Business Continuity und Disaster Recovery (BCP/DRP)

BCP und DRP: Zwei komplementäre Disziplinen

Business Continuity Planning (BCP) und Disaster Recovery Planning (DRP) werden oft als Synonyme verwendet, beziehen sich aber auf unterschiedliche — wenn auch eng verwandte — Tätigkeiten:

• BCP befasst sich mit der Organisation als Ganzes: Wie werden kritische Geschäftsfunktionen fortgeführt, wenn der normale Betrieb gestört ist? Es umfasst Menschen, Prozesse, Einrichtungen, Lieferanten und Kommunikation — nicht nur Technologie.
• DRP befasst sich speziell mit der IT- und Technologiedimension: Wie werden Systeme, Anwendungen und Daten nach einem Ausfall wiederhergestellt?

Business Impact Analysis (BIA)

Die Business Impact Analysis (BIA) ist das Fundament jedes BCP. Sie beantwortet zwei Fragen:

1. Welche Geschäftsfunktionen und -prozesse sind kritisch und was passiert, wenn sie für verschiedene Zeiträume nicht verfügbar sind?
2. Was sind die Abhängigkeiten (Technologie, Mitarbeiter, Lieferanten, Einrichtungen), auf die diese kritischen Prozesse angewiesen sind?

Wichtige Wiederherstellungsparameter

Recovery Time Objective (RTO): Die maximale akzeptable Zeit zur Wiederherstellung einer Funktion oder eines Systems nach einer Störung.

Recovery Point Objective (RPO): Der maximale akzeptable Datenverlust gemessen in Zeit.

RTO und RPO sind Verpflichtungen — sie müssen getestet, nicht nur dokumentiert werden. Viele Organisationen stellen bei ihrer ersten realen Katastrophe fest, dass ihre tatsächlichen Wiederherstellungszeiten ihre dokumentierten RTO-Ziele deutlich überschreiten.

ISO 22301: Business Continuity Management Systeme

ISO 22301 (aktuelle Version: ISO 22301:2019) ist die internationale Norm für Business Continuity Management Systeme (BCMS). Wie ISO 27001 für Informationssicherheit bietet sie einen Management-System-Rahmen.

ISO 22301 erfordert:

• BIA und Risikobeurteilung
• Dokumentierte Business-Continuity-Strategie und -Pläne
• Übungen und Tests (Tabletop-Übungen, Simulationen, vollständige DR-Tests)
• Lessons-Learned-Prozesse nach Tests und realen Vorfällen
• Managementüberprüfung und kontinuierliche Verbesserung

Regulatorische Anforderungen in Spanien und der EU

NIS2-Richtlinie: Verlangt von betroffenen Stellen (mittlere Unternehmen in Energie, Verkehr, Gesundheit, digitaler Infrastruktur und anderen kritischen Sektoren) die Implementierung von „Business Continuity und Krisenmanagement”.

DORA: Für Finanzsektor-Stellen verlangt DORA eine umfassende IKT-Business-Continuity-Richtlinie mit definierten RTO und RPO für kritische Funktionen sowie regelmäßige Tests.

ENS (Esquema Nacional de Seguridad): Spaniens öffentlicher Sektor-Cybersicherheitsrahmen erfordert zertifiziertes BCP/DRP für mittlere und hohe Sicherheitssysteme.

Aufbau eines BCP/DRP-Programms: Praktische Schritte

1. Umfangsdefinition — Bestimmung, welche Funktionen und Einheiten betroffen sind
2. Business Impact Analysis — Identifizierung kritischer Funktionen und ihrer Abhängigkeiten
3. RTO/RPO-Festlegung — Vereinbarung von Wiederherstellungsparametern mit Unternehmenseigentümern und Vorstand
4. Gap-Analyse — Vergleich der aktuellen IT-Wiederherstellungskapazität mit RTO/RPO-Zielen
5. Strategiedesign — Auswahl von Wiederherstellungsstrategien (Cloud-Failover, Warm-Standby, manuelle Workarounds)
6. Plandokumentation — Erstellung von BCP und DRP einschließlich Anrufbäumen und Wiederherstellungsverfahren
7. Testprogramm — Jährliche Tabletop-Übungen mindestens; technische DR-Tests jährlich
8. Wartung — Jährlicher Überprüfungszyklus

Wie BMC helfen kann

Wir entwerfen und implementieren BCP/DRP-Rahmenwerke, führen Business Impact Analysen durch, definieren RTO/RPO-Parameter, erstellen Continuity- und Recovery-Pläne, leiten Tabletop-Übungen und unterstützen die ISO-22301-Zertifizierungsvorbereitung.