Business Continuity Management: Business Continuity Management (BCM) bezeichnet die systematische Vorbereitung eines Unternehmens auf Störungen und Krisen, damit kritische Geschäftsprozesse auch bei einem Ausfall fortgeführt oder schnell wiederhergestellt werden können.
Kern eines BCM ist die Business Impact Analyse: Sie identifiziert, welche Prozesse für das Unternehmen zeitkritisch sind und welche maximal tolerierbare Ausfallzeit (Recovery Time Objective) diese verkraften, bevor wirtschaftlicher oder rechtlicher Schaden entsteht. Darauf aufbauend entstehen Notfallpläne, die konkrete Schritte für definierte Störszenarien wie IT-Ausfall, Cyberangriff oder Naturereignis festlegen.
- Business Impact Analyse: Was ist wie kritisch?
- Notfallpläne: Wer tut was, in welcher Reihenfolge?
- Übungen und Tests: Funktioniert der Plan auch real?
- Wiederanlauf: Wie kehrt der Normalbetrieb zurück?
ISO 22301 ist die eigenständige internationale Norm für Business Continuity Management. Innerhalb eines ISMS nach ISO 27001 taucht BCM zusätzlich in Anhang A auf, etwa bei Control 5.29 zur Informationssicherheit während einer Störung und 5.30 zur ICT-Bereitschaft für Business Continuity.
Ein häufiger Fehler ist, BCM auf IT-Notfallpläne zu reduzieren – ein vollständiges BCM betrachtet auch Personalausfall, Lieferantenausfall oder den Verlust von Betriebsstätten.
Ein oft unterschätzter Baustein ist die Kommunikation während einer Störung: Wer informiert wann Mitarbeitende, Kunden und gegebenenfalls Behörden, und über welchen Kanal, wenn die üblichen IT-Systeme selbst betroffen sind? Ohne einen vorab festgelegten, auch offline funktionierenden Kommunikationsweg verlieren Unternehmen in der akuten Krise oft wertvolle Zeit, gerade wenn E-Mail-Server oder Telefonanlage selbst Teil des Ausfalls sind.
Relevanz für die Zertifizierung
Für ein ISO-27001-Zertifikat reicht ein grober Notfallplan meist nicht: Der Auditor prüft, ob kritische Prozesse identifiziert, Wiederanlaufzeiten definiert und Notfallpläne mindestens einmal real getestet wurden. KCERT zertifiziert ISO 27001, nicht die eigenständige Norm ISO 22301 – Unternehmen, die ausschließlich einen BCM-Nachweis nach ISO 22301 benötigen, etwa auf Verlangen eines Großkunden, sollten das vorab klären. Für die meisten mittelständischen Betriebe reicht ein BCM-Baustein innerhalb des ISMS nach ISO 27001 aus. Auch die Zusammenarbeit mit kritischen Lieferanten sollte Teil der Überlegungen sein: Fällt ein zentraler Zulieferer aus, wirkt sich das oft ebenso schwerwiegend auf die eigene Lieferfähigkeit aus wie ein interner IT-Ausfall, wird in der Praxis aber deutlich seltener systematisch mitgedacht.
Häufige Fragen zu Business Continuity Management
Teilweise. ISO 27001 verlangt in Anhang A Controls 5.29 und 5.30 Maßnahmen zur Aufrechterhaltung der Informationssicherheit während einer Störung und zur ICT-Bereitschaft für Business Continuity. Ein umfassendes BCM über die gesamte Organisation hinweg regelt jedoch die eigenständige Norm ISO 22301, die KCERT aktuell nicht zertifiziert.
Ein IT-Notfallplan behandelt ausschließlich technische Ausfälle wie Serverabsturz oder Cyberangriff. Business Continuity Management ist breiter angelegt und betrachtet auch Personalausfall, Lieferantenausfall oder den Verlust von Betriebsstätten – mit dem Ziel, alle zeitkritischen Geschäftsprozesse handlungsfähig zu halten, nicht nur die IT.
Eine feste gesetzliche Frist gibt es nicht, gängige Praxis in ISO-27001-Audits ist aber mindestens eine jährliche Übung oder Simulation je kritischem Szenario. Ohne dokumentierten Test gilt ein Notfallplan im Audit meist als unzureichend nachgewiesen, selbst wenn er inhaltlich vollständig wirkt.