Business Continuity Management
Abkürzung: BCM
Business Continuity Management ist der Prozess, mit dem eine Organisation sicherstellt, dass ihre wichtigsten Geschäftsprozesse auch bei schweren Störungen weiterlaufen oder binnen vertretbarer Zeit wieder anlaufen.
Der Unterschied zur Hochverfügbarkeit ist grundlegend und wird oft verwischt: Hochverfügbarkeit soll den Ausfall verhindern, BCM setzt ihn voraus. Wer nur in Redundanz investiert, hat für den Fall vorgesorgt, den die Redundanz abdeckt — und für keinen anderen.
Die Kennzahlen
Hier liegt der eigentliche Kern, und hier wird am häufigsten aneinander vorbeigeredet.
| Größe | Frage | Einheit |
|---|---|---|
| RTO – Recovery Time Objective | Wie lange darf es dauern, bis der Prozess wieder läuft? | Zeit |
| RPO – Recovery Point Objective | Wie viel Datenverlust ist hinnehmbar? | Zeit |
| MTA – maximal tolerierbare Ausfallzeit | Ab wann wird der Schaden existenziell? | Zeit |
Die beiden ersten werden regelmäßig verwechselt, obwohl sie Verschiedenes messen. Ein RPO von vier Stunden bedeutet, dass im Ernstfall bis zu vier Stunden Arbeit verloren sind — unabhängig davon, wie schnell die Systeme wieder laufen. Ein RTO von vier Stunden sagt nichts über den Datenstand.
Beide folgen aus der Business Impact Analyse: Für jeden Prozess wird ermittelt, welcher Schaden mit der Zeit entsteht. Erst daraus ergeben sich die Zielwerte — nicht umgekehrt aus dem, was die Technik gerade hergibt.
Die beiden Rahmenwerke
BSI-Standard 200-4 hat den früheren Standard 100-4 abgelöst und ist stufenweise angelegt: Ein Reaktiv-BCMS schafft zunächst Handlungsfähigkeit im Notfall, das Aufbau-BCMS baut die Struktur auf, das Standard-BCMS entspricht dem vollständigen Verfahren. Wie beim IT-Grundschutz ist die Stufung eine Frage der Reihenfolge, nicht des Anspruchs.
ISO 22301 beschreibt die international anerkannte Anforderung an ein Business-Continuity-Managementsystem und ist zertifizierbar. Der Aufbau folgt demselben Regelkreis wie beim ISMS.
Was die Regulierung verlangt
Ein eigenes Gesetz zum BCM gibt es nicht, aber mehrere verweisen darauf. Das BSI-Gesetz nennt in § 30 die Aufrechterhaltung des Betriebs ausdrücklich als Bestandteil der Risikomanagementmaßnahmen, einschließlich Backup-Management und Krisenmanagement. Betreiber kritischer Anlagen müssen nach dem KRITIS-Dachgesetz in ihrem Resilienzplan darlegen, wie sie nach einem Vorfall die Dienstleistung rasch wiederherstellen.
Damit ist BCM in beiden Gesetzen angekommen — in dem für die Cyberseite und in dem für die physische.
Was daran im Rechenzentrum hängt
Georedundanz ist die bekannteste BCM-Maßnahme, aber sie steht selten allein. Mindestens ebenso wichtig sind drei Punkte, die weniger kosten und häufiger fehlen:
Die Wiederanlaufreihenfolge. Nach einem Totalausfall lassen sich nicht alle Systeme gleichzeitig starten — Verzeichnisdienst, Namensauflösung und Datenbanken müssen vor den Anwendungen stehen, die sie brauchen. Diese Reihenfolge zu kennen ist Arbeit, die vorher erledigt sein muss.
Der Notbetrieb. Was geht ohne IT weiter, und wie lange? Ein Prozess, für den es kein manuelles Verfahren gibt, hat faktisch ein RTO von null.
Die Übung. Ein Plan, der nie durchgespielt wurde, ist eine Vermutung. Dasselbe gilt für das Backup, das noch nie zurückgespielt wurde, und für die Netzersatzanlage, die noch nie unter Last lief.
Abgrenzung
Hochverfügbarkeit. Technische Maßnahmen gegen den Ausfall einzelner Komponenten. BCM beginnt dort, wo sie nicht gereicht haben.
Desaster Recovery. Die Wiederherstellung der IT nach einem schweren Ausfall. Teilmenge des BCM, das auch Personal, Räume, Lieferanten und Kommunikation umfasst.
Notfallplan. Ein Dokument. BCM ist der Prozess, der es erzeugt, prüft und aktuell hält.
Konkurrierende Wartbarkeit. Betrifft geplante Eingriffe im Normalbetrieb, BCM das ungeplante Ereignis.
Normen
- BSI-Standard 200-4 – Business Continuity Management
- ISO 22301 – Sicherheit und Resilienz: Business-Continuity-Managementsysteme
- ISO/IEC 27031 – Leitfaden für die Bereitschaft der IKT für Business Continuity