Ein Incident-Response-Plan beschreibt, wie man auf einen Vorfall reagiert. Business Continuity Management geht weiter: Es fragt, wie das Geschäft weiterläuft, während die IT noch nicht wiederhergestellt ist, und wie lange das Unternehmen einen Ausfall verkraftet.
Business-Impact-Analyse
Am Anfang steht die Frage, welche Prozesse kritisch sind und was ein Ausfall über Stunden, Tage und Wochen kostet, finanziell, rechtlich und für die Reputation. Daraus folgen für jeden kritischen Prozess die maximal tolerierbare Ausfallzeit und die Wiederanlaufziele RTO und RPO für die zugrunde liegenden Systeme.
Strategien und Pläne
Für jeden kritischen Prozess wird festgelegt, wie er bei einem Ausfall weiterläuft: manuelle Notverfahren, Ausweichstandorte, alternative Dienstleister oder priorisierte Wiederherstellung. Die Pläne nennen Verantwortliche, Kontaktlisten, die auch ohne E-Mail erreichbar sind, und die Reihenfolge der Wiederherstellung.
Üben
Ein nie geübter Plan funktioniert im Ernstfall selten. Tabletop-Übungen zeigen mit wenig Aufwand, wo Annahmen nicht stimmen, und technische Wiederherstellungstests zeigen, ob die Sicherungen die Ziele erreichen.
Schweizer Bezug
Das Bundesamt für wirtschaftliche Landesversorgung hat mit dem IKT-Minimalstandard eine praxisnahe Grundlage veröffentlicht, die sich besonders an Betreiberinnen kritischer Infrastrukturen richtet, aber auch für KMU nützlich ist. Unter NIS2 gehört Business Continuity ausdrücklich zu den Massnahmen, die erfasste Einrichtungen umsetzen müssen. Die Schritte zu einem ersten Plan beschreibt unsere Checkliste zum Business-Continuity-Plan.