|
|
| (187 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt) |
| Zeile 1: |
Zeile 1: |
| '''BSI/200-4/Einführung''' | | <noinclude> |
| | ---- |
| | {{Navigation|BSI/200-4|BSI/200-4/03 Initiierung}} |
| | ---- |
| | '''BSI/200-4/02 Einführung''' |
| | </noinclude> |
| | |
| | __TOC__ |
|
| |
|
| == Beschreibung == | | == Einführung == |
| ; Betriebskontinuitätsmanagement (BKM) | | ; Einführung in [[BSI/200-4]] |
| Sicherstellung des Fortbestands von Einrichtungen
| |
| * Bei [[Risiko|Risiken]] mit hohem Schadensausmaß
| |
|
| |
|
| [[File:img-013-002.png|600px]] | | [[File:img-013-002.png|600px]] |
|
| |
|
| <br clear=all>
| | ; Betriebskontinuitätsmanagement ([[BKM]]) |
| | | Sicherstellung des Fortbestands von Einrichtungen |
| == Begriffe ==
| | * bei [[Risiko|Risiken]] mit hohem Schadensausmaß |
| ; Zeitkritischen Geschäftsprozesse | |
| Im Fokus des BCM liegen die '''zeitkritischen Geschäftsprozesse''' der Institution, die gegen '''Ausfälle''' abgesichert werden sollen. Um ein einheitliches Verständnis zu schaffen, gelten innerhalb dieses Standards die nachfolgend aufgeführten Definitionen:
| |
| | |
| ; Geschäftsprozess
| |
| Ein '''Geschäftsprozess''' (Fachaufgaben) im Sinne des BCM ist eine Menge logisch verknüpfter Einzeltätigkeiten (Aufgaben, Arbeitsabläufe), die durch Organisationseinheiten ('''OEs''') ausgeführt werden, um ein bestimmtes betriebliches Ziel zu erreichen.
| |
| * Im behördlichen Umfeld ist der Begriff Fachaufgabe dafür geläufiger.
| |
| | |
| Für die im BCM betrachteten Geschäftsprozesse ist eine mittlere Detaillierungsebene ausreichend.
| |
| * Eine feingliedrige Beschreibung der Einzeltätigkeiten, wie sie z. B. in der Organisationsanalyse anhand einer Prozessmodellierung erhoben und dokumentiert werden, sind für das BCM nicht notwendig.
| |
| | |
| ; Zeitkritisch
| |
| Als '''zeitkritisch''' gelten alle Geschäftsprozesse, deren Ausfall innerhalb eines zuvor festgelegten Zeitraums zu einem nicht tolerierbaren, unter Umständen existenzgefährdenden Schaden für die Institution führen kann.
| |
| * So kann z. B. ein Ausfall, der gegen entsprechende regulatorische Anforderungen verstößt, zu existenzbedrohenden Folgen führen.
| |
| * Falls andere Geschäftsprozesse, wie beispielsweise Unterstützungsprozesse, oder Ressourcen, wie beispielsweise Personal, IT-Systeme oder Dienstleistungsunternehmen, benötigt werden, um die zeitkritischen Geschäftsprozesse aufrecht zu erhalten, müssen auch diese als zeitkritisch angesehen werden.
| |
| * Hingegen kann es in einer Institution auch Geschäftsprozesse geben, die im Alltag sehr wichtig, aber nicht zeitkritisch sind.
| |
| | |
| ; Allgemeine Aufbauorganisation (AAO)
| |
| Üblicherweise werden Schadensereignisse durch die '''Allgemeine Aufbauorganisation (AAO)''' im täglichen Dienst- bzw. Geschäftsbetrieb (Normalbetrieb) bewältigt.
| |
| * Die AAO ist die ständige Organisationsform der Institution für die Aufgaben des täglichen Service- bzw. Geschäftsbetriebs.
| |
| * Für die AAO sind die Zuständigkeiten, der hierarchische Aufbau sowie die Kommunikations- und Entscheidungswege festgelegt.
