Wenn die Krise eintritt, seien Sie vorbereitet: Eine funktionierende Geschäftskontinuitätsrichtlinie erstellen

Im März 2024 erlitt AT&T einen massiven Datenverlust, von dem 73 Millionen Kunden betroffen waren. Dieser Vorfall veranlasste Unternehmen verschiedenster Branchen, ihre Strategien zur Geschäftskontinuität und Notfallwiederherstellung zu überdenken und unterstrich die entscheidende Bedeutung eines robusten Notfallplans in der heutigen digitalen Welt.

Der Datenverstoß, bei dem sensible Nutzerdaten wie Sozialversicherungsnummern, Passwörter und Namen offengelegt wurden, verdeutlicht die weitreichenden Folgen von Datensicherheitslücken. Es muss klar sein, dass Ihre Sicherheitsmaßnahmen nur so stark sind wie Ihre schwächsten Schwachstellen (ja, wir verstehen die Tautologie). Ziel ist es, Resilienz aufzubauen. 

Eine gut ausgearbeitete Geschäftskontinuitätsrichtlinie sollte Verfahren zur Verhinderung, Erkennung und Reaktion auf Datenschutzverletzungen sowie Strategien zur Aufrechterhaltung kritischer Geschäftsfunktionen nach solchen Vorfällen beschreiben.

Was ist eine Geschäftskontinuitätsrichtlinie?

Eine Richtlinie zur Geschäftskontinuität ist ein dokumentiertes Set von Verfahren und Richtlinien, das sicherstellt, dass eine Organisation ihre kritischen Geschäftsfunktionen während und nach einem Störfall aufrechterhalten oder schnell wiederaufnehmen kann. Ein Plan zur Geschäftskontinuität beschreibt häufig die Strategien, Ressourcen und Prozesse, die notwendig sind, um die Vermögenswerte, den Ruf und die Handlungsfähigkeit einer Organisation angesichts verschiedener Bedrohungen zu schützen.

Obwohl sich die einzelnen Richtlinien zur Geschäftskontinuität voneinander unterscheiden, gibt es gemeinsame Bestandteile:

1. Risikobewertung und Geschäftsauswirkungsanalyse
2. Identifizierung und Priorisierung kritischer Funktionen
3. Wiederherstellungszeitziele und Wiederherstellungspunktziele
4. Reaktionspläne für Vorfälle
5. Kommunikationsprotokolle
6. Strategien zur Datensicherung und -wiederherstellung 
7. Alternative Standortbetriebspläne
8. Lieferkette Resilienzmaßnahmen 
9. Regelmäßige Patch-Tests und Software-Updates 
10. Rollen und Verantwortlichkeiten des benannten Personals

Eine Strategie zur Geschäftskontinuität sollte idealerweise verschiedene potenzielle Katastrophenfälle abdecken, darunter Naturkatastrophen, Cyberangriffe, Infrastrukturausfälle, Pandemien und andere unvorhergesehene Ereignisse. Diese Strategien sind häufig in die Unternehmensrichtlinien wie Notfallwiederherstellungspläne, Krisenmanagement und Informationssicherheit integriert. 

Warum benötigt Ihr Unternehmen eine Notfallplanung?

Eine Notfallplanung ist unerlässlich, da sie die Wiederherstellung der Einnahmen bei minimalen Ausfallzeiten sicherstellt. Hier sind einige weitere Gründe, warum Ihr Unternehmen eine Notfallplanung haben sollte:

1. Risikominderung: Eine Strategie zur Geschäftskontinuität bietet einen strukturierten Ansatz zur Identifizierung, Bewertung und Minderung potenzieller Bedrohungen und Schwachstellen. Sie ermöglicht es Ihnen, die Auswirkungen von Störungen zu reduzieren und potenziell Millionenverluste zu vermeiden. 
2. Einhaltung gesetzlicher Vorschriften: Viele Branchen unterliegen verbindlichen Vorschriften, die einen Notfallplan vorschreiben. Finanzinstitute müssen beispielsweise Vorschriften wie den Base-III-Rahmen einhalten, der unter anderem die operative Resilienz als Anforderung beinhaltet. 
3. Vertrauen der InteressengruppenEine gut dokumentierte und erprobte Strategie schafft Vertrauen bei allen Beteiligten, darunter Investoren, Geschäftspartner und Kunden. Sie beweist, dass Ihr Unternehmen auf Resilienz setzt und sich so in wettbewerbsintensiven Märkten differenzieren kann. 

