Definition Notfallkonzept Was ist ein Notfallkonzept?

Ein Notfallkonzept ist ein strukturierter Plan für ein schnelles und effektives Reagieren auf Notfälle. Es ermöglicht Organisationen, Notfälle zu bewältigen und den Geschäftsbetrieb wiederherzustellen. Nach den BSI-Standards 100-4 und 200-4 besteht ein Notfallkonzept aus Notfallvorsorgekonzept und Notfallhandbuch.

Allgemein versteht man unter einem Notfallkonzept einen strukturierten Plan mit organisatorischen und technischen Maßnahmen, die es ermöglichen, schnell und effektiv auf verschiedene Notfallszenarien zu reagieren. Ziel des Notfallkonzepts ist es, Notfallszenarien zu bewältigen, den normalen Geschäftsbetrieb aufrechtzuerhalten oder schnell wiederherzustellen und Schäden für Personen oder Vermögenswerte bestmöglich abzuwenden oder zu minimieren.

Ein Notfallkonzept wird üblicherweise im Rahmen des Notfallmanagements erarbeitet. Um es zu erstellen, sind verschiedene Schritte notwendig. Dazu gehören die Durchführung von Risikoanalysen, die Definition von Verantwortlichkeiten und Kommunikationsplänen, das Beschreiben konkreter Notfallmaßnahmen, die Planung und Bereitstellung von Notfallressourcen und einiges mehr. In regelmäßigen Notfallübungen lässt sich die Wirksamkeit eines Notfallkonzepts prüfen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt im BSI-Standard 100-4 (Notfallmanagement) das Notfallkonzept als Leitfaden zur Erstellung und Umsetzung von Notfallmanagementsystemen. Das systematische Notfallmanagement verbessert die Ausfallsicherheit und betriebliche Sicherheit von Unternehmen oder öffentlichen Institutionen. Der BSI-Standard 100-4 wurde inzwischen durch den Nachfolgestandard 200-4 (Business Continuity Management) ersetzt. Das Notfallkonzept wird dort auch als BC-Konzept bezeichnet.

BSI-Standard 200-4 Business Continuity Management (BCM)

Neuer BSI-Standard zum Business Continuity Management

Allgemeine Informationen zum Notfallmanagement

Ein Notfallkonzept wird im Rahmen des Notfallmanagements entwickelt. Das Notfallmanagement ist eine Komponente der IT-Sicherheitsstrategie. Ziel des Notfallmanagements ist es, die für eine Organisation kritischen Geschäftsprozesse in Notfallsituationen aufrechtzuerhalten oder wiederherzustellen. Schäden durch Notfälle können durch ein effektives Notfallmanagement minimiert werden. Das Notfallmanagement umfasst sowohl präventive Maßnahmen zur Notfallvorsorge als auch Pläne mit konkreten Maßnahmen und Handlungsanweisungen zur Bewältigung von Notfallszenarien und zur Aufrechterhaltung oder Wiederherstellung der kritischen Geschäftsprozesse.

Die kritischen Geschäftsprozesse und möglichen Risiken werden im Rahmen des Notfallmanagements in einer Business-Impact-Analyse identifiziert und bewertet. Seitens des Bundesamts für Sicherheit in der Informationstechnik (BSI) wurde für das IT-Notfallmanagement der Standard 100-4 entwickelt. Er umfasst unter anderem die Notfallvorsorge, die Notfallbewältigung und die kontinuierliche Verbesserung durch regelmäßige Überprüfung und Anpassung des Notfallmanagements. Mittlerweile ersetzt der Nachfolgestandard 200-4 den BSI-Standard 100-4. Im Mittelpunkt der BSI-Standards stehen Notfälle und nicht Krisen. Als Notfälle sind Störungen definiert, die Unterbrechungen oder Einschränkungen der Geschäftstätigkeit verursachen, die sich aber durch entsprechend vorbereitete Notfallpläne behandeln lassen. Bei Krisen und Katastrophen ist ein flexibles Handeln notwendig, da sie unter Umständen nicht durch die vorbereiteten Pläne zu bewältigen sind. Neben dem Notfallmanagement gibt es daher auch ein Krisenmanagement, das speziell auf die Bewältigung von Krisensituationen ausgerichtet ist. Entsprechende Vorgaben zur Einrichtung eines Krisenstabs und zur Krisenkommunikation sowie zu den Beziehungen zwischen Notfall- und Krisenmanagement sind vonseiten der BSI-Standards ebenfalls vorgesehen.

Mehr IT-Sicherheit durch Standards

Was die BSI-Standards 200 für Unternehmen bedeuten

Das Notfallkonzept nach BSI-Standard 100-4 beziehungsweise 200-4

Die BSI-Standards 100-4 und 200-4 sehen konkrete Vorgaben für ein Notfallkonzept (auch Business-Continuity-Konzept oder BC-Konzept) vor. Nach den BSI-Standards ist das Notfallkonzept ein ganzheitlicher Ansatz für ein umfassendes und proaktives Notfallmanagement. Der Standard zeigt einen systematischen Weg, ein wirksames Notfallmanagement in einer Organisation aufzubauen und zu implementieren.

Ein Notfallkonzept besteht aus zwei Elementen: einem Notfallvorsorgekonzept und einem Notfallhandbuch (BC-Plans). In den BSI-Standards sind entsprechende Mustergliederungen für die zu erstellenden Dokumente vorgesehen. Im Folgenden wird näher auf die beiden Kernelemente Notfallvorsorgekonzept und Notfallhandbuch eingegangen.

