(163 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1:
Zeile 1:
'''BSI/200-4/Einführung'''
<noinclude>
----
{{Navigation|BSI/200-4|BSI/200-4/03 Initiierung}}
----
'''BSI/200-4/02 Einführung'''
</noinclude>
== Beschreibung ==
== Einführung ==
; Betriebskontinuitätsmanagement (BKM)
; Einführung in [[BSI/200-4]]
[[File:img-013-002.png|mini|400px]]
; Betriebskontinuitätsmanagement ([[BKM]])
Sicherstellung des Fortbestands von Einrichtungen
Sicherstellung des Fortbestands von Einrichtungen
* Bei [[Risiko|Risiken]] mit hohem Schadensausmaß
* bei [[Risiko|Risiken]] mit hohem Schadensausmaß
[[File:img-013-002.png|600px]]
<br clear=all>
== Begriffe ==
; Fokus des [[BCM]]
; Zeitkritischen Geschäftsprozesse
; Zeitkritischen Geschäftsprozesse
Im Fokus des BCM liegen die '''zeitkritischen Geschäftsprozesse''' der Institution, die gegen '''Ausfälle''' abgesichert werden sollen. Um ein einheitliches Verständnis zu schaffen, gelten innerhalb dieses Standards die nachfolgend aufgeführten Definitionen:
* '''[[Zeitkritische Geschäftsprozesse]]'''
* die gegen '''[[Ausfälle]]''' abgesichert werden sollen
; Geschäftsprozess
Ein '''Geschäftsprozess''' (Fachaufgaben) im Sinne des BCM ist eine Menge logisch verknüpfter Einzeltätigkeiten (Aufgaben, Arbeitsabläufe), die durch Organisationseinheiten ('''OEs''') ausgeführt werden, um ein bestimmtes betriebliches Ziel zu erreichen.
* Im behördlichen Umfeld ist der Begriff Fachaufgabe dafür geläufiger.
Für die im BCM betrachteten Geschäftsprozesse ist eine mittlere Detaillierungsebene ausreichend.
* Eine feingliedrige Beschreibung der Einzeltätigkeiten, wie sie z. B. in der Organisationsanalyse anhand einer Prozessmodellierung erhoben und dokumentiert werden, sind für das BCM nicht notwendig.
; Zeitkritisch
Als '''zeitkritisch''' gelten alle Geschäftsprozesse, deren Ausfall innerhalb eines zuvor festgelegten Zeitraums zu einem nicht tolerierbaren, unter Umständen existenzgefährdenden Schaden für die Institution führen kann.
* So kann z. B. ein Ausfall, der gegen entsprechende regulatorische Anforderungen verstößt, zu existenzbedrohenden Folgen führen.
* Falls andere Geschäftsprozesse, wie beispielsweise Unterstützungsprozesse, oder Ressourcen, wie beispielsweise Personal, IT-Systeme oder Dienstleistungsunternehmen, benötigt werden, um die zeitkritischen Geschäftsprozesse aufrecht zu erhalten, müssen auch diese als zeitkritisch angesehen werden.
* Hingegen kann es in einer Institution auch Geschäftsprozesse geben, die im Alltag sehr wichtig, aber nicht zeitkritisch sind.
; Allgemeine Aufbauorganisation (AAO)
Üblicherweise werden Schadensereignisse durch die '''Allgemeine Aufbauorganisation (AAO)''' im täglichen Dienst- bzw. Geschäftsbetrieb (Normalbetrieb) bewältigt.
* Die AAO ist die ständige Organisationsform der Institution für die Aufgaben des täglichen Service- bzw. Geschäftsbetriebs.
* Für die AAO sind die Zuständigkeiten, der hierarchische Aufbau sowie die Kommunikations- und Entscheidungswege festgelegt.
; Besondere Aufbauorganisation (BAO)
Einschränkungen, Unterbrechungen oder Ausfälle des Geschäftsbetriebs können jedoch so gravierend sein, dass sie nicht mehr durch die AAO und deren Strukturen zu bewältigen sind.
* In diesem Fall wird in der Regel eine '''Besondere Aufbauorganisation (BAO)''' eingesetzt.
