Dieser Beitrag wurde von Lukas Stalder für secnovum verfasst.
Business Continuity Management (BCM) hat zum Ziel, den Geschäftsbetrieb bei einer bedeutenden Störung der IT-Infrastruktur weiter zu betreiben oder möglichst schnell wieder aufzunehmen. Ein angepasstes BCM zu betreiben, ist nicht schwer. Wir zeigen Ihnen in diesem Artikel eine schlanke Vorgehensweise anhand dieses Beispiels auf.
Um ins Thema BCM einzusteigen, stellen wir uns kurz folgendes vor:
Sie sind Geschäftsführer einer kleinen Firma mit einer Planungs- und Produktionsabteilung. Es ist Donnerstagnachmittag und am morgigen Freitag werden Ihre Planer ein Konzept für eine grosse Ausschreibung einreichen. Alles ist vorbereitet und Sie wollen sich gerade von Ihren Mitarbeitenden verabschieden, um noch kurz ein Präsent für die Geburtstagsfeier, zu der Sie am Abend eingeladen sind, einzukaufen. In diesem Moment bemerken Sie aufgeschreckte Mitarbeitende, die nicht mehr aufs ICT-System zugreifen können…
Der Ausfall von ICT-Systemen ist nicht die einzige Gefahr für Geschäftsprozesse. Feuer, Ausfall von Schlüsselpersonen und – leider in zunehmendem Masse – Naturkatastrophen wie Überschwemmungen und Gebäudeschäden durch Stürme können das Unternehmensgeschäft stark beeinträchtigen. Um für so einen geschäftskritischen Fall gewappnet zu sein, sollte jedes Unternehmen eine BCM-Strategie festgelegt haben. Aufgrund dieser Strategie werden für kritische Geschäftsprozesse Notfallpläne entwickelt und ein Krisenstab zusammengestellt. Mittels Übungen werden die Notfallpläne und die Arbeit des Krisenstabs getestet und verbessert.
Zurück zur einleitenden Geschichte: Bei einer Kurzanalyse am Arbeitsplatz eines Mitarbeitenden stellen Sie fest, dass alle Zugriffe auf die Server ins Leere laufen und die Telefonleitungen stumm bleiben. Ihr IT-Leiter ist nicht in seinem Büro anzutreffen. Sie machen sich auf den Weg zum Serverraum im Keller und stehen plötzlich knöcheltief im Wasser. Dabei erinnern Sie sich an die BCM-Workshops der vergangenen Monate und atmen tief durch: «Diese Investition hat sich wohl gelohnt.»
Wie kann eine BCM-Strategie erstellt werden?
1. Kritische Faktoren verstehen
In einem ersten Workshop ermittelt man mithilfe einer Business Impact Analyse in Hinblick auf zeitkritische und wichtige Geschäftsprozesse die Risiken eines Ausfalls. Sind in Ihrem Unternehmen keine Geschäftsprozesse definiert, kann die Business Impact Analyse auch anhand wichtiger Applikationen erstellt werden.
Sie haben dabei mit Ihren Bereichsleitern die Auswirkungen von unterschiedlichen Ausfallzeiten ihrer Prozesse besprochen und gemeinsam festgelegt, ab wann ein Ausfall eines Prozesses kritisch ist. Im Fokus standen dabei die Auswirkungen des Prozessausfalls auf den Betrieb, die Finanzen, die Reputation und gesetzliche oder vertragliche Verpflichtungen. Ausserdem haben Sie ermittelt, welche Ressourcen bei einem Ausfall mindestens zur Verfügung stehen müssen, um den Prozess wieder zum Laufen zu bringen.
2. BCM-Strategie entwickeln
Im zweiten Workshop wird Ihre BCM-Strategie erarbeitet.
Sie haben die Beschaffung, die Produktion, die Lieferung und im Finanzbereich die Rechnungsstellung als zeitkritisch beurteilt. Die Lohnbuchhaltung haben Sie bewusst vom BCM ausgenommen. Sie haben maximale Ausfallzeiten definiert und festgehalten, wie alt die wiederhergestellten Daten maximal sein dürfen.
Als grundsätzliche Lösungsansätze haben Sie beispielsweise einen Vertrag mit einem ähnlichen Unternehmen zur Nutzung dessen Produktionsanlage und mit Ihrem ICT-Dienstleister geschlossen sowie Desaster-Recovery-Massnahmen ergriffen.
3. Vorbereitende Massnahmen und Notfallpläne
Am kniffligsten ist es, Notfallpläne zu erarbeiten. Doch die definierte Strategie und die Resultate der Business Impact Analyse liefern ein gutes Gerüst für Ihren Notfallplan.
Zum Beispiel haben Sie die Datensicherung erweitert und senden eine Kopie der neuen Daten jede Nacht in die gesicherten Rechenzentren Ihres Dienstleisters. Da sich Ihr Firmensitz nicht in einem hochwassergefährdeten Gebiet befindet, haben Sie sich auf Wasser nicht wirklich vorbereitet. Und trotzdem stehen Sie nun mit nassen Füssen da.
4. Führung & Krisenmanagement
BCM muss im Unternehmen verankert sein und durch die Unternehmensführung gefördert werden. Da sich der Führungsstil im Krisenfall von jenem im Normalbetrieb unterscheidet, sollte ein Krisenstab mit beschriebenen Verantwortlichkeiten und klarem Führungsprozess zusammengestellt werden. Es muss aber auch klar geregelt sein, wer den Krisenstab unter welchen Bedingungen aufbieten darf.
Ein wichtiger Teil im Krisenmanagement ist die Krisenkommunikation. Nicht nur die eigenen Mitarbeitenden, auch andere Stakeholder und ggf. die Presse haben das Bedürfnis nach aktuellen Informationen.
Sie haben Glück im Unglück. Beim Erreichen der untersten Stufe der Kellertreppe kommt Ihnen der IT-Leiter entgegen. Die Server seien noch am Laufen, wahrscheinlich sei nur die Verbindung zu den Büros unterbrochen. Da Sie Ihre Server-Racks erhöht aufgebaut haben, stehen sie nicht im Wasser. Man hat den Kurzschluss in der Netzwerkverbindung kurzfristig überbrücken können. Eine Intervention des Krisenstabs ist glücklicherweise nicht nötig gewesen.
5. Übungen und Tests
Damit Fehler in den Notfallplänen entdeckt werden können und die involvierten Personen im Krisenfall richtig reagieren können, sind Tests und Übungen unablässig.
Auch wenn diese Störung schon wie ein Test gewirkt hat, die bereits geplante Krisenstabsübung werden Sie durchführen und deren Ergebnisse zusammen mit den Resultaten der Störfallbesprechung in die Notfallplanung mit aufnehmen.
Notfälle laufen ungeplant ab und die Situation wird immer schlimmer, wenn man nichts unternimmt. Daher ist eine gute Vorbereitung wichtig.
Checkliste Business Continuity Management für KMU
Laden Sie sich hier secnovum security Checkliste Conituity Management für Ihre BCM Strategie herunter.
