BCM und Krisenmanagement

BCMS

Das Business Continuity Management (BCM) verfolgt das Ziel der Aufrechterhaltung der kritischen Geschäftsprozesse im Notbetrieb sowie die geordnete Rückführung in den Normalbetrieb. Dabei stehen verschiedene Ausfallszenarien im Fokus, wie:

• Ausfall von Personal
• Ausfall von Gebäude
• Ausfall von Produktion
• Ausfall von Lieferanten/Dienstleistern
• Ausfall von IT-Systemen/IT-Infrastruktur (ITSCM)

Für die Behandlung von Ausfallrisiken in KRITIS-Anlagen sind klare Verantwortlichkeiten und Prozesse notwendig. Dies kann durch ein Business Continuity Management System (BCMS) unterstützt werden, um die Resilienz der Geschäftsprozesse und IT (ITSCM) im Geltungsbereich zu stärken.

Rollen und Verantwortlichkeiten

Um die Resilienz in einem Unternehmen aufzubauen sind bestimmte Rollen festzulegen und zu besetzen, beispielsweise:

• Leiter BCM: Leitung und Verantwortung von Aufbau und Betrieb BCMS
• Ressourcenverantwortliche: Verantwortung bei der Umsetzung der festgelegten Prozesse

Die Verantwortungen für Betriebskontinuität müssen verbindlich festgelegt werden — eindeutig (A und R) und getrennt in Vorgaben, Umsetzung und Kontrolle (Funktionstrennung). Mögliche Orte für die Festlegungen durch das BCMS sind:

1. Rollenbeschreibungen
2. RACI-Matrizen
3. Funktionsbeschreibungen
4. Ernennungsurkunden

Prozesse (Governance)

• Befähigung: Sensibilisierung und Schulung der Rollen
• Überwachung: Sicherstellung der Umsetzung, Freigaben, Kennzahlen, Audits und Verbesserungen
• Berichterstattung: Umsetzungstatus und strategische Entscheidungen Leitungsebene zur Verbesserung und Weiterentwicklung

Prozesse (Umsetzung)

• Business Impact Analyse (BIA): Identifikation kritischer Geschäftsprozesse und Abhängigkeit von (kritischen) Ressourcen
• Risikoanalyse (RA): Verfügbarkeitsrisiken zur Ableitung von Maßnahmen (Strategien und -Pläne)
• Business Continuity Strategien: Rahmenbedingungen für die Aufrechterhaltung im Notbetrieb
• Business Continuity Pläne: Aufrechterhaltung der kritischen Geschäftsprozesse im Notbetrieb
• Restart/Recovery Pläne (DR): Wiederanlauf und Wiederherstellung von kritischer IT (ITSCM)
• Übung/Test: Regelmäßige Übungen und Tests zur Identifikation von Verbesserungsbedarfe im BCM

Reaktives BCM

• Notfallmanagment: Reaktionsorganisation zur Bewältigung mit (vorhandenen) BC-Plänen
• Schnittstelle zum Krisenmanagement: Abgestimmte Abläufe und Strukturen im Eskalationsfall

Nachweise

Artefakte als Nachweis für ein laufendes und funktionierendes Management-System sind u.a.:

1. Business Impact Analysen
2. BCM-Risiken
3. BC-Strategien
4. Notfallpäne (BCP, DR etc.)
5. Maßnahmen
6. Schulungsnachweise

Krisenmanagement

Krisenmanagement (KM) ist der systematische Umgang mit Krisen und beinhaltet Maßnahmen zur Vorsorge (Prävention) sowie zur Bewältigung (Reaktion) und Nachsorge, um die Auswirkungen von Krisen möglichst gering zu halten.

Vorsorge beinhaltet neben dem Aufbau und der Befähigung einer situationsabhängigen Krisenorganisation (Krisenstab, Lagezentrum, Fachteams etc.), insbesondere die Schaffung der konzeptionellen Voraussetzungen zur Bewältigung und Zusammenarbeit wie Verfahren, Methodiken oder Abläufe, um nach Eintritt einer Krise zeitnah und strukturiert in den Normalbetrieb zurückzukehren.

Bewältigung und Nachsorge beinhalten die Aktivierung dieser zeitlich begrenzten Krisenorganisation zur Bewältigung eines Ereignisfalls, welches nicht im Rahmen des normalen Geschäftsbetriebes bzw. über das Notfallmanagement gesteuert werden kann. Hierfür greift das KM, wenn möglich, auf Pläne aus der Vorsorge zurück.