| |
| | |
| ; Besondere Aufbauorganisation (BAO)
| |
| Einschränkungen, Unterbrechungen oder Ausfälle des Geschäftsbetriebs können jedoch so gravierend sein, dass sie nicht mehr durch die AAO und deren Strukturen zu bewältigen sind.
| |
| * In diesem Fall wird in der Regel eine '''Besondere Aufbauorganisation (BAO)''' eingesetzt. | |
| | |
| Die BAO ist eine zeitlich begrenzte Organisationsform, die auf außergewöhnliche Situationen angemessen und schnell reagieren kann.
| |
| * Innerhalb der BAO gelten zeitlich begrenzte Zuständigkeiten, Hierarchien sowie Kommunikations- und Entscheidungswege, die von dem täglichen Normalbetrieb abweichen können.
| |
| | |
| ; Störung, Notfall und Krise
| |
| [[Datei:Img-018-016.png|mini|500px]] | |
| Um zu verdeutlichen, welche Schadensereignisse durch das BCM behandelt werden, werden im Folgenden die Begriffe '''Störung''', '''Notfall''' und '''Krise''' voneinander abgegrenzt.
| |
| | |
| ; Störung
| |
| Eine '''Störung''' ist eine Situation, in der Prozesse oder Ressourcen nicht wie vorgesehen zur Verfügung stehen.
| |
| * Störungen werden in der Regel innerhalb des Normalbetriebs durch die AAO der Institution behoben.
| |
| * Hierzu wird auf vorhandene Prozesse zur Störungsbeseitigung oder des Vorfallmanagements (auch Incident-Management genannt) zurückgegriffen.
| |
| * Daher sind Störungen nicht Betrachtungsgegenstand dieses Standards.
| |
| | |
| Störungen können jedoch zu einem Notfall eskalieren, wenn sie nicht in einer angemessenen Zeit behoben werden können.
| |
|
| |
|
| ; Notfall | | ; Fokus des [[BCM]] |
| Ein '''Notfall''' im Sinne dieses Standards ist eine Unterbrechung des Geschäftsbetriebs, die mindestens einen zeitkritischen Geschäftsprozess betrifft, der nicht im Normalbetrieb innerhalb der maximal tolerierbaren Ausfallzeit wiederhergestellt werden kann (siehe Kapitel 6.2 Konkretisierung des Begriffs zeitkritisch (R+A)).
| | '''Zeitkritischen Geschäftsprozesse''' |
| * Im Gegensatz zu Störungen wird zur Bewältigung von Notfällen eine BAO benötigt. | | * '''[[Zeitkritische Geschäftsprozesse]]''' |
| * Im Gegensatz zur Krise liegen geeignete Pläne zur Bewältigung vor oder bestehende Pläne können adaptiert werden. | | * die gegen '''[[Ausfälle]]''' abgesichert werden sollen |
| * Der Notfall kann auch ausgerufen werden, bevor das Schadensereignis zu einer Unterbrechung des Geschäftsbetriebs führt, um schnell reagieren zu können.
| |
| * Es genügt die Gefahr, dass durch das Schadensereignis der Geschäftsbetrieb unterbrochen wird.
| |
|
| |
|
| ; Hinweis
| | {{:BSI/200-4/02 Einführung/Begriffe}} |
| Der Begriff Notfall wird hier im Kontext BCM definiert.
| |
| * In anderen Themengebieten kann es abweichende Definitionen eines Notfalls geben, z. B. im Sinne des Brandschutzes oder Schutz von Leib und Leben.
| |
| * Wenn im BSI-Standard 200-4 nachfolgend von Notfall gesprochen wird, ist immer der BCM-Notfall gemeint.
| |
|
| |
|
| ; Krise
| | === Störung, Notfall und Krise === |
| Als '''Krise''' im Sinne dieses Standards wird ein Schadensereignis bezeichnet, das sich in erheblicher Weise negativ auf die Institution auswirkt und dessen Auswirkungen auf die Institution nicht im Normalbetrieb bewältigt werden können.
| | Schadensereignisse, die durch [[BCM]] behandelt werden |
| * Im Gegensatz zu einem Notfall liegen zur Bewältigung einer Krise jedoch keine spezifischen Notfallpläne vor.
