BSI/200-4/02 Einführung

---

← Zurück

Weiter →

---

BSI/200-4/02 Einführung

Einführung

Einführung in BSI/200-4

Betriebskontinuitätsmanagement (BKM)

Sicherstellung des Fortbestands von Einrichtungen

• bei Risiken mit hohem Schadensausmaß

Fokus des BCM

Zeitkritischen Geschäftsprozesse

• Zeitkritische Geschäftsprozesse
• die gegen Ausfälle abgesichert werden sollen

Begriffe

Geschäftsprozess
Zeitkritisch
Allgemeine Aufbauorganisation (AAO)
Besondere Aufbauorganisation (BAO)

Geschäftsprozess

Definition

Ein Geschäftsprozess (Fachaufgaben)

• im Sinne des BCM
• Menge logisch verknüpfter Einzeltätigkeiten
  • Aufgaben
  • Arbeitsabläufe

die durch Organisationseinheiten (OEs) ausgeführt werden

• um ein bestimmtes betriebliches Ziel zu erreichen

Im behördlichen Umfeld ist der Begriff Fachaufgabe dafür geläufiger

Allgemeine Aufbauorganisation

Üblicherweise werden Schadensereignisse durch die Allgemeine Aufbauorganisation (AAO) im täglichen Dienst- bzw. Geschäftsbetrieb (Normalbetrieb) bewältigt.

• Die AAO ist die ständige Organisationsform der Institution für die Aufgaben des täglichen Service- bzw. Geschäftsbetriebs.
• Für die AAO sind die Zuständigkeiten, der hierarchische Aufbau sowie die Kommunikations- und Entscheidungswege festgelegt.

Besondere Aufbauorganisation

Besondere Aufbauorganisation (BAO)

Einschränkungen, Unterbrechungen oder Ausfälle des Geschäftsbetriebs können so gravierend sein, dass sie nicht mehr durch die AAO und deren Strukturen zu bewältigen sind.

• In diesem Fall wird in der Regel eine Besondere Aufbauorganisation (BAO) eingesetzt.

Was ist eine Besondere Aufbauorganisation?

Die BAO ist

• eine zeitlich begrenzte Organisationsform
• die auf außergewöhnliche Situationen angemessen und schnell reagieren kann

Besonderheiten

Innerhalb der BAO gelten zeitlich begrenzte

• Zuständigkeiten
• Hierarchien
• Kommunikations- und Entscheidungswege

die von dem täglichen Normalbetrieb abweichen können. 7

Detaillierung

Mittlere Detaillierungsebene ausreichend

Für die im BCM betrachteten Geschäftsprozesse ist eine mittlere Detaillierungsebene ausreichend

• Eine feingliedrige Beschreibung der Einzeltätigkeiten, wie sie beispielsweise in der Organisationsanalyse anhand einer Prozessmodellierung erhoben und dokumentiert werden, sind für das BCM nicht notwendig.

Zeitkritischer Geschäftsprozesse

Ausfall zeitkritischer Geschäftsprozesse

• innerhalb eines zuvor festgelegten Zeitraums
• nicht tolerierbaren Schaden

Beispiel

Ein Ausfall, der gegen entsprechende regulatorische Anforderungen verstößt, kann zu existenzbedrohenden Folgen führen

Abhängigkeiten

Falls andere Geschäftsprozesse benötigt werden, um die zeitkritischen Geschäftsprozesse aufrecht zu erhalten

• Unterstützungsprozesse
• Ressourcen
  • Personal
  • IT-Systeme
  • Dienstleistungen

müssen auch diese als zeitkritisch angesehen werden

Zeitkritisch <> wichtig

Hingegen kann es in einer Institution auch Geschäftsprozesse geben, die im Alltag sehr wichtig, aber nicht zeitkritisch sind

Störung, Notfall und Krise

Schadensereignisse, die durch BCM behandelt werden

Abgrenzung

Bereich	Stufe	Beschreibung
Extern	Katastrophe	Großschadenereignis Über eigene Organisation hinaus Katastrophenschutz
Katastrophenschwelle
Intern	Krise	Massive Unterbrechung Mindestens ein (zeit-)kritischer Prozess Notfallplan liegt nicht vor greift nicht Erweiterte Befugnisse der BAO
	Krisenschwelle
	Notfall	Erhebliche Unterbrechung Mindestens ein (zeit-)kritischer Prozess Aktivierung der BAO erforderlich Notfallpläne liegen vor können angepasst werden
	Notfallschwelle
	Störung	Prozess/Ressource Steht nicht zur Verfügung Innerhalb des Normalbetriebs behebbar Keine Aktivierung der BAO erforderlich
	Normal	überwachten Parameter sind innerhalb der definierten Grenzen

Notfall

Notfall

im Sinne von BSI-Standard 200-4

• Unterbrechung des Geschäftsbetriebs
• Mindestens ein zeitkritischer Geschäftsprozess betroffen
• Kann im Normalbetrieb nicht innerhalb der maximal tolerierbaren Ausfallzeit wiederhergestellt werden

