Das neue Zivilschutzkonzept und meine persönliche Vorsorge

Das “neue” Zivilschutzkonzept hat die Medien in den vergangenen Wochen sehr bewegt. Leider ist die Kommunikation des Konzepts völlig verunglückt, weil Auszüge über die Presse vorab veröffentlicht wurden. Gerade diese vorab veröffentlichten Auszüge über die private Vorsorge, die unseren Hamster ins Rampenlicht rückten, sind der mit Abstand harmlose Teil des Konzepts. Die Empfehlungen für die persönliche Vorsorge liegen seit vielen Jahren vom BBK vor. Vielleicht ist es ein positiver Aspekt des Medien-Hype, dass diese Notfallvorsorge wieder in das Bewusstsein rückt. Einige Anbieter von Prepper-Artikeln freuen sich gerade über einen temporären Nachfrageboom. Ich gehe davon aus, dass die Konzeption Zivile Verteidigung von den Medienvertretern überwiegend gar nicht gelesen oder in der Tragweite nicht verstanden wurde. Der Wehrdienst ist rechtlich nur ausgesetzt, im Verteidigungsfall kann der Staat sehr weitreichend in die Abläufe der kritischen Infrastrukturen eingreifen und Transport- sowie Produktionsmittel beschlagnahmen genau so wie Lebensmittel und deren Herstellung sowie Distribution (Notstandsverfassung 115a bis 115l GG). Interessant ist eher der Schwenk von rein militärischen Angriffsszenarien, die die zivile Verteidigung bislang beherrschten zu “hybriden Bedrohungen” für die kritischen Infrastrukturen. Damit gemeint sind unter anderem auch Cyber-Attacken und der Ausfall oder die Störung von kritischen Infrastrukturen. Beim Studium des Konzepts wird man feststellen, dass sich die Bundesregierung vielen Aufgaben stellt, die in der Zukunft noch konzipiert und umsetzt werden müssen. Viele Sätze beginnen mit “Der Bund entwickelt ein Konzept …”. Der Handlungsbedarf des Bundes ist in diesem Konzept zumindest erkannt und benannt, auch wenn noch vieles zu  konkretisieren und umzusetzen ist. Auch die Betreiber kritischer Infrastrukturen werden deutlich adressiert:

“Jeder Betreiber soll in seinem Zuständigkeitsbereich freiwillig und eigeninitiativ Verantwortung für ein angemessenes Sicherheitsniveau übernehmen. Der Staat erteilt den Betreibern nach Einschätzung der Erforderlichkeit konkrete Auflagen zur Verbesserung der Resilienz und Sicherheit der Kritischen Infrastrukturen. Eine „Nationale Strategie zum Schutz Kritischer Infrastrukturen“ fasst die Zielvorstellungen und den politisch-strategischen Ansatz des Bundes auf diesem Politikfeld zusammen. In einem „Rahmenkonzept Risiko- und Krisenmanagement Betreiber Kritischer Infrastrukturen“ werden Anforderungen an das Erstellen betrieblicher Risikoanalysen und die Ableitung von Sicherheitsmaßnahmen sowie zum Auf- bzw. Ausbau betrieblicher Krisenmanagementstrukturen formuliert”. Neben dem IT-Sicherheitsgesetz können auf die Betreiber also weitere Anforderungen im Risiko- und Krisenmanagement zukommen.

Neben dieser Initiative des Bundes ist die Überwindung der “Friedensdividende” auch bei Ländern und Gemeinden spürbar. Wurden vor Jahren flächendeckend die Sirenen zur Warnung der Bevölkerung demontiert, da auf elektronische Wege gesetzt wurde, verkünden Gemeinden jetzt stolz den Bau von Hochleistungssirenen. Daneben finden die elektronischen Warnsysteme “Katwarn” und “Nina“, gerade nach dem Attentat in München, zunehmend Verbreitung bei Gemeinden und in der Bevölkerung.

