BSI/200-4/03 Initiierung

BSI/200-4/03 Initiierung

Beschreibung

BCM-Prozessschritte zur Initiierung des BCMS durch die Institutionsleitung

Übernahme der Verantwortung durch die Leitungsebene

Zielsetzung

Die Zielsetzung geht vorrangig auf drei Fragen ein:

Warum wird in der Institution ein BCM benötigt? (Motivation für den Aufbau eines BCMS)
Welche konkreten Ziele werden mit dem BCM verfolgt?
Wie lange soll durch das BCM ein Ausfall des Normalbetriebs kompensiert werden? (Abzusichernder Zeitraum durch ein BCM)

Motivation für den Aufbau eines BCMS

Gründe für ein BCM identifizieren, dokumentieren

Interne Gründe für ein BCMS

Eigeninteresse einer Institution
Überlebensfähigkeit der Institution in Notfällen und Krisen erhöhen

Externe Gründe für BCMS

Für die Bundesverwaltung gelten die Anforderungen aus dem Umsetzungsplan Bund
Gesetzlichen Anforderungen und aus Vorgaben einer Muttergesellschaft
Verträge mit Kunden und Kundinnen oder Geschäftspartnern und -partnerinnen oder deren Erwartungshaltungen

Gesetze, Verordnungen und Richtlinien (regulatorische Anforderungen)

Bereich	Regelungen
Anforderungen an Aktiengesellschaften	EU-Richtlinie 2157/2001 Aktiengesetz (AktG), ...
Anforderungen an die Kommunikation	Richtlinie (EU) 2018/1972 über den europäischen Kodex für die elektronische Kommunikation Post- und Telekommunikationssicherstellungsgesetz (PTSG), ...
Börsengesetz	BörsG
Arbeitsschutzgesetz	ArbSchG
Störfallverordnung	12. BImSchV – StörfallV
Gefahrstoffverordnung	GefStoffV
Betriebssicherheitsverordnung	BetrSichV
Risikovorsorge im Elektrizitätssektor	Verordnung (EU) Nr. 2019/941
Gewährleistung der sicheren Gasversorgung	Verordnung (EU) Nr. 2017/1938
Kritische Infrastrukturen	EU-Richtlinie 2008/114/EG BSI-Kritisverordnung (BSI-KritisV)) IT-Sicherheitsgesetz, ...
Versicherungsbranche	Solvency II-Richtlinie (Richtlinie 2009/138/EG), das Versicherungsaufsichtsgesetz (VAG) Mindestanforderungen an die Geschäftsorganisation von Versicherungsunternehmen (MaGo) in der Versicherungsbranche
Banken	Empfehlungen des Basler Ausschusses der Bank für Internationalen Zahlungsausgleich (BIZ) zur Regulierung von Banken (genannt Basel III) Europäische Bankenrichtlinie CRD IV (Richtlinie 2013/36/EU) CRR (Verordnung (EU) Nr. 575/2013)
Risikomanagement im Bankenbereich	MaRisk
Bankenbereich	EBA Guidelines on ICT and security risk management (EBA/GL/2019/04), ...

Entwicklung der Ziele des BCMS

welche Geschäftsziele geschützt werden sollen
welche Arten von Geschäftsunterbrechungen als existenzbedrohend angesehen werden (grobe Vorgaben hinsichtlich Schadenshöhe und zu betrachtenden Schadensszenarien)
welche Bereitschaft besteht, Risiken einzugehen (Risikobereitschaft)
in welcher Art und Größenordnung Risiken minimiert werden sollen sowie
was das primäre Ziel der Bewältigung ist.

Abzusichernder Zeitraum durch ein BCMS

Muss für die Institution individuell festgelegt werden

Hängt stark von unterschiedlichen Gegebenheiten ab

der Risikobereitschaft der Institution
(Je kürzer der abzusichernde Zeitraum gewählt wird, desto eher muss das Krisenmanagement aktiviert werden.)
dem Zeitraum, über den die Institution ohne Umsätze überlebensfähig ist
dem Reifegrad des BCMS
den vorhandenen oder avisierten Ressourcen des BCMS
der Art und Komplexität des Geschäftszwecks der Institution
der Vielfältigkeit und der Verteilung der Geschäftsprozesse über mehrere Standorte
dem Abhängigkeitsverhältnis des Geschäftsbetriebs von Dritten
dem Umfang und der Detailtiefe der Anforderungen an die Institution sowie
branchenspezifischen Vorgaben.

In der Praxis ist ein Zeitraum von 14 bis 30 Tagen üblich.