Angenommen, Planung gehört nicht zu Ihren Stärken und Sie beschließen, einfach drauflos zu planen… In diesem Fall müssten Sie folgende Kosten tragen:

1. Ohne klare Verfahrensweisen kann Ihr Unternehmen im operativen Chaos zusammenbrechen. Sie könnten Ihr Geschäft durch eine Katastrophe verlieren, die leicht hätte verhindert werden können. 
2. Bei längeren Ausfallzeiten können erhebliche Umsatzeinbußen, steigende Wiederherstellungskosten und potenzielle Haftungsrisiken entstehen. Laut dem Ponemon Institute belaufen sich die durchschnittlichen Ausfallkosten für große Unternehmen auf rund 9,000 US-Dollar pro Minute. 
3. Wenn Störungen, Angriffe oder Bedrohungen nicht eingedämmt und isoliert werden, kann dies dem Ruf Ihres Unternehmens irreparablen Schaden zufügen. Dieser Schaden reicht über den unmittelbaren Vorfall hinaus und beeinträchtigt das langfristige Kundenvertrauen sowie Ihre Marktposition. 

Das ist kein besonders rosiges Bild, oder? Nun, so soll es auch nicht sein. Stellen Sie sich vor: Ihre Systeme sind ausgefallen, Ihre Daten sind gefährdet und Ihr Betrieb steht still. Im Grunde genommen sehen Sie zu, wie Ihnen minütlich die Einnahmen entgehen. 

Um diesem Albtraum vorzubeugen, erfahren Sie hier, wie Sie Ihre Geschäftskontinuitätsrichtlinie erstellen. 

Ist Ihr Unternehmen auf das Unerwartete vorbereitet? Unsere Vorlage für einen Geschäftskontinuitätsplan hilft Ihnen bei der Entwicklung eines soliden Rahmens für den Umgang mit jeglichen Störungen, von Naturkatastrophen bis hin zu Cyberangriffen.

Eine Geschäftskontinuitätsrichtlinie erstellen? So geht's richtig: 

Eine gute Geschäftspolitik beruht auf Folgendem:

1. Gründlichkeit: Planen Sie für alles, aber bereiten Sie sich auf das Schlimmste vor. 
2. Realistisch: Testen Sie Ihre Pläne und stellen Sie sicher, dass sie auf der Realität basieren. 
3. Effizienz: Wie effizient sind Ihre Kontrollmechanismen? Müssen Sie diese überprüfen? 
4. Anpassungsfähig: Bereit sein, sich zu verändern und sich an die Gegebenheiten anzupassen. 

93 % der Unternehmen ohne Notfallwiederherstellungsplan, die einen schwerwiegenden Datenverlust erleiden, sind innerhalb eines Jahres insolvent. Um diesem Risiko vorzubeugen, ist eine Strategie zur Geschäftskontinuität unerlässlich. Organisationen im Gesundheitswesen sehen sich zusätzlich zu diesem wirtschaftlichen Druck mit weiteren regulatorischen Anforderungen konfrontiert: Gemäß Abschnitt 164.308(a)(7) des HIPAA-Gesetzes ist eine Notfallplanung vorgeschrieben, und die fünf Elemente (Datensicherung, Notfallwiederherstellung, Notfallmaßnahmen, Tests und Analysen) müssen nachweislich umgesetzt und nicht nur dokumentiert werden.

