Das Ziel des Risikomanagements ist nicht, alle Risiken zu beseitigen, sondern ihre Wahrscheinlichkeit und ihren Einfluss effektiv zu reduzieren. Eine Möglichkeit, dies zu tun, ist die Geschäftsfortsetzungsplanung.

Ein Geschäftsfortsetzungsplan kann Ihrer Organisation helfen, während einer Katastrophe in gewissem Maße weiter zu arbeiten.

Im Folgenden erhalten Sie klare Antworten darauf, was ein Geschäftsfortsetzungsplan beinhaltet, warum er wichtig ist und wie man ihn erstellt. Sie finden auch eine Vorlage für einen Geschäftsfortsetzungsplan, um den Prozess zu vereinfachen.

Was ist ein Geschäftsfortsetzungsplan?

Ein Geschäftsfortsetzungsplan ist ein Dokument mit vordefinierten Verfahren, die beschreiben, wie eine Organisation ihre Geschäftsabläufe während und nach einer erheblichen Störung aufrechterhalten wird.

Diese Störung kann durch eine Vielzahl von Bedrohungen verursacht werden, einschließlich Naturkatastrophen, technischen Ausfällen und Cyberangriffen.

Was ist Geschäftsfortsetzungsmanagement?

Ein Geschäftsfortsetzungsplan ist ein Teil des Geschäftsfortsetzungsmanagements (BCM). BCM umfasst Risikobewertung, Reaktionsplanung, Wiederherstellung und langfristige Wartung der entwickelten, getesteten und verwendeten Richtlinien und Verfahren im Krisenfall.

Was ist das Hauptziel der Geschäftsfortsetzungsplanung?

Das Hauptziel der Geschäftsfortsetzungsplanung ist es, Vorbereitungen und Wiederherstellungsmaßnahmen zu identifizieren, die einer Organisation helfen können, den Betrieb und die Dienstleistungen so schnell wie möglich während und nach einer Krise wieder aufzunehmen.

Zum Beispiel hängen die meisten Geschäftsvorgänge stark von Technologie und automatisierten Systemen ab, und die Unterbrechung dieser Systeme für nur wenige Stunden kann schwerwiegende Probleme verursachen. Überlegen Sie, was bei einem Ausfall von Zoom passieren könnte. Dies könnte Besprechungen mit Kollegen, Kunden und Interessenten sowie wichtige Projekte und Geschäfte beeinträchtigen. Ein Unternehmen mit einem Geschäftsfortsetzungsplan, das ein Ersatztool für Videokonferenzen identifiziert hat, wird sich schneller erholen als ein Unternehmen ohne einen solchen Plan.

Um sicherzustellen, dass Ihr Geschäft so reibungslos wie möglich verläuft, auch bei Systemausfällen, Cyberangriffen, Naturkatastrophen und anderen großen Störungen, muss es ein Bewusstsein für potenzielle Krisen geben, die kritische Systeme, Werkzeuge und Fähigkeiten Ihrer Organisation beeinflussen könnten, sowie einen Plan, um mit ihnen umzugehen.

Die Geschäftsfortsetzungsplanung ist auch wichtig, um einige Datenschutz- und Sicherheitsstandards zu erfüllen und aufrechtzuerhalten, einschließlich SOC 2®. Lassen Sie uns diesen weiteren Grund für die Erstellung eines BCP und dessen regelmäßige Aktualisierung betrachten.

Warum ist ein Geschäftsfortsetzungsplan wichtig für die SOC 2 Compliance?

Ein Geschäftsfortsetzungsplan ist Teil der Dokumentation, die ein SOC 2-Prüfer wahrscheinlich überprüfen wird, zusammen mit Ihren Systemen und Sicherheitskontrollen, um Ihr Konformitätsniveau mit den Trust Services Kriterien (TSC) zu bestimmen, die Sie ausgewählt haben. Dieser Plan ist besonders wichtig, wenn Sie Verfügbarkeit als TSC in Ihrem SOC 2 Audit aufnehmen.

Die Verfügbarkeitskontrollen in SOC 2 konzentrieren sich darauf, Ausfallzeiten zu minimieren. Risikobewertung ist daher unerlässlich.

