BCP und DRP: Zwei komplementäre Disziplinen
Business Continuity Planning (BCP) und Disaster Recovery Planning (DRP) werden oft als Synonyme verwendet, beziehen sich aber auf unterschiedliche — wenn auch eng verwandte — Tätigkeiten:
- BCP befasst sich mit der Organisation als Ganzes: Wie werden kritische Geschäftsfunktionen fortgeführt, wenn der normale Betrieb gestört ist? Es umfasst Menschen, Prozesse, Einrichtungen, Lieferanten und Kommunikation — nicht nur Technologie.
- DRP befasst sich speziell mit der IT- und Technologiedimension: Wie werden Systeme, Anwendungen und Daten nach einem Ausfall wiederhergestellt?
Business Impact Analysis (BIA)
Die Business Impact Analysis (BIA) ist das Fundament jedes BCP. Sie beantwortet zwei Fragen:
- Welche Geschäftsfunktionen und -prozesse sind kritisch und was passiert, wenn sie für verschiedene Zeiträume nicht verfügbar sind?
- Was sind die Abhängigkeiten (Technologie, Mitarbeiter, Lieferanten, Einrichtungen), auf die diese kritischen Prozesse angewiesen sind?
Wichtige Wiederherstellungsparameter
Recovery Time Objective (RTO): Die maximale akzeptable Zeit zur Wiederherstellung einer Funktion oder eines Systems nach einer Störung.
Recovery Point Objective (RPO): Der maximale akzeptable Datenverlust gemessen in Zeit.
RTO und RPO sind Verpflichtungen — sie müssen getestet, nicht nur dokumentiert werden. Viele Organisationen stellen bei ihrer ersten realen Katastrophe fest, dass ihre tatsächlichen Wiederherstellungszeiten ihre dokumentierten RTO-Ziele deutlich überschreiten.
ISO 22301: Business Continuity Management Systeme
ISO 22301 (aktuelle Version: ISO 22301:2019) ist die internationale Norm für Business Continuity Management Systeme (BCMS). Wie ISO 27001 für Informationssicherheit bietet sie einen Management-System-Rahmen.
ISO 22301 erfordert:
- BIA und Risikobeurteilung
- Dokumentierte Business-Continuity-Strategie und -Pläne
- Übungen und Tests (Tabletop-Übungen, Simulationen, vollständige DR-Tests)
- Lessons-Learned-Prozesse nach Tests und realen Vorfällen
- Managementüberprüfung und kontinuierliche Verbesserung
Regulatorische Anforderungen in Spanien und der EU
NIS2-Richtlinie: Verlangt von betroffenen Stellen (mittlere Unternehmen in Energie, Verkehr, Gesundheit, digitaler Infrastruktur und anderen kritischen Sektoren) die Implementierung von „Business Continuity und Krisenmanagement”.
DORA: Für Finanzsektor-Stellen verlangt DORA eine umfassende IKT-Business-Continuity-Richtlinie mit definierten RTO und RPO für kritische Funktionen sowie regelmäßige Tests.
ENS (Esquema Nacional de Seguridad): Spaniens öffentlicher Sektor-Cybersicherheitsrahmen erfordert zertifiziertes BCP/DRP für mittlere und hohe Sicherheitssysteme.
Aufbau eines BCP/DRP-Programms: Praktische Schritte
- Umfangsdefinition — Bestimmung, welche Funktionen und Einheiten betroffen sind
- Business Impact Analysis — Identifizierung kritischer Funktionen und ihrer Abhängigkeiten
- RTO/RPO-Festlegung — Vereinbarung von Wiederherstellungsparametern mit Unternehmenseigentümern und Vorstand
- Gap-Analyse — Vergleich der aktuellen IT-Wiederherstellungskapazität mit RTO/RPO-Zielen
- Strategiedesign — Auswahl von Wiederherstellungsstrategien (Cloud-Failover, Warm-Standby, manuelle Workarounds)
- Plandokumentation — Erstellung von BCP und DRP einschließlich Anrufbäumen und Wiederherstellungsverfahren
- Testprogramm — Jährliche Tabletop-Übungen mindestens; technische DR-Tests jährlich
- Wartung — Jährlicher Überprüfungszyklus
Wie BMC helfen kann
Wir entwerfen und implementieren BCP/DRP-Rahmenwerke, führen Business Impact Analysen durch, definieren RTO/RPO-Parameter, erstellen Continuity- und Recovery-Pläne, leiten Tabletop-Übungen und unterstützen die ISO-22301-Zertifizierungsvorbereitung.