Die persönliche Vorsorge, in anderen Ländern eine Selbstverständlichkeit, wird hier noch mit Unverständnis und Belustigung (“Hamster”) aufgenommen. Zu sehr fehlt hier noch das Risikobewusstein bei den Bürgern und zu ausgeprägt ist das Verlassen auf Bund und Betreiber kritischer Infrastrukturen. Dabei ist die Anschaffung von Kerzen / Teelichte, einem batteriebetriebenen Radio, Batterien und Konserven keine große Sache. Alle Kollegen, die sich mit diesen Themen intensiver beschäftigen, betreiben die Vorsorge nach meiner Erfahrung berufsbedingt etwas intensiver – ohne gleich zur Gruppe der Prepper zu gehören. So findet sich in meiner Garage ein Notstromaggregat und in einem Karton schnell griffbereit Taschenlampe, Batterien, Kerzen, Zündhölzer, ein Kurbelradio, Battery-Packs mit Solarpanel zum Laden sowie Micropur-Tabletten für die Wasserentkeimung. Alles Dinge, die auch mal in den Camping-Urlaub oder die Motorradtour mitgehen. Vorsorge ist kein großer Aufwand und bei einem Stromausfall ist romantisches Kerzenlicht ganz angenehm und nützlich.

Bei Kerzenlicht empfehle ich dann die folgende Lektüre:

http://amzn.to/2cj2iqU

Wenn der Notfall nicht in Urlaub geht

Die Urlaubszeit steht an und für viele Mitarbeiter beginnt die schönste Zeit des Jahres zu Hause im Garten, in nahen oder in fernen Ländern. Nur einer macht leider keinen Urlaub und wartet nur darauf zuschlagen zu können: der Notfall.

Deswegen: denken Sie an die Zweit- und Drittbesetzung Ihres Notfall- und Krisenmanagements.

  • Kennen die Mitarbeiter ihre Rolle?
  • Sind die Mitarbeiter geschult?
  • Ist die Erreichbarkeit der Schlüsselpersonen für das Notfall- und Krisenmanagement sichergestellt?
  • Die ruhigere Zeit ist auch eine gute Gelegenheit, Krisenstabsräume (“war room”), Krisenmanagementausrüstung (“battle case”) und Kommunikationstechnik zu überprüfen und bei Bedarf aufzufrischen.

Wenn ja, dann genießen Sie die Sommer- und Urlaubszeit!

Ich wünsche Ihnen, dass auch für Sie Störungen, Ausfälle, Notfälle und Krisen durch Abwesenheit glänzen, wie so mancher Kollege und manche Kollegin.

Auch in der Ferienzeit für Sie da

Matthias Hämmerle

 

Keiner da?

Ja, wo sind sie denn die Mitarbeiter alle?
Zu Hause, den Keller auspumpen.
Auch Szenarien wie die jüngsten monsunartigen Regenfälle mit Tornados führen zu Personalausfällen, auch wenn das Unternehmen nicht direkt betroffen ist. Im Zweifel ist dem Mitarbeiter die Rettung des eigenen Mobiliars näher als die Aufrechterhaltung der Geschäftsprozesse. Wer will es ihnen verdenken.

Ein Notfallplan für den Personalausfall stellt daher auf die Wirkungen ab und nicht auf die Ursachen.Und neben Plan “A” immer Plan “B” und Plan “C” in der Hinterhand haben. Denn das Wetter ist schon schwer genug vorherzusagen, beeinflussen lässt es sich schon gar nicht.

Supply Chain Resilience Survey des Business Continuity Institute

Das Business Continuity Institute BCI führt gemeinsam mit Zurich Insurance bereits die achte Umfrage zur Sicherheit von Lieferketten durch. Die vergangenen Studien haben interessante Ergebnisse erbracht:

Some of the findings from the 2015 Supply Chain Resilience Report published by the BCI were that three quarters of respondents (74%) had experienced at least one supply chain disruption and that half of those disruptions occurred below the tier 1 supplier.”

Die Teilnahme an der Umfrage ist anonym und es gibt einen Amazon Gutschein in Höhe von 100 GBP zu gewinnen. Hier der Link zur Teilnahme an der Umfrage.

