Business Continuity Management: Risiken frühzeitig erkennen

Die Coronapandemie oder die Flutkatastrophe im Ahrtal zeigen: Unternehmen müssen auf Krisen vorbereitet sein. Was tun, wenn die gesamte technische Infrastruktur ausfällt? Was tun im Störungs- und Notfall?

Durch Business Continuity Management können Risiken frühzeitig erkannt werden.

Was ist Business Continuity Management?

Als Business Continuity Management (BCM) wird ein strategischer Managementansatz bezeichnet, wie mit und nach betrieblichen Störungen sowie mit Notfällen umgegangen wird.

Was versteht man unter Business Continuity?

Business Continuity (auf Deutsch „Betriebskontinuität“) umfasst alle Maßnahmen und Prozesse, die im Rahmen des BCM ergriffen werden, um die Folgen einer Betriebsunterbrechung aufzufangen und die Ausfallzeiten zu minimieren. Der Begriff wird im Zuge der fortschreitenden Digitalisierung vor allem im Bereich der IT-Sicherheit verwendet.

Was macht ein Business Continuity Manager?

Als Business Continuity Manager oder Managerin sind Sie für die Implementierung eines BCM-Systems verantwortlich. Sie haben rechtliche Rahmenbedingungen, alle relevanten Risiken sowie nationale wie internationale Vorschriften im Blick. Zu den nötigen Qualifikationen zählen Führungs-, Management- und Kommunikationsstärke, Know-how zu den betrieblichen Abläufen sowie Flexibilität.

So wird ein Business Continuity Management System implementiert

Um in Krisensituationen die richtigen Entscheidungen treffen zu können, sollten Unternehmen auf alle denkbaren Eventualitäten vorbereitet sein. An diesem Punkt setzt ein Business Continuity Management System (BCMS) strategisch an. Es zeigt Handlungen auf, wie der Geschäftsbetrieb nach Störungen wieder aufgenommen werden kann.

Mögliche Szenarien, die Beeinträchtigungen der betrieblichen (IT-)Infrastruktur und weiterer Systeme zur Folge haben, sind:

• Epidemien und Pandemien
• Naturkatastrophen (Erdbeben, Tsunamis, Fluten, Brände, Vulkanausbrüche)
• Personelle Verluste (Unfälle, Anschläge, Krieg)
• Gesellschaftliche und politische Unruhen

Um ein BCMS zu implementieren, helfen Standards wie die Norm ISO 23001. Diese ähnelt anderen Managementsystemstandards. Vereinfacht zusammengefasst geht es in den einzelnen Schritten zur Implementierung eines Business Continuity Management Systems um die folgenden Fragen:

1. Was sind die Ziele der Organisation und welche Erwartungen haben die Stakeholder?
2. Welche Prozesse und Vorgänge sind elementar, um auf die Antwort auf die erste Frage eingehen zu können?
3. Was passiert bei der Unterbrechung dieser Prozesse und Vorgänge?
4. Welche Maßnahmen müssen ergriffen werden, damit diese wieder funktionieren?
5. Welche Ereignisse können Unterbrechungen auslösen? Hier unterscheidet die Theorie in „Fehler und Irrtum“, „höhere Gewalt“ und „kriminelle Handlungen“.
6. Welche Objekte (beispielsweise Gebäude, Server, Produktionselemente) wären im Störungsfall betroffen?

Der vertiefte Ansatz, um ein BCMS zu implementieren, ergibt sich aus der Kombination einer Business Impact Analyse (BIA) und einer Risikoanalyse. Egal, welcher Ansatz gewählt wird, eines haben alle gemeinsam: Praktische Vorbereitung ist wichtiger als die Theorie.

Daher empfehlen alle sich mit der Thematik beschäftigenden Organisationen die Durchführung regelmäßiger Übungen, um ein Verständnis für die im Notfall anfallenden Maßnahmen auch in der Belegschaft zu wecken. Zu diesen Organisationen zählen beispielsweise das Bundesamt für Sicherheit in der Informationstechnik (BSI) oder die Deutsche Gesellschaft zur Zertifizierung von Managementsystemen (DQS).

