BSI-Standard 200-4: Business Continuity Management in drei Stufen
Was ist der BSI-Standard 200-4?
Der BSI-Standard 200-4 beschreibt, wie eine Organisation Business Continuity Management einführt, betreibt und verbessert. Er richtet sich an Business-Continuity-Beauftragte, Krisenstabsmitglieder, Sicherheitsverantwortliche und Institutionsleitungen, und zwar in Organisationen jeder Größe. Er setzt die Reihe der BSI-Standards 200-1 (ISMS), 200-2 (IT-Grundschutz-Methodik) und 200-3 (Risikomanagement) fort.
Der Standard umfasst gut 300 Seiten und steht kostenlos als PDF beim BSI. Dazu gibt es Hilfsmittel und Dokumentvorlagen mit Textbausteinen, etwa einen BIA-Auswertungsbogen, eine Vorlage für den Maßnahmenplan und den Dokumentenvergleich mit ISO 22301. Anhang A fasst die Anforderungen in einem Katalog zusammen, damit Leserinnen und Leser mit BCM-Erfahrung schnell einen Überblick bekommen.
Was hat sich gegenüber BSI 100-4 geändert?
Der BSI-Standard 200-4 ist eine Neukonzeption auf Basis von 100-4. Laut Änderungshistorie im Standard sind das die wichtigsten Neuerungen:
- Ausrichtung an ISO 22301:2019
- Stufenmodell mit Reaktiv-, Aufbau- und Standard-BCMS
- der Begriff Notfallmanagement wird durch Business Continuity Management (BCM) ersetzt
- neue Prozessschritte BIA-Vorfilter (zuerst Voranalyse genannt) und Soll-Ist-Vergleich
- Schnittstellen zu ISMS, IT-Service-Continuity-Management und Krisenmanagement
- eine ausführlichere Beschreibung der Bewältigungsorganisation (BAO)
- ein Kapitelaufbau, der dem BCM-Prozess Schritt für Schritt folgt
- mit Version 1.0 (Mai 2023): angepasste Definition der RTO und die neue BAO-Reaktionszeit
Wer bereits ein BCMS nach 100-4 oder ISO 22301 betreibt, dem empfiehlt der Standard den direkten Einstieg mit dem Standard-BCMS.
Störung, Notfall, Krise: die Grundbegriffe
Der Standard trennt drei Arten von Schadensereignissen nach ihren Folgen für die Zeit:
- Störung: Prozesse oder Ressourcen stehen nicht wie vorgesehen zur Verfügung. Die normale Organisation behebt sie, etwa über das Incident-Management. Störungen sind nicht Gegenstand des Standards.
- Notfall: eine Unterbrechung, die mindestens einen zeitkritischen Geschäftsprozess betrifft, der im Normalbetrieb nicht innerhalb seiner maximal tolerierbaren Ausfallzeit zurückkommt. Für die Bewältigung braucht es die BAO, es gibt aber passende Pläne. Ein Notfall darf schon ausgerufen werden, wenn die Unterbrechung nur droht.
- Krise: ein Schadensereignis mit erheblichen Folgen, für das keine passenden Notfallpläne vorliegen oder die vorhandenen nicht greifen. Die BAO entscheidet situativ.
Das Beispiel im Standard: Ein Stromausfall in einer Werkstatt ist eine Störung. Fällt ein großer Gebäudebereich aus und stehen zeitkritische Prozesse still, ist es ein Notfall. Sind auch die Ausweichstandorte betroffen und reichen die vorbereiteten Maßnahmen nicht mehr, liegt eine Krise vor.