Rollen und Verantwortlichkeiten

Um das Krisenmanagement für die Vorsorge und Reaktion aufzubauen, zu betreiben und kontinuierlich weiterzuentwickeln sind bestimmte Rolle festzulegen und zu besetzen, wie:

• Leiter Krisenmanagement: Leitung und Verantwortung für Krisenvorsorge und Management
• Krisenkommunikation: Entwicklung einer Krisenkommunikationsstrategie

Die Verantwortungen für das Krisenmanagement müssen verbindlich festgelegt werden — eindeutig (A und R) und getrennt in Vorgaben, Umsetzung und Kontrolle (Funktionstrennung).

1. Rollenbeschreibungen
2. RACI-Matrizen
3. Funktionsbeschreibungen
4. Ernennungsurkunden

Prozesse

Das Krisenmanagement steuert Vorbereitung und Bewältigung durch Prozesse, u.a.:

• Krisenorganisation: Aufbauorganisation, Rollen, Aufgaben, Krisenerkennung, Grundsätze
• Krisenreaktion: Maßnahmen, Prozessen und Verfahren zur Alarmierung, Bewältigung, Rückführung
• Krisenkommunikation: Strategien und Verfahren für Kommunikation während und nach einer Krise
• Krisenkoordination: Überblick über aller Vorsorge- und Notfallpläne sowie deren Abhängigkeiten
• Befähigung/Schulung: Rollenverständnis und Methodenkompetenz
• Test/Übungen: Regelmäßige Tests und Übungen der Krisenorganisation, Abläufe, Kommunikation

Nachweise

Artefakte als Nachweis für ein laufendes und funktionierendes Krisenmanagement sind u.a.:

1. Handbücher
2. Pläne
3. Test- und Übungsberichte
4. Lessons Learned

ITSCM

Sowohl NIS2 als auch KRITIS-Dachgesetz fordern Vorkehrungen zur Aufrechterhaltung des Betriebs (inklusive IT) sowie (risikoorientiert) redundante Auslegung bestimmter kritische Systeme und Infrastrukturen. Diese Maßnahmen müssen regelmäßig getestet und ausreichende Ressourcen bereitgestellt werden. Dies kann durch ein IT-Service Continuity Management (ITSCM) unterstützt werden.

Ziel vom ITSCM ist, zeitkritische IT sowie Infrastruktur auch in einem IT-Notfall aufrechtzuerhalten sowie den Wiederanlauf und die Wiederherstellung sicherzustellen. ITSCM unterstützt Business Continuity Management, indem es sicherstellt, dass die benötigten IT-Ressourcen die Wiederanlaufanforderungen (RTO) und Anforderung zur Datensicherung (RPO) einhalten.

Redundanz

Für bestimmte Teile der Infrastruktur müssen regulierte Einrichtungen mindestens partielle Redundanz vorsehen. Abhängig von der eigenen Risikoanalyse und dem BCM müssen Redundanzen mindestens für folgende Infrastrukturen evaluiert werden:

• Netz- und Informationssysteme (NIS)
• Anlagen, Räumlichkeiten und Equipment
• Entsprechendes Personal
• Kommunikationskanäle

Rollen und Verantwortlichkeiten

Um die IT-Resilienz in einem Unternehmen aufzubauen sind bestimmte Rollen festzulegen und zu besetzen, beispielsweise:

• Leiter ITSCM: Leitung und Verantwortung von IT-Notfallvorsorge und -bewältigung

Prozesse

• IT-Notfallvorsorge: Präventive Maßnahmen zur Vorsorge und Vermeidung von IT-Notfällen durch resiliente IT-Architektur und SLAs (IT-Strategien, ITSCM-Konzepte etc.) sowie zur Aufrechterhaltung bzw. schnellen Wiederherstellung der kritischen IT-Services (Restart/Recovery Pläne, Koordinationspläne/priorisierter Wiederanlauf, Desaster Recovery Pläne etc.)
• IT-Notfallbewältigung: Aufbau- und Befähigung eines IT-Notfallmangement zur operativen Bewältigung von IT-Notfällen mit Hilfe vorhandener ITSCM-Pläne
• Schnittstelle zum Krisenmanagement: Abgestimmte Abläufe und Strukturen sowie effektive Zusammenarbeit mit der Krisenmanagement-Organisation im Eskalationsfall

Nachweise

Nachweise für effektives ITSCM sind u.a.:

1. Pläne (Wiederanlauf/Wiederherstellung)
2. Betriebshandbücher
3. Priorisierungslisten

Rahmenwerk

Die Ziele der verschienenen Managementdisziplinen zum Aufbau der Resilienz werden in zentralen Leitlinien (Policy) verankert. Die jeweilige Leitlinie legt die Rahmenbedingungen, wie Geltungsbreich, Abgrenzungen, gültige Analysemethoden, Parameter, Szenarien und Auswirkungen, fest. Basierend auf der entsprechenden Leitlinie legt die einzelnen Managementdisziplin in weiteren Vorgabedokumenten fest wie sie sich organisatorisch, prozessual und methodisch aufstellen.