Geltungsbereich

Vor dem Aufbau eines BCMS muss die Institutionsleitung festlegen, welcher Bereich der Institution abgesichert werden soll

Zielsetzung, regulatorischen Anforderungen und Anforderungen an das BCMS

Dieser Bereich, auch Geltungsbereich des BCMS genannt, kann

gesamte Institution
einzelne Standorte
Teilbereiche
Produkte oder Services

Eingeschränkten Geltungsbereiche

Organisatorische oder technische Strukturen

gemeinsame Gebäude
Produktionsstraßen
Geschäftsprozesse, ...

Geltungsbereich

Umfasst die Gesamtheit aller Komponenten die der Aufgabenerfüllung dienen

infrastrukturell
organisatorisch
personell
technisch

Der Geltungsbereich muss zur Zielsetzung des BCMS und den Anforderungen passen

Betrachteten Geschäftsprozesse komplett im Geltungsbereich enthalten sein

Mehrere BCMS

Es kann sinnvoll sein, mehrere BCMS für Geltungsbereiche zu entwickeln

Bereiche mit zeitkritischen oder regulierten Geschäftsprozessen ein Standard-BCMS
Andere Bereichen ein Reaktiv-BCMS

Nicht nur technische Aspekte

Auch organisatorische Aspekte bei der Abgrenzung des Geltungsbereichs berücksichtigen

So können Verantwortung und Zuständigkeiten eindeutig festgelegt werden
Die im Geltungsbereich liegenden Geschäftsprozesse sollten explizit benannt werden

Entscheidung für Vorgehensweise

Realistische Ziele

Manche Vorhaben scheitern an unrealistischen oder zu ehrgeizigen Zielvorgaben

Dies ist beim Aufbau eines BCMS ebenfalls ein bedeutender Faktor
Anstelle eines groß angelegten BCM-Einführungsprojekts, das keinen schrittweisen Aufbau vorsieht, kann es zu Beginn effizienter sein, ein BCMS in der Linie, d. h. in mehreren kleineren Schritten ohne hohe Investitionskosten, einzuführen, z. B. über ein Reaktiv- und anschließendes Aufbau-BCMS
In der Praxis ist es aber auch legitim, ein BCMS im Rahmen eines Projekts zu etablieren und eventuell gleich ein Standard-BCMS anzustreben
Grundsätzlich muss BCM immer in einen langfristigen, sich kontinuierlich verbessernden Prozess übergehen.

Durchlaufzeit eines PDCA-Zyklus

Die damit verbundene Durchlaufzeit eines PDCA-Zyklus sollte sich grundsätzlich an der Veränderungsgeschwindigkeit der Institution orientieren, wobei die Institution parallel in mehreren Phasen eines PDCA-Zyklus agieren kann

In der Praxis ist es darüber hinaus empfehlenswert, die Durchlaufzeit des PDCA-Zyklus auf ein Geschäftsjahr auszurichten, da dadurch das BCMS besser in das jährliche Berichtswesen und die jährliche Überprüfung der Ziele integriert werden kann
In diesem Zeitrahmen kann insbesondere sichergestellt werden, dass die erreichten Ergebnisse immer aktuell sind
Die Ressourcen sollten darauf ausgerichtet sein, dass die geplanten Ziele in dem aktuellen Zyklus erreicht werden können
Insofern spielt auch die Verfügbarkeit von Ressourcen bei der Festlegung der Durchlaufzeit des PDCA-Zyklus eine Rolle.

Die Institutionsleitung muss entscheiden, wie die weiteren Schritte zum Aufbau eines BCMS aussehen sollen, sodass die kurzfristigen und langfristigen Ziele erreicht werden

Diese Entscheidungen müssen auf der Zielsetzung, den damit zusammenhängenden Rahmenbedingungen des BCMS sowie dem festgelegten Geltungsbereich basieren
Wurde bereits eine für das BCMS zuständige Person benannt, so kann diese die Institutionsleitung durch Erarbeitung von geeigneten Vorschlägen unterstützen
Insbesondere muss die Institutionsleitung eine geeignete Stufe auswählen: Reaktiv-, Aufbau- oder Standard-BCMS
Anschließend sollte dokumentiert werden, für welchen Bereich mit welchem Zeitplan ein Reaktiv-, Aufbau-, oder Standard-BCMS umgesetzt werden soll.

Reaktiv- bzw. Aufbau-BCMS

Falls sich die Institutionsleitung für ein Reaktiv- bzw. Aufbau-BCMS entscheidet, dann muss dies nachvollziehbar begründet und dokumentiert werden, z. B. in der Leitlinie BCMS (siehe 4.8 Leitlinie BCMS (R+AS))

Neben den wesentlichen Einflussfaktoren, die zur Auswahl der Stufe geführt haben, sollten darüber hinaus die Vor- und Nachteile sowie die zu berücksichtigenden Risiken transparent gemacht werden
Zudem muss die Institutionsleitung den langfristig angestrebten Entwicklungspfad für das BCMS aufzeigen.

