Business Continuity Management
Business Continuity Management (BCM) - Betriebskontinuitätsmanagement (BKM)
Beschreibung
Sicherstellung des Fortbestands von Einrichtungen
- Fokus auf Risiken mit hohem Schadensausmaß
Strategien, Plänen und Handlungen
Tätigkeiten oder Prozesse ermitteln
- deren Unterbrechung
- ernsthafte Schäden oder vernichtende Verluste zufügen würden
- etwa Betriebsstörungen
Schützen und alternative Abläufe ermöglichen
BSI-Standard 200-4
- Business Continuity Management - BCM - 14. Juni 2023
- BSI-Standard 100-4 (Notfallmanagement) - 2008
- Etablierung eines Business Continuity Management
ISMS nach BSI IT-Grundschutz
- Grundlage zur Nutzung von Synergieeffekten
- Möglichkeit, auf bereits dokumentierte Informationen zurückgreifen zu können
- Zeitkritischen Geschäftsprozesse und Abhängigkeiten
- Parameter für Normal- und Notbetrieb
- Methodik nach BSI-Standard 200-3
- kann aus dem ISMS adaptiert werden
- Hinweise
- Die Etablierung eines Business Continuity Managements setzt umfangreiche Kenntnisse der Organisation voraus
- Eine Umsetzung eines ISMS impliziert keine Umsetzung eines Business Continuity Managements
- siehe auch DER.4 Notfallmanagement
- ISO 22301
Mit dem Best-Practice Standard 200-4 des BSI kann eine Zertifizierung nach der ISO 22301 erreicht werden
Sicherstellung des Fortbestands einer Einrichtung
- im Sinne ökonomischer Nachhaltigkeit
- im Angesicht von Risiken mit hohem Schadensausmaß
- Betriebskontinuitätsmanagement
- Managementmethode
- Lebenszyklus-Modells
- Fortführung der Geschäftstätigkeit unter Krisenbedingungen absichern
- Enge Verwandtschaft mit dem Risikomanagement
- Gesamtbetrieb
In der jüngeren Vergangenheit wurde der Begriff des BKM erneut auf den Gesamtbetrieb erweitert, u. a. durch Gesetzgebung wie den (USA) Sarbanes-Oxley Act 2002 und den (GB) Civil Contingencies Act 2004.
- Implizit ist das BKM u. a. nach (D) Kontroll- und Transparenzgesetz 1998, (D, A) Kodizes für Corporate Governance.
- Ergänzend erfolgt die Beschreibung des BKM durch mehrere Normen und Industriestandards, beispielsweise (international) ISO 17799, ISO 22301:2012, (USA) NFPA 1600, (AU, NZ) BCM Better Practice Guidelines, (GB) BS 7799: 2002 (2), (A) ÖNORM A 7799, Veröffentlichungen des Basler Ausschusses hinsichtlich der Zweiten Basler Eigenkapitalverordnung, (D) Mindestanforderungen an das Risikomanagement für Kreditinstitute (MaRisk).
- Good Practice Guide
Methode und Rahmen des BKM sind im sog. „Good Practice Guide“ veröffentlicht, der durch das (GB) Business Continuity Institute herausgegeben wird.
- Zentrale Kompetenzen für Praktiker sind in den (GB, USA) „Joint Standards“ geregelt, die gemeinsam durch das Business Continuity Institute und das Disaster Recovery Institute International herausgegeben werden.
- Bundesamt für Sicherheit in der Informationstechnik
Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) hat den Standard BSI 100-4 „Notfallmanagement“ als Ergänzung zum IT-Grundschutz entwickelt.
- Mit der Modernisierung des IT-Grundschutz wird bereits an dem Nachfolger BSI 200-4 gearbeitet.
- Incident Management
Um bei Vorfällen (siehe auch Incident Management) oder im Katastrophenfall die Abwicklung der Geschäfte eines Unternehmens fortführen zu können (Business Continuity) müssen Analysen und Planungen vorgenommen werden.
- Primär Fragen
- Welche Prozesse müssen unbedingt aufrechterhalten werden?
- Welche Maßnahmen sind dafür notwendig?
- Prioritäten und Ressourcen
- Dazu müssen Prioritäten definiert und benötigte Ressourcen zugeordnet werden
- Eine Maßnahme im Zuge einer Business-Continuity-Planung stellt das Disaster Recovery dar, der gesamte Prozess der Geschäftsfortführung muss sich jedoch darüber mit sehr vielen anderen Punkten beschäftigen.