Ein SOC 2-Prüfer wird höchstwahrscheinlich überprüfen, ob Ihr Unternehmen Umweltbedrohungen identifiziert und Wege gedacht hat, diese zu mindern, die die Systemverfügbarkeit beeinträchtigen könnten, wie Hurrikane, Tornados und Waldbrände. Der gleiche Prozess sollte auf „menschengemachte“ Bedrohungen angewendet werden, wie Diebstahl und Cyberangriffe.

Ein SOC 2-Prüfer wird wahrscheinlich auch prüfen, ob Ihr Geschäftsfortsetzungsplan auf unvorhergesehene Ereignisse angewendet werden kann, die Ihre Systemverfügbarkeit und Kapazität beeinträchtigen könnten, wie eine globale Pandemie.

Ein Prüfer wird wahrscheinlich auch überprüfen, ob Sie Ihren BCP innerhalb des letzten Jahres (mindestens) getestet haben.

Wer ist für die Planung der Geschäftsfortführung verantwortlich?

Die Planung der Geschäftsfortführung muss eine Top-Down-Bemühung sein. Das bedeutet, dass sie die Unterstützung und die aktive Teilnahme eines Direktors oder leitenden Managers im Unternehmen haben muss. Während diese Person als Exekutivsponsor fungiert, sollte eine andere Person als BCP-Koordinator ernannt werden. Abhängig von der Größe der Organisation muss möglicherweise ein Planungsteam, das alle wichtigen Betriebsbereiche repräsentiert, ernannt werden, um den BCP-Koordinator zu unterstützen.

Dieser Koordinator und/oder das Team sollte angemessen bekannt gegeben und befugt werden, eine Reihe von Verantwortlichkeiten wahrzunehmen, einschließlich der Aufdeckung der Schwächen Ihres Unternehmens und der Erstellung von Plänen zu deren Minderung, dem Testen dieser Pläne, um sicherzustellen, dass sie für verschiedene Arten von Krisen wirksam sind, und deren Aktualisierung, wenn neue Bedrohungen auftreten.

Was ist der Unterschied zwischen einem Business-Continuity-Plan, einem Katastrophenwiederherstellungsplan und einem Vorfallreaktionsplan?

Es gibt mehrere Notfall- und Kontinuitätspläne, die dazu beitragen können, die Auswirkungen katastrophaler Ereignisse zu minimieren. Werfen wir einen Blick auf die drei häufigsten Pläne und wie sie sich von einander unterscheiden.

Business-Continuity-Plan vs. Katastrophenwiederherstellungsplan

Der wesentliche Unterschied zwischen einem Business-Continuity-Plan und einem Katastrophenwiederherstellungsplan besteht darin, dass ein BCP Verfahren zur Aufrechterhaltung des Geschäftsbetriebs während der Wiederherstellung nach einer erheblichen Störung bietet, während ein DRP Verfahren zur Wiederherstellung des Betriebs von Informationssystemen nach einer erheblichen Systemstörung, wie einem großen Softwareausfall oder einer Naturkatastrophe, durch deren Verlagerung an einen alternativen Standort bietet.

Viele Organisationen wählen es, ihre Business-Continuity- und Katastrophenwiederherstellungspläne in einem einzigen Dokument zu kombinieren. Einige wählen jedoch, sie als eigenständige Dokumente zu erstellen.

Business-Continuity-Plan vs. Vorfallreaktion

Der wesentliche Unterschied zwischen einem Business-Continuity-Plan und einem Vorfallreaktionsplan besteht darin, dass ein BCP Verfahren zur Aufrechterhaltung des Geschäftsbetriebs während der Wiederherstellung nach einer erheblichen Störung bietet, während ein IRP Verfahren zur Minderung und Korrektur eines Systems nach einem Sicherheitsvorfall, wie einem Virus oder Trojaner, bietet.

Ein IRP sollte einen Wiederherstellungsprozess im Detail beschreiben, falls Sicherheitsvorfälle eintreten.

Dies ist ein weiteres wichtiges Dokument, das ein SOC 2-Prüfer wahrscheinlich überprüfen wird, um Ihre Ebene der Einhaltung der von Ihnen ausgewählten TSC zu bestimmen.

