BSI/200-4/11 Geschäftsfortführung/Erstellung

Erstellung

Erstellung der GFPs

Notfallmaßnahmen

Aktivierung des GFP
Übersicht zeitkritischer Geschäftsprozesse
Besondere Befugnisse von Mitarbeitenden
Besondere Meldepflichten und -wege
Übergreifende Notfallmaßnahmen der OE
Notfallmafgnahmen je Ressource
Notfallrelevante Dokumente
Notfallrelevante interne und externe Kontakte

Insbesondere müssen folgende Inhalte im GFP dokumentiert werden

Geltungsbereich des GFP
Zweck und Zielsetzung des GFP
Aktivierungsprozess des GFP
gesonderte Rechte, Berechtigungen und Pflichten der Mitarbeitenden im Geltungsbereich des GFP im Notfall
zeitkritische Geschäftsprozesse und deren RTO im Geltungsbereich des GFP
identifizierte Abhängigkeiten zu den zeitkritischen Geschäftsprozessen des GFP
für die zeitkritischen Geschäftsprozesse des GFP benötigten Ressourcen und deren RTO/RPO
organisatorische Notfallmaßnahmen zur Geschäftsfortführung
im Notfall relevante Kontakte oder Referenzen auf diese

Melde- und Berichtspflichten

Zusätzlich ist es empfehlenswert, die Melde- und Berichtspflichten im Notfall im GFP zu dokumentieren

Falls auf Informationen in anderen Dokumenten verwiesen wird, müssen diese Dokumente im GFP nachvollziehbar referenziert werden.
Im GFP muss beschrieben werden, wie die relevanten Mitarbeitenden im Notfall alarmiert und informiert werden.

Übergreifender Maßnahmen

Die Festlegung übergreifender Maßnahmen beinhaltet alle übergreifenden Aspekte, die nicht dazu dienen, die Geschäftsfortführung einzelner Geschäftsprozesse zu regeln.

Alarmierung und Information In einem ersten Schritt muss die Organisationseinheit beschreiben, wie die relevanten Mitarbeitenden im Falle eines Notfalls alarmiert und informiert werden, nachdem der GFP durch den Stab formal aktiviert wurde

Die Organisationseinheit kann sich hierzu an den Erläuterungen des Kapitels Alarmierung der BAO (R+AS) ausrichten und den festgelegten Alarmierungs- und Eskalationspfad für die Organisationseinheit fortschreiben

Organisationseinheit legt intern fest

welche Personen bzw. Funktionen in Kenntnis gesetzt werden sollen,
über welche Kommunikationsmittel die Alarmierung im Notfall erfolgen soll sowie
welche weiteren Schritte sich aus der Alarmierung ergeben.

Zu alarmierende Kontaktpersonen

Mitglieder des Bewältigungsteams
Weitere Mitarbeitende
Externe Fachleute
Externe Stellen

Die Kontaktlisten können als Anhang zum GFP hinterlegt werden, um personenbezogene oder vertrauliche Kontaktdaten ihrem Schutzbedarf entsprechend ablegen zu können.

Konstituierung und Auflösung der BAO

Innerhalb des Kapitels Konstituierung und Auflösung der BAO (AS) ist beschrieben, nach welchen Kriterien GFP durch den Stab aktiviert werden

Innerhalb dieses Abschnitts im GFP werden diese Kriterien aufgegriffen und konkretisiert.

Besondere Rechte und Pflichten

Für die Dauer des Notfalls kann es notwendig sein, allen oder einzelnen Mitarbeitenden im Geltungsbereich des GFP besondere Rechte und Pflichten zuzuteilen

Diese beschreiben etwa, welche gesonderten Zuständigkeiten und Zugangs-, Zutritts- und Zugriffs-Rechte Mitarbeitenden im Notfall zugeteilt werden
Gesonderte Rechte umfassen auch solche im Rahmen von Freigabeprozessen oder Führungsaufgaben
Die gesonderten Rechte gelten von dem Zeitpunkt an, ab dem der GFP aktiviert wurde bis zu dem Zeitpunkt, an dem der Notfall deeskaliert wird.

