Security & Compliance

Business Continuity Management (BCM)

Overview

Business Continuity Management (BCM) betrachtet die gesamte Organisation mit Prozessen, Personal, Gebäuden und Lieferanten, die IT ist ein Teil davon. Es klärt, welche Prozesse für das Unternehmen überlebenswichtig sind, wie lange sie ausfallen dürfen und was im Notbetrieb genügt. Disaster Recovery ist der IT-Teil davon, Hochverfügbarkeit ein technisches Mittel zur Vermeidung von Ausfällen.

Maßgebliche Standards sind ISO 22301 und der BSI-Standard 200-4 (Business Continuity Management), der den früheren BSI-Standard 100-4 abgelöst hat. ISO/IEC 27001:2022 verlangt zusätzlich Informationssicherheit während einer Störung und IKT-Bereitschaft für Business Continuity.

Für Einrichtungen unter NIS2 ist Aufrechterhaltung des Betriebs, Backup-Management, Notfallwiederherstellung und Krisenmanagement eine ausdrückliche Risikomanagementmaßnahme im BSIG. Damit wird BCM für viele Mittelständler seit dem 6. Dezember 2025 von einer Empfehlung zur Pflicht.

How it works

Der BCM-Zyklus läuft in mehreren Schritten:

  1. Leitlinie und Geltungsbereich durch die Geschäftsleitung festlegen.
  2. Business-Impact-Analyse (BIA): kritische Prozesse, Abhängigkeiten (IT, Personal, Gebäude, Lieferanten) und die maximal tolerierbare Ausfallzeit ermitteln.
  3. Risikoanalyse für die kritischen Prozesse durchführen.
  4. Kontinuitätsstrategien wählen, etwa Ausweichstandort, Homeoffice, manuelle Verfahren oder alternative Lieferanten.
  5. Notfall- und Wiederanlaufpläne schreiben und eine Krisenstruktur mit Krisenstab und Kommunikationsplan aufbauen.
  6. Übungen durchführen, vom Planspiel am Tisch bis zum echten Umschalttest, und die Erkenntnisse in die Pläne zurückführen.

Benefits

  • Priorisierung nach Geschäftswirkung statt nach technischem Bauchgefühl
  • Handlungsfähigkeit auch bei Ausfall von IT, Gebäude, Personal oder Lieferanten
  • Nachweis für NIS2, ISO 27001, ISO 22301, TISAX und Kundenaudits
  • Geordnete Kommunikation gegenüber Mitarbeitenden, Kunden und Behörden im Krisenfall

Practical example

Ein Lebensmittelhersteller mit 400 Mitarbeitenden führt eine BIA durch und stellt fest, dass die Auftragsannahme höchstens einen Tag ausfallen darf, die Buchhaltung dagegen eine Woche. Er legt einen Notbetrieb mit vorbereiteten Papierlisten für die Verladung fest und benennt einen Krisenstab mit Vertretungen. In einem halbtägigen Planspiel übt das Team den Ausfall des Hauptstandorts und findet dabei eine fehlende Rufnummernliste für Spediteure.

Things to keep in mind

  • BCM als Managementaufgabe verankern, ohne Rückhalt der Geschäftsleitung bleibt es ein IT-Papier
  • Die BIA mit den Fachbereichen erstellen, denn die IT kennt die Prozesskritikalität nicht allein
  • Notfallpläne offline und außerhalb der betroffenen Systeme verfügbar halten, auch ausgedruckt
  • Pläne mindestens jährlich üben und nach Änderungen an Prozessen oder Standorten aktualisieren
  • Abhängigkeiten von IT-Dienstleistern, Cloud-Anbietern und Lieferanten in die Analyse aufnehmen

Conclusion

BCM lohnt sich für jede Organisation mit zeitkritischen Prozessen und ist für NIS2-Einrichtungen Pflicht. Beginne mit einer schlanken BIA für die drei wichtigsten Prozesse statt mit einem dicken Handbuch, das niemand liest.

Further reading

Related articles