ISOBCMS einführen: Schritt für Schritt nach ISO 22301
Ein Business-Continuity-Managementsystem (BCMS) führt man in acht Schritten ein: Auftrag der Leitung, Kontext und Geltungsbereich, Organisation und Rollen, Business-Impact-Analyse mit Risikobeurteilung, Strategien, Notfallpläne, Übungen sowie internes Audit mit Managementbewertung. Jeder Schritt entspricht einem Abschnitt der ISO 22301 und liefert einen prüfbaren Nachweis.
- Acht Schritte vom Leitungsauftrag bis zur Managementbewertung, jeweils mit Nachweis.
- Die Business-Impact-Analyse bestimmt alle späteren Prioritäten und Investitionen.
- Klein anfangen: zuerst die kritischsten Produkte und Standorte, dann erweitern.
- Erst nach einer Übung und einem internen Audit ist das System auditreif.
Welche Schritte gehören zur BCMS-Einführung?
| Schritt | Inhalt | ISO 22301 | Ergebnis / Nachweis |
|---|---|---|---|
| 1. Auftrag der Leitung | Ziele, Budget, Verantwortliche, BC-Politik | 5.1 bis 5.3 | Freigegebene BC-Politik, benannte BC-Verantwortliche |
| 2. Kontext und Geltungsbereich | Interessierte Parteien, Pflichten, Standorte, Produkte | 4.1 bis 4.4 | Dokumentierter Geltungsbereich, Anforderungsliste |
| 3. Organisation und Ressourcen | Rollen, Kompetenzen, Schulung, Kommunikation | 7.1 bis 7.5 | Rollenbeschreibungen, Schulungsnachweise |
| 4. BIA und Risikobeurteilung | Kritische Aktivitäten, MTPD, RTO, RPO, Bedrohungen | 8.2 | Freigegebene Wiederanlaufziele, Risikobewertung |
| 5. Strategien und Lösungen | Ersatzlösungen je Ressource, Kosten und Nutzen | 8.3 | Beschlossene Strategien, bereitgestellte Ressourcen |
| 6. Pläne und Notfallorganisation | Krisenstab, Alarmierung, Notfallhandbuch, Wiederanlaufpläne | 8.4 | Freigegebene Pläne, Alarmierungslisten |
| 7. Üben und testen | Übungsprogramm vom Plan-Review bis zur Stabsübung | 8.5, 8.6 | Übungsberichte mit Maßnahmen |
| 8. Bewerten und verbessern | Kennzahlen, internes Audit, Managementbewertung | 9, 10 | Auditbericht, Protokoll der Managementbewertung |
Schritt 1 bis 3: Wie schafft man die Grundlagen?
Am Anfang steht ein klarer Auftrag der Leitung. Er legt fest, welche Produkte, Standorte und Organisationseinheiten das BCMS abdeckt und wer verantwortlich ist. Bewährt hat sich, mit den wichtigsten Produkten und dem Hauptstandort zu beginnen und den Geltungsbereich später zu erweitern. Parallel werden gesetzliche, vertragliche und regulatorische Anforderungen gesammelt, etwa aus NIS-2, DORA oder Kundenverträgen.
Schritt 4: Warum ist die Business-Impact-Analyse so wichtig?
Die Business-Impact-Analyse zeigt, welche Aktivitäten zuerst wieder laufen müssen und wie lange ein Ausfall hinnehmbar ist. Aus ihr folgen die Wiederanlaufziele, an denen sich jede spätere Investition messen lässt. Fehlt sie, werden Maßnahmen nach Bauchgefühl oder nach IT-Technik priorisiert.
Schritt 5 und 6: Wie entstehen Strategien und Pläne?
Für jede Ressource, deren Wiederanlauf die Ziele nicht erreicht, wird eine Lösung gewählt: Vertretung, Ausweichstandort, Redundanz, Zweitlieferant oder ein manueller Notbetrieb. Danach werden Krisenstab, Notfallhandbuch und Wiederanlaufpläne erstellt. Gute Pläne sind kurz, ausführbar und auch ohne IT verfügbar.
Schritt 7 und 8: Wann ist das BCMS auditreif?
Auditreif ist ein BCMS, wenn der Managementzyklus einmal vollständig durchlaufen ist: mindestens eine ausgewertete Übung, ein internes Audit und eine Managementbewertung mit Entscheidungen der Leitung. Erst dann lohnt sich der Schritt zur Zertifizierung.
Häufige Fragen zur Einführung
Womit fängt man bei der Einführung eines BCMS an?
Mit dem Auftrag der Leitung: Sie legt Ziele, Geltungsbereich und Verantwortliche fest und stellt Ressourcen bereit. Ohne diesen Auftrag fehlt der Business-Impact-Analyse die Verbindlichkeit.
Braucht man für ein BCMS eine Software?
Nicht zwingend. Ab mehreren Standorten, vielen Prozessen oder regelmäßigen Audits erleichtert eine Software aber die Pflege von BIA, Plänen, Übungen und Nachweisen erheblich, weil alles verknüpft und versioniert ist.