Wie erstellt man einen Business-Continuity-Plan?

Jede Organisation ist Vorfällen ausgesetzt, die ihre Tätigkeit stoppen und die Fortführung des Geschäfts gefährden können. Deshalb braucht sie Pläne mit Reaktionsmaßnahmen, mit denen sich solche Ereignisse und ihre Folgen beherrschen lassen: einen Business-Continuity-Plan bzw. ein Business-Continuity-Managementsystem.

Was bringt die Einführung eines Business-Continuity-Managementsystems?

Mit einem eingeführten Business-Continuity-Managementsystem ist die Organisation in der Lage, Ereignisse zu überstehen, die sich negativ auswirken und den Fortbestand ihrer Tätigkeit gefährden können: Pandemien, Cyberangriffe, Brände, Erdbeben, Überschwemmungen usw.

Wie baut man ein Business-Continuity-Managementsystem auf?

Als gemeinsamer Rahmen für Einführung und Pflege eines Business-Continuity-Managementsystems dient die Norm ISO 22301, die von der Internationalen Organisation für Normung (ISO) entwickelt und veröffentlicht wird. Die geltende Fassung ist die ISO 22301:2019. Die wichtigsten Schritte oder Phasen der Einführung:

1. Den Anwendungsbereich festlegen: Ermitteln, welche Geschäftsprozesse der Organisation im BCMS berücksichtigt werden sollen.
2. Für jeden Prozess im Anwendungsbereich eine Business-Impact-Analyse (BIA, Business Impact Analysis) durchführen, um seine Kritikalität zu bestimmen. Sie umfasst:
   • Bestimmung der Kritikalität: Untersuchung der verschiedenen Auswirkungsarten (operativ, finanziell, rechtlich, reputationsbezogen usw.), die eine Unterbrechung des Geschäftsprozesses im Zeitverlauf hätte;
   • die zeitlichen Anforderungen und Ressourcen, die für die Fortführung der Tätigkeit und die Rückkehr zum Normalbetrieb nötig sind: Personal, Infrastruktur, Lieferanten, Dienste, Maschinen, eingesetzte Technologien, Wiederanlaufzeiten, maximal tolerierbare Ausfallzeit, Mindestniveaus der Wiederherstellung usw.
3. Eine Risikoanalyse durchführen, bestehend aus:
   • Ermittlung der möglichen Bedrohungen für die Werte, denen die Organisation ausgesetzt ist;
   • Bestimmung des Risikoniveaus jeder Bedrohung anhand ihrer Eintrittswahrscheinlichkeit und der Auswirkung bei Eintritt. Ein hohes Risiko zeigt, dass die Geschäftsfortführung für diesen Wert gefährdet ist;
   • Erstellung eines Risikobehandlungsplans mit meist vorbeugenden Maßnahmen, die die Eintrittswahrscheinlichkeit der Bedrohungen senken.
4. Auf Grundlage der Risikoanalyse die möglichen Krisenszenarien ermitteln und für jedes eine Wiederherstellungsstrategie festlegen.
5. Detaillierte Reaktions- und Wiederherstellungspläne für die ermittelten kritischen Szenarien erstellen und dokumentieren, mit allen Schritten von der Meldung des Vorfalls bis zur Rückkehr zum Normalbetrieb. Sie sollen verhindern, dass Entscheidungen fehlen oder improvisiert werden und die Lage dadurch verschlimmern oder unumkehrbar machen.
6. Tests und Übungen der Reaktions- und Wiederherstellungspläne durchführen, um zu prüfen, ob sie wirklich funktionieren und angemessen sind. Die Ergebnisse und aufgetretenen Probleme werden in Berichten festgehalten.
7. Überprüfungen und Audits des Managementsystems durchführen, damit es gepflegt, aktualisiert und mit Korrekturmaßnahmen versehen wird. So wird es fortlaufend verbessert.
8. Sensibilisierung: Maßnahmen umsetzen, die das Bewusstsein der Mitarbeitenden für Business Continuity und ihre Kenntnis der festgelegten Pläne fördern.

Mit einem Business-Continuity-Managementsystem ist jede Organisation, unabhängig von Branche und Größe, darauf vorbereitet, einen Sicherheitsvorfall, der ihre Tätigkeit beeinträchtigt, souverän zu bewältigen. Das gibt ihr mehr Sicherheit und Reaktionsfähigkeit für jeden Ernstfall. Bei GlobalSuite Solutions unterstützen und beraten wir Sie bei der Einführung eines Business-Continuity-Plans und auf dem Weg zur Zertifizierung. Außerdem bieten wir die vollständig von unserem Team entwickelte Software GlobalSuite®, mit der sich alle Anforderungen der Norm ISO 22301 in Organisationen jeder Art und Branche umsetzen, verwalten und pflegen lassen.