BCM nach ISO 22301

Wir bauen Ihr Business Continuity Management so, dass es im Alltag gepflegt wird und im Ernstfall trägt: Business-Impact-Analyse, belastbare Wiederanlaufziele, Notfall- und Wiederanlaufpläne und eine Notfallorganisation, die auch besetzt ist. Den Ausbaugrad bestimmen Sie, vom schlanken Einstieg nach BSI-Standard 200-4 bis zum zertifizierungsfähigen System nach ISO 22301.

Fast jede Organisation hat Backups, und fast keine kann sagen, welcher Prozess nach einem Ausfall zuerst wieder laufen muss und wie lange sie es ohne ihn tatsächlich aushält. Solange diese beiden Fragen offen sind, ist jede Wiederherstellung eine Improvisation, und im Zweifel entscheidet der, der am lautesten ruft.

Für viele kommt der Anlass inzwischen von außen. Das BSIG verlangt in § 30 Absatz 2 ausdrücklich Maßnahmen zur Aufrechterhaltung des Betriebs, einschließlich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Für Finanzunternehmen wird DORA in Artikel 11 noch deutlicher: eine eigene Leitlinie zur Geschäftsfortführung, eine Business-Impact-Analyse und Tests der Pläne mindestens einmal jährlich.

Beide Regelwerke sagen jedoch nicht, wie schnell Sie wieder laufen müssen. Diese Zahl kann Ihnen niemand vorgeben, sie kommt aus Ihrem Geschäft. Genau dort fängt BCM an.

Eine Risikoanalyse arbeitet mit zwei Größen: Eintrittswahrscheinlichkeit und Schadensausmaß. Womit ist zu rechnen, und was kostet es, wenn es eintritt? Die Business-Impact-Analyse fragt danach bewusst nicht. Sie unterstellt den Ausfall als eingetreten und misst nur noch, wie schnell der Schaden wächst. Die Risikoanalyse beantwortet also das Ob und das Wie viel, die BIA das Wie schnell. Zeitziele lassen sich ausschließlich aus der zweiten Frage ableiten, und deshalb ersetzt keine der beiden die andere.

Das Ergebnis dieser Betrachtung ist je kritischem Prozess eine Zahl: die maximal tolerierbare Ausfallzeit, kurz MTA. Sie beschreibt, wie lange dieser Prozess ausfallen darf, bevor der Schaden die Organisation ernsthaft gefährdet. Sie ist die einzige Größe im BCM, die nicht verhandelbar ist, denn sie kommt aus dem Geschäft und nicht aus der Planung.

Die MTA ist keine Zahl für das Unternehmen, sondern eine je Prozess. Die Produktion erreicht ihre Grenze in wenigen Stunden, das Kundenportal nach ein bis zwei Tagen, und bei der Buchhaltung entscheidet nicht die Dauer, sondern der Kalender. Wer daraus eine einheitliche Wiederanlaufzeit macht, überversorgt die einen und lässt die anderen ungeschützt.

Zur BIA gehören außerdem die Abhängigkeiten, ohne die kein Prozess läuft: Vorprodukte, Dienstleister, Standorte, Schlüsselpersonal und erst danach die IT. Für Finanzunternehmen ist die BIA nicht optional, Artikel 11 Absatz 5 DORA verlangt sie ausdrücklich, einschließlich der Betrachtung von Abhängigkeiten und deren Wechselwirkungen.

Aus der maximal tolerierbaren Ausfallzeit werden die beiden Zahlen, mit denen sich planen lässt. Sie sind schnell auseinanderzuhalten, wenn man sie auf eine Zeitachse legt: Der Ausfall liegt in der Mitte, die Verfügbarkeit bricht ein und kommt in Stufen zurück, und die beiden Ziele zeigen in verschiedene Richtungen.

Der praktische Wert liegt in dem, was aus den Zahlen folgt. Der RPO ist eine Aussage über Ihre Sicherungsfrequenz: Wer vier Stunden Datenverlust verkraftet, aber einmal nachts sichert, hat kein Zeitziel, sondern eine Hoffnung. Der RTO ist eine Aussage über Ihr Budget, denn jede Stunde weniger Wiederanlaufzeit kostet Redundanz, Vorhaltung oder Bereitschaft.

Ein Detail, das oft untergeht: Der RTO endet beim Notbetrieb, nicht beim Normalbetrieb. Zwischen beidem liegt in der Praxis die längste Strecke. Wer den RTO gegen den vollständigen Wiederanlauf plant, kauft Redundanz, die er nicht braucht; wer den Notbetrieb nicht definiert, weiß im Ernstfall nicht, wann er fertig ist.

Der häufigste Grund, warum BCM in mittelständischen Organisationen nie anfängt, ist die Größe des Vorhabens. Das BSI hat darauf reagiert und dem Standard 200-4 ein Stufenmodell mitgegeben. Es gibt zwei vereinfachte Einstiegsstufen und eine Vollstufe:

Nur die Vollstufe ist konform zur ISO 22301:2019 und damit zertifizierungsfähig. Für den BSI-Standard selbst ist derzeit keine Zertifizierung vorgesehen. Praktisch heißt das: Wenn niemand ein Zertifikat sehen will, können Sie mit dem Reaktiv-BCMS anfangen und trotzdem am Ernstfall gemessen besser dastehen als mit einem Ordner voller unerprobter Konzepte.

Wir arbeiten in der Reihenfolge, die trägt, und hören nicht auf, wenn die Pläne geschrieben sind:

Welche Stufe für Sie sinnvoll ist, klären wir am Anfang und nicht am Ende. Falls sich herausstellt, dass Sie mit einer geordneten Notfallorganisation und drei belastbaren Plänen schon weit kommen, sagen wir das auch.

Die häufigste Verkürzung: BCM sei das, was die IT nach einem Ausfall tut. Tatsächlich ist die technische Wiederherstellung nur ein Teil davon. BCM fragt zuerst nach dem Geschäftsprozess und erst danach nach den Systemen, und es umfasst auch die Fälle ohne IT-Bezug, den Ausfall eines Standorts, eines Vorlieferanten oder von Schlüsselpersonal.

Deshalb bauen wir auch keine technische Redundanz. Wir bestimmen, was sie leisten muss, und übersetzen das in Anforderungen an Ihre IT oder Ihren Dienstleister. Die Umsetzung im Rechenzentrum bleibt dort, wo die Verantwortung dafür ohnehin liegt.

Und wir zertifizieren nicht. Eine Zertifizierung nach ISO 22301 erteilt eine akkreditierte Stelle, nicht der Berater, der das System gebaut hat. Wir bereiten darauf vor und begleiten Sie durch das Audit, mehr wäre in der Rolle nicht zulässig.