Business Continuity Management: Der Leitfaden für den Mittelstand

 

Ein Ransomware-Angriff legt die Auftragsbearbeitung lahm, ein Rechenzentrumsausfall trennt den Zugriff auf alle Fachanwendungen: In solchen Lagen entscheidet nicht die Firewall über den Schaden, sondern die Vorbereitung. Genau hier setzt Business Continuity Management an. Es klärt vorab, welche Prozesse wie lange ausfallen dürfen, wer entscheidet und wie der Betrieb mit reduzierten Mitteln weiterläuft.

Für den Mittelstand ist das Thema vom freiwilligen Reifegrad-Merkmal zur regulatorischen Pflicht geworden: NIS2 und DORA verlangen ausdrücklich Vorkehrungen zur Aufrechterhaltung des Betriebs, und auch eine ISO-27001-Zertifizierung ist ohne belastbare Kontinuitätsplanung nicht zu halten. Dieser Leitfaden erklärt, was BCM umfasst, wie es sich von benachbarten Disziplinen abgrenzt, wie der Lebenszyklus abläuft, welche Normen und Gesetze gelten und wie ein Einstieg mit begrenzten Ressourcen aussieht.

 

Was ist Business Continuity Management?

Business Continuity Management ist der Managementprozess, mit dem eine Organisation ihre zeitkritischen Geschäftsprozesse identifiziert, deren Ausfallrisiken bewertet und Vorkehrungen trifft, um diese Prozesse bei einer schweren Störung auf einem definierten Mindestniveau fortzuführen. Er umfasst Vorbereitung, Bewältigung im Ereignisfall und Rückkehr in den Normalbetrieb.

Entscheidend ist die Perspektive: BCM denkt nicht vom System her, sondern vom Geschäftsprozess. Nicht „Welcher Server ist ausgefallen?” ist die Leitfrage, sondern „Welche Wertschöpfung steht still, ab wann wird es existenzbedrohend, und was ist der kleinste akzeptable Notbetrieb?”. Daraus folgt, dass BCM eine Aufgabe der Geschäftsführung ist und nicht der IT allein zugeordnet werden kann. Organisiert wird es in einem Business Continuity Management System (BCMS), das demselben Plan-Do-Check-Act-Zyklus folgt wie ein ISMS und sich mit diesem verzahnen lässt.

 

BCM, Notfallmanagement, Disaster Recovery und Incident Response im Vergleich

Die Begriffe werden häufig vermischt, bezeichnen aber unterschiedliche Ebenen. Wer sie trennt, vermeidet Lücken zwischen den Plänen und doppelte Zuständigkeiten im Ernstfall.

Disziplin	Fokus	Einordnung
Business Continuity Management	Fortführung zeitkritischer Geschäftsprozesse auf definiertem Mindestniveau	Übergreifender Rahmen, prozessorientiert
Notfallmanagement	Vorbereitung und Bewältigung von Notfällen und Krisen	Klassische deutsche Bezeichnung, weitgehend deckungsgleich mit BCM
Disaster Recovery	Technische Wiederherstellung von IT-Systemen, Daten und Infrastruktur	Teilmenge des BCM, technikorientiert
Krisenmanagement	Entscheidungs- und Kommunikationsstrukturen der Leitungsebene im Ausnahmezustand	Führungsprozess, greift bei Eskalation
Incident Response	Erkennung, Analyse und Eindämmung einzelner Sicherheitsvorfälle	Operativer Prozess der Informationssicherheit

Das Zusammenspiel zeigt ein Ransomware-Fall: Incident Response isoliert die betroffenen Systeme, Disaster Recovery spielt Daten aus den Sicherungen zurück, das Krisenmanagement entscheidet über Kommunikation und Meldungen, und BCM hält Auftragsannahme und Versand über einen geplanten Notbetrieb am Laufen. Fehlt eine Ebene, entsteht dort die Verzögerung, die den Schaden vergrößert.

 

Der BCM-Lebenszyklus in sechs Schritten

ISO 22301 und der BSI-Standard 200-4 beschreiben BCM als Kreislauf. Die Bezeichnungen unterscheiden sich, die Logik ist dieselbe.

1. Kontext und Geltungsbereich festlegen

Am Anfang steht die Abgrenzung: Welche Standorte, Bereiche und Dienstleistungen fallen in den Geltungsbereich, welche rechtlichen und vertraglichen Anforderungen gelten? Dazu kommen eine von der Leitung verabschiedete Leitlinie, benannte Rollen und ein Budget. Ohne diesen Rahmen bleibt BCM ein Nebenprojekt der IT.