Schritt 1: Ein Team bilden 

Alles beginnt mit der Zusammenstellung eines Dreamteams. Dieses Team ist verantwortlich für die Entwicklung, Pflege und Umsetzung Ihrer Strategie zur Geschäftskontinuität. Idealerweise sollte dieses Team aus folgenden Personen bestehen:

1. Eine Führungskraft auf höchster Ebene, die Unterstützung und Ressourcen auf diesem Niveau bereitstellen kann.
2. Ein Ansprechpartner, der für die Koordinierung der Maßnahmen verantwortlich ist. 
3. Ein IT-Ansprechpartner, der sich um die technischen und Datenbedürfnisse kümmert. 
4. Ein Betriebsleiter, der sicherstellt, dass kritische Geschäftsfunktionen berücksichtigt werden. 
5. Ein Personalreferent, der sich um alle Angelegenheiten und die Kommunikation mit den Mitarbeitern kümmert. 
6. Ein Finanzvertreter soll die finanziellen Auswirkungen beurteilen und Ressourcen zuweisen. 
7. Die jeweiligen Bereichsleiter oder Abteilungsleiter sollten gegebenenfalls spezifische Einblicke geben. 

Falls Sie nicht über die erforderliche Anzahl an Mitgliedern verfügen, können Sie stattdessen Folgendes tun:

1. Weisen Sie bestehenden Mitarbeitern wichtige Rollen und Verantwortlichkeiten zu, sodass sie mehrere Aufgaben übernehmen können. 
2. Priorisieren Sie mindestens drei Kernmitglieder: eine Führungskraft (CEO, CTO), einen Betriebsleiter und einen IT-Manager. Falls Sie keinen IT-Manager haben, können Sie externe Beratung in Anspruch nehmen. 
3. Wenn Ihnen andere Ressourcen fehlen, können Sie sich auf die wichtigsten Aspekte Ihres Unternehmens konzentrieren und Ihren Plan dann nach und nach erweitern, sobald es Ihre Ressourcen zulassen. 
4. Nutzen Sie cloudbasierte Tools und Vorlagen um den Prozess zu rationalisieren. 

Es geht nicht darum, das größte, sondern das effizienteste Team aufzubauen. Beginnen Sie mit dem, was Sie haben, und bauen Sie darauf auf. 

Schritt 2: Schreiben Sie Ihre Ziele und Ihre Begründung auf  

Ihr Team sollte das Ziel dieser Richtlinie und die dafür notwendigen Gründe klar definieren. Ihre Ziele können je nach Branche, Geschäftsmodell und Risikobereitschaft variieren. So können Sie vorgehen:

1. Welche Ziele dieses Business Continuity Plans stimmen mit meinen übergeordneten Geschäftszielen überein?
   • Minimierung der Ausfallzeiten kritischer Systeme
   • Schützen Sie sensible Daten 
   • Kundenservice-Niveau aufrechterhalten 
   • Sorgen Sie für die Sicherheit Ihrer Mitarbeiter 
   • Aufrechterhaltung der Lieferkettenabläufe 
   • Unternehmensreputation schützen 

2. Passen Sie es an Ihre Branche an: Wenn Sie beispielsweise ein Finanzinstitut sind, sollten Sie sich auf Datenintegrität oder Transaktionskontinuität konzentrieren. Wenn Sie eine Gesundheitseinrichtung sind, sollten Sie möglicherweise die Patientenversorgung priorisieren und sicherstellen, dass… HIPAA-Konformität, usw. 

3. Quantifizieren Sie Ihre Ziele: Legen Sie spezifische Wiederherstellungszeiten fest, wie zum Beispiel:
   • RTO für kritische Funktionen
   • RPO für Datensicherungen 
   • Zielvorgaben für die Verfügbarkeit wichtiger Systeme. 

4. Richten Sie sich an Ihrer Geschäftsstrategie aus: Berücksichtigen Sie die Auswirkungen Ihrer Ziele auf die Kundenbindung und -gewinnung und beziehen Sie andere übergeordnete Ziele mit ein. 

5. Begründung des Dokuments: Erläutern Sie die Gründe für jede Entscheidung und versuchen Sie, Ihre Ziele mit konkreten Geschäftsrisiken oder vergangenen Vorfällen in Verbindung zu bringen. 

Priorisieren Sie die Ziele nach ihrer Bedeutung für den Geschäftsbetrieb und berücksichtigen Sie die Wechselwirkungen zwischen den Zielen. Diese Klarheit dient als Leitfaden für die Entscheidungsfindung im gesamten Planungsprozess und hilft, die Ressourcenzuweisung gegenüber den Stakeholdern zu begründen. 