Alle anfallenden Maßnahmen werden vom Business Continuity Manager in einem Business Continuity Plan (BCP) zusammengefasst. Dieser enthält Notfallpläne, Krisenmanagementpläne, Business-Recovery-Pläne und weitere Maßnahmen.

Vor- und Nachteile des Kontinuitätsmanagements

Als Entscheider oder Entscheiderin tragen Sie die Verantwortung für alle am Ökosystem Ihres Unternehmens beteiligten Personen. Kontinuitätsmanagement oder BCM ist daher ein wesentlicher Bestandteil und als „Notfallplan“ ein Muss.

Das bringt auch einen Vorteil gegenüber Mitarbeitenden: Diese fühlen sich im Wissen um ein implementiertes BCMS sicherer. So trägt BCM zur Mitarbeiterzufriedenheit und Mitarbeiterbindung bei – vor, während oder nach Krisensituationen.

Vor allem in Zeiten zunehmender Vernetzung, dem Internet of Things (IoT) und der Industrie 4.0 wird die Sicherheit von IT-Systemen und der gesamten Dateninfrastruktur immer wichtiger. Gegen Ausfälle, Cyberattacken & Co. vorbereitet zu sein und im Ernstfall handlungsfähig zu bleiben, verschafft einen Wettbewerbsvorteil.

Wirkliche Nachteile gibt es beim BCM nicht.

Beispiel von Business Continuity Management nach ISO 22301

Um die komplexe Theorie greifbar zu machen, hier ein Beispiel: Stellen Sie sich einen klassischen Produktionsbetrieb vor, bei dem infolge eines Erdbebens die Produktion zum Stillstand kommt und das IT-System gänzlich ausfällt.

Folgende Maßnahmen könnten gemäß des Business Continuity Plans greifen:

• Kommunikation: Bestimmte Mitarbeitende aus allen Geschäftsbereichen sind mit „Notfalltelefonen“ ausgestattet, die nicht wie die Standardtelefone an die IT angeschlossen sind, sondern extern über das Mobilfunknetz funktionieren. So wird die Kommunikation aufrechterhalten.
• Entscheidungshoheit: Nicht nur Führungskräfte, auch weitere Mitarbeitende haben im Notfall Befugnisse, Dinge zu entscheiden. Zudem sind beispielsweise Zugänge zu IT-Systemen nicht nur über eine Person zugänglich.
• IT-Infrastruktur: Sind Daten bei Störungen von Servern oder der Cloud anderweitig zugänglich? Sicherungskopien sind im Notfall erreichbar.
• Verletzungen: Infolge des Erdbebens gibt es zahlreiche Verletzte. Im BCP ist genau beschrieben, wo umliegende Krankenhäuser sind, welche Institute bei welchen Verletzungen angefahren werden und wie im Akutfall in der Produktionsstätte notversorgt werden kann.

Das sind nur vier Beispiele, wie ein BCMS bzw. ein BCP in der Praxis aussehen könnte. Eine regelmäßige Simulation wichtiger Teile davon ist unerlässlich.

Fazit: BCM als Schutzmechanismus

Das plötzliche Auftreten der Coronapandemie, mögliche Kriegs- und Konfliktsituationen oder die zunehmende Anzahl an Naturkatastrophen im Zuge des Klimawandels: Potenzielle Bedrohungen für den Erhalt eines Unternehmens sollten nicht ignoriert werden.

Business Continuity Management ist daher kein Managementtool, das nur großen Firmen vorbehalten ist. Jede Organisation sollte sich mit der Frage beschäftigen, welche Auswirkungen beispielsweise ein Ausfall der IT-Systeme hätte und welche Maßnahmen ergriffen werden müssen, um den laufenden Betrieb aufrechtzuerhalten.

Orientierung für Business Continuity Manager und Managerinnen bieten diverse Standards und Normen, auf deren Basis die eigene Organisation betrachtet und ein individueller Business Continuity Plan entwickelt werden kann.

Titelbild: Holger Leue / iStock / Getty Images Plus