Abgrenzung Störung

Zur Bewältigung von Notfällen wird eine BAO benötigt

• im Gegensatz zu Störungen

Abgrenzung Krise

Im Gegensatz zur Krise liegen geeignete Pläne zur Bewältigung vor oder bestehende Pläne können adaptiert werden

Ausrufung

• Der Notfall kann auch ausgerufen werden, bevor das Schadensereignis zu einer Unterbrechung des Geschäftsbetriebs führt, um schnell reagieren zu können
• Es genügt die Gefahr, dass durch das Schadensereignis der Geschäftsbetrieb unterbrochen wird

Hinweis

Der Begriff Notfall wird hier im Kontext BCM definiert

• In anderen Themengebieten kann es abweichende Definitionen eines Notfalls geben, beispielsweise im Sinne des Brandschutzes oder Schutz von Leib und Leben
• Wenn im BSI-Standard 200-4 von Notfall gesprochen wird, ist immer der BCM-Notfall gemeint

Krise

Krise

Krise

Schadensereignis

• wirkt sich in erheblicher Weise negativ auf die Institution aus
• Auswirkungen können nicht im Normalbetrieb bewältigt werden

Abgrenzung Notfall

Im Gegensatz zu einem Notfall liegen zur Bewältigung einer Krise jedoch keine spezifischen Notfallpläne vor

• Vorhandene Notfallpläne können nicht oder nur bedingt adaptiert werden oder greifen schlicht nicht
• Innerhalb der Institution wird die Krise durch eingeleitete Maßnahmen der BAO bewältigt

Entstehung von Kriesen

Krisen können unmittelbar auftreten oder aus einer Störung oder einem Notfall heraus eskalieren

• Das BCM trägt dazu bei, Krisen, die den Geschäftsbetrieb der Institution beeinträchtigen, mithilfe der BAO operativ zu bewältigen (siehe Glossar, Definition Krisenmanagement)
• Zudem können mithilfe der BAO auch die Folgen solcher Schadensereignisse bewältigt werden, die zwar nicht unmittelbar den Geschäftsbetrieb betreffen, jedoch aufgrund ihrer massiven Auswirkungen auf die Institution gesondert behandelt werden müssen

Eskalation

Es ist möglich, dass sich Krisen nicht nur ausschließlich auf die eigene Institution und die Geschäftspartner und -partnerinnen, sondern auch darüber hinaus auswirken

• In der Bewältigung treten dann gegebenenfalls weitere Parteien in Erscheinung, wie Aufsichtsbehörden oder Behörden und Organisationen mit Sicherheitsaufgaben (BOS), wie beispielsweise Polizei und Feuerwehr
• Krisen, wie beispielsweise Großschadenslagen oder Ereignisse im Spannungs- und Verteidigungsfall, werden in diesem Standard explizit nicht beschrieben
• Diese Ereignisarten werden als externe Randbedingungen für die Bewältigung der eigenen Betroffenheit aufgefasst und nicht näher erläutert

Katastrophe

Katastrophe wird nicht in BSI/200-4 definiert

• Legaldefinitionen der Länder und des Bundes
  • § 2 des Katastrophenschutzgesetzes des Landes Berlin
  • § 1 des Gesetzes über den Katastrophenschutz des Landes Baden-Württemberg
  • Definition gemäß BBK-Glossar
  • ...

BCM behandelt die Auswirkung von Schadensereignissen auf die eigene Institution

• Da der Umgang innerhalb der Institution mit einer Katastrophe nicht anders ist als mit einer Krise, wird innerhalb dieses Standards auch nicht zwischen Krise und Katastrophe unterschieden

Managementsystem

Strategien, Plänen und Handlungen

BCMS etablieren	Rahmenbedingungen, Aufbau- und Ablauforganisation
Kritische Prozesse ermitteln	Prozesse mit ernsthafte Schäden oder vernichtenden Verlusten bei Unterbrechung
Kritische Prozesse absichern	Schützen und alternative Abläufe ermöglichen

BCMS-Bestandteile

PDCA-Zyklus eines Managementsystems

Bewältigung

Ablauf Bewältigung

Mit und ohne BCM

Bewältigung eines schwerwiegenden Schadensereignisses mit und ohne BCM

Mit BCM

Ablauf der Bewältigung mit BCM

Abgrenzung und Synergien

Informationssicherheit

• Strukturanalyse
• Feststellung des Schutzbedarfs nach IT-Grundschutz und Business-Impact-Analyse
• Risikoanalyse und -behandlung
• Maßnahmen
• Notfallbewältigung
• Unterschiede zwischen dem BCM und der Informationssicherheit

Normen und Standards

Überblick

BCMS Standards

BSI/200-4/02 Einführung/Normen und Standards/ISO 22300

Schnittstellen

ITIL

ITIL (Information Technology Infrastructure Library)

Von AXELOS herausgegeben, gepflegt und weiterentwickelt

• Erläutert, wie Institutionen anhand von Technologien und Werkzeugen das Servicemanagement digital transformieren können

Berücksichtigt aktuelle Trends

• Agile Softwareentwicklung
• DevOps
• Lean IT-Management

Übernahme von Ergebnissen

Wenn ein IT-Betrieb an ITIL ausgerichtet ist, kann auf diese Strukturen zurückgegriffen werden

• Incident Management
• IT-Service Continuity Management
• ...