2. Business Impact Analyse durchführen

Die Business Impact Analyse (BIA) ist das Herzstück. Sie bewertet je Geschäftsprozess die finanziellen, rechtlichen und reputationsbezogenen Folgen eines Ausfalls über die Zeit. Daraus werden die zentralen Zeitparameter abgeleitet:

• MTPD (Maximum Tolerable Period of Disruption): die maximal tolerierbare Ausfallzeit, ab der die Folgen nicht mehr hinnehmbar sind. Der BSI-Standard 200-4 nutzt dafür die Abkürzung MTA.
• RTO (Recovery Time Objective): die Zielzeit für den Wiederanlauf. Sie liegt zwingend unterhalb der MTPD, damit ein Puffer bleibt.
• RPO (Recovery Point Objective): der maximal akzeptable Datenverlust, gemessen ab der letzten nutzbaren Sicherung. Der RPO bestimmt die notwendige Backup-Frequenz.
• Mindestbetriebsniveau: die Leistung, die im Notbetrieb zu erbringen ist, etwa „50 Prozent des Versandvolumens” statt „so viel wie möglich”.

Ergänzend erfasst die BIA die Abhängigkeiten jedes Prozesses von Anwendungen, Personal, Gebäuden und Dienstleistern. Erst diese Kette zeigt, dass ein RTO von vier Stunden für den Versand wertlos ist, wenn das ERP-System erst nach zwei Tagen wiederhergestellt ist.

3. Risiken beurteilen

Die BIA sagt, was ein Ausfall kostet, die Risikobeurteilung, wie wahrscheinlich er ist und wodurch er ausgelöst wird. Betrachtet werden Szenarien wie Cyberangriff, Ausfall von Strom, Netz oder Rechenzentrum, Gebäudeschaden, Personalausfall und Wegfall kritischer Dienstleister. Methodisch ist das derselbe Ansatz wie bei der Risikobewertung nach ISO 27001, weshalb sich beide Analysen aus einem gemeinsamen Prozess- und Assetinventar speisen sollten.

4. Kontinuitätsstrategien auswählen

Für jeden zeitkritischen Prozess wird festgelegt, wie die Vorgaben aus der BIA erreicht werden. Typische Optionen sind Redundanz (zweites Rechenzentrum, gespiegelte Systeme, Ersatzstandort), Auslagerung, manuelle Ersatzverfahren oder die bewusste Entscheidung, ein Risiko zu tragen. Nicht jeder Prozess braucht Hochverfügbarkeit, aber jeder zeitkritische Prozess eine dokumentierte Entscheidung.

5. Pläne erstellen und Verantwortliche benennen

Aus den Strategien werden Geschäftsfortführungs-, Wiederanlauf- und Wiederherstellungspläne. Ein brauchbarer Plan ist knapp und auch ohne IT nutzbar: Auslösekriterien, Alarmierungs- und Eskalationswege, Erreichbarkeiten, Aufgaben je Rolle, Reihenfolge des Wiederanlaufs, Kriterien für die Rückkehr in den Normalbetrieb. Ein Notfallplan, der ausschließlich im verschlüsselten Fileserver liegt, ist im Ernstfall keiner.

6. Testen, üben und verbessern

Ungetestete Pläne sind Annahmen. Bewährt hat sich eine Staffelung von Planbesprechungen über Schreibtischübungen und technische Wiederherstellungstests bis zur Vollübung mit Krisenstab. Jede Übung liefert Feststellungen, die als Maßnahmen mit Verantwortlichen und Fristen den Zyklus von vorn beginnen lassen.

 

 

Normen und Rechtsrahmen für Business Continuity Management

BCM bewegt sich zwischen freiwilligen Normen (ISO 22301, BSI-Standard 200-4, ISO 27001) und gesetzlichen Vorgaben (NIS2 beziehungsweise BSIG, DORA), deren Verbindlichkeit von Branche und Unternehmensgröße abhängt.

ISO 22301 und BSI-Standard 200-4

ISO 22301 in der Fassung von 2019 („Security and resilience — Business continuity management systems — Requirements”) ist der zertifizierbare internationale Maßstab für ein BCMS. Sie folgt der einheitlichen Struktur für Managementsysteme mit den Kapiteln 4 bis 10, was die Integration in ein bestehendes ISMS erleichtert. Für den Mittelstand ist die Zertifizierung selten der erste Schritt, die Norm als Strukturvorlage aber sofort nutzbar.