Was umfasst ein Business-Continuity-Plan typischerweise?

Ein Business-Continuity-Plan umfasst typischerweise Folgendes:

• Kritische Services, Prozesse und Ressourcen: Jeder BCP sollte eine Liste kritischer Services, Prozesse und Ressourcen enthalten. Diese müssen zuerst wiederhergestellt werden, wenn ein BCP-Ereignis eintritt, um Ausfallzeiten zu minimieren.
• Überlegungen zu alternativen Standorten: Bei einem bedeutenden BCP-Ereignis muss eine Organisation möglicherweise Backup-Rechenzentren, Backup-Stellen für den Betrieb, entfernte Standorte oder andere alternative Standorte nutzen. Diese werden typischerweise im BCP dokumentiert sowie Überlegungen wie die Zugänglichkeit dieser alternativen Standorte, alternative Transportmöglichkeiten zu diesen Standorten, die Anzahl der Mitarbeiter, die erforderlich sind, um kritische Aktivitäten an diesen Standorten durchzuführen, und andere erforderliche Ressourcen. 
• Lieferantenbeziehungen: Organisationen können Lieferanten in Risikostufen kategorisieren und das Risiko in ihren BCP-Plänen bewerten. 
• Überlegungen zu Telekommunikationsdiensten und Technologien: Organisationen beschreiben typischerweise Strategien zur Aufrechterhaltung des Betriebs bei Kommunikationsstörungen in ihrem BCP. Dies kann die Nutzung mehrerer Telekommunikationsanbieter, sekundäre Telefonleitungen, Cloud-Technologie, temporäre Telefonleitungen, mobile Telekommunikationseinheiten und WLAN für Mitarbeiter ohne Strom sowie Backup-Mobiltelefondienste bei verschiedenen Anbietern umfassen. 
• Kommunikationspläne: Organisationen etablieren typischerweise Kommunikationspläne mit Mitarbeitern, Kunden und anderen externen Dritten, einschließlich Regulierungsbehörden, Börsen und Notfallpersonal, ebenfalls in ihrem BCP. 
• Regulatorische und Compliance-Überlegungen: Organisationen berücksichtigen typischerweise regulatorische Anforderungen in ihren BCPs und sollten diese regelmäßig aktualisieren, um neue Anforderungen zu berücksichtigen. 
• Methoden zur Überprüfung und Prüfung: Organisationen sollten darlegen, wie ihr BCP überprüft und getestet wird und wie oft. Beispielsweise können sie vollständige BCP-Tests mindestens jährlich oder früher durchführen, wenn wesentliche Änderungen vorgenommen werden. Sie können auch Mitarbeiterschulungen durchführen oder von den Mitarbeitern verlangen, ihren BCP jährlich zu überprüfen, damit alle Mitarbeiter mit dem Plan und ihren Verantwortlichkeiten vertraut sind. 
• Wiederherstellungsziele: Ein BCP wird typischerweise wichtige Wiederherstellungsziele enthalten, die Organisationen helfen, zu planen, wie schnell sie Daten und Systeme wiederherstellen müssen, um Unterbrechungen zu minimieren und einen reibungslosen Betrieb während unerwarteter Ereignisse aufrechtzuerhalten. Diese werden unten definiert: 
  - RPO (Recovery Point Objective): RPO legt das Limit fest, wie viel Datenverlust ein Unternehmen nach einer Unterbrechung tolerieren kann. Es definiert den letzten akzeptablen Zeitpunkt zur Datenwiederherstellung, um potenzielle Verluste zu minimieren.
  - RTO (Recovery Time Objective): RTO ist die maximal akzeptable Ausfallzeit für Systeme oder Prozesse. Es gibt an, wie schnell ein Unternehmen nach einer Unterbrechung wiederherstellen und den normalen Betrieb wieder aufnehmen muss.