Das Notfallvorsorgekonzept

Das Notfallvorsorgekonzept umfasst den präventiven Schutz gegenüber Notfällen und ihren Folgen. Es sind die infrastrukturellen, technischen, organisatorischen und personellen Aspekte, Maßnahmen und Tätigkeiten beschrieben, die zur präventiven Vorsorge und nicht zur direkten Bewältigung von Notfällen beitragen. Das Notfallvorsorgekonzept identifiziert kritische Geschäftsprozesse und Ressourcen, analysiert potenzielle Risiken und bildet die Grundlage zur Umsetzung von Notfallvorsorge- und Kontinuitätsstrategien. Für ein Notfallvorsorgekonzept ist unter anderem zu beantworten, wie das Eintreten von Notfällen oder Krisen erschwert oder verhindert werden kann, wie kritische Szenarien für ein schnelles Reagieren erkannt werden können oder wie Geschäftsprozesse für einen Notbetrieb aussehen sollen.

Zu den Inhalten des Notfallvorsorgekonzepts zählen zum Beispiel:

• Definition der Ziele, Zuständigkeiten, Kompetenzen und Abläufe der Notfallvorsorge

• Identifizierung der kritischen Geschäftsprozesse und möglichen Risiken

• vorbeugende technische und organisatorische Maßnahmen zur Reduzierung der Eintrittswahrscheinlichkeit von Risiken

• technische und organisatorische Maßnahmen zur Verbesserung der Widerstandsfähigkeit der Geschäftsprozesse

• Maßnahmen zur Verankerung des Notfallmanagements in der Kultur einer Organisation

• Maßnahmen zur Sensibilisierung und Schulung der Mitarbeiter

• Planungen zur Überprüfung und Optimierung des Notfallmanagements

Schritt für Schritt zum Business Continuity Management

Weiterentwicklung des BSI-Standards 200-4

Das Notfallhandbuch (BC-Plans)

In einem Notfallhandbuch sind die konkreten Maßnahmen und Handlungsanweisungen für einen eingetretenen Notfall oder eine krisenhafte Situation strukturiert aufgeführt. Das Notfallhandbuch vereint alle für die Bewältigung eines Notfalls benötigten weiteren Dokumente. Zu diesen Dokumenten zählen zum Beispiel Geschäftsfortführungspläne mit den notwendigen Handlungsschritten zur Wiederherstellung der Geschäftsprozesse, Wiederanlaufpläne mit den Handlungsschritten zur Wiederherstellung oder zum Wiederanlauf wichtiger Ressourcen, Pläne für die Einleitung von Sofortmaßnahmen zum Schutz der Sicherheit und Unversehrtheit beteiligter Personen, Krisenstabsleitfaden mit der Beschreibung der Organisationsstruktur im Krisenfall und Krisenkommunikationspläne für die Kommunikation mit Mitarbeitern, Partnern, der Öffentlichkeit oder anderen Zielgruppen in Krisensituationen. Aufgebaut ist das Notfallhandbuch so, dass die notwendigen Maßnahmen und Handlungsanweisungen schnell zu finden und eindeutig sind.

Die erforderlichen Planungsschritte zur Erstellung eines Notfallkonzepts

Die Basis zur Erstellung eines Notfallkonzepts bildet die Durchführung einer Business-Impact-Analyse. Mithilfe dieser Analyse lassen sich die in einem Notfall oder in einer Krise für eine Organisation überlebensnotwendigen, kritischen Geschäftsprozesse und Ressourcen ermitteln. Auch die Kenngrößen für den Wiederanlauf der kritischen Prozesse nach Unterbrechungen werden bestimmt. Eine Risikoanalyse untersucht die möglichen Risiken, denen die zuvor ermittelten kritischen Prozesse und Ressourcen ausgesetzt sind. Auf Basis der gewonnenen Ergebnisse wird entschieden, wie auf die Risiken und Gefährdungen zu reagieren ist. Daraus abgeleitet entsteht eine Kontinuitätsstrategie. Sie bildet den Rahmen für die im Notfallkonzept umzusetzenden Notfallvorsorge- und Notfallbewältigungsmaßnahmen. Nicht vernachlässigt werden dürfen in Notfallsituationen die Aspekte der Sicherheit von Personen oder die Einhaltung gesetzlicher Datenschutzanforderungen. Bei der Anfertigung eines Notfallkonzepts ist daher auch mit Instanzen zusammenzuarbeiten, die sich mit diesen Fragen befassen.

Die Verantwortung für die Entwicklung eines Notfallkonzepts liegt beim Notfallbeauftragten, auch als BC-Beauftragter, Business-Continuity- oder Notfall-Manager bezeichnet. Er koordiniert die dafür notwendigen Aktivitäten und Tätigkeiten. Darüber hinaus hat er die Befugnis, die entsprechend ihrem Know-how und ihrer Tätigkeit notwendigen Mitarbeiter für die Entwicklung des Notfallkonzepts hinzuzuziehen. Das Konzept wird von der Management- oder Leitungsebene verabschiedet und freigegeben. Grundsätzlich sind das Notfallkonzept und die darin enthaltenen Informationen vertraulich und nur einem definierten Verteilerkreis zugänglich. Am Notfallmanagement und an der Notfallvorsorge und Notfallbewältigung beteiligte Personen erhalten Zugriff auf das Konzept beziehungsweise auf die für sie relevanten Pläne und Informationen.

Die Erstellung eines Notfallkonzepts ist kein einmaliger Vorgang. Aufgrund der kontinuierlichen Veränderungen, denen die Geschäftsprozesse und auch die zugeordneten Risiken unterliegen, ist es regelmäßig zu überprüfen und zu aktualisieren. Dabei ist auch zu prüfen, ob sich gegebenenfalls die gesetzlichen Rahmenbedingungen verändert haben.

(ID:50224459)