Die drei Stufen: Reaktiv-, Aufbau- und Standard-BCMS
Die Stufen unterscheiden sich in zwei Dingen: wie viele Prozesse betrachtet werden und wie ausführlich die Methodik ist. Im Reaktiv-BCMS werden detaillierte Analysen bewusst zurückgestellt.
| Stufe | Was abgesichert wird | Vorteil | Nachteil |
|---|---|---|---|
| Reaktiv-BCMS | ausgewählte zeitkritische Prozesse, abgesichert mit vorhandenen Mitteln oder kleineren Investitionen | schnell handlungsfähig im Notfall | Lücken in Bereichen, die nicht oder nur teilweise betrachtet werden |
| Aufbau-BCMS | ein eingeschränkter Prozessumfang mit möglichst vielen der zeitkritischsten Prozesse | schrittweiser, ressourcenschonender Aufbau über mehrere Zyklen | Bereiche außerhalb des gewählten Umfangs bleiben ungesichert |
| Standard-BCMS | alle Geschäftsprozesse im Geltungsbereich | vollständige Absicherung, konform zu ISO 22301:2019 | höherer Ressourcenbedarf pro Zyklus |
Das Reaktiv-BCMS ist ausdrücklich nur ein Einstieg: Nach einem einzigen BCM-Zyklus muss es zu einem Aufbau- oder Standard-BCMS weiterentwickelt werden. Ziel ist laut Standard immer das Standard-BCMS, denn nur damit werden alle zeitkritischen Prozesse erkannt und abgesichert.
Welche Stufe passt zu Ihrer Organisation?
„Ein Reaktiv-BCMS ist grundlegend für den Einstieg geeignet, sofern keine regulatorischen Anforderungen dagegensprechen.“ So steht es in Kapitel 2.6.1. Für einen Einstieg mit Aufbau- oder Standard-BCMS nennt der Standard diese Kriterien:
| Kriterium | Einstieg mit Aufbau-BCMS | Einstieg mit Standard-BCMS |
|---|---|---|
| Gesetzliche oder regulatorische Anforderungen | ja, wenn alle regulierten Prozesse im gewählten Umfang liegen | ja |
| Solide Erfahrung mit Managementsystemen, z. B. ISMS | ja | nicht genannt |
| Erfahrung mit BCM oder Krisenbewältigung, z. B. eine bestehende BAO | ja | nicht genannt |
| BCMS nach BSI 100-4 oder ISO 22301 besteht bereits | nicht genannt | ja |
| Gute Ressourcenausstattung | ja | ja |
Für Einrichtungen unter NIS2 oder DORA ist die erste Zeile zu prüfen. Verlangen Gesetze, dass alle betroffenen Prozesse zeitnah untersucht und abgesichert werden, empfiehlt der Standard eher den Einstieg mit Aufbau- oder Standard-BCMS. Halten Sie die Wahl der Stufe und ihre Begründung schriftlich fest.
Aufbau des Standards: die Kapitel 3 bis 15
Ab Kapitel 3 folgt der Standard den Schritten des BCMS-Prozesses. Hinter jeder Kapitelüberschrift steht, für welche Stufen es gilt: Reaktiv (R), Aufbau (A) und Standard (S). Wer zunächst nur ein Reaktiv-BCMS umsetzt, muss nur die Kapitel mit R lesen.
| Schritt | Kapitel | Stufen |
|---|---|---|
| Initiierung durch die Institutionsleitung | 3 | R, A, S |
| Konzeption und Planung des BCMS | 4 | R, A, S |
| Aufbau und Befähigung der BAO | 5 | R, A, S |
| BIA-Vorfilter | 6 | R, A |
| Business Impact Analyse | 7 | R, A, S |
| Soll-Ist-Vergleich | 8 | R, A, S |
| BCM-Risikoanalyse | 9 | A, S |
| Business-Continuity-Strategien und -Lösungen | 10 | A, S |
| Geschäftsfortführungsplanung | 11 | R, A, S |
| Wiederanlauf- und Wiederherstellungsplanung | 12 | A, S |
| Üben und Testen | 13 | R, A, S |
| Leistungsüberprüfung und Berichterstattung | 14 | A, S |
| Aufrechterhaltung und Verbesserung | 15 | R, A, S |
Im Reaktiv-BCMS fehlen also die BCM-Risikoanalyse, eigene Business-Continuity-Strategien, die Wiederanlaufplanung und die Leistungsüberprüfung nach Kapitel 14. Üben und Testen gehört dagegen schon zur Einstiegsstufe. Kapitel 2 erklärt Begriffe und Grundlagen für alle, die zum ersten Mal ein Managementsystem aufbauen.
