BSI/200-4/02 Einführung

← Zurück

Weiter →

BSI/200-4/02 Einführung

Einführung

Einführung in BSI/200-4

Betriebskontinuitätsmanagement (BKM)

Sicherstellung des Fortbestands von Einrichtungen

bei Risiken mit hohem Schadensausmaß

Fokus des BCM
Zeitkritischen Geschäftsprozesse

Zeitkritische Geschäftsprozesse
die gegen Ausfälle abgesichert werden sollen

BSI/200-4/02 Einführung/Begriffe

Begriffe


Geschäftsprozess
Zeitkritisch
Allgemeine Aufbauorganisation (AAO)
Besondere Aufbauorganisation (BAO)

Geschäftsprozess

Definition

Ein Geschäftsprozess (Fachaufgaben)

im Sinne des BCM
Menge logisch verknüpfter Einzeltätigkeiten
- Aufgaben
- Arbeitsabläufe

die durch Organisationseinheiten (OEs) ausgeführt werden

um ein bestimmtes betriebliches Ziel zu erreichen

Im behördlichen Umfeld ist der Begriff Fachaufgabe dafür geläufiger

Zeitkritisch

Allgemeine Aufbauorganisation

Üblicherweise werden Schadensereignisse durch die Allgemeine Aufbauorganisation (AAO) im täglichen Dienst- bzw. Geschäftsbetrieb (Normalbetrieb) bewältigt.

Die AAO ist die ständige Organisationsform der Institution für die Aufgaben des täglichen Service- bzw. Geschäftsbetriebs.
Für die AAO sind die Zuständigkeiten, der hierarchische Aufbau sowie die Kommunikations- und Entscheidungswege festgelegt.

Besondere Aufbauorganisation

Besondere Aufbauorganisation (BAO)

Einschränkungen, Unterbrechungen oder Ausfälle des Geschäftsbetriebs können so gravierend sein, dass sie nicht mehr durch die AAO und deren Strukturen zu bewältigen sind.

In diesem Fall wird in der Regel eine Besondere Aufbauorganisation (BAO) eingesetzt.

Was ist eine Besondere Aufbauorganisation?

Die BAO ist

eine zeitlich begrenzte Organisationsform
die auf außergewöhnliche Situationen angemessen und schnell reagieren kann

Besonderheiten

Innerhalb der BAO gelten zeitlich begrenzte

Zuständigkeiten
Hierarchien
Kommunikations- und Entscheidungswege

die von dem täglichen Normalbetrieb abweichen können. 7

Detaillierung

Mittlere Detaillierungsebene ausreichend

Für die im BCM betrachteten Geschäftsprozesse ist eine mittlere Detaillierungsebene ausreichend

Eine feingliedrige Beschreibung der Einzeltätigkeiten, wie sie beispielsweise in der Organisationsanalyse anhand einer Prozessmodellierung erhoben und dokumentiert werden, sind für das BCM nicht notwendig.

Zeitkritischer Geschäftsprozesse

Ausfall zeitkritischer Geschäftsprozesse

innerhalb eines zuvor festgelegten Zeitraums
nicht tolerierbaren Schaden

Beispiel

Ein Ausfall, der gegen entsprechende regulatorische Anforderungen verstößt, kann zu existenzbedrohenden Folgen führen

Abhängigkeiten

Falls andere Geschäftsprozesse benötigt werden, um die zeitkritischen Geschäftsprozesse aufrecht zu erhalten

Unterstützungsprozesse
Ressourcen
- Personal
- IT-Systeme
- Dienstleistungen

müssen auch diese als zeitkritisch angesehen werden

Zeitkritisch <> wichtig

Hingegen kann es in einer Institution auch Geschäftsprozesse geben, die im Alltag sehr wichtig, aber nicht zeitkritisch sind

Störung, Notfall und Krise

Schadensereignisse, die durch BCM behandelt werden

Abgrenzung

Bereich	Stufe	Beschreibung
Extern	Katastrophe	Großschadenereignis Über eigene Organisation hinaus Katastrophenschutz
Katastrophenschwelle
Intern	Krise	Massive Unterbrechung Mindestens ein (zeit-)kritischer Prozess Notfallplan liegt nicht vor greift nicht Erweiterte Befugnisse der BAO
	Krisenschwelle
	Notfall	Erhebliche Unterbrechung Mindestens ein (zeit-)kritischer Prozess Aktivierung der BAO erforderlich Notfallpläne liegen vor können angepasst werden
	Notfallschwelle
	Störung	Prozess/Ressource Steht nicht zur Verfügung Innerhalb des Normalbetriebs behebbar Keine Aktivierung der BAO erforderlich
	Normal	überwachten Parameter sind innerhalb der definierten Grenzen