| |
| Vorhandene Notfallpläne können nicht oder nur bedingt adaptiert werden oder greifen schlicht nicht.
| |
| * Innerhalb der Institution wird die Krise durch eingeleitete Maßnahmen der BAO bewältigt.
| |
|
| |
|
| Krisen können unmittelbar auftreten oder aus einer Störung oder einem Notfall heraus eskalieren.
| | ; Abgrenzung |
| * Das BCM trägt dazu bei, Krisen, die den Geschäftsbetrieb der Institution beeinträchtigen, mithilfe der BAO operativ zu bewältigen (siehe Glossar, Definition Krisenmanagement).
| | [[Datei:Img-018-016.png|600px]] |
| * Zudem können mithilfe der BAO auch die Folgen solcher Schadensereignisse bewältigt werden, die zwar nicht unmittelbar den Geschäftsbetrieb betreffen, jedoch aufgrund ihrer massiven Auswirkungen auf die Institution gesondert behandelt werden müssen.
| |
|
| |
|
| Es ist möglich, dass sich Krisen nicht nur ausschließlich auf die eigene Institution und die Geschäftspartner und -partnerinnen, sondern auch darüber hinaus auswirken.
| | {{:BCMS/Eskalation}} |
| * In der Bewältigung treten dann gegebenenfalls weitere Parteien in Erscheinung, wie Aufsichtsbehörden oder Behörden und Organisationen mit Sicherheitsaufgaben (BOS), wie z. B. Polizei und Feuerwehr.
| |
| * Krisen, wie z. B. Großschadenslagen oder Ereignisse im Spannungs- und Verteidigungsfall, werden in diesem Standard explizit nicht beschrieben.
| |
| * Diese Ereignisarten werden als externe Randbedingungen für die Bewältigung der eigenen Betroffenheit aufgefasst und nicht näher erläutert.
| |
|
| |
|
| ; Katastrophe
| | [[BCMS/Eskalation]] |
| In diesem Standard wird der Begriff '''Katastrophe''' nicht definiert, weil es hierzu bereits Legaldefinitionen der Länder (z. B. § 2 des Katastrophenschutzgesetzes des Landes Berlin(siehe [BRLN]) oder § 1 des Gesetzes über den Katastrophenschutz des Landes Baden-Württemberg (siehe [BW2])) und des Bundes gibt (z. B. Definition gemäß BBK-Glossar (siehe [BBK1])).
| |
| * BCM behandelt die Auswirkung von Schadensereignissen auf die eigene Institution.
| |
| * Da der Umgang innerhalb der Institution mit einer Katastrophe nicht anders ist als mit einer Krise, wird innerhalb dieses Standards auch nicht zwischen Krise und Katastrophe unterschieden.
| |
| Weitere wesentliche Begriffe, die zusätzlich relevant zum Verständnis dieses Standards sind, werden innerhalb des Glossars definiert (siehe Anhang B: Hinweise zu den Hilfsmitteln).