BIA, RTO und BAO-Reaktionszeit nach BSI 200-4
Herzstück ist die Business Impact Analyse (Kapitel 7). Im Reaktiv- und Aufbau-BCMS steht davor ein BIA-Vorfilter, der den Untersuchungsbereich grob auf die zeitkritischsten Einheiten eingrenzt. Die BIA bewertet für jeden Prozess, welcher Schaden über die Zeit entsteht. Bewährt haben sich laut Standard fünf bis acht Zeithorizonte, üblich sind drei bis fünf Schadenskategorien. Mindestens fünf Schadensszenarien sollten betrachtet werden, von der persönlichen Unversehrtheit bis zu finanziellen Folgen.
Daraus entstehen die Kennzahlen, mit deutschen Namen:
- MTPD (maximal tolerierbare Ausfallzeit, MTA): wie lange ein Prozess höchstens ausfallen darf.
- RTO (geforderte Wiederanlaufzeit, WAZ): der Zeitraum vom Ausrufen des Notfalls bis zur geforderten Inbetriebnahme der Notfalllösung.
- RPO (maximal zulässiger Datenverlust): wie alt die Daten im Notbetrieb höchstens sein dürfen.
- MBCO (Notbetriebsniveau): wie leistungsfähig der Notbetrieb sein muss.
Neu in Version 1.0 ist die BAO-Reaktionszeit: die Zeit vom Erkennen und Alarmieren über das Zusammentreten der BAO bis zum Ausrufen des Notfalls. Weil die RTO erst ab dem Ausrufen zählt, muss sie zwingend kürzer sein als die MTPD. Die Reaktionszeit wird von der MTPD abgezogen, dazu empfiehlt der Standard einen Puffer. Ein Rechenbeispiel steht im Beitrag RTO und RPO.
Üben und Testen nach BSI 200-4
Kapitel 13 beschreibt fünf Übungsarten:
| Übungsart | Was passiert | Stufe |
|---|---|---|
| Planbesprechung („Schreibtischtest“) | Ein Notfallplan wird mit den darin vorgesehenen Rollen durchgesprochen, ohne Handlungen real auszuführen. Geprüft wird, ob er plausibel, vollständig, korrekt und aktuell ist. | Aufbau und Standard, im Reaktiv-BCMS empfohlen |
| Stabsübung | Der Stab bewältigt ein vorgegebenes Notfallszenario und übt dabei Führungszyklus, Lagebesprechungen, Protokoll und Visualisierung. | alle Stufen, im Reaktiv-BCMS Pflicht |
| Stabsrahmenübung | Erweiterte Stabsübung, bei der operative Teams und Organisationseinheiten mitspielen. Eine besondere Form ist die Vollübung über alle Hierarchieebenen. | Aufbau und Standard |
| Alarmierungsübung | Die Alarmierungskette wird ausgelöst. Geprüft werden Kommunikationsmittel, Abläufe sowie Erreichbarkeits- und Rückrufquote. | alle Stufen, im Reaktiv-BCMS Pflicht |
| Funktionstest | Ein Notfallplan oder eine Maßnahme wird real ausgeführt, etwa ein Wiederanlauf-, Umschalt- oder Restore-Test. | Aufbau und Standard, im Reaktiv-BCMS empfohlen |
Für das Reaktiv-BCMS gilt: Stabsübung und Alarmierungsübung müssen regelmäßig stattfinden, Planbesprechung und Funktionstest sind empfohlen. Außerdem muss jede Organisation eine Jahresübungsplanung erstellen, die mindestens zwölf Monate abdecken sollte. Als Beispiel für Häufigkeiten nennt der Standard eine Stabsübung mindestens jährlich und Funktionstests mindestens jährlich für Prozesse und Ressourcen mit einer RTO unter 24 Stunden.
Eine Tabletop-Übung entspricht methodisch einer Planbesprechung oder einer diskussionsbasierten Stabsübung am Szenario. Wie Sie das Übungsprogramm planen, steht unter Notfallübung. Wie ein BCM-Test abläuft und welche Dokumente der Standard je Übung erwartet, zeigt der Beitrag BCM-Test.