Wer sind die “interested parties” aus ISO 22301

Dr. Christian Zänker (zaenker@bcmpartner.de) beschäftigt sich in seinem aktuellen Gastbeitrag für die BCM-News mit der Rolle der “interested parties” in ISO 22301 und ISO 22313. Hierzu analysiert er in bekannter Schärfe die beiden Standards, um den “interested parties” auf die Schliche zu kommen. Doch einfach macht es ihm die etwas wirre Begriffswelt im Business Continuity Management nicht:

Im ISO Standard 22301 sind die interested parties an die Stelle der Stakeholder gerückt. Nunmehr werden durch die interested parties Anforderung an das BCMS gestellt, die durch einen gelebten P-D-C-A Zyklus Erfüllung finden und wieder als Managed Business Continuity die Erwartungen der interested parties befriedigen. So schön, so gut.

Weiterlesen…

Die zehn Schritte zum Business Continuity Management

Gerade kleine und mittelständische Unternehmen sind manchmal gezwungen, schnell und effizient ein Business Continuity Management zu implementieren. Zum Beispiel weil ein Kunde dies zur Auflage für den Vertragsabschluss gemacht hat. Von null auf hundert mal schnell ein standardkonformes Business Continuity Management einzuführen, dafür fehlt das Know How und die Ressourcen. Der neue lukrative Vertrag mit dem namhaften Kunden, der ganz unverschämt nach dem BCM verlangt, muss natürlich trotzdem unter Dach und Fach. Jetzt ist guter Rat teuer? Nein, es ist der Wink mit dem Zaunpfahl, das eigentlich schon immer benötigte BCM im Hause einzuführen. Schritt für Schritt, immer die Kundenanforderungen im Blick.

Diese 10 Schritte führen dann trotzdem zum Ziel:

  1. Unterstützung der Geschäftsführung sicherstellen:
    Stellen Sie die Unterstützung der Geschäftsführung für das Thema sicher. Sie stellt personelle und finanzielle Ressourcen. Insbesondere benötigen Sie die aktive Unterstützung der Geschäftsführung bei Priorisierungskonflikten und Widerständen.
  2. Scope für das BCM definieren:
    welche Produkte, Services, Standorte, Prozesse werden im ersten Schritt betrachtet?
  3. Betroffene Mitarbeiter abholen:
    Workshop “die 5 W-Fragen zum BCM: wozu, wie, wann, wer, womit”.
  4. Business Impact Analyse zur Identifikation der kritischen Prozesse und Ressourcen im definierten Scope durchführen:
    Konzentrieren Sie sich auf das Ziel und verlieren Sie sich nicht in der Ermittlung finanzieller Impacts. Führen Sie die BIA in Form von Interviews und Workshops mit den Verantwortlichen. Dies spart Zeit und erhöht die Qualität.
  5. Notfallkonzepte für die kritischen Prozesse erstellen:
    Nutzen Sie Templates für die Erstellung der Notfallkonzepte je Geschäftsprozess. Erläutern Sie in einem Workshop exemplarisch die Vorgehensweise und Inhalte.
  6. Notfallchecklisten für Szenarien erstellen:
    Erstellen Sie Notfallchecklisten für einzelne BCM-Szenarien, nach denen im Notfall strukturiert vorgegangen werden kann. Nicht die Masse, sondern die Qualität ist für eine gute Notfallplanung entscheidend.
  7. eine erste BCM-Übung auf Basis der erstellten Dokumentationen durchführen:
    führen Sie schnell eine erste Übung auf Basis der erstellten Dokumentationen durch. Hierdurch lässt sich das Verfahren verifizieren und es ist ein erstes Erfolgserlebnis.
  8. Lessons learned durchführen, Dokumentationen und Prozesse optimieren:
    Optimieren Sie die Verfahren und Dokumentationen auf Basis der Erfahrungen.
  9. Die weitere Implementierung planen:
    Planen Sie die nächsten Stufen der BCM-Implementierung.
  10. BCM in der Linie etablieren: Rollen, Ressourcen, Prozesse
    Etablieren Sie das BCM in der Linie mit Verantwortlichkeiten und Ressourcen.