Ziel sollte immer ein Standard-BCMS zu erreichen.

Vor- und Nachteile der BCMS-Stufen

Stufe	Pro	Contra
Reaktiv-BCMS	verhältnismäßig geringer Aufwand schnellstmöglicher Einstieg, sodass eine rudimentäre Reaktion möglich ist „Überlebensfähigkeit“ der Institution wird rudimentär gesichert.	ausschließlich für den Einstieg geeignet Es werden erhebliche Lücken nicht identifiziert oder identifiziert und nicht abgesichert.
Aufbau-BCMS	Im GP-Umfang betrachtete Prozesse werden angemessen abgesichert. ermöglicht sehr gute, schrittweise Erweiterung des GP-Umfangs bis hin zum Standard-BCMS. sehr gute Balance aus Aufwand und Nutzen	Im nicht betrachteten GP-Umfang können weitere relevante, zeitkritische Geschäftsprozesse verbleiben, sodass weiterhin Lücken in der Absicherung verbleiben.
Standard-BCMS	angemessene und vollständige Absicherung aller zeitkritischen Geschäftsprozesse ohne Lücken oder Defizite Ermöglicht ganzheitliche, perfekt abgestimmte BC-Planung von Beginn an	höchster Ressourcenaufwand zu Beginn finanziell personell zeitlich

Ernennung des BC-Beauftragten

Die Institutionsleitung hat in der Regel nicht ausreichend Zeit, das BCM operativ aufzubauen und aufrechtzuerhalten

Um hier die Institutionsleitung zu unterstützen, muss ein BC-Beauftragter oder eine BC-Beauftragte (BCB) für alle Aspekte rund um das BCM benannt werden
BC-Beauftragte sind die Hauptanlaufstelle für alle BCM-Fragen, koordinieren sämtliche mit BCM zusammenhängenden Aufgaben und treiben diese innerhalb der Institution voran
Zusätzlich sollte für den oder die BCB eine qualifizierte Vertretung benannt werden.

Es steht jeder Institution frei, eine andere Bezeichnung für die Rolle BCB zu wählen

Geläufige Titel sind neben BCB auch der oder die Notfallbeauftragte, Business Continuity Manager sowie Notfall-Manager oder -Managerin
Aus diesen Titeln folgt aber auch manchmal ein anderes Rollenverständnis
Titel wie Notfall-Manager oder -Managerin führen oft dazu, dass fälschlicherweise angenommen wird, die Rolleninhabenden steuerten die Notfallbewältigung, obwohl die Rolle in der Regel innerhalb der Notfallvorsorge tätig ist
In diesem Standard wird daher diese Rolle durchgehend als BCB bezeichnet.

Es ist empfehlenswert, die Position der Rolle BCB organisatorisch als Stabsstelle in der AAO der Institution einzurichten, also als eine direkt der Leitungsebene zugeordnete Position, die von keinen anderen Stellen Weisungen bekommt

Zum einen muss der oder die BCB das direkte und jederzeitige Vorspracherecht bei der Institutionsleitung haben, um diese über BCM-relevante Ereignisse und Risiken sowie Maßnahmen zum BCM informieren zu können
Zum anderen ist es wichtig, dass der oder die BCB auch über das Geschehen in der Institution, soweit es einen Bezug zur BCM-Tätigkeit hat, umfassend und frühzeitig unterrichtet wird
Es wird davon abgeraten, die Rolle BCB in einer Organisationseinheit in der Linienorganisation (z. B. IT-Abteilung oder Verwaltung) zu verorten, da hierbei leicht Interessenkonflikte entstehen können.

Zeitliche Ressourcen für BC-Beauftragte

Von hohem Stellenwert ist die Frage, mit welchen zeitlichen Ressourcen ein oder ein BCB den BCM-Aufgaben nachkommen soll

Hierzu gibt es keine allgemeingültigen Vorgaben
Was angemessen ist, muss für jede Institution individuell entschieden werden.

Sofern sich das BCMS noch im Aufbau befindet, besteht die Herausforderung, dass di Methoden, die Vorgaben und die Organisationsstruktur noch nicht definiert und etabliert sind

Dadurch ist der zeitliche Aufwand, um Aufgaben im BCM umzusetzen, während des Aufbaus des BCMS meist höher als im späteren Betrieb
So wird z. B. der BCMProzessschritt Business-Impact-Analyse (BIA) mehr Zeit in Anspruch nehmen, solange Geschäftsprozesse erstmalig bewertet werden
Weniger Zeit wird die BIA erfordern, sobal es in einem späteren Zyklus nur noch erforderlich ist, die Angaben zu überprüfen
Genauso ist der Aufwand, Geschäftsfortführungspläne (GPs) erstmalig zu erstellen, höhe als derjenige Aufwand, in nachfolgenden Zyklen GPs nur noch zu aktualisieren.