| |
|
| |
|
| == Grundlagen eines Managementsystems == | | == Managementsystem == |
| ; BCMS-Bestandteile
| |
| [[File:img-021-024.png|500px]]
| |
| ; Strategien, Plänen und Handlungen | | ; Strategien, Plänen und Handlungen |
| {| class="wikitable options big" | | {| class="table table-striped table-hover col1bold col1nowrap" |
| |- | | |- |
| | BCMS etablieren || Rahmenbedingungen, Aufbau- und Ablauforganisation | | | BCMS etablieren || Rahmenbedingungen, Aufbau- und Ablauforganisation |
| Zeile 96: |
Zeile 44: |
| | Kritische Prozesse absichern || Schützen und alternative Abläufe ermöglichen | | | Kritische Prozesse absichern || Schützen und alternative Abläufe ermöglichen |
| |} | | |} |
| <br clear=all>
| |
|
| |
|
| ; PDCA-Zyklus eines Managementsystems
| | == BCMS-Bestandteile == |
| [[File:img-023-028.png|600px]]
| |
| <br clear=all>
| |
|
| |
|
| == Ablauf der Bewältigung ==
| | [[File:img-021-024.png|400px]] |
| ; Bewältigung eines schwerwiegenden Schadensereignisses mit und ohne BCM
| |
| [[File:img-024-030.png|600px]] | |
| <br clear=all> | | <br clear=all> |
|
| |
|
| ; Ablauf der Bewältigung mit BCM
| | {| |
| [[File:img-025-032.png|600px]]
| | ! Bestandteile !! Beschreibung |
| <br clear=all>
| |
| | |
| == Abgrenzung und Synergien ==
| |
| === Informationssicherheit ===
| |
| * Strukturanalyse
| |
| * Feststellung des Schutzbedarfs nach IT-Grundschutz und Business-Impact-Analyse
| |
| * Risikoanalyse und -behandlung
| |
| * Maßnahmen
| |
| * Notfallbewältigung
| |
| * Unterschiede zwischen dem BCM und der Informationssicherheit
| |
| | |
| === ITSCM ===
| |
| | |
| === Krisenmanagement ===
| |
| | |
| === Outsourcing sowie Lieferketten ===
| |
| | |
| == Normen und Standards ==
| |
| Übersicht über BCM-Standards sowie korrespondierende Sicherheitsthemen
| |
| [[File:img-037-052.png|mini|400px]]
| |
| | |
| === <nowiki>ISO 22301:2019</nowiki> ===
| |
| ; ISO 22301 „Security and resilience – Business continuity management systems – Requirements“
| |
| Erster internationaler Standard zum BCM, der eine Zertifizierung ermöglicht
| |
| * Unterstützt Institutionen, Risiken von Betriebsunterbrechungen jeglichen Ursprungs zu reduzieren
| |
| | |
| Beschreibt Anforderungen an ein BCMS
| |
| * planen
| |
| * einrichten
| |
| * betreiben
| |
| * überwachen
| |
| * überprüfen
| |
| * kontinuierlich verbessern
| |
| | |
| Die internationale Norm erschien erstmalig im Jahr 2012 und ersetzte die Reihe des British Standard BS 25999
| |
| * Die ISO 22301 wurde 2019 überarbeitet und der BSI-Standard 200-4 ist kompatibel zu dieser überarbeiteten Version
| |
| | |
| Im Gegensatz zu diesem BSI-Standard stellt die ISO-Norm 22301 Anforderungen auf abstrakterer Ebene.
| |
| | |
| ; Ergänzende ISO-Standards der ISO-Reihe 22300 konkretisieren einzelne Aspekte oder Schnittstellen zum BCM
| |
| | |
| {| class="wikitable options big" | |
| ! Norm !! Titel | |
| |- | | |- |
| | ISO 22313:2020 || Societal security and resilience – Business continuity management systems –Guidance on the use of ISO 22301 | | | [[BCMS]] || |
| |- | | |- |
| | ISO 22317:2015 || Societal security – Business continuity management systems – Guidelines for business impact analysis | | | [[BCMS/Organisation]] || Organisation |
| |- | | |- |
| | ISO 22318:2015 || Societal security – Business continuity management systems – Guidelines for supply chain continuity | | | [[BCMS/Methoden]] || Methoden |
| |- | | |- |
| | ISO 22398:2013 || Societal security — Guidelines for exercises | | | [[BCMS/Prozess]] || Prozess |
| |}
| |
| | |
| === BSI-Standards ===
| |
| BCM und Informationssicherheit haben zahlreiche Schnittstellen
| |
| * BSI-Standard 200-4 ergänzt die BSI-Standards der 200-x-Reihe
| |
| | |
| {| class="wikitable options big"
| |
| ! BSI-Standard !! Titel !! Beschreibung
| |
| |- | | |- |
| | 200-1 || Managementsysteme für Informationssicherheit (ISMS) || Definiert die allgemeinen Anforderungen an ein ISMS und beschreibt, mit welchen Methoden Informationssicherheit in einer Institution generell initiiert wird. | | | [[BCMS/Ressourcen]] || Ressourcen |
| |- | | |- |
| | 200-2 || IT-Grundschutz-Methodik || beschreibt den Aufbau und den Betrieb eines Managementsystems für Informationssicherheit und erläutert die einzelnen Schritte der IT-Grundschutz-Vorgehensweise zur Erstellung einer Sicherheitskonzeption. | | | [[BCMS/Dokumentation]] || Dokumentation |
| |- | | |- |
| | 200-3 || Risikoanalyse auf der Basis von IT-Grundschutz || beschreibt, wie aufbauend auf der IT-Grundschutz-Vorgehensweise eine vereinfachte Analyse von Risiken für die Informationsverarbeitung durchgeführt werden kann | | | [[BCMS/Schnittstellen]] || Schnittstellen |
| * Diese Analyse basiert auf den elementaren Gefährdungen, die im IT-Grundschutz-Kompendium beschrieben sind, und auf deren Basis auch die IT-Grundschutz-Bausteine erstellt werden
| |
| * Die beschriebene Vorgehensweise kann auch im Rahmen der BCM-Risikoanalyse des BSI-Standards 200-4 angewendet werden.
