Business Continuity Plan (BCP)

In L8 hast du den Disaster-Recovery-Plan kennengelernt – das IT-spezifische Vorgehen bei Katastrophen. Aber: wenn das Bürogebäude abbrennt, helfen die Server in der DR-Site nichts, wenn niemand weiß wo das Personal hingeht. Wenn eine Pandemie das Personal lahmlegt, nützen redundante Rechenzentren wenig. Hier kommt der Business Continuity Plan (BCP) ins Spiel – der übergeordnete Plan, der den gesamten Geschäftsbetrieb aufrechterhalten soll.

Diese Lektion zeigt was ein BCP ist, wie er sich vom DRP unterscheidet, was die Business Impact Analyse (BIA) umfasst, und wie BCP nach ISO 22301 strukturiert wird. Pflicht-Wissen für FISI – BCP-Themen kommen in praktisch jedem ernsthaften IT-Audit vor.

1) Was ist Business Continuity?

Business Continuity (deutsch: Geschäftskontinuität) ist die Fähigkeit einer Organisation, ihre kritischen Geschäftsprozesse während und nach einer Störung aufrechtzuerhalten oder zeitnah wiederherzustellen. Der Business Continuity Plan (BCP) ist die schriftliche Strategie dafür.

Der zentrale Unterschied zum DRP: der BCP betrachtet das gesamte Unternehmen, nicht nur die IT. Beispiel: nach einem Bürobrand muss

• die IT in der DR-Site weiterlaufen → das ist DRP
• aber Mitarbeiter brauchen einen Arbeitsplatz → BCP
• Kunden müssen informiert werden → BCP
• Lieferketten müssen umgeleitet werden → BCP
• Versicherungs- und Rechts-Fragen müssen geklärt werden → BCP
• Lohnabrechnungen, Buchhaltung müssen weiterlaufen → BCP

Der DRP ist also ein Teil des BCP. Eine gute Analogie: der DRP ist „Wie kommen wir wieder online?" und der BCP ist „Wie machen wir weiter Geschäft?"

2) BCP vs. DRP – die Hierarchie

Beide Pläne arbeiten zusammen, aber haben unterschiedliche Reichweite:

3) Direkter Vergleich BCP vs. DRP

Die wichtigsten Unterschiede im Detail:

4) Die ISO 22301 – der internationale Standard

Der wichtigste Standard für Business Continuity Management ist ISO 22301 (deutsche Variante: ISO 22301:2019). Er definiert ein Business Continuity Management System (BCMS), ähnlich wie ISO 27001 für Informationssicherheit.

Der ISO-22301-Ansatz folgt dem klassischen PDCA-Zyklus:

• Plan: BCMS aufbauen, Scope festlegen, Policies erstellen, BIA durchführen
• Do: Maßnahmen umsetzen, Pläne dokumentieren, Personal trainieren
• Check: regelmäßige Tests, Audits, Reviews
• Act: Verbesserungen umsetzen, aus Vorfällen lernen

Unternehmen können sich nach ISO 22301 zertifizieren lassen. Das ist insbesondere für kritische Infrastrukturen (KRITIS), Banken, Versicherungen und Behörden relevant.

5) Business Impact Analyse (BIA)

Das Herzstück jedes BCP ist die Business Impact Analyse. Sie beantwortet die Frage: Welche Geschäftsprozesse sind wie kritisch und was kostet uns ihr Ausfall?

6) MTPD, RTO und Service-Continuity

Die Beziehung zwischen MTPD, RTO und der „Service-Wiederherstellungs-Kurve" lässt sich visualisieren:

7) Typische Bedrohungen

Wovor schützt ein BCP? Hier die wichtigsten Bedrohungs-Kategorien:

8) BCP-Strategien

Welche Strategien gibt's, um Geschäftskontinuität zu sichern? Ein paar typische Ansätze:

9) Komponenten eines BCP-Dokuments

Was steht in einem BCP-Dokument drin? Die wichtigsten Abschnitte:

10) BCP-Aktivierung im Ernstfall

Wie läuft die Aktivierung eines BCP ab? Typische Phasen, ähnlich wie beim DRP aber mit breiterer Reichweite:

1. Detection & Assessment: Vorfall erkennen, Schaden einschätzen
2. Krisenstab einberufen: alle wichtigen Entscheider zusammenholen, Kommunikations-Hub einrichten
3. BCP formal aktivieren: nicht jeder Vorfall ist BCP-Fall, Entscheidung dokumentieren
4. Sofort-Maßnahmen: Sicherheit der Personen, evtl. Evakuierung, Information an Mitarbeiter
5. Notfall-Operationen starten: alternative Standorte aktivieren, Remote-Work einleiten
6. Kritische Prozesse priorisieren: nach BIA-Reihenfolge wieder hochfahren
7. Externe Kommunikation: Kunden informieren, Lieferanten, Behörden, Presse
8. Recovery-Operationen: parallel DRP für IT, parallel Wiederaufbau Personalbereich
9. Übergang zu Normalbetrieb: schrittweise Rückkehr zu normalen Operationen
10. Postmortem & Lessons Learned: was lief gut, was nicht, BCP aktualisieren

11) Personal-Aspekte im BCP

Ein oft übersehener Bereich: das Personal. Die besten technischen Pläne nützen nichts, wenn Mitarbeiter nicht arbeiten können oder wollen. BCP muss berücksichtigen:

