Business Continuity Management (BCM)
Business Continuity Management ist das Managementsystem, das die Fortführung kritischer Geschäftsprozesse bei schweren Störungen sicherstellt — vom IT-Ausfall über Gebäudeschäden bis zum Personalausfall. Ausgangspunkt ist die Business-Impact-Analyse, aus der Wiederanlaufzeiten, Notfallpläne und Ausweichlösungen abgeleitet werden. Maßgebliche Regelwerke sind ISO 22301:2019 als zertifizierbare Norm und der am 14. Juni 2023 veröffentlichte BSI-Standard 200-4, der den früheren Standard 100-4 ablöst. Disaster Recovery ist der IT-technische Teil davon, nicht sein Ersatz.
Business Continuity Management (BCM) in der Praxis
Der BSI-Standard 200-4 beschreibt drei aufeinander aufbauende Stufen: das Reaktiv-BCMS als Minimalfähigkeit zur Bewältigung akuter Notfälle, das Aufbau-BCMS als Zwischenstufe und das Standard-BCMS als vollständiges Managementsystem. Die Stufen sind bewusst so geschnitten, dass kleinere Organisationen unten beginnen und wachsen können; zur ISO 22301:2019 besteht Kompatibilität. Der Ablauf ist in beiden Regelwerken derselbe. Zuerst benennt die Business-Impact-Analyse die zeitkritischen Geschäftsprozesse und die dafür nötigen Ressourcen — IT-Systeme, Daten, Personen, Räume, Lieferanten.
Daraus ergeben sich die maximal tolerierbare Ausfallzeit je Prozess und, davon abgeleitet, die Zielwerte RTO und RPO für die unterstützende Technik. Erst danach werden Strategien gewählt: Redundanz, Ausweichstandort, Wiederbeschaffung oder geregelter Notbetrieb von Hand. Dokumentiert wird in Geschäftsfortführungs- und Wiederanlaufplänen, die ohne Zugriff auf die ausgefallene Umgebung lesbar sein müssen — ein Notfallhandbuch, das nur auf dem verschlüsselten Dateiserver liegt, ist im Ernstfall wertlos.
Geübt wird gestaffelt vom Plan-Review über den Schreibtischtest bis zur Ernstfallübung, üblicherweise mindestens jährlich. Für regulierte Organisationen ist BCM keine Option: NIS2 führt Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement in Art. 21 Abs. 2 ausdrücklich unter den Mindestmaßnahmen, in Deutschland gespiegelt in § 30 BSIG.