Business Continuity Management Systeme BCMS als strategische Säule der IT-Sicherheit

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

FTAPI Software GmbH

Krisen wie Cyberangriffe und Naturkatastrophen können den gesamten Geschäftsbetrieb lahmlegen. Business Continuity Management (BCM) bietet eine Lösung: Es stärkt die Resilienz, verbindet IT-Sicherheit mit anderen Fachbereichen und hält Unternehmen handlungsfähig.

Die Konsequenzen sind weitreichend und reichen von Produktionsausfällen über finanzielle Einbußen bis hin zu einem langfristigen Vertrauensverlust bei Kunden und Partnern. Um solchen Risiken effektiv zu begegnen, braucht es einen ganzheitlichen Ansatz, der über die IT-Sicherheit hinausgeht: Hier setzt das Business Continuity Management (BCM) an. Es verbindet die IT-Sicherheit mit anderen Fachbereichen und verbessert die Handlungsfähigkeit in kritischen Situationen signifikant.

Die Liste der potenziellen Risiken wird dabei immer länger. Der AXA Future Risks Report 2023 zeigt, dass Unternehmen in den nächsten fünf bis zehn Jahren mit einer Vielzahl an Bedrohungen rechnen müssen: 60 Prozent der befragten Risikoexperten sehen im Klimawandel eine der größten Gefahren, 53 Prozent nennen Cybersicherheitsrisiken und 36 Prozent geopolitische Instabilität. Auch Energieknappheit sowie Risiken im Zusammenhang mit künstlicher Intelligenz und Datenmissbrauch zählen zu den fünf wichtigsten Risikofaktoren. Eine ähnliche Einschätzung liefert das Weltwirtschaftsforum: 66 Prozent der Experten bewerten extreme Wetterereignisse, 53 Prozent Cybersicherheitsrisiken als die bedeutendsten Auslöser von materiellen Krisen.

Diese Zahlen verdeutlichen die wichtige Rolle von IT und IT-Sicherheit für die Resilienz von Unternehmen. Während etablierte Ansätze wie Incident Response und Disaster Recovery primär auf technische Notfallmaßnahmen abzielen, geht ein Business Continuity Management System (BCMS) deutlich weiter: Es betrachtet sämtliche potenziellen Störungen, die den Geschäftsbetrieb beeinträchtigen könnten, und liefert die Grundlage für eine durchgängig widerstandsfähige Organisation.

Allianz Risk Barometer 2025

Die größten Geschäftsrisiken 2025 auf einen Blick

BCMS: Mehr als nur IT-Sicherheit

Egal, ob Ransomware geschäftskritische Systeme verschlüsselt oder eine Überflutung die Lieferwege abgeschnitten hat: Unternehmen stehen vor der Frage, wie sie weiterarbeiten können. IT-Verantwortliche müssen deshalb nicht nur wissen, welche Systeme unverzichtbar sind und wie diese nach einem Cybervorfall verfügbar gehalten werden können. Darüber hinaus sollten sie sich mit den Risiken für die Business Continuity auseinandersetzen, um zu gewährleisten, dass sie in Krisenfällen sichere und Compliance-konforme Kommunikationskanäle zur Verfügung stellen können.

Insbesondere CSO, CISO, CIO und andere Führungskräfte in der IT- und IT-Sicherheit sollten sich deshalb neben der ISO-Norm 27001, die Informationssicherheitsmanagementsysteme (ISMS) abdeckt, auch mit der Norm ISO 22301 beschäftigen. Diese Norm definiert den Rahmen und Best Practices für ein BCMS, die über technische Systeme hinausgehen.

Sich mit dem Standard zu BCM-Systemen zu beschäftigen, zahlt sich aus: Es unterstützt IT-Verantwortliche dabei, Kolleg:innen aus anderen Fachbereichen gezielt dort abzuholen, wo ihre Fragen zur Business Continuity beginnen, und diese nahtlos mit den eigenen Themen aus der IT-Sicherheit und technischen Risikobewertung zu verknüpfen.

Außerdem stärkt die aktive Mitgestaltung geschäftskritischer Prozesse das Standing von IT-Sicherheitsverantwortlichen. Wer über rein technische Maßnahmen hinaus blickt und die Resilienz des gesamten Unternehmens fördert, wird zu einem unverzichtbaren strategischen Partner auf Managementebene.

