Zum Inhalt springen

BSI/200-4/03 Initiierung: Unterschied zwischen den Versionen

Aus Foxwiki
Versionsgeschichte interaktiv durchsuchen
← Zum vorherigen VersionsunterschiedZum nächsten Versionsunterschied →

Dirkwagner (Diskussion | Beiträge)

3 Benutzergruppen
151.635 Bearbeitungen
VisuellWikitext
Keine Bearbeitungszusammenfassung
Zeile 14: Zeile 14:


=== Motivation für den Aufbau eines BCMS ===
=== Motivation für den Aufbau eines BCMS ===
* Gründe für ein BCM identifizieren, dokumentieren
Gründe für ein BCM identifizieren, dokumentieren


; Interne Gründe für ein BCMS
; Interne Gründe für ein BCMS
Zeile 21: Zeile 21:


; Externe Gründe für BCMS
; Externe Gründe für BCMS
* Für die Ressorts und Einrichtungen der Bundesverwaltung gelten die Anforderungen aus
* Für die Ressorts und Einrichtungen der Bundesverwaltung gelten die Anforderungen aus dem Umsetzungsplan Bund
dem Umsetzungsplan Bund
* Gesetzlichen Anforderungen und aus Vorgaben einer Muttergesellschaft
* Gesetzlichen Anforderungen und aus Vorgaben einer Muttergesellschaft
* Verträge mit Kunden und Kundinnen oder Ge­schäftspartnern und -partnerinnen oder deren Erwartungshaltungen
 
Z. B. durch die folgenden Gesetze, Verordnungen und Richtlinien (regulatorische Anfor­
Verträge mit Kunden und Kundinnen oder Ge­schäftspartnern und -partnerinnen oder deren Erwartungshaltungen Z. B. durch die folgenden Gesetze, Verordnungen und Richtlinien (regulatorische Anfor­derungen) ergeben sich für die betroffenen Unternehmen und Behörden Verpflichtun­gen zum BCM:
derungen) ergeben sich für die betroffenen Unternehmen und Behörden Verpflichtun­
* Anforderungen an Aktiengesellschaften (z. B. EU-Richtlinie 2157/2001, Aktiengesetz (AktG))
gen zum BCM:
* Anforderungen an die Kommunikation (z. B. Richtlinie (EU) 2018/1972 über den eu­ropäischen Kodex für die elektronische Kommunikation, Post- und Telekommunika­tionssicherstellungsgesetz (PTSG))
•
* das Börsengesetz (BörsG)
Anforderungen an Aktiengesellschaften (z. B. EU-Richtlinie 2157/2001, Aktiengesetz
* das Arbeitsschutzgesetz (ArbSchG)
(AktG))
* die Störfallverordnung (12. BImSchV – StörfallV)
•
* die Gefahrstoffverordnung (GefStoffV)
Anforderungen an die Kommunikation (z. B. Richtlinie (EU) 2018/1972 über den eu­
* die Betriebssicherheitsverordnung (BetrSichV)
ropäischen Kodex für die elektronische Kommunikation, Post- und Telekommunika­
* die EU-Verordnung über die Risikovorsorge im Elektrizitätssektor (Verordnung (EU) Nr. 2019/941)
tionssicherstellungsgesetz (PTSG))
* die EU-Verordnung über Maßnahmen zur Gewährleistung der sicheren Gasversor­gung (Verordnung (EU) Nr. 2017/1938)
•
* die Richtlinien und Verordnungen für Kritische Infrastrukturen (z. B. EU-Richtlinie 2008/114/EG, BSI-Kritisverordnung (BSI-KritisV)) und das IT-Sicherheitsgesetz
das Börsengesetz (BörsG)
* die Solvency II-Richtlinie (Richtlinie 2009/138/EG), das Versicherungsaufsichtsgesetz (VAG) sowie Mindestanforderungen an die Geschäftsorganisation von Versiche­rungsunternehmen (MaGo) in der Versicherungsbranche
•
* die Empfehlungen des Basler Ausschusses der Bank für Internationalen Zahlungsaus­gleich (BIZ) zur Regulierung von Banken (genannt Basel III) und deren europäischer Umsetzung über die europäische Bankenrichtlinie CRD IV (Richtlinie 2013/36/EU) und der CRR (Verordnung (EU) Nr. 575/2013)
das Arbeitsschutzgesetz (ArbSchG)
* die Mindestanforderungen an das Risikomanagement im Bankenbereich (MaRisk)
•
* die Leitlinien der Europäischen Zentralbank (EZB) im Bankenbereich, wie z. B. die EBA Guidelines on ICT and security risk management (EBA/GL/2019/04)
die Störfallverordnung (12. BImSchV – StörfallV)
•
die Gefahrstoffverordnung (GefStoffV)
•
die Betriebssicherheitsverordnung (BetrSichV)
•
die EU-Verordnung über die Risikovorsorge im Elektrizitätssektor (Verordnung (EU)
Nr. 2019/941)
•
die EU-Verordnung über Maßnahmen zur Gewährleistung der sicheren Gasversor­
gung (Verordnung (EU) Nr. 2017/1938)
•
die Richtlinien und Verordnungen für Kritische Infrastrukturen (z. B. EU-Richtlinie
2008/114/EG, BSI-Kritisverordnung (BSI-KritisV)) und das IT-Sicherheitsgesetz
•
die Solvency II-Richtlinie (Richtlinie 2009/138/EG), das Versicherungsaufsichtsgesetz
(VAG) sowie Mindestanforderungen an die Geschäftsorganisation von Versiche­
rungsunternehmen (MaGo) in der Versicherungsbranche
•
die Empfehlungen des Basler Ausschusses der Bank für Internationalen Zahlungsaus­
gleich (BIZ) zur Regulierung von Banken (genannt Basel III) und deren europäischer
Umsetzung über die europäische Bankenrichtlinie CRD IV (Richtlinie 2013/36/EU)
und der CRR (Verordnung (EU) Nr. 575/2013)
•
die Mindestanforderungen an das Risikomanagement im Bankenbereich (MaRisk)
•
die Leitlinien der Europäischen Zentralbank (EZB) im Bankenbereich, wie z. B. die
EBA Guidelines on ICT and security risk management (EBA/GL/2019/04)


