Standards und Rahmenwerke
BSI-Standard 200-4 für Geschäftskontinuität
Verbinde Geschäftsfortführung, Notfallplanung, Wiederanlaufziele, Übungen und Nachweise in KaitoSec.
BSI-Standard 200-4 beschreibt Geschäftskontinuitätsmanagement, auch Business Continuity Management oder BCM genannt. Für KaitoSec zählt, dass kritische Prozesse, Wiederanlaufziele, Abhängigkeiten und Übungen nachweisbar gesteuert werden.
| Baustein | Inhalt |
|---|
| Normziel | BSI-Standard 200-4 unterstützt Aufbau und Betrieb eines Geschäftskontinuitätsmanagementsystems mit Analyse, Strategie, Notfallplanung, Übungen und Verbesserung. |
| Funktion | KaitoSec verbindet Prozesse, Assets, Lieferanten, Risiken, Wiederanlaufziele, Notfallmaßnahmen, Übungen und Nachweise. |
| Ergebnis | Eine prüfbare BCM-Sicht mit kritischen Prozessen, Abhängigkeiten, Notfallplänen und Übungsnachweisen. |
| Situation | Relevanz |
|---|
| Kritische Prozesse dürfen nur kurz ausfallen | Wiederanlaufziele und Abhängigkeiten müssen dokumentiert werden. |
| ISO 27001 oder NIS2 fordert Resilienz | BCM-Nachweise stützen Verfügbarkeit und Krisenfähigkeit. |
| Lieferanten beeinflussen Betriebsfähigkeit | Ausweich- und Kommunikationswege müssen geprüft werden. |
| Arbeit | KaitoSec-Objekt | Ergebnis |
|---|
| Kritische Prozesse erfassen | Prozesse | Prozessverantwortung und Auswirkung sind bekannt. |
| Abhängigkeiten verbinden | Assets und Lieferanten | Systeme und Dienstleister sind zugeordnet. |
| Wiederanlaufziele festlegen | Prozesse oder Maßnahmen | Zielzeiten und Prioritäten sind dokumentiert. |
| Notfallmaßnahmen steuern | Maßnahmen | Verantwortliche, Fristen und Nachweise sind gepflegt. |
| Übungen nachweisen | Audits oder Nachweise | Übungsergebnis und Verbesserung sind sichtbar. |
| Restlücken bewerten | Risiken | Ausfallrisiken sind behandelt. |
| Feld | Beispiel |
|---|
| Kritischer Prozess | Kunden-Support für Sicherheitsvorfälle. |
| Ziel | Wiederaufnahme innerhalb von vier Stunden. |
| Abhängigkeiten | Ticketsystem, Identitätsdienst, Bereitschaftsplan. |
| Risiko | Ausfall des Ticketsystems verzögert Reaktion. |
| Maßnahme | Ersatzkanal und Bereitschaftsübung. |
| Nachweis | Übungsprotokoll mit Abweichung und Verbesserung. |
Das ist ausreichend, wenn kritische Prozesse, Wiederanlaufziele, Abhängigkeiten, Notfallmaßnahmen und Übungsnachweise klar dokumentiert sind.
| Fehler | Beraterhinweis |
|---|
| Notfallplan ohne Prozessbezug | Plane ausgehend von kritischen Geschäftsprozessen. |
| Übungen nicht auswerten | Eine Übung braucht Ergebnis, Abweichung und Folgeaktion. |
| Lieferantenabhängigkeit unterschätzen | Kritische Dienstleister müssen Teil der BCM-Betrachtung sein. |
| Situation | Nächster Schritt |
|---|
| Kritische Prozesse sind bekannt | Abhängigkeiten zu Assets und Lieferanten ergänzen. |
| Notfallplan existiert | Übungsnachweis und Verbesserung anlegen. |
| Zielzeit ist unrealistisch | Risiko und Managemententscheidung dokumentieren. |
