Kurz beantwortet

Wie baut man BCM und Notfallmanagement auf?

Business Continuity Management () beginnt mit einer Business-Impact-Analyse: Welche Prozesse sind kritisch und wie lange dürfen sie ausfallen? Darauf folgen Notfallstrategien, ein Notfallhandbuch mit Sofortmaßnahmen und Wiederanlaufplänen, ein Krisenstab mit Alarmierung sowie regelmäßige Übungen. ISO 22301 legt die Anforderungen an ein zertifizierbares BCM-Managementsystem fest, der BSI-Standard 200-4 (2023) bietet einen praxisnahen Leitfaden – auch mit einem schlanken Einstieg für kleinere Organisationen.

Ein Ransomware-Angriff legt die Warenwirtschaft lahm, ein Wasserschaden trifft den Serverraum, der wichtigste IT-Dienstleister fällt aus. Was dann? Business Continuity Management gibt die Antwort, bevor die Frage drängend wird.

BCM, Notfall- und Krisenmanagement

  • Business Continuity Management stellt sicher, dass kritische Geschäftsprozesse bei Störungen weiterlaufen oder in vertretbarer Zeit wieder anlaufen.
  • Notfallmanagement regelt die konkrete Bewältigung eines Notfalls: Sofortmaßnahmen, Notbetrieb, Wiederanlauf.
  • Krisenmanagement übernimmt, wenn die Lage außergewöhnlich ist und Entscheidungen auf Leitungsebene erfordert – inklusive Kommunikation nach innen und außen.

Die zwei wichtigsten Referenzen

ISO 22301 ist die internationale Norm mit Anforderungen an ein Business-Continuity-Managementsystem. Sie folgt der gemeinsamen Struktur der ISO-Managementsysteme und ist zertifizierbar – gut kombinierbar mit einem ISMS nach ISO 27001.

Der BSI-Standard 200-4 des deutschen Bundesamts für Sicherheit in der Informationstechnik wurde am 14.06.2023 final veröffentlicht und löst den Standard 100-4 ab. Er beschreibt den Aufbau eines BCMS sehr praxisnah und bietet Einstiegsstufen, die besonders für kleinere Organisationen hilfreich sind. Für Österreich ist er nicht verbindlich, aber ein bewährter Leitfaden.

Die Bausteine

  1. Business-Impact-Analyse: Kritische Prozesse, Abhängigkeiten von IT, Personal, Gebäuden und Dienstleistern, tolerierbare Ausfallzeiten.
  2. Risikoanalyse: Welche Szenarien bedrohen diese Prozesse?
  3. Strategien: Wie lässt sich der Betrieb aufrechterhalten – Ausweichstandort, manueller Notbetrieb, alternative Dienstleister?
  4. Notfallhandbuch: Alarmierung, Sofortmaßnahmen, Wiederanlaufpläne je Prozess.
  5. Krisenstab: Zusammensetzung, Entscheidungsbefugnisse, Erreichbarkeit, Kommunikation.
  6. Backup und Wiederherstellung: mehrstufig, mit getrennter Kopie und Wiederherstellungstests.
  7. Übungen: vom Planspiel am Tisch bis zur Stabsrahmenübung.

Der schlanke Einstieg für KMU

Nicht jedes Unternehmen braucht sofort ein vollständiges Managementsystem. Ein pragmatischer Start konzentriert sich auf die drei bis fünf wichtigsten Prozesse: Für sie werden Abhängigkeiten und tolerierbare Ausfallzeiten erhoben, ein kompaktes Notfallhandbuch erstellt und ein Krisenstab benannt. Eine einseitige Notfallkarte mit Telefonnummern und ersten Schritten liegt ausgedruckt bereit. Von dort aus lässt sich das BCM schrittweise ausbauen – bis hin zur Zertifizierung nach ISO 22301, wenn Kunden oder Aufsicht das verlangen.

Warum Übungen den Unterschied machen

Ein Plan, der nie geübt wurde, zeigt seine Lücken erst im Ernstfall. Schon ein zweistündiges Planspiel mit der Geschäftsführung deckt typische Schwachstellen auf: veraltete Telefonlisten, unklare Entscheidungswege, fehlende Kommunikationskanäle, wenn E-Mail ausfällt.

Bezug zu NISG 2026

NIS2 nennt Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement ausdrücklich als Risikomanagementmaßnahmen. Für betroffene Einrichtungen ist BCM daher kein „Nice-to-have“ – mehr dazu unter NISG-2026-Maßnahmen.

Fazit

BCM muss nicht mit einem dicken Handbuch beginnen. Eine Business-Impact-Analyse der wichtigsten Prozesse, ein schlankes Notfallhandbuch und eine erste Übung schaffen in kurzer Zeit spürbare Resilienz. Wir begleiten Sie beim BCM und Notfallmanagement.