• Sicherheit der Mitarbeiter: bei Brand/Naturkatastrophe steht das absolut im Vordergrund
• Evakuierungs-Pläne: Wege, Sammelpunkte, Verantwortliche
• Kommunikation mit Mitarbeitern: wie informieren? Was sollen sie tun?
• Psychologische Betreuung: nach traumatischen Ereignissen wichtig
• Schichten/Rotation: bei langem DR-Fall darf Personal nicht ausbrennen
• Gehälter-Zahlung: auch im Notfall müssen Mitarbeiter bezahlt werden – sonst gehen sie
• Childcare-Optionen: bei längeren Krisen praktische Familien-Unterstützung
• Cross-Training: Personen sollen sich gegenseitig vertreten können
• Schlüssel-Personen-Risiken: keine Aufgabe darf nur eine Person beherrschen

COVID-19 hat besonders eindrücklich gezeigt: Pandemie-bedingte Personal-Ausfälle können massiv sein. Pandemie-BCPs sind seitdem oft separate Dokumente.

12) BCP-Testing

Wie beim DRP gilt: ein ungetesteter BCP funktioniert wahrscheinlich nicht. Test-Methoden:

• Tabletop Exercise: Krisenstab diskutiert ein Szenario auf dem Papier, ohne reale Aktionen
• Walkthrough: Schritte werden detailliert durchgegangen, Prozeduren validiert
• Functional Test: Teilbereiche werden aktiviert (z.B. Evakuierungs-Übung, Alternativ-Standort hochfahren)
• Full Test: kompletter BCP wird simuliert, soweit ohne echte Disruption möglich
• Surprise Test: angekündigt ohne Vorwarnung, prüft Reaktion ohne Vorbereitung

Empfohlene Frequenz: jährlich mindestens eine umfassende Übung. Quartalsweise Tabletop-Übungen für den Krisenstab. Bei Compliance-Anforderungen (ISO 22301) sind dokumentierte Tests Pflicht.

13) Häufige BCP-Probleme

Was schief geht in der Praxis:

• BCP existiert nur auf dem Papier: niemand kennt die Inhalte, nie geübt
• Veraltete BIA: Prozesse haben sich geändert, BIA stammt von vor 5 Jahren
• Krisenstab nicht erreichbar: alte Telefonnummern, Vertretungen nicht klar
• BCP zu IT-fokussiert: vergisst Personal, Lieferanten, Kommunikation
• Keine Vertretungsregelung: Krisenstab-Mitglieder im Urlaub → kein BCP möglich
• Lieferanten-Risiken ungeklärt: was wenn der Cloud-Provider down ist?
• Kommunikations-Tools nicht redundant: alles über Microsoft 365 – wenn das aus ist, kein Plan
• Compliance-Pflichten vergessen: DSGVO-Meldepflichten, Aufsichtsbehörden
• Pandemie nicht abgedeckt: vor 2020 fast überall vergessen
• Cyber-Angriffe unterschätzt: Ransomware-Szenarien fehlen oft
• Personal-Aspekte vernachlässigt: keine HR-Komponente, keine psych. Betreuung
• Test-Dokumentation fehlt: man hat geübt, aber keine Lessons Learned dokumentiert

14) BCP und Compliance

BCP ist oft regulatorisch vorgeschrieben:

• ISO 22301: der internationale Standard für BCMS, zertifizierbar
• BSI 200-4: deutscher Standard für Notfallmanagement (BSI-Grundschutz)
• NIS-2-Richtlinie: EU-Vorgabe für kritische Sektoren (Energie, Gesundheit, Banken etc.)
• BAIT/VAIT/KAIT: Banken/Versicherungen müssen Notfallkonzepte haben
• DORA: Digital Operational Resilience Act für Finanzbranche
• HIPAA: US-Gesundheitswesen, Contingency-Plan
• SOC 2: Audits prüfen BCP-Existenz und Tests
• KRITIS-Verordnung: kritische Infrastrukturen in DE

Wer im falschen Sektor ohne BCP arbeitet, riskiert nicht nur den Geschäftsausfall, sondern auch Bußgelder bis ins 7-stellige.

Zusammenfassung

Business Continuity Plan (BCP) = Strategie zur Aufrechterhaltung des gesamten Geschäftsbetriebs bei Störungen. Übergeordnet zum DRP – BCP enthält DRP. Unterschied: BCP = „Wie geht's geschäftlich weiter?", DRP = „Wie kriegen wir die IT zurück?". ISO 22301 als internationaler Standard, PDCA-Zyklus. Business Impact Analyse (BIA) ist das Herzstück: Prozesse identifizieren → Kritikalität bewerten → Ausfallkosten ermitteln → Abhängigkeiten kartieren → MTPD/RTO/RPO festlegen → priorisieren. MTPD (Maximum Tolerable Period of Disruption) ist die absolute Schmerzgrenze – RTO muss kleiner sein. Bedrohungen: Brand, Wasser, Strom, Pandemie, Cyber, Lieferketten, Personal, Recht, Reputation. Strategien: Alternativstandort, Remote-Work, Cross-Training, Lieferanten-Diversifizierung, manuelle Fallbacks, Outsourcing, Cash-Reserven, Out-of-Band-Kommunikation. Personal-Aspekte: Sicherheit, Evakuierung, Kommunikation, Schichten, Gehälter – oft vergessen. Testing: Tabletop → Walkthrough → Functional → Full Test → Surprise Test. Compliance: ISO 22301, BSI 200-4, NIS-2, DORA, KRITIS – BCP ist in vielen Branchen Pflicht.