Business Continuity Management System (BCMS)

Beim BCM geht es darum, sich proaktiv mit den potenziellen Auswirkungen eines Ausfalls von Gebäuden, Personal, Informationstechnologie (IT) oder auch Dienstleistern in zeitkritischen Geschäftsprozessen zu befassen. Doch welche Formen von Ausfällen und Unterbrechungen werden beim BCMS eigentlich unterschieden?

• Bei einer Störung stehen bestimmte Prozesse oder Ressourcen nicht mehr wie üblich zur Verfügung. Eine Störung zeichnet sich jedoch dadurch aus, dass diese innerhalb des Normalbetriebs zu beheben ist, d. h. ein Notfallplan ist nicht erforderlich und auch keine BAO (Besondere Aufbauorganisation). Stattdessen wird die Störung mit den Möglichkeiten der AAO (Allgemeine Aufbauorganisation) behoben. 
• Ein Notfall bedeutet dagegen eine erhebliche Unterbrechung in einem zeitkritischen Geschäftsprozess. Daher sollten für solche Ereignisse auch Notfallpläne vorliegen oder diese können der Situation entsprechend angepasst werden. Auch ist für diesen Fall eine BAO erforderlich.
• Von einer Krise wird gesprochen, wenn eine massive Unterbrechung eines (zeit-)kritischen Geschäftsprozesses vorliegt. Anders als bei einem Notfall, liegen zur Bewältigung einer Krise keine spezifischen Notfallpläne vor, vorhandene Pläne für den Notfall können nicht angepasst werden, sind nur bedingt adaptierbar oder greifen nicht. Zur Bewältigung einer Krise werden Maßnahmen durch die BAO eingeleitet. Dazu sind auch erweiterte Befugnisse und ein größerer Aktionsradius für die BAO erforderlich. 

Ein Ereignis kann sich ganz unterschiedlich auswirken und bis hin zu einer Krise eskalieren: Als Beispiel kann ein Stromausfall eine (kurzfristige) Störung sein, er kann aber auch zu einer Notfallsituation oder gar zu einer Krise führen, wenn der Ausfall länger anhält und/oder viele Bereiche betrifft und die vorhandenen Notfallmaßnahmen nicht ausreichen, sodass die BAO ad hoc über eignete Maßnahmen entscheiden muss. 

Das BSI definiert in seinem Standard 200-4 (Community Draft) zum BCM einen Geschäftsprozess als „eine Menge logisch verknüpfter Einzeltätigkeiten (Aufgaben, Arbeitsabläufe), die durch Organisationseinheiten (OEs) ausgeführt werden, um ein bestimmtes betriebliches Ziel zu erreichen.“ Bei Behörden und öffentlichen Stellen wird in diesem Zusammenhang meist der Begriff Fachaufgabe verwendet.

Geschäftsprozesse gelten laut dem BSI Standard als zeitkritisch, wenn „deren Ausfall innerhalb eines zuvor festgelegten Zeitraums zu einem nicht tolerierbaren, unter Umständen existenzgefährdenden Schaden für die Institution führen kann.“ Entscheidet ist hier der Faktor zeitkritisch, so kann es auch in einer Organisation kritische Geschäftsprozesse geben, die aber nicht zeitkritisch sind. Das BCM betrachtet jedoch nur zeitkritisch Geschäftsprozesse und die dafür erforderlichen Ressourcen, um diese Prozesse aufrecht zu erhalten. 

Das Business Continuity Management (BCM) befasst sich proaktiv mit den potenziellen Auswirkungen bei einem Ausfall von Gebäuden, Personal, IT und Dienstleistern/Partnern in zeitkritischen Geschäftsprozessen. Das IT-Service Continuity Management (ITSCM) stellt ein Teilgebiet des BCM mit Fokus auf der Verfügbarkeit der IT-Infrastruktur, IT-Systeme und Anwendungen bei kritischen IT-Vorfällen dar.

Es hat die Aufgabe, die Risiken für den Ausfall des IT-Betriebs rechtzeitig zu erkennen und wirkungsvolle Gegenmaßnahmen zu etablieren, um auf diese Weise zeitkritische IT-Services und die damit zusammenhängenden Systeme auch im Notfall aufrechtzuerhalten oder diese wiederherzustellen. Das ITSCM unterstützt das BCM, indem es gemäß den Anforderungen des BCM präventive und reaktive IT-Notfallmaßnahmen plant, implementiert und überprüft und somit auch sicherstellt, dass die erforderlichen IT-Ressourcen die Wiederanlaufanforderungen einhalten. Des Weiteren soll das ITSCM durch ein Datensicherungskonzept den Datenverlust im Falle eines Notfalls auf ein verkraftbares Maß reduzieren.

In der BCM-Organisation gibt es verschiedene Rollen: Die Institutionsleitung, die den BCM-Prozess verantwortet und einen BCM-Beauftragten (BCMB), der das BCM operativ aufbaut, sämtliche damit zusammenhängenden Aufgaben koordiniert und vorantreibt und als Hauptansprechpartner fungiert. Bei der Vergabe der Rolle des BCMB (und eines qualifizierten Stellvertreters) ist darauf zu achten, dass keine Interessenkonflikte durch die sonstige Aufgabe oder Verortung innerhalb der Organisation entstehen. Des Weiteren rät das BSI davon ab, die Position mit weniger als einer 50 %-Stelle zu besetzen.