| |
| |} | | |} |
|
| |
|
| === Good Practice Guidelines === | | == [[PDCA]]-Zyklus eines Managementsystems == |
| ; Umsetzungshilfe im BCM
| | [[File:img-023-028.png|600px]] |
| Good Practice Guidelines (GPG)
| | <br clear=all> |
| * des Business Continuity Institute
| | |
| * Ziel ist, einen hohen Standard im Bereich des BCM zu setzen und Kompetenz aufzubauen
| | == Bewältigung == |
| * Erstmal im Jahre 2002
| | Ablauf und Bewältigung |
| * Regelmäßig aktualisiert und optimiert
| |
| * Liegt in mehrere Sprachen übersetzt vor
| |
|
| |
|
| === Leitfaden Krisenkommunikation ===
| | ; Mit und ohne [[BCM]] |
| Der Leitfaden Krisenkommunikation des Bundesministeriums des Innern hilft dabei, die externe und interne Krisenkommunikation zu planen, aufzubauen und zu optimieren
| | Bewältigung eines schwerwiegenden Schadensereignisses mit und ohne [[BCM]] |
| * Der Leitfaden beinhaltet zum einen eine Anleitung, wie die Anforderungen in der Krisenkommunikation analysiert werden können, und zum anderen einen Musteraufbau, um einen Krisenkommunikationsplan zu erarbeiten.
| |
|
| |
|
| === ITIL ===
| | [[File:img-024-030.png|600px]] |
| ITIL (Information Technology Infrastructure Library) wird von AXELOS herausgegeben, gepflegt und weiterentwickelt
| | <br clear=all> |
| * ITIL erläutert, wie Institutionen anhand von Technologien und Werkzeugen das Servicemanagement digital transformieren können.
| |
| * Sie berücksichtigt aktuelle Trends wie Agile Softwareentwicklung, DevOps und Lean ITManagement.
| |
| Da in der Praxis der IT-Betrieb häufig nach ITIL ausgerichtet ist, kann das BCM auf diese Strukturen zurückgreifen, insbesondere auf das Incident und das IT-Service Continuity Management.
