BCM-Test: Notfallpläne mit der Tabletop-Übung testen

Was prüft ein BCM-Test?

Ein BCM-Test prüft die tragenden Annahmen und Dokumente Ihres Business Continuity Managements gegen die Wirklichkeit. Im Mittelpunkt stehen fünf Prüfgegenstände:

• BIA-Annahmen: Stimmen Kritikalität, Abhängigkeiten und Prioritäten aus der Business Impact Analyse noch, etwa nach dem Wechsel eines Dienstleisters?
• RTO und RPO: Lassen sich die festgelegten Wiederanlaufzeiten und maximal tolerierbaren Datenverluste mit den vorhandenen Ressourcen tatsächlich erreichen?
• Geschäftsfortführungspläne (GFP): Können Fachbereiche mit Notbetrieb, Ausweichprozessen oder manuellen Workarounds weiterarbeiten?
• Wiederanlaufpläne (WAP): Sind Reihenfolge, Zuständigkeiten und Abhängigkeiten beim Wiederanlauf realistisch beschrieben?
• Besondere Aufbauorganisation (BAO): Greifen Alarmierung, Eskalation und Stabsarbeit? Sind Stellvertretungen benannt und erreichbar?

Gebündelt sind diese Pläne im Notfallhandbuch. Wie es aufgebaut ist, zeigt der Beitrag zum IT-Notfallplan.

Warum müssen BCM-Pläne getestet werden?

Notfallpläne veralten schneller, als sie geschrieben werden: Zuständigkeiten wechseln, Systeme werden abgelöst, Dienstleister kommen hinzu, und die Annahmen der Business Impact Analyse verschieben sich. Erst der Test zeigt, ob die RTO- und RPO-Vorgaben realistisch sind, ob die Eskalation funktioniert und ob alle Beteiligten ihre Rolle kennen. Ungeübte Pläne scheitern im Ernstfall meist an Erreichbarkeiten, unklaren Entscheidungswegen und improvisierter Kommunikation, seltener an der Technik. All das macht eine Übung von 60 bis 90 Minuten sichtbar.

Test oder Übung? Die Begriffe nach BSI 200-4

Umgangssprachlich heißt jede Überprüfung eines Notfallplans „BCM-Test“. Der BSI-Standard 200-4 behandelt beides gemeinsam im Kapitel „Üben und Testen“ und unterscheidet die Formen danach, wie viel real ausgeführt wird. Planbesprechung, Stabsübung und Alarmierungsübung trainieren vor allem Menschen und Notfallorganisation. Der Funktionstest führt einen Plan oder eine Maßnahme real aus, etwa einen Umschalt- oder Restore-Test. Für die Praxis heißt das: Ein Test hat ein klares Kriterium für bestanden oder nicht bestanden, eine Übung trainiert und bewertet Verhalten.

Details, Häufigkeiten und eine Checkliste je Übungsart finden Sie im Beitrag Notfallübung. Die Tabletop-Übung entspricht methodisch der Planbesprechung bzw. einer diskussionsbasierten Stabsübung am Szenario. Sie ist in 60–90 Minuten durchführbar und kommt ohne Eingriffe in Systeme aus. Sinnvoll ist ein gestuftes Programm: Tabletop-Übungen als Regeltakt, ergänzt durch Funktionstests für die kritischsten Systeme.

Was verlangen ISO 22301, NIS2 und DORA?

• ISO 22301 fordert ein Übungsprogramm mit dokumentierten Ergebnissen und abgeleiteten Verbesserungen (Abschnitt 8.5, siehe unten).
• NIS2 verlangt die Aufrechterhaltung des Betriebs samt Krisenmanagement und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen (Art. 21 Abs. 2 lit. c und f). National umgesetzt ist das in § 30 Abs. 2 BSIG bzw. § 32 Abs. 4 NISG 2026.
• DORA schreibt Finanzunternehmen vor, IKT-Geschäftsfortführungspläne sowie Reaktions- und Wiederherstellungspläne mindestens jährlich zu testen (Art. 11 Abs. 6).
• Der BSI-Standard 200-4 verlangt eine Jahresübungsplanung, die mindestens zwölf Monate umfassen sollte, und beschreibt fünf Übungsarten, von der Planbesprechung bis zum Funktionstest.

