Notfallmanagement / BCMS
Grundlagen
Ausgangslage in Unternehmen
Betriebsunterbrechungen – ob durch IT-Ausfälle, Cyberangriffe, Lieferkettenstörungen oder physische Ereignisse – gehören zu den zentralen Risiken für Unternehmen mit kritischen Geschäftsprozessen. Ein Business Continuity Management System (BCMS) stellt sicher, dass zeitkritische Prozesse im Notfall innerhalb definierter Zeiträume wieder aufgenommen werden können. Ohne strukturiertes Notfallmanagement fehlt es in der Praxis häufig an einer nachvollziehbaren Verbindung zwischen den Anforderungen eines Prozesses an seine Verfügbarkeit und der tatsächlichen Wiederanlauffähigkeit der zugrundeliegenden Systeme. ACONO implementiert auf Basis von TopEase ein durchgängiges BCMS, das Business Impact Analyse, Geschäftsfortführungsplanung und Notfallmanagement auf einer gemeinsamen Datenbasis verbindet.
Für wen ist dieser Use Case relevant?
Ein strukturiertes Notfallmanagement beziehungsweise BCMS ist insbesondere relevant für:
- Institute unter DORA, die im Rahmen des IKT-Risikomanagements auch Verfügbarkeitsrisiken auszuweisen haben, z.B.
- Banken, u.a. Privatbanken, Förderbanken, Kreditinstitute, …
- Wertpapierfirmen
- Betreiber von Handelsplätzen / Börsenbetreiber
- Anbieter von Krypto-Dienstleistungen
- Asset Manager
- Versicherungsunternehmen und Rückversicherer
- sowie weitere…
- Betreiber kritischer Infrastrukturen (KRITIS), etwa in der Wasser- und Energieversorgung, Netzbetreiber, Eisenbahnverkehrsunternehmen (EVU), Gesundheitswesen / Kliniken / Krankenhäuser, aber auch in der Lebensmittelproduktion und Lebensmittelverarbeitung, soweit diese als kritisch gem. der Schwellwerte eingestuft ist
- Unternehmen im Anwendungsbereich von NIS-2, die ein Risikomanagement für Netz- und Informationssysteme einschließlich Business Continuity nachweisen müssen
- Banken und Versicherungen, für die zusätzlich MaRisk, BAIT beziehungsweise VAIT Anforderungen an das Notfallmanagement stellen
- Industrieunternehmen mit kritischen Produktionsprozessen, für die auch außerhalb formaler KRITIS-Pflichten ein funktionierendes Notfallmanagement wirtschaftlich sinnvoll ist
Konsequenzen bei Nichthandeln
Ein fehlendes oder unzureichendes BCMS kann insbesondere im Anwendungsbereich von DORA, NIS-2 oder KRITIS mit Compliance-Risiken verbunden sein – von aufsichtsrechtlichen Nachfragen und Auflagen bis hin zu weitergehenden Konsequenzen im jeweiligen Regulierungsregime. Wir sind keine Rechtsanwaltskanzlei und können und wollen an dieser Stelle keine rechtsverbindliche Einschätzung Ihrer individuellen Situation abgeben; für eine belastbare rechtliche Bewertung empfehlen wir die Hinzuziehung einer entsprechenden Rechtsberatung. Unabhängig von der regulatorischen Einordnung zeigt unsere Erfahrung, dass ein fehlendes Notfallmanagement im tatsächlichen Krisenfall zu deutlich längeren Wiederanlaufzeiten und höheren wirtschaftlichen Schäden führen kann, als es eine vorbereitete Geschäftsfortführungsplanung ermöglicht hätte.
