Business Continuity Management

Definition

Business Continuity Management (BCM) ist der ganzheitliche Managementansatz zur Sicherstellung, dass kritische Geschäftsprozesse auch bei schwerwiegenden Störungen oder Cyberangriffen aufrechterhalten werden können. Es umfasst strukturierte Business Impact Analysen, umfassende Notfallpläne, detaillierte Wiederanlaufkonzepte und regelmäßige Übungen aller beteiligten Teams. Im NIS2-Kontext ist BCM eine explizit geforderte Sicherheitsmaßnahme, um die Auswirkungen von Sicherheitsvorfällen auf Geschäftsbetrieb, Kunden und regulatorische Verpflichtungen zu minimieren und die Betriebskontinuität zu gewährleisten. Gutes BCM unterscheidet sich von schlechtem durch tatsächlich getestete und funktionierende Wiederherstellungsmechanismen, nicht durch umfangreiche Papierdokumentationen.

Rechtsgrundlage

BCM-Anforderungen sind in § 30 Abs. 2 Nr. 5 BSIG verankert, der Business-Continuity-Management einschließlich Backup-Management, Notfallwiederherstellung und Krisenmanagement als verpflichtende technische und organisatorische Sicherheitsmaßnahme vorschreibt. Die technische Ausgestaltung orientiert sich an ISO 22301 (Business Continuity Management Systems) und dem BSI-Standard 200-4 (Notfallmanagement). Ausfallzeiten kritischer Dienste müssen dokumentiert und bei erheblicher Beeinträchtigung gemäß § 32 BSIG unverzüglich dem BSI gemeldet werden. Das BSI hat in seinen technischen Richtlinien Mindestanforderungen an Recovery-Zeiten für verschiedene Systemkategorien definiert, die bei der BCM-Planung berücksichtigt werden müssen.

Praktische Implikation

Ein funktionsfähiges BCM beginnt mit der Bestimmung der maximal tolerierbaren Ausfallzeiten für jeden kritischen Geschäftsprozess. Darauf aufbauend werden Recovery Time Objectives und Recovery Point Objectives für alle relevanten IT-Systeme abgeleitet und in Wiederherstellungsplänen dokumentiert. Regelmäßige Notfallübungen sind Pflicht — theoretische Pläne, die nie getestet wurden, bieten im Ernstfall keine Sicherheit und genügen nicht den BSI-Nachweisanforderungen an die Wirksamkeit der Maßnahmen. Mindestens jährliche Planübungen mit vollständiger Dokumentation der Ergebnisse und einer schriftlichen Nachbereitung sind zwingend empfehlenswert. Backup-Tests, bei denen Daten tatsächlich wiederhergestellt werden, müssen mindestens vierteljährlich durchgeführt und deren Ergebnisse mit Zeitstempel archiviert werden.

Verwandte Begriffe

• Risikoanalyse
• Incident Response
• ISMS
• Schwachstellenmanagement