BSI/200-4/11 Geschäftsfortführung/Vorbereitung

BSI/200-4/11 Geschäftsfortführung/Vorbereitung

Vorbereitung

Vorbereitung der GFP s

Vorlage und Terminplanung der GFP s

• Wie sollen die GFP s dokumentiert werden?
• Welche Informationen sind bereits vorab bekannt?
• Wer erstellt die GFP s?
• Wann und in welchem Modus sollen die GFP s erstellt werden?

Effektive Vorbereitung

Eine effektive Vorbereitung der [[ GFP ]] ist die Voraussetzung dafür, dass

• die [[ GFP ]] effizient, vergleichbar und valide erstellt werden können,
• die Teilnehmenden optimal auf die Fragestellungen vorbereitet werden,
• die Verfügbarkeit der Pläne im Notfall gewährleistet ist sowie
• im Notfall die Leser die [[ GFP ]] gut lesen und schnell anwenden können.

Es ist empfehlenswert, dass die Vorbereitung durch die Rolle BCB erfolgt, da diese über das notwendige Fachwissen zum BCM-Prozess verfügt und diesen zeitlich steuert.

• Der oder die BCB kann vorbereitende Tätigkeiten ganz oder teilweise an weitere Rollen im BCM delegieren, z. B. an lokale BCBs, BCKs oder ein BC-Vorsorgeteam.

Aufteilung

Struktur der Institution

Es ist wichtig, dass der oder die BCB festlegt, wie die [[ GFP ]] im Hinblick auf die zugrundeliegende Struktur der Institution aufgeteilt werden sollen

• Es gibt viele Möglichkeiten, wie Geschäftsfortführungspläne organisatorisch aufgeteilt werden könnten
• So könnte ein [[ GFP ]] je Geschäftsprozess oder Organisationseinheit erstellt werden
• Ferner könnten [[ GFP ]] auch weiter anhand von Ausfallszenarien aufgeteilt werden

Anschauliche Übersicht

Entscheidend für eine schnelle Reaktion ist jedoch, dass

• eine anschauliche Übersicht über die zeitkritischen Geschäftsprozesse und Ressourcen ermöglicht wird
• die Zuständigkeiten der im [[ GFP ]] beschriebenen Maßnahmen möglichst klar geregelt sind.

Hierbei hat es sich in der Praxis bewährt, einen [[ GFP ]] je Organisationseinheit zu erstellen.

Dieses Vorgehen bietet viele Vorteile

• Die zuständigen Kontaktpersonen, die den [[ GFP ]] erstellen und aktualisieren, können eindeutig der Organisationseinheit zugeordnet werden
• Zudem wird eine überschaubare Anzahl an Dokumenten erzeugt und die [[ GFP ]] spiegeln die vertraute Organisationsstruktur wider
• Die [[ GFP ]] lassen sich so leichter voneinander abgrenzen.

Im Einzelfall kann es sinnvoll sein, von dieser Struktur abzuweichen

• Dies ist etwa der Fall, wenn
  • Verantwortungs- und Tätigkeitsbereiche nicht klar voneinander abgrenzbar sind, z. B. in einer Matrix-Organisation, oder
  • Organisationseinheiten standortübergreifend agieren und auf unterschiedliche Ressourcen zugreifen.

Länderspezifische Anforderungen

Zusätzlich können länderspezifische Anforderungen und Gegebenheiten unter Umständen dazu führen, dass für gleiche Geschäftsprozesse und Ressourcen im [[ GFP ]] unterschiedliche Notfallmaßnahmen an unterschiedlichen Standorten beschrieben werden müssen.

Hinweis

Ob die [[ GFP ]] sinnvoll aufgeteilt und voneinander abgegrenzt wurden, kann mitunter erst im Rahmen der Erstellung der [[ GFP ]] fundiert bewertet werden

• Der oder die BCB sollte daher die Aufteilung der [[ GFP ]] im Rahmen der Erstellung der [[ GFP ]] mit den entsprechenden Kontaktpersonen diskutieren und gegebenenfalls den Geltungsbereich des [[ GFP ]] anpassen oder in mehrere [[ GFP ]] aufteilen.