Melde- und Berichtspflichten

Fallen Geschäftsprozesse innerhalb des Geltungsbereichs des GFP aus, können besondere Melde- und Berichtspflichten an interne und externe Stellen bestehen

Diese Meldepflichten sollten innerhalb des GFP dokumentiert werden, sofern sie von denen des Normalbetriebs abweichen und nur für die Dauer des Notfalls gelten
Die besonderen Melde- und Berichtspflichten richten sich sowohl an interne als auch externe Interessengruppen
Hierunter fallen etwa andere Organisationseinheiten der Institution, Aufsichtsbehörden, Kunden und Kundinnen sowie dienstleistende und zuliefernde Institutionen, die für die Dauer des Notfalls gesondert informiert werden
Dies kann beispielsweise häufigere Meldungen oder Berichte umfassen oder gesonderte Inhalte der Meldungen

Informationen

Stelle, an die gemeldet oder berichtet werden soll
Rolle, die melden oder berichten soll
Medium, über das gemeldet oder berichtet werden soll
Inhalt, der gemeldet oder berichtet werden soll
Zeitpunkt oder Häufigkeit, zu dem oder in der gemeldet oder berichtet werden soll

Reaktiv-BCMS

Reaktive Notfallmaßnahmen

Notfallmaßnahmen im Reaktiv-BCMS (R)

Notfallmaßnahmen entwickeln

Innerhalb der GFP-Workshops muss die Organisationseinheit Notfallmaßnahmen entwickeln und dokumentieren

Diese sollten den Wiederanlauf sowie den Notbetrieb ausgefallener Geschäftsprozesse ermöglichen, soweit dies im Reaktiv-BCMS mit bereits vorhandenen oder einfach umsetzbaren BC-Lösungen möglich ist

Maßnahmenplan

Einfache BC-Lösungen, die im Rahmen des Reaktiv-BCMS umgesetzt werden, sollten als Maßnahmen im Maßnahmenplan dokumentiert werden und im Rahmen des Reaktiv-BCMS umgesetzt werden
Sie sollten dort entsprechend der Vorlage mit einer Umsetzungsfrist aufgenommen und innerhalb dieses Zeitrahmens umgesetzt werden

Anwendung der BC-Lösungen

In den GFP sollte beschrieben werden, wie die BC-Lösungen im Notfall konkret angewendet werden

Folgende Leitfragen können dabei helfen, die erforderlichen Notfallmaßnahmen zu ermitteln:
Welche Informationen sollen an wen auf welche Weise weitergegeben werden?
Welche Notfallmaßnahmen müssen eingeleitet werden, um den gewünschten Zustand zu erreichen (z. B. Notbetriebsniveau)?
Wie lange wird die Durchführung der Notfallmaßnahmen dauern?
Welche Voraussetzungen müssten gegeben sein, um die Notfallmaßnahmen durchführen zu können?
Welche Reaktionen werden von anderen erwartet?

Definierte Notbetriebsniveau

Die BC-Lösungen und Notfallmaßnahmen sollten nach Möglichkeit geeignet sein, das definierte Notbetriebsniveau und die RTO zu erreichen

Hierbei handelt es sich um zwei Dimensionen, die innerhalb einer idealen BC-Planung beide gleichzeitig erfüllt werden sollten.

Notbetriebsniveaus

In der Bandbreite sind hinsichtlich des definierten Notbetriebsniveaus zwei Extreme möglich:

In manchen Fällen kann möglicherweise durch Ausweich- oder Ersatzressourcen dieselbe Funktionalität und Leistungsfähigkeit wie im Normalbetrieb erreicht werden, z. B. anhand von Redundanzkonzepten für die IT.
In anderen Fällen kann möglicherweise das Notbetriebsniveau nicht sichergestellt werden, da ein Reaktiv-BCMS ausschließlich auf bereits vorhandene Ressourcen und Möglichkeiten der Institution aufbaut.

