BSI/200-4/03 Initiierung: Unterschied zwischen den Versionen

Version vom 31. Mai 2026, 18:35 Uhr

BSI/200-4/03 Initiierung

Die Zielsetzung geht vorrangig auf drei Fragen ein:

Warum wird in der Institution ein BCM benötigt? (Motivation für den Aufbau eines BCMS)
Welche konkreten Ziele werden mit dem BCM verfolgt?
Wie lange soll durch das BCM ein Ausfall des Normalbetriebs kompensiert werden? (Abzusichernder Zeitraum durch ein BCM)

Gründe für ein BCM identifizieren, dokumentieren

Für die Bundesverwaltung gelten die Anforderungen aus dem Umsetzungsplan Bund
Gesetzlichen Anforderungen und aus Vorgaben einer Muttergesellschaft
Verträge mit Kunden und Kundinnen oder Geschäftspartnern und -partnerinnen oder deren Erwartungshaltungen

Bereich	Regelungen
Anforderungen an Aktiengesellschaften	EU-Richtlinie 2157/2001, Aktiengesetz (AktG), ...
Anforderungen an die Kommunikation	Richtlinie (EU) 2018/1972 über den europäischen Kodex für die elektronische Kommunikation, Post- und Telekommunikationssicherstellungsgesetz (PTSG), ...
Börsengesetz	BörsG
Arbeitsschutzgesetz	ArbSchG
Störfallverordnung	12. BImSchV – StörfallV
Gefahrstoffverordnung	GefStoffV
Betriebssicherheitsverordnung	BetrSichV
Risikovorsorge im Elektrizitätssektor	Verordnung (EU) Nr. 2019/941
Gewährleistung der sicheren Gasversorgung	Verordnung (EU) Nr. 2017/1938
Kritische Infrastrukturen	EU-Richtlinie 2008/114/EG, BSI-Kritisverordnung (BSI-KritisV)), IT-Sicherheitsgesetz, ...
Versicherungsbranche	Solvency II-Richtlinie (Richtlinie 2009/138/EG), das Versicherungsaufsichtsgesetz (VAG), Mindestanforderungen an die Geschäftsorganisation von Versicherungsunternehmen (MaGo) in der Versicherungsbranche
Banken	Empfehlungen des Basler Ausschusses der Bank für Internationalen Zahlungsausgleich (BIZ) zur Regulierung von Banken (genannt Basel III), deren europäischer Umsetzung über die europäische Bankenrichtlinie CRD IV (Richtlinie 2013/36/EU), CRR (Verordnung (EU) Nr. 575/2013)
Risikomanagement im Bankenbereich	MaRisk
Bankenbereich	EBA Guidelines on ICT and security risk management (EBA/GL/2019/04), ...

welche Geschäftsziele geschützt werden sollen
welche Arten von Geschäftsunterbrechungen als existenzbedrohend angesehen werden (grobe Vorgaben hinsichtlich Schadenshöhe und zu betrachtenden Schadensszenarien)
welche Bereitschaft besteht, Risiken einzugehen (Risikobereitschaft)
in welcher Art und Größenordnung Risiken minimiert werden sollen sowie
was das primäre Ziel der Bewältigung ist.

Hängt stark von unterschiedlichen Gegebenheiten ab

der Risikobereitschaft der Institution
(Je kürzer der abzusichernde Zeitraum gewählt wird, desto eher muss das Krisenmanagement aktiviert werden.)
dem Zeitraum, über den die Institution ohne Umsätze überlebensfähig ist
dem Reifegrad des BCMS
den vorhandenen oder avisierten Ressourcen des BCMS
der Art und Komplexität des Geschäftszwecks der Institution
der Vielfältigkeit und der Verteilung der Geschäftsprozesse über mehrere Standorte
dem Abhängigkeitsverhältnis des Geschäftsbetriebs von Dritten
dem Umfang und der Detailtiefe der Anforderungen an die Institution sowie
branchenspezifischen Vorgaben.

In der Praxis ist ein Zeitraum von 14 bis 30 Tagen üblich.

@@ Zeile 53: / Zeile 53: @@
 | Banken || Empfehlungen des Basler Ausschusses der Bank für Internationalen Zahlungsausgleich (BIZ) zur Regulierung von Banken (genannt Basel III), deren europäischer Umsetzung über die europäische Bankenrichtlinie CRD IV (Richtlinie 2013/36/EU), CRR (Verordnung (EU) Nr. 575/2013)
 |-
-| Mindestanforderungen an das Risikomanagement im Bankenbereich || MaRisk
+| Risikomanagement im Bankenbereich || MaRisk
 |-
-| Leitlinien der Europäischen Zentralbank (EZB) im Bankenbereich ||EBA Guidelines on ICT and security risk management (EBA/GL/2019/04), ...
+| Bankenbereich ||EBA Guidelines on ICT and security risk management (EBA/GL/2019/04), ...
 |}