Umsetzungshilfen

Good Practice Guidelines

Umsetzungshilfen

Good Practice Guidelines (GPG)

• Herausgegeben vom Business Continuity Institute
• Erstmals im Jahre 2002
• Regelmäßig aktualisiert und optimiert
• In mehrere Sprachen übersetzt

Ziele

• Hohen Standard des BCM setzen
• Kompetenz aufzubauen

BSI-Standards

BSI/Standard - Vom BSI veröffentlichte Standards

Übersicht

Standards
200-1	Anforderungen an ein ISMS
200-2	Umsetzung der Anforderungen
200-3	Risikoanalyse
200-4	Business Continuity Management
Kompendium
Kapitel 1	Vorspann
Kapitel 2	Schichtenmodell / Modellierung
Elementare Gefährdungen	Elementare Gefährdungen
Schichten	Prozesse Systeme

Version 200

Standard	Titel	Beschreibung
200-1	Managementsysteme für Informationssicherheit	Managementsysteme für Informationssicherheit (ISMS) Allgemeine Anforderungen an ein ISMS Methoden zur Initiierung der Informationssicherheit in einer Institution
200-2	IT-Grundschutz-Methodik	Aufbau und Betrieb eines Managementsystems für Informationssicherheit Schritte der IT-Grundschutz-Vorgehensweise zur Erstellung einer Sicherheitskonzeption
200-3	Risikomanagement	Risikoanalyse auf der Basis von IT-Grundschutz Aufbauend auf der IT-Grundschutz-Vorgehensweise Vereinfachte Analyse von Risiken für die Informationsverarbeitung Basiert auf den elementaren Gefährdungen Kann im Rahmen der BCM-Risikoanalyse angewendet werden
200-4	Business Continuity Management	BCM und Informationssicherheit haben zahlreiche Schnittstellen

Behörden

Leitfaden Krisenkommunikation

Leitfaden Krisenkommunikation des Bundesministeriums des Innern

Krisenkommunikation analysieren und Krisenkommunikationsplan erarbeiten

• planen
• aufzubauen
• optimieren

Leitfäden der Bundesländer

Verschiedene Bundesländer veröffentlichen länderspezifische Leitfäden zum Krisenmanagement

Bundesland	Dokument
Nordrhein-Westfalen	Leitfaden Krisenmanagement durch Krisenstäbe im Land Nordrhein-Westfalen bei Großeinsatzlagen, Krisen und Katastrophen
Baden-Württemberg	Verwaltungsvorschrift der Landesregierung und der Ministerien zur Bildung von Stäben bei außergewöhnlichen Ereignissen und Katastrophen des Landes Baden-Württemberg

Stufenmodell

Stufenmodell

BCMS-Prozess

PDCA-Struktur

Gesamtübersicht

Umsetzungsreihenfolge der Do-Phase

---

← Zurück

Weiter →

---

Anhang

Siehe auch

• BSI/200-4
• BSI/200-4/02 Einführung
• BSI/200-4/02 Einführung/Begriffe
• BSI/200-4/02 Einführung/Normen und Standards
• BSI/200-4/02 Einführung/Stufenmodell
• BSI/200-4/03 Initiierung
• BSI/200-4/04 Konzeption und Planung
• BSI/200-4/05 Aufbauorganisation
• BSI/200-4/05 Besondere Aufbauorganisation
• BSI/200-4/06 BIA-Vorfilter
• BSI/200-4/07 Business Impact Analyse
• BSI/200-4/08 Soll-Ist-Vergleich
• BSI/200-4/09 Risikoanalyse
• BSI/200-4/10 Business-Continuity-Strategie
• BSI/200-4/11 Geschäftsfortführung
• BSI/200-4/11 Geschäftsfortführung/Erstellung
• BSI/200-4/11 Geschäftsfortführung/Qualitätssicherung und Freigabe
• BSI/200-4/11 Geschäftsfortführung/Vorbereitung
• BSI/200-4/12 Wiederanlauf
• BSI/200-4/12 Wiederanlauf/Erstellung
• BSI/200-4/12 Wiederanlauf/Freigabe
• BSI/200-4/12 Wiederanlauf/Qualitätssicherung
• BSI/200-4/12 Wiederanlauf/Vorbereitung
• BSI/200-4/13 Üben und Testen
• BSI/200-4/14 Leistungsüberprüfung und Berichterstattung
• BSI/200-4/15 Aufrechterhaltung und Verbesserung
• BSI/200-4/7 Business Impact Analyse
• BSI/200-4/Anhang
• BSI/200-4/Business Impact Analyse