Poster für die Business Continuity Awareness Week 2016

Vom 16. bis 20. Mai findet dieses Jahr wieder die Business Continuity Awareness Week “BCAW” statt. Die Woche ist dazu da, das Bewusstsein für Business Continuity Management in den Organisationen zu stärken. Das Business Continuity Institute bietet in dieser Woche auf der Webseite BCAW2016 zahlreiche hochwertige und kostenfreie Webinare internationaler Referenten zu BCM an. Zur Unterstützung der Awareness-Kampagne gibt es auch in diesem Jahr wieder Poster. Diese können kostenfrei in unterschiedlichen Formaten von der Seite heruntergeladen werden und dürfen Büros und Gänge schmücken.

BCAW_A44-1

BCM-Wiki

Umfrage: Zusammenarbeit im Rahmen von Lieferkettenunterbrechungen

Sehr geehrte Damen und Herren,

die Vermeidung und die schnellstmögliche Behebung von Lieferkettenunterbrechungen sind schon heute wesentliche Erfolgsfaktoren europäischer Unternehmen im globalen Wettbewerb. Der Ausfall wichtiger Lieferanten kann zu Produktionsausfällen mit verheerenden finanziellen Konsequenzen führen. Viele Beispiele zeigen, dass die Art und die Güte der Zusammenarbeit der beteiligten Unternehmen bei einer Unterbrechung ein zentraler Faktor dafür ist, wie schnell sich die Lieferkette erholt.

Die Forschungsgruppe Produktions- und Logistiknetzwerke an der Jacobs University Bremen untersucht im Rahmen einer Doktorarbeit, wie Unternehmen heute bei Lieferkettenunterbrechungen zusammenarbeiten.

Wir würden uns sehr freuen, wenn Sie Ihre Erfahrungen als Branchenexperte in einer kurzen Umfrage (ca. 15 Minuten) mit uns teilen würden. Den Link zur Umfrage finden Sie hier: http://ww2.unipark.de/uc/Jacobs-University-F/

Gerne stellen wir Ihnen die Ergebnisse in Form einer Benchmark-Studie im Anschluss kostenlos zur Verfügung. Dazu können Sie am Ende der Umfrage Ihre Kontaktdaten angeben. Die Analyse selbst erfolgt anonymisiert.

Vielen Dank für Ihr Mitwirken.

Mit freundlichen Grüßen

Marie Brüning

Research Associate, PhD Student

Department of Mathematics and Logistics

Wachsende Bedeutung von “non property damage risks”

Risiken, die keine physischen Schäden verursachen, aber trotzdem zu finanziellen Schadensfolgen für das Unternehmen führen, nehmen zu. Zu diesen Risiken gehören zum Beispiel Schäden durch Cyber Attacken oder geo-politische Risiken. Die finanziellen Schäden in Folge von Reputations- und Imageverlusten übersteigen mittlerweile die direkten Kosten durch Cyber Attacken. Dies ist ein Ergebnis des Allianz Risk Barometer 2015. Über 500 Risikomanager in mehr als 40 Ländern wurden für die Studie befragt. Geschäftsunterbrechungen auf Grund von physischen Schäden wie Feuer, Explosion oder Naturkatastrophen sowie Unterbrechungen der Lieferkette dominieren jedoch nach wie vor die Risikolandschaft. Insbesondere die stark wachsende internationale Vernetzung der Wirtschaft schlägt sich in den Risiken nieder. Der legendäre “umgefallene Sack Reis in China” kann mittlerweile auch hierzulande über die eng verflochtenen Lieferketten einen Tsunami auslösen. Business Continuity Management und Transparenz der Lieferkette um diese Risiken zu reduzieren ist trotzdem bei vielen Unternehmen noch Fehlanzeige. “Collaboration between different areas of the company – such as purchasing, logistics, product development and finance – is necessary in order to develop robust processes which identify break points in the supply chain. Supply chain performance management analysis can enable early warning systems to be created, ” so Volker Muench, Global Practice Group Leader, AGCS Property Underwriting in der Studie. Und da waren sie wieder, die Silos, die es aufzubrechen gilt.