RTO

Hier sind in der Bandbreite auch zwei Extreme möglich:

In manchen Fällen können möglicherweise Ausweich- oder Ersatzressourcen innerhalb der geforderten RTO tatsächlich zur Verfügung gestellt werden.
In anderen Fällen können aufgrund unzureichender oder fehlender BC-Lösungen möglicherweise Ausweich- oder Ersatzressourcen erst in einem deutlich längeren Zeitraum als die RTO zur Verfügung gestellt werden.

Aus dem Endergebnis des Soll-Ist-Vergleichs lassen sich zwei Fälle ableiten, auf die im Nachfolgenden weiter eingegangen wird.

Fall 1: RTO wird auf Notbetriebsniveau erreicht

Die zugesicherte Wiederanlaufzeit der Ressource ist kürzer oder gleich der geforderten Wiederanlaufzeit (RTA ≤ RTO)

Zusätzlich erreicht die wieder angelaufene Ressource in dieser Zeit das Notbetriebsniveau.

RTA ≤ RTO und das Notbetriebsniveau wird erreicht

Grundsätzlich besteht in diesem Fall kein weiterer Handlungsbedarf seitens der Organisationseinheit, um den Wiederanlauf in den Notbetrieb sicherzustellen

Es muss jedoch dokumentiert werden, dass die vorhandenen Maßnahmen geeignet sind, um die Ressourcen innerhalb der geforderten Zeit zur Verfügung stellen zu können
Falls dazu weitere Schritte im Notfall durch die Organisationseinheit erforderlich sind, müssen diese im GFP dokumentiert werden
Wird im Notbetrieb eine Ersatzressource bereitgestellt, z. B. durch das Facility Management oder das ITSCM, dann muss die Organisationseinheit zusätzlich beschreiben, wie diese aus Sicht der Organisationseinheit eingebunden und genutzt werden kann
Sie muss beschreiben, welche Maßnahmen relevant sind, um den Notbetrieb zu erreichen, aufrechtzuerhalten sowie zurück in den Normalbetrieb zu überführen.

Da infolge der Einschränkungen des Notbetriebs mit Arbeitsrückständen zu rechnen ist, ist es empfehlenswert, dass die Organisationseinheit zusätzlich Maßnahmen beschreibt, die diese Nacharbeiten identifizieren und behandeln.

Fall 2: Die vorgegebenen Parameter werden nicht erreicht

In diesem Fall ist die zugesicherte Wiederanlaufzeit länger als die RTO oder das geforderte Notbetriebsniveau wird nicht erreicht

Im ungünstigsten Fall werden beide Parameter gleichzeitig nicht erfüllt.

Die Abbildung zeigt den Fall, dass zwar die RTA erreicht wird, jedoch nicht das geforderte Notbetriebsniveau

Dies tritt bei Ersatzressourcen auf, die gegenüber der ausgefallenen Originalressource über einen stark eingeschränkten Funktions- und Leistungsumfang verfügen, der auch nicht im zeitlichen Verlauf auf das geforderte Notbetriebsniveau gesteigert werden kann:

Beispiel: Nichterreichen des Notbetriebsniveaus

Im Falle eines Gebäudeausfalls wurde der Organisationseinheit zugesichert, innerhalb der RTO eine Ausweichlokation zu erhalten

In der Ausweichlokation stehen jedoch nicht genügend Arbeitsplätze für alle Mitarbeitenden mit zeitkritischen Aufgaben zur Verfügung.

Folgende Abbildung zeigt den Fall, dass zwar das Notbetriebsniveau erreicht wird, jedoch die zugesicherte Wiederanlaufzeit länger ist als die RTO

Dies tritt bei Ersatzressourcen ein, die zwar grundsätzlich über das nötige Notbetriebsniveau verfügen, die jedoch länger für den Wiederanlauf benötigen als gefordert.