Schritt 3: Risikobewertung durchführen 

Führen Sie eine gründliche Risikoanalyse durch, um Risiken zu priorisieren und Ressourcen effektiv einzusetzen. Eine Risikoanalyse umfasst die Identifizierung potenzieller Bedrohungen und Schwachstellen sowie die Bewertung ihrer Eintrittswahrscheinlichkeit und potenziellen Auswirkungen.

Zu den wichtigsten Aspekten der Durchführung einer Risikobewertung gehören:

1. Bedrohungsidentifizierung
   • Naturkatastrophen – Erdbeben, Überschwemmungen 
   • Technische Ausfälle – Systemabstürze, Datenverstöße
   • Von Menschen verursachte Ereignisse – Cyberangriffe, Sabotage 
   • Öffentliche Gesundheitskrise – Pandemien
   • Wirtschaftliche Störungen – Markteinbrüche. Zusammenbrüche der Lieferkette. 
2. SchwachstellenanalyseErmitteln Sie mögliche Schwachstellen in Ihren aktuellen Systemen und Prozessen und bewerten Sie etwaige Abhängigkeiten von externen Faktoren.
3. Folgenabschätzung: Quantifizieren Sie den potenziellen Verlust durch jede Bedrohung und Schwachstelle, bewerten Sie den Reputationsschaden und berücksichtigen Sie alle rechtlichen und regulatorischen Konsequenzen. 
4. Schätzen Sie die Wahrscheinlichkeit: Nutzen Sie historische Daten und Branchentrends, um die Wahrscheinlichkeit des Eintritts von Risiken abzuschätzen. 
5. Priorisierung von RisikenPriorisieren Sie anhand aller oben genannten Faktoren die Risiken mit der höchsten Gesamtbewertung aus Auswirkung und Eintrittswahrscheinlichkeit. Konzentrieren Sie sich dabei zunächst auf Risiken mit hoher Auswirkung und hoher Eintrittswahrscheinlichkeit. 
6. KontrollbewertungBewerten Sie Ihre aktuellen Risikominderungsstrategien und identifizieren Sie Lücken in Ihren derzeitigen Kontrollmaßnahmen. 

Bewerten Sie regelmäßig die Risiken und aktualisieren Sie Ihre Risikobewertungen auf der Grundlage neuer Bedrohungen und Schwachstellen.

Bewegen Sie sich schnell, ohne Ihren Schritt zu unterbrechen – mit Sprinto. 

Die Risikobewertung ist ein langwieriger Prozess, der bei manueller Durchführung fehleranfällig ist. Daher ist es stets ratsam, diesen Prozess zu automatisieren. Moderne Governance-, Risiko- und Compliance-Plattformen bieten leistungsstarke Lösungen, die diese wichtigen Aufgaben automatisieren und deren Effizienz steigern können. 

Spinto ist ein solches GRC-Tool, mit dem Sie Risiken einfach managen können. Das integrierte Risikomanagementsystem von Spinto bietet Werkzeuge zur effizienten Identifizierung, Bewertung und Minderung von Risiken.

Sprinto visualisiert Risiken und bietet Ihnen so einen umfassenden Überblick über Ihre Bedrohungslandschaft. Sie können damit schnell Bereiche priorisieren, die Ihre sofortige Aufmerksamkeit erfordern. Darüber hinaus können Sie jedes Risikoprofil detailliert analysieren und die zugehörigen Kontrollmaßnahmen, aktuellen Behandlungspläne und Echtzeit-Updates einsehen sowie den Fortschritt verfolgen. 

Sprinto scannt kontinuierlich nach neuen Bedrohungen und Schwachstellen und liefert Ihnen stets aktuelle Risikobewertungen. Zudem ist es auf Ihre Compliance-Maßnahmen abgestimmt, um ein optimales Zusammenspiel Ihrer Bemühungen zu gewährleisten. 

Schritt 4: Analysieren Sie die Auswirkungen dieser Risiken auf Ihr Unternehmen. 

Ziel einer Geschäftsauswirkungsanalyse ist es, die konkreten Auswirkungen dieser Risiken auf die Geschäftstätigkeit Ihres Unternehmens zu ermitteln. Während sich die Geschäftsauswirkungsanalyse (Business Impact Analysis, BIA) auf die Frage konzentriert, „welche Auswirkungen eintreten würden“, bieten Risikobewertungen ein Szenario, „was passieren könnte“.  