Ein detailliertes Fachwissen (baulich, technisch) über Notfallvorsorgemaßnahmen ist für einen BCMB nicht erforderlich, entscheidend sind mehr gute Kommunikationsfähigkeiten, Kenntnisse zu allgemeinen und branchenspezifischen Vorgehensweisen und Methoden, Kenntnisse über relevante Gesetze, Leitlinien, Vorschriften, Standards, Kenntnisse über Risiken für den Geschäftsbetrieb / die Institution, Kenntnisse zur Notfall-Reaktion sowie die Fähigkeit zur Führung von Mitarbeitenden. Für die Aufgabe erforderliches Wissen kann auch durch gezielte Schulungen aufgebaut werden. 

Organisatorisch bietet es sich an, die Stelle des BCMB als Stabstelle der Institutionsleitung im Rahmen der Allgemeinen Aufbauorganisation (AAO) einzurichten. Daher eignen sich auch Personen als BCMB, die bereits Erfahrung mit Stabsarbeit haben.

Optional kann ein BCM-Koordinator (BCMK) ernannt und ein BCM-Gremium zur Unterstützung eingesetzt werden. Ob diese weiteren Rollen zur Umsetzung des BCMS erforderlich sind, ist im spezifischen Fall der Organisation zu entscheiden. 

Im Rahmen des BCM gibt es bestimmte Methoden bzw. Werkzeuge, um das BCM umzusetzen. Dazu zählen insbesondere die Business Impact Analyse (BIA) und die BCM-Risikoanalyse. Bei der BIA werden Informationen über die (relevanten zeitkritischen) Geschäftsprozesse gesammelt und ausgewertet, um die für einen Notbetrieb benötigten Ressourcen festzulegen. Oft geht der BIA eine Voranalyse zur Festlegung der Organisationseinheiten und zeitkritischen Geschäftsprozesse voraus. Mithilfe der BIA können konkrete Aussagen darüber getroffen werden, welche (möglichen) Schäden bei Ausfall der Geschäftsprozesse zu erwarten sind. Neben der Schadensbewertung geht es bei der BIA auch um die Identifizierung von Ressourcenabhängigkeiten. Die Ergebnisse der BIA dienen dann als Grundlage für die weiteren Strategien und Konzepte. 

Während bei der BIA die möglichen Auswirkungen von Ausfällen auf den Geschäftsbetrieb untersucht werden, liegt der Fokus bei der BCM-Risikoanalyse auf den Ursachen für den Ausfall. Dazu wird untersucht, gegen welche Gefährdungen der Geschäftsbetrieb abgesichert sein sollte. Das Zielobjekt sind hier die zeitkritischen Ressourcen, die zuvor im Rahmen der BIA identifiziert wurden. Diese Ressourcen können wiederum in die Kategorien IT, Personal, Gebäude und Dienstleister eingeteilt werden. Dann wird eine Gefährdungsübersicht erstellt (Ist die Gefährdung X in der Ressourcenkategorie relevant?), anschließend erfolgt die Risikoeinschätzung je Zielobjekt (Eintrittshäufigkeit und Schadenshöhe) sowie die Risikobewertung (z. B. anhand einer Risiko-Matrix). Im letzten Schritt werden dann Business-Continuity-Strategien und -Lösungen zur Risikobehandlung entwickelt. 

Die Einführung eines BCM bzw. BCMS hat mehrere Vorteile, dazu gehören insbesondere: die Verbesserung der Belastbarkeit der Organisation, die Verringerung von rechtlichen und finanziellen Gefahren, die Reduzierung von Kosten durch Störungen im Ablauf sowie die Sicherung von Wettbewerbsvorteilen. 

Einen Plan für den Notfall zu haben ist wichtig, um schnell reagieren zu können und die Prozesse und Systeme abzusichern – insbesondere, wenn eine große Anzahl von Mitarbeitenden involviert ist. Sind die Notfallabläufe bekannt, bleiben die Mitarbeitenden ruhig und besonnen und verlieren keine Zeit bei der Einleitung entsprechender Maßnahmen. Dies stärkt nicht nur intern die Wahrnehmung eines krisensicheren Managements, sondern sorgt auch gegenüber Kunden, Lieferanten und anderen Anspruchsgruppen für eine hohe Glaubwürdigkeit und Verlässlichkeit. 

Die ISO 22301 legt Anforderungen fest, um ein krisentaugliches BCMS „zu verwirklichen, aufrechtzuerhalten und zu verbessern, um sich gegen Störungen zu schützen, die Wahrscheinlichkeit ihres Auftretens zu vermindern, sich auf diese vorzubereiten, auf diese zu reagieren und sich von diesen zu erholen, wann immer sie auftreten.“ Eine Zertifizierung nach ISO 22301 kann für Organisationen nachfolgende Wettbewerbsvorteile sichern:

• Qualitätskriterium für Kunden, Unternehmenspartner und die Öffentlichkeit
• Qualitätssicherung und Stabilität der Geschäftsprozesse
• höhere Wirtschaftlichkeit durch geringere Ausfallzeiten 
• verbesserte Wiederherstellung von Geschäftsprozessen
• Einhaltung internationaler Normen