Beispiel: RTA > RTO

Im Falle eines Gebäudeausfalls wurde der Organisationseinheit eine Ausweichlokation zugesichert

Die Ausweichlokation steht jedoch erst einen Tag nach Ablauf der RTO zur Verfügung.

Mischformen

Beispiel: RTA > RTO und Nichterreichen des Notbetriebsniveaus

Im Falle eines Produktionsausfalls wurde der Organisationseinheit zugesichert, dass eine der beiden für das Notbetriebsniveau erforderlichen Produktionsstraßen nach einem Zeitraum, der länger als die RTO ist, zur Verfügung steht. In allen Ausprägungen des Falls 2 existiert ein erhöhter Schaden, falls die betrachtete Ressource und damit der Geschäftsprozess ausfällt

Die Anforderungen des BCMS werden an dieser Stelle nicht erfüllt

Grundsätzlich gibt es folgende Möglichkeiten, mit dieser Situation umzugehen

Behebung durch Workarounds und Quickfixes
Risikoakzeptanz mit Behebung im Aufbau- oder Standard-BCMS

Behebung durch Workarounds und Quickfixes

In vielen Fällen lassen sich das Notbetriebsniveau und die geforderte Wiederanlaufzeit durch überschaubare Investitionen oder schnelle Workarounds erreichen, die nicht vollständig auf den vorhandenen Mitteln aufbauen, jedoch auch nicht einen solchen Umfang wie vollumfängliche BC-Strategien umfassen.

Hierbei ist es grundsätzlich empfehlenswert, Typ-2-Fälle möglichst durch Workarounds und Quickfixes zu behandeln und somit zu Typ-1-Fällen zu transformieren, die die Anforderungen des BCMS erfüllen

Die dazu erforderlichen Vorsorgemaßnahmen sollten im BCM-Maßnahmenplan (siehe 15.2 Ableitung von Korrektur- und Verbesserungs-maßnahmen (R+AS)) beschrieben werden.

Risikoakzeptanz mit Behebung im Aufbau- oder Standard-BCMS

In der Praxis werden in der Regel im Reaktiv-BCMS eine Reihe von Fällen bestehen, in denen die Anforderungen nicht in der geforderten Zeit oder auf dem geforderten Niveau erreicht werden können und gleichzeitig auch keine einfachen Möglichkeiten für Workarounds bestehen

Alternativ kann die Situation eintreten, dass zwar Workarounds möglich sind und auch angewendet werden, aber die die Anforderungen dennoch nicht vollständig erfüllt werden können.

Fallunterscheidung für unterschiedlich schwere Ausfälle

Es kann hilfreich sein, die zeitkritischen Ressourcen gemäß BIA innerhalb eines GFP anhand unterschiedlich schwerer Ausfallszenarien zu betrachten.

Nicht alle Notfallmaßnahmen müssen neu dokumentiert werden

falls diese bereits leicht verständlich in anderen Dokumenten beschrieben sind
Wenn bereits zutreffende Prozessbeschreibungen oder Arbeitsanweisungen der AAO existieren, kann auf die entsprechenden Textstellen in den bestehenden Dokumenten verwiesen werden
Um schnell auf diese Textstellen zugreifen zu können, sollten alle im GFP aufgeführten Dokumente am Ende des GFP noch einmal in einer Gesamtliste namentlich aufgeführt werden
Zusätzlich sollten je Dokument der jeweils relevante Abschnitt sowie der Ablageort referenziert werden
Es muss auch sichergestellt werden, dass die Ablageorte dem Schutzbedarf der Dokumente entsprechen und die Dokumente gleichzeitig im Notfall zugänglich sind.

Schwachstellen und Verbesserungsbedarfe, die innerhalb der Geschäftsfortführungsplanung identifiziert werden, sowie getroffene Annahmen und Lücken, die sich aus der Natur des Reaktiv-BCMS ergeben, müssen an die Rolle BCB gemeldet werden

Diese muss die identifizierten Lücken und Schwachstellen sowie Annahmen und Verbesserungsbedarfe in einem Maßnahmenplan vorhalten
Dadurch kann sichergestellt werden, dass keine Aspekte verloren gehen und alle in einem Aufbau- oder Standard-BCMS wieder aufgegriffen und behandelt werden.