Regulatorische Grundlagen
Der Aufbau eines BCMS orientiert sich methodisch am BSI-Standard 200-4, der das Notfallmanagement in die Bereiche Notfallvorsorge und Notfallbewältigung gliedert und dabei unter anderem die Durchführung einer Business Impact Analyse (BIA), die Geschäftsfortführungsplanung, die Wiederanlaufplanung sowie regelmäßige Übungen und Tests vorsieht. Ergänzend fordert DORA die Ausweisung von Schutzbedarfsrisiken im Rahmen des IKT-Risikomanagements, wozu insbesondere Verfügbarkeitsrisiken zählen. Im Finanzsektor stellen zusätzlich MaRisk und BAIT beziehungsweise VAIT Anforderungen an das Notfallkonzept. Für Betreiber kritischer Infrastrukturen sind darüber hinaus branchenspezifische Sicherheitsstandards (B3S) einschlägig, international orientiert sich Business Continuity Management häufig an ISO 22301.
Disclaimer: Regulatorische Vorgaben und deren Versionsstände entwickeln sich regelmäßig weiter, analog der TopEase Solution Landscape. Daher sollte dieser Überblick nicht als abschließende oder rechtsverbindliche Auslegung verstanden werden, sondern einen ersten rechtlich unverbindlichen Orientierungsrahmen für interessierte GRC End-Nutzer und Entscheider bieten – siehe hierzu auch unseren allgemeinen Hinweis zu Wiki-Inhalten.
TopEase Solution Landschaft im BCMS
Das Notfallmanagement in TopEase setzt sich aus zwei zentralen, aufeinander abgestimmten Solutions zusammen.
BIA Assessment
Die Business Impact Analyse wird in TopEase workflowgestützt durchgeführt. Dabei werden für zeitkritische Prozesse die Vorgabezeiten für die Wiederherstellung ermittelt – insbesondere der MTPD, die Wiederanlaufzeit (RTO, Recovery Time Objective) und der maximal tolerierbare Datenverlust (RPO, Recovery Point Objective) für die Assets, welche dann via Vererbung aus den einzelnen Prozessen an die zugrundeliegenden Assets weitergegeben wird.
BCM Manager
Notfallrelevante Informationen werden in TopEase direkt am Prozess gepflegt. Der BCM Manager bildet unter anderem die Geschäftsfortführungsplanung ab, aus der sich der Report „Geschäftsfortführungsplan“ ableitet, sowie die Themen Testen und Üben und das Vorfallsmanagement im Rahmen der Notfallbewältigung. Zusätzlich werden hier die Ergebnisse der BIA auf den jeweiligen Prozessen dargestellt.
Ein zentrales Element ist dabei die Gegenüberstellung von Soll- und Ist-Werten: Den am Prozess hinterlegten Vorgabezeiten (RTO/RPO) werden die tatsächlichen Wiederanlauffähigkeiten des zugrundeliegenden Assets gegenübergestellt (RTA/RPA, Recovery Time beziehungsweise Recovery Point Actual). Weicht die Ist- von der Soll-Verfügbarkeit ab, wird dies als Verfügbarkeits-Gap und damit als Verfügbarkeitsrisiko auf dem Prozess ausgewiesen – die von DORA geforderte Ausweisung von Schutzbedarfsrisiken im Rahmen des IKT-Risikomanagements lässt sich damit direkt abbilden.
Integrierbarkeit und Erweiterbarkeit
Ist keine TopEase-Prozessmanagement-Solution im Einsatz, sondern eine Prozesslandschaft eines Drittanbieters, lassen sich die notfallrelevanten Prozessdaten über eine Schnittstelle, etwa im XML- oder BPMN-2.0-Format, in TopEase laden. Das auf Prozessebene ermittelte Verfügbarkeitsrisiko kann anschließend entweder in eine bereits vorhandene TopEase-Risikolösung übernommen werden – etwa das TopEase ISM-Risikomanagement oder TopEase NFR – oder über eine Schnittstelle an ein externes Risikomanagementsystem ausgegeben werden.
Sämtliche Abläufe im BCM Manager unterliegen einer elektronischen Workflowsteuerung. Benutzergruppen wie zentrale und dezentrale BCM-Verantwortliche lassen sich einbinden, sodass sich die Lösung auch in Großumgebungen mit dezentralen Zuständigkeiten einsetzen lässt.