Technische Betrachtung
- Business Continuity Management
- Aufbau und Betrieb eines Notfall- und Krisenmanagements
Systematischer Vorbereitung auf die Bewältigung von Schadenereignissen
Dadurch soll erreicht werden, dass
- wichtige Geschäftsprozesse selbst in
- kritischen Situationen und
- in Notfällen
- nicht oder
- nur temporär
- unterbrochen werden und
- die wirtschaftliche Existenz des Unternehmens trotz Schadenereignis gesichert bleibt.
- Ziel
- Generierung und Proklamation von Prozessdefinitionen und Dokumentation
- Betriebsbereiten dokumentierten Notfallvorsorgeplan
- Exakt auf die Organisation abgestimmt
- Sensibilisierung aller Mitarbeiter auf das Thema „wirtschaftliche Existenzsicherung bei einer unternehmenskritischen Notfallsituation“
Business Continuity Management System
Rahmenwerk für ein Business Continuity Management System (BCMS)
- Management von Notfällen und Krisen
- technisch
- nicht-technisch
- Relevanz
Zunehmende Relevanz der Einbeziehung von Maßnahmen für die Geschäftsfortführung (Business Continuity) für die Informationsverarbeitung
- Gravierende Risiken frühzeitig erkennen und Maßnahmen dagegen etablieren
- Überleben der Einrichtung sichern
- Organisationen beliebiger Art, Größe und Branche
- Synergieeffekte
- Zahlreiche Synergieeffekte zum IT-Grundschutz
- Ressourcen schonen
- Zusammenhänge und Wechselwirkungen berücksichtigen
Notfallmanagement vs. Business Continuity Management
- Notfallmanagement
- Schäden vermeiden und eindämmen
- Notfälle verhindern und bewältigen
- Klassisches Notfallmanagement
- Brandschutz
- Arbeits- und Unfallschutz
- ...
- Business Continuity Management
- Wiederanlauf des Geschäftsbetriebs
- Modernere Begriff zur Bewältigung der heute relevanten Risikoszenarien
Einbettung in die Organisationsstruktur
- Geplantes und organisiertes Vorgehen
- Widerstandsfähigkeit (zeit-) kritischer Geschäftsprozesse steigern
- Auf Schadensereignisse angemessen reagieren
- Geschäftstätigkeiten schnellstmöglich wiederaufnehmen
- Business Continuity Management System (BCMS)
Aufrechterhaltung der Betriebsfähigkeit einer Organisation
- systematische, geplante und organisierte Vorgehensweise
- das Erreichen der Ziele der Organisation für ein angemessenes Business Continuity Niveau
- BCMS ist kein Bestandteil eines ISMS
- Eigenständiges Managementsystem mit (oftmals) zahlreichen Schnittstellen
Rollen und Verantwortungsbereiche
Allgemeine Aufbauorganisation (AAO)
- Etablierte organisationsweite Hierarchie und Führungsstruktur
Besondere Aufbauorganisation (BAO)
- Zielgerichtete und zweckmäßige Gruppierung, um bei Zwischenfällen zeitgerecht zu agieren
Stufenmodell für Vorgehensweisen
Option | Beschreibung |
---|---|
Reaktiv | Schnelle Fähigkeit zur Notfallbewältigung |
Aufbau | Schrittweiser, ressourcenschonender Aufbau |
Standard | Vollständige Absicherung, Resilienz der Institution |
Reaktiv
- Schnelle Fähigkeit zur Notfallbewältigung
- Basis-Niveau
- Spart Ressourcen
- Wenn keine „Notfälle“ eintreten würden
- Lücken in der Absicherung
- Nicht alle Bereiche werden betrachtet
Aufbau
- Schrittweiser, ressourcenschonender Aufbau
- Kann für einen kleineren Teil des Scope gezielt eingesetzt
- Bereiche, die in der Absicherung der Organisation nicht werden betrachtet werden
Standard
- Vollständige Absicherung/Resilienz der Institution
- Konformität ISO-22301
- Möglichkeit zur Zertifizierung nach ISO 22301
- Erhöhter Ressourcenbedarf gegenüber den Einstiegsstufen
Organisationsspezifisches BCMS
Planung eines organisationsspezifischen BCMS
- Vorgehensweisen
- Reaktiv
- Aufbau
- Standard
- Aufgabenbereiche
- Planung und Umsetzung
- Überwachung
- kontinuierlichen Verbesserung
BSI-Standard 200-4 beschreibt die spezifischen Aufgabenbereiche detailliert
- Basis für die Erstellung eines Projektplans für eigens BCMS genutzt werden
Eskalation
- BSI-Standard 200-4 beschreibt
Interne Eskalation
- Drei Stufen
Extern Eskalation
Szenarien
- Art von Ereignissen (Incidents)
- IT/System-Ausfall
- Gebäudeausfall
- Ausfall von Personal (Pandemie, ...)