Standard-BCMS

Standard-Notfallmaßnahmen

Notfallmaßnahmen im Standard-BCMS (AS)

Innerhalb der Erstellung der GFP müssen Notfallmaßnahmen entwickelt und dokumentiert werden, um ausgefallene Geschäftsprozesse in einem definierten Notbetrieb wiederaufzunehmen

Diese werden üblicherweise von den zuständigen Kontaktpersonen der GFP erstellt
Hierzu muss beschrieben werden, wie auf Basis der festgelegten BC-Strategien und -Lösungen die Geschäftsprozesse innerhalb der erforderlichen Zeit und auf dem Notbetriebsniveau wiederaufgenommen werden sollen
Im GFP sollten der Ablauf und die konkreten Tätigkeiten zur Wiederaufnahme der relevanten Geschäftsprozesse sowie die entsprechenden Zuständigkeiten dokumentiert werden
Die Notfallmaßnahmen sollten geeignet sein, die Geschäftsprozesse auf Notbetriebsniveau für die Dauer fortführen zu können, die in den BC-Strategien definiert ist.

Leitfragen

Folgende Leitfragen können dabei helfen, die erforderlichen Notfallmaßnahmen zu ermitteln:

Welche Informationen sollen an wen auf welche Weise weitergegeben werden?
Welche Notfallmaßnahmen müssen eingeleitet werden, um den gewünschten Zustand zu erreichen (z. B. Notbetriebsniveau)?
Wie lange würde die Durchführung der Notfallmaßnahmen dauern?
Welche Voraussetzungen müssten gegeben sein, um die Notfallmaßnahmen durchführen zu können?
Welche Reaktionen würden von anderen erwartet?

Wiederanlaufplanung der Ressourcen

Darüber hinaus sollten die Notfallmaßnahmen mit der aktuellen Wiederanlaufplanung der Ressourcen abgestimmt werden

Abschließend sollte beschrieben werden, wie die Geschäftsprozesse vom Notbetrieb in den Normalbetrieb überführt werden sollen und wie mit notwendigen Nacharbeiten, beispielsweise Arbeitsrückständen, verfahren werden soll.

Maßnahmen

Es wird empfohlen, die Notfallmaßnahmen am Ablauf der Notfallbewältigung auszurichten:

Maßnahmen, um den Notbetrieb zu erreichen (Wiederanlauf in den Notbetrieb)
Maßnahmen für die Geschäftsfortführung (Arbeiten im Notbetrieb)
Maßnahmen zur Rückführung in den Normalbetrieb (inklusive Nacharbeiten)

Beispiel

Gebäudeausfall

Für einen Gebäudeausfall wird den Organisationseinheiten im Rahmen der festgelegten BC-Strategie und -Lösung ein gleichwertiger Ausweichstandort zur Verfügung gestellt

Innerhalb des Wiederanlaufplans werden die Maßnahmen beschrieben, um den Ausweichstandort mit den benötigten Arbeitsmaterialien bereitzustellen
Innerhalb der GFP wird beschrieben, wie die Organisationseinheiten die zeitkritischen Mitarbeitenden an den Ausweichstandort entsenden und diese dort die Arbeit wiederaufnehmen
Die Erstellung der GFP umfasst z. B. Transportmöglichkeiten abzustimmen, notwendige Zutrittsberechtigungen zu erteilen oder zu planen, wie die Mitarbeitenden auf die vorhandenen Notfallarbeitsplätze im Notfall verteilt werden.