Der BSI-Standard 200-4 vom 14. Juni 2023 löst den Standard 100-4 ab und ist mit ISO 22301 kompatibel. Sein Vorzug ist das dreistufige Modell: Das Reaktiv-BCMS schafft mit wenig Aufwand eine erste Bewältigungsfähigkeit, das Aufbau-BCMS führt schrittweise Analysen und Prozesse ein, das Standard-BCMS entspricht einem vollwertigen Managementsystem.

Business Continuity in der ISO 27001:2022

Wer bereits ein ISMS betreibt, hat mehr BCM-Substanz im Haus als vermutet. Der Anhang A der ISO 27001:2022 adressiert das Thema an vier Stellen: Control A.5.29 verlangt, die Informationssicherheit auch während einer Störung aufrechtzuerhalten, statt Schutzmaßnahmen im Ausnahmezustand stillschweigend auszusetzen. Das 2022 neu aufgenommene Control A.5.30 fordert die IKT-Bereitschaft für die Geschäftskontinuität, also die Fähigkeit der IT, die in der BIA festgelegten Zeitziele einzuhalten. Ergänzt wird das durch A.8.13 zur Datensicherung und A.8.14 zur Redundanz von informationsverarbeitenden Einrichtungen. Wie sich diese vier der 93 Maßnahmen des Anhangs A in Scoping, Risikoanalyse und Anwendbarkeitserklärung einfügen, zeigt der Leitfaden zum Aufbau eines ISMS nach ISO 27001.

NIS2: Betriebskontinuität wird gesetzliche Pflicht

Die NIS2-Richtlinie (EU) 2022/2555 verlangt in Artikel 21 Absatz 2 Buchstabe c Maßnahmen zur „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement”. Umgesetzt ist das im NIS2-Umsetzungsgesetz, das am 6. Dezember 2025 in Kraft getreten ist; die Pflicht steht in § 30 Absatz 2 Nummer 3 BSIG. Betroffen sind besonders wichtige und wichtige Einrichtungen der geregelten Sektoren; für wichtige Einrichtungen greift die Schwelle grundsätzlich ab 50 Beschäftigten beziehungsweise mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Hinzu kommen die Meldefristen nach § 32 BSIG: Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussmeldung binnen eines Monats. Ohne vorbereitete Meldewege im Notfallplan sind sie kaum zu halten. Welche Schritte anstehen, fasst die NIS-2-Checkliste für KMU zusammen.

DORA für Finanzunternehmen

Für den Finanzsektor gilt seit dem 17. Januar 2025 die Verordnung (EU) 2022/2554 (DORA). Artikel 11 verpflichtet zu einer umfassenden IKT-Geschäftsfortführungsleitlinie als Bestandteil der allgemeinen Geschäftsfortführungsleitlinie, zu IKT-Reaktions- und Wiederherstellungsplänen sowie zu Tests mindestens jährlich und bei wesentlichen Änderungen an den IKT-Systemen; größere Unternehmen brauchen zusätzlich eine Krisenmanagementfunktion. Artikel 12 ergänzt Vorgaben zu Backup-Richtlinien und Wiederherstellungsverfahren. Details fassen die DORA-Anforderungen für Finanzunternehmen zusammen. Relevant ist das auch für IT-Dienstleister, denen die Anforderungen vertraglich weitergereicht werden.

 

BCM im Mittelstand: pragmatisch starten

Der Aufwand eines vollständigen BCMS schreckt viele mittelständische Unternehmen ab, für den Einstieg ist er nicht nötig. Bewährt hat sich dieses Vorgehen:

• Geltungsbereich klein halten: Beginnen Sie mit den Prozessen, deren Ausfall Umsatz, Lieferfähigkeit oder rechtliche Pflichten gefährdet.
• BIA im Workshop statt per Fragebogen: Zwei bis drei moderierte Termine mit den Prozessverantwortlichen liefern belastbarere Zeitparameter als ein Fragebogen.
• Backups tatsächlich zurückspielen: Ein dokumentierter Restore-Test pro Quartal deckt mehr auf als jedes Konzeptpapier.
• Offline-Fassung der Pläne: Notfallpläne, Kontaktlisten und Wiederanlaufreihenfolgen gehören zusätzlich in eine getrennt gespeicherte Version.
• Dienstleister einbeziehen: Gleichen Sie die vertraglich zugesicherten Wiederherstellungszeiten Ihrer Dienstleister mit Ihren RTO-Vorgaben ab.

Ebenso wichtig ist die Nachweisführung. Ein Auditor prüft nicht, ob Pläne existieren, sondern ob sie aktuell, freigegeben und getestet sind. Erwartet werden BCM-Leitlinie, BIA-Ergebnisse mit RTO und RPO je Prozess, Risikobeurteilung, Notfall- und Wiederanlaufpläne, Übungsprotokolle, Restore-Nachweise und Managementbewertung. Fehlt der Übungsnachweis, gilt die Kontinuitätsplanung im Zweifel als nicht wirksam umgesetzt.