Zunächst identifizieren Sie die kritischen Komponenten Ihres Unternehmens und priorisieren diese Funktionen nach ihrer Wichtigkeit. Legen Sie die maximale Ausfallzeit für jede Funktion fest und priorisieren Sie die Wiederherstellung anhand der Risikobewertung. Definieren Sie den maximal zulässigen Datenverlust für jedes System und sichern Sie Ihre Daten entsprechend.

Risiken können die finanzielle Performance erheblich beeinträchtigen. Schätzen Sie diese Risiken ein und berücksichtigen Sie die direkten und indirekten Kosten, die mit Störungen verbunden sind. Ermitteln Sie die Ressourcen, die zur Aufrechterhaltung kritischer Betriebsabläufe benötigt werden – von Technologie und Personal bis hin zu Anlagen. 

Analysieren Sie die betrieblichen Auswirkungen und entwickeln Sie auf der Grundlage dieser Analyse Strategien zur Aufrechterhaltung des Geschäftsbetriebs, die Ihnen helfen können, die Ausfallzeit zu überbrücken. 

Schritt 5: Erstellen Sie eine Wiederherstellungsstrategie 

Entwickeln Sie einen Notfallplan zur Wiederherstellung des Geschäftsbetriebs , um auf Störungen reagieren und sich davon erholen zu können. Bei der Erstellung einer Wiederherstellungsstrategie sollten Sie folgende Punkte berücksichtigen:

1. Backup SystemImplementieren Sie redundante und geografisch verteilte Datensicherungslösungen. Nutzen Sie Cloud-basierte Backup-Dienste für zusätzliche Ausfallsicherheit. Stellen Sie sicher, dass Sie Ihre Daten regelmäßig sichern und die entsprechenden Protokolle testen. 
2. FernarbeitsmöglichkeitenStellen Sie sicher, dass Ihre VPN-Infrastruktur alle Mitarbeiter unterstützen kann. Bieten Sie Hardware- und Softwarelösungen für mobiles Arbeiten an und implementieren Sie sichere Kommunikationskanäle. 
3. Belastbarkeit der LieferketteDiversifizieren Sie Ihre Lieferanten, um potenzielle Fehlerquellen zu reduzieren und einen Pufferbestand an kritischen Komponenten vorzuhalten. 
4. Krisenkommunikationsplan: Entwicklung von Multi-Channel-Kommunikationsstrategien für Stakeholder und Erstellung vorab genehmigter Nachrichtenvorlagen für verschiedene Szenarien. 
5. IT-InfrastrukturImplementieren Sie Ausfallsicherungssysteme für wichtige Anwendungen und nutzen Sie Lastverteilungssysteme, um die Ausfallsicherheit zu erhöhen. 
6. Angestellten Training: Sicherstellen, dass mehrere Mitarbeiter wichtige Funktionen ausüben und kritische Prozesse dokumentieren können, um eine reibungslose Übergabe zu gewährleisten. 

Stellen Sie beispielsweise sicher, dass Sie über einen Cloud-basierten Backup- und Failover-Mechanismus verfügen, falls eines Ihrer IT-Systeme ausfällt. Replizieren Sie Ihre Daten weiterhin in Echtzeit an Ihren Cloud-Service-Provider (CSP) und schalten Sie im Falle eines Ausfalls des primären Systems umgehend auf das Cloud-basierte Backup um, um Datenverlust und Betriebsunterbrechungen zu minimieren. 

Isolieren Sie Datensicherung und Systemwiederherstellung im Falle eines Cyberangriffs. Erstellen Sie separate Backups Ihrer wichtigsten Daten und Systeme. Isolieren Sie die betroffenen Systeme im Falle eines Ransomware-Angriffs. Legen Sie Verfahren fest, die vorsehen, dass Daten kritischer Systeme innerhalb von „x“ Stunden und Daten nichtkritischer Systeme innerhalb von „y“ Stunden gelöscht und aus sauberen Backups wiederhergestellt werden. 