Im ersten Schritt kann eine Schätzung der Aufwände durch die Institutionsleitung vorgenommen werden

Diese Schätzung orientiert sich an der Frage: „Wie oft bzw
wie viel Stunden soll sich der oder die BCB mit dem BCMS auseinandersetzen?“, z. B. drei Tag pro Woche oder kontinuierlich.

BCB müssen grundsätzlich über ausreichend zeitliche Ressourcen verfügen, um ihre Aufgaben erfüllen zu können

Für eher kleine Institutionen kann es nach erfolgreichem Aufbau des BCMS ausreichend sein, eine 50 %-BCB-Stelle für die Aufrechterhaltung un Weiterentwicklung des BCMS einzuplanen
Demgegenüber kann es in großen ode komplexen Institutionen auch erforderlich sein, mehrere Vollzeitstellen zur Unterstützun des oder der BCB, d. h. ein mehrköpfiges BCB-Team, einzusetzen, um das BCMS einzuführen und aufrechtzuerhalten
Es ist daher empfehlenswert, sich bereits frühzeitig intensiv mit der Ressourcenplanung auseinanderzusetzen.

Dabei sollten die Rahmenbedingungen, die Anforderungen sowie die organisatorische und finanziellen Möglichkeiten berücksichtigt werden. Mit den gewonnenen Erkenntnissen aus dem laufenden Betrieb des BCMS können di zeitlichen Ressourcen des oder der BCB sukzessiv konkretisiert und angepasst werden.

Fachliche und persönliche Eigenschaften des oder der BC-Beauftragten

Um den vielfältigen Aufgaben und Anforderungen im BCM gerecht zu werden, müssen BCB angemessene fachliche und persönliche Eigenschaften inklusive entsprechendem Fachwissen sowie Erfahrungen besitzen

Fehlende fachliche Eigenschaften sollten durch gezielte Maßnahmen aufgebaut werden.

Die Erläuterungen in Kapitel 4.3 Definition der BC-Aufbauorganisation (R+AS) decken die in der Praxis üblichen Aufgaben und Zuständigkeiten des oder der BCB ab

Darüber hinaus ist es empfehlenswert, dass BCB über die folgenden fachlichen und persönlichen Fähigkeiten und Kenntnisse verfügen oder dahingehend befähigt werden:
Fähigkeit zur Führung von Mitarbeitenden (z. B. Kooperations- und Teamfähigkeit, Selbstbewusstsein, Durchsetzungsvermögen)
sehr gute Kommunikationsfähigkeiten (Es ist wichtig, dass der oder die BCB die Mitarbeitenden und Externen von der Notwendigkeit des BCM und den damit verbundenen Aufgaben überzeugen können
BCB sollten ferner in der Lage sein, Themen des BCMS zielgruppengerecht für die Institutionsleitung aufzubereiten und somit die erforderlichen strategischen Entscheidungen vorzubereiten und voranzutreiben
Es sind umfangreiche Transferleistungen erforderlich, um die jeweiligen Sprachwelten zu verstehen und zu respektieren sowie die Sachverhalte entsprechend zu übersetzen.)
Kenntnisse allgemeiner und branchenspezifischer Vorgehensweisen und Methoden (Dies ist notwendig, um das BCMS aufzubauen, zu steuern und zu pflegen
Hierzu zählen beispielsweise etablierte BCM-Standards, in der Branche übliche Best Practices oder spezifische BCM-Anforderungen einer Aufsichtsbehörde.)
Kenntnisse von anzuwendenden Gesetzen, Vorschriften, Standards, weiteren Leitlinien
Kenntnisse zur Bewältigung von Notfällen und Krisen (z. B. allgemeines Vorgehen in Notfällen, Erfahrungen in der Stabsarbeit)
Kenntnisse von den weiteren Sicherheits- und Risikomanagementaufgaben innerhalb der Institution sowie deren Schnittstellen zum BCM
Fähigkeit, selbstständig Richtlinien, Anweisungen, Handbücher und Verfahrensdokumentationen zu erstellen
gute Kenntnisse der Institution (z. B. Prozesse, Produkte, Services, Ziele der Institution)
Kenntnisse zu Risiken für den Geschäftsbetrieb der Institution und für die spezifischen betrieblichen Auswirkungen von Notfällen
grundlegendes Wissen und eigene Erfahrungen hinsichtlich möglicher Maßnahmen zum BCM

Anhang

Siehe auch

Dokumentation

Links

Projekt

Weblinks