Checkliste: einen ersten Business-Continuity-Plan erstellen
Für: Geschäftsleitungen von KMU
Aktualisiert: 2026-11
Ein erster Business-Continuity-Plan entsteht in sieben Schritten: kritische Prozesse bestimmen, die Auswirkungen eines Ausfalls bewerten, Wiederanlaufziele festlegen, Notverfahren für jeden kritischen Prozess beschreiben, Kontakte offline verfügbar machen, den Plan üben und ihn regelmässig aktualisieren.
Viele KMU haben einen IT-Notfallplan, aber keinen Plan dafür, wie das Geschäft weiterläuft, während die IT ausfällt. Genau das beschreibt ein Business-Continuity-Plan.
Diese Checkliste führt zu einer ersten, schlanken Fassung. Ein vollständiges Managementsystem nach ISO 22301 geht weiter.
Die Checkliste
- 01
Kritische Prozesse bestimmen
Die Prozesse auflisten, ohne die das Unternehmen keinen Umsatz erzielt oder Pflichten verletzt.
Erledigt, wenn: Eine Liste der kritischen Prozesse mit Verantwortlichen liegt vor.
- 02
Auswirkungen bewerten
Für jeden Prozess die Folgen eines Ausfalls nach Stunden, Tagen und Wochen einschätzen.
Erledigt, wenn: Für jeden kritischen Prozess ist die maximal tolerierbare Ausfallzeit festgehalten.
- 03
Wiederanlaufziele festlegen
Für die zugrunde liegenden Systeme RTO und RPO bestimmen und mit der IT abstimmen.
Erledigt, wenn: Die Ziele sind festgelegt, und die IT hat bestätigt, dass Sicherungen sie erreichen können.
- 04
Notverfahren beschreiben
Für jeden kritischen Prozess festhalten, wie er ohne die üblichen Systeme weiterläuft.
Erledigt, wenn: Jeder kritische Prozess hat ein beschriebenes Notverfahren.
- 05
Kontakte offline verfügbar machen
Kontaktliste mit Mitarbeitenden, Dienstleistern, Versicherung und Behörden ausserhalb der IT verfügbar halten.
Erledigt, wenn: Die Liste liegt ausgedruckt und auf einem unabhängigen Gerät vor.
- 06
Plan üben
Mindestens jährlich eine Tabletop-Übung und einen Wiederherstellungstest durchführen.
Erledigt, wenn: Eine Übung ist durchgeführt, und die Erkenntnisse sind in den Plan eingeflossen.
- 07
Aktualisieren
Den Plan bei Änderungen an Prozessen, Systemen oder Personal überprüfen.
Erledigt, wenn: Der Plan trägt ein Datum und einen Termin für die nächste Überprüfung.
Häufige Fehler
- —Den Plan nur in der IT ablegen, die im Ernstfall nicht verfügbar ist.
- —Wiederanlaufziele festlegen, die die Sicherungen nicht erreichen können.
- —Nur IT-Systeme betrachten und Lieferanten oder Personal vergessen.
- —Den Plan nie üben.
Was diese Checkliste nicht abdeckt
- —Die Checkliste führt zu einer ersten Fassung, nicht zu einem zertifizierbaren Managementsystem.
- —Branchenspezifische Vorgaben, etwa für Finanzinstitute, können weitergehen.
- —Technische Wiederherstellungskonzepte sind separat zu erstellen.
Übergeordnete Leistung: Cyber-Readiness & IT-Sicherheit
Häufige Fragen
Wie umfangreich muss ein Plan für ein KMU sein?
Oft genügen wenige Seiten, solange kritische Prozesse, Notverfahren, Kontakte und Zuständigkeiten klar sind.
Was ist der Unterschied zum Incident-Response-Plan?
Der Incident-Response-Plan regelt die Reaktion auf den Vorfall, der Business-Continuity-Plan das Weiterführen des Geschäfts.
Gibt es eine Schweizer Grundlage?
Der IKT-Minimalstandard des Bundesamts für wirtschaftliche Landesversorgung bietet eine praxisnahe Orientierung.
Weitere Checklisten
Checkliste: Google-Unternehmensprofil optimieren
Ein Google-Unternehmensprofil wird in sieben Schritten optimiert: das Profil verifizieren, die passende Hauptkategorie wählen, Name, Adresse, Telefon und Öffnungszeiten korrekt erfassen, Leistungen beschreiben, echte Fotos hochladen, Bewertungen fair einholen und beantworten und die Angaben mit Website und Verzeichnissen konsistent halten.
EU-AI-Act-Konformität: die Checkliste für den ersten Durchgang
Ein tragfähiger erster Durchgang durch den EU AI Act besteht aus sechs Schritten: wissen, welche KI im Haus läuft, die eigene Rolle je System bestimmen, nach Artikel 6 einstufen, Transparenzpflichten separat prüfen, KI-Kompetenz sicherstellen und alles so ablegen, dass es im Prüffall auffindbar ist.
Hochrisiko oder nicht: die Einstufung nach Anhang III sauber begründen
Die Hochrisiko-Einstufung folgt einer festen Reihenfolge: zuerst der Einsatzbereich nach Anhang III, dann die Frage, ob das System dort eine tragende Rolle für die Entscheidung spielt, dann die Ausnahme nach Artikel 6 Absatz 3. Jeder dieser Schritte muss begründet dokumentiert werden.