Glossar · einfach erklärt

BCM & Notfallplan

Business Continuity Management hält das Geschäft im Ernstfall am Laufen — mit Notfallplänen, die NIS-2 inzwischen verlangt.

Business Continuity Management (BCM) ist die Managementdisziplin, die ein Unternehmen auf Störungen vorbereitet: Welche Prozesse sind überlebenswichtig, wie lange dürfen sie ausfallen, mit welchen Ersatzverfahren laufen sie weiter — und wer entscheidet was, wenn es passiert? Das Ergebnis sind Notfallpläne, die im Ernstfall Handlungsfähigkeit sichern.

Mit NIS-2 ist BCM von der guten Praxis zur Pflicht geworden: Die Richtlinie verlangt ausdrücklich Betriebskontinuität, Backup-Management, Wiederherstellung und Krisenmanagement als Teil des Risikomanagements — samt Verantwortung der Geschäftsleitung.

Vom Risiko zum Notfallplan

Am Anfang steht die Business-Impact-Analyse (BIA): Sie identifiziert kritische Geschäftsprozesse, ihre Abhängigkeiten — Systeme, Personal, Dienstleister, Standorte — und beziffert, was Ausfallzeit kostet. Daraus leiten sich Wiederanlaufziele (RTO/RPO) und Kontinuitätsstrategien ab: Ausweichverfahren, redundante Ressourcen, Notbetrieb.

Die Notfallpläne machen das operativ: Alarmierungs- und Eskalationswege, ein Krisenstab mit klaren Rollen, Sofortmaßnahmen je Szenario, Kommunikationsvorlagen für Kunden, Behörden und Belegschaft — und die Wiederanlaufreihenfolge. Bewährter Rahmen dafür sind ISO 22301 und der BSI-Standard 200-4; Übungen machen aus Papier Reaktionsfähigkeit.

Typische Notfallszenarien, die ein BCM abdeckt

Cyberangriff mit IT-Komplettausfall — inklusive Kommunikation ohne kompromittierte Systeme.
Ausfall von Standort, Rechenzentrum oder Stromversorgung.
Ausfall kritischer Dienstleister und Lieferanten (auch Cloud- und Netzanbieter).
Personalausfall in Schlüsselfunktionen — Vertretungsregeln und dokumentiertes Wissen.

Häufige Fragen zu BCM & Notfallplan

Was ist der Unterschied zwischen BCM, Notfallplan und DR?

BCM ist die übergreifende Disziplin, der Notfallplan ihr dokumentiertes Ergebnis je Szenario, Disaster Recovery der IT-spezifische Teil der Wiederherstellung. BCM fragt: Wie liefern wir weiter? DR fragt: Wie kommen die Systeme zurück? Beide teilen die Zielwerte aus der BIA.

Verlangt NIS-2 wirklich ein BCM?

Ja — Artikel 21 nennt Betriebskontinuität, Backup-Management, Wiederherstellung nach Notfällen und Krisenmanagement ausdrücklich als Mindestmaßnahmen des Risikomanagements. Für betroffene Einrichtungen ist ein nachweisbares BCM damit Teil der Compliance, nicht Kür.

Womit startet man ein BCM pragmatisch?

Mit der Business-Impact-Analyse für die fünf bis zehn kritischsten Prozesse: Abhängigkeiten, tolerierbare Ausfallzeiten, vorhandene Lücken. Daraus entstehen die ersten Notfallpläne samt Alarmierung und Krisenstab — lieber wenige geübte Pläne als ein vollständiges, ungelesenes Handbuch.

Wie oft muss man Notfallpläne üben?

Mindestens jährlich, sinnvollerweise gestaffelt: Tabletop-Übungen für den Krisenstab, technische Wiederanlauftests für die IT, gelegentlich eine übergreifende Ernstfallsimulation. Jede Übung endet mit dokumentierten Erkenntnissen — sonst bleibt der Plan auf dem Stand seiner Erstellung.

Was gehört ins Ransomware-Szenario eines Notfallplans?

Entscheidungswege für Isolation und Abschaltung, Kommunikation über nicht kompromittierte Kanäle, Meldefristen (72 Stunden DSGVO, 24/72 Stunden NIS-2), Forensik-Sicherung, Wiederherstellung in saubere Umgebungen und die Frage der Verhandlungsposition. Vorbereitete Kontakte — Forensiker, Anwalt, Versicherer — sparen im Ernstfall Tage.