365 Tage im Jahr: Solutions, Knowledge und Networking.
Finden und bieten Sie innovative IT-Security-Lösungen, nehmen Sie an unserem vielfältigen Action-Programm teil und knüpfen & pflegen Sie Kontakte.
Werden Sie Teil der it-sa 365 Community!
Damit Sie einen Termin vereinbaren können, wird der Kalender auf dem persönlichen Profil Ihres Ansprechpartners in einem neuen Tab geöffnet.
Damit Sie einen Vor-Ort-Termin vereinbaren können, wird die Terminanfrage in einem neuen Tab geöffnet.
Zu den wesentlichen Neuerungen des überarbeiteten BSI-Standards gehört ein Stufenmodell: „Mit dem Stufenmodell werden wir den unterschiedlichen Bedürfnissen von kleinen und großen Unternehmen stärker gerecht“, beschreibt Jung den Beweggrund dafür. „Das Ziel ist, möglichst schnell reaktionsfähig zu sein“, fügt sie hinzu. Dazu bietet der Standard je nach Anforderungen unterschiedliche Einstiegspunkte. Verantwortliche können sich entscheiden, auf welcher Ebene sie einsteigen wollen, drei Grundvarianten sind vorhanden, Reaktiv-, Aufbau- und Standard-BCMS. Ein Business Continuity Management System, kurz BCMS, fußt auf einer organisatorischen Systematik von Verfahren und Regeln, die sicherstellen sollen, dass die Fortführung kritischer Geschäftsprozesse auch in Notfällen gewährleistet ist.
Die erste Stufe bildet eine Minimalversion, das Reaktiv-BCMS. Es zielt darauf ab, mit relativ geringem Aufwand eine Basishandlungsfähigkeit in Notsituationen zu erzielen. „Für ein Reaktiv-BCMS werden erst mal reaktive Strukturen aufgebaut, beispielsweise Notfallteams und eine Stabsstruktur, erstellt einen Alarmierungsplan und sucht einen geeigneten Raum, der auch in Notfällen zur Verfügung steht“, erläutert Jung. Doch das ist noch nicht alles, Jung fährt fort: „Zusätzlich schaut man sich die dringendsten Geschäftsprozesse an und prüft, was mit einfachen, gegebenenfalls schon vorhanden Mitteln abgesichert werden kann“. In der Regel werden dazu mittels einer Business-Impact-Analyse die einzelnen Geschäftsprozesse analysiert. Ziel ist, herauszufinden, welche Prozesse wie zeitkritisch sind, also wie lange ausfallen dürfen.
Ein Reaktiv-BCMS entdeckt zwar eventuelle Lücken, sie werden aber in dieser Stufe gewöhnlich noch nicht geschlossen. Das geschieht erst bei der zweiten Stufe, dem Aufbau-BCMS. Dieses ist um einiges aufwendiger und erfordert umfassende Vorkehrungen: „Für ein Aufbau-BCMS ist eine sehr genaue Analyse die Voraussetzung, um zum Beispiel erfasste Lücken zu schließen – das kostet auch ein bisschen mehr“, erklärt die Mathematikerin. In der dritten und letzten Stufe würden schließlich sukzessive weitere Geschäftsprozesse erfasst und untersucht, bis alle vom BCMS abzudeckenden Geschäftsprozesse berücksichtigt sind, sagt sie. Dann ist ein Standard-BCMS erreicht.
Der neue Standard bietet noch weitere Vorteile: „Er erlaubt eine bessere Skalierbarkeit des eigenen Ressourcen-Einsatzes“, was Jung folgendermaßen beschreibt: „Man kann beispielsweise mit den besonders zeitkritischen Prozessen anfangen und etwa zunächst alles absichern, was nicht einen einzigen Tag ausfallen darf und sich anschließend weiter vortasten. Zum Beispiel anschließend alles, was nicht länger als drei Tage ausfallen darf und so weiter“.
Die Überarbeitung des Standards hat auch das Ziel, ihn durch Vereinfachungen zugänglicher zu gestalten. „Einsteiger stehen im Fokus“, betont ihr Kollege Daniel Gilles, stellvertretender Projektleiter. „Der Standard ist so leicht wie möglich, man kann das auch als eine Anleitung nehmen und loslegen“, ergänzt er. Deshalb werden zahlreiche Dokumentenvorlagen zur Verfügung gestellt. „Die kann man einfach nehmen und einfach ausfüllen“, sagt Gilles. Das gilt auch für die ergänzenden Hilfsmittel, dazu zählen Anleitungen, wie gefundene Lücken geschlossen werden können oder Besonderheiten für IT-Notfälle.
Autor: Uwe Sievers