| |
|
| |
|
| === Leitfäden der Bundesländer zum Krisenmanagement ===
| | ; Mit [[BCM]] |
| Verschiedene Bundesländer veröffentlichen länderspezifische Leitfäden zum Krisenmanagement, z. B:
| | Ablauf der Bewältigung mit [[BCM]] |
| * Leitfaden Krisenmanagement durch Krisenstäbe im Land Nordrhein-Westfalen bei Großeinsatzlagen, Krisen und Katastrophen
| | |
| * Verwaltungsvorschrift der Landesregierung und der Ministerien zur Bildung von Stäben bei außergewöhnlichen Ereignissen und Katastrophen des Landes Baden-Württemberg
| | [[File:img-025-032.png|600px]] |
|
| |
|
| == BCMS Stufenmodell ==
| |
| [[File:img-039-054.png|400px]]
| |
| [[File:img-041-056.png|400px]]
| |
| <br clear=all> | | <br clear=all> |
|
| |
|
| ; Vergleich der BCMS-Stufen
| | == Abgrenzung und Synergien == |
| {| class="wikitable options big" | | {| class="table table-striped table-hover col1bold col1nowrap" |
| ! Eigenschaft !! Reaktiv-BCMS !! Aufbau-BCMS !! Standard-BCMS | | ! Bereich !! Beschreibung |
| |- | | |- |
| | Vorteile || Schnelle Fähigkeit zur Notfallbewältigung || Schrittweiser, ressourcenschonender Aufbau || Vollständige Absicherung, gesteigerte Resilienz | | | [[#Informationssicherheit|Informationssicherheit]] || |
| | * [[Strukturanalyse]] |
| | * Feststellung des [[Schutzbedarf]]s nach IT-Grundschutz und Business-Impact-Analyse |
| | * [[Risikoanalyse]] und -behandlung |
| | * [[Maßnahmen]] |
| | * [[Notfallbewältigung]] |
| | * Unterschiede zwischen dem [[BCM]] und der [[Informationssicherheit]] |
| |- | | |- |
| | Nachteile || Lücken in der Absicherung von Bereichen, die nicht/teilweise betrachtet werden || Bereiche, die in der Absicherung der Institution nicht betrachtet werden || Größerer Ressourcenbedarf je Zyklus | | | [[#ITSCM|ITSCM]] || |
| | |- |
| | | [[#Krisenmanagement|Krisenmanagement]] || |
| | |- |
| | | [[#Outsourcing/Lieferketten|Outsourcing/Lieferketten]] || |
| |} | | |} |
|
| |
|
| ; Methodik
| | == Normen und Standards == |
| Die Methodik kann im Reaktiv-BCMS vereinfacht werden, indem diejenigen Analysemethoden zeitlich zurückgestellt werden, die der detaillierteren Analyse der Rahmenbedingungen des BCMS oder der Notfallvorsorge dienen
| | {{:BSI/200-4/02 Einführung/Normen und Standards}} |
| * Detaillierte Analysen werden dann erst in einer der beiden nachfolgenden Stufen mit vollständiger Methodik bearbeitet
| |
| * In der vollständigen Methodik, die im Aufbau- und Standard-BCMS angewendet wird, werden Aspekte der Notfallvorsorge und der Notfallbewältigung gleichermaßen berücksichtigt
| |
| * Auch die jeweiligen Methoden der einzelnen BCMS-Prozessschritte sind im Aufbau- und Standard-BCMS erweitert, um detailliertere Ergebnisse zu ermöglichen
| |
| * In diesem beiden Stufen mit vollständiger Methodik kann so zum einen das BCMS deutlich effektiver und zielgerichteter aufgebaut werden
| |
| * Zum anderen kann die BAO konkreter und bedarfsorientierter definiert werden.
| |
|
| |
|
| ; GP-Umfang (Geschäftsprozessumfang)
| | == Stufenmodell == |
| Im Rahmen der Initiierung des BCMS wird dessen Geltungsbereich festgelegt
| | '''{{:BSI/200-4/02 Einführung/Stufenmodell}}''' |
| * Unabhängig vom Geltungsbereich des BCMS kann anhand eines eingeschränkten GP-Umfangs der Ressourcenaufwand zunächst reduziert werden (Reaktiv- und Aufbau-BCMS)
| |
| * Anschließend kann der GP-Umfang mit jedem weiteren Zyklus schrittweise gesteigert werden, bis alle Geschäftsprozesse im Geltungsbereich des BCMS betrachtet werden (Standard-BCMS).