=== Entwicklung der Ziele des BCMS ===
=== Entwicklung der Ziele des BCMS ===
•
* welche Geschäftsziele geschützt werden sollen
welche Geschäftsziele geschützt werden sollen,
* welche Arten von Geschäftsunterbrechungen als existenzbedrohend angesehen werden (grobe Vorgaben hinsichtlich Schadenshöhe und zu betrachtenden Schadensszenarien)
•
* welche Bereitschaft besteht, Risiken einzugehen (Risikobereitschaft)
welche Arten von Geschäftsunterbrechungen als existenzbedrohend angesehen
* in welcher Art und Größenordnung Risiken minimiert werden sollen sowie
werden (grobe Vorgaben hinsichtlich Schadenshöhe und zu betrachtenden Scha­
* was das primäre Ziel der Bewältigung ist.
densszenarien),
•
welche Bereitschaft besteht, Risiken einzugehen (Risikobereitschaft),
•
in welcher Art und Größenordnung Risiken minimiert werden sollen sowie
•
was das primäre Ziel der Bewältigung ist.


=== Abzusichernder Zeitraum durch ein BCMS ===
=== Abzusichernder Zeitraum durch ein BCMS ===
Der abzusichernde Zeitraum
; Muss für die Institution individuell festgelegt werden
muss für die Institution individuell festgelegt werden, da dieser stark von unterschiedli­
Hängt stark von unterschiedlichen Gegebenheiten ab
chen Gegebenheiten abhängt, z. B. von
* der Risikobereitschaft der Institution (Je kürzer der abzusichernde Zeitraum gewählt wird, desto eher muss das Krisenmanagement aktiviert werden.)
•
* dem Zeitraum, über den die Institution ohne Umsätze überlebensfähig ist
der Risikobereitschaft der Institution (Je kürzer der abzusichernde Zeitraum gewählt
* dem Reifegrad des BCMS
wird, desto eher muss das Krisenmanagement aktiviert werden.),
* den vorhandenen oder avisierten Ressourcen des BCMS
•
* der Art und Komplexität des Geschäftszwecks der Institution
dem Zeitraum, über den die Institution ohne Umsätze überlebensfähig ist,
* der Vielfältigkeit und der Verteilung der Geschäftsprozesse über mehrere Standorte
•
* dem Abhängigkeitsverhältnis des Geschäftsbetriebs von Dritten
dem Reifegrad des BCMS,
* dem Umfang und der Detailtiefe der Anforderungen an die Institution sowie
•
* branchenspezifischen Vorgaben.
den vorhandenen oder avisierten Ressourcen des BCMS,
 
•
der Art und Komplexität des Geschäftszwecks der Institution,
•
der Vielfältigkeit und der Verteilung der Geschäftsprozesse über mehrere Standorte,
•
dem Abhängigkeitsverhältnis des Geschäftsbetriebs von Dritten,
•
dem Umfang und der Detailtiefe der Anforderungen an die Institution sowie
•
branchenspezifischen Vorgaben.
In der Praxis ist ein Zeitraum von 14 bis 30 Tagen üblich.
In der Praxis ist ein Zeitraum von 14 bis 30 Tagen üblich.