Jede von Ihnen erstellte Strategie sollte Folgendes beinhalten:

1. Löschen Aktivierungssteuerungen
2. Definierte Rollen und Verantwortlichkeiten
3. Schritt-für-Schritt-Verfahren 
4. Benötigte Ressourcen und deren Standort
5. Kommunikationsprotokolle
6. Prüf- und Wartungspläne

Schritt 6: Ressourcen gemäß der Strategie zuweisen 

Stellen Sie Ressourcen bereit, um die Wiederherstellungsstrategie effektiv umzusetzen. Dieser Schritt gewährleistet die praktische Umsetzbarkeit Ihres Plans. So können Sie die Ressourcenzuweisung angehen:

1. Richten Sie ein separates Budget für die Geschäftskontinuität ein. Stellen Sie Mittel für Folgendes bereit:
   • Technologieinvestitionen wie integrierte und Informationssicherheit Risikomanagement-Software und Datensicherungen 
   • Schulungsprogramme für Mitarbeiter 
   • Externe Berater oder Dienstleistungen 
   • Notfallfonds für die sofortige Krisenreaktion 
2. Identifizieren Sie für jede Wiederherstellungsstrategie Schlüsselpersonen und erwägen Sie die Bildung eines eigenen Teams.
3. Investieren Sie in notwendige Hardware wie Generatoren oder Backup-Server und erwerben Sie Softwarelizenzen für wichtige Anwendungen. Implementieren Sie Cybersicherheitstools und andere Überwachungssysteme. 
4. Sichern Sie sich alternative Arbeitsplätze und sorgen Sie für Notstromversorgung. 
5. Bei Bedarf sollten Sie externe Dienstleister für die Datenwiederherstellung hinzuziehen und Vereinbarungen mit wichtigen Lieferanten über einen prioritären Service treffen. 
6. Planen Sie regelmäßige Trainingseinheiten und Übungen ein und reservieren Sie Zeit für die regelmäßige Überprüfung und Aktualisierung der Sicherheit und Vorfall Reaktionsplan. 

Bei der Ressourcenverteilung sollten Sie eine Kosten-Nutzen-Analyse durchführen, um sicherzustellen, dass sich Ihre Bemühungen lohnen und den Zeit- und Geldaufwand rechtfertigen. 

Schritt 7: Testen Sie den Plan  

Um die Wirksamkeit Ihres Plans wirklich zu verstehen, testen Sie die von Ihnen entwickelten Strategien. Dieser Schritt bestätigt Ihre Bemühungen und hilft Ihnen, sich mit den Notfallmaßnahmen vertraut zu machen. 

Entscheiden Sie zunächst, welche Art von Test Sie durchführen möchten. Es gibt drei Arten von Tests:

1. Übung am Tisch: Dies ist die einfachste Testform, bei der Schlüsselpersonen in einem Diskussionsformat einbezogen werden. Diese Übungen simulieren verschiedene Szenarien und ermöglichen es, Reaktionsabläufe mündlich durchzugehen. Sie eignen sich hervorragend, um Situationen mit geringem Risiko zu analysieren und die Entscheidungsfähigkeit zu testen. 
2. Funktionelles Training: Eine Funktionsübung ist ein praktischer Test, der Aktivitäten wie die Wiederherstellung von IT-Systemen, die Aktivierung von Notfallprotokollen oder den Umzug an einen alternativen Standort umfasst. Obwohl diese Übungen komplexer sind als Planspielübungen, ermöglichen sie es, die Wirksamkeit Ihrer Wiederherstellungsstrategien und -empfehlungen zu überprüfen und in einer kontrollierten Umgebung Verbesserungspotenziale zu identifizieren. 
3. Simulationen im vollen UmfangEine umfassende Simulation ist die realistischste und gründlichste Testmethode. Diese Übung bindet alle relevanten Mitarbeiter und externen Stakeholder ein und simuliert ein reales Katastrophenszenario so genau wie möglich. Ihr Team soll den gesamten Notfallplan (BCP) von der Reaktion bis zur vollständigen Wiederherstellung umsetzen. Dieser Test ist besonders wertvoll für Risikosimulationen, da Sie sich bei Risiken mit kritischen Auswirkungen auf Ihr Unternehmen keine Fehler erlauben können. 

