Business Continuity Management (BCM): Leitfaden zu Begriffen, Ablauf und Standards
Was ist BCM?
Business Continuity Management (BCM) ist der Managementprozess, der kritische Geschäftsprozesse identifiziert und so absichert, dass sie eine Störung überstehen. BCM soll nicht jeden Vorfall verhindern. Es soll die Handlungsfähigkeit erhalten und dafür sorgen, dass definierte Wiederanlaufzeiten eingehalten werden.
Die wichtigsten Begriffe
BIA (Business Impact Analyse)
Ermittelt die kritischen Prozesse und die Folgen ihres Ausfalls über die Zeit. Sie ist die Grundlage jeder BCM-Strategie.
RTO (Recovery Time Objective)
Die maximal tolerierbare Zeit bis zur Wiederherstellung eines Prozesses nach einer Störung.
RPO (Recovery Point Objective)
Der maximal tolerierbare Datenverlust, gemessen am Zeitraum vor der Störung.
MTPD / MTA
Die maximal tolerierbare Ausfalldauer, ab der ein Ausfall existenzbedrohend wird.
BCP / Notfallplan
Der Business Continuity Plan beschreibt konkret, wie der Betrieb im Krisenfall aufrechterhalten und wiederangefahren wird.
Auf zwei Bausteinen baut alles Weitere auf: Die Business Impact Analyse priorisiert Ihre Prozesse, RTO und RPO machen aus dieser Priorität konkrete Zielzeiten.
Der BCM-Lebenszyklus
BCM ist ein kontinuierlicher Kreislauf (PDCA-Prinzip):
- Kontext & Leitlinie: Geltungsbereich, Ziele und Verantwortlichkeiten festlegen.
- Analyse: Business Impact Analyse und Risikobewertung durchführen.
- Strategie: Maßnahmen zur Aufrechterhaltung und Wiederherstellung wählen.
- Umsetzung: Notfall- und Wiederanlaufpläne (BCP) erstellen.
- Übung & Test: Pläne regelmäßig erproben, z. B. mit Tabletop-Übungen.
- Bewertung & Verbesserung: Erkenntnisse auswerten und den Zyklus erneut durchlaufen.
Standards: ISO 22301 und BSI-Standard 200-4
ISO 22301 ist der internationale Standard für Business-Continuity-Managementsysteme (BCMS) und als einziger BCM-Standard zertifizierbar. Details stehen im Beitrag ISO 22301. In Deutschland liefert der BSI-Standard 200-4 einen detaillierten, stufenweisen Leitfaden für den Aufbau eines BCM. Beide verlangen ausdrücklich, dass die Pläne regelmäßig geübt und getestet werden.
BCM und Compliance
BCM ist auch regulatorisch verankert. NIS2 Art. 21 fordert die Aufrechterhaltung des Betriebs und ein Krisenmanagement. DORA verlangt Geschäftsfortführungs- und Notfallpläne und dass diese erprobt werden.
Die unterschätzte Pflicht: Pläne testen
Ein Plan, der nie geübt wurde, versagt im Ernstfall. Wie Sie BCM-Pläne effizient und prüffähig erproben, lesen Sie unter BCM-Test mit der Tabletop-Übung. Welche Übungsarten der BSI-Standard 200-4 vorsieht und wie oft geübt werden sollte, zeigt die Seite Notfallübung. Was in den Plan gehört, den Sie testen, erklärt der Beitrag IT-Notfallplan.
Häufige Fragen
Was ist Business Continuity Management?
BCM ist der Managementprozess, mit dem eine Organisation bei Störungen (etwa Cyberangriffen, Ausfällen oder Naturereignissen) ihre kritischen Leistungen aufrechterhält oder schnell wiederherstellt. Maßgebliche Standards sind ISO 22301 und der BSI-Standard 200-4.
Was ist der Unterschied zwischen RTO und RPO?
Das RTO (Recovery Time Objective) ist die Zielzeit, bis ein Prozess nach einer Störung wieder läuft. Das RPO (Recovery Point Objective) ist der maximal tolerierbare Datenverlust, also wie viel Datenaktualität im Ernstfall verloren gehen darf.
Muss man BCM-Pläne testen?
Ja. ISO 22301 verlangt ein Übungs- und Testprogramm. NIS2 verlangt Maßnahmen zur Aufrechterhaltung des Betriebs und Verfahren, mit denen Sie deren Wirksamkeit bewerten (Art. 21 Abs. 2 lit. c und f). DORA schreibt vor, IKT-Geschäftsfortführungspläne mindestens jährlich zu testen (Art. 11 Abs. 6). Tabletop-Übungen sind dafür ein effizientes Mittel, das einen prüffähigen Nachweis liefert.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Maßgeblich sind die jeweils geltenden Gesetzes- und Verordnungstexte sowie der aktuelle Stand der nationalen Umsetzung.