Business Continuity Management: Tipps

Beinahe 100 Jahre lang produzierte die Firma Fasana aus Euskirchen Papierservietten. Dann, im Mai 2025, fiel sie einem Hackerangriff zum Opfer. Die Folge: Weil die Computersysteme des Herstellers rund zwei Wochen lang komplett lahmgelegt waren, erlitt das Unternehmen Umsatzausfälle von etwa zwei Millionen Euro und musste Insolvenz anmelden.

Ereignisse wie dieses lassen sich nicht ausschließen. Aber mit einem Business Continuity Management (BCM) können Unternehmen dafür sorgen, dass sie im Notfall vorbereitet sind und ein Hackerangriff oder ein Brand nicht zu einer existenziellen Bedrohung wird. 

Naturkatastrophen, Cyberangriffe, Lieferengpässe oder unerwartete Systemausfälle: Unternehmen sind einer Vielzahl von Risiken ausgesetzt, die den Geschäftsbetrieb empfindlich stören oder, wie im oben angegebenen Beispiel, sogar stoppen können.

Vor diesem Hintergrund hat ein systematisches BCM folgende Vorteile:

·         Minimierung von Ausfallzeiten: Unternehmen können den Geschäftsbetrieb nach einem Vorfall schnellstmöglich wiederaufzunehmen.

·         Schutz vor finanziellen Verlusten: Je länger ein Unternehmen stillsteht, desto höher sind die Folgekosten. BCM hilft, diese Kosten zu begrenzen.

·         Stärkung der Resilienz: Unternehmen mit klar definierten Notfallplänen und Ausweichprozessen sind krisenfester und bleiben auch unter schwierigen Bedingungen handlungsfähig.

·         Vertrauen bei Kund:innen und Geschäftspartner:innen: Ein Business Continuity Management signalisiert Stabilität und erhöht das Vertrauen bei Kund:innen, Geschäftspartner:innen und der breiten Öffentlichkeit.

·         Erfüllung gesetzlicher und vertraglicher Anforderungen: In vielen Branchen fordert der Gesetzgeber von Unternehmen, sich systematisch auf Notfälle vorzubereiten.

Seit 2023 gibt es einen neuen Standard, der den Einstieg ins BCM erleichtert: Der BSI 200-4 ging am 14. Juni 2023 an den Start. Laut Christoph Thiel ist er „im Wesentlichen eine Konkretisierung, man könnte fast sagen Anleitung für die ISO 22301 – immer mit einem Auge auf Deutschland und den restlichen Grundschutz.“ 

Anders als sein Vorgänger ist der BSI-Standard 200-4 selbsterklärend. Er lässt sich, obwohl er teilweise auf andere Standards Bezug nimmt, alleine lesen. Außerdem kommt er den unterschiedlichen Bedürfnissen von Unternehmen entgegen, indem er drei verschiedene Abstufungen eines BCM definiert: 

1. In der Einstiegsstufe, dem reaktiven Business Continuity Management, beschränken sich Unternehmen auf erste wesentliche Schritte. 

2. In der zweiten Stufe konzentrieren sie sich auf die wichtigsten Geschäftsprozesse, wenden für diese aber ein „richtiges Business Continuity Management System (BCMS)“ an. 

3. Am Ende steht ein vollumfängliches BCMS, das mit dem internationalen Standard ISO 22301 kompatibel ist. 

Schließlich enthält der BSI 200-4 viele Details zu unterschiedlichen Rollen und Abläufen im Notfall sowie Beispielmaterial und Schulungsvorlagen. 

Mit diesen Eigenschaften kommt der Standard laut Christoph Thiel vor allem kleinen Unternehmen und solchen, die zum ersten Mal ein Business Continuity Management angehen, entgegen: „Eine Geschäftsführung kann nun sagen: Wir haben angefangen und wir wissen, es ist nicht perfekt, aber wir haben im Rahmen unserer Möglichkeiten etwas getan und es ist sogar standardkonform.“ 

Die ISO 22301 eigne sich als international bekannter und anerkannter Standard vor allem für Unternehmen, die viel mit internationalen Partnern zusammenarbeiten. 

BCMS vs. ISMS – Unterschiede, Gemeinsamkeiten, Synergien

Business Continuity Management und Information Security Management beziehungsweise Informationssicherheitsmanagement werden oft in einem Atemzug genannt.

Allerdings unterscheiden sie sich in wichtigen Punkten voneinander:

• Das Business Continuity Management System konzentriert sich auf Notfälle.
• Ein Informationssicherheitsmanagement hat zum Ziel, die wesentlichen Informationen eines Unternehmens im normalen Betrieb zu schützen.

Christoph Thiel vergleicht diesen Unterschied mit dem zwischen Arzt und Notarzt: „Sie gehen zum normalen Arzt wegen eines Schnupfens. Der Notarzt versucht, Sie zu stabilisieren und ins Krankenhaus zu bringen, damit Sie überleben.“

Idealerweise besitzen Unternehmen beides, ein ISMS und ein BCMS, um sowohl im laufenden Betrieb als auch im Katastrophenfall geschützt zu sein. Außerdem sollten sie beim Aufbau einige Dinge beachten.

Für Christoph Thiel entscheiden zwei grundsätzliche Dinge darüber, ob ein Business Continuity Management ein Erfolg wird:

1. Die Geschäftsführung beziehungsweise Institutionsleitung muss eine Strategie festlegen, ihre Ziele klar kommunizieren und das Etablierung eines BCMs selbst begleiten. „Manche Unternehmensleitungen stellen sich auf den Standpunkt ‚Ich habe einmal gesagt, dass das Thema wichtig ist. Das muss reichen‘.“
2. Die Geschäftsleitung muss willens sein, die notwendigen Ressourcen für ein BCM bereitzustellen, auch wenn sich diese im Vorhinein oft nur grob abschätzen lassen.

Die Zahl der Firmen, die sich mit einem Business Continuity Management beschäftigen, nimmt zu. Laut Christoph Thiel hat das auch mit der aktuellen politischen Lage zu tun. „Es gibt einfach mehr Krisen. Damit steigt das Bewusstsein für die Krisenvorsorge.“

Trotzdem sei der Nachholbedarf weiter groß: „In Sachen Informationssicherheit stehen wir in Deutschland mittlerweile gar nicht schlecht da. Aber vielen Organisationen wird erst so langsam klar, dass das allein nicht reicht, um für Notfälle gewappnet zu sein.“

Letztendlich kann ein funktionierendes Business Continuity Management die Existenz von Unternehmen sichern – und dafür sorgen, dass ein Hackerangriff nicht zu einer Insolvenz führt.