ISOBCM-Strategien, Notfallhandbuch und Übungen
Nach der Business-Impact-Analyse legt die Organisation fest, wie sie ihre Wiederanlaufziele erreicht: mit Kontinuitätsstrategien je Ressource, einer Reaktionsstruktur aus Krisenstab und Notfallteams, dokumentierten Notfall- und Wiederanlaufplänen und einem Übungsprogramm, das die Pläne regelmäßig prüft. Die ISO 22301 regelt das in den Abschnitten 8.3 bis 8.6.
- Strategien setzen dort an, wo die BIA Lücken zeigt: Personal, Standorte, IT, Lieferanten, Informationen.
- Krisenstab entscheidet strategisch, Notfallteams setzen operativ um.
- Ein Notfallhandbuch bündelt Alarmierung, Rollen, Kommunikation und Wiederanlaufpläne.
- Ein ungeübter Plan ist eine Annahme: Übungen steigern sich vom Review bis zur Vollübung.
Welche Kontinuitätsstrategien gibt es?
| Ressource | Mögliche Lösungen |
|---|---|
| Personal | Vertretungsregeln, Wissensdokumentation, Schulung, Rufbereitschaft, Kooperation mit Partnern |
| Gebäude und Arbeitsplätze | Ausweichstandorte, mobiles Arbeiten, gegenseitige Nutzung von Standorten |
| IT und Daten | Redundante Systeme, Backups passend zur RPO, Wiederanlauf-Rechenzentrum, Notbetrieb ohne IT |
| Lieferanten | Zweitlieferanten, Sicherheitsbestände, vertragliche Kontinuitätszusagen |
| Informationen | Notfalldokumentation, die auch offline und ohne Zugriff auf Systeme verfügbar ist |
Wie ist die Reaktionsstruktur aufgebaut?
Bewährt hat sich eine Aufteilung in zwei Ebenen. Der Krisenstab trifft strategische Entscheidungen, steuert die Kommunikation und gibt Ressourcen frei. Notfallteams setzen die Wiederanlaufpläne in den Fachbereichen und in der IT operativ um. Für beide Ebenen sind Mitglieder, Stellvertretungen, Erreichbarkeit und Entscheidungsbefugnisse festzulegen.
Was gehört in ein Notfallhandbuch?
- Geltungsbereich, Verantwortlichkeiten und Freigabe durch die Leitung,
- Kriterien für Alarmierung und Eskalation, Meldewege, Alarmierungslisten,
- Zusammensetzung, Aufgaben und Arbeitsweise von Krisenstab und Notfallteams,
- Kommunikation nach innen und außen: Mitarbeitende, Kunden, Behörden, Medien,
- Sofortmaßnahmen und Notbetrieb je kritischer Aktivität,
- Wiederanlaufpläne je Prozess oder IT-Service mit Reihenfolge und Abhängigkeiten,
- Rückführung in den Normalbetrieb, Nachbereitung und Lessons Learned.
Praxisbewährt ist ein schlankes übergeordnetes Handbuch plus kurze, ausführbare Wiederanlaufpläne je Prozess, die im Ernstfall in Minuten statt Stunden lesbar sind.
Welche Übungsarten gibt es?
| Übungsart | Ziel | Aufwand |
|---|---|---|
| Plan-Review | Aktualität und Vollständigkeit der Pläne prüfen | gering |
| Planbesprechung (Tabletop) | Szenario am Tisch durchspielen, Lücken erkennen | gering bis mittel |
| Funktionstest | Technische Wiederherstellung prüfen, z. B. Rücksicherung | mittel |
| Stabsübung | Krisenstab unter Zeitdruck an einem realistischen Szenario | mittel bis hoch |
| Vollübung | Notbetrieb unter möglichst echten Bedingungen | hoch |
Jede Übung endet mit einer Auswertung. Die Erkenntnisse fließen in Pläne, Strategien und über die Managementbewertung in die Weiterentwicklung des BCMS.