Was bedeutet dies für das Business Continuity Management? Die klassischen BCM-Risikoszenarien wie Ausfall von Gebäuden, Personal oder IT bleiben von Relevanz. Weitere Szenarien, die non property damage risks abbilden, müssen im Business Continuity Management stärker berücksichtigt werden. Die Frage ist, wie muss eine Business Impact Analyse und eine Notfallplanung aussehen, die eine angemessene Reaktion ermöglicht. Fakt ist, dass die Anforderungen an Reaktions- und Wiederanlaufzeiten bei diesen Risiken deutlich kürzer werden, als wir sie häufig für die klassischen BCM-Szenarien in der Business Impact Analyse abbilden. Kritischer Erfolgsfaktor für die Bewältigung dieser Szenarien ist eine schnelle Reaktion und Kommunikation – sowohl intern als auch intern. Aspekte, die auch in Tests und Übungen für das BCM und Krisenmanagement berücksichtigt werden müssen. Übungen, die eine Cyber-Attacke simulieren, zeigen diesen Effekt allen Beteiligten deutlich auf. Dynamik, Zeit- und Entscheidungsdruck sind ungleich höher als bei den klassischen BCM-Szenarien. Da hilft nur üben, denn leider ist die Wahrscheinlichkeit von einer Cyber-Attacke getroffen zu werden sehr hoch und  sei es nur wie im Falle des Ludwigsluster Wurstfabrikanten, dessen Mail-Adresse zum Versand von Malware missbraucht wurde. Empörte und hilflose Opfer des Cryptolockers legten daraufhin durch Anfragen und Beschwerden die Infrastruktur des Unternehmens für mehrere Stunden lahm.

Vom schwierigen Verhältnis zwischen Business Continuity Management und Organizational Resilience

Vor einigen Jahren tauchte der Begriff “Resilience” in der klassischen Business Continuity Welt auf und Nichts war mehr so wie es vorher war. BCM war out und altmodisch, Resilience in und hip. Keine Konferenz, kein Artikelbeitrag ohne das magische Wort “Resilience”. Weiterlesen…

Nicht “ob”, sondern “wann” ist die Frage

Schaut man sich die Liste der erfolgreichen Hacks der jüngsten Vergangenheit an, wird schnell klar, dass es jedes Unternehmen irgendwann treffen kann. Eine hundertprozentige Sicherheit kann kein Unternehmen auch nicht mit immensem personellem und finanziellem Aufwand sicherstellen. Der normale Geschäftsbetrieb muss ja noch gewährleistet bleiben und die Unternehmen werden weiter Menschen beschäftigen, die das schwächste Glied in der Abwehrkette darstellen. Wie schnell ist auf einen Link in einer Mail geklickt …

Auf der anderen Seite ist der Business Case für Cyber-Kriminelle hochattraktiv. Mit der Verschlüsselungssoftware Cryptowall Ransomware hat eine Hackergruppe alleine in diesem Jahr rund 325 Millionen US-Dollar an Erpressungsgeldern eingenommen, das sind nahezu eine Million US-Dollar täglich. Neben der Erpressung des Unternehmens winken mit dem Verkauf der erbeuteten Daten weitere lukrative Einnahmen. Für einen Kreditkartendatensatz aus der EU sind dies immerhin 25 bis 45 US Dollar, wie McAfee Labs in seiner Analyse “The Hidden Data Economy” ermittelte. Wenn das kein attraktives Geschäftsmodell ist! Wir müssen daher davon ausgehen, dass dieses Geschäftsmodell der Cyber-Erpressung weiter wachsen wird, denn auch Cyber-Kriminelle denken und handeln streng ökonomisch. Betroffen von diesem “Geschäftsmodell” sind gerade auch kleine und mittelständische Unternehmen.  Die eingeforderten Beträge sind für die Betroffenen verkraftbar kalkuliert und so ist es auch für viele Unternehmen betriebswirtschaftlich sinnvoller der Erpressung nachzugeben und das Geld zu bezahlen. Das ökonomische Kalkül der Erpresser geht also auf. Sogar das FBI kapituliert vor diesen Methoden und empfiehlt, das Lösegeld an die Erpresser zu bezahlen.