Sobald Sie einigen oder allen Ihren Risiken eine Testmethode zugeordnet haben, erstellen Sie einen regelmäßigen Testkalender und stellen Sie sicher, dass alle kritischen Komponenten mindestens einmal jährlich getestet werden. Führen Sie zusätzliche Tests durch, wenn sich das Geschäftsumfeld oder die Infrastruktur ändert. 

Sobald alle Beteiligten ihre Verantwortlichkeiten kennen, sollten klare Erwartungen und Erfolgskriterien festgelegt werden. Die Ergebnisse sollten anhand der definierten RTOs und RPOs gemessen werden. Alle Testergebnisse und -aktivitäten sind zu dokumentieren. Abweichungen vom Plan und deren Erfolg sind festzuhalten.

Analysieren Sie Ihre Testergebnisse anhand der Basiskennzahlen und identifizieren Sie etwaige Lücken oder Schwächen. Berücksichtigen Sie unrealistische Erwartungen oder Annahmen im Plan. Testen Sie Ihre technischen Hilfsmittel, um sicherzustellen, dass sie im Ernstfall nicht versagen. 

Mögliche Schwächen Ihres Notfallplans, die während der Simulation deutlich werden könnten, sind:

1. Veraltete Informationen 
2. Unzureichende Risikobewertung
3. Unrealistische Erwartungen 
4. Unzureichende Tests 
5. Übermäßige Abhängigkeit entweder von Technologie oder von Humanressourcen
6. Unzureichende Ressourcenzuweisung 
7. Mangelhafte Kommunikationsprotokolle 
8. Vernachlässigung der übergeordneten Geschäftsziele 
9. Unzureichender Umfang
10. Unvollständige Dokumentation
11. Datenwiederherstellungsprobleme
12. Compliance-Lücken

Diese Risiken können je nach Branche variieren, doch wichtig ist, sich vor Augen zu halten, dass es nicht darum geht, den Test zu „bestehen“, sondern Verbesserungspotenzial zu identifizieren. Fördern Sie eine Kultur, in der das Erkennen und Beheben von Schwächen positiv gesehen wird. 

Schritt 8: Die Richtlinie einführen   

Nachdem die während der Tests festgestellten Schwachstellen behoben und entsprechende Änderungen vorgenommen wurden, ist es nun an der Zeit, die Geschäftskontinuitätsrichtlinie offiziell einzuführen. Dieser Schritt stellt sicher, dass Ihr Unternehmen auf die Umsetzung des Plans im Bedarfsfall vorbereitet ist. 

Hier sind ein paar Dinge, die Sie bei der Einführung der Richtlinie beachten sollten:

1. Sichern Sie sich sichtbare Unterstützung durch das Top-Management.
2. Stellen Sie sicher, dass die Dokumentation klar, präzise und vor allem zugänglich ist. 
3. Die Richtlinie und ihren Zweck sollten allen Beteiligten in einer für sie verständlichen Sprache mitgeteilt werden.
   • Beispielsweise sollten sich Investoren auf den ROI und den Geschäftsumsatz konzentrieren, während für Mitarbeiter die Produktivität im Vordergrund steht.
4. Erwägen Sie eine schrittweise Einführung, beginnend mit den kritischen Abteilungen. 
5. Aktualisieren Sie die relevanten Geschäftsdokumente, um die neuen Maßnahmen zur Aufrechterhaltung des Geschäftsbetriebs widerzuspiegeln. 
6. Anreize zur Akzeptanz, wenn möglich. 

Die Einführung des Notfallplans ist der Beginn eines fortlaufenden Prozesses. Ziel ist es, das Konzept der Geschäftskontinuität in die Unternehmenskultur zu integrieren und sicherzustellen, dass die Vorbereitung ein selbstverständlicher Bestandteil des Tagesgeschäfts wird. Entscheidend ist die regelmäßige Überprüfung und Aktualisierung Ihrer Richtlinien. 

Die Einführung konzentriert sich auf die Implementierung und Akzeptanz; die Richtlinieninhalte werden Ihre Organisation durch potenzielle Krisen führen. Das bringt uns zu einer ebenso wichtigen Frage… 

Was sollte eine Geschäftskontinuitätsrichtlinie beinhalten?

