Ein wirksamer Business Continuity Plan besteht aus mehreren aufeinander abgestimmten Komponenten. Sie alle unterstützen Ihr Unternehmen dabei, kritische Geschäftsprozesse während einer Störung aufrechtzuerhalten und den Normalbetrieb schnell wiederherzustellen. Die genaue Ausgestaltung kann je nach Unternehmensgröße, Branche und Risikoprofil variieren. Einige Kernelemente sollten jedoch in jedem BCP enthalten sein.
1. Notfall- und Wiederherstellungsverfahren
Ein zentraler Bestandteil des Business Continuity Plans sind detaillierte Handlungsanweisungen für unterschiedliche Krisenszenarien. Denn klare Prozesse helfen dabei, Fehlentscheidungen und Verzögerungen in Krisensituationen zu vermeiden. Ihr BCP sollte Schritt für Schritt beschreiben, wie im Ernstfall vorzugehen ist.
Das umfasst unter anderem:
Sofortmaßnahmen zur Schadensbegrenzung
Aktivierung des Krisenteams
Wiederherstellung von IT-Systemen
Ausweichverfahren für kritische Prozesse
Rückkehr zum Normalbetrieb
2. Rollen und Verantwortlichkeiten
Für eine erfolgreiche Umsetzung des Plans müssen Sie Zuständigkeiten eindeutig definieren. Alle Beteiligten sollten wissen, welche Aufgaben sie im Notfall übernehmen. Denn nur klare Verantwortlichkeiten ermöglichen ein schnelles und koordiniertes Handeln.
Legen Sie fest, welche Aufgaben die folgenden Personen und Teams im Ernstfall übernehmen sollen:
Krisenmanager:in oder Krisenstab
IT-Notfallteam
Management und Geschäftsführung
Kommunikationsverantwortliche
Fachabteilungen
3. Kommunikationsplan
In Krisensituationen ist eine schnelle und verlässliche Kommunikation entscheidend. Ein Kommunikationsplan legt fest, wer informiert wird und welche Informationen diese Personen erhalten sollen. Gleichzeitig muss definiert sein, über welche Kanäle die Kommunikation erfolgt und wer dafür als Ansprechpartner:in zuständig ist.
Dabei sollten Sie sowohl interne Zielgruppen als auch externe Stakeholder:innen wie Kund:innen, Lieferanten, Behörden und ggf. Medien berücksichtigen.
4. Back-up- und Wiederherstellungskonzepte
Da Daten und IT-Systeme heute für nahezu alle Geschäftsprozesse unverzichtbar sind, gehören Back-up- und Recovery-Maßnahmen zu den wichtigsten Bestandteilen eines BCP.
Hierzu zählen beispielsweise:
- RTO: Recovery Time Objective legt fest, wie lange ein System oder ein Dienst maximal ausfallen darf.
- RPO: Recovery Point Objective gibt an, wie viele Daten bei einem Ausfall maximal verloren gehen dürfen (z.B. die Daten einer Stunde).
5. Schulungen, Tests und Übungen
Ein Business Continuity Plan ist nur dann wirksam, wenn Ihre Beschäftigten ihn kennen und anwenden können. Deshalb sollten Sie regelmäßige Schulungen und Übungen durchführen.
Dazu gehören:
6. Kontinuierliche Aktualisierung
Geschäftsprozesse, Technologien und Risiken verändern sich ständig. Deshalb darf ein Business Continuity Plan kein statisches Dokument sein. Nur ein aktueller BCP kann im Ernstfall die gewünschte Wirkung entfalten.
Der Plan sollte regelmäßig überprüft und aktualisiert werden, insbesondere nach:
Organisatorischen Veränderungen
Neueinführung von IT-Systemen
Unternehmenswachstum
Sicherheitsvorfällen
Auffälligen Testergebnissen und der Erfahrung aus Übungen