Beispiel für einen Business-Continuity-Plan

Dieses Beispiel für einen Business-Continuity-Plan von Santa Cruz Health ist für verschiedene Einrichtungen gedacht, um Maßnahmen anzupassen und vorab Ressourcen zu positionieren, um die Kontinuität von mission-kritischen Diensten und Prozessen im Falle eines Ereignisses, das den normalen Betrieb stört und wesentliche Betriebsvorgänge der Einrichtung beeinträchtigt, sicherzustellen. Es ist in mehrere Abschnitte unterteilt, darunter: 

1. Allgemein: Beschreibt den Zweck des BCP, wie oben angegeben.
2. Aktivierung: Beschreibt kurz, wann der Plan aktiviert werden sollte. 
3. Überblick: Beschreibt kurz, was der Plan ist, wie er entwickelt wurde, welche Schritte unternommen werden müssen, um seine Wirksamkeit sicherzustellen, und was enthalten ist. 
4. Kontinuitätsanforderungen: Listet die missionskritischen Dienste, Prozesse, Geräte und Vorräte, IT-Anwendungen, Aufzeichnungen und Mitarbeiter für die Geschäftskontinuität der Einrichtung auf.
5. Kontinuitäts- und Wiederherstellungsmaßnahmen: Listet Verfahren auf, die nach dem Auftreten verschiedener BCP-Ereignisse durchzuführen sind, einschließlich Stromausfall, Ausfall der Klimaanlage und Verlagerung von Abteilungsdiensten an einen anderen Standort.

Wie man einen Business-Continuity-Plan schreibt

Jetzt ist es an der Zeit, Ihren Business-Continuity-Plan zu formulieren und zu erstellen. Um Sie durch den Prozess zu führen, haben wir ihn in sechs wichtige Schritte unterteilt. Außerdem haben wir unten eine Vorlage bereitgestellt, um Ihnen den Einstieg zu erleichtern.

1. Identifizieren und bewerten Sie Ihre Risiken.

Die erste wichtige Aufgabe beim Schreiben eines BCP besteht darin, die Risiken oder Bedrohungen in Ihrer Umgebung zu identifizieren und zu bestimmen, wie sie sich auf Ihre Betriebsabläufe auswirken könnten. Beispielsweise können einige Umweltbedrohungen wahrscheinlich physische Schäden an Ihrem Gebäude verursachen. Andere Arten von Bedrohungen können Auswirkungen auf Ihr Personal und deren Familien haben. 

Die Risiken, die Ihre Betriebsabläufe am meisten bedrohen, sollten priorisiert werden. 

2. Identifizieren Sie kritische Elemente Ihrer Organisation.

Die nächste wichtige Aufgabe besteht darin, die Werkzeuge, Systeme und Fähigkeiten zu identifizieren, die für Ihre Betriebsvorgänge wesentlich sind und wie kritisch sie für die Wiederherstellung sind. Sie können ein Brainstorming starten, indem Sie die Frage stellen: Wie erreichen wir unsere Ziele? 

Zum Beispiel, wenn eine Ihrer mission-critical Services die Mittelbeschaffung ist. In diesem Fall könnte ein kritisches Asset Karten zur Spendenzusage sein. Der Anbieter, der Ihre Spendenzusagen druckt, würde ebenfalls als kritisch angesehen werden. 

Beim Identifizieren dieser Systeme, Werkzeuge und Fähigkeiten sollten Sie auch bestimmen, welche Ressourcen erforderlich sind, um sie wiederherzustellen und somit die mission-critical Services und Prozesse, zu denen sie gehören, wieder aufzunehmen. Beispiele für Ressourcenanforderungen sind Einrichtungen, Personal, Ausrüstung, Software, Datendateien, Systemkomponenten und wichtige Aufzeichnungen.

Dies wird dazu beitragen, Prioritätsstufen für die Reihenfolge der Wiederherstellungsaktivitäten zu bestimmen. Mit anderen Worten, was muss zuerst wiederhergestellt werden, um während und nach einer Krise so schnell wie möglich wieder zur Arbeit zurückzukehren?

3. Identifizieren Sie Möglichkeiten zur Risikominderung.

Jetzt, da Sie die einzigartigen Risiken und kritischen Elemente Ihrer Organisation verstehen, sind Sie bereit, einen Aktionsplan zu erstellen. 