 

 

Typische Fehler im Business Continuity Management

1. BCM als IT-Projekt:
Ohne die Fachbereiche bilden die Zeitziele technische Machbarkeit ab statt geschäftlicher Notwendigkeit.

2. Zeitziele ohne Deckung:
Ein RTO von vier Stunden im Plan, aber ein Restore, der zwei Tage dauert: Solche Widersprüche fallen erst im Ernstfall auf, wenn niemand die Vorgaben gegen die reale Wiederherstellungsdauer prüft.

3. Pläne ohne Übung:
Ein nie erprobter Plan enthält verlässlich veraltete Kontaktdaten.

4. Dienstleister ausgeblendet:
Der eigene Notbetrieb nützt wenig, wenn ein zentraler Cloud-Dienst ohne Ersatzverfahren ausfällt.

 

Fazit: Vorbereitung schlägt Improvisation

Business Continuity Management beantwortet eine Frage, die sich früher oder später jedem Unternehmen stellt: Was passiert, wenn ein zentraler Prozess ausfällt, und wie lange halten wir das aus? Der Wert liegt weniger im Dokument als in der Klarheit, die es erzeugt: definierte Zeitziele, benannte Verantwortliche, geprüfte Wiederherstellungsverfahren, geübte Abläufe.

Regulatorisch ist das Thema entschieden: NIS2 und DORA machen die Aufrechterhaltung des Betriebs zur Pflicht, ISO 27001 verankert sie im ISMS, ISO 22301 und der BSI-Standard 200-4 liefern die Methodik. Der sinnvolle Weg für den Mittelstand ist der stufenweise Aufbau: schlanke BIA, realistische Zeitziele, wenige gepflegte Pläne, regelmäßige Tests, saubere Nachweisführung.

 

Häufige Fragen (FAQ)

Was ist der Unterschied zwischen Business Continuity Management und Disaster Recovery?

BCM ist der übergeordnete Rahmen und betrachtet den gesamten Geschäftsprozess samt Personal, Standorten, Lieferanten und Ersatzverfahren. Disaster Recovery ist eine Teilmenge davon und meint die technische Wiederherstellung von IT-Systemen und Daten: notwendig, aber allein nicht ausreichend, weil es den Notbetrieb der Fachbereiche nicht regelt.

Ist Business Continuity Management gesetzlich vorgeschrieben?

Im Anwendungsbereich von NIS2 ja: § 30 Absatz 2 Nummer 3 BSIG verlangt Maßnahmen zur Aufrechterhaltung des Betriebs einschließlich Backup-Management, Wiederherstellung und Krisenmanagement. Für Finanzunternehmen gelten seit dem 17. Januar 2025 zusätzlich die Artikel 11 und 12 der DORA-Verordnung. Alle übrigen Unternehmen trifft keine direkte Pflicht, für sie wird BCM über Kundenanforderungen und die ISO-27001-Zertifizierung relevant.

Was bedeuten RTO, RPO und MTPD?

Die MTPD ist die maximal tolerierbare Ausfallzeit, ab der die Folgen nicht mehr hinnehmbar sind. Das RTO ist die Zielzeit für den Wiederanlauf und liegt immer unterhalb der MTPD. Das RPO beschreibt den maximal akzeptablen Datenverlust und bestimmt die Sicherungsfrequenz. Alle drei Werte legt die Business Impact Analyse je Prozess fest.

Welche Norm gilt für Business Continuity Management?

Der internationale Standard ist ISO 22301 in der Fassung von 2019, nach dem sich ein BCMS zertifizieren lässt. Im deutschsprachigen Raum kommt der BSI-Standard 200-4 vom Juni 2023 hinzu, der eine kompatible Methodik mit dreistufigem Einstieg bietet. Wer ein ISMS betreibt, deckt Teile der Anforderungen über die Controls A.5.29, A.5.30, A.8.13 und A.8.14 der ISO 27001:2022 ab.

Wie startet ein mittelständisches Unternehmen mit BCM?

Mit einem eng gefassten Geltungsbereich und einer schlanken Business Impact Analyse für die fünf bis zehn wichtigsten Prozesse. Daraus ergeben sich Zeitziele, daraus die Strategien und erst danach die Technikinvestitionen. Ein Restore-Test und eine Schreibtischübung schaffen in wenigen Wochen mehr Sicherheit als ein Konzept, das niemand erprobt hat.