Richtlinien

• Richtlinie BCM: Schafft die organisatorischen Rahmenbedingungen zum Aufbau und Betrieb eines BCMS, um die Aufrechterhaltung der kritischen Geschäftsprozesse im Notbetrieb sicherzustellen. Sie definiert u. a. Verantwortlichkeiten und Anforderungen an BCM-Aktivitäten (wie BIA, RA etc.) sowie an die Aufbau- und Ablauforganisation des reaktiven BCMs.
• Richtlinie ITSCM: Schafft die organisatorischen Rahmenbedingungen zur Aufrechterhaltung und Wiederherstellung kritischer IT-Services. Sie definiert u. a. Verantwortlichkeiten und Anforderungen an Wiederherstellungsziele und -Verfahren sowie regelmäßige Tests.
• Richtlinie Krisenmanagement: Schafft die organisatorischen Voraussetzungen zum Aufbau der Krisenorganisation sowie zum Ablauf der Reaktion. Sie definiert insbesondere die Zusammensetzung und Zusammenarbeit der Krisenorganisation, Eskalation, Entscheidungsfindung und Kommunikation.

Resilienzplan

Der Resilienzplan ist regulatorisch vom KRITIS-Dachgesetz gefordert und umfasst mindestens eine Darstellung der getroffenen Resilienzmaßnahmen und Pläne.

Nachweise

Nachweise für effektive Vorgaben und Richtlinien sind u.a.:

1. Aktuelle Richtlinien
2. Konzepte
3. Freigaben
4. Revisionhistorien
5. Änderungen
6. Entscheidungen

Tests und Übungen

Zur Überprüfung der Wirksamkeit und zur Verbesserung des BCMS einschließlich ITSCM, müssen regelmäßig Tests und Übungen der definierten Pläne und Maßnahmen durchgeführt werden. Dies umfasst neben technischen Tests auch Planbesprechungen der Notfallpläne sowie Stabsübungen zu Zusammenarbeit, Kommunikation und Meldewegen.

Die Übungen sollten in Zusammenarbeit mit dem Krisenmanagement erfolgen. Die Ergebnisse aller Tests und Übungen sollten geregelt ausgewertet. Die daraus abgeleiteten Verbesserungsmaßnahmen sollten im Rahmen der kontinuierlichen Verbesserung des BCMS, ITSCM und KM berücksichtigt werden.

Nachweise

Nachweise für effektive Übungen und Verbesserung des BCMS und ITSCM sind u.a.:

1. Übungsberichte
2. Auditberichte
3. Lessons Learned
4. Umgesetzte Maßnahmen

Audits und Prüfungen

Das BCMS einschließlich ITSCM muss regelmäßig Audits im Geltungsbereich durchführen oder veranlassen, um die Compliance von Prozessen und Diensten sowie das Management mit Risiken zu überprüfen. Dies dient der Compliance mit eigenen Vorgaben und regulatorischen (gesetzlichen) Vorgaben aber auch der kontinuierlichen Verbesserung und Weiterentwicklung des BCMS und ITSCM (KVP).

Nachweise

Nachweise für effektive Audits des BCMS und ITSCM sind u.a.:

1. Auditberichte
2. Management Reviews
3. Umgesetzte Maßnahmen

Integration im Unternehmen

Das BCMS muss für das Management von Ausfallrisiken im Betrieb mit weiteren Management-Systemen vernetzt sein.

• Risiko-Management: Meldung von Risiken und Maßnahmen an das Unternehmens-Risiko-Management, Austausch zu Methoden und Definitionen
• Asset-Management: Abgleich von Asset-Informationen der Assets in Scope der Anlage
• IT-Betrieb und IT-Sicherheit: Definition und Begleitung der Maßnahmen-Umsetzung im Betrieb; Austausch zu operativen Risiken und Bedrohungen
• ISMS: Behandlungsoption für Maßnahmen zur Ausfallsicherheit; gemeinsame Sicht auf IT-Assets und deren Risiken
• Leitung: Abgleich Geltungsbereich ISMS und Geltungsbereich KRITIS; Definition der IT-Systeme und Prozesse im Scope; Zusammenarbeit im Meldewesen
• Unternehmenssicherheit: Abgleich und Integration für KRITIS-Dachgesetz, physische Sicherheit und Resilienz

Literatur

1. Business Continuity Planning Suite, Ready.gov - DHS National Protection and Programs Directorate, März 2021
2. IT Disaster Recovery Plan, Ready.gov, Februar 2021
3. IT-Grundschutz-Baustein (200-1): DER.4: Notfallmanagement, Bundesamt für Sicherheit in der Informationstechnik, Februar 2021