten Auswirkungen zu konzentrieren.

Je nach Prozess kommen unterschiedliche Maßnahmen infrage, etwa:

Redundanzen schaffen: Kritische IT-Infrastruktur, Maschinen oder Kommunikationswege doppelt auslegen, damit beim Ausfall einer Komponente eine Alternative verfügbar bleibt.
Ausweichstandorte vorbereiten: Arbeitsplätze, Produktion oder zentrale Funktionen an einen zweiten Standort verlagern können.
Lieferketten absichern: Ersatzlieferanten, alternative Transportwege und Mindestbestände für besonders wichtige Materialien festlegen.
Manuelle Ersatzprozesse definieren: Geschäftsprozesse zeitweise ohne reguläre IT-Systeme weiterführen, etwa über vorbereitete Formulare oder vereinfachte Freigaben.
Wiederherstellung technisch vorbereiten: Backups, Ersatzhardware und Wiederanlaufverfahren so planen, dass die zuvor festgelegten RTO- und RPO-Ziele realistisch erreichbar sind.

Notfall- und Wiederanlaufplanung

Aus der Strategie werden anschließend belastbare Business-Continuity-Pläne. Sie legen fest, wer im Krisenfall handelt, welche Abläufe zuerst gestartet werden und wann eine Eskalation erforderlich ist.

Zu einem praxistauglichen Plan gehören vor allem klare Rollen, Kontaktwege, Verantwortlichkeiten und Wiederanlaufverfahren. Wichtig sind dabei konkrete Anweisungen. Bewährt haben sich kurze, rollen- oder szenariobezogene Einseiter mit Ansprechpartnern, Eskalationswegen und den wichtigsten Maßnahmen in fester Reihenfolge.

Tests und kontinuierliche Verbesserung

Ein BCM zeigt seinen tatsächlichen Wert erst in der Erprobung. Tests und Übungen prüfen, ob Pläne verständlich sind, Wiederanlaufzeiten realistisch bleiben und Mitarbeiter ihre Aufgaben im Ernstfall kennen.

Je nach Unternehmen eignen sich unterschiedliche Formate:

Tabletop-Übungen: Störungsszenarien gemeinsam durchspielen und Entscheidungen diskutieren
Krisenstabsübungen: Rollen, Eskalationswege und Kommunikation unter Zeitdruck testen
Wiederanlauftests: Prüfen, ob kritische IT-Systeme und Prozesse innerhalb der vorgesehenen Zeiten wiederhergestellt werden können
Realitätsnahe Simulationen: Größere Betriebsunterbrechungen möglichst praxisnah nachstellen

Die Ergebnisse fließen anschließend zurück in Pläne und Maßnahmen. Auch neue IT-Systeme, organisatorische Änderungen oder veränderte Risiken müssen berücksichtigt werden. So entwickelt sich das Business-Continuity-Management-System (BCMS) kontinuierlich mit dem Unternehmen weiter.

BSI-Standard 200-4, ISO 22301 und die Schnittstelle zur ISO 27001

Für den Aufbau eines Business-Continuity-Managements gibt es mehrere etablierte Standards und Leitlinien. ISO 22301, BSI-Standard 200-4 und ISO 27001 setzen unterschiedliche Schwerpunkte und lassen sich gut miteinander verbinden.

ISO 22301 als internationaler Rahmen: Die ISO 22301 ist eine weltweit anerkannte Norm für Business-Continuity-Management und beschreibt die Anforderungen an ein Business-Continuity-Management-System (BCMS). Dazu gehören klare Verantwortlichkeiten, ein definierter Geltungsbereich, Analysen, BCM-Strategien und regelmäßige Übungen. Die europäische Fassung wird als DIN EN ISO 22301 geführt, eine Zertifizierung ist möglich.

BSI-Standard 200-4 für die praktische Umsetzung: Der am 14. Juni 2023 veröffentlichte BSI-Standard 200-4 bietet eine praxisnahe Anleitung für Aufbau und Weiterentwicklung eines BCMS und ergänzt die ISO 22301 um konkrete Hilfestellungen und Vorlagen.

Praktisch ist außerdem das Mapping zur ISO 22301:2019. Es zeigt, welche Anforderungen sich überschneiden und wo Unternehmen bestehende Prozesse oder Nachweise weiterverwenden können. Das spart doppelte Dokumentation und erleichtert auch die Vorbereitung auf Audits und interne Prüfungen.

ISO 27001 als vorhandene Basis: Ein bestehendes ISMS kann viele Bausteine für BCM liefern. Die ISO 27001 unterstützt das Business-Continuity-Management insbesondere durch Maßnahmen und Prozesse zur Informationssicherheit, zum Risikomanagement, zu Verantwortlichkeiten und zur Behandlung von Sicherheitsvorfällen. Für ein vollständiges BCMS kommen Themen wie Geschäftskontinuität, Ausfallfolgen und Wiederanlauf hinzu.