Managementsystem

Strategien, Plänen und Handlungen

BCMS etablieren	Rahmenbedingungen, Aufbau- und Ablauforganisation
Kritische Prozesse ermitteln	Prozesse mit ernsthafte Schäden oder vernichtenden Verlusten bei Unterbrechung
Kritische Prozesse absichern	Schützen und alternative Abläufe ermöglichen

BCMS-Bestandteile

PDCA-Zyklus eines Managementsystems

Bewältigung

Ablauf Bewältigung

Mit und ohne BCM

Bewältigung eines schwerwiegenden Schadensereignisses mit und ohne BCM

Mit BCM

Ablauf der Bewältigung mit BCM

Abgrenzung und Synergien

Bereich	Beschreibung
Informationssicherheit	Strukturanalyse Feststellung des Schutzbedarfs nach IT-Grundschutz und Business-Impact-Analyse Risikoanalyse und -behandlung Maßnahmen Notfallbewältigung Unterschiede zwischen dem BCM und der Informationssicherheit
ITSCM
Krisenmanagement
Outsourcing/Lieferketten

Normen und Standards

Überblick

BCMS Standards

BSI/200-4/02 Einführung/Normen und Standards/ISO 22300

Krisenmanagement

Schnittstellen

ITIL

ITIL (Information Technology Infrastructure Library)

Von AXELOS herausgegeben, gepflegt und weiterentwickelt

Erläutert, wie Institutionen anhand von Technologien und Werkzeugen das Servicemanagement digital transformieren können

Berücksichtigt aktuelle Trends

Agile Softwareentwicklung
DevOps
Lean IT-Management

Übernahme von Ergebnissen

Wenn ein IT-Betrieb an ITIL ausgerichtet ist, kann auf diese Strukturen zurückgegriffen werden

Incident Management
IT-Service Continuity Management
...

Konkretisierungen

Umsetzungshilfen

Good Practice Guidelines

Umsetzungshilfen

Good Practice Guidelines (GPG)

Herausgegeben vom Business Continuity Institute
Erstmals im Jahre 2002
Regelmäßig aktualisiert und optimiert
In mehrere Sprachen übersetzt

Ziele

Hohen Standard des BCM setzen
Kompetenz aufzubauen

ISO 22313

BSI-Standards

BSI/Standard - Vom BSI veröffentlichte Standards

Übersicht

Standards
200-1	Anforderungen an ein ISMS
200-2	Umsetzung der Anforderungen
200-3	Risikoanalyse

200-4	Business Continuity Management
Kompendium
Kapitel 1	Vorspann
Kapitel 2	Schichtenmodell / Modellierung
Elementare Gefährdungen	Elementare Gefährdungen
Schichten	Prozesse Systeme

Version 200

Standard	Titel	Beschreibung
200-1	Managementsysteme für Informationssicherheit	Managementsysteme für Informationssicherheit (ISMS) Allgemeine Anforderungen an ein ISMS Methoden zur Initiierung der Informationssicherheit in einer Institution
200-2	IT-Grundschutz-Methodik	Aufbau und Betrieb eines Managementsystems für Informationssicherheit Schritte der IT-Grundschutz-Vorgehensweise zur Erstellung einer Sicherheitskonzeption
200-3	Risikomanagement	Risikoanalyse auf der Basis von IT-Grundschutz Aufbauend auf der IT-Grundschutz-Vorgehensweise Vereinfachte Analyse von Risiken für die Informationsverarbeitung Basiert auf den elementaren Gefährdungen Kann im Rahmen der BCM-Risikoanalyse angewendet werden

200-4	Business Continuity Management	BCM und Informationssicherheit haben zahlreiche Schnittstellen

Behörden

Leitfaden Krisenkommunikation

Leitfaden Krisenkommunikation des Bundesministeriums des Innern

Krisenkommunikation analysieren und Krisenkommunikationsplan erarbeiten

planen
aufzubauen
optimieren

Leitfäden der Bundesländer

Verschiedene Bundesländer veröffentlichen länderspezifische Leitfäden zum Krisenmanagement

Bundesland	Dokument
Nordrhein-Westfalen	Leitfaden Krisenmanagement durch Krisenstäbe im Land Nordrhein-Westfalen bei Großeinsatzlagen, Krisen und Katastrophen
Baden-Württemberg	Verwaltungsvorschrift der Landesregierung und der Ministerien zur Bildung von Stäben bei außergewöhnlichen Ereignissen und Katastrophen des Landes Baden-Württemberg

Stufenmodell

Stufenmodell

BCMS-Prozess

PDCA-Struktur

Gesamtübersicht

Umsetzungsreihenfolge der Do-Phase

← Zurück

Weiter →

Anhang

Siehe auch

Links

Weblinks