Das objektive Risiko Opfer einer solchen Cyber-Erpressung zu werden ist hoch. Nicht “ob” ist die Frage, sondern “wann”. Doch was können Unternehmen tun, um auf den “Tag X” vorbereitet zu sein. Sich auf die IT-Security zu verlassen ist zu wenig. Die Kollegen machen einen tollen Job, doch einen Rundum-Schutz für ein sorgloses Leben und Arbeiten können sie nicht gewähren. Im Zweifel sind die kriminellen besser ausgestattet und technisch überlegen.

Daher müssen die Verteidigungslinien im Unternehmen mehrfach gestaffelt werden:

  • 1. Verteidigungslinie: Awareness bei den Mitarbeitern
  • 2. Verteidigungslinie: Technische Maßnahmen durch die IT-Security
  • 3. Verteidigungslinie: Business Continuity Pläne für diese Szenarien (Bsp. Nicht-Verfügbarkeit kritischer Daten und Anwendungen)
  • 4. Verteidigungslinie: IT Service Continuity Management für die Wiederherstellung kritischer Daten und Systeme
  • 5. Verteidigungslinie: Krisenmanagement für die planvolle Steuerung durch die Krise.

Dies zeigt, Cyber-Kriminalität mit seinen potentiellen Auswirkungen auf kritische Geschäftsprozesse ist nicht nur ein Thema der IT-Security. Mitarbeiter, IT-Security, BCM, ITSCM und Krisenmanagement müssen “Hand in Hand” funktionieren, um ein solches herausforderndes Szenario bewältigen zu können.

Die Angriffe sind mittlerweile so ausgeklügelt, dass eine Verteidigungslinie bei weitem nicht ausreichend ist. So sind Mails mit Links zu Malware mittlerweile täuschend echt gebaut. Die Adressaten der Mails werden namentlich angesprochen und der Inhalt der Mails passt perfekt in den Arbeitskontext der Adressaten. Die technischen Möglichkeiten der Cyber-Kriminellen sind durch den Business Case nahezu unerschöpflich. Damit im Fall der Fälle das Business weiter läuft benötigt es die Verteidigungslinien BCM, ITSCM und Krisenmanagement. Allerdings sind gerade für diese Szenarien Pläne nicht ausreichend. Gerade hier gilt üben, üben, üben. Denn die Bedrohungsszenarien ändern sich laufend genauso wie sich elektronische Vertriebskanäle und schützenswerte Daten ändern. Wofür die IT-Security Penetrations-Tests einsetzt, nutzen BCM, ITSCM und Krisenmanagement Tests und Übungen. Schnelles und richtiges Handeln in diesen Bedrohungsszenarien muss ständig geübt werden, so wie Piloten im Simulator regelmäßig die Notfallverfahren üben bis sie tief im Gehirn verankert sind und im Notfall automatisiert abgespult werden können.

be prepared

Ihr Matthias Hämmerle

Der Erpresserbrief ist geschrieben

keine Sorge, nur für die anstehende Krisenstabsübung. Mit dem Szenario einer Erpressung sollte sich jedes Unternehmen einmal auseinandersetzen. Suchen Sie im Internet doch einfach einmal nach dem Stichwort “DD4BC” oder schauen Sie sich diese Risikoanalyse an. Betroffen sind bei weitem nicht nur bekannte Großunternehmen. Insbesondere sind auch kleine und mittelständische Unternehmen betroffen. Die Beträge sind relativ klein und viele Unternehmen werden die Publicity und den Gang zur Polizei scheuen und den geforderten Betrag zähneknirschend bezahlen, in der Hoffnung dann Ruhe zu haben. In dieser Situation ist die Zeit knapp und schnelles zielgerichtetes Handeln gefragt. Ohne Vorbereitung und Übung passieren schwerwiegende Fehler. In einer Checkliste sollten die wichtigsten Schritte festgehalten werden und ein Beratungsgespräch bei der Polizei hilft den richtigen Kontakt im entscheidenden Moment zu finden.