BSI 200-4, ISO 22301 und NIS2
ISO 22301: Das Standard-BCMS ist konform zu ISO 22301:2019. Wer es vollständig einführt und betreibt, erreicht laut Standard die Reife für eine Zertifizierung nach ISO 22301. Die Unterschiede und den Ablauf einer Zertifizierung erklärt der Beitrag ISO 22301.
NIS2: Für Unternehmen nennt das BSIG keinen bestimmten Standard. Es verlangt Maßnahmen zur Aufrechterhaltung des Betriebs und zum Krisenmanagement (§ 30 Abs. 2 Nr. 3 BSIG), die den Stand der Technik einhalten und einschlägige europäische und internationale Normen berücksichtigen sollen. Der BSI-Standard 200-4 liefert dafür eine nachvollziehbare Methode. Einrichtungen der Bundesverwaltung müssen dagegen die Mindestanforderungen aus den BSI-Standards und dem IT-Grundschutz erfüllen (§ 44 Abs. 1 BSIG). Welche weiteren Regelwerke BCM verlangen, zeigt der BCM-Leitfaden.
Häufige Fragen
Was ist der BSI-Standard 200-4?
Der BSI-Standard 200-4 ist die Anleitung des Bundesamts für Sicherheit in der Informationstechnik für den Aufbau eines Business-Continuity-Management-Systems (BCMS). Er liegt seit Mai 2023 in Version 1.0 vor, löst den BSI-Standard 100-4 ab und ist kostenlos als PDF erhältlich. Das BCMS lässt sich in drei Stufen aufbauen, die höchste ist konform zu ISO 22301:2019.
Ist der BSI-Standard 200-4 Pflicht?
Für Unternehmen nicht. NIS2 verlangt Maßnahmen zur Aufrechterhaltung des Betriebs und zum Krisenmanagement, in Deutschland nach § 30 Abs. 2 Nr. 3 BSIG, ohne einen bestimmten Standard vorzuschreiben. Der BSI-Standard 200-4 ist eine Methode, um diese Pflicht nachvollziehbar umzusetzen. Anders bei Einrichtungen der Bundesverwaltung: Sie müssen die Mindestanforderungen aus den BSI-Standards und dem IT-Grundschutz erfüllen (§ 44 Abs. 1 BSIG).
Was ist der Unterschied zwischen BSI 100-4 und 200-4?
Der BSI-Standard 200-4 richtet das frühere Notfallmanagement nach 100-4 an ISO 22301:2019 aus und nennt es Business Continuity Management. Neu sind unter anderem das Stufenmodell mit Reaktiv-, Aufbau- und Standard-BCMS, die Prozessschritte BIA-Vorfilter und Soll-Ist-Vergleich, die BAO-Reaktionszeit und ein Kapitelaufbau, der dem BCM-Prozess folgt.
Was ist ein Reaktiv-BCMS?
Die einfachste der drei Stufen. Abgesichert werden nur ausgewählte zeitkritische Prozesse, mit vorhandenen Mitteln oder kleineren Investitionen, damit die Organisation schnell auf Notfälle reagieren kann. Nach einem BCM-Zyklus muss das Reaktiv-BCMS zu einem Aufbau- oder Standard-BCMS weiterentwickelt werden.
Kann man sich nach BSI 200-4 zertifizieren lassen?
Der Standard nennt als Ziel die Zertifizierungsreife nach ISO 22301: Ein vollständig eingeführtes und betriebenes Standard-BCMS erfüllt die Anforderungen der ISO 22301:2019. Für den Abgleich stellt das BSI einen Anforderungskatalog (Anhang A) und das Hilfsmittel Dokumentenvergleich ISO 22301 bereit.
Welche Übungen verlangt der BSI-Standard 200-4?
Er beschreibt fünf Übungsarten: Planbesprechung, Stabsübung, Stabsrahmenübung, Alarmierungsübung und Funktionstest. Schon im Reaktiv-BCMS müssen Stabs- und Alarmierungsübungen regelmäßig stattfinden. Außerdem verlangt der Standard eine Jahresübungsplanung, die mindestens zwölf Monate abdecken sollte.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Maßgeblich sind die jeweils geltenden Gesetzes- und Verordnungstexte sowie der aktuelle Stand der nationalen Umsetzung.