| |
|
| |
|
| == Übersicht über den BCMS-Prozess == | | == BCMS-Prozess == |
| ; PDCA-Struktur des BCMS-Prozesses
| | === [[PDCA]]-Struktur === |
| [[Datei:Img-044-060.png|600px]] | | [[Datei:Img-044-060.png|600px]] |
|
| |
|
| | === Gesamtübersicht === |
| | [[File:img-045-062.png|600px]] |
|
| |
|
| ; Gegenüberstellung der BCMS-Stufen anhand verschiedener Kriterien
| | === Do-Phase === |
| [[File:bcmTab3.png|600px]]
| | ; Umsetzungsreihenfolge der Do-Phase |
| | | [[Datei:img-048-064.png|700px]] |
| | |
| ; BCM-Prozess Gesamtübersicht | |
| [[File:img-045-062.png|600px]] | |
|
| |
|
| === Umsetzungsreihenfolge der Do-Phase ===
| |
| [[Datei:img-048-064.png|600px]]
| |
| <noinclude> | | <noinclude> |
| | ---- |
| | {{Navigation|BSI/200-4|BSI/200-4/03 Initiierung}} |
| | ---- |
|
| |
|
| == Anhang == | | == Anhang == |
BSI/200-4/02 Einführung
Einführung
- Einführung in BSI/200-4
- Betriebskontinuitätsmanagement (BKM)
Sicherstellung des Fortbestands von Einrichtungen
- bei Risiken mit hohem Schadensausmaß
- Fokus des BCM
Zeitkritischen Geschäftsprozesse
BSI/200-4/02 Einführung/Begriffe
Begriffe
Geschäftsprozess
- Definition
Ein Geschäftsprozess (Fachaufgaben)
- im Sinne des BCM
- Menge logisch verknüpfter Einzeltätigkeiten
die durch Organisationseinheiten (OEs) ausgeführt werden
- um ein bestimmtes betriebliches Ziel zu erreichen
Im behördlichen Umfeld ist der Begriff Fachaufgabe dafür geläufiger
Zeitkritisch
Allgemeine Aufbauorganisation
Üblicherweise werden Schadensereignisse durch die Allgemeine Aufbauorganisation (AAO) im täglichen Dienst- bzw. Geschäftsbetrieb (Normalbetrieb) bewältigt.
- Die AAO ist die ständige Organisationsform der Institution für die Aufgaben des täglichen Service- bzw. Geschäftsbetriebs.
- Für die AAO sind die Zuständigkeiten, der hierarchische Aufbau sowie die Kommunikations- und Entscheidungswege festgelegt.
Besondere Aufbauorganisation
- Besondere Aufbauorganisation (BAO)
Einschränkungen, Unterbrechungen oder Ausfälle des Geschäftsbetriebs können so gravierend sein, dass sie nicht mehr durch die AAO und deren Strukturen zu bewältigen sind.
- Was ist eine Besondere Aufbauorganisation?
Die BAO ist
- eine zeitlich begrenzte Organisationsform
- die auf außergewöhnliche Situationen angemessen und schnell reagieren kann
- Besonderheiten
Innerhalb der BAO gelten zeitlich begrenzte
- Zuständigkeiten
- Hierarchien
- Kommunikations- und Entscheidungswege
die von dem täglichen Normalbetrieb abweichen können.
Detaillierung
- Mittlere Detaillierungsebene ausreichend
Für die im BCM betrachteten Geschäftsprozesse ist eine mittlere Detaillierungsebene ausreichend
- Eine feingliedrige Beschreibung der Einzeltätigkeiten, wie sie beispielsweise in der Organisationsanalyse anhand einer Prozessmodellierung erhoben und dokumentiert werden, sind für das BCM nicht notwendig.