Dokumentvorlage

Erstellung einer Dokumentvorlage

Um die Geschäftsfortführung im Notfall zu erleichtern, sollte der oder die BCB sicherstellen, dass die [[ GFP ]]s einheitlich aufgebaut und nachvollziehbar dokumentiert sind

• Hierzu sollte eine [[ GFP ]]-Dokumentvorlage erstellt werden

Aspekte der Dokumentvorlage

Aspekt	Beschreibung
Geltungsbereich	Beschreibt den organisatorischen und räumlichen Bereich, in welchem die Maßnahmen und Verfahren eines [[ GFP ]] gelten Die Beschreibung des Geltungsbereichs stellt sicher, dass der [[ GFP ]] sowie die darin beschriebenen Maßnahmen ausschließlich in dem für ihn vorgesehenen Umfeld eingesetzt werden Es könnte z. B. vorkommen, dass die beschriebenen Maßnahmen nicht in anderen Organisationseinheiten oder Standorten eingesetzt werden können oder den dort notwendigen Maßnahmen widersprechen.
Zielstellung	Beschreibt, was durch den [[ GFP ]] erreicht werden soll und was explizit nicht durch den [[ GFP ]] forciert wird Die Beschreibung der Zielstellung stellt sicher, dass der [[ GFP ]] nur zu seinem gedachten Zweck eingesetzt wird und nicht etwa im Rahmen des Normalbetriebs zweckentfremdet oder mit anderen Themen vermischt wird.
Aktivierungsprozess	Beschreibt die gesonderten Rechte und Pflichten der Mitarbeitenden sowie die besonderen Melde- und Berichtspflichten werden im Kapitel Festlegung übergreifender Maßnahmen erläutert
Zeitkritische Geschäftsprozesse	Innerhalb des [[ GFP ]] müssen alle zeitkritischen Geschäftsprozesse einer Organisationseinheit sowie deren MTPD und RTO dokumentiert werden Die Dokumentation hat zum Ziel, dem Stab im Notfall eine Übersicht über die zeitkritischen Geschäftsprozesse im Geltungsbereich sowie deren MTPD und RTO zu verschaffen Die Auflistung schafft Transparenz über die bestehenden zeitkritischen Geschäftsprozesse sowie über die zeitliche Reihenfolge, in welcher diese wieder in einem Notbetrieb anlaufen müssen.
Abhängigkeiten	Zusätzlich müssen die identifizierten Abhängigkeiten zwischen zeitkritischen Geschäftsprozessen dokumentiert werden Hierunter fallen auch prozessuale Abhängigkeiten, die etwa zwischen Organisationseinheiten bestehen Dadurch ist es möglich, im Notfall schnell festzustellen, welche Geschäftsprozesse durch einen vor- oder nachgelagerten oder parallelen Prozessausfall betroffen sind Die Tätigkeiten im Notbetrieb können so leichter institutionsweit priorisiert werden.
zeitkritischen Ressourcen	Alle zeitkritischen Ressourcen der betrachteten Organisationseinheit sowie die identifizierten RTAs und RTOs sowie die RPOs und RPAs müssen innerhalb des [[ GFP ]] dokumentiert werden Aufgeteilt nach möglichem Ressourcenausfall müssen innerhalb des [[ GFP ]] Notfallmaßnahmen abgeleitet werden, wie die Organisationseinheit mit den im Rahmen der Wiederanlaufplanung bereitgestellten Ressourcen arbeitet Die Notfallmaßnahmen zielen darauf ab, die Geschäftsprozesse bei Ausfall der Ressourcen innerhalb der RTO auf dem vorgegebenen Notbetriebsniveau fortzuführen.
Kontakte	Innerhalb des [[ GFP ]] müssen sämtliche internen sowie externen Kontakte dokumentiert werden, die im Rahmen der Geschäftsfortführung relevant sind, vor allem im Notfall erreichbare Telefonnummern Dies sind z. B. die Kontaktdaten von Mitarbeitenden aus anderen Fachbereichen, von internen oder externen Fachleuten sowie von innerhalb der Organisationseinheit benötigten Dienstleistungsunternehmen Die Dokumentation der relevanten Kontakte ermöglicht einen schnellen Zugriff auf die entsprechenden Stellen sowie eine Unabhängigkeit von anderen, möglicherweise nicht verfügbaren Kontakt-Quellen wie digitalen Telefonbüchern Sofern die Kontakt-Informationen bereits ausfallsicher an anderer Stelle dokumentiert sind, genügt es, im [[ GFP ]] die Kontakt-Informationen zu referenzieren und im Notfall verfügbar zu machen.
Relevanten Dokumente	Innerhalb des [[ GFP ]] sollten alle zur Geschäftsfortführung relevanten Dokumente sowie ihre jeweiligen Ablageorte notiert werden Mögliche Dokumente sind etwa Prozessbeschreibungen oder Handlungsanweisungen In einem Notfall kann durch die zielgerichteten Verweise schnell auf die relevante Information in den jeweiligen Dokumenten zugegriffen werden Voraussetzung ist, dass die für die Notfallbewältigung benötigten Dokumente schnell zu erfassen sind und konkrete Notfallmaßnahmen leicht daraus abgeleitet werden können Es muss sichergestellt werden, dass die Ablageorte entsprechend dem Schutzbedarf abgesichert und auch im Notfall zugänglich sind.