BSI-Standard 200-4 – BCM

BSI aktualisiert Standard zum Business Continuity Management

Erfolgsfaktoren für ein BCMS in der IT-Sicherheit

Aber wo anfangen? Die Implementierung eines BCMS beginnt mit einer gründlichen Business-Impact-Analyse (BIA). Diese Analyse geht weit über IT- und Sicherheitsressourcen hinaus: Sie umfasst auch kritische Geschäftsprozesse und Abhängigkeiten in Bereichen wie HR, Logistik oder Produktion. IT-Sicherheitsverantwortliche können bei der BIA gezielt ihre Expertise einbringen, indem sie Cybersicherheitsrisiken und deren potenzielle Auswirkungen auf den Geschäftsbetrieb aufzeigen. Das verdeutlicht den Wert der IT-Sicherheit im gesamten Unternehmen und trägt dazu bei, dass die IT- und Cybersicherheit angemessen berücksichtigt werden.

Nach der BIA folgt der Aufbau von Notfallplänen und Wiederherstellungsstrategien. Für die IT und IT-Sicherheit sind dabei nicht nur regelmäßige Backups und getestete Prozesse für die Datenwiederherstellung relevant, sondern auch alternative Kommunikationswege. Denn das sind Kanäle, die idealerweise nie genutzt werden, im Ernstfall müssen diese allerdings genauso sicher und compliant wie die alltäglichen Kommunikationskanäle sein.

Die alternativen Kanäle sollten außerdem klar von der Alltagskommunikation getrennt sein, um in Krisensituationen Verwechslungen und Verzögerungen zu vermeiden. Ein Beispiel: Fällt die IT-Infrastruktur aus, könnte eine speziell eingerichtete Messenger-Gruppe für die Krisenkommunikation zum Einsatz kommen, die von der unternehmenseigenen IT unabhängig ist. Diese Gruppe sollte strikt auf Notfälle beschränkt bleiben, um Fehlkommunikation zu vermeiden. Dadurch ist allen klar: Wenn eine Nachricht in dieser Gruppe erscheint, dann ist das Unternehmen im Krisenmodus.

7 Schritte für eine stärkere Cybersecurity

Sicher durch die nächste Cyber-Krise

Validierung als Wegbereiter für Resilienz

Am Ende sollten Unternehmen ihr BCMS validieren, um sicherzugehen, dass ihre Prozesse belastbar sind. Ebenso wie eine Zertifizierung nach ISO 27001 ein ISMS validiert, ist eine Zertifizierung nach ISO 22301 für ein BCMS eine Validierung. Die Auditierung durch externe Prüfer erlaubt eine unabhängige Einschätzung, ob die definierten Prozesse und Maßnahmen für den Ernstfall angemessen sind. Und das schafft einen Wettbewerbsvorteil: Unternehmen, die ihre Business Continuity strategisch absichern, sind nicht nur besser auf unerwartete Herausforderungen vorbereitet, sondern erholen sich auch schneller von Krisen.

Ein BCMS ist für IT-Sicherheitsverantwortliche mehr als ein weiteres Aufgabenfeld – es bietet die Chance, ihre strategische Rolle im Unternehmen auszubauen und abteilungsübergreifend Brücken zu schaffen. Wenn CISO und CSO ihre Sicherheitsmaßnahmen in die unternehmensweite Resilienzstrategie einbinden, stärken sie nicht nur die Cybersicherheit, sondern auch die Krisenfestigkeit des gesamten Unternehmens. IT-Sicherheit wird damit zur Grundlage für eine zukunftsfähige Organisation.

Über den Autor: Guido Eggers ist Managing Director und Global Head Center of Excellence „Food and Sustainability” bei der DQS CFS GmbH, Leiter der Zertifizierungsstelle, Qualitäts­manage­ment­beauftragter, BCM-Auditor und fachlicher Prüfer. Herr Eggers begleitet Unternehmen auf ihrem Weg zu ihren Audits und Assessments rund um Nachhaltigkeits- und Lebensmittel­themen. Bei der DQS hat er seit 2019 verschiedene leitende Position inne. Zuvor war er über 30 Jahren in der Lebensmittelbranche unter anderem für die Qualitätssicherung renommierter Produzenten tätig.

(ID:50334181)