Version vom 31. Mai 2026, 17:52 Uhr

BSI/200-4/03 Initiierung

Beschreibung

BCM-Prozessschritte zur Initiierung des BCMS durch die Institutionsleitung

Übernahme der Verantwortung durch die Leitungsebene

Zielsetzung

Die Zielsetzung geht vorrangig auf drei Fragen ein:

  • Warum wird in der Institution ein BCM benötigt? (Motivation für den Aufbau eines BCMS)
  • Welche konkreten Ziele werden mit dem BCM verfolgt?
  • Wie lange soll durch das BCM ein Ausfall des Normalbetriebs kompensiert werden? (Abzusichernder Zeitraum durch ein BCM)

Motivation für den Aufbau eines BCMS

Gründe für ein BCM identifizieren, dokumentieren

Interne Gründe für ein BCMS
  • Eigeninteresse einer Institution
  • Überlebensfähigkeit der Institution in Notfällen und Krisen erhöhen
Externe Gründe für BCMS
  • Für die Ressorts und Einrichtungen der Bundesverwaltung gelten die Anforderungen aus dem Umsetzungsplan Bund
  • Gesetzlichen Anforderungen und aus Vorgaben einer Muttergesellschaft

Verträge mit Kunden und Kundinnen oder Ge­schäftspartnern und -partnerinnen oder deren Erwartungshaltungen Z. B. durch die folgenden Gesetze, Verordnungen und Richtlinien (regulatorische Anfor­derungen) ergeben sich für die betroffenen Unternehmen und Behörden Verpflichtun­gen zum BCM:

  • Anforderungen an Aktiengesellschaften (z. B. EU-Richtlinie 2157/2001, Aktiengesetz (AktG))
  • Anforderungen an die Kommunikation (z. B. Richtlinie (EU) 2018/1972 über den eu­ropäischen Kodex für die elektronische Kommunikation, Post- und Telekommunika­tionssicherstellungsgesetz (PTSG))
  • das Börsengesetz (BörsG)
  • das Arbeitsschutzgesetz (ArbSchG)
  • die Störfallverordnung (12. BImSchV – StörfallV)
  • die Gefahrstoffverordnung (GefStoffV)
  • die Betriebssicherheitsverordnung (BetrSichV)
  • die EU-Verordnung über die Risikovorsorge im Elektrizitätssektor (Verordnung (EU) Nr. 2019/941)
  • die EU-Verordnung über Maßnahmen zur Gewährleistung der sicheren Gasversor­gung (Verordnung (EU) Nr. 2017/1938)
  • die Richtlinien und Verordnungen für Kritische Infrastrukturen (z. B. EU-Richtlinie 2008/114/EG, BSI-Kritisverordnung (BSI-KritisV)) und das IT-Sicherheitsgesetz
  • die Solvency II-Richtlinie (Richtlinie 2009/138/EG), das Versicherungsaufsichtsgesetz (VAG) sowie Mindestanforderungen an die Geschäftsorganisation von Versiche­rungsunternehmen (MaGo) in der Versicherungsbranche
  • die Empfehlungen des Basler Ausschusses der Bank für Internationalen Zahlungsaus­gleich (BIZ) zur Regulierung von Banken (genannt Basel III) und deren europäischer Umsetzung über die europäische Bankenrichtlinie CRD IV (Richtlinie 2013/36/EU) und der CRR (Verordnung (EU) Nr. 575/2013)
  • die Mindestanforderungen an das Risikomanagement im Bankenbereich (MaRisk)
  • die Leitlinien der Europäischen Zentralbank (EZB) im Bankenbereich, wie z. B. die EBA Guidelines on ICT and security risk management (EBA/GL/2019/04)

Entwicklung der Ziele des BCMS

  • welche Geschäftsziele geschützt werden sollen
  • welche Arten von Geschäftsunterbrechungen als existenzbedrohend angesehen werden (grobe Vorgaben hinsichtlich Schadenshöhe und zu betrachtenden Schadensszenarien)
  • welche Bereitschaft besteht, Risiken einzugehen (Risikobereitschaft)
  • in welcher Art und Größenordnung Risiken minimiert werden sollen sowie
  • was das primäre Ziel der Bewältigung ist.

Abzusichernder Zeitraum durch ein BCMS

Muss für die Institution individuell festgelegt werden

Hängt stark von unterschiedlichen Gegebenheiten ab

  • der Risikobereitschaft der Institution (Je kürzer der abzusichernde Zeitraum gewählt wird, desto eher muss das Krisenmanagement aktiviert werden.)
  • dem Zeitraum, über den die Institution ohne Umsätze überlebensfähig ist
  • dem Reifegrad des BCMS
  • den vorhandenen oder avisierten Ressourcen des BCMS
  • der Art und Komplexität des Geschäftszwecks der Institution
  • der Vielfältigkeit und der Verteilung der Geschäftsprozesse über mehrere Standorte
  • dem Abhängigkeitsverhältnis des Geschäftsbetriebs von Dritten
  • dem Umfang und der Detailtiefe der Anforderungen an die Institution sowie
  • branchenspezifischen Vorgaben.

In der Praxis ist ein Zeitraum von 14 bis 30 Tagen üblich.

Geltungsbereich

Entscheidung für Vorgehensweise

Ernennung des BC-Beauftragten

Anhang

Siehe auch

Dokumentation

Projekt

Abgerufen von „https://wiki.foxtom.de/index.php?title=BSI/200-4/03_Initiierung&oldid=164443“