Die BAO ist eine zeitlich begrenzte Organisationsform, die auf außergewöhnliche Situationen angemessen und schnell reagieren kann.
* Innerhalb der BAO gelten zeitlich begrenzte Zuständigkeiten, Hierarchien sowie Kommunikations- und Entscheidungswege, die von dem täglichen Normalbetrieb abweichen können.
; Störung, Notfall und Krise
{{:BSI/200-4/02 Einführung/Begriffe}}
[[Datei:Img-018-016.png|mini|500px]]
Um zu verdeutlichen, welche Schadensereignisse durch das BCM behandelt werden, werden im Folgenden die Begriffe '''Störung''', '''Notfall''' und '''Krise''' voneinander abgegrenzt.
; Störung
=== Störung, Notfall und Krise ===
Eine '''Störung''' ist eine Situation, in der Prozesse oder Ressourcen nicht wie vorgesehen zur Verfügung stehen.
Schadensereignisse, die durch [[BCM]] behandelt werden
* Störungen werden in der Regel innerhalb des Normalbetriebs durch die AAO der Institution behoben.
* Hierzu wird auf vorhandene Prozesse zur Störungsbeseitigung oder des Vorfallmanagements (auch Incident-Management genannt) zurückgegriffen.
* Daher sind Störungen nicht Betrachtungsgegenstand dieses Standards.
Störungen können jedoch zu einem Notfall eskalieren, wenn sie nicht in einer angemessenen Zeit behoben werden können.
; Abgrenzung
[[Datei:Img-018-016.png|600px]]
; Notfall
{{:BCMS/Eskalation}}
Ein '''Notfall''' im Sinne dieses Standards ist eine Unterbrechung des Geschäftsbetriebs, die mindestens einen zeitkritischen Geschäftsprozess betrifft, der nicht im Normalbetrieb innerhalb der maximal tolerierbaren Ausfallzeit wiederhergestellt werden kann (siehe Kapitel 6.2 Konkretisierung des Begriffs zeitkritisch (R+A)).
* Im Gegensatz zu Störungen wird zur Bewältigung von Notfällen eine BAO benötigt.
* Im Gegensatz zur Krise liegen geeignete Pläne zur Bewältigung vor oder bestehende Pläne können adaptiert werden.
* Der Notfall kann auch ausgerufen werden, bevor das Schadensereignis zu einer Unterbrechung des Geschäftsbetriebs führt, um schnell reagieren zu können.
* Es genügt die Gefahr, dass durch das Schadensereignis der Geschäftsbetrieb unterbrochen wird.
; Hinweis
== Managementsystem ==
Der Begriff Notfall wird hier im Kontext BCM definiert.
* In anderen Themengebieten kann es abweichende Definitionen eines Notfalls geben, z. B. im Sinne des Brandschutzes oder Schutz von Leib und Leben.
* Wenn im BSI-Standard 200-4 nachfolgend von Notfall gesprochen wird, ist immer der BCM-Notfall gemeint.
; Krise
Als '''Krise''' im Sinne dieses Standards wird ein Schadensereignis bezeichnet, das sich in erheblicher Weise negativ auf die Institution auswirkt und dessen Auswirkungen auf die Institution nicht im Normalbetrieb bewältigt werden können.
* Im Gegensatz zu einem Notfall liegen zur Bewältigung einer Krise jedoch keine spezifischen Notfallpläne vor.
Vorhandene Notfallpläne können nicht oder nur bedingt adaptiert werden oder greifen schlicht nicht.
* Innerhalb der Institution wird die Krise durch eingeleitete Maßnahmen der BAO bewältigt.
Krisen können unmittelbar auftreten oder aus einer Störung oder einem Notfall heraus eskalieren.
* Das BCM trägt dazu bei, Krisen, die den Geschäftsbetrieb der Institution beeinträchtigen, mithilfe der BAO operativ zu bewältigen (siehe Glossar, Definition Krisenmanagement).
