Kurzdefinition: Business Continuity Management (BCM) ist das planvolle Sicherstellen, dass kritische Geschäftsprozesse einen Vorfall überstehen und möglichst schnell wieder anlaufen. Es geht über die IT hinaus und umfasst Notfallpläne, Wiederanlaufziele, Zuständigkeiten und Übungen.
Was ist BCM?
Ein Managementsystem für die Aufrechterhaltung und Wiederherstellung kritischer Prozesse. Es identifiziert die wichtigsten Abläufe, definiert akzeptable Ausfallzeiten und hält Pläne für den Ernstfall bereit.
Was sind RTO und RPO?
Zwei zentrale Kennzahlen. Die Recovery Time Objective (RTO) ist die tolerierbare Ausfalldauer, die Recovery Point Objective (RPO) der maximal tolerierbare Datenverlust. Sie steuern die Auslegung der Maßnahmen.
Wie unterscheidet sich BCM von Incident Response?
Incident Response bewältigt den akuten Vorfall; BCM stellt sicher, dass das Geschäft trotz Vorfall weiterläuft und geordnet wieder anläuft. Beide greifen ineinander.
Warum ist BCM für die Versicherung relevant?
Weil gutes BCM die Ausfalldauer verkürzt. Das senkt den Betriebsunterbrechungsschaden und die Wahrscheinlichkeit, die Haftzeit der Versicherung zu überschreiten.
Wie hält man BCM wirksam?
Durch Übungen. Notfallpläne veralten schnell; regelmäßige Tests und Aktualisierungen stellen sicher, dass die Pläne im Ernstfall tragen.
Häufige Fehlannahmen
- „BCM ist reine IT-Sache.“ Nein. Es betrifft alle kritischen Geschäftsprozesse.
- „Ein Plan im Schrank genügt.“ Nein. Ungeübte Pläne versagen im Ernstfall.
- „BCM und Backup sind dasselbe.“ Nein. Backup ist ein Baustein, BCM der Rahmen.
- „RTO und RPO sind Technik-Details.“ Nein. Sie sind Leitungsentscheidungen.
- „BCM lohnt sich erst nach einem Vorfall.“ Nein. Es entfaltet seinen Wert gerade davor.
Was die Geschäftsleitung tun sollte
- Kritische Prozesse bestimmen. Die wichtigsten Abläufe identifizieren.
- Ziele setzen. RTO und RPO festlegen.
- Pläne erstellen. Notfall- und Wiederanlaufpläne aufbauen.
- Üben. Regelmäßig testen und aktualisieren.
Für die Geschäftsleitung
BCM sorgt dafür, dass das Geschäft einen Cyber-Vorfall übersteht und schnell wieder anläuft. Wer kritische Prozesse kennt, RTO und RPO festlegt und Pläne übt, verkürzt Ausfall, Schaden und Deckungslücke zugleich.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
