Ein Brand, ein Cyberangriff, der Ausfall eines wichtigen Lieferanten oder eine Pandemie: Manche Ereignisse treffen ein Unternehmen so stark, dass der normale Betrieb nicht mehr möglich ist. BCM bereitet darauf vor, indem vorab geklärt wird, welche Prozesse unverzichtbar sind, wie lange sie ausfallen dürfen und wie ein Notbetrieb aussieht. Es betrifft das ganze Unternehmen, nicht nur die IT.
Internationaler Bezugsrahmen ist die Norm ISO 22301 für Business-Continuity-Managementsysteme; in Deutschland beschreibt zudem der BSI-Standard 200-4 das Vorgehen. Auch NIS2 nennt die Aufrechterhaltung des Betriebs, etwa durch Backup-Management und Wiederherstellung nach einem Notfall, sowie das Krisenmanagement ausdrücklich als Teil der Risikomanagementmaßnahmen.
Wie funktioniert BCM?
- Business-Impact-Analyse: Für jeden Geschäftsprozess wird ermittelt, welche Folgen ein Ausfall im Zeitverlauf hat und welche Ressourcen er braucht, etwa Personal, Räume, IT und Lieferanten.
- Risikobewertung: Es wird untersucht, welche Bedrohungen diese Ressourcen ausfallen lassen könnten, siehe IT-Risikoanalyse.
- Strategien und Pläne: Für kritische Prozesse entstehen Notbetriebs- und Wiederanlaufpläne, zum Beispiel Ausweicharbeitsplätze, manuelle Ersatzverfahren oder alternative Lieferanten. Für die IT übernimmt die Disaster Recovery die Wiederherstellung.
- Krisenorganisation: Ein Krisenstab mit klaren Rollen, Entscheidungsbefugnissen und Kommunikationswegen wird festgelegt.
- Übungen und Verbesserung: Pläne werden regelmäßig geübt, ausgewertet und angepasst.
Typische Beispiele
- Ein Produktionsbetrieb legt fest, wie Aufträge bei einem mehrtägigen Ausfall des ERP-Systems manuell weiterbearbeitet werden.
- Ein Dienstleister stellt sicher, dass Mitarbeitende bei einem Ausfall des Bürogebäudes von zu Hause weiterarbeiten können.
- Ein Handelsunternehmen sichert sich bei einem kritischen Lieferanten mit einer zweiten Bezugsquelle ab.
Worauf Unternehmen achten sollten
- Mit den wirklich kritischen Prozessen beginnen, statt alles gleichzeitig zu betrachten.
- Notfallpläne kurz und im Ernstfall nutzbar halten, auch ausgedruckt oder offline.
- Abhängigkeiten von IT-Dienstleistern und Cloud-Diensten einbeziehen und vertragliche Zusagen wie SLAs prüfen.
- Übungen ernst nehmen, denn erst sie zeigen, ob Pläne funktionieren.
Abgrenzung
Disaster Recovery ist ein Teil des BCM und bezieht sich auf die IT. BCM betrachtet darüber hinaus Personal, Gebäude, Lieferketten und Kommunikation.
Dieser Eintrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.
Strategie und Beratung ansehen