Vorausfüllen

Vorausfüllen der [[ GFP ]]

Es ist empfehlenswert, dass die erstellte GFP -Vorlage mit den bereits bekannten Informa­tionen aus BIA und Soll-Ist-Vergleich je Geltungsbereich vorausgefüllt wird.

Be­reits bekannten Informationen

• Geltungsbereich des GFP
• zeitkritischen Geschäftsprozesse in diesem Geltungsbereich
• Abhängigkeiten zu diesen zeitkritischen Geschäftsprozessen
• MTPD, die RTO und das Notbetriebsniveau jedes gelisteten Geschäftsprozesses
• zeitkritischen Ressourcen mit ihrer jeweiligen RTA, RTO sowie RPA und RPO

Um ursachenbasiert konkrete Notfallmaßnahmen zu beschreiben, bietet es sich in einem [[ GFP ]] an, die relevanten Informationen den Ressourcenkategorien zuzuordnen.

• Dies er­laubt einen schnellen Zugriff auf die Informationen im Notfall.

Planung der GFP -Erstellung

Workshops

Die Geschäftsfortführungsplanung kann weitestgehend analog zum Vorgehen in der BIA organisiert werden.

• Insbesondere, wenn [[ GFP ]] erstmalig erstellt werden, ist es empfehlenswert, dass der oder die BCB dies im Rahmen von Workshops durchführt.
• Er oder sie kann hierbei die Methodik und die Inhal­te des [[ GFP ]] erläutern und den Workshop moderieren.

Teilnehmer

Es ist empfehlenswert, dass die gleichen Personen wie in den vorangegangenen Schrit­ten zur BIA am Workshop teilnehmen.

• Dieser Personenkreis verfügt in der Regel über umfangreiches Wissen über die Geschäftsprozesse und die dafür benötigten Ressourcen und kann entsprechend qualitative Aussagen zur Geschäftsfortführung tätigen.
• Der Teil­nehmendenkreis bleibt so überschaubar, kann jedoch bei Bedarf durch weitere Prozess- und Ressourcenfachleute ergänzt werden.

---

← Zurück

Weiter →

---