* Zudem können mithilfe der BAO auch die Folgen solcher Schadensereignisse bewältigt werden, die zwar nicht unmittelbar den Geschäftsbetrieb betreffen, jedoch aufgrund ihrer massiven Auswirkungen auf die Institution gesondert behandelt werden müssen.
Es ist möglich, dass sich Krisen nicht nur ausschließlich auf die eigene Institution und die Geschäftspartner und -partnerinnen, sondern auch darüber hinaus auswirken.
* In der Bewältigung treten dann gegebenenfalls weitere Parteien in Erscheinung, wie Aufsichtsbehörden oder Behörden und Organisationen mit Sicherheitsaufgaben (BOS), wie z. B. Polizei und Feuerwehr.
* Krisen, wie z. B. Großschadenslagen oder Ereignisse im Spannungs- und Verteidigungsfall, werden in diesem Standard explizit nicht beschrieben.
* Diese Ereignisarten werden als externe Randbedingungen für die Bewältigung der eigenen Betroffenheit aufgefasst und nicht näher erläutert.
; Katastrophe
In diesem Standard wird der Begriff '''Katastrophe''' nicht definiert, weil es hierzu bereits Legaldefinitionen der Länder (z. B. § 2 des Katastrophenschutzgesetzes des Landes Berlin(siehe [BRLN]) oder § 1 des Gesetzes über den Katastrophenschutz des Landes Baden-Württemberg (siehe [BW2])) und des Bundes gibt (z. B. Definition gemäß BBK-Glossar (siehe [BBK1])).
* BCM behandelt die Auswirkung von Schadensereignissen auf die eigene Institution.
* Da der Umgang innerhalb der Institution mit einer Katastrophe nicht anders ist als mit einer Krise, wird innerhalb dieses Standards auch nicht zwischen Krise und Katastrophe unterschieden.
Weitere wesentliche Begriffe, die zusätzlich relevant zum Verständnis dieses Standards sind, werden innerhalb des Glossars definiert (siehe Anhang B: Hinweise zu den Hilfsmitteln).
BCM und Informationssicherheit haben zahlreiche Schnittstellen
{{:BSI/200-4/02 Einführung/Normen und Standards}}
* BSI-Standard 200-4 ergänzt die BSI-Standards der 200-x-Reihe
{| class="wikitable options big"
! BSI-Standard !! Titel !! Beschreibung
|-
| 200-1 || Managementsysteme für Informationssicherheit (ISMS) || Allgemeinen Anforderungen an ein ISMS
* Methoden mit welchen Informationssicherheit in einer Institution generell initiiert wird
|-
| 200-2 || IT-Grundschutz-Methodik || Aufbau und den Betrieb eines Managementsystems für Informationssicherheit
* Schritte der IT-Grundschutz-Vorgehensweise zur Erstellung einer Sicherheitskonzeption
|-
| 200-3 || Risikoanalyse auf der Basis von IT-Grundschutz || Aufbauend auf der IT-Grundschutz-Vorgehensweise eine vereinfachte Analyse von Risiken für die Informationsverarbeitung
* Basiert auf den elementaren Gefährdungen, die im IT-Grundschutz-Kompendium beschrieben sind, und auf deren Basis auch die IT-Grundschutz-Bausteine erstellt werden
* Kann auch im Rahmen der BCM-Risikoanalyse des BSI-Standards 200-4 angewendet werden
|}
=== Good Practice Guidelines ===
; Umsetzungshilfe im BCM
Good Practice Guidelines (GPG)
* des Business Continuity Institute
* Ziel ist, einen hohen Standard im Bereich des BCM zu setzen und Kompetenz aufzubauen
* Erstmal im Jahre 2002
* Regelmäßig aktualisiert und optimiert
* Liegt in mehrere Sprachen übersetzt vor
=== Leitfaden Krisenkommunikation ===
== Stufenmodell ==
; Leitfaden Krisenkommunikation des Bundesministeriums des Innern
'''{{:Stufenmodell}}'''
Interne und externe Krisenkommunikation
== BCMS-Prozess ==
* planen
=== [[PDCA]]-Struktur ===
* aufzubauen
* optimieren
Anleitung
* wie die Anforderungen in der Krisenkommunikation analysiert werden können
Musteraufbau
* um einen Krisenkommunikationsplan zu erarbeiten
=== ITIL ===
ITIL (Information Technology Infrastructure Library) wird von AXELOS herausgegeben, gepflegt und weiterentwickelt
* ITIL erläutert, wie Institutionen anhand von Technologien und Werkzeugen das Servicemanagement digital transformieren können.