Beginnen Sie damit, Strategien zu identifizieren, die die in Schritt 1 identifizierten Risiken vollständig eliminieren. Wenn dies nicht möglich ist, identifizieren Sie Strategien, die ihre Auswirkungen verringern. Beispielsweise ist es unmöglich, die Bedrohung durch Umweltgefahren wie Schneestürme vollständig zu beseitigen. Stattdessen können Sie ein Verfahren erstellen, bei dem Ihre Mitarbeiter und Auftragnehmer aus der Ferne arbeiten, wenn ein Schneesturm es unmöglich oder schwierig macht, ins Büro zu gelangen. Dies erfordert, dass alle Mitarbeiter und Auftragnehmer die entsprechenden Vorräte und Ausrüstungen haben und die gleichen Kommunikationen erhalten. 

Diese Risikominderungsstrategien sollen dazu dienen, die Auswirkungen einer Bedrohung vor einer Krise zu eliminieren oder zu verringern und sollten daher so schnell wie möglich umgesetzt werden. 

4. Identifizieren Sie Möglichkeiten, sich auf den Verlust kritischer Elemente vorzubereiten und davon zu erholen. 

Da es unmöglich ist, alle Bedrohungen zu eliminieren, denen Ihre Organisation ausgesetzt ist, besteht der nächste Schritt darin, so viele Strategien wie möglich zu identifizieren, um mit dem Verlust jedes in Schritt 2 identifizierten kritischen Elements umzugehen. 

Beispielsweise können die Installation von Schutzsystemen wie einem Sicherheitssystem, einem Feuermeldesystem und Antivirensoftware als Strategien zur Vorbereitung und Erholung vom Verlust kritischer Elemente durch Diebstahl, Vandalismus, Umweltgefahren, Cyber-Angriffe und andere Bedrohungen angesehen werden.

Das Ziel ist es, so viele Vorbereitungsstrategien wie möglich zu entwickeln, um sich während und nach einer Krise bestmöglich auf den Verlust mission-critical Assets vorzubereiten und davon zu erholen.

Während der Überprüfungs- oder Testphase können Sie alle Strategien entfernen, die zu zeitaufwändig oder kostspielig sind.

5. Bereiten Sie sich darauf vor, wie Sie nach einer Krise reagieren werden. 

Da nun Pläne und Strategien vorhanden sind, können Sie Maßnahmen ergreifen, um die Effizienz und Qualität der Reaktion Ihrer Organisation auf eine Krise zu verbessern, damit Sie so schnell wie möglich wieder an die Arbeit gehen können. 

Erwägen Sie die Erstellung eines Wiederherstellungsteams, das Ihre Verluste bewerten und nach einer Krise Wiederherstellungsmaßnahmen einleiten kann. Die Rollen und Verantwortlichkeiten dieses Teams können in Ihrem BCP dokumentiert werden. 

6. Aktualisieren und testen Sie Ihren Notfallplan für die Geschäftskontinuität.

Ihr Notfallplan für die Geschäftskontinuität ist ein lebendiges Dokument. Es sollte aktualisiert werden, um die sich entwickelnden Risiken und Bedürfnisse Ihres Unternehmens zu reflektieren. Ob Sie neue Software integrieren, die plötzlich abstürzt, oder ein neues Mitglied des Managementteams hinzufügen, Ihr BCP sollte diese Änderungen widerspiegeln.

Auch wenn es keine größeren Veränderungen in Ihrem Unternehmen gibt, sollten Sie Ihren Notfallplan für die Geschäftskontinuität mindestens einmal im Jahr testen. Dies ist eine bewährte Praxis und eine Compliance-Anforderung. Sie können verschiedene Testmethoden verwenden, einschließlich Tischübungen und Simulationstests. 

Tests und die Aktualisierung solcher Dokumentationen sind ein wichtiger Teil der kontinuierlichen Compliance.

Vorlage für den Notfallplan zur Geschäftskontinuität

Verwenden Sie diese Vorlage, um die Risiken, kritischen Elemente, Minderungsmaßnahmen und Vorbereitungsstrategien zu ermitteln, die die grundlegenden Komponenten Ihres Notfallplans zur Geschäftskontinuität bilden.