Sie starten nicht bei null im BCMS Aufbau
ACONO verfügt über Musterkonfigurationen für das BCMS in TopEase nach BSI-Standard 200-4 sowie nach DORA, auf die beim Aufbau Ihres Notfallmanagements zurückgegriffen werden kann. Weitere Standards wie branchenspezifische Sicherheitsstandards (B3S) oder ISO 22301 lassen sich ebenfalls in TopEase abbilden und konfigurieren. Über die Geschäftsfortführungsplanung hinaus verfügt ACONO über eine umfangreiche Template Library, aus der sich weitere Reports konfigurieren lassen, etwa für Auditoren.
Benötigte Rollen und Aufwand in Ihrem Haus
Für den Aufbau und Betrieb des Notfallmanagements werden auf Ihrer Seite typischerweise zentrale sowie – je nach Organisationsgröße – dezentrale BCM-Verantwortliche benötigt, die im BCM Manager eingebunden werden. Durch die Musterkonfiguration und die vorhandene Template Library von ACONO bleibt der Aufwand für den Aufbau überschaubar; der konkrete Zeit- und Ressourcenbedarf hängt von der Anzahl und Komplexität Ihrer zeitkritischen Prozesse ab und wird individuell mit Ihnen abgestimmt.
Abgrenzung zu Alternativen
Notfallplanung auf Basis von Excel oder Word-Dokumenten stößt insbesondere bei einer wachsenden Zahl zeitkritischer Prozesse schnell an ihre Grenzen: Die Verknüpfung zwischen Prozessanforderungen und tatsächlicher Wiederanlauffähigkeit der Assets lässt sich manuell kaum konsistent nachhalten, Geschäftsfortführungspläne veralten schnell, und die Vorbereitung auf Übungen oder Audits wird zunehmend aufwendig. Ein toolgestützter Ansatz mit TopEase stellt demgegenüber sicher, dass Verfügbarkeits-Gaps automatisch aus den hinterlegten Soll- und Ist-Werten ermittelt werden, statt in Einzeldokumenten manuell nachgehalten zu werden.
Nutzen des TopEase BCMS für Ihr Unternehmen
Ein durchgängig in TopEase abgebildetes BCMS schafft Nachweisbarkeit gegenüber Aufsicht und Wirtschaftsprüfern, macht Verfügbarkeitsrisiken auf Prozessebene sichtbar und stellt sicher, dass Geschäftsfortführungspläne stets auf einem aktuellen Stand sind – statt im Ernstfall auf veraltete Dokumente zurückgreifen zu müssen. Durch die Integrierbarkeit mit bestehender Prozessmanagement-Software über Schnittstellen wie BPMN 2.0 lässt sich das Notfallmanagement zudem unabhängig von der bereits vorhandenen Systemlandschaft aufbauen.
Der besondere Mehrwert von ACONO liegt dabei in der durchgängigen Betreuung aus einer Hand: Als Management- und Technologieberatungsunternehmen begleitet ACONO Sie nicht nur bei der fachlichen Konzeption und technischen Umsetzung Ihres BCMS in TopEase, sondern auch im laufenden Betrieb danach – von der Musterkonfiguration nach BSI 200-4 und DORA bis zur kontinuierlichen Weiterentwicklung Ihres Notfallmanagements.
Gerne teilen wir auf Anfrage weitere Erfahrungswerte und Referenzen aus vergleichbaren TopEase-BCMS-Projekten mit Ihnen.
Weiterführend / Integration des BCMS in Ihr Unternehmen
Mehr zu den einzelnen Bausteinen der ACONO TopEase BCMS-Lösung finden Sie auf den jeweiligen Lösungsseiten zu BIA Assessment und BCM Manager sowie – für die Weiterverarbeitung von Verfügbarkeitsrisiken – zum Risikomanagement.
Im ersten, unverbindlichen Gespräch mit ACONO verschaffen wir uns gemeinsam einen Überblick über Ihre zeitkritischen Prozesse und Ihre bisherige Notfallplanung – etwa ob bereits eine BIA vorliegt, eine Betroffenheit unter DORA oder KRITIS besteht oder ein bestehendes Notfallmanagement in TopEase abgebildet werden soll – und leiten daraus einen Vorschlag für den Aufbau Ihres BCMS mit TopEase ab.