Business Continuity Planning (BCP): Bedeutung, BIA und Notfallplan

Was ist Business Continuity Planning?

„Business Continuity“ heißt Betriebsfortführung. Business Continuity Planning, kurz BCP, ist die Vorsorge dafür, dass ein Unternehmen auch dann weiterarbeiten kann, wenn etwas schiefgeht.

Auslöser kann vieles sein: ein Cyberangriff, ein Brand, ein Stromausfall, ein Hochwasser, der Ausfall eines wichtigen Lieferanten oder eine Grippewelle. Die Frage ist immer dieselbe: Was müssen wir tun, damit die wichtigsten Abläufe weiterlaufen?

Ein Beispiel: Ein Großhändler wird Opfer von Ransomware. Das Warenwirtschaftssystem ist verschlüsselt. Dank seines Notfallplans nimmt er Bestellungen zwei Tage lang telefonisch und auf Papier an. Gleichzeitig stellt die IT die Systeme aus geprüften Backups wieder her. Die Kunden merken kaum etwas.

BCP, BCM und Disaster Recovery

• BCM (Business Continuity Management): das gesamte Managementsystem mit Leitlinie, Rollen, Übungen und laufender Verbesserung.
• BCP (Business Continuity Planning): die Planung und die konkreten Pläne für den Ernstfall innerhalb des BCM.
• Disaster Recovery: der IT-Teil. Er regelt, wie Systeme und Daten wiederhergestellt werden.
• Incident Response: die Reaktion auf einen Sicherheitsvorfall, etwa einen Angriff. Siehe Incident-Response-Management.
• Krisenmanagement: die Führung in einer schweren Lage, oft durch einen Krisenstab.

Die Business Impact Analyse

Grundlage jedes Notfallplans ist die Business Impact Analyse (BIA), auf Deutsch Folgenanalyse. Sie klärt, welche Prozesse wie wichtig sind und was ein Ausfall kostet:

• Kritische Prozesse: Ohne welche Abläufe kann das Unternehmen nicht arbeiten, etwa Produktion, Auftragsannahme oder Gehaltszahlung?
• Folgen über die Zeit: Was passiert nach einer Stunde, einem Tag, einer Woche Ausfall? Finanziell, rechtlich, für Kunden und den Ruf.
• Maximal tolerierbare Ausfallzeit: Wie lange darf ein Prozess höchstens stillstehen, bevor der Schaden nicht mehr tragbar ist?
• Abhängigkeiten: Welche Menschen, Systeme, Räume und Lieferanten braucht der Prozess?

Daraus ergeben sich zwei zentrale Kennzahlen:

• RTO (Recovery Time Objective): Bis wann muss der Prozess oder das System wieder laufen?
• RPO (Recovery Point Objective): Wie viele Daten dürfen höchstens verloren gehen? Ein RPO von vier Stunden heißt: Höchstens die Daten der letzten vier Stunden dürfen fehlen. Das bestimmt, wie oft gesichert werden muss.

Ablauf in sechs Schritten

1. Rahmen festlegen: Die Geschäftsführung beschließt eine Leitlinie, benennt Verantwortliche und legt fest, welche Bereiche abgedeckt werden.
2. Business Impact Analyse: kritische Prozesse, Ausfallzeiten, RTO und RPO bestimmen.
3. Risiken bewerten: Welche Bedrohungen sind wahrscheinlich, welche Schwachstellen gibt es? Siehe IT-Risikomanagement.
4. Strategien entwickeln: zum Beispiel Ausweichstandort, Homeoffice, manuelle Notabläufe, zweiter Lieferant, redundante Systeme und Backups.
5. Pläne schreiben: Notfallhandbuch, Wiederanlaufpläne für die IT, Alarmierungsliste, Kommunikationsplan und Aufgaben des Krisenstabs.
6. Üben und verbessern: regelmäßig testen, Lehren ziehen, Pläne anpassen.

Was in einen Notfallplan gehört

• Alarmierung: Wer wird wann und wie informiert? Mit Telefonnummern, die auch ohne E-Mail und Netz erreichbar sind.
• Krisenstab: Wer entscheidet? Mit Vertretung für jede Rolle.
• Sofortmaßnahmen: Was ist in den ersten Stunden zu tun?
• Notbetrieb: Wie laufen die kritischen Prozesse eingeschränkt weiter?
• Wiederanlauf: In welcher Reihenfolge werden Systeme und Prozesse wiederhergestellt?
• Kommunikation: Was erfahren Mitarbeitende, Kunden, Behörden und Presse?
• Kontakte: Dienstleister, Versicherung, Rechtsberatung, Behörden.

Wichtig: Der Plan muss auch dann verfügbar sein, wenn die IT ausgefallen ist, etwa als Ausdruck oder auf einem getrennten System.

Backups als Grundlage

Ohne funktionierende Datensicherung gibt es keinen Wiederanlauf. Bewährt hat sich die 3-2-1-Regel: drei Kopien der Daten auf zwei verschiedenen Speichermedien, eine davon außer Haus. Gegen Ransomware hilft zusätzlich eine Kopie, die sich nicht verändern lässt oder vom Netz getrennt ist. Ebenso wichtig: Rücksicherungen regelmäßig testen.

Tests und Übungen

• Planbesprechung: Die Beteiligten gehen den Plan gemeinsam durch.
• Planspiel (Tabletop): Ein Szenario wird am Tisch durchgespielt, etwa ein Ransomware-Angriff.
• Funktionstest: Einzelne Schritte werden wirklich ausgeführt, etwa die Rücksicherung eines Servers.
• Vollübung: Ein Ernstfall wird möglichst realistisch simuliert, etwa der Umzug an einen Ausweichstandort.

Mindestens einmal im Jahr sollte geübt werden, außerdem nach größeren Änderungen.

Standards und Pflichten

• ISO 22301: die internationale Norm für Business-Continuity-Managementsysteme. Sie ist zertifizierbar.
• BSI-Standard 200-4: beschreibt das BCM im Rahmen des BSI IT-Grundschutz.
• ISO 27001: verlangt in A.5.29 Informationssicherheit bei Störungen und in A.5.30 die Bereitschaft der IT für die Betriebsfortführung.
• NIS-2: fordert von betroffenen Unternehmen Maßnahmen zur Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung, sowie Krisenmanagement. Siehe NIS-2.
• DORA: enthält für Finanzunternehmen eigene Vorgaben zur Betriebsfortführung der IT.

Häufige Fehler

• Nur IT im Blick: Auch Menschen, Gebäude und Lieferanten können ausfallen.
• Plan in der Schublade: Ein Plan, der nie geübt wurde, funktioniert im Ernstfall selten.
• Nicht erreichbar: Der Plan liegt nur auf dem Server, der gerade ausgefallen ist.
• Veraltete Kontakte: Telefonnummern und Zuständigkeiten ändern sich.
• Ungetestete Backups: Erst im Notfall zeigt sich, dass die Rücksicherung nicht klappt.

Software-Unterstützung

Das Modul Notfall- und Krisenmanagement von SecTepe.Core umfasst die Folgen-Analyse von Ausfällen (BIA), Szenarien, Krisenstab, Notfallübungen und ISO 22301.

Fazit

Business Continuity Planning sorgt dafür, dass ein Unternehmen auch bei Cyberangriffen, Bränden oder Lieferausfällen handlungsfähig bleibt. Grundlage ist die Business Impact Analyse mit klaren Zielen für RTO und RPO. Entscheidend sind Pläne, die auch ohne IT verfügbar sind, getestete Backups und regelmäßige Übungen.