Darüber hinaus wird festgelegt, welche Maßnahmen für die Dauer des Notbetriebs am Ausweichstandort wichtig sind, z. B. Regelungen dazu,

wie mit vertraulichen Dokumenten am Ausweichstandort umgegangen wird,
wie Informationen auf Papier, z. B. Postsendungen, nachgesendet werden und
wie alternative, vor Ort befindliche Geräte, Maschinen oder Anlagen eingesetzt werden.

Abschließend wird beschrieben, wie die Organisationseinheiten vom Notbetrieb wieder in den Normalbetrieb zurückkehren können

Dies umfasst z. B. Mitarbeitende wieder auf die regulären Arbeitsplätze zu verteilen, den vertraulichen Transport von im Notbetrieb erstellten Dokumenten zu beauftragen oder temporäre Zutrittsberechtigungen zu löschen.

Sofern aus Sicht der Organisationseinheit der Geschäftsbetrieb durch zusätzliche Notfallmaßnahmen noch weiter abgesichert werden kann und die Maßnahmen leicht umsetzbar sind, ist es empfehlenswert, diese mit in den GFP zu übernehmen

So können neben den hauptsächlich anzuwenden Maßnahmen auch alternative Varianten aufgeführt werden.

Der Detailgrad der beschriebenen Maßnahmen sollte so gewählt sein, dass eine fachkundige dritte Person in der Lage wäre, die Geschäftsfortführung anhand des GFP umzusetzen.

Hinweis

Um die Notfallmaßnahmen strukturiert abarbeiten zu können, ist es empfehlenswert, diese anhand von Checklisten zu dokumentieren.

Werden Notfallmaßnahmen definiert, so kann es hilfreich sein, innerhalb eines GFP die zeitkritischen Ressourcen anhand unterschiedlich schwerer Ausfallszenarien zu betrachten

Ein Gebäudeausfall kann den Ausfall eines gesamten Standortes, eines einzelnen Gebäudes oder lediglich einzelner Gebäudeteile bedeuten
Bei einem gesamten Standortausfall könnte es notwendig sein, sämtliche Tätigkeiten oder eine vorhandene Produktion an einen Ausweichstandort zu verlagern
Fallen hingegen nur einzelne Gebäudeteile aus, kann die Verlagerung der Arbeitsplätze oder der Produktion innerhalb des Gebäudes oder Standortes ausreichend sein.

Beispiel

Für die Ressource Gebäude besteht in einer Institution die BC-Strategie, Mitarbeitende an eine Aufweichlokation oder in das Home-Offices zu verlagern

Um die Notfallmaßnahme für das Szenario eines Gebäudeausfalls besser umsetzen zu können, entscheidet sich die Organisationseinheit, das Szenario eines Gebäudeausfalls aufzuteilen
Für den Fall, dass nur einzelne Gebäudeteile ausfallen, verlagert sie die entsprechenden Mitarbeitenden an den Ausweichstandort
Für den Fall, dass das gesamte Gebäude ausfällt, verlagert sie Mitarbeitende, die mobil arbeiten können, in Home-Offices, da die Kapazität des Ausweichstandorts begrenzt ist
Mitarbeitende,die nicht mobil arbeiten können, werden an den festgelegten Ausweichstandort verlagert.

Nicht alle Notfallmaßnahmen müssen neu dokumentiert werden, falls diese bereits leicht verständlich in anderen Dokumenten beschrieben sind

Wenn bereits zutreffende Prozessbeschreibungen oder Arbeitsanweisungen der AAO existieren, kann auf die jeweiligen Textstellen in den bestehenden Dokumenten verwiesen werden
Um schnell auf die entsprechenden Textstellen zugreifen zu können, sollten alle im GFP aufgeführten Dokumente am Ende des GFP noch einmal in einer Gesamtliste namentlich aufgeführt werden
Zusätzlich sollten je Dokument der jeweils relevante Abschnitt sowie der Ablageort referenziert werden
Es muss auch sichergestellt werden, dass die Ablageorte dem Schutzbedarf der Dokumente entsprechen und gleichzeitig die Dokumente auch im Notfall zugänglich sind.