- Ausfall von Lieferanten/Partnern
- Notfallszenario
Je nach Ereignis wird das Unternehmen mit einem spezifischen Notfallszenario reagieren
- Um die Kontinuität des Unternehmens sicherzustellen, ist bei einem System-Ausfall anders zu reagieren als bei einem starken Anstieg von erkranktem Personal
- Für den ersten Fall wird sich das Unternehmen parallele IT-Systeme beschaffen, um den Ausfall eines Systems über alternative Ressourcen zu überbrücken
- Ein großer Personalausfall ist aus Sicht des Unternehmens eher mit Präventionsmaßnahmen zu behandeln
- Als Beispiel sind etwa verstärkte Hygienemaßnahmen bei Ankündigung einer Pandemie zu nennen
Business Impact Analyse
- Prozessen mit hohem Schadenspotential
- Zugrundeliegende Ressourcen
- Abhängigkeiten zwischen Prozessen
- Auswirkungen von Ausfällen
- Wiederanlaufpläne
Grundlage für eine Sicherheitsstrategie
- Zusammen mit Risikoanalysen
- Notfällen und Krisen
Dokumentation
Referenzdokumente
- Präventiv
- Leitlinie zum Business Continuity Management
- Notfallvorsorgekonzept
- Prozessbeschreibungen und Anweisungen
- Hilfsmittel
- Reaktiv
- Notfallhandbuch
- Dokumentenstruktur
Dokumente zur Vorsorge
- beschreiben die Anforderungen an das BCMS und sind Elemente des BCMS sowie Teil der Notfallvorsorge
Dokumente zur Reaktion
- werden für die Notfallbewältigung erstellt und genutzt
Hinsichtlich der Dokumentenstruktur und der Bezeichnungen der Dokumente, wie beispielsweise „Notfallhandbuch“ oder „Notfallvorsorgekonzept“, sowie den erwähnten Dokumentenarten ist der BSI-Standard 200-4 nicht bindend und kann organisationsspezifisch angepasst werden
Übungen und Tests
Übungen und Tests nehmen im BSI-Standard 200-4 einen hohen Stellenwert ein
- Planung von Übungen und Tests
Besonderen Widrigkeiten im Geschäftsbetrieb
- Wichtiges Kriterium für die Planung von Übungen und Tests
- ISB und der Business Continuity Beauftragte
Sollten die Organisation dabei unterstützen, einen umfassenden Übungsplan zu erstellen
- Verfahren zu mindestens folgenden Übungsarten ausarbeiten
- Übungsarten
Übung | Beschreibung |
---|---|
Planbesprechung | |
Stabsübung | |
Stabsrahmenübung | |
Alarmierungsübung | |
Funktionstest |
Synergien
Business Continuity Management
Die Notwendigkeit eines Business Continuity Management Systems(BCMS) ist oft leichter ersichtlich, als beim Informationssicherheitssystems (ISMS)
- Prozessual gesteuerte Kommunikation
- zwischen der IT, dem ISB und dem Business Continuity Beauftragten
- könnten verbindliche Festlegungen eine Verbesserung des BCMS und des ISMS bewirken, z. B. „Jeder IT-Notfall muss an den ISB kommuniziert werden, da es sich wahrscheinlich um einen meldepflichtigen IT-Sicherheitsvorfall handeln kann“
- Synergien
BCMS und ISMS
- Strukturanalyse
- Schutzbedarfsfeststellung
- Modellierung
Weitere Managementsysteme
Baustein DER.4 Notfallmanagement
Anhang
Siehe auch
- BCM/BIA-Vorfilter und BIA
- BCMS/BAO
- BCMS/BCMS-Prozess und Stufenmodell
- BCMS/BIA-Vorfilter und BIA
- BCMS/Hilfsmittel
- BCMS/Initiierung, Planung und Aufbau
- BCMS/Leistungsüberprüfung und Kennzahlen
- BCMS/Notfallplanung
- BCMS/Prüfungsvorbereitung
- BCMS/Risikoanalyse
- BCMS/Standards und regulatorische Grundlagen
- BCMS/Uebersicht
- BCMS/Üben und Testen