BCM, IT-Notfallmanagement und Disaster-Recovery

BCM, IT-Notfallmanagement und Disaster-Recovery greifen eng ineinander, setzen aber an unterschiedlichen Ebenen an. Das BCM legt fest, welche kritischen Leistungen aufrechterhalten werden müssen, das IT-Notfallmanagement steuert die Reaktion auf konkrete Störungen und Disaster-Recovery übernimmt die technische Wiederherstellung von Systemen und Daten.

Bereich	Schwerpunkt	Typisches Beispiel
Business Continuity Management	Kritische Geschäftsprozesse und Leistungen aufrechterhalten	Produktion trotz Standortausfall weiterführen
IT-Notfallmanagement	Einen konkreten Notfall organisatorisch und operativ bewältigen	Ransomware-Angriff erkennen, eskalieren und koordinieren
Disaster Recovery (DR)	Informationstechnische Systeme, Anwendungen und Daten wiederherstellen	Server aus Backups wieder in Betrieb nehmen

Disaster Recovery (DR) ist ein fester technischer Bestandteil des BCM und konzentriert sich auf die Wiederherstellung von IT-Systemen, Anwendungen und Daten. Backup-Systeme, Failover-Lösungen und vorbereitete Wiederherstellungsverfahren erhöhen die Resilienz eines Unternehmens und verkürzen den technischen Wiederanlauf.

Das IT-Notfallmanagement koordiniert die unmittelbare Reaktion auf eine Störung, während das BCM bereits vorher festlegt, welche Leistungen weiterlaufen müssen und welche Ausweichlösungen dafür vorbereitet sind.

Business-Continuity-Management umsetzen – erste Schritte

Beim Aufbau eines Business-Continuity-Managements müssen zuerst Scope, Verantwortlichkeiten und kritische Leistungen feststehen. Erst auf dieser Grundlage lassen sich Wiederanlaufziele und Notfallpläne sinnvoll festlegen.

Ein praktikabler Einstieg umfasst fünf Schritte:

Rahmen und Verantwortlichkeiten festlegen: Geschäftsleitung, BCM-Verantwortliche und beteiligte Fachbereiche definieren Ziele, Geltungsbereich und Rollen. Eine klare BCM-Richtlinie schafft dafür die organisatorische Grundlage.
Kritische Prozesse bestimmen: Über die Business-Impact-Analysis werden Geschäftsprozesse, Abhängigkeiten und tolerierbare Ausfallzeiten bewertet. So wird sichtbar, welche Leistungen für die Betriebsfähigkeit zuerst abgesichert werden müssen.
Risiken bewerten: Cyberangriffe, technische Ausfälle, Lieferprobleme oder Naturkatastrophen werden auf ihre möglichen Auswirkungen untersucht. Ein risikobasierter Ansatz hilft, Maßnahmen nach tatsächlicher Gefährdung zu priorisieren.
Strategien und Pläne entwickeln: Für kritische Prozesse entstehen Ausweichlösungen, Wiederanlaufverfahren und klare Abläufe für den Notfall. Verantwortlichkeiten, Kommunikationswege und Eskalationen sollten dabei so konkret wie möglich festgelegt werden.
Üben und verbessern: Tests zeigen, ob Pläne im Ernstfall funktionieren und die vorgesehenen Wiederanlaufzeiten erreichbar sind. Ergebnisse aus Übungen, realen Störungen und einem internen Audit fließen anschließend in die Weiterentwicklung des BCM ein.

Häufige Fragen und Antworten

Welche Rolle spielt Business-Continuity-Management bei der NIS 2?

NIS2 verlangt von betroffenen Organisationen geeignete Maßnahmen, um die Betriebsfähigkeit auch bei Sicherheitsvorfällen und größeren Störungen zu erhalten. Ein etabliertes Business-Continuity-Management unterstützt Betreiber dabei, kritische Abläufe vorzubereiten, Wiederanlauf zu planen und die eigene Resilienz gegenüber Krisen zu erhöhen.

Was ist der Unterschied zwischen BCM und Krisenmanagement?

Geschäftskontinuitätsmanagement bereitet Unternehmen bereits vor einer Störung darauf vor, zentrale Leistungen weiterzuführen oder schnell wiederherzustellen. Das Krisenmanagement setzt stärker bei der konkreten Bewältigung einer eingetretenen Krise an und koordiniert Entscheidungen, Kommunikation und Verantwortlichkeiten.

Was macht ein BCM-Manager?

Ein BCM-Manager koordiniert die Planung, Entwicklung und Pflege des Business-Continuity-Managements im Unternehmen. Dazu gehören unter anderem Business-Impact-Analyse, Abstimmung mit Fachbereichen, Übungen sowie die Weiterentwicklung von Notfall- und Wiederanlaufplänen.