Ermittlung des Schutzbedarfs von Informationswerten für die Sicherheitsziele

• Integrität
• Vertraulichkeit
• Verfügbarkeit.

Geltungsbereich des Business Continuity Management Systems. Der Geltungsbereich kann definiert werden durch

• Produkte, Services
• Geschäftsprozesse
• Standorte
• Kunden.

Der Scope erlaubt eine begrenzte Implementierung des BCM. Für alle Produkte und Services im Scope müssen jedoch auch alle notwendigen Ressourcen wie Vorgänger-, und Unterstützungsprozesse, IT, Personal, Dienstleister etc. betrachtet werden, damit die Notfallvorsorge für die Produkte und Services auch funktionsfähig ist.

Standards sind im Gegensatz zu Normen nicht an ein Regelwerk oder den Konsens aller interessierten Kreise gebunden. Standards sind oftmals die Grundlage für die Entwicklung von Normen.

Immer wieder begegnet mir in Unternehmen die Bezeichnung “Störfall” für Störungen oder Notfälle. In nahezu allen Fällen bin ich nicht glücklich über diese Begriffswahl. Denn der Begriff “Störfall” ist eigentlich durch die Störfallverordnung (Zwölfte Verordnung zur Durchführung des Bundes-Immissionsschutzgesetzes (StörfallVerordnung – 12. BImSchV) geregelt. Betroffen von der Störfallverordnung sind Unternehmen, die gefährliche Stoffe im Betriebsbereich in definierten Mengen lagern. Die Mengen sind in Anhang I der Störfallverordnung definiert. Unternehmen, die dieser Verordnung unterliegen, haben besondere Pflichten hinsichtlich Sicherheitsmaßnahmen, Alarm- und Gefahrenabwehrplänen sowie Informations- und Mitteilungspflichten. Im Kontakt mit Behörden und Organisationen mit Sicherheitsaufgaben (BOS) kann dies zu Mißverständissen führen. Daher sollte der Begriff “Störfall” nur bei entsprechenden Unternehmen Anwendung finden. In den anderen Unternehmen und Organisationen sollte von “Störung” oder “Notfall” gesprochen werden.

Good Practice Guidelines (GPG) des Business Continuity Institute (BCI) wie auch der ISO Standard für die BIA ISO 22317:215 unterscheiden zwischen strategischer, taktischer und operativer Business Impact Analyse (BIA).

Im Rahmen der strategischen BIA erfolgt die Priorisierung der Produkte und Prozesse durch das Top Management unter Berücksichtigung der betriebswirtschaftlichen Anforderungen des Unternehmens sowie der Anforderungen der interested parties. Für die Produkte und Prozesse wird die maximal tolerierbare Ausfallzeit festgelegt.

Im Rahmen der taktischen BIA werden die kritischen Prozesse identifiziert, deren Prozessabhängigkeiten, erforderliche Aktivitäten und Wiederanlaufanforderungen.

Im Rahmen der operativen BIA werden die erforderlichen Ressourcen für jede Aktivität erhoben:

• Personen, Skills, Rollen
• Gebäude
• Ausrüstung
• Dokumente
• Finanzierung
• IKT
• Dienstleister
• Andere Prozesse
• Spezielle Anforderungen