* Sie berücksichtigt aktuelle Trends wie Agile Softwareentwicklung, DevOps und Lean ITManagement.
Da in der Praxis der IT-Betrieb häufig nach ITIL ausgerichtet ist, kann das BCM auf diese Strukturen zurückgreifen, insbesondere auf das Incident und das IT-Service Continuity Management.
=== Leitfäden der Bundesländer zum Krisenmanagement ===
Verschiedene Bundesländer veröffentlichen länderspezifische Leitfäden zum Krisenmanagement, z. B:
* Leitfaden Krisenmanagement durch Krisenstäbe im Land Nordrhein-Westfalen bei Großeinsatzlagen, Krisen und Katastrophen
* Verwaltungsvorschrift der Landesregierung und der Ministerien zur Bildung von Stäben bei außergewöhnlichen Ereignissen und Katastrophen des Landes Baden-Württemberg
| Nachteile || Lücken in der Absicherung von Bereichen, die nicht/teilweise betrachtet werden || Bereiche, die in der Absicherung der Institution nicht betrachtet werden || Größerer Ressourcenbedarf je Zyklus
|}
; Methodik
Die Methodik kann im Reaktiv-BCMS vereinfacht werden, indem diejenigen Analysemethoden zeitlich zurückgestellt werden, die der detaillierteren Analyse der Rahmenbedingungen des BCMS oder der Notfallvorsorge dienen
* Detaillierte Analysen werden dann erst in einer der beiden nachfolgenden Stufen mit vollständiger Methodik bearbeitet
* In der vollständigen Methodik, die im Aufbau- und Standard-BCMS angewendet wird, werden Aspekte der Notfallvorsorge und der Notfallbewältigung gleichermaßen berücksichtigt
* Auch die jeweiligen Methoden der einzelnen BCMS-Prozessschritte sind im Aufbau- und Standard-BCMS erweitert, um detailliertere Ergebnisse zu ermöglichen
* In diesem beiden Stufen mit vollständiger Methodik kann so zum einen das BCMS deutlich effektiver und zielgerichteter aufgebaut werden
* Zum anderen kann die BAO konkreter und bedarfsorientierter definiert werden.
; GP-Umfang (Geschäftsprozessumfang)
Im Rahmen der Initiierung des BCMS wird dessen Geltungsbereich festgelegt
* Unabhängig vom Geltungsbereich des BCMS kann anhand eines eingeschränkten GP-Umfangs der Ressourcenaufwand zunächst reduziert werden (Reaktiv- und Aufbau-BCMS)
* Anschließend kann der GP-Umfang mit jedem weiteren Zyklus schrittweise gesteigert werden, bis alle Geschäftsprozesse im Geltungsbereich des BCMS betrachtet werden (Standard-BCMS).
== Übersicht über den BCMS-Prozess ==
; PDCA-Struktur des BCMS-Prozesses
[[Datei:Img-044-060.png|600px]]
[[Datei:Img-044-060.png|600px]]
=== Gesamtübersicht ===
; Gegenüberstellung der BCMS-Stufen anhand verschiedener Kriterien
Einschränkungen, Unterbrechungen oder Ausfälle des Geschäftsbetriebs können so gravierend sein, dass sie nicht mehr durch die AAO und deren Strukturen zu bewältigen sind.
die von dem täglichen Normalbetrieb abweichen können.
7
Detaillierung
Mittlere Detaillierungsebene ausreichend
Für die im BCM betrachteten Geschäftsprozesse ist eine mittlere Detaillierungsebene ausreichend
Eine feingliedrige Beschreibung der Einzeltätigkeiten, wie sie beispielsweise in der Organisationsanalyse anhand einer Prozessmodellierung erhoben und dokumentiert werden, sind für das BCM nicht notwendig.