Zeitkritischer Geschäftsprozesse
- Ausfall zeitkritischer Geschäftsprozesse
- Beispiel
Ein Ausfall, der gegen entsprechende regulatorische Anforderungen verstößt, kann zu existenzbedrohenden Folgen führen
- Abhängigkeiten
Falls andere Geschäftsprozesse benötigt werden, um die zeitkritischen Geschäftsprozesse aufrecht zu erhalten
- Unterstützungsprozesse
- Ressourcen
- Personal
- IT-Systeme
- Dienstleistungen
müssen auch diese als zeitkritisch angesehen werden
- Zeitkritisch <> wichtig
Hingegen kann es in einer Institution auch Geschäftsprozesse geben, die im Alltag sehr wichtig, aber nicht zeitkritisch sind
Störung, Notfall und Krise
Schadensereignisse, die durch BCM behandelt werden
- Abgrenzung
BCMS/Eskalation
Managementsystem
- Strategien, Plänen und Handlungen
| BCMS etablieren |
Rahmenbedingungen, Aufbau- und Ablauforganisation
|
| Kritische Prozesse ermitteln |
Prozesse mit ernsthafte Schäden oder vernichtenden Verlusten bei Unterbrechung
|
| Kritische Prozesse absichern |
Schützen und alternative Abläufe ermöglichen
|
BCMS-Bestandteile
PDCA-Zyklus eines Managementsystems
Bewältigung
Ablauf und Bewältigung
- Mit und ohne BCM
Bewältigung eines schwerwiegenden Schadensereignisses mit und ohne BCM
- Mit BCM
Ablauf der Bewältigung mit BCM
Abgrenzung und Synergien
Normen und Standards
Überblick
ISO/22300
ISO/22300
Krisenmanagement
Schnittstellen
ITIL
- ITIL (Information Technology Infrastructure Library)
Von AXELOS herausgegeben, gepflegt und weiterentwickelt
- Erläutert, wie Institutionen anhand von Technologien und Werkzeugen das Servicemanagement digital transformieren können
- Berücksichtigt aktuelle Trends
- Agile Softwareentwicklung
- DevOps
- Lean IT-Management
- Übernahme von Ergebnissen
Wenn ein IT-Betrieb an ITIL ausgerichtet ist, kann auf diese Strukturen zurückgegriffen werden
- Incident Management
- IT-Service Continuity Management
- ...
Konkretisierungen
Umsetzungshilfen
Good Practice Guidelines
- Umsetzungshilfen
Good Practice Guidelines (GPG)
- Ziele
- Hohen Standard des BCM setzen
- Kompetenz aufzubauen
ISO 22313
BSI-Standards
BSI/Standard - Vom BSI veröffentlichte Standards
Übersicht
BSI/Uebersicht
BSI-Standards
Behörden
Leitfaden Krisenkommunikation
- Leitfaden Krisenkommunikation des Bundesministeriums des Innern
Krisenkommunikation analysieren und Krisenkommunikationsplan erarbeiten
- planen
- aufzubauen
- optimieren
Leitfäden von Bundesländern
Verschiedene Bundesländer veröffentlichen länderspezifische Leitfäden zum Krisenmanagement
Stufenmodell
Beschreibung
- BCMS-Stufen
- BCMS-Wege
Vergleich
| Eigenschaft |
Reaktiv-BCMS |
Aufbau-BCMS |
Standard-BCMS
|
| Vorteile |
Schnelle Fähigkeit zur Notfallbewältigung |
Schrittweiser, ressourcenschonender Aufbau |
Vollständige Absicherung, gesteigerte Resilienz
|
| Nachteile |
Lücken in der Absicherung (Bereiche, die nicht/teilweise betrachtet werden) |
Bereiche, die in der Absicherung der Institution nicht betrachtet werden |
Größerer Ressourcenbedarf
|
- Reaktiv-BCMS
- Vereinfachte Methodik
- Detailliertere Analysen zeitlich zurückstellen
- Rahmenbedingungen und Notfallvorsorge
- Aufbau- und Standard-BCMS
- Detaillierte Analysen
- Vollständige Methodik
- Berücksichtigen Notfallvorsorge und Notfallbewältigung
Die jeweiligen Methoden der einzelnen BCMS-Prozessschritte sind im Aufbau- und Standard-BCMS erweitert, um detailliertere Ergebnisse zu ermöglichen
- In diesen Stufen kann das BCMS deutlich effektiver und zielgerichteter aufgebaut werden
- Die BAO kann konkreter und bedarfsorientierter definiert werden
Geschäftsprozesse
- Umfang der Geschäftsprozesse (GP)
- Reaktiv- und Aufbau-BCMS
- Innerhalb des Geltungsbereichs des BCMS kann der Aufwand durch einen eingeschränkten GP-Umfang zunächst reduziert werden
- Ziel: Standard-BCMS
- Anschließend kann der GP-Umfang mit jedem weiteren Zyklus schrittweise gesteigert werden, bis alle Geschäftsprozesse im Geltungsbereich des BCMS betrachtet werden
BCMS-Prozess
Gesamtübersicht
Do-Phase
- Umsetzungsreihenfolge der Do-Phase
Anhang
Siehe auch
Links
Weblinks