Testen ist damit Pflicht, teils aus Normen, teils aus dem Gesetz.

Übungsprogramm nach ISO 22301, Abschnitt 8.5

ISO 22301:2019 verlangt in Abschnitt 8.5 ein Programm aus Übungen und Tests, das die Wirksamkeit der Business-Continuity-Strategien und -Lösungen über die Zeit bestätigt. Übungen und Tests sollen:

• zu den Business-Continuity-Zielen passen und auf gut geplanten Szenarien mit klaren Zielen beruhen,
• Teamarbeit, Kompetenz, Sicherheit und Wissen der Beteiligten entwickeln,
• in der Summe die Strategien und Lösungen über die Zeit validieren,
• formalisierte Nachberichte mit Ergebnissen, Empfehlungen und Maßnahmen erzeugen,
• in geplanten Abständen und bei wesentlichen Änderungen stattfinden.

Aus den Ergebnissen müssen Verbesserungen folgen. Eine Jahresübungsplanung nach BSI 200-4 ist dafür eine geeignete Grundlage. Für die Zertifizierung zählt der dokumentierte Nachweis.

BCM-Test vs. Disaster-Recovery-Test

Ein Disaster-Recovery-Test prüft die technische Wiederherstellung, ein BCM-Test die Handlungsfähigkeit des ganzen Unternehmens. Die Unterschiede im Überblick:

Beide gehören zusammen: Ein erfolgreicher Restore nützt wenig, wenn niemand entscheidet, welches System zuerst zurückkommt. Und der beste Geschäftsfortführungsplan scheitert, wenn das Backup nicht lesbar ist.

Wie läuft ein BCM-Test als Tabletop-Übung ab?

1. Kritisches Szenario wählen, z. B. Ransomware mit Produktionsausfall oder Ausfall des zentralen Rechenzentrums.
2. Team in realen Rollen aufstellen (Krisenstab, IT, Fachbereiche, Kommunikation).
3. Szenario über Injects entwickeln und Entscheidungen unter Zeitdruck treffen.
4. Reaktion, Wiederanlauf-Reihenfolge und Kommunikation gegen die Plan-Vorgaben (RTO/RPO, Eskalationsstufen) prüfen.
5. After-Action-Report mit Lessons Learned und terminierten Maßnahmen erzeugen.

Woran scheitern BCM-Tests in der Praxis?

• Es übt nur die IT: Der Wiederanlauf betrifft auch Fachbereiche, Einkauf und Kommunikation. Fehlen sie, bleibt der Plan ungetestet.
• Das Szenario schont die Schwachstellen: Wer nur das übt, was sicher funktioniert, erzeugt Scheinsicherheit.
• Keine Konsequenzen: Erkenntnisse ohne Maßnahmen, Verantwortliche und Termine verpuffen bis zur nächsten Übung.
• Keine Dokumentation: Ohne Nachweis zählt die beste Übung im Audit nicht.

Der Nachweis fürs Audit

Jede Übung mit SecDrills endet mit einem dokumentierten After-Action-Report: Szenario, Teilnehmer mit Rollen, Entscheidungen mit Zeitstempeln und die Diskussionsergebnisse. Abweichungen vom Plan und den Maßnahmenplan leiten Sie daraus ab. Das ist der Beleg, den Auditoren für ISO 22301, NIS2 und DORA erwarten, und Sie können ihn direkt vorlegen. Wenn Sie regelmäßig üben, zeigen die Reports außerdem, ob Ihr Team von Übung zu Übung besser wird. Den größeren Zusammenhang erklärt der BCM-Leitfaden.

Häufige Fragen