Eine gut ausgearbeitete Notfallplanung geht über die reine Beschreibung der Abläufe hinaus; sie bietet einen Rahmen für die Resilienz, an den sich die gesamte Organisation halten muss. Schauen wir uns an, was enthalten sein muss, damit sie als Leitfaden für Ihre Organisation dienen kann: 

Einführung 

Die Einleitung einer Notfallplanung sollte die zentrale Bedeutung des Dokuments für das Unternehmen verdeutlichen. Sie gibt den Ton für das gesamte Dokument vor und erläutert die Wichtigkeit der Notfallplanung. 

Grundsatzerklärung  

Dieser Abschnitt muss detailliert sein und die folgenden Fragen beantworten: 

1. Warum gibt es diese Richtlinie? Richtlinien existieren typischerweise, um: 
2. Welchen Geltungsbereich hat diese Richtlinie? Konkret: Welche Abteilungen fallen darunter? 
3. Risikobewertungen
4. Was sind die Hauptziele dieses Dokuments? 

Katastrophendefinition 

Es ist entscheidend, für Ihr Unternehmen eine Katastrophendefinition festzulegen. Diese Definition sollte auf die spezifischen Bedürfnisse Ihres Unternehmens zugeschnitten sein und Aspekte wie die Dauer der Störung, finanzielle Schwellenwerte und betriebliche Auswirkungen berücksichtigen. Sie sollte außerdem genau festlegen, wann die Strategie zur Aufrechterhaltung des Geschäftsbetriebs in Kraft tritt.  

Richtlinienaufsicht 

Die Richtlinie muss einen Richtlinienverantwortlichen benennen, in der Regel eine Führungskraft oder einen eigens dafür zuständigen Business-Continuity-Manager . Diese Person oder Gruppe ist für die Einhaltung, Änderung und Durchsetzung der Richtlinie zuständig. Sie sollte ihre Aufgaben und Verantwortlichkeiten, einschließlich der Befugnis, in Notfällen Entscheidungen zu treffen, genau kennen.

Compliance 

Der Abschnitt zur Einhaltung von Vorschriften in einer Richtlinie zur Geschäftskontinuität ist unerlässlich, um sicherzustellen, dass die Maßnahmen des Unternehmens zur Aufrechterhaltung der Geschäftskontinuität allen geltenden Gesetzen, Regeln und Branchenstandards entsprechen. Dieser Abschnitt, der sowohl interne Governance-Vorgaben als auch externe Verpflichtungen behandelt, sollte umfassend und präzise sein.

Strategie 

Der Strategieteil einer Notfallplanung ist unerlässlich, da er beschreibt, wie das Unternehmen mit verschiedenen Arten unerwarteter Störungen oder Katastrophen umgeht. Die Planung sollte eine Zusammenfassung dieser Maßnahmen und ihrer Bedeutung enthalten, auch wenn detailliertere Pläne in separaten Dokumenten festgehalten werden sollten.  

Vertraulichkeit 

Der Abschnitt zur Vertraulichkeit in einer Notfallplanung spielt eine entscheidende Rolle beim Schutz vertraulicher Daten und gewährleistet gleichzeitig, dass die berechtigten Personen im Notfall die benötigten Informationen erhalten. In diesem Bereich sollten klare Verfahren für die Verwaltung und Weitergabe von Informationen zum Notfallplan festgelegt werden. 

Und nun geht es weiter… 

Die durch die jüngsten globalen Ereignisse beschleunigte digitale Transformation verwischt die Grenzen zwischen physischer und Cyber-Resilienz . Zukünftige Notfallpläne müssen diese vernetzte Landschaft ganzheitlich berücksichtigen. Gleichzeitig erfordern sich wandelnde regulatorische Rahmenbedingungen einen umfassenderen Ansatz für die organisatorische Resilienz.

Man kann nur dann auf den Aufbau eines widerstandsfähigen Unternehmens hoffen, wenn man die Geschäftskontinuität als Teil der Unternehmenskultur und nicht als statische Aktivität betrachtet.  

Häufig gestellte Fragen